ARP einfach erklärt: von der IP- zur MAC-Adresse

ARP (Address Resolution Protocol) übersetzt eine bekannte IP-Adresse in die zugehörige MAC-Adresse, damit zwei Geräte im selben lokalen Netz Daten austauschen können. Der Ablauf in einem Satz: Ein Gerät fragt per Broadcast „Wem gehört 192.168.1.1?“, der richtige Empfänger antwortet per Unicast mit seiner MAC-Adresse, und das Ergebnis landet im ARP-Cache. So findet jedes Ethernet-Frame sein physisches Ziel im Netzwerk.

Warum das Netzwerk ARP überhaupt braucht

Im Netzwerk existieren zwei Adress-Welten parallel. Die IP-Adresse (z. B. 192.168.1.20) ist eine logische Adresse auf Schicht 3 des OSI-Modells – sie lässt sich frei vergeben und über Router hinweg weiterleiten. Die MAC-Adresse (z. B. 00:1B:44:11:3A:B7) ist dagegen fest in die Netzwerkkarte gebrannt und arbeitet auf Schicht 2, der Sicherungsschicht.

Ein Switch im lokalen Netz kennt nur MAC-Adressen – mit einer IP kann er nichts anfangen. Will dein PC also ein Paket an 192.168.1.20 schicken, muss er zuerst herausfinden, hinter welcher MAC-Adresse diese IP steckt. Genau diese Lücke schließt ARP. Das Protokoll wurde bereits 1982 in RFC 826 festgelegt und ist bis heute die Brücke zwischen logischer und physischer Adressierung im IPv4-Netz.

Ein Klassiker in der Fachinformatiker-Prüfung ist die Einordnung: ARP sitzt zwischen Schicht 2 und Schicht 3 und wird deshalb oft als „Layer-2,5-Protokoll“ beschrieben.

Wie ARP Schritt für Schritt funktioniert

Der komplette Vorgang läuft für dich unsichtbar in Sekundenbruchteilen ab. Wenn du ihn einmal durchgespielt hast, verstehst du auch, warum ein falsch gesetzter Cache-Eintrag die Verbindung lahmlegt.

1. Cache prüfen: Zuerst schaut der Sender in seinen eigenen ARP-Cache – eine kleine Tabelle mit bereits bekannten IP-zu-MAC-Zuordnungen. Steht die IP dort, ist ARP fertig, bevor es angefangen hat.
2. ARP-Request als Broadcast: Fehlt der Eintrag, sendet der PC eine Anfrage an alle Geräte im Segment. Die Ziel-MAC lautet FF:FF:FF:FF:FF:FF (Broadcast) und die Frage sinngemäß: „Wer hat 192.168.1.20? Sag mir deine MAC-Adresse.“
3. ARP-Reply als Unicast: Jedes Gerät empfängt den Broadcast, aber nur der Besitzer der gesuchten IP antwortet – und zwar direkt (Unicast) an den Fragesteller mit seiner MAC-Adresse.
4. Cache aktualisieren: Der Sender trägt die Zuordnung mit Zeitstempel in seinen ARP-Cache ein. Dynamische Einträge verfallen nach wenigen Minuten wieder, wenn sie nicht erneut gebraucht werden.
5. Direkt senden: Ab jetzt geht der eigentliche Datenverkehr ohne erneuten Broadcast direkt an die richtige MAC-Adresse.

Wichtiger Sonderfall: Liegt das Ziel in einem anderen Subnetz, fragt dein PC nicht nach der MAC des Zielrechners, sondern nach der MAC des Standardgateways (Routers). Das Paket geht dann an den Router, der es weiterleitet. Deshalb taucht die Gateway-MAC in fast jedem ARP-Cache auf.

Den ARP-Cache anzeigen und leeren

Du musst ARP nicht glauben – du kannst dir die Tabelle direkt ansehen. Das ist auch der erste Griff, wenn eine Verbindung im LAN klemmt, obwohl Ping und Kabel stimmen.

Unter Windows zeigst du den Cache mit:

arp -a

Die Ausgabe listet je Schnittstelle die bekannten IP-Adressen, die zugehörige MAC (als „Physische Adresse“) und den Typ – dynamisch für automatisch gelernte, statisch für fest gesetzte Einträge.

Unter modernem Linux ist das Werkzeug der Wahl:

ip neigh show

Der ältere Befehl arp -n funktioniert oft noch, gilt aber als überholt. Zum Leeren des Caches nutzt du unter Linux ip neigh flush all. Unter Windows löscht arp -d * in einer als Administrator gestarteten Eingabeaufforderung alle dynamischen Einträge – danach lernt das System die Zuordnungen beim nächsten Zugriff neu.

Gratuitous ARP: die unaufgeforderte Ansage

Manchmal verschickt ein Gerät ein ARP-Paket, ohne dass jemand gefragt hat – das nennt man Gratuitous ARP (etwa „grundloses ARP“). Ein Gerät gibt damit seine eigene IP-zu-MAC-Zuordnung ins Netz bekannt. Das hat zwei sinnvolle Zwecke: Erstens die Erkennung von IP-Konflikten – meldet sich ein anderer Host mit derselben IP, weiß das System sofort Bescheid. Zweitens das Aktualisieren fremder Caches, etwa wenn bei einem Failover eine IP auf eine neue Netzwerkkarte umzieht.

Warum IPv6 kein ARP mehr nutzt

ARP ist reine IPv4-Technik. In IPv6-Netzen gibt es keine Broadcasts mehr, deshalb übernimmt dort das Neighbor Discovery Protocol (NDP) die Adressauflösung. Statt eines Broadcast-Requests verschickt ein Gerät eine Neighbor Solicitation als Multicast (per ICMPv6), und der Adressat antwortet mit einem Neighbor Advertisement. Das Grundprinzip – logische Adresse in physische Adresse übersetzen – bleibt gleich, nur der Mechanismus ist moderner und zielgerichteter.

ARP-Spoofing: die eingebaute Schwäche und dein Schutz

ARP hat eine gefährliche Eigenschaft: Es prüft Antworten nicht. Ein Gerät glaubt jedem ARP-Reply, auch einem gefälschten. Beim ARP-Spoofing (auch ARP-Poisoning) schickt ein Angreifer im selben Netz manipulierte Replies und behauptet, seine MAC gehöre zur IP des Standardgateways. Danach fließt der Datenverkehr der Opfer über den Angreifer – die klassische Man-in-the-Middle-Position.

Schützen kannst du dich mit defensiven Mitteln:

• Statische ARP-Einträge für besonders kritische Adressen wie das Gateway: Eine fest hinterlegte Zuordnung lässt sich per gefälschtem Reply nicht überschreiben.
• Dynamic ARP Inspection (DAI) auf verwalteten Switches: Der Switch verwirft ARP-Pakete, deren IP-zu-MAC-Zuordnung nicht zu einer vertrauenswürdigen Tabelle passt.
• Monitoring: Taucht plötzlich für zwei IP-Adressen dieselbe MAC im Cache auf, ist das ein deutliches Warnsignal.

Der defensive Blick lohnt sich gerade für die Prüfung: ARP-Spoofing ist das Standardbeispiel dafür, warum ein simples, vertrauensseliges Protokoll aus den 1980ern in einem modernen Netz zusätzliche Absicherung braucht.

Häufige Fragen

Auf welcher OSI-Schicht arbeitet ARP?

ARP vermittelt zwischen Schicht 3 (IP-Adresse) und Schicht 2 (MAC-Adresse) und wird deshalb oft als Layer-2,5-Protokoll bezeichnet. Es übersetzt die logische IP-Adresse in die physische MAC-Adresse der Netzwerkkarte.

Was ist der Unterschied zwischen ARP-Request und ARP-Reply?

Der ARP-Request ist ein Broadcast an alle Geräte im Netz mit der Frage, wem eine bestimmte IP-Adresse gehört. Der ARP-Reply ist die Unicast-Antwort des richtigen Geräts, das seine eigene MAC-Adresse zurückmeldet.

Warum nutzt IPv6 kein ARP mehr?

IPv6 kennt keine Broadcasts, auf denen ARP basiert. Stattdessen löst das Neighbor Discovery Protocol (NDP) über ICMPv6 und Multicast die Adressen auf – mit Neighbor Solicitation und Neighbor Advertisement statt Request und Reply.

Wie zeige ich den ARP-Cache an?

Unter Windows nutzt du den Befehl arp -a, unter modernem Linux ip neigh show. Beide listen die bekannten IP-zu-MAC-Zuordnungen sowie den Typ (dynamisch oder statisch) je Netzwerkschnittstelle auf.

Was ist ARP-Spoofing?

Beim ARP-Spoofing sendet ein Angreifer gefälschte ARP-Replies und gibt seine MAC-Adresse als die des Gateways aus. Der Datenverkehr läuft dann über ihn (Man-in-the-Middle). Statische ARP-Einträge und Dynamic ARP Inspection schützen davor.