Wohin sendet mein Mac Daten? So findest du es heraus
Ein Rechner, an dem niemand sitzt, baut in zehn Minuten dutzende Verbindungen auf. Wie du herausfindest, welches Programm wohin funkt — mit Bordmitteln und mit einem Werkzeug, das die Zuordnung offline macht.
Stell den Rechner auf den Tisch, schließ alle Fenster, fass nichts an. Nach zehn Minuten hat er, je nach installierter Software, mehrere Dutzend ausgehende Verbindungen aufgebaut. Kein Fehler, kein Angriff — der Normalzustand.
Die Frage ist nur: welches Programm spricht wohin?
Was die Bordmittel können
macOS bringt zwei brauchbare Werkzeuge mit, und beide beantworten die halbe Frage.
lsof -i -P -n | grep ESTABLISHED
nettop -P -l 1lsof nennt Prozess, PID und Gegenstelle. nettop zeigt, wie viel gerade fließt, pro Prozess. Was beide nicht sagen: wem 104.18.32.7 gehört, in welchem Land der Server steht und ob dieses Ziel ein Analytics-Dienst ist.
Genau dort hört die eingebaute Sicht auf. Der Aktivitätsmonitor zeigt Byte-Summen, keine Ziele.
Die vier Gruppen, in die fast jede Verbindung fällt
- Betriebssystem-Dienste. Zeitabgleich, Zertifikatssperrlisten (OCSP), Push, Softwareupdate.
- Updater installierter Programme. Jeder Browser, jede Kreativsoftware, jedes Entwicklerwerkzeug bringt einen mit.
- Telemetrie. Absturzberichte, Nutzungsstatistiken, Feature-Flags.
- Der Rest. Alles, was in keine der drei passt — und genau da wird es interessant.
Die ersten drei Gruppen sind erwartbar. Die vierte ist der Grund, warum man überhaupt nachsieht.
Warum die Zuordnung offline passieren muss
Der naheliegende Weg wäre: Adresse an einen Server schicken, fragen „wem gehört das?“. Genau diesen Weg darf ein Werkzeug nicht gehen, das für Privatsphäre antritt.
Der übliche Weg
- Adresse 104.18.x.x
- → an einen Server
- → Name zurück
Der Server kennt jetzt jedes Ziel, mit dem dein Rechner spricht.
Der Weg hier
- Adresse 104.18.x.x
- → Datenbank auf der Platte
- → Name lokal
Nichts geht raus. Preis: die Liste ist so frisch wie das letzte Update.
Wer fragt, verrät die Frage. Ein Dienst, der für dich nachschlägt, bekommt dabei die vollständige Liste deiner Ziele — also exakt das Profil, für dessen Schutz er existiert. Deshalb liegen GeoIP- und Trackerdaten bei BalaneDisk als Dateien im Programm und werden von der Platte gelesen. Der Preis: die Listen sind so frisch wie das letzte Update. Den zahlen wir bewusst.
„Tracker“ ist ein Urteil, kein Fakt
Eine Domain ist nicht objektiv ein Tracker. graph.facebook.com ist einer, wenn eine Taschenlampen-App im Hintergrund dorthin spricht — und schlicht der Dienst, wenn sich jemand gerade bei Instagram anmeldet.
Deshalb zählt der Kontext: welcher Prozess spricht, wie oft, und ob dieser Prozess einen erkennbaren Grund hat. Infrastruktur — CDNs, Cloud-Regionen — bekommt eine eigene Kategorie, statt als Fund verkauft zu werden. Ein Ziel bei einem großen Hoster zu sehen, sagt fast nichts.
Eine Viertelstunde, die sich lohnt
- 01Alle Fenster schließen, zehn Minuten nichts tun.
- 02Verbindungen ansehen — pro Prozess, nicht als Gesamtsumme.
- 03Die vier Gruppen durchgehen und nur die vierte ernst nehmen.
- 04Auffälliges festhalten: Welches Programm? Welches Land? Wie regelmäßig?
- 05Erst dann entscheiden: deinstallieren, Einstellung ändern, oder einfach wissen.
Blocken ist ausdrücklich nicht der erste Schritt — und BalaneDisk blockt (noch) nichts. Der Nutzen liegt im Wissen: ein Programm, das du für lokal gehalten hast, dabei zu erwischen, wie es das nicht ist. Das kommt öfter vor, als man denkt.
- Wie sehe ich mit Bordmitteln, wohin mein Mac Verbindungen aufbaut?
- `lsof -i -P -n` listet offene Sockets mit Prozessnamen, `nettop -P` zeigt den laufenden Datenverkehr pro Prozess. Beides zeigt IP-Adressen; welche Firma dahintersteckt, musst du selbst nachschlagen.
- Ist es normal, dass mein Mac im Leerlauf ständig sendet?
- Ja. Zeitabgleich, Zertifikatssperrlisten, Push-Zustellung, Softwareupdate und die Updater installierter Programme sprechen regelmäßig, ohne dass du etwas tust. Auffällig ist nicht, dass gesendet wird, sondern wer sendet und wohin.
- Braucht ein Werkzeug dafür Zugriff aufs Internet?
- Für die Messung nicht. Nur für das Nachschlagen von Firma und Land — und genau dieses Nachschlagen würde die Liste deiner Ziele an einen Server ausliefern. Deshalb gehört die Datenbank ins Programm, nicht in die Cloud.