MAC-Flooding: Auswirkungen auf Switches und richtiges Hardening

MAC-Flooding wird häufig als „altbekannter Layer-2-Trick“ eingeordnet – und genau das ist der Grund, warum er in vielen LANs nicht konsequent adressiert wird. Dabei kann MAC-Flooding in der Praxis sehr unangenehme Effekte auslösen: von massiver Netzinstabilität über Performance-Einbrüche bis hin zu Situationen, in denen Switches unbekannten Unicast-Verkehr fluten und damit ungewollt Sichtbarkeit im Segment entsteht. Wichtig ist eine realistische Erwartung: Nicht jeder Switch reagiert gleich, und moderne Hardware sowie gute Konfigurationen reduzieren die Angriffswirkung erheblich. Dennoch bleibt MAC-Flooding relevant, weil es sich oft aus einfachen Mitteln speist (z. B. kompromittierte Endgeräte, Rogue Switches, fehlerhafte Virtualisierung, schlecht begrenzte Access-Ports) und weil die Abwehr nicht nur „ein Feature“ ist, sondern ein Zusammenspiel aus Port-Härtung, Segmentierung, Storm-Control, Monitoring und Betriebsdisziplin. Dieser Artikel erklärt, wie MAC-Flooding technisch wirkt, welche Auswirkungen auf Switches und Broadcast-Domains realistisch sind und wie Sie Ihr Netzwerk richtig härten – praxisnah, nachvollziehbar und mit einem Playbook-Ansatz für Detection und Mitigation.

Was ist MAC-Flooding und warum kann es Switches aus dem Tritt bringen?

Switches arbeiten auf Layer 2, indem sie MAC-Adressen lernen und in einer Forwarding-Datenbank (häufig als CAM-Tabelle bezeichnet) speichern. Diese Tabelle ordnet MAC-Adressen einem Port (oder einem Interface-Kontext) zu. Dadurch kann der Switch Frames gezielt an den richtigen Port weiterleiten, statt sie überall zu verteilen. Beim MAC-Flooding versucht ein Angreifer, den Switch mit sehr vielen (oft gefälschten) Quell-MAC-Adressen zu „überschwemmen“, damit die Tabelle überläuft oder unzuverlässig wird.

• Ziel: den Switch zwingen, unbekannten Unicast-Verkehr breit zu verteilen (Flooding) oder Ressourcen zu binden.
• Mechanik: viele Frames mit immer neuen Quell-MACs werden gesendet; der Switch lernt diese MACs und füllt die Tabelle.
• Folge: wenn Einträge verdrängt werden oder nicht mehr aufgenommen werden können, behandelt der Switch Ziele als „unknown unicast“ und flutet sie je nach Verhalten.

Wichtig: Moderne Switches haben oft große Tabellen, Hardware-Offloading, Schutzmechanismen und per-Port-Limits. Deshalb ist MAC-Flooding nicht automatisch ein „MITM“-Werkzeug, sondern häufig ein DoS-/Degradationsvektor, der je nach Netzdesign trotzdem sicherheitsrelevant wird.

Mythos vs. Realität: Was MAC-Flooding wirklich ermöglicht

Im Netz kursiert oft die Behauptung, MAC-Flooding erlaube „einfaches Sniffing“ von fremdem Traffic. Das kann unter bestimmten Umständen stimmen, ist aber nicht zuverlässig. Entscheidend ist, wie Ihr Switch unknown unicast behandelt, ob Port-Isolation existiert, welche VLAN-Topologie vorliegt und ob der Angreifer überhaupt eine Position hat, um den gefluteten Verkehr zu sehen.

• Realistisch: Netzinstabilität, Performance-Probleme, CPU-/ASIC-Überlastung, erhöhte Fehlerraten und Flooding in großen Broadcast-Domains.
• Teilweise realistisch: Sichtbarkeit von Teilen des Verkehrs, wenn unknown unicast geflutet wird und der Angreifer am richtigen Port hängt.
• Oft überschätzt: „Full MITM“ allein durch MAC-Flooding – dafür braucht es meist zusätzliche Techniken (z. B. ARP-Manipulation) und passende Rahmenbedingungen.

Auswirkungen auf Switches: Was im Betrieb tatsächlich passiert

Die Auswirkungen hängen stark von Plattform, Konfiguration und Topologie ab. Dennoch zeigen sich typische Muster, die NetOps und SecOps kennen sollten.

Unknown-Unicast-Flooding und „ungewollte Sichtbarkeit“

Wenn ein Switch für eine Ziel-MAC keinen Eintrag hat, behandelt er den Frame als unknown unicast. Viele Switches fluten diesen Verkehr innerhalb des VLANs, ähnlich wie Broadcast/Multicast. In einer überfüllten CAM-Tabelle kann dieser Zustand häufiger auftreten, was zu mehr Traffic auf mehr Ports führt.

• Mehr Last auf Endpunkten: Hosts erhalten Frames, die sie verwerfen müssen (CPU- und NIC-Last).
• Mehr Last auf Switchports: Bandbreite und Queueing werden belastet.
• Erhöhte Angriffsfläche: Ungewollte Sichtbarkeit kann begünstigt werden, wenn ein Angreifer Frames „mitliest“.

Performance-Degradation und Control-Plane-Risiken

Viele Switches verarbeiten MAC-Learning im ASIC, aber bestimmte Grenzfälle oder Logging/Telemetry können die Control Plane belasten. Zusätzlich können Sicherheitsfeatures wie Port-Security bei massenhaft neuen MACs aktiv werden und Events erzeugen, die wiederum Ressourcen binden.

• Steigende CPU: insbesondere bei Geräten mit weniger starker Trennung zwischen Data Plane und Control Plane.
• Event-Stürme: viele Syslog-/SNMP-Events, MAC-Move-Events, Security-Violations.
• Stabilitätsprobleme: in Extremfällen Port-Flaps, Link-Resets oder spürbare Latenz.

Seiteneffekte: Warum MAC-Flooding oft nicht alleine kommt

In realen Incidents ist MAC-Flooding häufig Begleiterscheinung oder Nebeneffekt von anderen Problemen:

• Rogue Switch/Bridge: viele MACs hinter einem Access-Port, weil ein kleiner Switch angeschlossen wurde.
• Fehlkonfigurierte Virtualisierung: VMs oder Container-Workloads erzeugen unerwartet viele MACs pro Port.
• Loop/Topologieproblem: Schleifen können ebenfalls Flooding und ungewöhnliche MAC-Learning-Muster auslösen.
• Angriffskombination: MAC-Flooding als „Lärm“, während parallel ARP-Spoofing oder Credential-Theft versucht wird.

Risikofaktoren: Wann MAC-Flooding besonders weh tut

MAC-Flooding ist besonders kritisch, wenn Netzdesign und Betrieb die Auswirkungen verstärken. Die folgenden Bedingungen erhöhen das Risiko:

• Große, flache VLANs: große Broadcast-Domains bedeuten mehr Ports, die bei Flooding belastet werden.
• Viele unbeaufsichtigte Access-Ports: Konferenzräume, offene Dosen, Edge-Standorte, Besucherflächen.
• Geringe Port-Härtung: keine MAC-Limits, keine 802.1X/MAB, keine Storm Control.
• Schwaches Monitoring: MAC-Move-/Learning-Anomalien werden nicht zentral gesehen.
• Gemischte Gerätelandschaft: IoT/Legacy-Hosts reagieren empfindlicher auf Traffic-Spitzen.

Detection: Wie Sie MAC-Flooding frühzeitig erkennen

Eine gute Erkennung basiert auf Mustern, nicht auf einem einzelnen Zähler. MAC-Flooding zeigt sich meist als Kombination aus „ungewöhnlich vielen MACs“ und „ungewöhnlichem Flooding/Traffic“. Die wichtigsten Telemetriequellen sind Switch-Events und Interface-Statistiken.

• Many-MAC-on-Port: ungewöhnlich viele gelernte MACs an einem Access-Port.
• MAC-Learning-Rate: sprunghafter Anstieg neu gelernter MACs im VLAN oder auf einem Port.
• Unknown-Unicast-Zähler: deutlicher Anstieg von unknown unicast oder Flooding-Statistiken.
• Security-Violations: Port-Security-Events, ggf. automatisch err-disable/quarantine.
• Syslog-/Event-Spikes: viele L2-Events in kurzer Zeit, oft zeitgleich mit Nutzerbeschwerden.

Für eine strukturierte Vorgehensweise in der Incident Response – inklusive Artefakt-Sicherung und nachvollziehbarer Triage – ist NIST SP 800-61 eine bewährte Referenz.

Packet Evidence: Wann Mitschnitte helfen und was Sie sehen sollten

Packet Evidence ist bei MAC-Flooding nicht immer zwingend, kann aber sehr hilfreich sein, um Ursache und Mechanik zu bestätigen. Ein kurzer Mitschnitt an einem SPAN/Mirror-Port kann zeigen, ob tatsächlich Frames mit ständig wechselnden Quell-MACs eintreffen oder ob z. B. ein Rogue Switch dahinter steckt.

• Viele Frames mit wechselnder Source MAC: typisches Muster bei aktivem Flooding.
• Ungewöhnliche EtherType-/Broadcast-Muster: kann auf Loops oder Fehlkonfigurationen hindeuten.
• Traffic-Charakteristik: sehr hohe Rate, kleine Frames, repetitive Sequenzen.

Als praktische Grundlage für das Lesen von Ethernet-Frames und das Arbeiten mit Filtern eignet sich die Dokumentation von Wireshark.

Hardening: Die wichtigsten Gegenmaßnahmen in der richtigen Reihenfolge

Gutes Hardening setzt dort an, wo MAC-Flooding typischerweise entsteht: am Access-Edge und an der Segmentgröße. Ziel ist, die Anzahl lernbarer MACs pro Port zu begrenzen, Rogue Infrastructure zu erschweren und Flooding-Effekte zu dämpfen.

Port-Security: MAC-Limits als Basiskontrolle

Port-Security ist eine der direktesten Maßnahmen gegen MAC-Flooding. Sie begrenzt, wie viele MAC-Adressen an einem Port gelernt werden dürfen, und definiert ein Verhalten bei Verstößen (z. B. Drop, Restrict, Shutdown). Wichtig ist die praxisnahe Konfiguration, damit legitime Szenarien (z. B. Telefon + PC, Dockingstations, bestimmte virtuelle Workloads) nicht unnötig brechen.

• MAC-Maximum pro Port: realistisch festlegen (z. B. 1–3 in klassischen Office-Ports, mehr nur mit Begründung).
• Violation-Verhalten: restriktiv, aber betrieblich sinnvoll (Quarantäne/Restrict statt „alles abschalten“ in sensiblen Bereichen).
• Dokumentierte Ausnahmen: APs, VoIP-Gateways, Virtualisierungs-Hosts, Lab-Ports klar kennzeichnen.

802.1X/MAB: Wer darf überhaupt ins VLAN?

MAC-Flooding setzt voraus, dass ein Gerät Frames senden kann. Port-Authentisierung reduziert die Wahrscheinlichkeit, dass unautorisierte Geräte überhaupt produktiven Zugang erhalten. 802.1X ist dabei der robuste Standard; MAB kann als Übergang für Geräte dienen, die kein 802.1X unterstützen.

• Default-Quarantäne: unbekannte Geräte kommen in ein restriktives VLAN.
• Rollenbasierte Zuweisung: Geräteklasse und Identität bestimmen Segment und Policy.
• Reduktion von Shadow IT: Rogue Switches und „mal eben angeschlossene“ Geräte werden sichtbar und blockierbar.

Storm Control und Flood-Rate-Limits: Wirkungskreis begrenzen

Storm Control begrenzt Broadcast, Multicast und häufig auch unknown unicast. Damit können Sie die Auswirkung von Flooding reduzieren, selbst wenn MAC-Flooding passiert. Entscheidend ist die richtige Balance: zu aggressiv konfiguriert kann Storm Control legitime Spitzen kappen, zu lax bringt es wenig.

• Broadcast/Multicast/Unknown-Unicast Limits: pro Port oder pro VLAN-Policy, abhängig von Plattform.
• Monitoring statt Blindflug: Grenzwerte auf Basis realer Traffic-Profile definieren.
• Besondere Zonen: IoT/Legacy-Segmente oft konservativer, Datacenter-Uplinks anders behandeln.

Segmentierung: Kleine Broadcast-Domains reduzieren den Impact

Segmentierung ist eine der wirksamsten strukturellen Gegenmaßnahmen. Wenn ein VLAN kleiner ist, ist auch die Fläche, in der Flooding wirkt, kleiner. Zusätzlich sinkt die Chance, dass ein Angreifer durch Flooding „wertvollen“ Verkehr zu Gesicht bekommt.

• Office, Gäste, IoT trennen: unterschiedliche Risikoprofile sollten nicht in einem VLAN enden.
• Admin-/Management-Netze isolieren: besonders restriktiv, mit zusätzlicher Authentisierung.
• Ost-West-Policies: VLANs mit L3/L4-Filterung und Zonenregeln kombinieren.

Monitoring und Baselines: MAC-Flooding als Anomalie erkennen

Hardening ohne Monitoring führt oft zu „stillen“ Problemen: Ports gehen in Violation, Nutzer umgehen Regeln, oder Flooding wird als „Netzwerkspin“ abgetan. Deshalb sollten Sie Baselines definieren: Wie viele MACs sind pro Port normal? Welche Ports sind Sonderfälle? Welche VLANs sind sensibel?

• Baseline pro Port-Typ: Office-Port, AP-Port, VoIP-Port, Uplink, Server-Port.
• Alert-Regeln: Many-MAC-on-Port, MAC-Learning-Rate-Spikes, unknown-unicast-Spikes.
• Change-Korrelation: neue Geräte und Umbauten als Kontext; alles außerhalb ist verdächtig.

Mitigation-Playbook: Was tun bei akutem MAC-Flooding?

Bei akutem MAC-Flooding zählt Zeit. Das Ziel ist, die Quelle schnell zu isolieren, ohne flächendeckend den Betrieb zu stören. Ein pragmatisches Playbook kann so aussehen:

• Symptome bestätigen: unknown unicast steigt, viele neue MACs, Nutzerberichte im gleichen Segment.
• Top-Kandidaten finden: Ports mit den meisten neuen MACs, Many-MAC-on-Port, ungewöhnliche Traffic-Raten.
• Containment: verdächtigen Port in Quarantäne oder administrativ down; je nach Policy restriktive Limits aktivieren.
• Evidence sichern: Switch-Events/Portstatistiken exportieren; kurzer Packet-Mitschnitt am Port/VLAN.
• Root Cause: Rogue Switch, Fehlkonfiguration, kompromittierter Host, Virtualisierungsmissbrauch, Loop.
• Nachbesserung: Port-Profil korrigieren, MAC-Limits, 802.1X/MAB, Storm Control, Segmentierung.

Priorisierung: Wo Hardening zuerst den größten Effekt hat

Wenn Sie nicht alles auf einmal umsetzen können, hilft ein einfaches Modell, um kritische Bereiche zuerst zu härten. Ein pragmatischer Ansatz kombiniert Wert, Exponierung und Kontrollreife.

$R=V\times E∕K$

• V: Kritikalität des Segments (Admin/Management/Identity höher als Gäste)
• E: Exponierung (offene Ports, Besucherflächen, Edge-Standorte, BYOD)
• K: Kontrollreife (Port-Security, 802.1X/MAB, Storm Control, Monitoring, Baselines)

Checkliste: Richtiges Hardening gegen MAC-Flooding

• Port-Security standardisieren: MAC-Maximum pro Port-Typ definieren, Violation-Verhalten festlegen.
• 802.1X/MAB einführen: unbekannte Geräte in Quarantäne, Rollen-/Geräteklassen sauber trennen.
• Storm Control aktivieren: Broadcast/Multicast/unknown unicast begrenzen, Grenzwerte aus Profilen ableiten.
• Segmentierung verbessern: kleinere Broadcast-Domains, IoT/Gäste/Office/Admin trennen.
• Rogue Infrastructure verhindern: BPDU Guard, Port-Profile, klare Regeln für APs/Bridges.
• Monitoring ausbauen: Many-MAC-on-Port, MAC-Learning-Rate, unknown unicast als Alerts.
• Incident-Runbook testen: schnelle Isolation eines Ports, Evidence-Sicherung, Wiederherstellungsschritte üben.

MAC-Flooding ist weniger ein „magischer“ Angriff als eine harte Probe für die Layer-2-Hygiene eines Netzwerks. Je nach Plattform kann es von leichten Störungen bis zu erheblichen Performance- und Stabilitätsproblemen führen, und in manchen Designs kann es unerwünschte Sichtbarkeit durch unknown-unicast-Flooding begünstigen. Der wirksamste Schutz besteht aus konsequenter Access-Port-Härtung (Port-Security, 802.1X/MAB), kontrollierter Flood-Begrenzung (Storm Control), guter Segmentierung und Telemetrie, die Anomalien früh sichtbar macht. So wird aus einem potenziell chaotischen Layer-2-Vorfall ein beherrschbares Ereignis – technisch sauber, betrieblich praktikabel und sicherheitsseitig nachvollziehbar.

Cisco Netzwerkdesign, CCNA Support & Packet Tracer Projekte

Cisco Networking • CCNA • Packet Tracer • Network Configuration

Ich biete professionelle Unterstützung im Bereich Cisco Computer Networking, einschließlich CCNA-relevanter Konfigurationen, Netzwerkdesign und komplexer Packet-Tracer-Projekte. Die Lösungen werden praxisnah, strukturiert und nach aktuellen Netzwerkstandards umgesetzt.

Diese Dienstleistung eignet sich für Unternehmen, IT-Teams, Studierende sowie angehende CCNA-Kandidaten, die fundierte Netzwerkstrukturen planen oder bestehende Infrastrukturen optimieren möchten. Finden Sie mich auf Fiverr.

Leistungsumfang:

• Netzwerkdesign & Topologie-Planung

• Router- & Switch-Konfiguration (Cisco IOS)

• VLAN, Inter-VLAN Routing

• OSPF, RIP, EIGRP (Grundlagen & Implementierung)

• NAT, ACL, DHCP, DNS-Konfiguration

• Troubleshooting & Netzwerkoptimierung

• Packet Tracer Projektentwicklung & Dokumentation

• CCNA Lern- & Praxisunterstützung

Lieferumfang:

• Konfigurationsdateien

• Packet-Tracer-Dateien (.pkt)

• Netzwerkdokumentation

• Schritt-für-Schritt-Erklärungen (auf Wunsch)

Arbeitsweise:Strukturiert • Praxisorientiert • Zuverlässig • Technisch fundiert

CTA:
Benötigen Sie professionelle Unterstützung im Cisco Networking oder für ein CCNA-Projekt?
Kontaktieren Sie mich gerne für eine Projektanfrage oder ein unverbindliches Gespräch. Finden Sie mich auf Fiverr.