Den VPN-Anbieter hinter einer IP anhand seiner eigenen Serverliste erkennen

Wir haben Mullvads Relay-Liste am 13. Oktober 2026 um 05:22 UTC abgerufen. Sie enthielt 566 Relays, 553 WireGuard-Server und 13 Bridges, und Mullvad kennzeichnet nur 124 davon als eigene Hardware. Eines der eigenen, 185.213.155.73 in Frankfurt, ist in WHOIS auf „31173 Services Germany“ registriert, hat kein Reverse DNS und wird von AS39351 announced. Nichts in seinem Netzwerkeintrag sagt „Mullvad“. Das tut nur die Liste.

Das ist der ganze Trick hinter jedem „Welches VPN ist diese IP“-Tool, und fast keines davon sagt es. Im Folgenden listen wir die Endpunkte auf, unter denen Anbieter ihre Server veröffentlichen, liefern einen getesteten Python-Matcher und zeigen, was unsere API für die von Anbietern gelisteten Server zurückgegeben hat, die wir abgefragt haben, dazu Kontrollen, Fehltreffer eingeschlossen. Am Ende steht eine Richtlinientabelle. Zur Erkennungsseite, also wie ein VPN überhaupt erkannt wird, lesen Sie wie VPN-Erkennung funktioniert, Signal für Signal.

Kann man erkennen, zu welchem VPN eine IP-Adresse gehört?

Ja, wenn die IP auf einer Liste steht, die der Anbieter veröffentlicht. Eine VPN-App muss wissen, wo ihre Server stehen, bevor sie sich verbinden kann, also liefern Anbieter diese Liste an ihre Apps aus, und die meisten dieser Listen sind öffentlich. Steht die Adresse auf keiner Liste, lässt sich anhand von Probes und Hosting-Signalen meist trotzdem erkennen, dass es ein VPN ist, aber nicht, wessen.

Hier ist 185.213.155.73, von Anfang bis Ende nachverfolgt. Mullvads Liste unter api.mullvad.net/www/relays/all/ hat dafür eine Zeile mit hostname „de-fra-wg-001“, type „wireguard“, city_name „Frankfurt“, owned true und provider „31173“. Das letzte Feld ist das Hosting-Unternehmen, und hier ist es Mullvads eigenes.

Die Registry erzählt etwas anderes. Der RDAP-Eintrag von RIPE, den wir um 05:28 UTC geöffnet haben, nennt den Bereich NET-31173-185-213-155-0-24 und als Registranten „31173 Services Germany“. Das Route-Objekt in RIPE whois gibt als Origin AS39351 an. Wir haben dig -x 185.213.155.73 ausgeführt und überhaupt keine Antwort erhalten.

Dann haben wir die Adresse um 05:27 UTC in unserer API abgefragt. Dies ist eine gekürzte Kopie, Werte unverändert:

Sehen Sie sich whois.has_vpn_keywords an. Es ist false, auf einem Mullvad-Server, und es war bei jeder Adresse false, die wir abgefragt haben. Der WHOIS-Text erwähnt nie ein VPN. Der Name „Mullvad“ kam aus dem Listenabgleich, und vpn_confidence 95 ist der Wert, den unsere API für diesen Weg vergibt. Die Blockierung ergab sich aus den Belegen: ein Eintrag in der Anbieterliste mit dem Tag WireGuard, auf einer Hosting-Adresse.

Warum WHOIS, Reverse DNS und die ASN den Hoster nennen, nicht das VPN

Die meisten VPN-Server laufen auf gemieteten Maschinen, also beschreibt der Netzwerkeintrag den Vermieter. In unserer Stichprobe hostet M247 (AS9009) gelistete Server von NordVPN, PIA, AirVPN, IVPN und FastestVPN. Datacamp (AS212238) hostet einen Mullvad-Server in New York und einen IVPN-Server in Buenos Aires. Eine Regel, die sagt „M247 bedeutet VPN“, ist eine Vermutung über ein Hosting-Unternehmen. Die Liste des Anbieters ist ein Beleg über einen Server.

Mullvad belegt das für uns. Seine Liste kennzeichnet jedes Relay mit owned true oder false und nennt den Hoster in provider. Am 13. Oktober waren 124 der 566 Relays owned: true, und die häufigsten Hoster waren DataPacket (128 Relays), Tzulo (127) und M247 (98). Wir haben um 05:33 UTC zwei gemietete Mullvad-Relays abgefragt:

Eine ASN-Prüfung sagt bei beiden „Hosting-Unternehmen“. Die Liste sagt Mullvad. Das New Yorker Relay us-nyc-wg-301, 143.244.47.65, zeigt dasselbe Bild auf Datacamp.

Reverse DNS ist noch schwächer. Wir haben um 05:28 UTC dig -x auf 20 der von Anbietern gelisteten Adressen ausgeführt. Elf lieferten nichts, und keine der übrigen neun nannte eine VPN-Marke:

Der Riseup-Name deutet auf die VPN-Software hin, LEAP und Bitmask, nicht auf eine Marke. Der Name des IVPN-Servers in Wien enthält „adsl“, was nach einem Privatanschluss klingt, auf einem Server, den IVPN listet. Genau das ist die Gefahr, wenn man zu viel in einen PTR hineinliest.

Die ASN nennt das VPN nur, wenn der Anbieter sein eigenes Netz betreibt, wie Mullvad mit AS39351 und Riseup mit AS16652. Wenn Sie den Hintergrund möchten: hier steht, was eine ASN ist und wen sie nennt. Unsere API führt eine kurze Tabelle von Netzen, die von VPN-Anbietern betrieben werden, darunter Mullvads AS39351, und diese Tabelle ist einer der vier Benennungswege weiter unten.

Wo VPN-Anbieter ihre Server-IPs veröffentlichen

Dies sind die Listen, die die Apps der Anbieter selbst lesen. „Heute abgerufen“ bedeutet, dass unser Netz am 13. Oktober 2026 eine 200-Antwort erhalten hat; „heute nicht erreichbar“ bedeutet, dass die Anfrage aus unserem Netz nach zwei Versuchen fehlgeschlagen ist.

Die vier, die wir nicht erreichen konnten, sind echte Endpunkte. Wir kennen sie aus den offiziellen oder quelloffenen Clients der Anbieter, und gluetuns NordVPN-Code kommentiert sogar, das Feld station „is, it seems, the entry IP address“ (ist offenbar die Entry-IP-Adresse). Ihre APIs blockieren Anfragen aus Rechenzentren, wo unser Scanner läuft, und am 13. Oktober haben sie auch dem Netz, das wir für diesen Beitrag genutzt haben, nicht geantwortet.

Unsere API benennt VPNs also anhand der eigenen Serverlisten der Anbieter plus einer öffentlichen Liste eines Dritten. Für NordVPN, PIA und Windscribe greift unser Scanner auf gespeicherte Kopien ihrer API-Antworten vom 4. Oktober 2026 zurück. Für Surfshark haben wir keine Kopie. Die Liste des Dritten ist gluetun-servers, die von der Community gepflegten Serverdaten hinter gluetun, einem quelloffenen VPN-Client-Container. Wir laden dessen Dateien für mehr als 20 Anbieter, und für FastestVPN ist es unsere einzige Quelle. Die vier Dateien, die wir heute abgerufen haben, für ExpressVPN, FastestVPN, NordVPN und PIA, tragen alle einen Zeitstempel vom 6. August 2026.

Den VPN-Anbieter anhand der IP selbst erkennen: Mullvad und NordVPN

Laden Sie die Liste des Anbieters herunter und suchen Sie nach einer exakten Übereinstimmung mit der Adresse. Mullvad ist der einfache Fall, weil seine Liste jedes Mal geantwortet hat, wenn wir gefragt haben. Dies ist das Skript, das wir am 13. Oktober 2026 um 05:29 UTC ausgeführt haben, mit Python 3.9.6, nur Standardbibliothek:

Wir haben sieben Eingaben auf der Kommandozeile übergeben, und es gab Folgendes aus:

Außerdem haben wir drei Zeilen mit Leerzeilen und Auffüllung über stdin eingespeist, so wie Sie eine Log-Spalte einspeisen würden, und es ordnete 45.83.220.70 se-mma-wg-103 zu. Auf eine URL angesetzt, die 404 zurückgibt, gab es „could not load Mullvad's list: HTTP Error 404: Not Found“ aus und beendete sich mit Status 1. Zwei Einschränkungen: Eine ungültige Eingabe wird als „nicht auf der Liste“ gemeldet statt als Fehler, und die 13 Bridges werden ebenfalls abgeglichen, achten Sie also auf die Spalte type.

So erkennen Sie NordVPN auf dieselbe Weise. Die Liste von NordVPN legt die IP jedes Servers in ein Feld station, und unsere gespeicherte Kopie vom 4. Oktober enthält eine pro Server. Der Live-Endpunkt hat am 13. Oktober aus unserem Netz zweimal eine Zeitüberschreitung geliefert, daher veröffentlichen wir keinen NordVPN-Code, den wir nicht ausführen konnten. Führen Sie dieselbe Logik für exakte Übereinstimmungen aus einem Netz aus, dem NordVPN antwortet.

Für eine einzelne Adresse können Sie jede IP auf ein VPN und seinen Anbieter prüfen; das Tool gibt den Namen in detection.vpn_provider zurück. Im Code ist es eine Anfrage mit der IP im Pfad:

vpn_provider ist im kostenlosen Tarif enthalten, der jedes Datenfeld bei 1.500 Abfragen pro Tag umfasst. Wenn Sie irgendetwas am Namen festmachen, gleichen Sie den Anfang ab, nicht den ganzen String: Unsere API gab „Mullvad“ für gelistete Server zurück und „Mullvad (31173 Services)“ für den ASN-Weg. Dies ist das Snippet, das wir um 05:34 UTC ohne Schlüssel ausgeführt haben:

Auf die dritte Zeile sollten Sie Ihr Design auslegen: kein Name, trotzdem ein VPN, trotzdem ein Block.

Wenn Sie die andere Frage stellen, nämlich ob Ihre eigene Verbindung als NordVPN erscheint, öffnen Sie bei aktiver Verbindung die IP, die Ihre Verbindung zeigt.

Was unsere API für von Anbietern gelistete IPs zurückgab

Gelistete Server aller Anbieter in unserer Stichprobe kamen benannt zurück, und vpn_confidence zeigt, welcher von vier Wegen sie benannt hat. In einer benannten Zeile entspricht der Wert dem Weg:

Wir haben diese Abfragen am 13. Oktober 2026 zwischen 05:27 und 05:28 UTC ausgeführt. Die letzte Spalte zeigt nur VPN-Handshake-Probes, die geantwortet haben; den Rest von detection_methods haben wir in der Tabelle weggelassen.

Drei Zeilen brauchen eine Erklärung. Die NordVPN- und PIA-Server stehen auf unseren gespeicherten Kopien, kamen aber mit 80 zurück, dem gluetun-Wert, und beide stehen in gluetuns Dateien. Der PrivadoVPN-Server steht heute auf PrivadoVPNs eigenem Export, kam aber mit 90 zurück, nicht mit 95: Sein Name stammt aus der Auflösung seines Hostnamens hkg-006.vpn.privado.io, den auch gluetuns PrivadoVPN-Datei enthält. Lesen Sie den Weg an vpn_confidence ab, nicht an der Liste, auf der Sie die IP gefunden haben. ExpressVPN gehört nicht zu den neun Anbietern, deren eigene Listen wir abrufen. Eine in gluetun gelistete ExpressVPN-Adresse kam benannt zurück, was zeigt, dass der Weg funktioniert, nicht, dass wir ExpressVPN abdecken.

Die letzte Zeile ist der ASN-Weg. 45.83.220.7 steht nicht auf Mullvads Liste; die heutige Liste enthält in diesem /24 .68, .69 und .70, nicht .7. Sie ist benannt, weil ihr Netz, AS39351, Mullvads Betreiber gehört:

Beachten Sie, dass known_vpn_server auch hier greift. Dieser Methodenname bedeutet nicht „auf der Liste eines Anbieters“; in dieser Zeile stammt er aus der Netztabelle. Lesen Sie den Weg an vpn_confidence ab, und zwar nur in Zeilen, in denen vpn_provider nicht „none“ ist.

Warum manche VPN-IPs mit „none“ zurückkommen

„none“ bedeutet, dass die IP auf keiner der Listen steht, die uns gerade vorliegen. Es bedeutet nicht, dass die IP kein VPN ist, und es bedeutet nicht, dass eine benachbarte Adresse eines Anbieters sauber ist.

NordVPNs Server pl128, 194.99.105.99, steht in der NordVPN-Antwort, die wir am 4. Oktober gespeichert haben, als online gelistet. Heute gab er vpn_provider „none“ zurück, aber is_vpn true, Score 98 und block, mit ipsec_open unter seinen Methoden. Sein IPsec-Handshake hat ihn verraten; benannt hat ihn nichts. PIAs Server in Liechtenstein, 91.90.122.25, steht in PIAs Liste vom selben Tag. Heute gab er is_vpn false und einen Score von 64 zurück, step_up, allein aufgrund von Blocklisten- und Hosting-Signalen.

Keine dieser beiden Adressen steht in gluetuns Dateien, während die benannten NordVPN- und PIA-Zeilen oben beide dort stehen. Wir konnten die API von NordVPN oder PIA heute nicht erneut abrufen, daher kann jeder der beiden Server seit dem 4. Oktober stillgelegt oder neu adressiert worden sein. Was wir sagen können, ist enger gefasst und sicher: Ein Server wird nur benannt, wenn er auf einer Liste steht, die uns aktuell vorliegt.

Wir haben auch einen Fehltreffer bei einem Anbieter, dessen Liste wir heute abgerufen haben. 91.90.123.29 liegt im selben /24 wie das gelistete Mullvad-Relay 91.90.123.2, steht aber nicht auf Mullvads Liste. Die Anbieterseite von IPinfo zeigte sie am 13. Oktober als ihre Mullvad-Beispiel-IP. Unsere API gab is_vpn false, vpn_provider „none“, Score 12, allow zurück. Es könnte ein Exit oder eine ungelistete Adresse neben einer gelisteten sein; das ist ein Hinweis, kein Beweis. So oder so deckt ein Listentreffer die gelistete Adresse ab und nichts daneben.

Die dokumentierte Kontrolle zeigt den Fall „unbenannt, aber erkannt“. 102.129.235.17 auf AS834 IPXO gab is_vpn true, vpn_provider „none“, Score 92, block zurück, mit known_vpn_server, openvpn_open und ipsec_open. Ein unbenannter Server wird trotzdem erkannt, wenn er mit unserem Scanner einen OpenVPN- oder IPsec-Handshake abschließt; der oben verlinkte Hub-Beitrag behandelt die Probes.

Häufige Gründe, warum eine VPN-IP unbenannt bleibt:

• Keine öffentliche Liste. Manche Anbieter veröffentlichen keine, und ein selbst gehostetes VPN taucht nie auf einer auf.
• Liste nicht erreichbar. Vier der neun Listen, die wir abrufen, blockieren Rechenzentren, daher arbeiten wir mit gespeicherten Kopien, wo wir sie haben, und mit gluetun.
• Rotation. Ein Server kann nach unserer letzten Kopie von der Liste verschwinden oder die Adresse wechseln.
• Es ist ein Proxy, kein VPN. Proxys haben keine Anbieterliste zum Abgleichen; siehe Rechenzentrums-, Residential- und Mobile-Proxys.

iCloud Private Relay und Cloudflare WARP sind in diesem Sinne keine VPN-Anbieter. Sie haben ein eigenes Feld, relay_provider, und eine eigene Richtlinie, beschrieben in iCloud Private Relay und Cloudflare WARP.

Ein benanntes VPN ist kein riskanteres VPN

Der Name sagt, wer den Server betreibt; der Score ergibt sich aus den Belegen, etwa offenen Handshake-Ports, Hosting und Missbrauchshistorie. Einige der niedrigsten Scores in unserer Stichprobe gingen an benannte Server, und einer der höchsten an einen unbenannten.

Unsere Bänder sind allow bis 25, review bis 50, step_up bis 75 und block über 75. PrivadoVPNs Server hat in unseren Daten auf keine Handshake-Probe geantwortet, daher griff nur known_vpn_server, und er blieb bei review. Der unbenannte Server hat auf zwei geantwortet. So herum ist es richtig: Eine Regel sollte gewichten, was wir beobachtet haben, nicht, wessen Logo auf dem Server steht. Die Signalgewichte stehen auf der Seite wie der Score entsteht.

Entry-IPs, rotierte Server und veraltete Namen

Eine Anbieterliste nennt Ihnen die Adresse, mit der sich die App verbindet. Bei den meisten Servern in unserer Stichprobe hat dieselbe Adresse auf unsere Probes geantwortet, aber wir haben nur geprüft, dass gelistete Adressen benannt werden, nicht, dass jede Exit-Adresse, die ein Anbieter nutzt, auf einer Liste steht.

Die Feldnamen sagen „in“. Mullvad verwendet ipv4_addr_in, und AirVPN veröffentlicht vier Adressen pro Server als ip_v4_in1 bis ip_v4_in4. Surfsharks Liste enthält nur Hostnamen, also muss jemand die Namen zu IPs auflösen, bevor etwas übereinstimmen kann. Unser 90er-Weg tut das für die Server-Hostnamen in gluetuns Dateien. So hat FastestVPNs au-stream.jumptoserver.com, 46.102.153.134, seinen Namen erhalten.

Listen enthalten auch einen Status, den Sie lesen sollten. Mullvads Liste kennzeichnet heute 24 Relays mit active: false, darunter se-mma-wg-101, 45.83.220.68, das unsere API weiterhin mit 95 als „Mullvad“ benennt. Ein gelisteter Server ist eine Tatsache über die Flotte des Anbieters, kein Beweis, dass der Server heute Traffic getragen hat. Das ist auch der Grund, warum die VPN-IP-Zahlen verschiedener Anbieter so stark auseinandergehen. Sie zählen Unterschiedliches, etwa Server, gelistete Entry-Adressen, beobachtete Exit-Adressen oder ganze Bereiche, zu unterschiedlichen Zeitpunkten. Mullvads eigene Liste ist die einzige Zahl, die wir zitieren. Einen Aktualisierungsplan für Anbieterlisten veröffentlichen wir hier nicht; wenn Sie den Matcher selbst ausführen, rufen Sie die Liste vor jedem Durchlauf neu ab.

Was Sie mit einem Anbieternamen tun sollten

Nutzen Sie den Namen für Richtlinien und Untersuchungen, nicht als Blockierschalter. Machen Sie Entscheidungen an recommended_action und den zugrunde liegenden Belegen fest, und Ausnahmen sowie Reporting am Namen.

Der übliche Fehler ist die erste Zeile, umgebaut zu einer Blockierregel, die die Kunden eines Anbieters zu Fehlalarmen bei der VPN-Erkennung macht. Zwei Prüfungen, die Sie diese Woche an Ihren eigenen Logs durchführen sollten:

• Finden Sie Regeln, die am Namen hängen. Durchsuchen Sie Ihre Regeln nach vpn_provider. Eine Regel wie „blockieren, wenn ein Anbieter benannt ist“ lässt das unbenannte 92 durch und blockiert das benannte 36. Machen Sie die Regel stattdessen an der Aktion und den Belegen fest, und gleichen Sie Namen per Präfix ab.
• Gleichen Sie Ihre Logs mit einer Liste ab. Speisen Sie die Registrierungs- oder Login-IPs der letzten 30 Tage in den Mullvad-Matcher ein und zählen Sie die Treffer. Vergleichen Sie das damit, wie viele dieser Anfragen Ihre Regeln abgelehnt haben, und prüfen Sie dann stichprobenartig einige im IP-Lookup-Tool.

Häufig gestellte Fragen

Kann man erkennen, zu welchem VPN eine IP-Adresse gehört?

Ja, wenn die IP auf einer Serverliste steht, die der VPN-Anbieter für seine eigenen Apps veröffentlicht. Steht sie auf keiner Liste, lässt sich meist trotzdem erkennen, dass es ein VPN ist, aber nicht, wessen.

Gibt es eine Liste der NordVPN-IP-Adressen?

Die Apps von NordVPN lesen eine von api.nordvpn.com, die die IP jedes Servers im Feld station angibt. Am 13. Oktober 2026 hat sie auf Anfragen aus unserem Netz nicht geantwortet, daher haben wir eine gespeicherte Kopie verwendet.

Zeigen WHOIS oder Reverse DNS den VPN-Anbieter?

Selten. Die meisten VPN-Server stehen in gemieteten Hosting-Netzen wie M247, daher nennen WHOIS und Reverse DNS den Hoster. Selbst Mullvads eigener Frankfurter Bereich ist auf 31173 Services registriert.

Was bedeutet vpn_provider none?

Die IP steht auf keiner der Serverlisten, die uns vorliegen. Das heißt nicht, dass die IP kein VPN ist: Prüfen Sie is_vpn und scoring.detection_methods.

Erhält ein benanntes VPN einen höheren Fraud-Score?

Nein. Ein gelisteter PrivadoVPN-Server erhielt 36, review, während ein unbenanntes VPN 92, block erhielt. Der Name sagt, wer den Server betreibt; der Score ergibt sich aus den Belegen.

Welche VPN-Anbieter veröffentlichen ihre Serverlisten?

Mullvad, AirVPN, IVPN, PrivadoVPN und Riseup haben am 13. Oktober 2026 auf unsere öffentlichen Anfragen geantwortet. NordVPN, Surfshark, PIA und Windscribe veröffentlichen Listen für ihre Apps, haben aber aus unserem Netz nicht geantwortet.