Was ist tcpdump?

tcpdump ist ein freies Kommandozeilenprogramm zur Überwachung und Analyse von Netzwerkverkehr.
Es wurde ursprünglich von Van Jacobson, Craig Leres und Steven McCanne entwickelt und ist heute auf fast allen Unix-Derivaten verfügbar – darunter Linux, BSD, Solaris und AIX.
Für Windows existiert eine Portierung unter dem Namen WinDump.
In vielen Linux-Distributionen ist tcpdump standardmäßig installiert oder über die Paketverwaltung verfügbar.

Funktionsweise

Tcpdump liest Netzwerkpakete direkt von der Netzwerkkarte und gibt sie in textbasierter Form auf der Konsole aus oder speichert sie in einer Datei.
Mit Hilfe von Filtern lassen sich gezielt nur bestimmte Pakete (z. B. ICMP, DNS, HTTP) anzeigen oder aufzeichnen.
Über den sogenannten Promiscuous Mode kann tcpdump auch Pakete mitlesen, die nicht direkt an den Host adressiert sind (sofern das Interface dies unterstützt).
Die Filterlogik basiert auf der Berkeley Packet Filter (BPF) Syntax, die sehr effizient ist und direkt auf Kernel-Ebene arbeitet.

tcpdump ist ein wichtiges Werkzeug für Systemadministratoren, Netzwerktechniker und IT-Sicherheitsanalysten.
Typische Anwendungsfälle:
- Fehlersuche bei Verbindungsproblemen (z. B. „Host unreachable“ oder „DNS antwortet nicht“)
- Überprüfung, ob Dienste wie SSH oder HTTP überhaupt erreichbar sind
- Analyse von nicht verschlüsseltem Datenverkehr – etwa bei der Auswertung einfacher Protokolle oder zur Erkennung von Klartextpasswörtern
- Nachvollziehen, welche Ziele ein Host kontaktiert (z. B. in Incident Response Szenarien)

Weil tcpdump direkten Zugriff auf Netzwerkgeräte benötigt, sind in der Regel Root-Rechte erforderlich.
Auf Systemen mit fein abgestufter Rechtevergabe (z. B. über ACLs oder Gruppen) kann der Zugriff auch ohne root erfolgen.
Der Einsatz im Promiscuous Mode kann sicherheitsrelevant sein, da er theoretisch das Mithören fremder Verbindungen ermöglicht – z. B. in ungeswitchten Netzen oder bei ARP-Spoofing.

tcpdump kann Netzwerkdaten auch in Dateien speichern (`.pcap`), die später mit grafischen Tools wie Wireshark analysiert werden können.
Das ist besonders sinnvoll, wenn man in Echtzeit nicht alles überblickt oder den Mitschnitt an Dritte (z. B. Support, Security-Team) weitergeben will.

tcpdump ist ein äußerst leistungsfähiges und schnelles Tool zur Analyse von Netzwerkverkehr – sowohl für einfache Tests als auch für tiefgehende forensische Untersuchungen.
Wer seine Filter beherrscht, kann mit tcpdump in Sekunden erkennen, wo ein Problem liegt – oder was sich im Netzwerk tatsächlich abspielt.