PCAP-Analysator

Legen Sie einen Paketmitschnitt ab — .pcap oder .pcapng — und erhalten Sie die Ansicht der ersten zehn Minuten: die Gespräche, die die Bytes bewegt haben, jede DNS-Frage und -Antwort, die HTTP-Anfragen im Klartext, die TLS-Servernamen und JA3-Fingerabdrücke sowie eine kurze Liste von Zugangsdaten, die unverschlüsselt über die Leitung gingen. Die Datei verlässt Ihr Gerät nie: Sie wird auf dieser Seite geparst, nicht hochgeladen, denn ein Mitschnitt ist ein Beweismittel, und Beweismittel postet man nicht auf fremde Server.

Oder legen Sie die Datei irgendwo in diesem Feld ab. Das Parsen geschieht in Blöcken mit Fortschrittsanzeige, damit ein mehrmegabytegroßer Mitschnitt die Registerkarte nicht einfriert.

Wozu die ersten zehn Minuten da sind

Ein Mitschnitt wird meist in Eile aufgenommen — etwas ist langsam, etwas spricht mit dem falschen Ort, etwas ist verdächtig — und unter Druck geöffnet. Die Reihenfolge der Fragen zählt mehr als jede einzelne Antwort. Beginnen Sie mit den Gesprächen: Nach Bytes sortiert sagen sie, wer das Netz in diesem Fenster wirklich genutzt hat, und die Überraschung ist meist sofort sichtbar — eine Arbeitsstation in einem langen Gespräch mit einer Adresse, die niemand kennt, ein Server, der weit mehr hoch- als herunterlädt, ein Protokoll, das überhaupt nicht da sein sollte. Dann DNS, denn Namen sind Absicht: Die Anfragen eines Hosts sind das Nächste, was ein Mitschnitt an einer Browserverlauf dessen hat, was er zu erreichen versuchte, und die Antworten heften diese Namen an die Adressen zum Zeitpunkt des Mitschnitts, nicht an das, was DNS heute auflöst. Dann die TLS-Metadaten: Verschlüsselung verbirgt den Inhalt, nicht die Existenz — die SNI-Namen und JA3-Fingerabdrücke sagen immer noch, welche Dienste kontaktiert wurden und welche Art von Clientsoftware die Verbindung hergestellt hat. Zuletzt die Klartext-Überraschungen: die HTTP-Anfragen und die Zugangsdaten-Warnungen, denn 2026 ist jedes Passwort, das für einen passiven Beobachter lesbar ein Netz überquert, für sich ein Vorfall, was immer die ursprüngliche Frage war. Der Begleitartikel, die ersten zehn Minuten mit einem Paketmitschnitt, führt diese Reihenfolge als Arbeitsablauf aus, einschließlich der Frage, wann man mit dem Sichten aufhört und stattdessen Wireshark öffnet.

Drei ehrliche Grenzen bestimmen, was diese Seite behauptet. Sie setzt TCP-Ströme nicht wieder zusammen — sie liest Pakete einzeln und fasst sie zu Flüssen zusammen, sodass eine HTTP-Anfrage oder ein ClientHello, die der Mitschnitt auf Segmente verteilt hat, übersehen werden können; auf einem Host (statt an einem Tap) aufgenommene Mitschnitte zeigen außerdem Artefakte der Segmentierungs-Offload, ein Vorbehalt, den der Artikel erklärt. Sie entschlüsselt nichts: Es gibt bewusst keine Stelle, um ein Schlüsselprotokoll einzufügen, denn Schlüsselprotokolle gehören zu den sensibelsten Dateien, die es gibt, und sie gehören nicht auf eine Webseite. Und ihre Zugangsdatenliste ist ein Satz erkannter Muster, keine Prüfung — das Fehlen einer Warnung ist kein Beweis für Abwesenheit. Wofür sie garantiert, ist die Richtung des Datenflusses: Ihr Mitschnitt wird von Code gelesen, der in Ihrer Browser-Registerkarte läuft, und wird nie hochgeladen, protokolliert oder geteilt, sodass die Sichtung selbst nicht zum Leck werden kann. Für Mitschnitte, die auf einem Live-Server beginnen, zeigt der Portscanner, was der Host preisgibt, und der E-Mail-Header-Analysator deckt die andere Datei ab, die während eines Vorfalls eintrifft — die verdächtige Nachricht selbst.

Häufig gestellte Fragen

Wohin geht meine Mitschnittdatei?

Nirgendwohin. Die Datei wird auf dieser Seite, auf Ihrem Gerät, gelesen und geparst, und nichts wird hochgeladen, übertragen oder gespeichert — die Seite macht keine Netzwerkanfrage, wenn sie eine Datei analysiert. Das ist bewusste Gestaltung, denn ein Paketmitschnitt ist eine der sensibelsten Dateien in einem Netz: Er enthält interne Adressen, Hostnamen und — in Klartextprotokollen — wörtliche Zugangsdaten. Er funktioniert nach dem Laden der Seite auch offline, und dort wird ein Mitschnitt ohnehin meist gelesen: auf dem Rechner, der ihn aufgenommen hat, oft während eines Vorfalls.

Welche Mitschnittformate und Verbindungstypen werden unterstützt?

Klassisches PCAP in beiden Byteordnungen, mit Mikrosekunden- oder Nanosekunden-Zeitstempeln, und PCAPNG — Abschnitts-, Schnittstellen-, erweiterte und einfache Paketblöcke sowie Namensauflösungsblöcke, deren aufgezeichnete Namen in der Zusammenfassung erscheinen. Verbindungstypen: Ethernet (einschließlich VLAN-markierter Frames), rohes IP, BSD-Loopback sowie Linux cooked SLL und SLL2. Dekodiert werden IPv4 und IPv6, TCP, UDP und ICMP. Andere Verbindungstypen werden in der Protokollmischung gezählt, aber nicht dekodiert, und die Zusammenfassung sagt das, statt zu schweigen.

Was kann er nicht?

Drei Grenzen, klar ausgesprochen. Er setzt TCP-Ströme nicht wieder zusammen — die Analyse ist pro Paket plus Flussaggregation, sodass ein ClientHello oder eine HTTP-Anfrage, die auf Segmente verteilt wurde, übersehen werden kann. Er kann nichts entschlüsseln: TLS und anderer verschlüsselter Verkehr liefern nur Metadaten (Servername, ALPN, JA3), nie Inhalt. Und seine Zugangsdaten-Funde sind Sichtungen, kein Gesundheitszeugnis — er markiert die Klartextmuster, die er erkennt (HTTP Basic, FTP, SMTP AUTH, POP3, IMAP, Telnet), und das Fehlen einer Markierung beweist nichts über Protokolle, die er nicht prüft. Für die tiefe Arbeit — Strömen folgen, Protokoll-Dissektoren, Entschlüsselung mit Schlüsselprotokollen — verwenden Sie Wireshark; diese Seite sind die ersten zehn Minuten, nicht die ganze Untersuchung. Der Begleitartikel, die ersten zehn Minuten mit einem Paketmitschnitt, legt diese Sichtungsreihenfolge dar.

Was ist der JA3-Fingerabdruck, der für TLS-Verbindungen angezeigt wird?

JA3 ist eine Standardmethode, um einen TLS-Client aus seinem ClientHello zu fingerprinten: TLS-Version, Cipher-Suiten, Erweiterungen, elliptische Kurven und Punktformate, der Reihe nach als Dezimalzahlen aufgeführt (mit entfernten GREASE-Werten), zu einer Zeichenkette verbunden und mit MD5 gehasht. Zwei Clients mit derselben Bibliothek und denselben Einstellungen erzeugen dasselbe JA3; ein Scanner oder eine Malware-Familie hat oft ein charakteristisches. Er identifiziert die Gewohnheiten der Clientsoftware, nicht den Benutzer, und er ändert sich, wenn Bibliotheken aktualisiert werden — behandeln Sie ihn als Gruppierungshinweis, nicht als Identität.

Wie groß darf ein Mitschnitt sein, den ich öffne?

Dateien bis 25 MB. Diese Obergrenze ist bewusst: Die ganze Datei plus die Analysestrukturen leben im Speicher Ihrer Registerkarte, und ein Desktop-Browser bewältigt das bequem, ein Telefon dagegen vielleicht nicht. In Tests wurde ein 10-MB-Mitschnitt mit rund 90.000 Paketen in etwa einer Sekunde geparst. Für Größeres filtern Sie zuerst bei der Aufnahme oder mit editcap/tcpdump auf Ihrem eigenen Rechner — tcpdump -r big.pcap -w slice.pcap host 203.0.113.10 — und bringen Sie den Ausschnitt hierher.