Mobile Proxys erkennen: Warum 4G/5G-IPs einfache IP-Prüfungen schlagen

Datacenter-Proxys waren die erste Welle, und sie sind am leichtesten zu fassen: Cloud-ASNs sind schlicht nicht der Ort, von dem aus Verbraucher surfen, wie wir in was eine Datacenter-IP-Adresse ist erklärt haben. Residential-Proxys waren die zweite Welle, und sie überschwemmen heute echten Traffic, gerade weil sie sich das Vertrauen privater ISP-Adressen leihen.

Mobile Proxys sind die dritte Welle, und sie erhöhen den Schwierigkeitsgrad für jede Ebene der VPN- und Proxy-Erkennung erneut. Eine Residential-IP identifiziert wenigstens einen Haushaltsanschluss. Eine mobile IP identifiziert dank Carrier-Grade NAT eine Menge, und die Betrugsanfrage, die sich darin versteckt, sieht genauso aus wie alle anderen darin.

Was ist ein mobiler Proxy?

Ein mobiler Proxy ist ein Relay in einem Mobilfunknetz und der teuerste der vier wichtigsten Proxy-Typen. Der Betreiber kontrolliert ein Gerät mit SIM-Karte (ein Handy, ein USB-Modem oder ein Rack mit Hunderten Modems) und verkauft das Recht, Traffic darüber zu leiten. Die Anfragen des Kunden treten aus dem IP-Adressraum des Mobilfunkanbieters ins Internet aus, versehen mit dessen ASN und dem Verbindungstyp mobile.

Das eigentliche Produkt ist nicht Bandbreite. Es ist geerbtes Vertrauen: die statistische Reputation des Adressraums eines großen Mobilfunkanbieters, in dem Betrugsteams nicht mit dem Sperrhammer zuschlagen können, weil jede IP von legitimen Kunden geteilt wird.

Woher die IPs kommen

Mobile-Proxy-Netzwerke beschaffen ihren Nachschub auf drei Wegen, aufsteigend nach Hässlichkeit sortiert:

• SIM-Farmen. Racks mit 4G/5G-Modems und wechselnden SIM-Karten, die gezielt als Proxy-Infrastruktur betrieben werden. Der Betreiber erzwingt die IP-Rotation, indem er den Flugmodus ein- und ausschaltet oder sich neu ins Netz einbucht.
• Proxy-SDKs in Apps. Kostenlose Apps verdienen Geld, indem sie ein SDK einbetten, das heimlich die mobile Bandbreite des Nutzers weiterverkauft. Sicherheitsforscher haben solche SDKs in Consumer-Apps und sogar in Smart-TV-Software nachgewiesen, wodurch gewöhnliche Geräte zu Exit-Nodes werden.
• Einbindung per Malware. Infizierte Handys werden in Proxy-Pools eingezogen, ohne dass die Besitzer je davon erfahren. Es ist dasselbe Muster, das einen Großteil des Residential-Proxy-Markts versorgt.

Der zweite und dritte Kanal bedeuten, dass eine „mobile Proxy-IP“ sehr oft das Handy einer echten Person ist. Genau deshalb kann die IP selbst nie das Urteil sein.

Mobile vs. Residential- vs. Datacenter-Proxys

Die Kosten folgen dem Vertrauen: Angreifer zahlen den Mobilfunk-Aufpreis nur für Ziele, bei denen Residential- und Datacenter-Exits bereits auffliegen: hochwertige Registrierungen, limitierte Drops, Banking-Abläufe, Ad-Verification. Wenn Sie Mobile-Proxy-Traffic sehen, ist etwas auf Ihrer Website den Aufpreis wert.

Warum mobile Proxys so schwer zu blockieren sind

Vier Eigenschaften verstärken sich gegenseitig zum Erkennungsproblem.

CGNAT macht die IP zu einer Menge, nicht zu einem Nutzer. Mobilfunkanbieter stellen Hunderte oder Tausende Teilnehmer hinter jede öffentliche IPv4-Adresse. Jede Reputation, die Sie dieser IP zuordnen, beschreibt die Menge, und jede Sperre, die Sie verhängen, trifft die Menge. Das ist dieselbe False-Positive-Falle, die wir in anonymisierten Traffic erkennen, ohne echte Kunden zu blockieren zerlegt haben. In Mobilfunknetzen ist sie allerdings der Normalzustand, nicht der Sonderfall.

Rotation ist schneller als Reputation. Ein Handy, das den Flugmodus umschaltet, erhält in Sekunden eine neue Carrier-IP. Bis eine IP auf einer Blockliste landet, ist der Proxy längst weitergezogen, und der Eintrag beschreibt nun den unschuldigen Teilnehmer, der die Adresse geerbt hat. Veraltete Belege sind schlimmer als gar keine.

Das Vertrauen ist echt, und genau das ist das Problem. Die ASN gehört tatsächlich einem großen Mobilfunkanbieter. Der Verbindungstyp ist tatsächlich mobile. Es gibt keinen gefälschten Header zu entdecken; jedes Attribut auf Netzwerkebene ist authentisch. Falsch ist nur, wer die Sitzung steuert.

Die Geolokalisierung verschwimmt. Mobiler Traffic tritt oft über Carrier-Gateways weit entfernt vom Endgerät aus, sodass die Standortbestimmung auf Stadtebene genau dort am schwächsten ist, wo Sie sie zur Bestätigung bräuchten. Diese Einschränkung haben wir in wie genau IP-Geolokalisierung wirklich ist beziffert.

Die Signale, die Mobile-Proxy-Traffic tatsächlich erkennen

Kein ehrlicher Anbieter liefert Ihnen bei einer einzelnen Abfrage ein magisches is_mobile_proxy: true. Die Netzwerkebene allein kann nicht beweisen, dass eine bestimmte Sitzung über einen Proxy läuft, wenn die IP echter Carrier-Adressraum ist. Was die Netzwerkebene kann, ist den Kontext präzise festzustellen, damit die übrigen Signale das Gewicht tragen. Es ist derselbe mehrschichtige Ansatz wie gegen VPNs und Datacenter-Proxys, abgestimmt auf Carrier-Adressraum:

• Zuerst das Netzwerk klassifizieren. Die ASN und der Verbindungstyp zeigen Ihnen, dass es sich um Mobilfunk-Adressraum von Carrier X handelt, nicht um einen privaten ISP und nicht um ein Rechenzentrum. Diese eine Klassifizierung entscheidet, welches Regelwerk für alles Weitere gilt.
• CGNAT ausdrücklich berücksichtigen. Ein CGNAT-Flag verwandelt „diese IP hat etwas Schlimmes getan“ in „jemand hinter diesem Gateway hat etwas Schlimmes getan“, eine deutlich schwächere Aussage, die den Score deckeln und nicht nach oben treiben sollte.
• Missbrauchsbelege nach Aktualität gewichten. Bei rotierenden Carrier-IPs ist ein Blocklisten-Treffer vom letzten Monat Rauschen; Honeypot-Aktivität aus der letzten Stunde ist ein Signal. Zeitstempel zählen mehr als Listeneinträge.
• Sitzungen zählen, nicht IPs. Mobile Proxys hebeln IP-basierte Velocity-Regeln aus. Verlegen Sie die Zähler deshalb auf das, was die Rotation übersteht: Konten, Geräte, Zahlungsmittel und das Verhaltensmuster pro Sitzung.
• Die Angaben gegenprüfen. Zeitzone und Sprache der Sitzung im Vergleich zur IP-Geolokalisierung, unmögliche Reisen zwischen aufeinanderfolgenden Logins, eine „mobile“ IP mit dem Fingerprint eines Desktop-Browsers. Jede Abweichung ist klein; zusammen trennen sie den Proxy von der Menge, in der er sich versteckt.

Das Ergebnis gehört in einen gewichteten Score, nicht in einen Boolean. Das ist der Ansatz hinter gewichteten Begründungen im Risikoscore.

Richtlinien pro Aktion festlegen, nicht pro IP

Weil jede mobile IP geteilt wird, ist die Reaktion genauso wichtig wie die Erkennung. Harte Sperren sind der eine Schritt, der auf Carrier-Bereichen immer falsch ist: Der Betrug rotiert weiter, und Ihre echten Kunden bleiben gesperrt.

Das praktikable Muster sind Schwellenwerte pro Aktion, dasselbe Framework wie bei der Wahl eines Schwellenwerts für den IP-Fraud-Score, ergänzt um den Carrier-Kontext: Lassen Sie mobilen Traffic mit geringem Risiko unangetastet durch, begegnen Sie erhöhten Scores mit zusätzlicher Verifizierung (OTP, E-Mail-Bestätigung, eine Challenge), die ein echter Teilnehmer in Sekunden besteht, und behalten Sie Sperren den Anfragen vor, bei denen aktuelle, IP-spezifische Missbrauchsbelege mit Auffälligkeiten auf Sitzungsebene zusammenkommen.

Mobile-Proxy-Traffic mit GeoIPHub erkennen

GeoIPHub liefert den Carrier-Kontext, von dem Entscheidungen über mobile Proxys abhängen, in einer Abfrage, und zwar mit den Belegen hinter jedem Urteil statt eines Black-Box-Flags:

Für eine Carrier-IP sehen die relevanten Teile der Antwort so aus. Wir veröffentlichen keine echten Teilnehmeradressen, daher ist dies ein Beispiel mit illustrativen Werten, keine echte Abfrage (ASN sowie MCC/MNC sind reservierte Dokumentations- und Testcodes); die Feldnamen und die Struktur entsprechen der Live-API:

Die Teile, auf die es bei Carrier-Traffic ankommt:

• asn.asn_type, asn.connection_type und detection.is_mobile klassifizieren das Netzwerk (Mobilfunkanbieter, privater Breitbandanschluss oder Rechenzentrum), und asn.carrier, asn.mcc und asn.mnc identifizieren den Betreiber, damit Ihre Regeln im richtigen Kontext greifen.
• threat.is_cgnat markiert Carrier-Grade-NAT-Bereiche, und der scoring.fraud_score ist auf ihnen bewusst gedeckelt. Ein geteiltes Gateway wird nie wie dedizierte bösartige Infrastruktur bewertet, und das ist Ihr eingebauter Schutz vor False Positives.
• threat.is_abusive und threat.threat_types zeigen Ihnen, ob aktuelle Threat-Feeds die Adresse listen. Bei rotierenden Carrier-IPs sollten Sie einen Eintrag als Kontext für die Sitzung behandeln, nicht als Beweis über die Person dahinter.
• detection.is_vpn, detection.is_proxy, detection.is_tor erfassen die Fälle, in denen „mobiler“ Traffic tatsächlich über einen bekannten Anonymisierungsdienst austritt (siehe VPN- und Proxy-Erkennung, verifiziert durch aktives Probing).

Testen Sie beliebige IPs ohne Registrierung im kostenlosen IP-Lookup-Tool, oder holen Sie sich einen kostenlosen API-Schlüssel und binden Sie ihn mithilfe der API-Dokumentation ein. Jedes Feld ist in jedem Tarif enthalten, auch im kostenlosen: 1.500 Anfragen pro Tag, keine Paywall für Felder.

Mobile Proxys gewinnen gegen IP-zentrierte Abwehr, weil die IP tatsächlich unschuldig ist: Sie gehört einem Mobilfunkanbieter und einer Menge. Gegen mehrschichtige Abwehr verlieren sie: Klassifizieren Sie das Carrier-Netzwerk präzise, berücksichtigen Sie CGNAT, gewichten Sie Belege nach Aktualität, verlegen Sie Ihre Zähler auf das, was die Rotation übersteht, und beantworten Sie erhöhtes Risiko mit Reibung statt mit Sperren. Dann bringt der Aufpreis, den der Betrüger für einen 4G-Exit bezahlt hat, ihm nichts mehr.

Häufig gestellte Fragen

Was ist ein mobiler Proxy?

Ein mobiler Proxy leitet den Internet-Traffic einer anderen Person über ein Gerät in einem echten Mobilfunknetz (ein Smartphone, einen USB-Stick oder ein Rack voller SIM-Karten), sodass der Traffic über eine echte 4G/5G-Carrier-IP ins Web austritt. Für jede Website, die ihn empfängt, sieht die Anfrage aus wie eine gewöhnliche Person, die auf dem Handy surft. Genau deshalb zahlen Betrugsoperationen für mobile Proxys einen Aufpreis gegenüber Datacenter- oder Residential-Proxys.

Warum sind mobile Proxys schwerer zu erkennen als Residential-Proxys?

Mobilfunknetze nutzen Carrier-Grade NAT (CGNAT), das Hunderte oder Tausende echte Teilnehmer hinter jede öffentliche IP stellt und Adressen ständig neu vergibt. Ein Residential-Proxy lässt sich wenigstens einem Haushaltsanschluss zuordnen; ein mobiler Proxy versteckt sich in einer IP, die gleichzeitig eine Menge legitimer Handynutzer bedient. Die Reputation einer IP verfällt innerhalb von Minuten, und eine Sperre trifft alle hinter demselben Gateway.

Kann man mobile Proxys anhand der IP-Adresse blockieren?

Nicht gefahrlos. Wegen CGNAT sperrt eine harte Blockade einer mobilen IP jeden Teilnehmer, der dieses Gateway teilt, echte Kunden eingeschlossen. Der praktikable Ansatz ist Risikobewertung statt Blockieren: Carrier-IPs als geteilte Infrastruktur behandeln, aktuelle Missbrauchsbelege stärker gewichten als alte Listeneinträge und bei erhöhtem Score mit zusätzlicher Verifizierung (E-Mail, OTP, Challenge) statt mit einer Ablehnung reagieren.

Was ist der Unterschied zwischen einem mobilen Proxy und CGNAT?

CGNAT ist normale Netzbetreiber-Technik: Der Mobilfunkanbieter teilt eine öffentliche IP unter vielen Teilnehmern auf, weil IPv4-Adressen knapp sind. Ein mobiler Proxy missbraucht diese Technik: Ein Gerät im Mobilfunknetz leitet fremden Traffic weiter, damit dieser die Deckung der geteilten IP erbt. Jeder mobile Proxy profitiert von CGNAT, aber der überwältigende Großteil des CGNAT-Traffics stammt von ganz normalen Menschen am Handy. Deshalb darf CGNAT allein nie als Betrugssignal gelten.

Wie kommen Betrüger an mobile Proxy-IPs?

Über drei Hauptlieferketten: SIM-Farmen (Racks mit Modems und SIM-Karten, die gezielt als Proxy-Infrastruktur betrieben werden), Proxy-SDKs in kostenlosen Apps, die heimlich die Bandbreite der Nutzer weiterverkaufen (Sicherheitsforscher haben solche SDKs in Consumer-Apps und sogar in Smart-TV-Software nachgewiesen), und Malware, die infizierte Handys ohne Wissen der Besitzer in ein Proxy-Netzwerk einbindet.

Wie hilft GeoIPHub bei der Erkennung von Mobile-Proxy-Traffic?

GeoIPHub liefert in einer einzigen Abfrage den Netzwerkkontext, von dem Entscheidungen über mobile Proxys abhängen: die ASN und ihre Klassifizierung, den Verbindungstyp (Datacenter, Residential, Mobil), ein is_cgnat-Flag für Carrier-Grade-NAT-Bereiche, den Namen des Mobilfunkanbieters mit MCC- und MNC-Codes, aktuelle Threat-Feed-Flags und einen Fraud Score von 0 bis 100, der auf CGNAT-Bereichen bewusst gedeckelt ist, damit geteilte Carrier-IPs nie wie dedizierte bösartige Infrastruktur bewertet werden.