Wie leert man den ARP-Cache unter Windows?

ARP, das Address Resolution Protocol, ist der Weg, wie dein PC die physische Hardware-(MAC-)Adresse eines Geräts findet, obwohl er nur seine IP-Adresse im lokalen Netzwerk kennt. Windows speichert die Antworten in einer Live-Tabelle, dem ARP-Cache, sodass es nicht für jedes Paket erneut fragen muss. Du kannst es jederzeit selbst sehen, indem du eine Eingabeaufforderung öffnest und tippst arp -a.

Jeder Eintrag koppelt eine IP-Adresse mit der MAC-Adresse eines Geräts, mit dem Sie tatsächlich Datenverkehr ausgetauscht haben, Ihrem Router, einem Drucker, einem anderen Computer, einem Telefon, allem, was dasselbe Netzwerksegment teilt. Das ist der Datenschutzaspekt: Im Gegensatz zu Amcache oder UserAssist zeigt der ARP-Cache nicht an, was du ausgeführt hast, sondern welche Geräte du in der Nähe warst und mit denen du in einem bestimmten Netzwerk kommuniziert hast. Das Löschen entfernt das Live-Snapshot.

Nicht lange, und genau das unterscheidet den ARP-Cache von den anderen Spuren, die PrivaZer beseitigt. Die Einträge sind entweder dynamisch (automatisch gelernt und von Windows selbstständig, typischerweise innerhalb weniger Minuten, ausgealtert) oder statisch (manuell konfiguriert und bis zum Entfernen persistent). Die gesamte Tabelle lebt ausschließlich im Kernel-Speicher, der vom TCP/IP-Stack-Treiber verwaltet wird (tcpip.sys), Ein einfacher Neustart löscht es komplett, es wird komplett neu aufgebaut, während dein PC wieder mit Geräten kommuniziert.

Ein verwandter Registrierungsschlüssel, HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters, Steuert nur die Alterungstimer des Caches, er speichert die Einträge selbst nicht. Die tatsächlichen IP-zu-MAC-Zuordnungen berühren die Festplatte überhaupt nicht.

Da es nur kurzlebig ist und beim Neustart verschwindet, warum sollte man es überhaupt löschen? Denn während dein PC läuft, ist diese Tabelle eine lebendige, lesbare Momentaufnahme dessen, welche Geräte du kürzlich im Netzwerk erreicht hast. Das Löschen löscht dieses Bild sofort, anstatt darauf zu warten, dass einzelne Einträge von selbst ablaufen.

Im Gegensatz zu Amcache oder SRUM gibt es hier nichts über Programme, Hashes oder CPU-Zeit, ein ARP-Eintrag beschreibt nur einen Netzwerknachbaren. PrivaZer löscht diese Einträge, sodass das Live-Bild von den Geräten, mit denen du gesprochen hast, nicht für jeden mit Zugang zu deinem PC sichtbar ist.

Ja. PrivaZer erkennt und löscht den ARP-Cache im Rahmen eines Scans und kann ihn eigenständig anvisieren.

Da es sich um eine Live-In-Memory-Tabelle und nicht um eine Datei oder einen Registry-Hive handelt, gibt es keine Sperre, die man umgehen kann, und nichts, was für den nächsten Start geplant werden muss. PrivaZer spült die Einträge direkt durch die eigene Netzwerkschicht von Windows, der gleiche Effekt wie beim Ausführen arp -d * Für jeden aktiven Adapter. Ein Neustart ist nicht erforderlich.

Ja. Das Löschen berührt nicht deine Dateien, deine installierten Programme oder deine Netzwerkkonfiguration. Windows lernt einfach die Adresse eines Geräts beim nächsten Senden des Datenverkehrs erneut – in der Praxis eine einzelne zusätzliche Anfrage, die eine kaum merkliche Verzögerung verursacht. An deiner Netzwerkverbindung ist nichts unterbrochen.

Ja, oft innerhalb von Sekunden, und das ist zu erwarten. In dem Moment, in dem dein PC wieder ein Gerät erreichen muss, deinen Router, ein gemeinsamer Drucker, ein anderer Computer, lernt er die Zuordnung neu und ein frischer Eintrag erscheint. Der ARP-Cache ist eine funktionierende Tabelle, kein historisches Protokoll; das Löschen gibt dir in diesem Moment einen sauberen Blatt, kein dauerhaftes Fehlen von Einträgen.

Diese fünf zeichnen auf, welche Software auf deinem PC ausgeführt wurde, und die Daten bleiben wochenlang auf der Festplatte gespeichert. Der ARP-Cache zeichnet etwas ganz anderes auf: Welche Geräte in deinem lokalen Netzwerk du kürzlich Traffic ausgetauscht hast, und er existiert nur im Speicher, ist sofort verschwunden, sobald du neu startest. Wenn du einen vollständigen Datenschutzdurchlauf machst, ergänzt das Löschen des ARP-Caches diese Programmhistorie-Artefakte, anstatt sie zu duplizieren.

Für die Programmgeschichte siehe Siehe: Amcache, Shimcache, UserAssist, SRUM und MUI-Cache.