TCP

Was ist TCP?

Wenn du eine E-Mail sendest, eine Datei herunterlädst oder eine Website aufrufst, willst du sicher sein dass alle Daten vollständig und in der richtigen Reihenfolge ankommen. Genau das garantiert das Transmission Control Protocol (TCP).

TCP ist ein verbindungsorientiertes Transportprotokoll auf Schicht 4 des OSI-Modells. Es stellt vor der eigentlichen Datenübertragung eine Verbindung her, überwacht die Übertragung, bestätigt den Empfang jedes Datenpakets und sorgt bei Verlust für eine erneute Übertragung.

TCP vs. UDP – Der grundlegende Unterschied

Der TCP 3-Way-Handshake

Bevor TCP Daten überträgt wird eine Verbindung aufgebaut – der sogenannte 3-Way-Handshake. Er besteht aus drei Schritten:

Client                          Server
  │                               │
  │──── SYN ─────────────────────▶│  Schritt 1: Client möchte Verbindung
  │     "Ich möchte verbinden"    │
  │                               │
  │◀─── SYN-ACK ─────────────────│  Schritt 2: Server bestätigt und antwortet
  │     "OK, ich bin bereit"      │
  │                               │
  │──── ACK ─────────────────────▶│  Schritt 3: Client bestätigt
  │     "Verstanden, los geht's"  │
  │                               │
  │════ Datenübertragung ═════════│  Verbindung aufgebaut
  │                               │

Verbindungsabbau – Der 4-Way-Handshake

Das Beenden einer TCP-Verbindung erfolgt mit vier Schritten da beide Seiten ihre Verbindung unabhängig voneinander schließen:

Client                          Server
  │                               │
  │──── FIN ─────────────────────▶│  Client: Ich bin fertig
  │                               │
  │◀─── ACK ─────────────────────│  Server: Verstanden
  │                               │
  │◀─── FIN ─────────────────────│  Server: Ich bin auch fertig
  │                               │
  │──── ACK ─────────────────────▶│  Client: Verstanden
  │                               │
  │         Verbindung getrennt   │

TCP-Flags

TCP-Pakete enthalten verschiedene Steuer-Flags im Header:

Sequenznummern und Bestätigungen

TCP nummeriert jeden gesendeten Byte mit einer Sequenznummer. Der Empfänger bestätigt den Empfang mit einer Acknowledgement-Nummer die angibt welches Byte als nächstes erwartet wird:

Sender                          Empfänger
  │                               │
  │── Segment 1 (Seq 1-1000) ────▶│
  │                               │
  │◀─ ACK 1001 ──────────────────│  "Ich habe bis Byte 1000 – sende ab 1001"
  │                               │
  │── Segment 2 (Seq 1001-2000) ─▶│
  │                               │
  │◀─ ACK 2001 ──────────────────│  "Ich habe bis Byte 2000 – sende ab 2001"
  │                               │

Was passiert bei Verlust?
  │── Segment 3 (Seq 2001-3000) ─▶│  Paket geht verloren!
  │                               │
  │   (Timeout)                   │
  │── Segment 3 (Seq 2001-3000) ─▶│  Automatische Wiederholung
  │                               │
  │◀─ ACK 3001 ──────────────────│  Jetzt angekommen

TCP-Paketaufbau (Header)

Ein TCP-Segment besteht aus einem Header (mindestens 20 Byte) und den eigentlichen Nutzdaten:

Flusskontrolle – Window Size

TCP verhindert dass ein schneller Sender einen langsamen Empfänger überflutet – durch die Window Size. Sie gibt an wie viele Bytes der Empfänger auf einmal verarbeiten kann:

Empfänger hat 8.000 Byte Puffer frei:
→ Window Size = 8.000

Sender darf maximal 8.000 Byte senden ohne auf ACK zu warten.

Empfänger ist überlastet, Puffer fast voll:
→ Window Size = 500  (Sender muss bremsen)

Empfänger kann nichts mehr annehmen:
→ Window Size = 0    (Sender muss stoppen)

Staukontrolle – Congestion Control

Neben der Flusskontrolle hat TCP auch eine Staukontrolle um das Netzwerk nicht zu überlasten:

Wichtige TCP-Ports

Sicherheitsaspekte

SYN-Flood-Angriff

Ein Angreifer sendet massenhaft SYN-Pakete ohne den dritten Handshake-Schritt (ACK) abzuschließen. Der Server hält für jede halboffene Verbindung Ressourcen vor bis der Speicher erschöpft ist – eine Form des Denial of Service (DoS).

Schutzmaßnahmen:
- SYN-Cookies: Server speichert keinen Zustand bis ACK empfangen
- Firewall-Regeln: Maximale halboffene Verbindungen begrenzen
- Rate-Limiting: SYN-Pakete pro IP-Adresse begrenzen

TCP-Session-Hijacking

Ein Angreifer der Sequenznummern errät kann sich in eine bestehende TCP-Verbindung einklinken. Schutz: Verschlüsselung durch TLS/SSL (HTTPS, SSH) macht abgefangene Pakete nutzlos.

TCP in der Praxis – Wireshark

Mit Wireshark lässt sich der TCP-Handshake direkt beobachten. Typische Filterausdrücke:

tcp                          → Alle TCP-Pakete anzeigen
tcp.flags.syn == 1           → Nur SYN-Pakete
tcp.flags.syn == 1 and
tcp.flags.ack == 0           → Nur erste Handshake-Pakete
tcp.port == 443              → Nur HTTPS-Traffic
tcp.analysis.retransmission → Verlorene und neu gesendete Pakete

Zusammenfassung

• TCP ist ein verbindungsorientiertes Transportprotokoll auf OSI-Schicht 4

• Der 3-Way-Handshake (SYN → SYN-ACK → ACK) baut die Verbindung auf

• Sequenznummern und ACKs garantieren vollständige und geordnete Übertragung

• Bei Paketverlust wird automatisch erneut übertragen

• Die Window Size steuert die Flusskontrolle

• Congestion Control verhindert Netzwerküberlastung

• SYN-Flood ist ein häufiger DoS-Angriff auf TCP

• TCP wird von HTTP, HTTPS, FTP, SMTP, SSH und vielen anderen Protokollen verwendet