Skip to main content

12.2 Wireshark-Analyse: Filter, Protokolle und typische Fehlerbilder

Wireshark ist ein grafisches Werkzeug zur Analyse von Netzwerkverkehr.

Mit Wireshark kann man Paketmitschnitte öffnen, filtern und auswerten.

Ziel ist nicht nur:

Pakete sehen

Sondern:

Verstehen,
was im Netzwerk wirklich passiert.

Merksatz:

Wireshark zeigt Pakete,
aber die Analyse entsteht durch gezielte Fragen.

Grundidee der Wireshark-Analyse

Ein Paketmitschnitt kann sehr viele Daten enthalten.

Ohne Filter ist die Analyse schnell unübersichtlich.

Deshalb arbeitet man mit Fragen:

Welche IP-Adresse interessiert mich?
Welcher Dienst funktioniert nicht?
Welcher Port wird genutzt?
Gibt es DNS-Anfragen?
Gibt es einen TCP-Handshake?
Gibt es Timeouts?
Gibt es Reset-Pakete?
Gibt es TLS-Fehler?
Kommt eine Antwort zurück?

Merksatz:

Erst Fragestellung,
dann Filter.

Wireshark-Oberfläche

Wireshark zeigt typischerweise drei Bereiche:

Bereich Bedeutung
Paketliste alle aufgezeichneten Pakete als Übersicht
Paketdetails aufgeschlüsselte Protokollinformationen
Paketbytes Rohdaten des Pakets

Die Paketliste zeigt zum Beispiel:

Zeit
Quelle
Ziel
Protokoll
Länge
Information

Merksatz:

Paketliste zeigt Überblick,
Paketdetails zeigen Inhalt.

Paketliste

In der Paketliste sieht man jedes Paket als Zeile.

Wichtige Spalten:

No.
Time
Source
Destination
Protocol
Length
Info

Diese Spalten helfen, den Ablauf der Kommunikation zu verstehen.

Merksatz:

Die Paketliste zeigt die zeitliche Reihenfolge der Pakete.

Paketdetails

Die Paketdetails zeigen, welche Protokollschichten im Paket enthalten sind.

Beispiele:

Frame
Ethernet
IPv4 oder IPv6
TCP oder UDP
TLS
HTTP
DNS
DHCP

Damit kann man sehen, welche Schichten beteiligt sind.

Merksatz:

Paketdetails zeigen die Protokolle Schicht für Schicht.

Paketbytes

Die Paketbytes zeigen die Rohdaten des Pakets.

Das ist besonders wichtig, wenn man sehr genau prüfen möchte, welche Daten wirklich übertragen wurden.

Für die IHK reicht meist:

verstehen,
dass dies die Rohdaten sind.

Merksatz:

Paketbytes sind die technische Rohansicht.

Display Filter

Display Filter bestimmen, welche Pakete angezeigt werden.

Sie ändern nicht die gespeicherte Aufzeichnung.

Beispielgedanke:

Zeige nur DNS.
Zeige nur Pakete zu dieser IP.
Zeige nur TCP-Resets.
Zeige nur HTTP.

Merksatz:

Display Filter blenden aus,
löschen aber nichts aus der Aufnahme.

Capture Filter

Capture Filter bestimmen, was überhaupt aufgezeichnet wird.

Vorteil:

weniger Daten
kleinere Datei
bessere Übersicht
weniger sensible Informationen

Nachteil:

nicht aufgezeichnete Pakete sind später verloren.

Merksatz:

Capture Filter vor Aufnahme,
Display Filter nach Aufnahme.

Capture Filter und Display Filter vergleichen

Filterart Zeitpunkt Wirkung
Capture Filter vor oder während Aufnahme begrenzt, was aufgezeichnet wird
Display Filter nach Aufnahme begrenzt nur die Anzeige

Merksatz:

Capture Filter spart Daten.
Display Filter hilft bei Analyse.

Wichtige Wireshark-Display-Filter

Ziel Filteridee
bestimmte IP anzeigen ip.addr == 192.168.10.20
nur Quelle ip.src == 192.168.10.20
nur Ziel ip.dst == 192.168.10.20
bestimmter TCP-Port tcp.port == 443
bestimmter UDP-Port udp.port == 53
nur DNS dns
nur HTTP http
nur TLS tls
nur ARP arp
nur ICMP icmp
nur DHCP dhcp
nur TCP Reset tcp.flags.reset == 1
nur TCP SYN tcp.flags.syn == 1
TCP Retransmissions tcp.analysis.retransmission

Merksatz:

Display Filter müssen zur Fragestellung passen.

IP-Adresse filtern

Wenn ein bestimmter Host untersucht wird, filtert man nach dessen IP-Adresse.

Beispiel:

ip.addr == 192.168.10.20

Das zeigt Pakete, bei denen diese IP-Adresse Quelle oder Ziel ist.

Merksatz:

ip.addr zeigt Verkehr mit einer bestimmten IP.

Quelle und Ziel unterscheiden

Manchmal muss man genauer unterscheiden.

Quelle:

ip.src == 192.168.10.20

Ziel:

ip.dst == 192.168.10.20

Das ist hilfreich, wenn man wissen will:

Wer startet die Verbindung?
Wer antwortet?

Merksatz:

ip.src = Quelle.
ip.dst = Ziel.

Port filtern

Ports helfen, Dienste zu erkennen.

Beispiel:

tcp.port == 443

zeigt TCP-Verkehr, bei dem Port 443 als Quell- oder Zielport vorkommt.

Genauer:

tcp.dstport == 443

zeigt Pakete, die zu einem Dienst auf Port 443 gehen.

Merksatz:

Zielport zeigt meist den angesprochenen Dienst.

TCP und UDP getrennt betrachten

Portnummern allein reichen nicht.

Beispiele:

tcp.port == 443

ist nicht dasselbe wie:

udp.port == 443

Das ist wichtig bei:

HTTPS klassisch über TCP 443
HTTP/3 über UDP 443
DNS über UDP/TCP 53

Merksatz:

Port immer mit TCP oder UDP betrachten.

DNS analysieren

DNS ist häufig der erste Schritt vor einer Verbindung.

Mit Filter:

dns

sieht man DNS-Anfragen und Antworten.

Wichtige Fragen:

Welcher Name wird gefragt?
Welcher DNS-Server wird gefragt?
Welche IP-Adresse wird zurückgegeben?
Kommt NXDOMAIN?
Wird IPv4 oder IPv6 angefragt?
Gibt es lange Antwortzeiten?

Merksatz:

DNS zeigt,
wohin ein Name wirklich aufgelöst wird.

DNS A und AAAA

A-Record:

Name zu IPv4-Adresse

AAAA-Record:

Name zu IPv6-Adresse

Im Mitschnitt kann man sehen, ob ein Client IPv4, IPv6 oder beides anfragt.

Fehlerfall:

AAAA zeigt auf nicht erreichbare IPv6-Adresse,
obwohl IPv4 funktionieren würde.

Merksatz:

DNS-Antworten können IPv4 und IPv6 betreffen.

DNS NXDOMAIN

NXDOMAIN bedeutet:

Name existiert nicht.

Mögliche Ursachen:

- Tippfehler
- falscher DNS-Suffix
- falscher DNS-Server
- interne Zone fehlt
- Split DNS falsch
- Name wurde nicht angelegt

Merksatz:

NXDOMAIN heißt:
DNS kennt diesen Namen nicht.

TCP-Analyse

TCP-Verbindungen erkennt man am Handshake:

SYN
SYN-ACK
ACK

Mit Wireshark prüft man:

Gibt es SYN?
Kommt SYN-ACK zurück?
Wird ACK gesendet?
Gibt es RST?
Gibt es Retransmissions?
Gibt es Timeouts?

Merksatz:

TCP-Analyse beginnt oft beim Handshake.

TCP SYN filtern

Ein SYN startet eine TCP-Verbindung.

Filteridee:

tcp.flags.syn == 1

Achtung:

SYN-ACK enthält ebenfalls SYN.

Wenn man nur reine SYN-Pakete ohne ACK sehen möchte, braucht man sinngemäß:

SYN gesetzt,
ACK nicht gesetzt.

Merksatz:

SYN zeigt Verbindungsversuche.

TCP SYN-ACK erkennen

SYN-ACK ist die Antwort des Servers auf ein SYN.

Bedeutung:

Der Zielport antwortet grundsätzlich.

Wenn SYN-ACK zurückkommt, ist der Weg zum Server und zurück zumindest für diesen Schritt vorhanden.

Merksatz:

SYN-ACK zeigt,
dass der Server auf den TCP-Verbindungsaufbau antwortet.

TCP ACK erkennen

ACK bestätigt den Empfang.

Nach SYN und SYN-ACK bestätigt der Client mit ACK.

Dann ist der TCP-Verbindungsaufbau abgeschlossen.

Merksatz:

SYN,
SYN-ACK,
ACK
= TCP-Verbindung aufgebaut.

TCP Reset erkennen

Ein Reset beendet oder verweigert eine Verbindung.

Filter:

tcp.flags.reset == 1

Mögliche Ursachen:

- Port geschlossen
- Dienst läuft nicht
- Anwendung lehnt ab
- Firewall sendet Reset
- falsches Protokoll
- Verbindung wird aktiv beendet

Merksatz:

RST ist eine aktive Ablehnung oder Beendigung.

TCP Retransmissions erkennen

Retransmissions sind erneute Übertragungen.

Filteridee:

tcp.analysis.retransmission

Mögliche Ursachen:

- Paketverlust
- Firewall blockiert einzelne Pakete
- WLAN-Probleme
- Überlastung
- Rückwegproblem
- MTU-Problem

Merksatz:

Retransmissions bedeuten:
Bestätigung fehlt oder Paket ging verloren.

TCP Zero Window

TCP Zero Window bedeutet:

Empfänger kann aktuell keine weiteren Daten aufnehmen.

Mögliche Ursachen:

- Anwendung verarbeitet Daten zu langsam
- Empfänger überlastet
- Ressourcenproblem
- System hängt

Merksatz:

Zero Window deutet auf Empfänger- oder Leistungsproblem hin.

TCP Dup ACK

Duplicate ACK bedeutet:

Eine Bestätigung wird mehrfach gesendet.

Das kann auf Paketverlust oder fehlende Segmente hinweisen.

In Kombination mit Retransmissions kann es Netzwerkprobleme sichtbar machen.

Merksatz:

Duplicate ACK kann auf verlorene TCP-Segmente hindeuten.

UDP analysieren

UDP hat keinen Verbindungsaufbau.

Bei UDP prüft man:

Wird eine Anfrage gesendet?
Kommt eine Antwort zurück?
Gibt es ICMP-Fehler?
Wird der richtige UDP-Port genutzt?
Ist der Server erreichbar?
Blockiert eine Firewall?

Beispiele:

DNS
DHCP
NTP
SNMP
VoIP
HTTP/3

Merksatz:

UDP hat keinen Handshake,
deshalb muss man Anfrage und Antwort direkt prüfen.

ICMP analysieren

ICMP liefert Diagnoseinformationen.

Wichtige ICMP-Meldungen:

Echo Request
Echo Reply
Destination Unreachable
Time Exceeded
Fragmentation Needed

ICMP kann Hinweise geben auf:

Routingfehler
blockierte Ziele
MTU-Probleme
Traceroute-Ablauf
nicht erreichbare Netze

Merksatz:

ICMP-Fehler sind wichtige Hinweise,
nicht nur Ping.

ARP analysieren

ARP wird im lokalen IPv4-Netz genutzt.

Typische ARP-Frage:

Wer hat diese IPv4-Adresse?

Wenn viele ARP-Anfragen ohne Antwort sichtbar sind, kann das bedeuten:

Ziel ist offline.
falsches VLAN.
falsche Netzmaske.
Gateway nicht erreichbar.
IP-Konflikt.
falsche Adresse.

Merksatz:

ARP-Probleme sind lokale Netzwerkprobleme.

DHCP analysieren

DHCP erkennt man am Ablauf:

Discover
Offer
Request
Acknowledge

Wichtige Fehlerbilder:

Beobachtung mögliche Ursache
Discover ohne Offer Server oder Relay antwortet nicht
Offer kommt, aber kein Request Client akzeptiert Angebot nicht
Request ohne ACK Server bestätigt nicht
falsche Optionen DHCP-Konfiguration falsch
Client bekommt APIPA DHCP fehlgeschlagen

Merksatz:

DHCP-DORA ist im Mitschnitt gut prüfbar.

HTTP analysieren

Bei unverschlüsseltem HTTP sieht man:

Methode
URL-Pfad
Host-Header
Header
Statuscode
teilweise Inhalt

Wichtige HTTP-Statuscodes:

200 OK
301 / 302 Weiterleitung
400 Bad Request
401 Unauthorized
403 Forbidden
404 Not Found
500 Internal Server Error
502 Bad Gateway
503 Service Unavailable
504 Gateway Timeout

Merksatz:

HTTP-Statuscodes helfen bei Schicht-7-Fehlersuche.

HTTPS analysieren

Bei HTTPS ist der Inhalt verschlüsselt.

Man sieht normalerweise nicht:

Pfad
Formularinhalt
Session-Cookie
HTTP-Header
Nutzdaten

Man sieht aber häufig:

Ziel-IP
Port
TLS-Handshake
SNI
Zertifikatsinformationen
Verbindungsabbrüche
TLS Alerts

Merksatz:

HTTPS schützt Inhalte,
aber Verbindungsmetadaten bleiben sichtbar.

TLS-Handshake prüfen

Beim TLS-Handshake wird eine sichere Verbindung ausgehandelt.

Im Mitschnitt können sichtbar sein:

Client Hello
Server Hello
Zertifikat
Cipher-Auswahl
TLS-Version
SNI
TLS Alert

Typische Fehler:

Zertifikat passt nicht.
TLS-Version passt nicht.
Cipher Suite passt nicht.
Client bricht ab.
Server bricht ab.

Merksatz:

TLS-Handshake zeigt,
ob HTTPS-Sicherheit ausgehandelt werden kann.

SNI prüfen

SNI steht für:

Server Name Indication

SNI zeigt, welchen Hostnamen der Client beim TLS-Aufbau anfordert.

Das ist wichtig bei mehreren HTTPS-Diensten auf einer IP-Adresse.

Beispiel:

wiki.firma.de
cloud.firma.de
git.firma.de

alle auf derselben IP und TCP 443.

Merksatz:

SNI hilft,
den gewünschten HTTPS-Hostnamen zu erkennen.

Zertifikatsinformationen im Mitschnitt

Je nach TLS-Version und Situation können Zertifikatsinformationen sichtbar sein.

Wichtig zu prüfen:

Ausgestellt für welchen Namen?
Aussteller?
Gültigkeit?
Zertifikatskette?
Passt der Name zum Aufruf?

Achtung:

Bei modernen TLS-Versionen und bestimmten Verfahren sind nicht immer alle Informationen gleich sichtbar.

Merksatz:

Zertifikate geben Hinweise auf HTTPS-Probleme.

Follow TCP Stream

Wireshark kann zusammengehörende TCP-Daten anzeigen.

Funktion:

Follow TCP Stream

Das ist hilfreich bei unverschlüsselten Protokollen.

Beispiele:

HTTP
Telnet
FTP
SMTP ohne TLS

Achtung:

Bei verschlüsseltem HTTPS sieht man den Inhalt nicht im Klartext.

Merksatz:

Follow TCP Stream zeigt zusammenhängende TCP-Kommunikation.

Conversations

Wireshark kann Gespräche anzeigen.

Conversations zeigen zum Beispiel:

welche IPs miteinander gesprochen haben
wie viele Pakete übertragen wurden
wie viele Bytes übertragen wurden
welche TCP-Verbindungen bestanden

Das hilft, wichtige Verbindungen im Mitschnitt zu finden.

Merksatz:

Conversations zeigen,
welche Systeme miteinander kommunizieren.

Endpoints

Endpoints zeigen beteiligte Kommunikationspartner.

Beispiele:

IP-Adressen
MAC-Adressen
Ports

Das ist nützlich, um herauszufinden:

welche Systeme im Mitschnitt aktiv sind
wer besonders viel Verkehr erzeugt
welche Ziele angesprochen werden

Merksatz:

Endpoints zeigen beteiligte Systeme.

IO Graphs

IO Graphs zeigen Netzwerkverkehr über Zeit.

Damit erkennt man:

Lastspitzen
Pausen
Übertragungsverlauf
Wiederholungsmuster
Zeitpunkte von Fehlern

Das ist hilfreich bei Performanceproblemen.

Merksatz:

IO Graphs helfen,
Verkehr zeitlich zu verstehen.

Expert Information

Wireshark bietet Expert Information.

Dort werden auffällige Dinge gesammelt, zum Beispiel:

Retransmissions
Resets
Malformed Packets
Warnings
Fehler
Hinweise auf Protokollprobleme

Wichtig:

Expert Information ist hilfreich,
aber nicht jede Warnung ist automatisch die Ursache.

Merksatz:

Expert Information ist Hinweis,
nicht endgültiger Beweis.

Farben in Wireshark

Wireshark nutzt Farben, um Protokolle und Auffälligkeiten leichter sichtbar zu machen.

Beispiele:

DNS
TCP
Fehler
Resets
ARP

Die genaue Farbe ist weniger wichtig als die technische Aussage.

Merksatz:

Farben helfen beim Überblick,
ersetzen aber keine Analyse.

Namensauflösung in Wireshark

Wireshark kann IP-Adressen als Namen anzeigen.

Das kann hilfreich sein, aber auch verwirren.

Problem:

angezeigter Name kann aus Cache,
DNS
oder lokaler Auflösung stammen.

Für genaue Analyse ist oft besser:

echte IP-Adressen anzeigen.

Merksatz:

Namensauflösung in Wireshark kann hilfreich,
aber auch irreführend sein.

Zeitansicht

Wireshark kann Zeit unterschiedlich anzeigen.

Beispiele:

Zeit seit Beginn des Mitschnitts
absolute Uhrzeit
Zeit seit vorherigem Paket
Zeit seit vorherigem angezeigten Paket

Für Fehlersuche wichtig:

Wie lange dauert die Antwort?
Wann beginnt Timeout?
Welche Pakete gehören zeitlich zusammen?

Merksatz:

Zeitdarstellung passend zur Analyse wählen.

Paketverlust erkennen

Hinweise auf Paketverlust:

Retransmissions
Duplicate ACKs
fehlende Antworten
lange Wartezeiten
Verbindungsabbrüche
wiederholte DNS-Anfragen
wiederholte SYN-Pakete

Mögliche Ursachen:

WLAN-Probleme
defekte Kabel
Überlastung
Firewall-Probleme
Routingprobleme
MTU-Probleme

Merksatz:

Paketverlust zeigt sich oft durch Wiederholungen.

MTU-Probleme erkennen

MTU-Probleme sind manchmal schwer zu erkennen.

Typische Hinweise:

kleine Verbindungen funktionieren
große Datenübertragungen hängen
TLS-Verbindungen brechen ab
VPN-Verbindungen sind instabil
Fragmentation Needed erscheint
viele Retransmissions bei größeren Paketen

Merksatz:

Wenn kleine Pakete gehen,
große aber nicht,
an MTU denken.

Falsches Protokoll auf richtigem Port

Manchmal wird ein Dienst mit falschem Protokoll angesprochen.

Beispiele:

HTTPS-Anfrage an HTTP-Port
HTTP-Anfrage an HTTPS-Port
FTP statt SFTP
LDAP statt LDAPS
falsches Backend-Protokoll im Reverse Proxy

Im Mitschnitt sieht man dann oft:

Reset
TLS Alert
ungültige Antwort
sofortiger Abbruch
unerwartete Daten

Merksatz:

Richtiger Port reicht nicht,
das Protokoll muss auch stimmen.

Firewall-Problem erkennen

Mögliche Hinweise auf Firewall-Probleme:

SYN ohne Antwort
ICMP unreachable
keine Antwort trotz korrektem Ziel
Verbindung geht aus einem Netz,
aber nicht aus anderem
Paket kommt an Firewall an,
aber nicht am Ziel
Firewall-Log zeigt Drop oder Deny

Merksatz:

Firewall-Probleme erkennt man am besten mit Mitschnitt plus Logs.

Dienstproblem erkennen

Hinweise auf Dienstproblem:

TCP-Verbindung wird aufgebaut,
danach kommt Fehler.
Server sendet RST.
HTTP 500.
HTTP 503.
Anwendung antwortet falsch.
Login wird abgelehnt.
Backend antwortet nicht.
Dienst lauscht nicht auf erwartetem Port.

Merksatz:

Wenn TCP steht,
aber Anwendung fehlschlägt,
Schicht 7 prüfen.

DNS-Problem erkennen

Hinweise auf DNS-Probleme:

keine DNS-Antwort
falsche IP-Adresse
NXDOMAIN
falscher DNS-Server
AAAA statt A problematisch
interner Name wird extern gefragt
Split DNS falsch
DNS-Timeout

Merksatz:

DNS-Probleme sieht man oft vor dem eigentlichen Verbindungsversuch.

NAT-Problem erkennen

Hinweise auf NAT-Probleme:

externe Anfrage kommt an,
wird aber nicht intern sichtbar
falsche Ziel-IP nach NAT
falscher Port nach NAT
Antwort kommt nicht zurück
Quelladresse unerwartet
interner Zugriff über öffentliche IP scheitert
Firewall-Mitschnitt zeigt Übersetzung nicht

Merksatz:

NAT-Probleme erkennt man durch Vergleich vor und nach der Firewall.

Reverse-Proxy-Problem erkennen

Hinweise:

Client bekommt 502.
Client bekommt 504.
Proxy antwortet,
Backend aber nicht.
TLS am Proxy funktioniert,
interne Verbindung scheitert.
Host-Header falsch.
falsches Backend ausgewählt.
DNS des Backends falsch.

Merksatz:

Reverse-Proxy-Fehler liegen oft zwischen Proxy und Backend.

Mehrere Mitschnittpunkte verwenden

Bei unklaren Problemen hilft ein Vergleich.

Beispiel:

Mitschnitt am Client:
Anfrage wird gesendet.

Mitschnitt an Firewall:
Anfrage kommt an.

Mitschnitt am Server:
Anfrage kommt nicht an.

Dann liegt das Problem zwischen Firewall und Server.

Merksatz:

Mehrere Mitschnittpunkte zeigen,
wo Pakete verloren gehen.

Typische Analyse-Reihenfolge

Eine sinnvolle Reihenfolge:

1. Fehlerzeitpunkt bestimmen.
2. Richtige Schnittstelle wählen.
3. Mitschnitt starten.
4. Fehler reproduzieren.
5. Mitschnitt stoppen.
6. Nach beteiligter IP filtern.
7. DNS prüfen.
8. TCP- oder UDP-Verhalten prüfen.
9. TLS oder Anwendung prüfen.
10. Resets, Retransmissions und ICMP prüfen.
11. Logs vergleichen.
12. Ergebnis dokumentieren.

Merksatz:

Mitschnitt gezielt aufnehmen,
Fehler nachstellen,
dann filtern.

Typische Fehler bei der Analyse

Häufige Fehler sind:

- auf falscher Schnittstelle mitschneiden
- zu früh oder zu spät mitschneiden
- falscher Filter
- wichtigen Verkehr durch Capture Filter ausschließen
- DNS nicht beachten
- NAT nicht beachten
- verschlüsselte Inhalte erwarten
- jedes Wireshark-Warning überbewerten
- Logs ignorieren
- Uhrzeit nicht vergleichen

Merksatz:

Schlechter Mitschnitt kann zu falschen Schlussfolgerungen führen.

Datenschutz bei Wireshark

Wireshark-Mitschnitte können sensible Daten enthalten.

Beispiele:

- IP-Adressen
- MAC-Adressen
- Benutzernamen
- Cookies
- Tokens
- interne Hostnamen
- E-Mail-Inhalte
- unverschlüsselte Passwörter
- personenbezogene Daten

Deshalb:

nur so lange wie nötig mitschneiden
nur relevanten Verkehr erfassen
Zugriff auf PCAP-Dateien beschränken
Mitschnitte sicher speichern
Mitschnitte nach Zweck löschen

Merksatz:

Paketmitschnitte wie vertrauliche Daten behandeln.

Was Wireshark nicht automatisch löst

Wireshark zeigt Verkehr, aber nicht automatisch die Ursache.

Man braucht zusätzlich:

- Netzwerkwissen
- Protokollverständnis
- Logs
- Konfigurationen
- Dienststatus
- Berechtigungsinformationen
- Firewall-Regeln
- DNS-Informationen

Merksatz:

Wireshark zeigt Hinweise,
die Ursache muss man fachlich einordnen.

Typische IHK-Fragen

In AP1 und AP2 kann zum Beispiel gefragt werden:

- Was ist Wireshark?
- Wofür verwendet man Display Filter?
- Wofür verwendet man Capture Filter?
- Was ist der Unterschied zwischen Capture Filter und Display Filter?
- Wie erkennt man einen TCP-Handshake?
- Was bedeutet SYN?
- Was bedeutet SYN-ACK?
- Was bedeutet ACK?
- Was bedeutet RST?
- Was bedeuten Retransmissions?
- Warum sieht man HTTPS-Inhalte nicht im Klartext?
- Was kann man im TLS-Handshake trotzdem erkennen?
- Was bedeutet NXDOMAIN?
- Wie erkennt man DHCP-Probleme im Mitschnitt?
- Warum ist der Mitschnittort wichtig?
- Warum sind Paketmitschnitte datenschutzrelevant?

Typische Prüfungsfallen

Display Filter ändern nicht die Aufnahme.

Capture Filter begrenzen die Aufnahme.

Was nicht aufgezeichnet wurde,
kann später nicht analysiert werden.

ip.addr zeigt Quelle oder Ziel.

ip.src zeigt nur Quelle.

ip.dst zeigt nur Ziel.

tcp.port und udp.port unterscheiden.

TCP 443 ist nicht UDP 443.

DNS kann UDP und TCP 53 nutzen.

TCP hat Handshake.

UDP hat keinen Handshake.

SYN startet Verbindung.

SYN-ACK ist Serverantwort.

ACK bestätigt.

RST ist aktive Ablehnung oder Abbruch.

Retransmission bedeutet erneutes Senden.

HTTPS-Inhalte sind verschlüsselt.

TLS-Handshake kann trotzdem Hinweise geben.

SNI zeigt gewünschten Hostnamen.

Wireshark-Warnungen sind Hinweise,
nicht automatisch Ursache.

Mitschnittort ist entscheidend.

PCAP-Dateien können sensible Daten enthalten.

Wichtige Begriffe kurz erklärt

Begriff Kurze Erklärung
Wireshark grafisches Werkzeug zur Paketanalyse
Paketliste Übersicht aller Pakete
Paketdetails Protokollinformationen eines Pakets
Paketbytes Rohdaten eines Pakets
Display Filter Filter für Anzeige
Capture Filter Filter für Aufnahme
ip.addr IP-Adresse als Quelle oder Ziel
ip.src Quell-IP-Adresse
ip.dst Ziel-IP-Adresse
tcp.port TCP-Port als Quelle oder Ziel
udp.port UDP-Port als Quelle oder Ziel
SYN TCP-Verbindungsstart
SYN-ACK TCP-Antwort des Servers
ACK Bestätigung
RST Reset
Retransmission erneutes Senden
Zero Window Empfänger kann keine Daten aufnehmen
Dup ACK doppelte Bestätigung
NXDOMAIN DNS-Name existiert nicht
SNI Hostname im TLS-Handshake
TLS Alert TLS-Fehlermeldung
Follow TCP Stream zusammenhängende TCP-Daten anzeigen
Conversations Kommunikationsbeziehungen
Endpoints beteiligte Systeme
Expert Information Wireshark-Hinweise auf Auffälligkeiten

IHK-sichere Kurzformulierung

Wireshark ist ein grafisches Werkzeug zur Analyse von Netzwerkpaketen. Mit Display Filtern kann man die Anzeige eines vorhandenen Mitschnitts eingrenzen, während Capture Filter bereits vor der Aufnahme festlegen, welche Pakete überhaupt aufgezeichnet werden. In Wireshark lassen sich unter anderem DNS-Anfragen, TCP-Handshakes, UDP-Kommunikation, ICMP-Meldungen, ARP, DHCP-Abläufe, TLS-Handshakes, Resets und Retransmissions erkennen. Bei HTTPS sind die Inhalte normalerweise verschlüsselt, aber Metadaten wie IP-Adressen, Ports, TLS-Handshake und häufig SNI können sichtbar sein. Paketmitschnitte müssen gezielt erstellt und datenschutzbewusst behandelt werden, da sie sensible Informationen enthalten können.

Merksätze

Wireshark zeigt Netzwerkpakete grafisch.

Erst Fragestellung,
dann Filter.

Paketliste zeigt Überblick.

Paketdetails zeigen Protokolle.

Paketbytes zeigen Rohdaten.

Display Filter begrenzen Anzeige.

Capture Filter begrenzen Aufnahme.

Was nicht aufgenommen wurde,
kann später nicht analysiert werden.

ip.addr = Quelle oder Ziel.

ip.src = Quelle.

ip.dst = Ziel.

tcp.port ist nicht udp.port.

TCP hat Handshake.

UDP hat keinen Handshake.

SYN startet Verbindung.

SYN-ACK antwortet.

ACK bestätigt.

RST beendet oder lehnt ab.

Retransmissions zeigen fehlende Bestätigungen.

DNS vor Verbindungsaufbau prüfen.

NXDOMAIN heißt:
Name existiert nicht.

DHCP-DORA ist im Mitschnitt sichtbar.

HTTPS schützt Inhalte.

TLS-Handshake liefert trotzdem Hinweise.

SNI zeigt gewünschten Hostnamen.

Follow TCP Stream hilft bei unverschlüsselten Protokollen.

Expert Information ist Hinweis,
nicht automatisch Ursache.

Mitschnittort entscheidet,
was sichtbar ist.

Mehrere Mitschnitte können Paketverluststellen zeigen.

PCAP-Dateien vertraulich behandeln.
Back to top