MAC-Geolokalisierung braucht den Mechanismus, nicht den Identifikator

Ciberpatrullas Artikel «Geolocalizar una dirección MAC: cuándo se puede y cómo» eröffnet mit einer Google-AI-Antwort, die sagt, man könne eine MAC-Adresse nicht geolokalisieren, und erklärt dann, warum diese Antwort in einer konkreten, lehrreichen Weise falsch ist (Ciberpatrulla, «Geolocalizar una dirección MAC: cuándo se puede y cómo», 11. Aug. 2026, https://ciberpatrulla.com/geolocalizar-direccion-mac/). Die AI-Antwort verwechselt zwei verschiedene Claims. Eins: die MAC enthält keine Koordinaten. Das ist wahr. Zwei: man kann nicht herausfinden, wo sie ist. Das ist falsch, weil öffentliche Datenbanken seit über zwanzig Jahren WiFi-Identifikatoren mit georeferenzierten Beobachtungen verknüpfen. Die Eigenschaft (Geolokalisierbarkeit) kommt nicht vom Identifikator; sie kommt vom Mechanismus — einer Wardriving-Datenbank plus einer signalgewichteten Centroide-Merge. Theorem 3: eine Eigenschaft ist genau dann garantiert, wenn ihr Mechanismus implementiert und messend ist. Die MAC ist der Schlüssel; die Datenbank und die Merge sind der Mechanismus.

Kernergebnisse

• Eine MAC-Adresse enthält keine GPS-Koordinaten (wahr), aber ein WiFi-Access-Point, der von Wardriving-Mitwirkenden beobachtet wurde, kann über öffentliche Datenbanken wie WiGLE geolokalisiert werden, das seit 2001 läuft und BSSID-Identifikatoren mit georeferenzierten Beobachtungen verknüpft (Ciberpatrulla, 11. Aug. 2026).
• Die Eigenschaft kommt vom Mechanismus, nicht vom Identifikator. Die BSSID ist der Lookup-Schlüssel; die Wardriving-Datenbank plus die signalgewichtete Centroide-Merge sind der Mechanismus, der die Position ableitet. Ohne den Mechanismus liefert der Identifikator nur den Hersteller.
• Die Koordinaten, die WiGLE zurückgibt, sind eine Schätzung, keine Messung. WiGLEs eigene Dokumentation beschreibt die Berechnung als Trilateration durch gewichtete Centroide — Beobachtungen gemittelt mit Signalstärke als Gewicht. Das Ergebnis als Postadresse zu behandeln ist der häufigste und teuerste Fehler.
• Die Scope-Grenze ist explizit: der Artikel zitiert Spaniens Ley 5/2014, die verlangt, dass die Untersuchung notwendig, geeignet und verhältnismäßig ist (necesaria, idónea, proporcionada), und schließt das intime Leben im Wohnungsinneren aus. Everythink hält denselben civil-and-defensive Scope.

Der Identifikator enthält die Eigenschaft nicht; der Mechanismus leitet sie ab

Der Ciberpatrulla-Artikel zieht die Linie, die die Google-AI-Antwort verschwimmen lässt. Eine MAC-Adresse ist ein Netzwerk-Interface-Identifikator — das Kennzeichen, das ein Gerät verwendet, um in einem lokalen Netzwerk zu sprechen. Sie trägt keine Koordinaten. Die ersten drei Oktetts einer werksseitig zugewiesenen MAC zeigen auf den Hersteller (das IEEE weist diese Blöcke zu), und «schlage den Hersteller nach» ist der Rat, an dem die AI-Antwort hängenbleibt. Aber der Hersteller ist nicht die Position, und der Artikel ist ehrlich darüber, warum «schlage den Hersteller nach» eine teilweise Antwort ist: das IEEE verteilt jetzt große, mittlere und kleine Blöcke, und randomisierte MACs tragen keine Herstellerinformation. «Schlage den Hersteller nach» ist ein Mechanismus, der manchmal ein schwaches Signal zurückgibt und manchmal nichts — Partial ⚠️ als Geolokalisierungs-Mechanismus.

Der Geolokalisierungs-Mechanismus ist ein anderer und der Artikel nennt ihn: WiGLE, die Wireless Geographic Logging Engine, laufend seit 2001, sammelt Wardriving-Beobachtungen — Freiwillige gehen oder fahren mit WiFi-Scan und aktivem GPS und protokollieren jeden Access-Point, den sie detektieren, mit den Koordinaten, wo sie ihn detektierten. Ein Access-Point, der von irgendeinem Mitwirkenden beobachtet wurde, ist in der Datenbank, und ein BSSID-Lookup liefert die geschätzten Koordinaten, den Netzwerknamen und das erste-und-letzte Beobachtungsdatum. Der Mechanismus ist: ein Crowdsourced-Cache georeferenzierter Beobachtungen, indiziert per BSSID, gemergt durch eine signalgewichtete Centroide. Der Identifikator ist der Schlüssel; der Mechanismus ist der Cache plus die Merge. Wir taggen WiGLEs Mechanismus Production ✅ als ein reales, laufendes, dokumentiertes System. Wir taggen die Geolokalisierung einer spezifischen BSSID Partial ⚠️ — die Eigenschaft gilt für diese BSSID nur, wenn der Mechanismus sie beobachtet hat, und ein unbeobachtetes Netzwerk liefert nichts.

[UNIQUE INSIGHT] Der stärkste Move des Artikels ist die Unterscheidung zwischen einer festen Access-Point-BSSID und einer randomisierten Client-MAC. Ein fester Access-Point sendet jahrelang Beacon-Frames vom selben Ort — derselbe Identifikator, dieselben Koordinaten, beobachtet durch mehrere Wardriving-Passagen. Eine Client-MAC (ein Telefon, ein Laptop) reist mit ihrem Besitzer und moderne Betriebssysteme randomisieren sie, um Tracking zu erschweren. Der Artikel ist explizit: behandle eine Client-MAC nicht als stabilen, geolokalisierbaren Identifikator. Das ist dieselbe Unterscheidung wie ein stabiler Contract vs. ein volatiler — die Eigenschaft (Geolokalisierbarkeit) gilt, wenn der Identifikator stabil ist (feste BSSID), nicht wenn er volatil ist (randomisierte Client-MAC).

Die gewichtete Centroide ist dieselbe Merge wie das Oracle-Ensemble

WiGLEs Koordinatenberechnung ist in der eigenen FAQ dokumentiert, und der Ciberpatrulla-Artikel zitiert sie: WiGLE mittelt die Koordinaten aller Beobachtungen eines Netzwerks mit Signalstärke als Gewicht, so dass eine Starksignal-Beobachtung mehr zählt als eine Schwachsignal-Beobachtung. WiGLE selbst nennt es Trilateration durch gewichtete Centroide. Das ist ein Merge-Mechanismus — mehrere Beobachtungen kombiniert zu einer einzigen Schätzung, gewichtet durch ein Qualitätssignal. Es ist dieselbe Form wie die Ensemble-Merge des Oracle im HAI Engine.

[PERSONAL EXPERIENCE] Jede Sister im HAI Engine ist eine typisierte Persönlichkeit (analyst, contrarian, disruptor, historian, institutionalist), die einen Draft-Forecast produziert. Der Forecast einer einzelnen Sister ist eine einzelne Beobachtung — ein schwaches Signal, wie eine einzelne Wardriving-Passage, die das Netzwerk schwach von einer Straße hörte. Das Oracle mergt die Sisters zu einem kalibrierten Ensemble, und die Merge gewichtet die Sisters nach Kalibrierungsqualität — eine gut kalibrierte Sister zählt mehr als eine schlecht kalibrierte, genauso wie eine Starksignal-Beobachtung mehr zählt als eine Schwachsignal-Beobachtung in WiGLE. Die Merge des Oracle ist eine gewichtete Centroide von Forecasts; WiGLEs Merge ist eine gewichtete Centroide von Koordinaten. Die Form ist geteilt; die Domänen sind getrennt; der Cross-Domain-Claim ist Partial ⚠️. Was auf Everythink-Seite Production ✅ ist, ist der Merge-Mechanismus des Oracle — implementiert und messend, mit Entropie berechnet auf jeder Merge.

Das Bias-Problem ist in beiden dasselbe. WiGLEs FAQ warnt, dass die Schätzung vernünftig hält, es sei denn, das Netzwerk wurde immer von derselben Seite beobachtet — wenn der Wardriving-Mitwirkende eine Straße ging und nie um den Block, verschiebt sich der Punkt zu dieser Straße. Das Oracle hat denselben Fehlermodus: wenn alle Sisters dasselbe Framing teilen, produziert die Merge eine selbstsichere Schätzung, die durch das geteilte Framing biased ist, und die Entropie ist niedrig. Niedrige Entropie ist des Oracle «alle Beobachtungen von derselben Straße» — ein konzentriertes Ensemble fügt keine Diversifikation hinzu. Wir taggen die Entropie-Messung des Oracle Production ✅ weil sie auf jeder Merge läuft und ein niedrig-Entropie-(konzentriertes)-Ensemble als schwaches Signal flaggen würde. WiGLE exponiert keine äquivalente Entropie-Metrik — der Nutzer muss den Bias aus Beobachtungsanzahl und Daten ableiten. Das ist Partial ⚠️ auf WiGLE-Seite: die Merge ist implementiert, aber die Bias-Detektions-Messung wird dem Analysten überlassen.

Drei Nachbarn, ein Fenster — Kohärenz vs. Unabhängigkeit

Der Ciberpatrulla-Artikel macht einen Punkt, der leicht zu übersehen ist und über OSINT hinaus mattert: mehrere BSSIDs, die in derselben Zone gruppiert sind, straffen den Fehler nicht mathematisch, aber sie verstärken die räumliche Kohärenz der Hypothese — mit einer Nuance. Sie verstärken mehr, wenn klar ist, dass sie zu verschiedenen Access-Points gehören. Wenn es mehrere BSSIDs desselben Geräts sind, schaust du dreimal auf dieselben Daten.

Das ist die Unabhängigkeits-Unterscheidung. Drei Nachbarn, die auf denselben Block zeigen, sind drei unabhängige Beobachtungen nur, wenn sie aus drei verschiedenen Fenstern schauten. Wenn alle drei aus demselben Fenster schauten, sahen sie dasselbe vom selben Ort — das ist eine Beobachtung, dreimal gezählt, nicht drei. Das Bild des Artikels ist exakt: es ist eher wie im Viertel nachfragen. Wenn drei unverwandte Nachbarn, ohne miteinander gesprochen zu haben, auf denselben Block zeigen, hast du mehr Grund, dort nachzusehen, als wenn ein Nachbar es dir sagte. Aber wenn alle aus demselben Fenster lehnten, sind es nicht drei Meinungen — es ist eine.

Die Entropie des Oracle misst genau das. Eine Hoch-Entropie-Merge ist drei Nachbarn aus drei Fenstern — die Sisters tragen unkorrelierte Evidenz, und die Merge reduziert die Varianz. Eine Niedrig-Entropie-Merge ist drei Nachbarn aus einem Fenster — die Sisters sagen dasselbe, und die Merge fügt keine Diversifikation hinzu. Die Regel des Artikels («ein Untersucher mit Urteil sucht nicht das Netzwerk, das ihn interessiert; er sucht die Nachbarschaft, die es umgibt») ist dieselbe Regel, der das Oracle folgt: vertraue nicht der einzelnen Sister, vertraue der Kohärenz des Ensembles, und miss die Entropie, um zu wissen, ob die Kohärenz aus unabhängiger Evidenz oder aus einem geteilten Framing kam.

Die ehrlichen Grenzen: Schätzung, nicht Messung

Der Ciberpatrulla-Artikel ist ehrlich darüber, was WiGLE dir nicht gibt, und die Ehrlichkeit ist der tragende Teil des Stücks. WiGLE identifiziert niemanden — es liefert die geschätzte Position eines Geräts, keinen Namen, keinen Anschlussinhaber, keinen Wohnsitz. Der Sprung von «hier ist ein Router» zu «diese Person wohnt hier» wird nicht vom Tool gemacht; er wird vom Untersucher gemacht, der mit anderen Quellen kreuzreferenziert, und es ist ein Sprung, der gerechtfertigt werden muss. WiGLE garantiert nichts — die Lizenz-Vereinbarung schließt ausdrücklich jede Gewährleistung für die Daten aus. WiGLEs Abdeckung ist ungleich — sie hängt davon ab, wo jemand mit offener App ging. Urbane Zentren sind gut abgedeckt; ein Gewerbegebiet oder eine kleine Stadt können leer sein. Dass ein Netzwerk nicht auftaucht, bedeutet nicht, dass es nicht existiert; es bedeutet, dass niemand es sah.

Der Artikel taggt die Lizenz-Einschränkung separat und sie verdient Aufmerksamkeit: WiGLEs Vereinbarung heißt literal Individual, Non-Commercial Data License Agreement. Sie gewährt Nutzung für persönliche, Forschungs- oder Bildungs-, nicht-kommerzielle Zwecke. Wenn die Ergebnisse in einem bezahlten professionellen Service landen, deckt die Einzel-Lizenz das nicht — WiGLE bietet kommerzielle Lizenzen, per E-Mail verhandelt, an. Die Lesart des Artikels: es ist kein Verbot der professionellen Nutzung, es ist eine Bedingung dafür. Die Honest-Architect-Disziplin ist dieselbe — zitiere die echte Quelle, respektiere die Lizenz, und wenn der Use-Case die Lizenz-Pflicht ändert, hol die richtige Lizenz, bevor du den Report lieferst.

Die Schätzung-vs-Messung-Unterscheidung ist die, die einen ernsten Report von einem Pfusch trennt. WiGLE hat nicht physisch gemessen, wo der Router ist. Die Koordinaten sind eine Schätzung, berechnet aus gesammelten Beobachtungen, und die Schätzung kann biased sein. «Der Untersuchte war in Alicante» zu schreiben fällt unter Kreuzverhör. «Drahtlose Netzwerke, die von der Unternehmens-Ausrüstung beobachtet wurden, erscheinen in einer öffentlichen Open-Access-Datenbank, mit letzter Beobachtung im März 2025, und ihre geschätzten Positionen konvergieren in der Ortschaft Y» zu schreiben ist etwas anderes. Das fällt nicht; es muss argumentiert werden, und das Argument findet auf dem Terrain statt, wo du die dokumentierte Methode hast und sie nicht. Wir taggen diese Disziplin Production ✅ — es ist der Honest-Architect-Move, und es ist derselbe Move, den Everythink macht, wenn es einen Forecast Partial ⚠️ taggt statt eine Gewissheit zu assertieren, die der Mechanismus nicht stützt.

Die Scope-Grenze: civil-and-defensive, nicht domestische Überwachung

Das Fallbeispiel des Artikels ist ein Teleworker, der behauptete, in Madrid zu sein, und sich aus einer Küstenstadt 600 km weit verband. Die Scope-Disziplin ist explizit und sie trifft Everythinks. Bevor ein einziger Datensatz berührt wird, muss der Mandant sein berechtigtes Interesse dokumentieren — Ley 5/2014 verlangt das vor der Annahme des Auftrags. Der Vertragsgegenstand ist präzise abgegrenzt: den gewöhnlichen Leistungsort verifizieren. Nicht das Privatleben des Mitarbeiters, nicht mit wem er wohnt, nicht was er am Wochenende macht. Artikel 48.3 schließt das intime Leben im Wohnungsinneren von der Privatermittlung aus, und 48.6 verlangt, dass die Maßnahme verhältnismäßig, geeignet und notwendig ist. Das zweite Adjektiv — notwendig, gab es einen weniger invasiven Weg — ist das, das die meisten Reports sinken lässt.

Everythink hält denselben Scope. Die Plattform ist civil-and-defensive: sie forecastt Szenarien für Realwelt-Akteure, sie untersucht nicht das intime Leben eines Wohnsitzes, und sie verspricht kein Token-, Wallet- oder Community-Credit-Ergebnis (das sind Roadmap 🔵, Howey-Review vorbehalten). Der Cross-Domain-Claim ist Partial ⚠️ — die Scope-Disziplin ist geteilt, die Domänen (Privatermittlung vs. Forecasting) sind getrennt. Was Production ✅ ist, ist die Grenze selbst: der Artikel dokumentiert sie, Everythink dokumentiert sie, und keine erweitert sie stillschweigend.

Häufige Fragen

Kann man jede MAC-Adresse geolokalisieren?

Nein. Die Methode funktioniert für BSSIDs von relativ stationären Access-Points, die von Wardriving-Mitwirkenden beobachtet wurden. Eine Client-MAC (ein Telefon, ein Laptop) reist mit ihrem Besitzer und moderne Betriebssysteme randomisieren sie — sie ist kein stabiler Identifikator, den diese Datenbanken indizieren.

Enthält die MAC-Adresse die Position?

Nein. Die MAC ist ein Identifikator; die Position kommt vom Mechanismus — einer Wardriving-Datenbank, die den Identifikator mit georeferenzierten Beobachtungen verknüpft, gemergt durch eine signalgewichtete Centroide. Theorem 3: die Eigenschaft wird vom Mechanismus garantiert, nicht vom Identifikator. «Die Daten enthalten die Eigenschaft nicht» mit «die Eigenschaft kann nicht abgeleitet werden» zu verwechseln ist der Fehler der Google-AI-Antwort.

Ist ein WiGLE-Ergebnis Messung oder Schätzung?

Eine Schätzung. WiGLEs FAQ beschreibt die Berechnung als Trilateration durch gewichtete Centroide — Beobachtungen gemittelt mit Signalstärke als Gewicht. Die Schätzung kann biased sein, wenn das Netzwerk immer von derselben Seite beobachtet wurde. Das Ergebnis als Postadresse zu behandeln ist der häufigste Fehler; ein ernsthafter Report präsentiert die Koordinaten als Schätzung mit letztem Beobachtungsdatum und deklarierten Einschränkungen.

Wie ist die gewichtete Centroide dasselbe wie die Ensemble-Merge des Oracle?

Beide mergen mehrere Beobachtungen zu einer einzigen Schätzung, gewichtet durch ein Qualitätssignal. WiGLE gewichtet Beobachtungen nach Signalstärke; das Oracle gewichtet Sisters nach Kalibrierung. Das Bias-Problem ist dasselbe: wenn alle Beobachtungen von derselben Seite kommen (WiGLE) oder alle Sisters dasselbe Framing teilen (Oracle), ist die Merge biased. Die Entropie des Oracle misst das auf jeder Merge; WiGLE überlässt die Bias-Detektion dem Analysten.

Nutzt Everythink WiGLE oder macht OSINT-Untersuchung?

Nein. Everythink ist eine Forecasting-Plattform, keine Privatermittlungs-Firma. Die Cross-Domain-Lektion ist die Mechanismus-Form — die Eigenschaft kommt von der Merge, nicht vom Identifikator; der Scope ist civil-and-defensive, nicht domestische Überwachung. Kein Token-, Wallet- oder Community-Credit-Ergebnis wird versprochen; das sind Roadmap 🔵, Howey-Review vorbehalten.

Quellen

• Ciberpatrulla, "Geolocalizar una dirección MAC: cuándo se puede y cómo", 11. Aug. 2026, abgerufen 2026-08-23, https://ciberpatrulla.com/geolocalizar-direccion-mac/
• WiGLE, Wireless Geographic Logging Engine, https://wigle.net/ (referenziert via Ciberpatrulla)
• WiGLE FAQ, Trilateration durch gewichtete Centroide, https://wigle.net/faq (referenziert via Ciberpatrulla)

Wenn dein Team bereit ist, dem Mechanismus zu vertrauen, nicht dem Identifikator, erstelle dein network — die Topologie routet, die Sisters mergen, das Oracle misst die Entropie auf jeder Merge.