IP-WHOIS-Abfrage vs. IP-Geolokalisierungs-API
Zwei verschiedene Fragen
IP-WHOIS und IP-Geolokalisierung werden oft verwechselt, weil beide von einer IP-Adresse ausgehen. Sie beantworten aber unterschiedliche Fragen. Eine WHOIS-Abfrage beantwortet: Wer ist für diesen Adressblock verantwortlich? Eine Geolokalisierungsabfrage beantwortet: Wo scheint diese Adresse zu liegen, und was für ein Netzwerk ist das? Keines ersetzt das andere, und die besten Workflows nutzen beide.
Es hilft auch, dies vom Domain-WHOIS abzugrenzen, das festhält, wer einen Domainnamen registriert hat. Dieser Artikel behandelt den Registry-Eintrag für einen IP-Adressblock, nicht für eine Website.
Was ein IP-WHOIS-Eintrag enthält
Die Registries, die IP-Adressraum vergeben (ARIN, RIPE NCC, APNIC, LACNIC und AFRINIC), führen für jedes zugewiesene Netz einen Eintrag. Eine Abfrage liefert Anfang und Ende des Blocks, die CIDR-Notation, Netzwerkname und Handle, Registrierungs- und Änderungsdatum sowie die hinterlegten Kontakte: meist eine registrierende Organisation, einen administrativen Kontakt und – wichtig – einen Abuse-Kontakt. Die IP-WHOIS-Abfrage von ipto liefert genau diesen Eintrag.
RDAP, der moderne Nachfolger
Klassisches WHOIS ist Klartext ohne festes Format, sodass jede Registry anders aussieht. ipto ruft die Daten über RDAP ab, das Registration Data Access Protocol, das strukturiertes JSON liefert und über HTTPS läuft. Das Ergebnis ist derselbe Eintrag, aber einheitlich und leicht zu parsen. Hat eine Registry für einen Bereich keinen RDAP-Server oder begrenzt sie die Anfragen, nennt die Abfrage den Grund, statt eine leere Antwort zu liefern.
Was die Geolokalisierung ergänzt
Der obige Eintrag sagt nicht, wo die Adressen genutzt werden. Diese Lücke schließt die Geolokalisierung mit einem ungefähren Land und einer Stadt, dem ASN und dem Netzbetreiber, der Angabe, ob die Adresse zu einem Hosting-Anbieter gehört, und ob sie als VPN, Tor-Exit oder missbräuchliche Quelle markiert ist. Das erhalten Sie aus dem IP-Lookup von ipto und, pro Netzwerk, aus dem ASN-Lookup.
Eine dritte Option: die Unternehmenssicht
Der IP-zu-Unternehmen-Lookup gleicht den WHOIS-Registranten mit dem ASN-Inhaber ab und liefert einen einzelnen Organisationsnamen mit Konfidenzwert. Nutzen Sie WHOIS, wenn Sie den zugrunde liegenden Eintrag und alle Kontakte sehen wollen; nutzen Sie die Unternehmenssicht, wenn Sie nur den wahrscheinlichen Eigentümer brauchen.
Wann was verwenden
- Bearbeitung einer Missbrauchsmeldung: WHOIS, um den Abuse-Kontakt des Netzes zu finden.
- Inhalte personalisieren oder eine Region durchsetzen: Geolokalisierung.
- Eine verdächtige Adresse einordnen: beides, plus die Abuse-Prüfung.
- Herausfinden, wer ein Netzwerk betreibt: WHOIS und ASN-Lookup zusammen.
Grenzen beider Verfahren
WHOIS-Kontakte können veraltet sein, und viele Einträge zeigen wegen Datenschutzregeln ein Rollenpostfach oder eine Organisation statt einer Person. Der Registrant ist zudem derjenige, dem der Block zugewiesen wurde – oft ein ISP oder Cloud-Anbieter, nicht der Endnutzer. Geolokalisierung ist ungefähr, meist auf Länderebene zuverlässig und auf Stadtebene weniger, und ein VPN oder Proxy kann eine Adresse an einem anderen Ort erscheinen lassen. Betrachten Sie beides als Indiz, nicht als Beweis.