February 14, 2026

Was ist ARP? Zu welcher OSI-Schicht gehört es?

ARP steht für Address Resolution Protocol und ist ein grundlegender Baustein in lokalen Netzwerken: Es sorgt dafür, dass ein Gerät zu einer bekannten IP-Adresse die passende MAC-Adresse (Hardwareadresse) im selben LAN findet. Ohne ARP könnten viele alltägliche Netzwerkvorgänge nicht funktionieren, denn Ethernet und WLAN übertragen Frames zu MAC-Adressen, während Anwendungen und Betriebssysteme typischerweise mit IP-Adressen arbeiten. Genau diese „Übersetzung“ zwischen Layer-3-Adressierung (IP) und Layer-2-Adressierung (MAC) macht ARP so wichtig. In der Praxis begegnet Ihnen ARP bei Themen wie „Kein Internet im LAN“, IP-Konflikten, falschen Gateway-Einträgen oder auch Sicherheitsfragen wie ARP-Spoofing. Gleichzeitig sorgt ARP häufig für Verwirrung: Gehört es zur OSI-Schicht 2 oder zur OSI-Schicht 3? Die korrekte Einordnung ist entscheidend, wenn Sie Netzwerkfehler systematisch diagnostizieren möchten. Dieser Artikel erklärt verständlich, was ARP ist, wie es funktioniert, wie es in die OSI-Logik passt und welche typischen Probleme und Schutzmaßnahmen Sie kennen sollten.

Table of Contents

Was ist ARP? Eine einfache Definition

ARP ist ein Protokoll, das in IPv4-Netzen verwendet wird, um eine IPv4-Adresse einer MAC-Adresse zuzuordnen – und zwar innerhalb desselben lokalen Broadcast-Domains (typisch: ein VLAN oder ein physisches LAN). Wenn ein Host ein IP-Paket an ein Ziel im eigenen Subnetz senden möchte, muss er dieses IP-Paket in einen Layer-2-Frame (z. B. Ethernet) verpacken. Dafür braucht er die Ziel-MAC-Adresse. ARP liefert diese Information.

IP-Adresse: logische Adresse auf Schicht 3 (z. B. 192.168.1.20)
MAC-Adresse: physische/Link-Adresse auf Schicht 2 (z. B. 00:1A:2B:3C:4D:5E)
ARP: findet im LAN heraus, welche MAC zu einer IP gehört

Die maßgebliche Spezifikation für ARP ist RFC 826.

Zu welcher OSI-Schicht gehört ARP?

Die kurze Antwort: ARP wird meist der OSI-Schicht 2 (Sicherungsschicht / Data Link Layer) zugeordnet, weil es direkt mit MAC-Adressen arbeitet und als Ethernet-Frame im lokalen Netzwerk übertragen wird. Die etwas differenziertere, praxisnahe Antwort lautet: ARP sitzt an der Grenze zwischen Schicht 2 und Schicht 3, weil es IP (Schicht 3) mit MAC (Schicht 2) verknüpft.

Warum diese „Grenzlage“ wichtig ist: In vielen Troubleshooting-Fällen wirkt ARP wie ein Layer-3-Problem („IP geht nicht“), die Ursache liegt aber auf Layer 2 („MAC-Auflösung scheitert“, falsches VLAN, falscher Switch-Port, ARP-Cache veraltet). Deshalb ist ARP ein typisches Beispiel für ein Protokoll, das sich im OSI-Modell nicht immer sauber in eine einzige Schublade stecken lässt.

Warum braucht man ARP überhaupt?

Ethernet und WLAN (802.11) benötigen MAC-Adressen für die Zustellung auf dem lokalen Link. IP-Adressen sind dagegen für Routing und logische Adressierung zuständig. Wenn ein Gerät also „zu 192.168.1.20“ senden will, muss es im lokalen Segment wissen, welche MAC-Adresse dazu gehört. ARP übernimmt diese Zuordnung dynamisch, ohne dass Sie manuell Tabellen pflegen müssen.

Wichtig: ARP funktioniert nur innerhalb des lokalen Netzes. Wenn das Ziel in einem anderen Subnetz liegt, fragt der Host nicht nach der MAC des entfernten Ziels, sondern nach der MAC des Default Gateways (Routers), weil dieser die Weiterleitung übernimmt.

So funktioniert ARP Schritt für Schritt

Der ARP-Ablauf lässt sich am besten an einem einfachen Szenario erklären: PC A möchte ein IP-Paket an PC B im selben Subnetz senden, kennt aber die MAC-Adresse von PC B noch nicht.

ARP-Cache prüfen

Bevor ARP das Netzwerk befragt, prüft der Host seine lokale ARP-Tabelle (ARP-Cache). Dort stehen bereits bekannte Zuordnungen von IP zu MAC, oft mit einer Ablaufzeit. Ist ein Eintrag vorhanden und gültig, kann sofort gesendet werden.

ARP Request senden

Wenn kein Cache-Eintrag existiert, sendet PC A einen ARP Request als Broadcast. Das bedeutet: Der Ethernet-Frame geht an die Broadcast-MAC-Adresse (FF:FF:FF:FF:FF:FF), sodass alle Geräte im Broadcast-Domain den Request erhalten.

Inhalt (vereinfacht): „Wer hat IP 192.168.1.20? Bitte antworte mit deiner MAC.“
Übertragung: Layer-2-Broadcast im LAN/VLAN

ARP Reply empfangen

PC B erkennt, dass die angefragte IP seine eigene ist, und sendet einen ARP Reply zurück – typischerweise als Unicast an PC A. Darin steht die MAC-Adresse von PC B. PC A speichert diese Information im ARP-Cache und kann anschließend den eigentlichen Datenverkehr als Unicast-Frames senden.

Warum das effizient ist

Die Broadcast-Anfrage passiert meist nur beim ersten Kontakt (oder nach Cache-Ablauf). Danach laufen die meisten Frames im lokalen Netz als Unicast, was deutlich effizienter ist als permanent zu broadcasten.

ARP und das Default Gateway: Ein häufiges Missverständnis

Viele Einsteiger denken: „Wenn ich eine Website aufrufe, muss mein PC die MAC des Webservers im Internet kennen.“ Das ist nicht der Fall. Für Ziele außerhalb des eigenen Subnetzes benötigt der Host die MAC-Adresse des Routers (Default Gateway). Der Router übernimmt dann die Weiterleitung ins nächste Netz. Das ist ein zentraler Punkt für die Einordnung von ARP:

Ziel im gleichen Subnetz: ARP fragt nach der MAC des Zielhosts.
Ziel in anderem Subnetz: ARP fragt nach der MAC des Default Gateways.

Wenn das Gateway falsch konfiguriert ist oder ARP das Gateway nicht auflösen kann, wirkt es für Nutzer oft wie „Kein Internet“, obwohl das Problem im lokalen Segment beginnt.

Welche Daten speichert der ARP-Cache?

Der ARP-Cache ist eine Tabelle im Betriebssystem, die Zuordnungen von IP zu MAC zwischenspeichert. Typisch enthält sie:

IPv4-Adresse
MAC-Adresse
Interface (z. B. Ethernet, WLAN)
Status/Ablaufzeit (dynamisch gelernt, statisch gesetzt, „stale“/veraltet)

Die Einträge haben eine begrenzte Lebensdauer, weil sich MAC-Adressen im Netz ändern können (z. B. durch Gerätewechsel, Virtualisierung, Failover, DHCP-Umstellungen). Ein zu langer Cache kann falsche Zuordnungen festhalten; ein zu kurzer Cache erhöht Broadcast-Verkehr. Betriebssysteme wählen daher typische Standardwerte, die sich in Enterprise-Umgebungen je nach Plattform unterscheiden können.

Gratuitous ARP: ARP ohne Anfrage

Neben dem klassischen Request/Reply gibt es Gratuitous ARP (GARP). Dabei sendet ein Host eine ARP-Nachricht, ohne dass er vorher gefragt wurde. Das klingt ungewöhnlich, ist aber in vielen Szenarien nützlich:

IP-Konflikte erkennen: Ein Gerät kündigt „seine“ IP an; wenn jemand widerspricht, liegt ein Konflikt vor.
ARP-Caches aktualisieren: Nach einem Failover (z. B. bei einem Cluster) kann eine IP auf eine neue MAC wechseln. GARP hilft, dass andere Hosts schnell die neue Zuordnung lernen.
Netzwerkänderungen signalisieren: Beim Interface-Up kann ein Host seine Präsenz bekannt machen.

In hochverfügbaren Umgebungen ist Gratuitous ARP häufig der Grund, warum ein Failover „sofort“ funktioniert, ohne dass Clients lange in alte MAC-Zuordnungen laufen.

ARP-Probleme in der Praxis: Typische Symptome

ARP-Fehler äußern sich oft indirekt. Viele Symptome wirken wie „IP geht nicht“ oder „Internet ist weg“, obwohl die Ursache im lokalen Link liegt. Typische Anzeichen:

Ping zur IP im selben Subnetz klappt nicht: ARP-Auflösung scheitert, VLAN/Port/Link-Problem oder Host offline.
Nur ein Gerät ist nicht erreichbar, andere schon: falscher ARP-Cache-Eintrag, IP-Konflikt oder Switch-Port isoliert.
Intermittierende Ausfälle: ARP-Flapping durch IP-Konflikt oder wechselnde MAC (z. B. VM-Migration).
„Duplicate IP address“ Meldungen: Zwei Geräte nutzen dieselbe IP; ARP zeigt wechselnde MACs.
Gateway erreichbar, aber Internet nicht stabil: ARP auf Gateway fluktuiert oder falsches Gateway (z. B. DHCP falsch).

IP-Konflikt und ARP: Warum plötzlich „alles komisch“ wird

Ein IP-Konflikt (zwei Geräte mit derselben IPv4-Adresse) ist ein Klassiker. ARP macht das Problem sichtbar, weil im Netz plötzlich unterschiedliche MAC-Adressen für dieselbe IP auftauchen. Je nachdem, welcher ARP Reply zuletzt bei einem Client ankommt, sendet er seine Frames an Gerät A oder Gerät B. Das führt zu schwer nachvollziehbaren Effekten:

Manchmal funktioniert die Verbindung, manchmal nicht.
Logins brechen ab, weil Antworten vom „falschen“ Gerät kommen.
Ein Dienst wirkt „unzuverlässig“, obwohl er gar nicht schuld ist.

Gerade in Netzen mit DHCP entsteht ein Konflikt oft durch statisch gesetzte IPs, falsch konfigurierte Reservierungen oder Geräte, die aus einem anderen Netz „mitgebrachte“ IPs behalten.

ARP-Spoofing und ARP-Poisoning: Sicherheitsrisiken verstehen

ARP ist in seiner Grundform nicht authentifiziert. Das bedeutet: Ein Host kann ARP-Antworten senden, die andere Geräte akzeptieren, ohne dass sie die Echtheit kryptografisch prüfen. Genau das macht ARP-Spoofing (auch ARP-Poisoning genannt) möglich: Ein Angreifer im gleichen LAN kann versuchen, sich als Default Gateway oder als Zielhost auszugeben, indem er falsche IP→MAC-Zuordnungen verbreitet. Dadurch kann er Datenverkehr umleiten (Man-in-the-Middle) oder stören (Denial of Service).

Typische Auswirkungen von ARP-Spoofing:

Abhören: Datenverkehr wird über den Angreifer geleitet (je nach Verschlüsselung sichtbar oder nicht).
Manipulation: Inhalte können verändert werden, wenn keine Ende-zu-Ende-Verschlüsselung greift.
Ausfall: Verkehr wird ins Leere geleitet, Verbindungen brechen ab.

Für das Verständnis des Protokolls ist die Referenz RFC 826 hilfreich; für allgemeine Hintergründe eignet sich auch Address Resolution Protocol.

Schutzmaßnahmen gegen ARP-Probleme und ARP-Spoofing

In professionellen Netzwerken wird ARP-Verkehr oft durch Switch-Funktionen und Segmentierung abgesichert. Wichtige Maßnahmen sind:

Netzsegmentierung (VLANs): Reduziert Broadcast-Domains und begrenzt die Reichweite von ARP-Angriffen.
DHCP Snooping: Switch überwacht DHCP und kann „vertrauenswürdige“ Ports definieren.
Dynamic ARP Inspection (DAI): Prüft ARP-Pakete gegen bekannte DHCP-Bindings und blockiert verdächtige ARP-Antworten.
Port Security: Begrenzt, welche MAC-Adressen an einem Switchport auftreten dürfen.
Statische ARP-Einträge (sparsam): Kann für kritische Geräte sinnvoll sein, ist aber administrativ aufwendig.
Ende-zu-Ende-Verschlüsselung (TLS/SSH/VPN): Schützt Inhalte, selbst wenn ARP-Umleitung gelingt.

Wichtig für Einsteiger: Selbst wenn ARP-Spoofing möglich ist, werden moderne Web- und viele App-Verbindungen durch TLS geschützt. Das reduziert das Risiko des „Mitlesens“, verhindert aber nicht zwangsläufig Störungen oder Downgrade-Szenarien in schlecht konfigurierten Umgebungen.

ARP im Troubleshooting: Ein OSI-orientierter Diagnoseansatz

Wenn Sie ARP als „Layer-2-zu-Layer-3-Brücke“ begreifen, wird Troubleshooting deutlich strukturierter. Ein praktikabler Ablauf im Kopf:

Schicht 1 prüfen: Link aktiv? Kabel/WLAN stabil? LEDs am Switch? Signalqualität?
Schicht 2 prüfen: Bin ich im richtigen VLAN? Ist der Switch-Port korrekt? Gibt es MAC-Learning-Probleme?
ARP prüfen: Gibt es einen ARP-Eintrag für Zielhost oder Gateway? Ändert sich die MAC unerwartet?
Schicht 3 prüfen: IP-Adresse/Subnetzmaske/Gateway korrekt? Gibt es IP-Konflikte?
Schicht 4–7 erst danach: Ports/Firewall/Anwendung prüfen, wenn die Basis stimmt.

Diese Reihenfolge verhindert, dass man „oben“ debuggt, obwohl das Problem „unten“ sitzt. Gerade bei „Kein Internet“ im LAN ist ARP häufig eine unterschätzte Ursache.

ARP und IPv6: Warum es dort anders heißt

ARP ist ein IPv4-Konzept. In IPv6 wird die Auflösung von IP zu Link-Adresse über das Neighbor Discovery Protocol (NDP) gelöst, das auf ICMPv6 basiert. Der Grundgedanke bleibt ähnlich: Auch IPv6 braucht eine Zuordnung zur Link-Adresse, aber Mechanismen und Nachrichtenformate sind anders. Wenn Sie IPv6 nutzen, ist es sinnvoll, ARP gedanklich als „IPv4-Variante“ der Nachbarschaftsauflösung zu sehen.

Für einen ersten Einstieg ist Neighbor Discovery Protocol hilfreich.

Wichtige Begriffe rund um ARP kurz erklärt

ARP-Cache: Lokale Tabelle mit IP→MAC-Zuordnungen und Ablaufzeiten.
Broadcast Domain: Netzbereich, in dem Broadcasts (z. B. ARP Requests) alle Teilnehmer erreichen.
Unicast/Broadcast: Unicast an ein Ziel, Broadcast an alle im Segment.
Gratuitous ARP: ARP-Mitteilung ohne vorherige Anfrage, oft für Failover oder Konflikterkennung.
ARP-Spoofing: Falsche ARP-Antworten zur Umleitung oder Störung von Verkehr.
Proxy ARP: Ein Gerät beantwortet ARP im Namen eines anderen (Sonderfall, kann Design- oder Fehlkonfiguration sein).

Outbound-Links für vertiefendes Verständnis

Cisco Netzwerkdesign, CCNA Support & Packet Tracer Projekte

Cisco Networking • CCNA • Packet Tracer • Network Configuration

Ich biete professionelle Unterstützung im Bereich Cisco Computer Networking, einschließlich CCNA-relevanter Konfigurationen, Netzwerkdesign und komplexer Packet-Tracer-Projekte. Die Lösungen werden praxisnah, strukturiert und nach aktuellen Netzwerkstandards umgesetzt.

Diese Dienstleistung eignet sich für Unternehmen, IT-Teams, Studierende sowie angehende CCNA-Kandidaten, die fundierte Netzwerkstrukturen planen oder bestehende Infrastrukturen optimieren möchten. Finden Sie mich auf Fiverr.

Leistungsumfang:

Netzwerkdesign & Topologie-Planung
Router- & Switch-Konfiguration (Cisco IOS)
VLAN, Inter-VLAN Routing
OSPF, RIP, EIGRP (Grundlagen & Implementierung)
NAT, ACL, DHCP, DNS-Konfiguration
Troubleshooting & Netzwerkoptimierung
Packet Tracer Projektentwicklung & Dokumentation
CCNA Lern- & Praxisunterstützung

Lieferumfang:

Konfigurationsdateien
Packet-Tracer-Dateien (.pkt)
Netzwerkdokumentation
Schritt-für-Schritt-Erklärungen (auf Wunsch)

Arbeitsweise:Strukturiert • Praxisorientiert • Zuverlässig • Technisch fundiert

CTA:
Benötigen Sie professionelle Unterstützung im Cisco Networking oder für ein CCNA-Projekt?
Kontaktieren Sie mich gerne für eine Projektanfrage oder ein unverbindliches Gespräch. Finden Sie mich auf Fiverr.