Welche App belastet das Netzwerk auf dem Mac

Irgendetwas nutzt die Verbindung. Die Wi-Fi-Anzeige ist beschäftigt, obwohl Sie gerade nichts tun, eine Hotspot-Verbindung verbraucht ihr Kontingent an einem Nachmittag, oder ein Videoanruf wird jedes Mal schlechter, wenn Sie sich an die Arbeit setzen. macOS kann das beantworten, aber die Werkzeuge sind verstreut und die auffälligste Zahl in jedem davon ist kumulativ statt aktuell, weshalb Sie dem falschen Prozess nachgehen.

Kurze Antwort: Der Tab Netzwerk in der Aktivitätsanzeige nennt den Prozess, aber die Spalten zählen Gesamtwerte seit dem Start jedes Prozesses. Was gerade jetzt Daten bewegt, zeigt nettop. Mit welchen entfernten Hosts ein Prozess spricht, zeigt lsof -i.

Die Aktivitätsanzeige nennt den Prozess

Öffnen Sie die Aktivitätsanzeige und wählen Sie den Tab Netzwerk. Die Liste zeigt Prozesse mit ihren gesendeten und empfangenen Bytes.

Das Sortieren dieser Spalten kann zum falschen Prozess führen. Die Werte summieren sich seit dem Start jedes Prozesses. Ein seit dem letzten Neustart laufender Daemon kann deshalb vor einer App stehen, die Ihre Verbindung gerade auslastet. Ein hoher Wert unter „Empf. Bytes“ belegt keine aktuelle Auslastung.

Zwei Zeilen beunruhigen und sollten es meist nicht:

• mDNSResponder übernimmt DNS und die lokale Netzwerkerkennung für das gesamte System. Auf einem Mac, der seit Wochen läuft, können Gigabyte stehen. Es ist ein Stellvertreter für alles andere, das Namen auflöst, keine App, die im Hintergrund herunterlädt.
• kernel_task erscheint, weil Netzwerkarbeit den Kernel durchläuft. Siehe kernel_task mit hoher CPU-Last für dieselbe Fehlzuordnung in der CPU-Variante.

Unten im Fenster gibt es ein Live-Diagramm der ein- und ausgehenden Daten pro Sekunde. Dieses Diagramm, nicht die Spalten, ist das, worauf Sie achten sollten, während Sie etwas ändern.

Apples Netzwerkleitfaden für die Aktivitätsanzeige unterscheidet die seit Prozessstart gesammelten Daten von den aktuellen Daten pro Sekunde am unteren Fensterrand.

nettop zeigt, was gerade läuft

nettop ist das Werkzeug, das die eigentliche Frage beantwortet. Es ist in macOS enthalten und braucht keine Installation.

nettop -P -L 2 -d -J bytes_in,bytes_out

,bytes_in,bytes_out,
syslogd.362,0,22701,
apsd.368,685304,414375,
mDNSResponder.480,4189609493,104188210,

-P fasst nach Prozess zusammen, -L 2 gibt zwei CSV-Stichproben aus, -d macht die zweite zum Intervallunterschied und -J wählt die Spalten. Die erste ist die Basis, die zweite zeigt die tatsächlich bewegten Daten. Für eine laufende Ansicht starten Sie nettop -P -d interaktiv.

lsof -i zeigt, wohin verbunden wird

Sobald Sie einen Namen haben, lautet die nächste Frage meist, wohin Daten gesendet werden.

lsof -nP -iTCP -sTCP:ESTABLISHED

-n überspringt Reverse DNS, -P die Suche nach Portnamen, -iTCP beschränkt auf TCP und -sTCP:ESTABLISHED entfernt lauschende und geschlossene Sockets. Normale Benutzerrechte genügen meist. Erhöhen Sie Rechte nur, wenn ein Systemprozess in der Untersuchung fehlt.

Beim Auflösen dieser Adressen kommt es auf Ehrlichkeit an: Eine IP, die zu einem großen Cloud-Anbieter gehört, sagt fast nichts, weil der Großteil des Internets dort gehostet wird. Behandeln Sie sie als Hinweis, nicht als Identifikation.

Die üblichen Antworten

Bevor Sie annehmen, dass etwas nicht stimmt, prüfen Sie die Dinge, die das Netzwerk ohne Nachfrage nutzen sollen.

Softwareupdate verdient besondere Erwähnung, weil es standardmäßig im Hintergrund herunterlädt und ein vollständiger macOS-Installer mehrere Gigabyte groß ist. Auf einer Verbindung mit begrenztem Datenvolumen ist oft genau diese eine Einstellung das ganze Problem.

Was macOS Ihnen nicht sagt

Drei Grenzen, weil mehrere beliebte Artikel sie auslassen:

• Es gibt keine eingebaute Bandbreitenhistorie pro App. Activity Monitor und nettop berichten beide seit Prozessstart oder seit dem Moment, in dem Sie zu beobachten begonnen haben. Nichts in macOS führt eine Aufzeichnung pro App, die Sie hinterher nachschlagen können.
• Summen pro Prozess sind keine Summen pro App. Ein Browser verteilt seinen Verkehr auf Renderer-Prozesse, und ein Hilfs-Daemon kann den Verkehr mehrerer Apps gleichzeitig tragen.
• Verkehr über ein VPN oder eine Systemerweiterung kann der Erweiterung zugerechnet werden statt der App, die ihn erzeugt hat.

Für eine historische Aufschlüsselung muss ein Werkzeug Daten über längere Zeit erfassen. Prüfen Sie, wie es misst, welche Zeiträume es abdeckt und wie es gemeinsame Prozesse zuordnet, bevor Sie den Zahlen vertrauen.

Eine wiederholbare Prüfung

1. Beobachten Sie das Live-Diagramm unten im Tab Netzwerk der Aktivitätsanzeige, nicht die Spalten.
2. Führen Sie nettop -P -L 2 -d -J bytes_in,bytes_out einmal aus. Der Befehl liefert zwei Stichproben; die zweite zeigt die Änderung seit der ersten.
3. Für den Prozess, der gewachsen ist, führen Sie lsof -i -n -P aus, um zu sehen, wohin er verbunden ist.
4. Halten Sie die verdächtige App oder den Sync-Dienst an und prüfen Sie, ob das Diagramm sinkt.
5. Sinkt der Durchsatz nicht, prüfen Sie weitere Prozesse, darunter Softwareupdate und iCloud. Ein einzelner Versuch schließt andere Apps nicht aus.

Schritt vier ist der, den die meisten überspringen, und genau der trennt eine Identifikation von einer Vermutung.

Wo ein Monitor hingehört

Mole zeigt den aktuellen Netzwerkdurchsatz in der Menüleiste neben CPU, Speicher und thermischem Zustand, sodass eine beschäftigte Verbindung sichtbar ist, wenn sie passiert, statt hinterher rekonstruiert zu werden. Es berichtet den Durchsatz, den es messen kann, und installiert keinen Netzwerkfilter, um eine Historie pro App zu behaupten, die macOS nicht liefert.

Häufige Fragen

Warum verbraucht mDNSResponder so viele Daten?

Es löst Namen auf und übernimmt die lokale Netzwerkerkennung für das gesamte System, sodass der Verkehr vieler anderer Prozesse ihm zugerechnet wird. Es lädt nichts Eigenes herunter.

Kann ich sehen, wie viele Daten eine App gestern verbraucht hat?

Nicht rückwirkend mit diesen macOS-Werkzeugen. Für eine Historie pro App muss ein Werkzeug bereits während des betreffenden Zeitraums Daten erfasst haben. Prüfen Sie dessen Messmethode und Abdeckung.

Wie finde ich heraus, was auf einem Hotspot Daten verbraucht?

Aktivieren Sie den Datensparmodus für dieses Netzwerk unter Systemeinstellungen > Wi-Fi > Details, der mehrere Hintergrunddienste einschließlich automatischer Update-Downloads stoppt, und nutzen Sie dann den oben beschriebenen nettop-Vergleich für den Rest.

Ist hohe Netzwerkaktivität ein Zeichen für Malware?

Es ist selten das erste Zeichen, und die üblichen Erklärungen oben decken fast jeden Fall ab. Arbeiten Sie diese durch, bevor Sie stetigen Hintergrundverkehr als verdächtig behandeln.