Ein Missverständnis, das sich hartnäckig hält

Immer wieder liest man Sätze wie „ich habe die MAC-Adresse, jetzt weiß ich, wer dahintersteckt". Das stimmt so nicht. Eine MAC-Adresse verrät ausschließlich den Hersteller der Netzwerkkarte, nicht das genaue Gerätemodell, nicht den Besitzer und schon gar nicht den Standort. Wer 3C:07:54:12:34:56 nachschlägt, erfährt „Apple, Inc." und sonst nichts. Ob dahinter ein aktuelles iPhone, ein zehn Jahre alter MacBook oder ein AirPort-Router steckt, lässt sich aus der Adresse allein nicht ableiten.

Aufbau: 48 Bit, sechs Blöcke, zwei Hälften

Jede Netzwerkschnittstelle, ob Ethernet, WLAN, Bluetooth oder Thunderbolt, trägt eine 48 Bit lange Kennung, notiert als sechs Hex-Blöcke: AA:BB:CC:DD:EE:FF. Windows zeigt sie gern mit Bindestrichen (AA-BB-CC-DD-EE-FF), Cisco-Geräte im eigenen Punktformat (AABB.CCDD.EEFF). Technisch ist das dieselbe Zahl, nur anders geschrieben.

Die ersten drei Bytes bilden die OUI, den Organizationally Unique Identifier, vergeben von der IEEE an Hardware-Hersteller. Die übrigen drei Bytes bestimmt der Hersteller selbst, meist fortlaufend pro Fertigungscharge. Ein Lookup vergleicht nur diese ersten sechs Hex-Zeichen mit der öffentlichen IEEE-Datenbank.

Beispiele aus der Datenbank

00:1A:11:xx:xx:xx gehört Google, Inc.
3C:07:54:xx:xx:xx gehört Apple, Inc.
FC:FB:FB:xx:xx:xx gehört Cisco Systems.
08:00:27:xx:xx:xx ist eine von Oracle VirtualBox vergebene Adresse für virtuelle Netzwerkkarten.

Zwei Bits, die oft übersehen werden

Im ersten Byte stecken zwei Flags, die für die Interpretation wichtig sind:

I/G-Bit: 0 heißt Unicast, adressiert also ein einzelnes Gerät. 1 heißt Multicast oder Broadcast.
U/L-Bit: 0 steht für eine von der IEEE vergebene, global eindeutige Adresse. 1 zeigt eine lokal erzeugte Adresse an, wie sie viele Smartphones seit einigen Jahren pro WLAN-Netz neu würfeln (Stichwort „Private MAC Address").

Wofür der Lookup in der Praxis taugt

Unbekannte Geräte im Router zuordnen: Taucht in der Geräteliste ein Eintrag mit Hersteller „Amazon" auf, ist das vermutlich ein Echo und kein Fremdzugriff.
Virtuelle Maschinen erkennen: OUIs wie 00:0C:29 (VMware) oder 00:15:5D (Hyper-V) verraten, dass keine physische Hardware dahintersteckt.
Netzwerkdokumentation: Eine Geräteliste mit Herstellerangabe liest sich deutlich schneller als eine reine MAC-Tabelle.
Erster Anhaltspunkt bei Vorfällen: In der Log-Analyse hilft die OUI, ein unbekanntes Gerät grob einzuordnen, bevor weitere Schritte folgen.

Grenzen, die man kennen sollte

Hier schließt sich der Kreis zum eingangs genannten Irrtum: Ein Lookup kann keine Person identifizieren, keinen Standort bestimmen, und bei randomisierten Adressen (siehe U/L-Bit oben) nicht einmal zuverlässig den echten Hersteller nennen. Für Geolocation oder Personenidentifikation ist die MAC-Adresse schlicht das falsche Werkzeug, so hartnäckig sich der gegenteilige Eindruck in Foren auch hält.

Unterstützte Eingabeformate

Das Tool erkennt automatisch:

AA:BB:CC:DD:EE:FF (Unix-Stil)
AA-BB-CC-DD-EE-FF (Windows-Stil)
AABB.CCDD.EEFF (Cisco-Stil)
AABBCCDDEEFF (ohne Trennzeichen)

Datenschutz

Der Abgleich läuft gegen eine lokale Kopie der öffentlichen IEEE-OUI-Datenbank. Eingegebene Adressen werden nicht geloggt und nicht an Dritte weitergegeben.

Häufig gestellte Fragen zum MAC-Lookup

Kann ich mit einer MAC-Adresse herausfinden, wo sich ein Gerät befindet?

Nein. Die Adresse identifiziert den Hersteller der Netzwerkkarte, nicht den Standort. Für eine Ortung wären ganz andere Datenquellen nötig, etwa GPS oder WLAN-Standortdatenbanken, auf die dieses Tool keinen Zugriff hat.

Warum zeigt mein iPhone oder Android-Gerät jedes Mal eine andere MAC-Adresse?

Moderne Smartphones vergeben pro WLAN-Netz eine neue, lokal verwaltete Adresse (Private MAC), um Tracking über Netzwerke hinweg zu erschweren. Ein Lookup ergibt dann häufig „nicht zugewiesen".

Kann man eine MAC-Adresse fälschen?

Ja, per Software ist MAC-Spoofing möglich, unter Linux zum Beispiel mit ip link set dev eth0 address XX:XX:XX:XX:XX:XX. Die im Chip eingebrannte Werksadresse bleibt davon unberührt, nur die vom System gemeldete Adresse ändert sich.

Gibt es eine Datenbank, die eine MAC-Adresse einem konkreten Gerät zuordnet?

Nein. Öffentlich einsehbar sind nur die OUI-Präfixe in der IEEE-Registrierungsdatenbank. Welches konkrete Gerät welche Adresse trägt, ist nirgends zentral dokumentiert.

Was tun, wenn mein Router „Unknown Vendor" anzeigt?

Das passiert bei randomisierten Adressen, veralteten Datenbanken oder sehr neu registrierten OUIs. Prüfen Sie die OUI zur Sicherheit direkt bei der IEEE oder nutzen Sie zusätzlich den DHCP-Hostnamen zur Identifikation.