# Agent oder SPAN/TAP: Welche Netzwerküberwachung ist besser?

Ein Spiegelport oder TAP ist für ein ganzes Bürosegment meist besser, Agenten eignen sich besser für bestimmte Server oder Orte, an denen sich kein Verkehr spiegeln lässt. Mit SPAN (einer Switch-Einstellung, die Verkehr auf einen Port kopiert) oder einem TAP (einem kleinen Gerät, das den Verkehr auf einem Kabel kopiert) sieht ein einziger Sensor jedes Gerät im Segment, auch Drucker, Kameras und Maschinen, ohne dass dort etwas installiert wird. Dafür braucht es einen verwalteten Switch oder einen TAP, und gesehen werden nur die gespiegelten Segmente. Ein Agent auf einem Host sieht dessen eigenen Verkehr, wo immer er steht, auch Server in einem Rechenzentrum oder in der Cloud, wo sich nichts spiegeln lässt. Viele Unternehmen kombinieren beides. NetSenX unterstützt beides: Ein Agent an einem SPAN- oder TAP-Port zählt als ein Gerät für das ganze Segment, und Agenten laufen unter Linux und macOS. TLS-Fingerprinting braucht Paketerfassung, die der Basismodus unter macOS nicht leistet.

FAQ: [NDR, EDR, SIEM, XDR, MDR](https://netsenx.com/de/faq/tools) · https://netsenx.com/de/faq/agent-based-or-span-tap-based-network-monitoring

## Weiterlesen

- https://netsenx.com/de/what-is-ndr
- https://netsenx.com/de/blog/2026-09-24_ndr-vs-edr-vs-siem

## Verwandte Fragen

- [Funktioniert NDR bei verschlüsseltem Verkehr?](https://netsenx.com/de/faq/does-ndr-work-on-encrypted-traffic)
- [Sieht NDR den Verkehr zu Cloud- und SaaS-Diensten?](https://netsenx.com/de/faq/can-ndr-see-cloud-and-saas-traffic)
- [Kann NDR Angriffe blockieren oder nur alarmieren?](https://netsenx.com/de/faq/can-ndr-block-attacks-or-only-alert)
- [Wie erstelle ich aus dem Netzwerkverkehr ein Geräteinventar?](https://netsenx.com/de/faq/how-to-build-an-asset-inventory-from-network-traffic)
- [Zeigt eine Netzwerkkarte Geräte, die nie Verkehr senden?](https://netsenx.com/de/faq/does-a-network-map-show-devices-that-never-send-traffic)