Lokal & kontrolliert
BEGRIFF

Verbindungsaufbau (TCP-Fingerabdruck)

Was schon das allererste Paket einer Verbindung über dein Betriebssystem und deinen Anschluss verrät — bevor irgendeine Seite geladen ist.

Auch bekannt als: TCP/IP-Fingerabdruck, SYN-Paket, Paketgröße (MSS)

In Ruhe erklärt

Jede Verbindung beginnt mit einem kurzen Anmeldepaket, dem SYN. Das schickt nicht der Browser, sondern das Betriebssystem. Es enthält ein paar technische Angaben: wie viele Stationen das Paket noch überqueren darf, wie groß die Pakete höchstens sein sollen, wie viele Daten auf einmal unterwegs sein dürfen und welche Zusatzoptionen das System anbietet — in einer festen Reihenfolge.

Diese Angaben unterscheiden sich zwischen Windows, macOS, Linux und Android, und sie sind schwer zu verstellen. Werkzeuge wie p0f lesen daraus seit vielen Jahren das Betriebssystem ab, ohne dass die Gegenseite etwas davon merkt.

Aufschlussreich ist die Paketgröße. Ein Gerät im Heimnetz nennt meist 1460 Byte, den Wert für Ethernet und WLAN. Läuft der Anschluss über DSL, kürzt der Router ihn meist auf 1452 Byte, weil die Leitung acht Byte für ihre eigene Verpackung braucht. Ein VPN-Tunnel braucht noch mehr Platz, deshalb stehen dort oft kleinere, typische Werte. So lässt sich ein Tunnel manchmal erkennen, obwohl seine Adresse in keiner Liste steht.

Nennt die Browserkennung Windows, das erste Paket aber Linux, hat ein anderes Gerät die Verbindung aufgebaut: ein Proxy, ein VPN-Server oder ein Tor-Ausgang. HexWarte zeigt dir diese Angaben ohne Klick, weil sie ohnehin ankommen, und deutet sie nur dort, wo das Muster genau passt.

Warum das zählt

Hier wird sichtbar, dass auch unterhalb des Browsers Spuren entstehen. Keine Browsereinstellung ändert dieses Paket — ähnlich wie beim JA4 und JA3.

Was es nicht bedeutet

Die häufigsten Irrtümer — auch auf seriösen Seiten.
  • Eine kleinere Paketgröße beweist kein VPN. Auch manche Mobilfunk- und Firmennetze kürzen sie. Deshalb heißt es „Hinweis“, nie „Beleg“.
  • Das Paket beschreibt das System, das die Verbindung aufgebaut hat. Über Tor oder Private Relay ist das der Ausgang, nicht dein Gerät.
  • Den Zeitstempel im Paket liest HexWarte bewusst nicht aus: Bei manchen Systemen verrät sein Wert, wie lange das Gerät schon läuft.