„Endlich bin ich vor Malware sicher“, dachte sich der langjährige Windows-Nutzer nach dem Umstieg auf Ubuntu. In der Praxis trifft dieser weit verbreitete Glaube jedoch höchstens auf klassische Viren und Würmer zu, die heute ohnehin kaum noch eine Rolle spielen. Der Sicherheitsmythos rund um Linux-Distributionen macht viele Anwender sogar anfälliger für Social-Engineering-Angriffe. Schließlich funktionieren Phishing-Mails plattformübergreifend. Viele verbinden mit Phishing zunächst Keylogger, Identitätsdiebstahl oder andere Formen der Kontenübernahme. Die erste Stufe eines erfolgreichen Angriffs ist jedoch meist die Kompromittierung des Browsers. Und nur weil Firefox als Snap-Paket in einer Sandbox läuft, schützt das nicht vor bösartigen Erweiterungen, Browser-Exploits, Cryptojacking¹ oder gefälschten Downloads.
Potenziell unerwünschte Anwendungen im Webbrowser lassen sich unter Ubuntu relativ einfach mit dem Systemreiniger BleachBit entfernen. Auch eine Neuinstallation des Firefox ist ein leichtes Unterfangen. Sobald offensichtliche Auffälligkeiten wie Scareware-Meldungen, manipulierte Startseiten oder eingeschlichene Erweiterungen beseitigt wurden, sollte nach einem erfolgreichen Phishing-Vorfall unbedingt die Netzwerkschicht überprüft werden.
- Konkret stellt sich dabei die Frage: Welche Verbindungen baut der Webbrowser selbstständig auf?
Hierzu mussten Netzwerkadministratoren früher umfangreiche Logfiles prüfen. Dank moderner Programme wie Sniffnet kann heute selbst ein Heimanwender den Datenverkehr seines Systems nahezu in Echtzeit beobachten und nachvollziehen, welche Hosts und Dienste kontaktiert werden.
Dabei könnte Sniffnet jede Datenschnittstelle auslesen, die ein Computer als Tor zur Außenwelt nutzt. Der Weg ins böse Internet führt allerdings ausschließlich über IEEE 802.11 bzw. die RJ-Steckverbindung, weshalb diese beiden Verkehrsquellen von größter Bedeutung sind.
Im vorliegenden Beispiel hat Ubuntu die kabelgebundene Netzwerkschnittstelle als enp4s0 erkannt. Sie kommuniziert innerhalb des lokalen Netzwerks unter der IPv4-Adresse 10.0.0.9. Nach einem Klick auf die Schaltfläche „Start!“ beginnt Sniffnet damit, den gesamten Datenverkehr dieser Ethernet-Schnittstelle in Echtzeit zu erfassen und grafisch aufzubereiten.
Wer kein ausgebildeter Netzwerkadministrator ist und sein System auf verdächtige Aktivitäten überprüfen möchte, sollte zunächst einen Blick auf den Reiter Service werfen. Werden ausgehende HTTP-Verbindungen über Port 80 ins Internet aufgebaut, lohnt sich eine genauere Untersuchung. Zwar ist HTTP nicht grundsätzlich bösartig, seriöse Webseiten und Onlinedienste setzen jedoch ausschließlich auf verschlüsselte HTTPS-Verbindungen.
Werden ausschließlich HTTPS-Verbindungen angezeigt, bietet ein Linksklick auf das Firefox-Symbol die nächste Möglichkeit, nach unerwartetem Datenverkehr zu suchen. Vereinfacht dargestellt läuft gewöhnliches Surfen im Internet folgendermaßen ab – die Themen DNS-Auflösung und NAT einmal außen vor gelassen:
- Der Browser öffnet einen temporären Highport und sendet eine Anfrage an einen Webserver.
- Der Webserver beantwortet die Anfrage und überträgt die angeforderten Inhalte üblicherweise über Port 443 mittels HTTPS.
Beim Abrufen klassischer Webseiten erfolgt die Kommunikation über TCP. Streaming-Dienste wie YouTube nutzen dagegen häufig das UDP-basierte QUIC-Protokoll, das ebenfalls über Port 443 arbeitet. Beide Varianten sind vollkommen normal. Erscheint eine Verbindung dennoch verdächtig, genügt ein Linksklick auf den jeweiligen Eintrag. Sniffnet liefert anschließend zusätzliche Informationen zur Gegenstelle, darunter den Betreiber des Zielsystems, die verwendete IP-Adresse und oftmals auch den geografischen Standort. Reichen diese Angaben nicht aus, kann die betreffende IP-Adresse zusätzlich mit einem Geotraceroute-Dienst untersucht werden.
Sniffnet installieren
Sniffnet ist ein plattformübergreifendes Open-Source-Werkzeug zur Analyse des Netzwerkverkehrs. Die Installationsdatei sollte idealerweise direkt von der Herstellerwebseite bezogen werden. Ubuntu-Nutzer laden am besten das DEB-Paket für die amd64-Architektur herunter. Dieses lässt sich anschließend per Rechtsklick komfortabel mit der integrierten Anwendungsinstallation öffnen und installieren.
Neben dem Webbrowser, der auf den meisten Systemen die größte Anzahl an Verbindungen aufbaut, sind vor allem die Desktop-Apps von Messengern wie Telegram, Signal und WhatsApp interessant. WhatsApp baut beispielsweise eine TCP-Verbindung zu einem naheliegenden Facebook-Server auf und schickt darüber unspektakulär Datenpakete hin und her.
Wer regelmäßig Angebote zu Ghost Jobs⁴ oder gefälschte Gewinnbenachrichtigungen erhält – oder möglicherweise selbst auf die bekannte Booking.com-Masche⁵ hereingefallen ist – sollte die Verbindungen seiner WhatsApp-Desktop-App genauer unter die Lupe nehmen.
- Gleiches gilt für Telegram, wo KI-gestützte Social-Engineering-Techniken mittlerweile zum Alltag gehören. Besonders verbreitet ist dort der sogenannte Liebesbetrug. Dabei werden Opfer von fremden Accounts mit attraktiven Profilbildern oft über Wochen oder Monate umgarnt, bis sie bereitwillig Geld überweisen oder persönliche Informationen preisgeben.
Aus Sicht eines Netzwerkadministrators lässt sich gegen solche Betrugsmaschen wenig ausrichten. Häufig dient der Messenger lediglich als Kontaktkanal. Nicht selten wird die Catfishing-Masche jedoch genutzt, um das Opfer auf eine Phishing-Webseite zu lotsen, die anschließend den Webbrowser kompromittiert.
Verwandte Themen:
Linux-Hardware ohne Treiberchaos: Diese Webcam funktioniert sofort
Der beste WLAN-Drucker für Ubuntu? Warum Linux-Nutzer bei Brother landen
¹Vetter, Veronika Helga: Phishing-Mails erkennen: Wie ein einziger Klick Ihren PC kompromittieren kann. computerheld-linz.at (06/2026).
²Geiger, Joerg: Clevere Strategie gegen KI-Angriffe. In: CHIP Nr. 2 (2024). S. 45.
³Lorenz, Benjamin: Malware-Attacken per Bluescreen. In: CHIP Nr. 3 (2026). S. 18.
⁴Vetter, Sascha: Festplatten sicher löschen unter Linux: ShredOS erklärt (warum der Papierkorb wertlos ist). pinguin.gws2.de (06/2026).
⁵Eder, Leo: Storno-Falle auf Whatsapp: Betrüger nutzen Datenleck von Booking.com aus. swr3.de (06/2026).


















![Automatisch eingerichteter HP OfficeJet 200 unter Ubuntu 24.04.3 LTS mit CUPS 2.4.7 und IPP Everywhere (Driverless Printing). GWS2.de Der Screenshot zeigt die Druckerverwaltung von Ubuntu 24.04.3 LTS in der Standardkonfiguration mit CUPS 2.4.7, wie sie unmittelbar nach der Installation ausgeliefert wird. Abgebildet ist ein per USB angeschlossener HP OfficeJet 200 Mobile Printer, der vom System automatisch erkannt und ohne manuelle Treiberinstallation eingerichtet wurde. Die Oberfläche stammt aus dem GNOME-Kontrollzentrum und dient als grafisches Frontend für den CUPS-Druckdienst. Im oberen Bereich ist das Detailfenster des Druckers mit der Bezeichnung. HP_OfficeJet_200_Mobile_Series_C7C0DB_USB“ zu sehen. Dieser automatisch generierte Name setzt sich aus der Modellbezeichnung, einer gerätespezifischen Kennung sowie der Anschlussart zusammen und dient CUPS als interne Warteschlangenbezeichnung. Als Standort ist „LOCAL“ eingetragen, was eine rein organisatorische Funktion hat und keinen Einfluss auf die technische Konfiguration besitzt. Besonders aufschlussreich ist die angezeigte Geräteadresse „HP OfficeJet 200 Mobile Series [C7C0DB] (USB)._ipp._tcp.local“. Sie verdeutlicht, dass der Drucker trotz USB-Verbindung als IPP-Netzwerkdienst angesprochen wird. Über IPP-over-USB stellt das Gerät seine Druckfunktionen per Internet Printing Protocol zur Verfügung und wird über mDNS beziehungsweise Avahi automatisch im System bekannt gemacht. Der Drucker emuliert damit aus Sicht des Betriebssystems einen Netzwerkdrucker, was die Grundlage für das treiberlose Drucken nach dem IPP-Everywhere-Standard bildet. Als verwendeter Treiber wird lediglich „HP OfficeJet 200 Mobile Series“ angezeigt. Dabei handelt es sich nicht um einen klassischen herstellerspezifischen Treiber mit PPD-Datei, sondern um eine von CUPS dynamisch erzeugte virtuelle Warteschlange. Die notwendigen Druckparameter wie unterstützte Formate, Auflösung, Duplex-Fähigkeit und Farbräume werden direkt vom Gerät über IPP-Attribute bereitgestellt und von CUPS zur Laufzeit ausgewertet. Die darunter angebotenen Optionen zur manuellen Treiberwahl oder PPD-Installation sind vorhanden, werden in diesem Fall jedoch nicht benötigt, da das Gerät vollständig driverless betrieben wird. Im unteren Bereich des Screenshots ist die Übersicht der eingerichteten Drucker zu sehen. Dort erscheint derselbe Drucker mit verkürztem Namen, ergänzt durch die automatisch erkannte Modellbezeichnung „HP OfficeJet 200 Mobile Series“. Der Status wird mit „Bereit“ angezeigt, was signalisiert, dass der CUPS-Dienst aktiv ist, der Drucker erreichbar ist, der IPP-Endpunkt korrekt antwortet und keine Störungen in der Warteschlange vorliegen. Zusätzlich wird angezeigt, dass aktuell keine Druckaufträge anstehen. Insgesamt dokumentiert der Screenshot exemplarisch die moderne Druckerintegration unter Ubuntu 24.04.3 LTS: Ein mobiler USB-Drucker wird automatisch erkannt, über IPP eingebunden und ohne proprietäre Treiber sofort betriebsbereit gemacht. Die gesamte Konfiguration basiert auf offenen Standards und dynamischer Geräteerkennung, wodurch klassische Treiberpakete und manuelle Einrichtungsschritte vollständig entfallen. Damit veranschaulicht die Aufnahme praxisnah, wie „Driverless Printing“ mit CUPS und IPP Everywhere im Alltag zuverlässig funktioniert. Computerheld Linz - Jörg Schneider - Februar 2026](/px/hardware/drucker/hp/mobile/prev_ubuntu_ipp8.png)



