IP-Intelligence gegen Cyberkriminalität: Wie Sie Cyberangriffe verhindern

Als wir am 15. Oktober 2026 drei öffentliche Adressen abfragten, erhielt ein per Probe bestätigter kommerzieller VPN-Server 92 (block), ein Tor-Exit 100 (block) und der eigene Testhost von Nmap auf einem Linode-Cloud-Server 10 (allow). Alle drei liegen in Rechenzentren, doch nur die beiden Anonymisierer wurden blockiert. Um diese Lücke zwischen "Cloud" und "kriminell" geht es im Rest dieses Leitfadens.

Die Einsätze sind gemessen, nicht hochgerechnet. Das Internet Crime Complaint Center des FBI erhielt 2025 1.008.597 Beschwerden, im ersten Jahr über einer Million, mit 20,877 Milliarden US-Dollar an gemeldeten Verlusten, 26 % mehr als 2024 (IC3 2025 Internet Crime Report). Und der Traffic, der Angriffe transportiert, ist zunehmend nicht menschlich: Impervas 2026 Bad Bot Report stellte fest, dass automatisierter Traffic 2025 mehr als 53 % des gesamten Web-Traffics ausmachte, nach 51 % im Vorjahr.

Dieser Leitfaden behandelt, was die Signale sind, welche Kategorien von Straftaten sie stören, sieben Abwehrmaßnahmen mit Python, die wir heute gegen echte Adressen getestet haben, eine Matrix aus Signalen und Angriffen und die Fälle, in denen IP-Daten nichts zu sagen haben.

Was IP-Intelligence einer bloßen Adresse hinzufügt

IP-Intelligence ist die Anreicherung einer rohen IP-Adresse mit allem, was sie über ihre Herkunft und Vertrauenswürdigkeit verrät. Eine bloße Adresse ist nur eine Zahl. Lassen Sie sie durch eine Anreicherungs-Pipeline laufen, und sie wird zu einem Profil:

• Geolokalisierung: Land, Region, ungefähre Stadt und Zeitzone.
• Netzwerkeigentümerschaft: die Autonomous System Number (ASN) und die Organisation, die den Adressraum kontrolliert.
• Verbindungstyp: privater Breitbandanschluss, Mobilfunk, Geschäftsanschluss oder Hosting und Rechenzentrum.
• Anonymisierer-Flags: Handelt es sich um ein VPN, einen Proxy oder einen Tor-Exit-Node?
• Bedrohungs- und Missbrauchssignale: Wurde diese Adresse beim Scannen oder Spammen beobachtet oder steht sie auf einer DNS-Blockliste?
• Ein zusammengesetzter Risikoscore: eine Zahl, die die obigen Signale zu einer Entscheidung zwischen allow, review, step-up oder block verschmilzt.

Die Unterscheidung, über die viele stolpern: Das ist nicht dasselbe wie IP-Geolokalisierung. Geolokalisierung beantwortet nur "Wo ist diese IP?", und wie wir in wie genau IP-Geolokalisierung tatsächlich ist zeigen, ist sie auf Länderebene zu etwa 99 % genau, auf Stadtebene aber deutlich schwächer. Die umfassendere Disziplin, die wir in unserem Leitfaden dazu, was IP-Intelligence über den Standort hinaus abdeckt, Ebene für Ebene aufschlüsseln, ergänzt die Ebenen Netzwerk, Verbindungstyp, Anonymisierer und Reputation, die die Frage beantworten, die Fraud- und Security-Teams tatsächlich interessiert: Kann ich dieser Verbindung vertrauen? Die meisten Implementierungen lesen nur das Länderfeld, und das Länderfeld allein sagt fast nichts darüber aus, ob eine Anfrage legitim ist.

Warum die Quell-IP das erste Signal in der Abwehr von Cyberkriminalität ist

Die Quell-IP ist das erste Signal, weil ein Angreifer fast alles andere fälschen kann, Ihnen aber eine routbare Adresse zeigen muss. Drei strukturelle Tatsachen machen sie wertvoll.

1. Sie ist unvermeidbar. Ein Angreifer kann einen User-Agent fälschen, eine E-Mail-Adresse erfinden, eine gestohlene Karte kaufen und einen Geräte-Fingerprint fälschen. Was er nicht kann, ist Ihren Server ohne eine Quell-IP zu erreichen, die Sie beobachten können. Er kann sich hinter Infrastruktur verstecken, aber die Infrastruktur selbst hinterlässt Spuren.

2. Angreifer verwenden Infrastruktur in großem Maßstab wieder. Profitable Cyberkriminalität ist industrialisiert. Credential-Stuffing-Kits bearbeiten Tausende Konten von gemieteten Servern aus; Card-Testing-Ringe wechseln durch Rechenzentrumsbereiche; Scraper und Scalper laufen aus Cloud- und Proxy-Pools. Genau diese Wiederverwendung legen Netzwerksignale offen: ein Login von einem Hosting-ASN, ein Checkout aus einem Rechenzentrumsbereich, ein "Käufer", der über einen offenen Proxy ankommt.

3. Sie ist vor dem kostspieligen Schritt verfügbar. Die IP liegt schon beim allerersten Paket vor, vor der Authentifizierung und vor der Zahlungsautorisierung. Das macht sie zum günstigsten Ort für eine Risikotriage, sodass Ihre teuren Abwehrmaßnahmen (MFA-Challenges, manuelle Prüfung, Step-up-KYC) nur dann greifen, wenn sie gerechtfertigt sind.

Der Haken, auf den wir unten zurückkommen: Die IP ist ein Signal, kein Urteil. Die Kunst besteht darin, mit ihr zu entscheiden, wer genauer geprüft werden sollte, nicht pauschale Sperren zu verhängen.

Die Kategorien von Cyberkriminalität, die IP-Signale stören

Cyberkriminalität ist nicht eine einzige Sache, und deshalb ist auch die Rolle der IP bei ihrer Bekämpfung nicht einheitlich. So trägt die Quell-IP in den wichtigsten Angriffskategorien bei, jeweils mit dem vertiefenden Leitfaden.

Kontoübernahme und Credential Stuffing

Credential Stuffing (das Wiederabspielen geleakter Kombinationen aus Benutzername und Passwort gegen Login-Formulare) ist inzwischen der vorherrschende Weg zur Kontoübernahme. Der Angriff ist nur wirtschaftlich, weil er automatisiert und über billige Infrastruktur verteilt ist. Eine Abfrage markiert die Hosting-ASNs, Proxies und anonymisierten Exits, auf denen volumetrisches Stuffing läuft, und speist ein Velocity-Bild (wie viele Konten berührt diese IP?), das ein einzelner Login nicht zeigen kann. Die Nuance: IP-Blocking allein scheitert, weil versierte Akteure auf Residential Proxies ausweichen, daher muss die IP ein Risiko-Input sein, nicht die ganze Entscheidung.

Zahlungsbetrug, Card Testing und Checkout-Missbrauch

Im Checkout verwandelt sich Cyberkriminalität in Bargeld, weshalb er Carding-Bots, Card-Testing-Skripte und zunehmend automatisierte KI-Shopping-Agenten anzieht. Card Testing läuft als hochfrequente Autorisierungen mit geringen Beträgen, oft von Rechenzentrums- und Proxy-IPs. Verbindungstyp- und Risikosignale erlauben es Ihnen, bei der verdächtigen Minderheit der Checkouts die Hürden zu erhöhen und legitime Sitzungen (einschließlich gutartigem Agenten-Traffic) unberührt zu lassen. Wo die Grenze zu ziehen ist, beantwortet bei welchem IP-Betrugsscore Sie blockieren sollten.

Bots, Scraper und Crawler-Imitation

Da Bots inzwischen die Mehrheit des Web-Traffics ausmachen, ist es an jedem Endpunkt wichtig, einen echten Crawler von einem Imitator zu unterscheiden. Ein Header User-Agent: GPTBot ist eine Behauptung, die jeder senden kann. HUMAN Security stellte fest, dass 5,7 % des gesamten beobachteten Traffics mit einem User-Agent eines KI-Crawlers oder Scrapers gefälscht waren. Die Abwehr ist die Herkunft: KI-Crawler und -Agenten per IP verifizieren mit Reverse DNS, veröffentlichten CIDR-Bereichen und Web Bot Auth. Eine Abfrage sieht den User-Agent nicht, daher findet der Vergleich zwischen dem behaupteten Namen und threat.crawler.verified in Ihrem Code statt. Für das Gesamtbild siehe wie IP-Daten Bots in Klassen einteilen, und für Scraper, die Ihre Inhalte oder Preise kopieren, unseren Leitfaden zur Erkennung von Web-Scraping.

Missbrauch von Anonymisierung: VPNs, Proxies und Tor

Anonymisierung ist die Tarnung von Cyberkriminellen, wird aber auch von Millionen völlig legitimer, datenschutzbewusster Menschen genutzt. Moderne VPN- und Proxy-Erkennung trennt beide anhand von Serverlisten der Anbieter, ASN-Analyse und aktivem Protokoll-Probing statt einer veralteten Blockliste. Die gefährlichste Variante ist der Residential Proxy: Netzwerke, die Traffic über echte Endgeräte von Privatkunden leiten. Infoblox maß, dass DNS-Anfragen an Residential-Proxy-Domains von knapp 400 Milliarden pro Monat im Januar 2025 auf über 500 Milliarden pro Monat bis April 2026 wuchsen. IP-Daten allein können sie nicht zuverlässig markieren, und GeoIPHub erkennt keine Residential Proxies, daher müssen sie mit Geräte-, Verhaltens- und Velocity-Signalen erfasst werden. Wie Sie mit anonymisiertem Traffic umgehen, ohne legitime VPN-Nutzer abzuweisen, ist Thema von anonymisierten Traffic erkennen, ohne echte Kunden zu blockieren.

Fake-Konten, synthetische Identitäten und Neukontenbetrug

Bonusmissbrauch, das Abgreifen von Empfehlungsprämien, Money-Muling und Ringe mit synthetischen Identitäten hängen alle davon ab, Konten in großem Maßstab anzulegen. Weil jedes Fake-Konto eine "frisch wirkende" Herkunft braucht, verbrauchen Angreifer Proxy- und Rechenzentrums-IPs, genau die Infrastruktur, die diese Signale sichtbar machen. Den Risikoscore in die Registrierung einzubauen, ist einer der günstigsten Wege, die Kosten der massenhaften Kontoerstellung zu erhöhen. Unsere Registrierungsprüfung nach IP-Typ zeigt, was jede Art von Adresse zurückgibt und was Sie damit tun sollten.

Geo-Betrug, Standort-Spoofing und Sanktionsumgehung

Promotion-Missbrauch, die Umgehung von Inhaltslizenzen und Sanktionsumgehung hängen alle davon ab, einen Standort vorzutäuschen. Hier erfüllt die Abfrage eine doppelte Aufgabe: Die Geolokalisierung stellt den behaupteten Standort fest, während VPN-, Proxy- und Verbindungstyp-Flags zeigen, ob dieser Standort vorgetäuscht wird. Die Abwehrmaßnahme zur Geo-Beschränkung unten zeigt, warum die Länderprüfung ohne die Anonymisierer-Prüfung daneben nichts bedeutet.

Drei Abfragen von heute: VPN 92, Tor-Exit 100, Cloud-Host 10

Der Score folgt der Evidenz, nicht dem Netzwerktyp. Wir haben diese drei Abfragen am 15. Oktober 2026 gegen den öffentlichen Endpunkt ausgeführt (kein Schlüssel nötig, 30 Abfragen pro Minute), und die Antworten unten sind gekürzte Kopien der echten Ausgabe. Die Ergebnisse ändern sich, wenn sich Bereiche verschieben.

Die detection_methods des VPN-Servers zeigen drei unabhängige Bestätigungen: Die IP entspricht einem bekannten VPN-Server, und unsere Probes haben auf ihr echte OpenVPN- und IPsec-Handshakes abgeschlossen. Diese gegenseitige Bestätigung schiebt sie in das Block-Band, obwohl vpn_provider den Wert "none" hat, weil die Adresse auf keiner Anbieterliste steht. Der Tor-Exit kombiniert die Exit-Liste des Tor Project mit einem SpamCop-Eintrag und erreicht so die Obergrenze von 100.

Eine Methode in der Tor-Antwort ist schwächer, als sie aussieht. no_ptr_datacenter besagt, dass die Adresse kein Reverse DNS hat, doch ein Live-dig -x, das wir am selben Morgen ausgeführt haben, lieferte einen Hostnamen für sie. Unsere gespeicherten PTR-Daten haben bei manchen Adressen Lücken, geben Sie dieser Methode also das geringste Gewicht, wenn Sie dieses Urteil prüfen.

Der Testhost von Nmap trägt nur das Hosting-Signal, erhält daher 10 und allow. Viele legitime APIs, Monitore und KI-Agenten laufen auf Cloud-Servern, und Hosting allein ist kein Beweis für eine Straftat. Selbst das block des VPN ist ein Standardwert, den Sie pro Ablauf überschreiben können, wie die Abwehrmaßnahmen unten zeigen.

Warum ein Risikoscore einer Blockliste überlegen ist

Ein Score ist einer Blockliste überlegen, weil die IP ein Signal ist, kein Urteil. Eine einzelne private IPv4-Adresse kann hinter Carrier-Grade NAT von Hunderten Menschen geteilt werden, sodass ein echter Kunde und ein Betrüger auf derselben Adresse sitzen können. Eine makellose private IP kann einen Proxy beherbergen. Eine Rechenzentrums-IP kann zu einem legitimen Unternehmens-VPN gehören.

Das dauerhaft tragfähige Muster besteht darin, IP-Signale in einen Risikoscore umzuwandeln und die Entscheidung dann danach zu steuern:

Das ist der Unterschied zwischen IPs auf Blocklisten setzen (fragil, viele False Positives, leicht zu umgehen) und Verbindungen per Risikoscore bewerten (abgestuft, erklärbar, widerstandsfähig). Jeder Grund, den ein erklärbarer Score benennen kann, ist mit seinem Gewicht in Gründe für den Risikoscore, Feld für Feld aufgeführt.

Wie Sie Cyberangriffe mit IP-Geolokalisierung und Netzwerksignalen verhindern

Sie verhindern Cyberangriffe mit IP-Geolokalisierung, indem Sie mehr als das Land auslesen: Die Gruppen geo, asn, detection, threat und scoring einer einzigen Abfrage steuern jeweils eine andere Abwehrmaßnahme. Die sieben folgenden sind die, die wir am häufigsten sehen, jeweils mit Python zum Einfügen. Alle rufen eine kleine Hilfsfunktion auf:

1. Bekannten Missbrauch am Rand blockieren, verifizierte Crawler aber durchlassen

Die günstigste Abwehr weist Scanner, Botnetz-Knoten und Tor-Exits ab, bevor sie Ihre Anwendung berühren, und übergibt alles andere an den Score. Zwei Details sind wichtig. Verifizierte Crawler kommen zuerst, weil ein echter in einem Bereich auf einer Blockliste sitzen kann (AhrefsBots 5.39.1.230 liefert is_abusive: true). Und das Scanner-Flag wird direkt ausgelesen, weil es fraud_score nicht bewegt: Der Censys-Scanner unter 162.142.125.10 erhält 0.

Kalibrieren Sie pro Ablauf. Ein Formular zur Passwortzurücksetzung kann schon bei step_up reagieren, während ein öffentlicher Content-Endpunkt vielleicht nur bei block reagiert. Das Feld scoring.confidence (0,0 bis 1,0) gibt an, wie viel Evidenz hinter dem Score steht, behalten Sie harte Sperren also Urteilen mit starker Evidenz vor.

2. VPN-, Proxy- und Tor-Traffic je nach Ablauf behandeln

Anonymisierer verdienen je nach Ablauf eine unterschiedliche Behandlung, denn kommerzielle VPNs tragen Millionen gewöhnlicher Nutzer, während offene Proxies und Tor-Exits im Checkout selten zu einem gehören. Jedes VPN zu blockieren, ist für die meisten Produkte zu weit gefasst.

Die Evidenz hinter jedem Flag:

• detection.is_vpn: ein Abgleich mit den eigenen Serverlisten der Anbieter plus einer öffentlichen Liste eines Drittanbieters (einschließlich des WireGuard-Tags, das diese Listen führen) sowie echte OpenVPN- und IPsec-Handshakes unserer Probes.
• detection.is_proxy: Handshake-Probes für SOCKS4-, SOCKS5-, HTTP-CONNECT- und HTTP-Forward-Proxies.
• detection.is_tor: die offizielle Exit-Liste des Tor Project, täglich aktualisiert.
• detection.is_relay: iCloud Private Relay und der Privacy-Egress von Cloudflare, die wir absichtlich durchlassen.

Residential Proxies stehen nicht auf dieser Liste. Die API erkennt sie nicht, bauen Sie also keine Regel auf is_residential_proxy auf.

3. Geo-Beschränkungen nur zusammen mit VPN-Erkennung durchsetzen

Geo-Beschränkungen funktionieren nur, wenn Länderprüfung und Anonymisierer-Prüfung zusammen laufen. Wenn Sie ein sanktioniertes Land blockieren, aber Anfragen mit is_vpn: true zulassen, verbinden sich Nutzer dort über einen VPN-Server in Deutschland, und die Sperre greift nicht.

Der Relay-Zweig existiert wegen einer Lücke, die wir in unseren eigenen Daten gefunden haben. Apple hält den Egress von Private Relay im Land des Nutzers, aber für die Relay-Adresse 104.28.46.99 sagt unsere Datenbank Angola, während Apples eigene Egress-Liste Sambia angibt. Ein Relay meldet is_anonymous: false, ohne diesen Zweig würde die Länderprüfung also der falschen Antwort vertrauen.

4. Impossible Travel bei Logins markieren

Impossible Travel ist eines der zuverlässigsten Signale für Kontoübernahmen: Niemand loggt sich in London ein und 30 Minuten später in Kalifornien. Speichern Sie die Koordinaten jedes Logins, berechnen Sie die Entfernung zum vorherigen und markieren Sie Paare, die einen Jet schneller als etwa 900 km/h erfordern würden.

Mit einem gespeicherten Login in London von vor 30 Minuten lieferte der Linode-Host in Fremont step_up bei 8.617 km. Zwei Hinweise zur Kalibrierung. VPN-Nutzer lösen Impossible Travel jedes Mal aus, wenn sie den Server wechseln, weshalb anonymisierte Logins übersprungen statt gespeichert werden. Und Mobilfunkanbieter leiten viele Nutzer über geteilte Adressen mit groben Stadtdaten, daher verhindert die Untergrenze von 500 km, dass eine Standortdrift wie ein Flug aussieht.

5. Nach Netzwerktyp drosseln

Rate Limits funktionieren besser, wenn sie dem Netzwerk hinter der IP folgen. Eine mobile Adresse kann hinter Carrier-NAT Hunderte echte Menschen tragen, sie hart zu drosseln blockiert also Kunden. Eine Cloud-Adresse ist meist ein einzelnes Skript, manchmal aber ein KI-Agent, der für einen echten Käufer handelt, verlangen Sie also eine Challenge, statt sie zu sperren.

Die Zahlen sind Startwerte, die Sie an Ihrem eigenen Traffic feinjustieren sollten, keine gemessenen Optima. Behalten Sie einen Standardwert: Der Censys-Scanner kam mit asn_type: "unknown" zurück, was keine feste Tabelle auflisten würde. Scraper, die private und mobile IPs mieten, schlüpfen an jeder Netzwerktyp-Regel vorbei, und unser Leitfaden dazu, wie Sie erkennen, ob Ihre Website gescrapt wird, behandelt die Prüfungen auf Log-Ebene, die sie erfassen.

6. Im Checkout das IP-Land mit dem Rechnungsland vergleichen

Eine Karte mit britischer Rechnungsadresse, die von einer IP in einem anderen Land genutzt wird, ist ein aussagekräftiges Muster für Zahlungsbetrug, sofern Sie dem Land der IP vertrauen können. Wenn ein Anonymisierer es verbirgt, verlangen Sie stattdessen eine Authentifizierung per 3-D Secure (3DS).

Pflegen Sie keine handgeschriebene Liste "riskanter Länder". Angreifer leiten ihren Traffic bewusst über sauber wirkende IPs in Ländern mit geringem Risiko, zielen Sie also auf die Infrastruktur (Anonymisierer-Status, Missbrauchs-Flags, ASN-Typ) statt auf die Geografie, aus der sie zu stammen scheint. Unser Leitfaden zur Reduzierung von Chargebacks geht beim Checkout-Ablauf weiter ins Detail.

7. Bot-Sitzungen aus den Analysen heraushalten

Wenn Sie automatisierte Sitzungen herausfiltern, bevor sie in Ihren Analysen erfasst werden, beziehen sich Ihre Conversion-Daten, und jedes darauf trainierte Gebotsmodell, auf echte Menschen. Verifizierte Crawler werden weiterhin bedient; sie werden nur nicht gezählt.

Bezahlter Traffic hat ein eigenes Playbook, das damit beginnt, die IP-Ausschlussliste aufzugeben: siehe wie Sie Klickbetrug anhand der IP-Adresse erkennen.

Was die sieben Prüfungen für sechs echte Adressen ergaben

Wir haben jede der obigen Funktionen, genau wie veröffentlicht, am 15. Oktober 2026 gegen sechs öffentliche Adressen ausgeführt. Die Checkout-Spalte vergleicht jede IP mit einer US-Rechnungsadresse.

Zwei Zeilen zeigen, warum die Prüfungen zusammen laufen müssen. Der Censys-Scanner besteht jede Prüfung außer der am Rand, weil das Scanner-Flag sein einziges Signal ist. Und das VPN, das die Prüfung am Rand allein aufgrund des Scores blockiert, wird beim Login nur protokolliert, und genau dieses Verhalten pro Ablauf wollen Sie: blockieren, wo Sie hart nach Score blockieren, und protokollieren, wo ein VPN normal ist.

Welches IP-Signal welchen Angriff stoppt

Jedes Signal entspricht einem eigenen Angriff und einer eigenen Aktion. Verwenden Sie dies als Startkonfiguration und justieren Sie dann pro Ablauf nach.

Was IP-Daten nicht erfassen können

IP-Daten sind ein Filter für den ersten Durchgang, und drei Arten von Angriffen gehen direkt durch ihn hindurch. Für das Vorgehen pro Vorfall, von der Eigentümerschaft bis zum Urteil, siehe wie Sie eine verdächtige IP-Adresse untersuchen.

Residential Proxies mit sauberer Reputation. Eine IP, die gestern einem Proxy-Pool hinzugefügt wurde, hat keine Missbrauchshistorie und besteht Blocklisten-Prüfungen, und GeoIPHub erkennt keine Residential Proxies. Um sie zu erfassen, braucht es Anomalien im Geräte-Fingerprint, Sitzungs-Timing und Interaktionsraten.

Kompromittierte Konten an einer sauberen Verbindung. Ein Angreifer mit gültigen Zugangsdaten an einem Heimanschluss im Land des Opfers hinterlässt in den IP-Daten nichts, was sich markieren ließe. Hier braucht es Verhaltenssignale (Tipprhythmus, Navigation, Abweichungen von der Kaufhistorie).

Gezielte Angriffe. Ein Angreifer, der Ihre Abwehrmaßnahmen recherchiert, wählt eine saubere private IP in der Stadt des Opfers und besteht jede Prüfung auf IP-Ebene. Die Abwehr sind hier E-Mail-Verifizierung und Gerätebindung.

Das richtige Modell: Die Abfrage filtert die Masse automatisierter und wenig ausgefeilter Angriffe zu nahezu null Kosten pro Anfrage, damit sich teure Prüfungen (Device Fingerprinting, Verhaltensanalyse, manuelle Prüfung) auf das konzentrieren können, was übrig bleibt.

Diese Prüfungen in Produktion betreiben

Drei Gewohnheiten halten IP-basierte Abwehrmaßnahmen nach dem Start genau.

Pro IP cachen, aber kurz. Netzwerkfakten ändern sich innerhalb einer Sitzung langsam, aber sie ändern sich: Unsere VPN- und Proxy-Probes laufen höchstens alle 12 Stunden, und Threat-Feeds werden alle 6 Stunden aktualisiert. Cachen Sie jede Abfrage für die Dauer der Sitzung, lassen Sie sie für Sicherheitsentscheidungen innerhalb einer Stunde ablaufen und für reine Geo-Felder innerhalb eines Tages. Eine Abfrage pro IP und Sitzung ist das praktische Kostenmodell.

Protokollieren Sie die vollständige Antwort, nicht nur das Urteil. Wenn eine Sperre greift, wollen Sie wissen, welches Signal sie ausgelöst hat. Speichern Sie scoring.detection_methods und den rohen scoring.fraud_score bei jeder Entscheidung. So finden Sie False Positives, etwa die veraltete PTR-Methode im Tor-Beispiel oben, und justieren Schwellenwerte.

Justieren Sie Schwellenwerte pro Ablauf, nicht pro Website. Eine Passwortzurücksetzung verdient einen niedrigeren Block-Schwellenwert als das Lesen eines Blogbeitrags. Halten Sie Schwellenwerte in der Konfiguration, damit Ihr Security-Team sie ohne Deployment anpassen kann:

Was eine GeoIPHub-Abfrage gegen jede Bedrohung liefert

GeoIPHub bündelt diese gesamte Ebene in einem einzigen API-Aufruf. Eine Abfrage liefert über 100 Datenfelder in 10 Antwortgruppen (Geolokalisierung, ASN und Netzwerk, Verbindungstyp, Mobilfunkanbieter, Reverse DNS, Anonymisierer-Flags und einen berechneten Risikoscore), sodass Sie nicht fünf Anbieter zusammenstückeln müssen, um eine Frage zu beantworten. Das leistet die Arbeit gegen jede Bedrohung:

• Ein Risikoscore von 0 bis 100 aus 36 gewichteten Gründen. Statt eines Ja-oder-Nein-Flags liefert GeoIPHub einen erklärbaren Score mit eingebauten Entscheidungsbändern, allow (25 oder weniger), review (50 oder weniger), step-up (75 oder weniger) und block (über 75), sodass dieselbe Abfrage im Checkout strenger eingestellt werden kann als beim Login.
• VPN- und Proxy-Erkennung durch aktives Probing. Über statische Listen hinaus führt GeoIPHub echte Handshake-Probes über mehr als 25 Ports und 8 Protokolle durch und gleicht die eigenen Serverlisten der VPN-Anbieter sowie eine öffentliche Liste eines Drittanbieters ab, sodass die Antwort die aktuelle Infrastruktur widerspiegelt und nicht die Blockliste vom letzten Monat.
• Erkennung von Rechenzentren und Hosting. Die Abdeckung umfasst 853 kuratierte Hosting-ASNs plus offizielle Bereiche von 10 Cloud-Anbietern, das Signal, das Carding-Bots, Scraper und Stuffing-Infrastruktur entlarvt, die sich als Browser ausgeben.
• Täglich aktualisierte Tor-Exit-Daten und 19 offizielle Bereichsfeeds für Crawler und KI-Bots (Googlebot, GPTBot, ClaudeBot, PerplexityBot und weitere), sodass anonymisierte Exits und Bots, die sich selbst identifizieren, gegen den aktuellen Stand der Wahrheit bewertet werden.
• Über 30 Datenquellen und 5 RIR-WHOIS-Feeds stehen hinter allem, mit gecachten Abfragen im Sub-Millisekunden-Bereich und unbekannten IPs, die in unter 2,5 Sekunden live klassifiziert werden, schnell genug, um inline bei Login, Registrierung und Checkout zu laufen.

Außerdem respektiert es die Privatsphäre schon durch seine Bauweise: Sie senden nur die IP, die klassifiziert werden soll, und erhalten Netzwerk- und Risikoattribute zurück. Für die Bewertung einer Anfrage sind keine Namen, E-Mail-Adressen oder Zahlungsdaten nötig.

Sie können die Signale direkt mit dem kostenlosen IP-Lookup-Tool ausprobieren, den Betrugsscore einer beliebigen IP prüfen oder die VPN-Erkennung an Ihrer eigenen Verbindung testen. Wenn Sie bereit sind, sie in Ihre App einzubinden, führt der 10-Minuten-Integrationsleitfaden durch die Bewertung jeder Anfrage mit cURL, Node und Python, im kostenlosen Tarif, der jedes Feld und 1.500 Abfragen pro Tag liefert, ohne Einschränkung von Feldern.

Erhöhen Sie die Kosten der Angreifer, nicht die Hürden für Ihre Kunden

Cyberkriminalität ist industrialisiert, automatisiert und zunehmend nicht menschlich, und jeder Teil davon läuft über eine IP-Adresse, die Sie als Erstes prüfen können. IP-Daten stoppen Betrug nicht allein, und jede ehrliche Darstellung sagt das auch. Aber als Herkunftsebene in einer mehrschichtigen Abwehr (das Signal, das Ihnen sagt, welche Sitzungen einen genaueren Blick verdienen) ist sie eine der nützlichsten Kontrollen mit den geringsten Reibungsverlusten, die Sie einsetzen können. Gut eingesetzt, erhöht sie die Angriffskosten für die kriminelle Minderheit, ohne die legitime Mehrheit zu belasten.

FAQ

Was ist IP-Intelligence?

IP-Intelligence bezeichnet die Anreicherung einer rohen IP-Adresse mit allem, was sie über ihre Herkunft und Vertrauenswürdigkeit verrät: Geolokalisierung, das zugehörige Netzwerk (ASN), Verbindungstyp, ob es sich um ein Rechenzentrum, ein VPN, einen Proxy oder einen Tor-Exit handelt, Missbrauchshistorie und einen berechneten Risikoscore. Sie verwandelt das universellste Attribut jeder Online-Anfrage in ein Entscheidungssignal, auf das Sie reagieren können, bevor ein Passwort eingegeben oder eine Karte belastet wird. Sie geht weiter als IP-Geolokalisierung, die nur beantwortet, "wo diese IP ist"; die Anreicherung beantwortet auch, "ob ich ihr vertrauen kann".

Wie helfen IP-Daten, Cyberangriffe zu verhindern?

Fast jeder Angriff (Credential Stuffing, Card Testing, Scraping, Erstellung von Fake-Konten, betrügerischer Checkout) kommt über eine IP-Adresse, und Angreifer verwenden Infrastruktur in großem Maßstab wieder. Eine Abfrage legt die Spuren offen, die diese Infrastruktur hinterlässt: ein Login von einem Hosting-ASN, ein Checkout von einem per Probe bestätigten VPN-Server, ein "Browser", der in Wirklichkeit ein Cloud-Skript ist. Als Echtzeit-Risikosignal bei Login, Registrierung und Checkout eingesetzt, können Sie die verdächtige Minderheit prüfen oder blockieren, ohne der legitimen Mehrheit zusätzliche Hürden aufzuerlegen.

Kann IP-Geolokalisierung allein Cyberangriffe stoppen?

Nein, und jeder Anbieter, der das behauptet, übertreibt. IP-Daten sind eine Ebene in einem Defense-in-Depth-Modell. Eine geteilte mobile IP kann sowohl einen Betrüger als auch einen echten Kunden tragen, eine saubere private IP kann einen Proxy beherbergen, und ein Angreifer mit gestohlenen Zugangsdaten an einem Heimanschluss in der Stadt des Opfers besteht jede IP-Prüfung. IP-Signale sind am stärksten in Kombination mit Geräte-, Verhaltens-, Velocity- und Identitätssignalen. Nutzen Sie den Risikoscore, um zu entscheiden, welche Sitzungen genauer geprüft werden sollten, nicht für pauschale Sperren.

Welche Arten von Cyberkriminalität können IP-Signale erkennen?

IP-Signale tragen zur Erkennung von Kontoübernahme und Credential Stuffing, Neukonten- und synthetischem Identitätsbetrug, Zahlungs- und Card-Testing-Betrug, automatisiertem Bot- und Scraper-Traffic, Crawlern, die einen Namen beanspruchen, den ihre IP nicht stützt, sowie der Umgehung von Richtlinien oder Sanktionen über VPNs und Proxies bei. In jedem Fall sind sie die Herkunftsebene: Sie sagen Ihnen, ob die Verbindung von Infrastruktur kommt, die zu einem echten Menschen passt, oder zu automatisierter oder anonymisierter Aktivität. Residential Proxies erfassen sie nicht; dafür braucht es Geräte- und Verhaltenssignale.

Was ist Impossible-Travel-Erkennung und wie funktioniert sie?

Impossible-Travel-Erkennung markiert zwei Logins in dasselbe Konto von Orten, die zu weit voneinander entfernt sind, um sie in der Zeit dazwischen zurückzulegen. London und Singapur liegen etwa 10.850 km auseinander, ein Login in London gefolgt von einem Login in Singapur 30 Minuten später bedeutet also, dass einer davon nicht der Kontoinhaber ist. Speichern Sie Breiten- und Längengrad jedes Logins, berechnen Sie die Entfernung zum vorherigen und markieren Sie Paare, die mehr als etwa 900 km/h erfordern würden, ungefähr ein Verkehrsflugzeug. Überspringen Sie Logins von VPN-, Tor- oder Relay-Adressen, denn deren Standort ist nicht der des Nutzers.

Sollte ich allen Traffic aus bestimmten Ländern blockieren?

Sperren auf Länderebene sind ein grobes Werkzeug mit erheblichen Kollateralschäden. Bevor Sie ein ganzes Land blockieren, prüfen Sie, ob Sie dort legitime Nutzer haben, denn eine einmal gesetzte Sperre trifft auch sie. Gezieltere Alternativen: Verlangen Sie eine Step-up-Verifizierung für sensible Abläufe wie Zahlung und Passwortzurücksetzung, setzen Sie harte Geo-Beschränkungen nur dort ein, wo Gesetz oder Vertrag sie verlangen, und kombinieren Sie das Land mit Netzwerksignalen (Hosting-ASN, VPN-Erkennung), damit Sie die missbrauchte Infrastruktur treffen statt der Bevölkerung, aus der sie zu stammen scheint.

Ist IP-Intelligence dasselbe wie IP-Geolokalisierung?

Nein. IP-Geolokalisierung ist eine Teilmenge. Geolokalisierung ordnet eine IP einem Land, einer Region und einer ungefähren Stadt zu und ist auf Länderebene zu etwa 99 % genau, auf Stadtebene aber deutlich schwächer. Die vollständige Abfrage enthält die Geolokalisierung, ergänzt aber Netzwerkeigentümerschaft (ASN), Verbindungstyp, VPN-, Proxy-, Tor- und Rechenzentrums-Flags, Missbrauchssignale und einen zusammengesetzten Risikoscore. Die Geolokalisierung sagt Ihnen, wo; der Rest sagt Ihnen, ob Sie vertrauen können.

Verstößt IP-basiertes Risikoscoring gegen die Privatsphäre der Nutzer oder die DSGVO?

Es arbeitet mit der IP-Adresse und Netzwerk-Metadaten, nicht mit Namen, E-Mail-Adressen oder Zahlungsdaten. Bei GeoIPHub senden Sie nur die IP, die klassifiziert werden soll, und erhalten Netzwerk- und Risikoattribute zurück. Für die Bewertung einer Anfrage ist kein Austausch personenbezogener Daten erforderlich. Nach der DSGVO (GDPR) kann eine IP-Adresse ein personenbezogenes Datum sein, daher gelten weiterhin die richtigen Praktiken: Nutzen Sie sie für den legitimen Zweck der Betrugsprävention und Sicherheit, minimieren Sie die Aufbewahrung und dokumentieren Sie sie. Das Bewerten des Risikos einer IP ist eine Sicherheitskontrolle, kein Nutzer-Tracking.