MAC-Spoofing.

MAC-Spoofing überschreibt die werkseitig gebrannte MAC-Adresse einer NIC mit einer vom Angreifer gewählten. In Netzen, die MAC-Filterung, Captive-Portal-Allowlists oder Lizenzen anhand der Hardware-Adresse verwenden, genügt das für unautorisierten Zugriff. Es dient außerdem dazu, Gerätekontingente in öffentlichem WLAN zu umgehen, Deauth-Abwehr auszuhebeln oder DHCP-Leases in schlecht segmentierten Netzen zu kapern. Schutzmaßnahmen sind 802.1X, NAC-Posture-Prüfungen, Dynamic ARP Inspection mit DHCP-Snooping und vor allem der Verzicht darauf, die MAC-Adresse als Authentifizierungsmerkmal zu nutzen.

Technisch ist die Änderung trivial: Eine MAC-Adresse wird von den Gegenstellen nie überprüft, sodass ip link set dev eth0 address, macchanger oder ein Registry-Schlüssel des Treibers den Wert überschreibt, den die NIC in jedem Ethernet- oder 802.11-Frame ankündigt. Da die ersten 24 Bit die vom IEEE vergebene OUI (Organizationally Unique Identifier) bilden, klonen Angreifer oft ein echtes Herstellerpräfix, um unauffällig zu bleiben. Das Abwehrbild verschob sich, als Datenschutzfunktionen MAC-Spoofing zum Alltag machten: iOS 14 (2020) und Android 10 begannen, pro SSID randomisierte MACs auszusenden, um passives Standort-Tracking zu unterbinden, und Windows 10 bietet dasselbe. Das machte MAC-basierte Geräte-Allowlists branchenweit unbrauchbar und trieb Unternehmen zu zertifikatsbasiertem 802.1X/EAP-TLS und MACsec (IEEE 802.1AE) für die Identität auf Sicherungsschicht-Ebene. Für sich genommen setzt sich eine gefälschte MAC nur dort durch, wo das Netz der Schicht 2 fälschlich vertraut; gegen kryptografische Authentifizierung richtet sie nichts aus.

flowchart TD
  A[Angreifergerät] --> B[MAC eines vertrauenswürdigen Geräts auslesen]
  B --> C[NIC-Adresse setzen: macchanger / ip link]
  C --> D[NIC kündigt geklonte MAC in Frames an]
  D --> E{Vertraut das Netz der Schicht 2?}
  E -- MAC-Filter / Captive Portal --> F[Zugriff gewährt - umgangen]
  E -- 802.1X / EAP-TLS / MACsec --> G[Abgelehnt - Zertifikat erforderlich]