Wie leert man den ARP-Cache unter Windows?

ARP, das Address Resolution Protocol, ist der Weg, wie Ihr PC die physische Hardware-(MAC-)Adresse eines Geräts findet, obwohl er nur seine IP-Adresse im lokalen Netzwerk kennt. Windows speichert die Antworten in einer Live-Tabelle, dem ARP-Cache, sodass es nicht für jedes Paket erneut fragen muss. Sie können es jederzeit selbst sehen, indem Sie eine Eingabeaufforderung öffnen und tippen arp -a.

Jeder Eintrag koppelt eine IP-Adresse mit der MAC-Adresse eines Geräts, mit dem Sie tatsächlich Datenverkehr ausgetauscht haben, Ihrem Router, einem Drucker, einem anderen Computer, einem Telefon, allem, was dasselbe Netzwerksegment teilt. Das ist der Datenschutzaspekt: Im Gegensatz zu Amcache oder UserAssist zeigt der ARP-Cache nicht an, was Sie ausgeführt haben, sondern welche Geräte Sie in der Nähe waren und mit denen Sie in einem bestimmten Netzwerk kommuniziert haben. Das Löschen entfernt das Live-Snapshot.

Nicht lange, und genau das unterscheidet den ARP-Cache von den anderen Spuren, die PrivaZer beseitigt. Die Einträge sind entweder dynamisch (automatisch gelernt und von Windows selbstständig, typischerweise innerhalb weniger Minuten, ausgealtert) oder statisch (manuell konfiguriert und bis zum Entfernen persistent). Die gesamte Tabelle lebt ausschließlich im Kernel-Speicher, der vom TCP/IP-Stack-Treiber verwaltet wird (tcpip.sys), Ein einfacher Neustart löscht es komplett, es wird komplett neu aufgebaut, während Ihr PC wieder mit Geräten kommuniziert.

Ein verwandter Registrierungsschlüssel, HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters, steuert nur die Alterungstimer des Caches, er speichert die Einträge selbst nicht. Die tatsächlichen IP-zu-MAC-Zuordnungen berühren die Festplatte überhaupt nicht.

Da es nur kurzlebig ist und beim Neustart verschwindet, warum sollte man es überhaupt löschen? Denn während Ihr PC läuft, ist diese Tabelle eine lebendige, lesbare Momentaufnahme dessen, welche Geräte Sie kürzlich im Netzwerk erreicht haben. Das Löschen löscht dieses Bild sofort, anstatt darauf zu warten, dass einzelne Einträge von selbst ablaufen.

Im Gegensatz zu Amcache oder SRUM gibt es hier nichts über Programme, Hashes oder CPU-Zeit, ein ARP-Eintrag beschreibt nur einen Netzwerknachbaren. PrivaZer löscht diese Einträge, sodass das Live-Bild von den Geräten, mit denen Sie gesprochen haben, nicht für jeden mit Zugang zu Ihrem PC sichtbar ist.

Ja. PrivaZer erkennt und löscht den ARP-Cache im Rahmen eines Scans und kann ihn eigenständig anvisieren.

Da es sich um eine Live-In-Memory-Tabelle und nicht um eine Datei oder einen Registry-Hive handelt, gibt es keine Sperre, die man umgehen kann, und nichts, was für den nächsten Start geplant werden muss. PrivaZer spült die Einträge direkt durch die eigene Netzwerkschicht von Windows, der gleiche Effekt wie beim Ausführen arp -d * Für jeden aktiven Adapter. Ein Neustart ist nicht erforderlich.

Ja. Das Löschen berührt nicht Ihre Dateien, Ihre installierten Programme oder Ihre Netzwerkkonfiguration. Windows lernt einfach die Adresse eines Geräts beim nächsten Senden des Datenverkehrs erneut – in der Praxis eine einzelne zusätzliche Anfrage, die eine kaum merkliche Verzögerung verursacht. An Ihrer Netzwerkverbindung ist nichts unterbrochen.

Ja, oft innerhalb von Sekunden, und das ist zu erwarten. In dem Moment, in dem Ihr PC wieder ein Gerät erreichen muss, Ihren Router, ein gemeinsamer Drucker, ein anderer Computer, lernt er die Zuordnung neu und ein frischer Eintrag erscheint. Der ARP-Cache ist eine funktionierende Tabelle, kein historisches Protokoll; das Löschen gibt Ihnen in diesem Moment einen sauberen Blatt, kein dauerhaftes Fehlen von Einträgen.

Diese fünf zeichnen auf, welche Software auf Ihrem PC ausgeführt wurde, und die Daten bleiben wochenlang auf der Festplatte gespeichert. Der ARP-Cache zeichnet etwas ganz anderes auf: Welche Geräte in Ihrem lokalen Netzwerk Sie kürzlich Traffic ausgetauscht haben, und er existiert nur im Speicher, ist sofort verschwunden, sobald Sie neu starten. Wenn Sie einen vollständigen Datenschutzdurchlauf machen, ergänzt das Löschen des ARP-Caches diese Programmhistorie-Artefakte, anstatt sie zu duplizieren.

Für die Programmverlauf-Seite, siehe: Amcache, Shimcache, UserAssist, SRUM und MUI-Cache.