VPN- & Tor-Exit-Node-Datenbank

Umfasst die IP-Infrastruktur hinter kommerziellen VPN-Diensten, Tor-Relays und stark missbrauchten Einzel-IPs, die über mehrere unabhängige Bedrohungssignale erkannt wurden. Die VPN-Anbieterzuordnung stammt aus ASN-Eigentümerdaten — wenn ein Netzwerkbereich direkt auf einen bekannten VPN-Betreiber registriert ist, wird der Anbieter identifiziert. Bereiche auf gemeinsam genutzter Infrastruktur (M247, Datacamp, Clouvider) zeigen nur den ISP-Namen, da Dutzende VPN-Dienste auf diesen ASNs koexistieren und eine Einzelanbieter-Zuordnung irreführend wäre.

Jeder Eintrag in dieser Datenbank stammt aus einer von vier Klassifizierungs-Pipelines. Einträge aus mehreren Pipelines werden nach Quellpriorität dedupliziert: Tor-Exit-Nodes haben Vorrang vor VPN-Bereichen, die wiederum Vorrang vor allgemeiner Threat Intelligence haben. Das Ergebnis ist eine einzige kanonische Klassifizierung pro IP, keine doppelten Zeilen über Kategorien hinweg.

Spaltendefinitionen

IP / CIDR

Netzwerkbereich oder Einzel-IP. CIDR-Notation wie 185.220.101.0/24 bedeutet, dass das gesamte /24-Subnetz bestätigte VPN- oder Tor-Infrastruktur ist — nicht nur ein einzelner markierter Host darin.

Anbieter

Der über ASN-Eigentümerschaft mit diesem Bereich verknüpfte VPN-Dienst. Nur ausgefüllt, wenn das ASN ausschließlich auf einen VPN-Betreiber registriert ist. Bei Shared-Hosting-ASNs bleibt dies leer; die ISP-Spalte zeigt den tatsächlichen Netzbetreiber.

ISP

Das autonome System (AS), das diesen IP-Block via BGP ankündigt. Bei anbietereigenen ASNs entspricht dies dem Anbieter. Bei gemieteter Infrastruktur zeigt es das Hosting-Unternehmen (z. B. M247, Zenlayer, Serverius).

Land

Das Land, in dem dieser Block registriert oder geroutet ist. Bei VPN- und Tor-Knoten ist dies der Server-Standort, nicht der Nutzer dahinter. Betreiber wählen Jurisdiktionen bewusst aus rechtlichen und Routing-Gründen.

Klassifizierung

VPN — bestätigter kommerzieller VPN-Exit-Bereich. Tor-Exit-Node — leitet Tor-Circuit-Verkehr ins offene Internet; von hier stammende Verbindungen haben das Anonymitätsnetzwerk bereits verlassen. Tor-Relay — nur netzinterner Hop; initiiert keine externen Verbindungen. Threat Intel — einzelne IP, bestätigt durch 3 oder mehr unabhängige Blocklisten.

Wie die Klassifizierung funktioniert

Die Pipeline führt vier gleichzeitige Feeds aus und führt die Ergebnisse dann zu einem einzigen kanonischen Eintrag pro IP zusammen. Erscheint eine IP in mehreren Kategorien, gilt folgende Klassifizierungspriorität: Tor-Exit > VPN-Bereich > Threat Intel > Tor-Relay. Dies verhindert Doppelzählungen und stellt sicher, dass das sicherheitsrelevanteste Label gewinnt.

Threat-Intel-Einträge erfordern eine Cross-Feed-Bestätigung: Nur IPs, die von 3 oder mehr unabhängigen Blocklisten markiert wurden, sind enthalten. Einzelquellen-Markierungen werden ausgeschlossen, um Fehlalarme durch veraltete oder minderwertige Feeds zu reduzieren.

Anwendungsfälle

Zugriffskontrolle

Blockieren oder markieren Sie Anmeldungen, Logins und Käufe, die von VPN-Exit-Nodes und Tor-Exits stammen. Reduziert Rückbuchungen, Credential Stuffing und Kontobetrug, wo echte Identität wichtig ist.

Analytics-Hygiene

Filtern Sie VPN- und Tor-Verkehr aus Produkt-Analytics-Pipelines. Ein einzelner Power-User, der VPN-Exit-Nodes wechselt, kann Sitzungszahlen aufblähen und Conversion-Funnels erheblich verzerren.

Betrugs-Scoring

Fließt in ein zusammengesetztes Risikosignal neben Velocity-Checks, Geräte-Fingerprinting und Verhaltensmustern ein. Ein VPN-Treffer allein ist kein Betrug — kombiniert mit anderen Signalen verschiebt es die Wahrscheinlichkeit erheblich.

Sicherheitsbetrieb

Reichert SIEM-Ereignisse und WAF-Logs an. Eine eingehende Verbindung von einem Tor-Exit-Node oder einer bekannten Threat-Intel-IP rechtfertigt erhöhte Prüfung unabhängig von der Nutzlast.

VPN-Anbieter mit direkter ASN-Zuordnung (19 identifiziert)

Die Zuordnung erfolgt nach bestem Bemühen. Anbieter, die IP-Raum von Shared-Hosting-Unternehmen mieten, erscheinen unter dem Hosting-ISP. Vollständige VPN-Abdeckung erfordert aktive Serverenumeration, was über das hinausgeht, was BGP-/ASN-Daten allein unterstützen. Die obige Liste stellt nur bestätigte Betreiber-zu-ASN-Zuordnungen dar.

Intelligence-Quellen

VPN-Bereiche

BGP-abgeleitete CIDR-Liste bekannter VPN-Serverbereiche, erstellt aus Routing-Analyse und aktiver Serverenumeration. Wird kontinuierlich von der Community aktualisiert.

Tor-Exit-Nodes

Offizielle Massen-Exit-Node-Liste des Tor Project — der maßgebliche Nachweis von IPs, die jederzeit Tor-Exit-Verkehr erzeugen können.

Tor-Relay-Nodes

Vollständiges Tor-Relay-Register mit Relay-Fingerabdruck, IP-Adresse und OR-Port. Umfasst netzinterne Relays, die nicht auf der Exit-Liste erscheinen.

Threat Intel

Multi-Quellen-Blacklist-Aggregator. Jeder beitragende Feed läuft unabhängig; eine IP, die die 3-Feed-Schwelle übersteht, wurde von mehreren Organisationen ohne Absprache untereinander als feindlich bestätigt.