Wi-Fi-Luftüberwachung: Leitfaden für Ingenieure | 2026

# Professionelles Wi-Fi-Spektrum-Monitoring: Ein technischer Leitfaden für Netzwerktechniker

Das Monitoring des Wi-Fi-Spektrums ist ein wesentlicher Bestandteil der Arbeit eines Netzwerktechnikers. Diese Praxis ermöglicht die Diagnose von Störungen, die Optimierung der Abdeckung und die Erhebung von Besucherstatistiken – und das alles legal. In diesem Artikel geht es um die Einrichtung eines passiven Sniffers auf Basis des TP-Link MR3020 Routers mit OpenWrt, Datenerfassungstools und Verkehrsanalysemethoden.

Praktische Anwendungen des Wi-Fi-Monitorings

Die passive Analyse des Funkspektrums löst Aufgaben jenseits der üblichen Netzwerkdiagnose. Für Betreiber kommerzieller Räume ist es ein Tool zur Erhebung von Besucherzahlen: Der Router im Monitor-Modus erfasst eindeutige MAC-Adressen von Geräten im Abdeckungsbereich und erstellt Fußgängerfrequenzstatistiken – ohne Kameras. Die Daten werden als CSV exportiert, um Lastspitzengraphen und Personaleinsatzpläne zu erstellen.

In Mehrfamilienhäusern hilft die Kanalbelegungsanalyse, Störungen zu vermeiden. Standardtools zeigen belegte Kanäle, offenbaren aber nicht die Verkehrsintensität. Langfristiges Monitoring deckt subtile Störquellen auf – etwa wenn der Nachbarzugangspunkt breite Kanäle inmitten schwacher Signale nutzt. Für Techniker ist das entscheidend bei der Einrichtung von WDS-Brücken oder Mesh-Netzwerken.

Die MAC-Adressrandomisierung in modernen Betriebssystemen (iOS 14+, Android 10+) macht die Methode nicht nutzlos. Zwar lässt sich keine spezifische Benutzeridentifikation mehr vornehmen, doch die Zählung eindeutiger Geräte über einen Zeitraum bleibt präzise – virtuelle MACs ändern sich während aktiver Netzwerknutzung selten. Bei Erhebungsintervallen von 15 Minuten oder mehr liegt der Fehleranteil unter 5 %.

Hardware- und Softwareeinrichtung

Der TP-Link MR3020 Router mit OpenWrt 22.03+ eignet sich hervorragend für diese Aufgaben. Das Gerät fungiert als passiver Sensor: Das Funkmodul wird in den Monitor-Modus versetzt, und die Schnittstelle nimmt nicht am Datenverkehr teil. Wichtige Komponenten:

• Einplatinencomputer mit USB-Anschluss
• Externer Speicher (mindestens 4 GB) für Logs
• Stromversorgung über Powerbank für den mobilen Einsatz

Erster Schritt: Anpassen der drahtlosen Schnittstellenkonfiguration. Bearbeiten Sie /etc/config/wireless und fügen Sie einen neuen Abschnitt hinzu:

config wifi-iface
    option device 'radio0'
    option mode 'monitor'
    option ifname 'mon0'
    option hidden '1'

Nach wifi reload prüfen Sie mit ifconfig mon0 die Schnittstelle. Erfolgreiche Einrichtung zeigt sich durch Ausgabe mit mon0: flags=40960<POINTOPOINT,MULTICAST> mtu 1500.

Tools zur Erfassung und Analyse des Traffics

Wir nutzen zwei Tools für die Paketerfassung je nach Aufgabe. Airodump-ng (aus dem aircrack-ng-Paket) liefert Echtzeit-Analysen:

airodump-ng -w /mnt/usb/capture --output-format csv mon0

Das Tool erzeugt zwei Arten von Berichten:

• CSV: Strukturierte Daten für Statistiken (BSSID, Kanal, Signalstärke, Clients)
• PCAP: Rohe Frames für detaillierte Wireshark-Analyse

Für Langzeit-Monitoring ist Tcpdump aufgrund minimaler Overhead-Prägung vorzuziehen:

tcpdump -i mon0 -s 0 -W 10 -G 3600 -C 100 -w /mnt/usb/capture_%Y%m%d_%H%M%S.pcap

Wichtige Parameter:

• -W 10: Zyklische Aufzeichnung (maximal 10 Dateien)
• -G 3600: Rotation alle 60 Minuten
• -C 100: Dateigrößenlimit 100 MB

Zerlegung von 802.11-Frames:

• Beacon: Zugangspunkt-Beacons (Schätzung der AP-Anzahl pro Kanal)
• Probe Request: Client-Verbindungsanfragen (Erkennung versteckter SSIDs)
• Data/ACK: Benutzertraffic und Bestätigungen (Aktivitätsindikator)
• CTS/RTS: Steuerframes (Kollisionssignale in der Luft)
• BlockAck: Aggregierte Bestätigungen (802.11n/ac-Modus)

Analyse von Metriken:

• Kanalbelegung: Data-zu-ACK-Verhältnis nahe 1:1 zeigt effiziente Übertragung
• Versteckte Stationen: Ungewöhnlich hohe CTS bei niedrigem Data-Traffic
• Störungen: Scharfe Signalstärkesprünge ohne BSSID-Wechsel

Automatisierung und Integration

Für kontinuierliche Datenerfassung richten Sie einen Autostart über /etc/rc.local ein:

#!/bin/sh
sleep 60
MOUNT_POINT="/root"
OUTPUT_FILE="${MOUNT_POINT}/wifi_24_capture"
killall airodump-ng
airodump-ng mon0 -w "$OUTPUT_FILE" --output-format csv --write-interval 60

Wichtig: Die sleep 60-Verzögerung gewährleistet die Funk-Schnittstelleninitialisierung. Zur Verarbeitung von CSV-Logs empfiehlt sich ein Python-Skript mit der pandas-Bibliothek – es aggregiert Daten stundenweise und erkennt Anomalien mittels Z-Werten.

Bei PCAP-Dateien filtern Sie mit tshark:

tshark -r capture.pcap -Y "wlan.fc.type_subtype == 0x08" -T fields -e wlan.bssid

Dies extrahiert BSSIDs aus Beacon-Frames und erstellt eine Liste aktiver Zugangspunkte.

Wichtige Hinweise

• Passives Monitoring ist legal, solange kein Traffic entschlüsselt wird (nur Header-Erfassung nötig)
• Für Fußgängeranalysen müssen Erhebungsintervalle 15 Minuten überschreiten wegen MAC-Randomisierung
• In Mehrkanalsystemen (802.11ac/ax) ist die Kanalbreite (20/40/80 MHz) bei Belegungsanalysen entscheidend
• Tcpdump ist für ressourcenarme Geräte vorzuziehen – verbraucht 40 % weniger CPU als airodump-ng
• Im kommerziellen Einsatz muss die Datenerhebung kenntlich gemacht werden (Hinweisschilder im Abdeckungsbereich)

— Editorial Team