Was ist IP-Reputation und warum werden Proxys gesperrt?

Sie verbinden sich zum ersten Mal über einen Proxy, öffnen einen Onlineshop und bekommen ein CAPTCHA, bevor die Startseite geladen ist. Sie wechseln auf eine zweite Adresse desselben Anbieters, und dieselbe Website öffnet sich ohne Rückfrage. An Ihrem Browser und an Ihrer Anfrage hat sich zwischen den beiden Versuchen nichts geändert. Geändert hat sich die Adresse, genauer: das, was das Internet über sie im Gedächtnis hat.

In diesem Beitrag erklären wir, was IP-Reputation ist, welche Signale sie bewertet, wer den Wert führt und warum eine Proxy-Adresse mit einer Vorgeschichte ankommt, die Sie nicht geschrieben haben. Wir vergleichen Residential-, ISP-, Datacenter- und Mobile-Bereiche nach ihrem Reputationsrisiko, zeigen, wie sich ein Wert erholt, trennen das, was Sie steuern, von dem, was Sie nicht steuern, und listen die Prüfungen auf, die sich lohnen, bevor Sie einer Adresse vertrauen.

Was ist IP-Reputation?#

IP-Reputation ist ein Urteil über eine Adresse, nicht über eine Person. Sie beantwortet eine Frage, die jeder Mailserver, jedes CDN und jede Zahlungsseite tausendfach pro Minute stellt: Wie sehr sollten wir, nach allem, was wir über diese Adresse wissen, der nächsten Anfrage von ihr vertrauen?

Dieses Wissen setzt sich aus Beobachtungen zusammen. Jemand hat gesehen, wie Spam von der Adresse ausging. Jemand hat gesehen, wie sie ein Login-Formular vierhundertmal in einer Minute abgeklopft hat. Jemand hat festgestellt, dass sie als offener Proxy den Traffic beliebiger Dritter weiterleitet. Jemand hat bemerkt, dass sie einem Hosting-Unternehmen gehört und nicht einem privaten Breitbandanschluss. Jede Beobachtung für sich ist schwach; zusammen ordnen sie eine Adresse irgendwo zwischen „gewöhnlicher Privatanschluss" und „bekannte Missbrauchsquelle" ein. Kommerzielle Dienste verdichten das zu einer einzigen Zahl, die wir in IP Fraud Score: Was ist das und wie liest man ihn? auseinandergenommen haben; die meisten Reputationssysteme sind aber zuerst Listen und Regeln und erst danach eine Zahl.

Wer führt den Wert?#

Es gibt keine zentrale Instanz. Vier Arten von Organisationen pflegen Reputationsdaten, und sie beantworten unterschiedliche Fragen.

1. DNS-basierte Blocklisten (DNSBLs). Ein Mailserver fragt eine spezielle DNS-Zone, ob eine Adresse gelistet ist. RFC 5782 standardisiert den Mechanismus: Die Oktette der Adresse werden umgekehrt, die Domain der Liste wird angehängt, und eine Antwort der Form 127.0.0.x wird als „gelistet" gelesen. Spamhaus gibt an, dass seine SBL Adressen enthält, die beim Versand von Spam, beim Hosten schädlicher Inhalte oder beim Kapern von IP-Raum beobachtet wurden, und dass die Zone alle fünf Minuten neu aufgebaut wird.
2. Policy-Listen. Diese verzeichnen kein Fehlverhalten. Die Spamhaus Policy Block List enthält Endkundenbereiche, überwiegend Breitbandkunden, von denen aus E-Mail nie direkt versendet werden sollte; Netzbetreiber tragen ihre eigenen Bereiche ein. Eine Adresse kann auf der PBL stehen, ohne irgendetwas falsch gemacht zu haben. Es ist eine Aussage über den Typ der Adresse.
3. Kommerzielle IP-Intelligence. Scamalytics, IPQualityScore, MaxMind minFraud und AbuseIPDB sammeln Missbrauchsmeldungen von Kundenseiten, ergänzen Netztyp-Daten und verkaufen das Ergebnis als Wert oder als Satz von Merkmalen an Zahlungs- und Registrierungsseiten.
4. CDN- und Bot-Management-Plattformen. Cloudflare dokumentiert seinen Bot Score als Wert von 1 bis 99, wobei 1 bedeutet, dass die Anfrage fast sicher automatisiert war; gespeist wird er aus Heuristiken, maschinellem Lernen, JavaScript-Erkennungen und einer Liste verifizierter Bots. IP-Reputation ist dort eine Eingabe unter vielen, weshalb eine saubere Adresse mit einem verdächtigen Client trotzdem eine Challenge bekommt.

Große Plattformen betreiben private Versionen aller vier, und ihr Urteil erfahren Sie nur, indem Sie gesperrt werden.

Worauf schauen Reputationssysteme?#

Diese Signale tauchen unter verschiedenen Namen in der Dokumentation fast jedes Bewerters auf.

1. Missbrauchsmeldungen. Eine Website registriert eine Rückbuchung, einen Credential-Stuffing-Versuch oder einen Scraping-Lauf, der robots.txt ignoriert hat, und meldet die Quelladresse an eine gemeinsame Datenbank. Meldungen sind der Rohstoff jedes kommerziellen Werts.
2. Spam-Traps. Postfächer, die nie ein echter Mensch benutzt hat, veröffentlicht nur dort, wo Adresssammler sie finden. Ein einziger Treffer kann eine Adresse noch am selben Tag auf die Liste bringen.
3. Botnet-Command-and-Control-Listen. Eine Adresse, die jemals Steuerzentrale für infizierte Rechner war, bleibt noch lange verdächtig, nachdem die Schadsoftware verschwunden ist.
4. Open-Proxy- und Anonymisierer-Listen. Scanner prüfen, ob eine Adresse beliebigen Traffic weiterleitet; VPN- und Tor-Ausgänge sind eigene Merkmale. Gelistet zu sein heißt, dass die Adresse keinem einzelnen Nutzer zugeordnet werden kann, nicht, dass sie etwas missbraucht hat.
5. ASN und Netztyp. Das Register sagt, ob das besitzende Netz ein Endkunden-ISP, ein Mobilfunkbetreiber, ein Hosting-Unternehmen oder eine Firma ist. Hosting-Bereiche starten mit einem Handicap, weil echte Menschen nicht von Servern aus surfen.
6. Konsistenz der Geolokalisierung. Das Land der Adresse wird mit dem Rechnungsland, der Browsersprache, der Zeitzone und dem letzten erfolgreichen Login verglichen. Eine Abweichung plus Hosting-ASN ist ein starkes Indiz.
7. Velocity. Wie viele Anfragen, Registrierungen oder Logins die Adresse in der letzten Minute, Stunde und am letzten Tag erzeugt hat. Es ist das eine Signal, das Sie selbst erzeugen, und das am häufigsten dafür verantwortlich ist, dass eine frische Adresse an einem Nachmittag schlecht wird.

Wie eine Proxy-Adresse ihre Vorgeschichte erbt#

Keines dieser Signale unterscheidet zwischen der Person, die eine Adresse heute nutzt, und der, die sie letzte Woche genutzt hat. Das ist die ganze Geschichte, warum Proxys gesperrt werden.

Eine Datacenter-Adresse wird ständig vermietet und freigegeben; der Kunde vor Ihnen hat vielleicht eine Mailkampagne gefahren, die Spam-Traps getroffen hat, und der Eintrag überlebt den Mietvertrag. Eine Residential-Adresse wechselt planmäßig zwischen Teilnehmern; das Modem, das sie gestern hatte, war vielleicht Teil eines Botnets. Eine Mobile-Adresse teilen sich über Carrier-Grade NAT Hunderte Geräte gleichzeitig, sodass ein einziges infiziertes Telefon die Reputation aller dahinter einfärbt. Diese Teilung haben wir in Was ist CGNAT? So erkennen Sie es und kommen heraus beschrieben.

Bewerter weiten den Effekt absichtlich aus: Scamalytics gibt an, dass es das, was es über eine Adresse lernt, auf ihre Nachbarn im selben Subnetz und ASN überträgt, sodass eine saubere Adresse in einem schmutzigen /24 in Sippenhaft genommen wird, bis sich der Block beruhigt. Wenn Sie einen Proxy anbinden, übernehmen Sie seine Vergangenheit. Was Sie ab der ersten Anfrage tun, ist die andere Eingabe.

Warum Datacenter-Bereiche schlechter abschneiden als Endkundenbereiche#

Echte Kunden surfen von zu Hause, aus Büronetzen und vom Telefon; fast niemand liest eine Produktseite von einer virtuellen Maschine aus. Eine Anfrage aus einem Hosting-ASN startet also schon vor jeder Verhaltensprüfung mit einer geringen Wahrscheinlichkeit, dass ein Mensch dahintersteht. Hosting-Bereiche sind außerdem billig und werden zu Tausenden verkauft, daher ist die Dichte gemeldeten Missbrauchs dort tatsächlich höher. Endkundenbereiche hängen an physischen Leitungen oder SIM-Karten und sind voll gewöhnlicher Menschen; ein Bewerter, der sie pauschal sperrte, würde seine eigenen Kunden aussperren. Zwei Mechanismen dämpfen die Endkunden-Reputation selbst dann, wenn Missbrauch vorkommt:

• Geteilte Vorgeschichte wird verdünnt. Hinter einem CGNAT-Gateway wird ein einzelner Störer gegen Hunderte normale Nutzer verrechnet. Ein Bewerter, der von derselben Adresse gewöhnliches Einkaufen und einen einzelnen Missbrauchsschub sieht, behandelt sie meist als geteilte Verbindung; IPQualityScore zeigt dieses Urteil als Merkmal shared_connection.
• Policy-Listen schützen, statt zu bestrafen. Die PBL führt Endkundenbereiche, weil sie Endkundenbereiche sind. Ein Mailserver, der direkte Mail von einer PBL-Adresse ablehnt, sagt „schicken Sie über Ihren ISP", nicht „diese Adresse ist schlecht". Für Web-Traffic liest sich dieselbe Einstufung als „Privatnutzer".

Datacenter-Adressen haben keinen der beiden Schutzmechanismen: Sie sind Single-Tenant, Missbrauch wird also genau dieser Adresse zugeschrieben, und keine Policy-Liste bürgt für sie als Endkundenraum.

Reputationsrisiko nach Proxy-Typ#

Risiko bedeutet hier, wie wahrscheinlich eine frische Adresse dieses Typs von einer reputationsbewussten Website eine Challenge bekommt, bevor Sie überhaupt etwas getan haben.

Das Residential-Proxy-Netz von Proxynet besteht aus Adressen von Endkunden-ISPs; ISP-Proxy gibt Ihnen eine als Endkundenanschluss registrierte Adresse, die Ihnen bleibt; und Mobile-Proxy läuft über Betreibernetze, darunter Mobilfunkanbieter in Türkiye, mit Sticky Sitzungen von 1 bis 60 Minuten.

Wie sich Reputation mit der Zeit erholt#

Reputation ist nicht dauerhaft, aber jedes System vergisst in seinem eigenen Tempo, und den Zeitplan bestimmt die Liste, nicht Sie.

• Policy-Listen laufen nie von selbst ab. Ein PBL-Eintrag beschreibt den Bereich und bleibt, bis der Betreiber die Einstufung ändert. Sie wollen ihn auch gar nicht verlassen.
• Missbrauchsbasierte Listen verblassen mit Stille. Die meisten DNSBLs entfernen eine Adresse automatisch nach einer Zeit ohne neue Meldungen, je nach Liste nach einem Tag bis zu einigen Wochen. Spamhaus weist darauf hin, dass nur der verantwortliche Netzbetreiber die Entfernung eines SBL-Eintrags beantragen kann, dass die Entfernung immer kostenlos ist und dass jedes Angebot, gegen Gebühr auszutragen, Betrug ist. Die Reihenfolge eines Austragungsantrags steht in IP-Blacklist: Was ist das und wie kommt man herunter?.
• Kommerzielle Werte sind gewichtete Durchschnitte. Ein Missbrauchsschub hebt den Wert innerhalb von Stunden; es dauert Wochen sauberen Traffics, bis alte Meldungen herausaltern.
• Bot-Management-Plattformen haben bei der IP ein kurzes, beim Fingerprint ein langes Gedächtnis. Eine Adresse bekommt bald nach dem Ende des automatisierten Traffics keine Challenge mehr; der Client-Fingerprint und die Cookies, die sie auffällig gemacht haben, bleiben länger gespeichert.

Eine Residential- oder Mobile-Adresse, die sich danebenbenommen hat, erholt sich von selbst, sobald sie zu einem normalen Nutzer rotiert. Eine Datacenter-Adresse, die Sie monatelang halten, erholt sich nur, wenn Sie das Verhalten abstellen, das sie gelistet hat. Eine statische ISP-Adresse sollten Sie wie ein Bankkonto behandeln: eine Identität, ein Tempo, keine Experimente.

Was Sie steuern und was nicht#

Die Hälfte der Signale stand fest, bevor Sie sich verbunden haben. Die andere Hälfte gehört ab der ersten Anfrage Ihnen.

Sie steuern nicht: ASN und Netztyp der Adresse; die geerbte Vorgeschichte der Adresse und ihrer /24-Nachbarn; welche Listen ein Ziel abfragt und wo es seine Schwellen setzt; wie lange jede Liste einen Eintrag behält.

Sie steuern:

• Authentifizierungsmethode. Mit Benutzername und Passwort können Sie eine Sitzung über einen Parameter -session-…-ttl-… an einen Ausgang binden; IP-Whitelisting (bis zu 10 Adressen im Proxynet-Panel) bindet den Proxy an einen Client-Rechner, sodass ein geleaktes Zugangsdatum Ihre Reputation nicht von anderswo verbrennen kann.
• Sitzungsdauer. Ein Login-Ablauf oder ein Checkout erwartet von Anfang bis Ende dieselbe Adresse. Rotieren Sie mitten in der Sitzung, sieht die Website ein Konto, das zwischen zwei Klicks das Land gewechselt hat.
• Anfragetempo. Anfragen im Abstand eines Menschen, der eine Seite liest, halten eine saubere Adresse sauber; ein Schub von einigen hundert Anfragen pro Minute bringt einer Residential-Adresse so sicher eine Challenge ein wie einer Datacenter-Adresse.
• Konsistenz von Headern und TLS. Eine Anfrage, deren User-Agent Chrome behauptet, während ihr TLS-Handshake nach einer Python-Bibliothek aussieht, widerspricht sich selbst, und die Engines bewerten den Widerspruch, nicht die Adresse. Die Handshake-Seite steht in Was ist TLS-Fingerprinting und wie funktioniert JA3?, die weiteren Client-Prüfungen in Bot-Erkennung: So funktionieren Anti-Bot-Systeme.
• Die Regeln des Ziels respektieren. robots.txt, veröffentlichte Ratenlimits und offizielle APIs existieren, damit automatisierter Zugriff nicht wie Missbrauch aussieht. Ein Crawler, der sie liest, erzeugt nicht die Meldungen, aus denen die Listen gespeist werden.

So prüfen Sie eine Adresse vor dem Einsatz#

1. ASN auflösen. Ein whois auf die Adresse oder eine beliebige IP-Abfrageseite zeigt den Eigentümer und ob das Register ihn als Hosting, ISP oder Mobilfunk führt. Löst eine „Residential"-Adresse zu einem Cloud-Anbieter auf, hören Sie hier auf.
2. Mail-Blocklisten abfragen. Ein Multi-DNSBL-Checker oder eine direkte DNS-Abfrage nach RFC 5782 zeigt SBL-, CSS- und PBL-Status auf einmal. Ein PBL-Eintrag bei einer Residential-Adresse ist normal; ein SBL-Eintrag nicht.
3. Einen kommerziellen Wert lesen, dann seine Gründe. Die Merkmale neben der Zahl (Proxy, VPN, Hosting, kürzlicher Missbrauch, geteilte Verbindung) sagen, welches Signal anschlägt.
4. Geolokalisierung mit dem Plan abgleichen. Prüfen Sie, dass die Adresse zu dem Land und der Stadt auflöst, die Sie gewählt haben, und dass die Zeitzone Ihres Clients dazu passt.
5. Eine gewöhnliche Anfrage an ein neutrales Ziel senden. Laden Sie eine Seite mit Bot-Management und sehen Sie, ob Sie Inhalt, eine JavaScript-Challenge oder eine Sperrseite bekommen. Das ist die Startreputation der Adresse.
6. Das Ergebnis protokollieren. Wenn ein Ziel eine Woche später anfängt, Sie zu challengen, sagt Ihnen die Basislinie, ob die Adresse schlecht angekommen ist oder ob Sie sie schlecht gemacht haben.

Wo IP-Reputation über das Ergebnis entscheidet#

• Öffentliche Daten in höflichem Tempo erfassen. Die Reputation entscheidet, ob Ihre erste Anfrage bedient wird; das Tempo entscheidet über die hundertste. Die vollständige Methode steht in Web Scraping ohne Sperren: Daten regelkonform erfassen.
• Ad-Verification. Zu prüfen, ob eine Kampagne in einer bestimmten Stadt korrekt ausgespielt wird, funktioniert nur von Adressen aus, die die Werbeplattform dort als Endkunden-Traffic einstuft; eine Hosting-Adresse bekommt eine andere Seite oder gar keine.
• Mehrere Konten mit Erlaubnis verwalten. Agenturen, die Kundenkonten betreuen, brauchen pro Konto eine stabile, als Endkundenanschluss eingestufte Adresse: eine statische ISP-Adresse, keinen rotierenden Pool.
• Sicherheitstests der eigenen Dienste. Die eigene Login-Seite so zu sehen, wie eine Hosting-, eine Endkunden- und eine Mobile-Adresse sie sehen, zeigt, was Ihre eigenen Regeln mit echten Kunden machen; siehe Datensicherheit.

Häufige Fehler#

• Eine Adresse nach einem einzigen Wert beurteilen. Ein hoher Wert ohne aufgeführte Gründe ist Rauschen; zwei Dienste, die sich auf „kürzlicher Missbrauch" einigen, sind ein Signal.
• Innerhalb einer Sitzung rotieren. Jeder Adresswechsel während eines Logins oder Checkouts sieht nach Kontoteilung oder Kontoübernahme aus.
• Eine saubere Adresse mit Velocity verbrennen. Eine neue Residential-Adresse ist am ersten Tag am besten. Vierhundert Anfragen pro Minute beenden das bis zum Mittag.
• Client und Adresse passen nicht zusammen. Ein mobiler Ausgang in Türkiye mit einem Browser auf en-US und pazifischer Zeitzone widerspricht sich an drei Stellen.
• Für die Austragung bezahlen. Keine seriöse Liste verlangt Geld für die Entfernung; Spamhaus sagt das ausdrücklich. Eine Adresse, die eine bezahlte Austragung braucht, ist eine Adresse, die Sie zurückgeben sollten.

Entscheidungshilfe#

Häufige Fragen#

Ist IP-Reputation dasselbe wie ein IP Fraud Score?#

Nein. Ein Fraud Score ist ein Produkt, das auf Reputationsdaten aufbaut: Ein kommerzieller Dienst verdichtet Missbrauchsmeldungen, Netztyp und Anonymisierer-Merkmale zu einer einzigen Zahl für Zahlungs- und Registrierungsseiten. IP-Reputation ist der weitere Begriff und umfasst auch Listen, die nie eine Zahl ausgeben, etwa DNS-Blocklisten und Policy-Listen, sowie die privaten Urteile von CDNs und Plattformen.

Warum hat eine nagelneue Proxy-Adresse schon eine schlechte Reputation?#

Weil die Adresse nicht neu ist; nur Ihre Miete ist es. Das Verhalten des vorherigen Inhabers, die Nachbaradressen im Block und der Netztyp wurden erfasst, bevor Sie sich verbunden haben. Datacenter-Adressen erben am meisten, weil sie Single-Tenant sind; Residential- und Mobile-Adressen erben weniger, weil Teilung und Rotation die Vorgeschichte jedes einzelnen Nutzers verdünnen.

Wie lange dauert es, bis sich die Reputation einer IP erholt?#

Das hängt von der Liste ab. Automatische DNSBL-Einträge laufen typischerweise nach einer Zeit ohne neue Meldungen ab, von etwa einem Tag bis zu einigen Wochen. Kommerzielle Werte sinken über Wochen sauberen Traffics. Bot-Management-Systeme hören bald nach dem Ende des automatisierten Traffics auf, eine Adresse zu challengen. Policy-Listen-Einträge laufen nicht ab, sind aber keine Strafe.

Kann ich die Reputation einer gemieteten Adresse verbessern?#

Sie können aufhören, sie zu verschlechtern, was mit der Zeit auf dasselbe hinausläuft: menschliches Tempo, konsistente Sitzungen, ein Client-Fingerprint, der zur Adresse passt, keine fremden Aufgaben über denselben Ausgang. Ist die Adresse wegen eines vorherigen Inhabers gelistet, kann nur der Netzbetreiber die Entfernung beantragen; bitten Sie Ihren Anbieter also um eine andere Adresse.

Werden Residential-Proxys jemals gesperrt?#

Ja. Eine Residential-Adresse schützt Sie vor dem Netztyp-Handicap, nicht vor Ihrem eigenen Verhalten. Hohe Velocity, Rotation mitten in der Sitzung und ein widersprüchlicher Client-Fingerprint bringen ihr eine Challenge ein wie jeder anderen Adresse. Was Residential Ihnen gibt, ist ein sauberer Startpunkt und eine schnellere Erholung, sobald das Verhalten aufhört.

Ist ein Proxy mit guter Reputation ein Weg, sich der Erkennung zu entziehen?#

Nein. Reputationssysteme existieren, um Missbrauch von Netzen fernzuhalten, und ein Proxy ändert die Regeln der besuchten Website nicht. Legitime Einsätze, etwa öffentliche Daten in höflichem Tempo zu lesen, Anzeigen vom Standort eines echten Nutzers aus zu prüfen oder Kundenkonten mit Erlaubnis des Kunden zu betreuen, funktionieren mit einer gut beleumundeten Adresse, weil sie wie das aussehen, was sie sind: gewöhnlicher Traffic. Alles, was sich vor den Regeln einer Website verstecken muss, liegt außerhalb dessen, wobei ein Proxy-Anbieter helfen kann oder sollte.

Fazit#

IP-Reputation ist das Gedächtnis des Internets für eine Adresse: die Missbrauchsmeldungen, Trap-Treffer, Listeneinträge und Netztyp-Einträge, die vor Ihnen da waren, plus die Velocity- und Konsistenzsignale, die Sie ab der ersten Anfrage hinzufügen. Datacenter-Bereiche starten im Rückstand, weil sie Single-Tenant-Hosting-Raum sind; Residential-, ISP- und Mobile-Bereiche starten mit Vorsprung, weil sie Endkundenraum sind. Die Vergangenheit einer Adresse können Sie nicht ändern; ihre Zukunft schon, über Authentifizierung, Sitzungsdauer, Anfragetempo und einen Client, der mit sich selbst übereinstimmt. Prüfen Sie eine Adresse, bevor Sie sich auf sie verlassen, und wählen Sie den Netztyp, der zur Aufgabe passt, in der Proxynet-Produktübersicht.