Erkennung von Residential Proxys: Warum sie so schwer ist
Die Erkennung von Residential Proxys ist der Versuch, Traffic zu identifizieren, der über gewöhnliche Heim- oder Mobilfunk-Internetanschlüsse geleitet wird, die ihre Besitzer vermieten, und sie ist eines der schwierigsten Probleme der IP-Intelligence. ipto erkennt keine Residential Proxys. Die Flags decken VPN-, Tor-, Abuse- und Datacenter-Adressen ab, und ein Residential Proxy kommt in der Regel sauber zurück. Es lohnt sich daher zu verstehen, warum, bevor Sie eine Verteidigung allein auf IP-Daten aufbauen.
Wie Residential Proxys funktionieren
Ein Datacenter-Proxy läuft auf einem Server in einem Hosting-Netz, seine Adresse gehört also zu einer Hosting-ASN, die sich leicht zuordnen lässt. Ein Residential Proxy ist anders: Die Exit-Adresse gehört einem Endkunden-ISP und ist einem echten Haushalt oder Telefon zugewiesen. Anbieter erhalten Zugriff auf diese Anschlüsse über Software, die in Apps, Browser-Erweiterungen oder Geräte eingebunden ist, bei denen der Gerätebesitzer (oft ohne große Aufmerksamkeit) zugestimmt hat, Bandbreite zu teilen, oder über Malware, die Geräte ohne Zustimmung einbindet. Der Traffic eines Kunden wird über das jeweils vom Anbieter gewählte eingebundene Gerät weitergeleitet.
Für die Zielwebsite kommt die Anfrage von einer Adresse, die einem normalen ISP gehört, in einem normalen Endkundenbereich, mit einer plausiblen Stadt. Nichts in den Registrierungsdaten kennzeichnet sie als Proxy, denn auf Netzwerkebene ist sie kein Proxy-Dienst. Es ist ein legitimer Teilnehmeranschluss, der Traffic trägt, den der Teilnehmer nicht selbst erzeugt hat.
Warum listenbasierte Erkennung scheitert
Die meiste IP-basierte Proxy-Erkennung arbeitet mit Zuordnung und Listen: veröffentlichte VPN- und Tor-Exit-Listen sowie ASN-Daten, die zeigen, dass eine Adresse in einem Hosting- oder VPN-Netz liegt. Dieser Ansatz wirkt gegen Datacenter-Proxys, weil die Infrastruktur konzentriert und stabil ist. Residential-Netze brechen jede dieser Annahmen.
- Keine stabile Infrastruktur. Exit-Adressen verteilen sich über Tausende Endkunden-ISPs, es gibt also keine kleine Menge von ASNs zum Markieren. Diese ASNs zu sperren würde gewöhnliche Kunden treffen.
- Ständige Rotation. Ein Anbieter kann für jede Anfrage oder Sitzung ein anderes Gerät und damit eine andere Adresse zuteilen. Jede Liste ist veraltet, bevor sie veröffentlicht wird.
- Geteilte Adressen. Dieselbe IP kann gleichzeitig eine echte Familie, einen Carrier-Grade-NAT-Pool mit vielen Nutzern und eine Proxy-Sitzung bedienen, sodass ein Urteil auf Adressebene schon im Prinzip mehrdeutig ist.
- Zunächst saubere Reputation. Ein neu eingebundenes Gerät hat keine Missbrauchshistorie, daher haben Reputations-Feeds nichts zu melden, bis es missbräuchlich genutzt wurde.
Die praktische Folge: Wenn eine Abfrage wie der VPN-, Tor- und Proxy-Checker von ipto „nicht bekannt“ zurückgibt, sagt Ihnen das, dass die Adresse weder in einer bekannten VPN- oder Tor-Liste noch in einem Hosting-orientierten Netz steht. Es sagt Ihnen nicht, dass der Traffic menschlich ist.
Was dennoch helfen kann
Da die IP selbst wenig Belege trägt, verlagert sich die Erkennung auf Verhalten und Kontext. Keines davon ist allein beweiskräftig, und alle erfordern Daten aus Ihrer eigenen Anwendung statt aus einer IP-Abfrage.
- Verhaltensmuster: Anfragetakt, Navigationsreihenfolge, fehlende Asset-Ladevorgänge, identisches Timing beim Ausfüllen von Formularen und Sitzungsdauern, die nicht menschlich wirken.
- Konsistenz des Clients: ein geparster User-Agent, der nicht zu anderen Headern, Spracheinstellungen oder TLS-Merkmalen passt. Der User-Agent-Parser ist ein schneller Weg zu prüfen, ob der angegebene Browser und das Betriebssystem in sich plausibel sind.
- Geschwindigkeit über Konten hinweg: viele Anmeldungen, Logins oder Checkouts, verteilt auf viele einzelne, für sich unauffällige Adressen.
- Netzkontext: Die ASN-Abfrage verrät, in welchem ISP eine Adresse liegt, was zeigt, dass ein Traffic-Schub ungewöhnlich breit über Anbieter verteilt ist, auch wenn sie keinen Proxy beweisen kann.
- Kombiniertes Risiko: Signale aus IP, E-Mail und Telefon zusammen, wie sie der Fraud-Score-Checker liefert, fangen Fälle ab, in denen die Adresse unauffällig aussieht, die Identitätsangaben aber nicht.
Um die Lücke herum planen
Behandeln Sie IP-Intelligence als eine Schicht und seien Sie ausdrücklich darüber, was sie abdeckt. Die IP-Abfrage von ipto liefert is_vpn, is_tor, is_abuser und is_datacenter, und die Threat Feeds werden alle 6 Stunden aktualisiert, was für den großen Anteil unerwünschter Automatisierung nützlich ist, der aus Hosting-Netzen läuft. Für den Rest setzen Sie auf Rate Limits pro Konto und pro Aktion, Step-up-Verifizierung bei sensiblen Vorgängen und Bot-Challenge-Abläufe, die den Client bewerten statt die Adresse.
Seien Sie misstrauisch gegenüber jedem, der eine sichere Identifizierung von Residential Proxys allein anhand einer IP-Adresse verspricht. Da die Adresse ein echter Teilnehmeranschluss ist, ist die ehrliche Position probabilistisch: Manche Anbieter behaupten, die Proxy-Nutzung aus Traffic-Analyse oder Daten auf Geräteebene abzuleiten, aber keine öffentliche IP-Liste kann sie belegen. Den verwandten Hintergrund zum Aufbau von VPN-Listen finden Sie unter So funktioniert VPN-Erkennung.