In Ruhe erklärt
Jede Verbindung beginnt mit einem kurzen Anmeldepaket, dem SYN. Das schickt nicht der Browser, sondern das Betriebssystem. Es enthält ein paar technische Angaben: wie viele Stationen das Paket noch überqueren darf, wie groß die Pakete höchstens sein sollen, wie viele Daten auf einmal unterwegs sein dürfen und welche Zusatzoptionen das System anbietet — in einer festen Reihenfolge.
Diese Angaben unterscheiden sich zwischen Windows, macOS, Linux und Android, und sie sind schwer zu verstellen. Werkzeuge wie p0f lesen daraus seit vielen Jahren das Betriebssystem ab, ohne dass die Gegenseite etwas davon merkt.
Aufschlussreich ist die Paketgröße. Ein Gerät im Heimnetz nennt meist 1460 Byte, den Wert für Ethernet und WLAN. Läuft der Anschluss über DSL, kürzt der Router ihn meist auf 1452 Byte, weil die Leitung acht Byte für ihre eigene Verpackung braucht. Ein VPN-Tunnel braucht noch mehr Platz, deshalb stehen dort oft kleinere, typische Werte. So lässt sich ein Tunnel manchmal erkennen, obwohl seine Adresse in keiner Liste steht.
Nennt die Browserkennung Windows, das erste Paket aber Linux, hat ein anderes Gerät die Verbindung aufgebaut: ein Proxy, ein VPN-Server oder ein Tor-Ausgang. HexWarte zeigt dir diese Angaben ohne Klick, weil sie ohnehin ankommen, und deutet sie nur dort, wo das Muster genau passt.