IP-Fraud-Score: Bedeutung, Score-Bereiche und Prüfung

Ein Score, vier echte IPs und die Gründe

Vier Arten von Netzwerken landen an vier verschiedenen Stellen der Skala, und scoring.detection_methods nennt jedes Signal, das sie dorthin gebracht hat. Wir haben diese öffentlichen Adressen am 16.10.2026 mit demselben schlüssellosen API-Aufruf abgefragt, den jeder ausführen kann:

Jedes Signal bringt eine bestimmte Punktzahl und eine Konfidenz mit. Der Score ist die Summe aus Punkten mal Konfidenz, gerundet und auf den Bereich 0 bis 100 begrenzt. Damit lässt sich jede Zeile oben aus ihrer Methodenliste nachrechnen:

• Der Tor-Exit: 100, block. tor_exit (45 Punkte bei 0,99), known_spammer (40 bei 0,9) und datacenter_blocklisted (30 bei 0,75) ergeben bereits 103. Das vierte Signal schiebt den Wert nur noch weiter über die Obergrenze hinaus.
• Die VPN-Adresse: 46, review. known_vpn_server (40 bei 0,9) plus datacenter_ip (20 bei 0,5) ergibt genau 46. Die API benennt sie anhand des Netzwerks, in dem sie liegt, als „Mullvad (31173 Services)“, obwohl sie derzeit nicht auf der veröffentlichten Serverliste von Mullvad steht. Ein benanntes VPN allein ergibt noch keinen hohen Score. Auf diesem Server war nichts auf einer Blockliste, und es wurde kein offenes VPN-Protokoll für ihn erfasst, daher bleibt er bei review stehen.
• Das Relay: 9, allow. relay_ip bringt 10 Punkte bei 0,85, gerundet 9. Private Relay verbirgt aus Datenschutzgründen die Adresse eines Apple-Nutzers, und Relay-Adressen sind bei 60 gedeckelt, sodass sie nie den Bereich block erreichen können. Wir beschreiben, wie Sie Traffic von Private Relay und WARP erkennen und warum Sie ihn durchlassen sollten.
• Der Cloud-Server: 10, allow. datacenter_ip allein sind 20 Punkte bei 0,5. Hosting ist ein Grund, genauer hinzusehen, kein Grund zu sperren, denn APIs, Uptime-Monitore und Büro-Gateways laufen alle aus Rechenzentren.

Jeder Grund und seine Gewichtung stehen in unserer Liste aller Gründe, Feld für Feld.

Diese Abfragen haben uns zwei Dinge gezeigt, die die Tabelle der Bereiche nicht zeigen kann. Erstens verbergen der Tor-Exit und das VPN beide ihre Nutzer, liegen aber 54 Punkte auseinander, weil der Tor-Exit zusätzlich eine Spam- und Blocklisten-Historie mitbringt. Derselbe Anbieter kann auch in die andere Richtung ausschlagen: Der gelistete Frankfurter Server von Mullvad, 185.213.155.73, erhielt am selben Tag einen Score von 100, weil sein Eintrag in der Liste von Mullvad ihn als WireGuard-Server ausweist (wireguard_open), und diese Protokollmarkierung macht aus dem Hosting-Signal zusätzlich das stärkere Signal für ein Rechenzentrum mit VPN. Zweitens ist einer der vier Gründe des Tor-Exits unsere Lücke, nicht die des Exits. no_ptr_datacenter besagt, dass die Adresse kein Reverse DNS hat, aber dig -x 185.220.101.1 liefert heute einen Tor-Exit-Hostnamen. In unserer Abfragedatenbank fehlt dieser gespeicherte Eintrag, und wir haben das zur Korrektur notiert. Am Urteil ändert sich nichts, da die anderen drei Signale bereits über 100 liegen. Es ist trotzdem der Grund, warum wir Kunden raten, Regeln auf die Signale zu stützen, denen sie vertrauen, und nicht auf die reine Zahl.

Was ist ein guter IP-Fraud-Score?

Ein guter Score liegt bei 25 oder darunter: keine nennenswerten Risikobelege, und die API liefert allow. Unsere vier Bereiche lassen sich direkt Aktionen zuordnen:

Zwei Vorbehalte verhindern die meisten Fehler, bevor sie passieren:

• Lesen Sie einen Score immer auf der Skala seines eigenen Anbieters. Die Dokumentation von IPQualityScore bezeichnet Werte ab 75 als „verdächtig, aber nicht unbedingt betrügerisch“ und empfiehlt, ab 90 zu markieren oder zu sperren. Unser Sperrbereich beginnt bei 76. Eine 76 bedeutet bei uns beiden etwas anderes, übernehmen Sie also nie einen Schwellenwert unverändert von einem Anbieter zum anderen.
• Der richtige Grenzwert hängt von der geschützten Aktion ab. Ein Login verträgt eine höhere Sperrschwelle als ein Checkout, denn eine erneute Passwortabfrage kostet Sekunden, eine betrügerische Card-not-present-Bestellung dagegen eine Rückbuchung (diese Seite deckt das Playbook zur Reduzierung von Chargebacks ab). Wir beschreiben Sperrschwellen für Login, Registrierung und Checkout Aktion für Aktion.

Was die Zahl nach oben oder unten treibt

Der Score beantwortet eine eng gefasste Frage: Wie viele Risikobelege umgeben das Netzwerk, aus dem diese Anfrage kam? Wer an der Tastatur sitzt, weiß er nie. Er weiß Dinge wie diese:

Die letzten beiden Zeilen trennen sorgfältiges von grobem Scoring. Ein Modell, das nur Punkte addiert, markiert am Ende jeden Mobilfunkanbieter und jede geteilte Verbindung der Welt. Unseres kombiniert 36 gewichtete Gründe und zieht auch ab: Ein Grund für einen Privatkunden-ISP zieht 17 Punkte ab (minus 20 bei einer Konfidenz von 0,85) und ein verifizierter Crawler 28,5 (minus 30 bei 0,95). Relay-Adressen sind bei 60 gedeckelt, CGNAT-Adressen ohne eigene Bedrohungsbelege bei 50. Die Gewichtung jedes Grundes und wie Sie ihn in einer Antwort lesen, finden Sie unter Gründe für den Risikoscore, Feld für Feld, damit diese Seite bei der Frage bleibt, was die Zahl für Sie bedeutet.

Warum ist der Fraud-Score meiner IP hoch?

Ein hoher Score für Ihre eigene Verbindung liegt meist am Netzwerk, in dem Sie sich befinden, nicht an etwas, das Sie getan haben: ein VPN oder Proxy, eine Adresse, die zuvor ein missbräuchlicher Kunde genutzt hat, eine geteilte CGNAT-Adresse, über die jemand anders auf eine Liste geraten ist, oder ein kürzlicher Blocklisteneintrag für den Adressbereich Ihres ISP. Eine Adresse, die wir als CGNAT erkennen, ist bei 50 gedeckelt, sofern sie keine eigenen Belege für VPN, Proxy, Tor, Botnetz oder Missbrauch trägt, sodass eine geteilte Adresse zwar geprüft, aber nie allein aufgrund der IP gesperrt werden kann. Wenn eine Website Ihnen statt eines Scores mitgeteilt hat, dass Sie wie ein VPN aussehen, lesen Sie hier, warum Ihre IP als VPN oder Proxy markiert wird und was Sie dagegen tun können.

Wie Sie einen hohen Score senken

Gegen die Zahl selbst können Sie keinen Einspruch einlegen. Sie ändert sich, wenn sich die zugrunde liegenden Belege ändern, und diese Schritte ändern sie:

1. Schalten Sie das VPN oder den Proxy aus und verbinden Sie sich wieder über Ihren normalen ISP-Anschluss. Das ist die größte und schnellste Einzelmaßnahme.
2. Holen Sie sich eine neue Adresse: Erneuern Sie Ihre DHCP-Lease oder starten Sie Ihren Router neu. Bei vielen ISPs erhalten Sie dadurch eine andere als die markierte Adresse.
3. Scannen Sie Ihre Geräte. Ist etwas im Netzwerk mit einem Botnetz infiziert, kehren die Markierungen zurück, bis es bereinigt ist.
4. Fragen Sie Ihren ISP nach einer anderen Zuteilung, wenn Ihr Adressbereich dauerhaft gelistet ist.
5. Für Unternehmen: Senden Sie transaktionalen Traffic über eigene, korrekt konfigurierte Infrastruktur mit sauberem Reverse DNS, nicht aus geteilten Hosting-Bereichen.

Geben Sie dem Ganzen dann etwas Zeit. Unser Prüfschritt für VPNs und Proxys läuft höchstens alle 12 Stunden und prüft Befunde, die älter als 7 Tage sind, erneut. Die Tor- und Relay-Listen sowie die DNS-Blocklisten werden alle 6 Stunden neu eingelesen, und die Abfragedatenbank wird täglich neu aufgebaut. Fällt eine Adresse aus diesen Belegen heraus, folgt ihre Zahl beim nächsten Neuaufbau.

Einen Score per API prüfen

Für eine einmalige Prüfung zeigt der kostenlose Checker, der oben auf dieser Seite verlinkt ist, die Zahl von 0 bis 100, die empfohlene Aktion und die Signale dahinter. Für den Produktivbetrieb kommt dasselbe Urteil aus einem einzigen Aufruf, den Sie mit niedrigem Rate Limit auch ohne Schlüssel ausprobieren können. Hier ist die gekürzte echte Antwort für die Adresse aus dem Mullvad-Netzwerk aus der Tabelle oben:

Der Anbietername stammt aus unserer Tabelle der Netzwerke, von denen bekannt ist, dass sie VPN-Server betreiben. Deshalb liegt vpn_confidence bei 85 und nicht bei 95, die eine Adresse von der eigenen Serverliste von Mullvad erhält. Wir erklären, wie wir den VPN-Anbieter hinter einer IP benennen und warum Code Namen per Präfix abgleichen sollte.

Diese Antwortstruktur ist zugleich eine Checkliste, um jeden Anbieter zu beurteilen: eine Zahl, nach der Sie handeln können, eine empfohlene Aktion, die Sie Ihrer Richtlinie zuordnen können, ein Konfidenzwert und vor allem die benannten Belege hinter dem Urteil. Eine nackte Zahl ohne detection_methods lässt sich nicht nachprüfen, wenn ein echter Kunde fragt, warum er gesperrt wurde.

Bewerten Sie an Entscheidungspunkten statt bei jedem Seitenaufruf. Beim Login ist der Score ein erster Filter gegen Credential Stuffing und Kontoübernahmen. Bei der Registrierung hilft er, Fake-Registrierungen anhand des IP-Typs zu stoppen und Mehrfachkonten eines einzelnen Betreibers sowie Gutschein- und Empfehlungsmissbrauch zu erkennen. Bei Checkout und Auszahlung ist er eine Ebene in einem Stack zur Erkennung von Zahlungsbetrug. Dieselben Netzwerksignale helfen auch, in bezahlten Kampagnen Klickbetrug anhand der IP-Adresse zu erkennen. Kombinieren Sie die IP-Ebene für eine vollständige Abdeckung mit Geräte- und Verhaltenssignalen, denn Device Fingerprinting und IP-Intelligence sehen unterschiedliche Dinge. Unser Leitfaden zur Betrugsprävention zeigt, wo der Score in jeden Ablauf eingreift, und wie VPN- und Proxy-Erkennung funktioniert erklärt, woher die am stärksten gewichteten Signale stammen.

Häufig gestellte Fragen

Bedeutet ein hoher Fraud-Score, dass Betrug begangen wurde?

Nein. Der Score bewertet das Netzwerk, aus dem eine Anfrage kam (Anonymisierungsdienste, Missbrauchshistorie, Art der Infrastruktur), nicht die Absicht der Person, die es nutzt. Eine hohe Zahl bedeutet, dass die Adresse eine genauere Prüfung oder eine Zusatzabfrage verdient, nicht dass ihr Nutzer ein Betrüger ist. Deshalb kombinieren ausgereifte Systeme den Score mit einer Step-up-Verifizierung statt mit stillen, harten Sperren.

Erhöht die Nutzung eines VPN meinen Score?

In der Regel ja. Allein das Signal für einen bekannten VPN-Server bringt 40 Punkte bei einer Konfidenz von 0,9, was im Bereich review landet. Eine Adresse im Netzwerk von Mullvad, die wir am 16.10.2026 abgefragt haben, erhielt einen Score von 46. In den Bereich block steigt der Score, wenn weitere Belege hinzukommen, etwa ein offener VPN-Protokoll-Port oder ein Blocklisteneintrag. Das VPN auszuschalten ist der schnellste Weg, eine Adresse mit geringerem Risiko zu präsentieren.

Wie prüfe ich den Risikoscore einer IP-Adresse?

Fügen Sie die Adresse in einen kostenlosen Checker ein, um ihren Score von 0 bis 100 und die Signale dahinter zu sehen, oder rufen Sie bei Registrierung, Login oder Checkout eine IP-Intelligence-API auf. Welchen Anbieter Sie auch nutzen: Wählen Sie einen, der die zugrunde liegenden Belege mitliefert. Eine nackte Zahl, die Sie nicht nachvollziehen können, lässt sich schwer in Entscheidungen umsetzen und einem gesperrten Kunden unmöglich erklären.