ARP Spoofing
Was ist ARP Spoofing?
ARP Spoofing ist ein Angriff in lokalen IPv4-Netzwerken, bei dem ein Angreifer gefälschte ARP-Nachrichten versendet. Dadurch ordnen Geräte eine fremde MAC-Adresse einer vertrauenswürdigen IP-Adresse zu. Der Angreifer kann Netzwerkverkehr anschließend mitlesen, verändern, umleiten oder blockieren, sofern keine geeigneten Schutzmaßnahmen greifen.
So funktioniert ARP Spoofing
ARP Spoofing nutzt eine Schwäche des Address Resolution Protocol aus. ARP verbindet innerhalb eines lokalen IPv4-Netzes eine IP-Adresse mit der physischen MAC-Adresse eines Geräts. Diese Zuordnungen werden vorübergehend im sogenannten ARP-Cache eines Computers, Routers oder Servers gespeichert.
Das Protokoll prüft standardmäßig nicht, ob eine empfangene ARP-Antwort tatsächlich von dem Gerät stammt, dem die angegebene IP-Adresse gehört. Ein Angreifer kann deshalb manipulierte Antworten versenden und beispielsweise behaupten, seine eigene MAC-Adresse gehöre zur IP-Adresse des Routers.
Bei einem typischen Angriff täuscht der Angreifer gleichzeitig den Router und das Zielgerät. Der Router hält den Angreifer für das Zielgerät, während das Zielgerät den Angreifer für den Router hält. Der Datenverkehr läuft dadurch über das angreifende System.
- Der Angreifer befindet sich im selben lokalen Netzwerk oder hat bereits Zugriff darauf.
- Er sendet gefälschte ARP-Antworten an das Zielgerät und das Gateway.
- Beide Geräte speichern die falschen IP-MAC-Zuordnungen in ihrem ARP-Cache.
- Der Netzwerkverkehr wird zum System des Angreifers geleitet.
- Der Angreifer kann Pakete weiterleiten, analysieren, verändern oder verwerfen.
Welche Folgen hat der Angriff?
ARP Spoofing ermöglicht häufig einen Man-in-the-Middle-Angriff. Dabei befindet sich der Angreifer unbemerkt zwischen zwei Kommunikationspartnern. Unverschlüsselte Inhalte wie Formulardaten, Sitzungsinformationen oder Zugangsdaten können dadurch sichtbar werden.
Auch verschlüsselte Verbindungen können durch die Umleitung beeinträchtigt werden. Eine korrekt validierte HTTPS-Verbindung schützt den Inhalt grundsätzlich vor einfachem Mitlesen und Manipulieren. Ignoriert ein Nutzer jedoch Zertifikatswarnungen oder verwendet eine Anwendung fehlerhafte Prüfmechanismen, steigt das Risiko eines weiterführenden Angriffs.
Der Angreifer muss den Verkehr nicht zwingend weiterleiten. Werden umgeleitete Datenpakete verworfen, entsteht ein Denial-of-Service-Effekt: Das betroffene Gerät verliert seine Netzwerkverbindung oder erreicht bestimmte Dienste nicht mehr.
ARP Spoofing und ARP Poisoning
ARP Spoofing und ARP Poisoning werden häufig synonym verwendet. ARP Spoofing bezeichnet genauer das Versenden gefälschter ARP-Nachrichten. ARP Poisoning beschreibt das daraus entstehende Ergebnis: Der ARP-Cache eines Geräts enthält manipulierte Zuordnungen zwischen IP-Adressen und MAC-Adressen.
Der Unterschied zwischen ARP Spoofing und IP Spoofing liegt in der betroffenen Netzwerkschicht. Beim ARP-Angriff wird die lokale Zuordnung einer IP-Adresse zu einer MAC-Adresse manipuliert. Beim IP Spoofing fälscht ein Absender dagegen die Quell-IP-Adresse eines Netzwerkpakets.
DNS Spoofing verändert oder fälscht die Auflösung eines Domainnamens in eine IP-Adresse. ARP-Manipulationen betreffen dagegen den Weg zu einem Gerät innerhalb desselben lokalen Netzes. Beide Methoden können kombiniert werden, verfolgen technisch jedoch unterschiedliche Ansätze.
So lässt sich ARP Spoofing erkennen
Hinweise auf einen Angriff sind unerwartete Änderungen im ARP-Cache, doppelt verwendete MAC-Adressen oder wechselnde Zuordnungen für das Standard-Gateway. Verbindungsabbrüche, ungewöhnliche Zertifikatswarnungen und nicht erklärbare Netzwerkschwankungen können ebenfalls auftreten, reichen allein aber nicht als Nachweis aus.
Administratoren können den aktuellen ARP-Cache auf vielen Betriebssystemen mit arp -a anzeigen. Wenn die IP-Adresse des Gateways plötzlich einer unbekannten MAC-Adresse zugeordnet ist, sollte die Netzwerkkommunikation genauer untersucht werden. Ein einzelner Eintrag kann allerdings auch durch einen regulären Gerätewechsel entstehen.
Netzwerküberwachungssysteme erkennen verdächtige Muster zuverlässiger als gelegentliche manuelle Kontrollen. Sie vergleichen bekannte Zuordnungen, melden ungewöhnlich viele ARP-Antworten und prüfen, ob mehrere IP-Adressen dieselbe MAC-Adresse verwenden.
Schutzmaßnahmen im Unternehmensnetzwerk
Ein wirksamer Schutz kombiniert technische Kontrollen mit einer klaren Netzwerkstruktur. Einzelne Maßnahmen reduzieren das Risiko, beseitigen die grundlegende Vertrauensschwäche des ARP-Protokolls jedoch nicht vollständig.
Statische ARP-Einträge können besonders wichtige Systeme schützen, verursachen in größeren oder dynamischen Netzwerken aber erheblichen Verwaltungsaufwand. Sie eignen sich deshalb eher für klar definierte Verbindungen als für eine flächendeckende Absicherung aller Endgeräte.
Relevanz für SEO, SEA und GEO
ARP Spoofing ist kein direkter Google-Ranking-Faktor und verändert normalerweise weder Rankings noch die öffentliche Indexierung einer Website. Der Angriff betrifft zunächst die Kommunikation innerhalb eines lokalen Netzwerks. Auswirkungen auf SEO, SEA oder GEO entstehen erst, wenn Mitarbeiterzugänge, Verwaltungsoberflächen oder veröffentlichte Inhalte kompromittiert werden.
Erbeutete Zugangsdaten können Angreifern Zugriff auf ein Content-Management-System, Werbekonto oder Analysewerkzeug geben. Manipulierte Weiterleitungen, veränderte Seiteninhalte oder gelöschte Tracking-Konfigurationen können anschließend organischen Traffic, Kampagnendaten und die Vertrauenswürdigkeit einer Domain beeinträchtigen.
Nach einem Sicherheitsvorfall sollte das Unternehmen deshalb neben dem Netzwerk auch die Website prüfen. Ein technischer SEO-Audit kann unerwartete Weiterleitungen, veränderte Metadaten und Crawling-Probleme aufdecken. Ein SEO-Technik-Crawler untersucht die öffentlich erreichbare Website, ersetzt jedoch keine forensische Analyse des lokalen Netzwerks.
Zur Wiederherstellung gehören außerdem neue Zugangsdaten, aktive Mehrfaktor-Authentifizierung, eine Prüfung privilegierter Benutzerkonten und die Kontrolle veröffentlichter Änderungen. Für Marken mit erhöhtem Missbrauchsrisiko liefert eine strukturierte Brand-Protection-Strategie zusätzliche organisatorische Leitplanken.
Häufige Fragen zu ARP Spoofing
Funktioniert ARP Spoofing auch über das Internet?
ARP Spoofing wirkt grundsätzlich innerhalb eines lokalen IPv4-Netzwerks, da Router ARP-Nachrichten nicht über Netzwerkgrenzen hinweg weiterleiten. Für einen Angriff benötigt der Täter daher normalerweise Zugang zum selben Netzwerk oder zu einem bereits kompromittierten Gerät.
Ist ARP Spoofing bei IPv6 möglich?
IPv6 verwendet kein ARP, sondern das Neighbor Discovery Protocol. Vergleichbare Manipulationen sind dennoch über gefälschte Neighbor-Discovery-Nachrichten möglich und erfordern eigene Schutzmechanismen.
Kann eine Firewall ARP Spoofing verhindern?
Eine klassische Host-Firewall reicht meist nicht aus, weil ARP unterhalb der normalen IP-Kommunikation arbeitet. Geeignete Switch-Funktionen, Netzwerkzugriffskontrollen und eine Überwachung der IP-MAC-Zuordnungen bieten einen gezielteren Schutz.
Schützt HTTPS vor ARP Spoofing?
HTTPS verhindert nicht die Manipulation des ARP-Caches, schützt aber den Inhalt einer korrekt geprüften Verbindung vor einfachem Mitlesen und Verändern. Zertifikatswarnungen dürfen deshalb nicht ignoriert werden.
Wie lange bleibt ein manipulierter ARP-Eintrag bestehen?
Die Dauer hängt vom Betriebssystem, der Netzwerkkonfiguration und weiteren ARP-Nachrichten ab. Angreifer senden gefälschte Antworten häufig regelmäßig erneut, damit die manipulierte Zuordnung im Cache erhalten bleibt.
Hilft ein VPN gegen ARP Spoofing?
Ein VPN verhindert den ARP-Angriff im lokalen Netzwerk nicht, verschlüsselt jedoch den Datenverkehr innerhalb des VPN-Tunnels. Dadurch kann ein Angreifer umgeleitete Pakete zwar erkennen oder blockieren, deren geschützten Inhalt aber nicht ohne Weiteres auslesen.
Wenn ein Sicherheitsvorfall technische Veränderungen an deiner Website verursacht haben könnte, lässt sich der öffentlich erreichbare Zustand mit einem Potenzialcheck strukturiert einordnen. Die Prüfung ersetzt keine IT-Forensik, zeigt aber mögliche Folgen für Crawling, SEO-Sichtbarkeit und Inhalte.
Sie haben noch Fragen?
