Proxy-Typen: Rechenzentrum, ISP, Residential und Mobil im Vergleich

"Proxy" ist ein Wort, das die Arbeit von mindestens vier erledigt. Ein gemieteter Cloud-Server, der Scraper-Verkehr weiterleitet, und der Smart-TV eines Fremden, der Credential-Stuffing-Versuche weiterleitet, sind beide Proxys. Aber sie kosten einen Angreifer unterschiedlich viel, verstecken sich hinter unterschiedlich viel Kollateralschaden und erfordern von Ihnen unterschiedliche Reaktionen. Dies ist die praxistaugliche Einteilung entlang der beiden Achsen, auf die es ankommt, mit den echten Abfragen, die wir am 20. Oktober 2026 ausgeführt haben.

Achse eins: Woher die Exit-IP stammt

Die Herkunftsachse ändert Ihre Entscheidung, weil sie festlegt, wie die Adresse in der Registry aussieht und wie viele unbeteiligte Menschen eine Sperre treffen würde.

Rechenzentrums-Proxys

Der Exit ist ein Server bei einem Cloud- oder Hosting-Anbieter. Die Adresse liegt in einem Bereich, dessen ASN als Hosting eingestuft ist, und das Netz war nie dafür gedacht, Endkundenverkehr zu transportieren.

Rechenzentrums-Proxys sind billig, schnell und werden in großen Blöcken verkauft, weshalb sie am leichtesten zu erkennen sind. Ein Login oder Checkout eines Endkunden, der aus einem Rechenzentrums- oder Hosting-Bereich kommt, verdient einen zweiten Blick, denn echte Kunden kaufen selten von einem Cloud-Server aus ein. Unsere Hosting-Prüfung stützt sich auf 853 kuratierte Hosting-ASNs sowie die veröffentlichten Bereiche von 10 Cloud-Anbietern, darunter AWS, Google Cloud und Azure.

Die ehrliche Ausnahme ist Geschäftsverkehr. Egress von Unternehmens-VPNs, Security-Gateways und SASE-Produkte für Unternehmen haben ihren Exit legitimerweise in Hosting-Bereichen. Das ist in B2B-Produkten eine echte Klasse von Fehlalarmen, und deshalb landet eine Hosting-Adresse allein im allow-Bereich statt bei block, wie die Abfrage unten zeigt.

ISP-Proxys (statisch Residential)

ISP-Proxys sind die Mischform, von der die meisten noch nie gehört haben. Die IP-Adresse ist auf einen Endkunden-ISP registriert, aber die Maschine, die darauf antwortet, steht in einem Rechenzentrum. Betreiber erwerben oder leasen Adressraum von Endkunden-ISPs und kündigen ihn von Hosting-Infrastruktur aus an.

Das Ergebnis ist ein bewusster Widerspruch: Geschwindigkeit und Verfügbarkeit eines Rechenzentrums im Gewand von WHOIS-Einträgen eines Endkunden-ISP. Eine Prüfung, die nur die Registry liest, sieht einen Kabelanbieter und geht weiter. Hilfreich ist ein Verhaltensbefund: ein Proxy- oder VPN-Protokoll, das auf der Adresse antwortet, oder ein Bereich, in dem sich jeder Host wie ein Server verhält. Deshalb kombiniert die Proxy-Erkennung mehrere unabhängige Signale, statt einem einzelnen Registry-Feld zu vertrauen. Die Grenze: Ein unauffälliger ISP-Proxy ohne offenen Dienst sieht genau so aus, wie seine Registry es angibt.

Residential-Proxys

Der Exit ist ein echter Endkundenanschluss in einem echten Haushalt. Die Adresse gehört einem legitimen ISP, wird einem plausiblen Vorort zugeordnet und sieht genau wie ein Kunde aus, weil sie einer ist. Nur eben jemand anderes.

Residential-Proxys sind teuer, werden meist nach Bandbreite statt nach Adresse verkauft und sind das Standardwerkzeug für ernsthaften Missbrauch, weil sie das Hosting-Signal aushebeln. GeoIPHub erkennt keine Residential-Proxys. Auf der IP-Ebene sehen ein Hausanschluss, der Proxy-Verkehr weiterleitet, und derselbe Hausanschluss, über den ein Film gestreamt wird, gleich aus. Hilfreich ist alles rund um die IP, was die Beiträge warum so viele Residential-Proxys in Ihrem Verkehr auftauchen und das Playbook aus Betrugssicht durchgehen.

Mobile Proxys

Der Exit ist eine echte Mobilfunkverbindung bei einem echten Mobilfunkanbieter. Das ist der schwierigste Fall, und die Schwierigkeit liegt eher im Kollateralschaden als in der Unsichtbarkeit.

Mobilfunknetze liegen hinter Carrier-Grade-NAT (RFC 6888, April 2013), sodass eine einzige öffentliche Adresse gleichzeitig viele voneinander unabhängige Teilnehmer repräsentieren kann. Blockieren Sie die Adresse, blockieren Sie alle. Eine IP-Abfrage kann Ihnen sagen, dass die Adresse einem Mobilfunkanbieter gehört. Sie kann Ihnen nicht sagen, ob eines der Telefone dahinter seine Verbindung verkauft. Die richtige Reaktion ist Verifizierung, nicht Ablehnung, und die Details auf Feldebene stehen in wie man mobile Proxys erkennt.

Die vier im Vergleich

Lesen Sie die letzten beiden Spalten zusammen. Rechenzentrums-Proxys sind leicht zu erkennen und gefahrlos zu blockieren. Mobile Adressen lassen sich leicht einem Mobilfunkanbieter zuordnen und sind gefährlich zu blockieren. Residential-Exits sind schwer zu erkennen und unangenehm zu blockieren. Ein einzelnes boolesches "is_proxy" lässt all das in sich zusammenfallen. Deshalb sollte der Proxy-Typ Ihre Reaktion bestimmen.

Ein gemieteter Server erhält allow, ein geprüftes VPN block

Eine Hosting-Adresse allein erreicht kein block, ein bestätigter VPN-Handshake schon. Wir haben am 20. Oktober 2026 um 04:34 UTC 45.33.32.156 und um 04:35 UTC 185.213.155.73 ohne Schlüssel mit curl abgefragt. Die erste ist scanme.nmap.org, der öffentliche Testserver von Nmap bei Linode, und sie ist kein Proxy: So sieht jeder gemietete Server aus, bevor er irgendetwas tut. Die zweite ist ein Mullvad-VPN-Server in Frankfurt. Gekürzt, Werte unverändert:

Beide Adressen sind gemietete Server in Hosting-ASNs, und beide liefern is_hosting: true. Beim Linode-Server ist hier Schluss: eine Methode, datacenter_ip, ein Score von 10 und allow, denn einen Server zu mieten ist kein Betrug. Der Mullvad-Server bringt drei weitere Gründe mit. Er steht auf Mullvads eigener veröffentlichter Serverliste (known_vpn_server, mit vpn_confidence: 95, dem Wert für einen Treffer auf der eigenen Liste eines Anbieters), diese Liste kennzeichnet ihn als WireGuard-Server (wireguard_open), und die Hosting- und VPN-Signale verstärken sich gegenseitig (datacenter_with_vpn_proxy). Der Score erreicht 100 und block.

Die vier Aktionen entsprechen festen Bereichen, sodass Sie jeden Score gleich lesen können:

Zwei weitere Adressen, die den Nutzer verbergen, aber nicht zu den vier Typen gehören

Tor-Exits und Apples iCloud Private Relay verbergen ebenfalls die Person dahinter, und beide tauchen in Diskussionen über Proxys auf. Wir haben sie in derselben Sitzung abgefragt:

Das Relay bedient zahlende Apple-Kunden, und der Score ist bei Relay-Adressen auf 60 begrenzt, sodass sie nie block erreichen. Der Tor-Exit stammt aus der veröffentlichten Exit-Liste des Tor Project, die wir täglich laden. Eine Einschränkung zu dieser Zeile: no_ptr_datacenter hat angeschlagen, obwohl das Reverse DNS für die Adresse heute live auflöst. Das ist eine Lücke in unseren gespeicherten PTR-Einträgen, die wir erfasst haben. Tor hat einen eigenen Leitfaden zum Erkennen von Tor-Verkehr anhand der IP.

Achse zwei: Wie der Proxy kommuniziert

Die Protokollachse bestimmt, welchen Verkehr ein Proxy transportieren kann, und sie ist unabhängig davon, wo der Exit liegt. Viele Artikel über "Proxy-Typen" führen "HTTP-Proxy" und "Residential-Proxy" auf, als wären sie Alternativen. Sie beantworten verschiedene Fragen: Ein Residential-Proxy spricht ein Protokoll, und SOCKS5 ist ein Protokoll, das auf jedem der vier Typen laufen kann.

HTTP-Proxys verstehen HTTP. Der Client sendet eine vollständige Anfrage an den Proxy, der sie lesen, cachen, Header umschreiben und filtern kann. Ein nachlässig konfigurierter fügt die Header Via und X-Forwarded-For hinzu, die ihn verraten.

HTTPS-Tunnel nutzen die Methode CONNECT (RFC 9110), die den Proxy bittet, einen rohen TCP-Tunnel zu öffnen und die Interpretation einzustellen. Der Proxy wird zur Leitung, TLS läuft Ende-zu-Ende hindurch, und der Proxy sieht die Ziele, aber nicht den Inhalt.

SOCKS5 (RFC 1928, März 1996) liegt unterhalb der Anwendungsschicht. Es leitet TCP und, anders als seine Vorgänger, UDP weiter und unterstützt Authentifizierung, Domainnamen und IPv6. Es prüft nie die Nutzdaten und fügt nie Header hinzu.

Angreifer mögen SOCKS5, weil es unauffällig ist. Verteidiger können darauf testen. Unser Scanner prüft 25 Ports mit echten Protokoll-Handshakes für 8 VPN- und Proxy-Protokolle, darunter SOCKS5, SOCKS4, HTTP CONNECT und OpenVPN. Der Prüfschritt läuft höchstens alle 12 Stunden und prüft frühere Treffer erneut, sobald sie 7 Tage alt sind. Er hat keine WireGuard-Probe: wireguard_open in der Mullvad-Abfrage stammt aus Mullvads eigener Serverliste, die diesen Server als WireGuard kennzeichnet. Der Durchlauf geht Hosting-Netze und die Serverbereiche von VPN-Anbietern durch und prüft außerdem Adressen, die öffentliche Proxy-Feeds aufführen. Adressraum von Endkunden-ISPs durchläuft er nicht, sodass ein ISP-Proxy auf als Heimanschluss registrierten Adressen nur dann ein Prüfergebnis erhält, wenn ein öffentlicher Feed ihn zuvor genannt hat.

Die Grenze ist physikalisch. Eine Probe kann nur einen Proxy bestätigen, der eingehende Verbindungen annimmt. Ein Telefon oder eine TV-Box, die über eine App in ein Residential-Netz eingebunden ist, sitzt hinter dem Router des Haushalts, sodass eine Probe von außen niemanden zum Ansprechen hat.

Forward, Reverse und transparent

Forward-Proxys handeln für den Client, und um sie geht es in diesem Beitrag. Reverse-Proxys handeln für den Server, wie es jedes CDN und jeder Load Balancer tut. Transparente Proxys fangen Verkehr ohne Konfiguration auf dem Client ab, wie es ein Captive Portal im Hotel tut. Für Betrug ist nur die Forward-Variante relevant.

Woher das Residential-Angebot tatsächlich stammt

Residential-Proxy-Netze brauchen echte Haushalte, und echte Haushalte melden sich selten freiwillig. Deshalb ist "blockieren Sie einfach Residential-Proxys" eine naive Anweisung.

Die erste ernsthafte wissenschaftliche Studie, Resident Evil (IEEE Symposium on Security and Privacy, 2019), infiltrierte diese Dienste und erkannte rund 6 Millionen Residential-Proxy-IPs in mehr als 230 Ländern und bei mehr als 52.000 ISPs. Trotz der Behauptungen der Anbieter, die Teilnehmer machten freiwillig mit, liefen viele auf wahrscheinlich kompromittierten Hosts, darunter IoT-Geräte.

Das FBI hat die Rekrutierungswege in einer öffentlichen Bekanntmachung vom 12. März 2026 beschrieben. Es nennt fünf: SDKs, für deren Einbau Proxy-Dienste App-Entwickler bezahlen, kostenlose VPNs, bei denen die Einbindung in den Nutzungsbedingungen versteckt ist, kompromittierte IoT-Geräte, Malware in kostenlosen Spielen und raubkopierten Medien sowie Apps für passives Einkommen, die Nutzer für ihre Bandbreite bezahlen. Die Geräteliste lohnt sich, zweimal gelesen zu werden. Sie umfasst TV-Streaming-Geräte, Streaming-Sticks, Android-TV-Boxen, digitale Bilderrahmen, Smartphones, Tablets, Router, digitale Projektoren und nachgerüstete Infotainmentsysteme in Fahrzeugen.

Das erreichte Ausmaß ist dokumentiert. Das Botnetz 911 S5, das in einer Operation zerschlagen wurde, die das US-Justizministerium am 29. Mai 2024 bekannt gab, wurde mit mehr als 19 Millionen eindeutigen IP-Adressen in Verbindung gebracht, darunter 613.841 in den Vereinigten Staaten.

Wenn also ein Residential-Proxy Ihre Login-Seite trifft, gehört die Adresse meist jemandem, der keine Ahnung davon hat. Das ist das Argument gegen dauerhafte Sperren von Heimadressen und für den Umgang mit anonymisiertem Verkehr, ohne echte Kunden zu blockieren.

Warum eine Liste schlechter Adressen gegen das Residential-Angebot verliert

Eine Sperrliste geht davon aus, dass eine schlechte Adresse wiederkommt, und das Residential-Angebot rotiert weg, bevor sie das tut. Zwei aktuelle Messungen zeigen das.

GreyNoise analysierte rund 4 Milliarden Sitzungen zwischen dem 29. November 2025 und dem 27. Februar 2026 und berichtete, dass 39 % der eindeutigen IPs, die den Netzwerkrand angriffen, von privaten Internetanschlüssen stammten, während diese Adressen 22 % der Sitzungen erzeugten. Die Lücke ist der Befund: 78 % der Residential-IPs tauchten in den 90 Tagen in nur einer oder zwei Sitzungen auf. Eine Reputationsliste kann keine Adresse markieren, die vor ihrer zweiten Anfrage schon wieder verschwunden ist.

Das Volumen weist in dieselbe Richtung. Infoblox berichtete am 9. Juni 2026, dass die monatlichen DNS-Anfragen an Domains von Residential-Proxys von fast 400 Milliarden auf über 500 Milliarden gestiegen sind, ein Zuwachs von rund 25 %. Außerdem stellte das Unternehmen fest, dass über 65 % seiner Kunden von Threat Defense Cloud Domains abgefragt hatten, die mit Residential-Proxy-Netzen verbunden sind.

IP-Intelligence funktioniert weiterhin bei der Frage, was eine Adresse ist: Hosting, VPN, Tor, Relay, Mobilfunkanbieter. Eine statische Liste schlechter Heimadressen funktioniert nicht.

Was die IP-Ebene bei Residential- und mobilen Proxys zeigen kann und was nicht

Die IP-Ebene kann eine Adresse einem Netztyp zuordnen. Sie kann nicht sehen, was ein Gerät in diesem Netz tut. Für die beiden schwierigsten Typen bleibt damit eine kurze Liste verwertbarer Fakten:

• Adressen von Heim-ISPs erhalten einen Vertrauensvorschuss, bis sie Proxy-Hinweise tragen. Ein Hausanschluss, den wir an seinem Residential-Reverse-DNS erkennen, erhält 17 Punkte Abzug für den ISP und 16 für das Reverse DNS. Sobald dieselbe Adresse Hinweise auf Proxy, VPN oder Tor trägt, wird der ISP-Abzug durch den Grund residential_with_threat ersetzt, der 21,25 Punkte hinzufügt.
• Adressen von Mobilfunkanbietern erhalten einen kleineren Abzug. Eine Mobilfunkadresse erhält 12 Punkte Abzug, und Reverse DNS, das wie ein Mobilfunk-Pool aussieht, weitere 7.
• Geteilte Adressen sind gedeckelt. Carrier-Grade-NAT-Adressen ohne eigene Hinweise auf Proxy, VPN, Tor, Botnetz oder Missbrauch können nicht über 50 kommen und erreichen allein anhand der IP also höchstens review.
• Ein offener Proxy-Port ist ein Hinweis, hier aber selten verfügbar. Unsere Probes decken SOCKS5, SOCKS4 und HTTP CONNECT ab, erreichen eine als Heimanschluss registrierte Adresse aber nur, wenn ein öffentlicher Proxy-Feed sie aufführt. Ein Listener auf dieser Adresse sagt nichts über ein Residential-Proxy-Netz aus.

Alles andere muss von Ihrer Seite kommen: Rate pro Konto, ein neues Gerät auf einem alten Konto, ein Rechnungsland, das nicht zur Sitzung passt. Um eine einzelne verdächtige Adresse durchgängig zu verfolgen, folgen Sie dem Verfahren zur Untersuchung einer IP pro Vorfall.

Ihre Reaktion auf die Proxy-Typen abstimmen

Der Nutzen der Einteilung ist eine abgestufte Reaktion statt einer pauschalen Regel. Verwenden Sie scoring.recommended_action als Standard und passen Sie sie je nach Typ an:

• Rechenzentrum bei einer Endkundenaktion. Eine reine Hosting-Adresse landet im allow-Bereich, wie die Linode-Abfrage mit 10. Ergänzen Sie Ihren eigenen Kontext: Blockieren oder isolieren Sie sie bei Logins und Checkouts von Endkunden, wenn Ihr Produkt es rechtfertigt, und nehmen Sie bekannten Unternehmens-Egress für B2B aus.
• ISP / statisch Residential. Behandeln Sie sie wie ein Rechenzentrum, sobald etwas der Registry widerspricht. Eine Probe-Methode in detection_methods würde das leisten, aber unser Durchlauf erreicht Adressraum von Endkunden-ISPs nur über öffentliche Proxy-Feeds, sodass der Widerspruch meist aus Ihren eigenen Daten kommt. Die Registry allein wird Ihnen sagen, dass es Residential ist.
• Residential. Sie werden meist nicht wissen, dass es ein Proxy ist. Eskalieren Sie bei Bestätigung durch Ihre eigenen Daten und bevorzugen Sie eine zusätzliche Verifizierung gegenüber einer Ablehnung, denn der Haushalt ist vermutlich ein Opfer.
• Mobil hinter CGNAT. Blockieren Sie nie allein die Adresse. Lockern Sie Ratenlimits für geteilte IPs, verifizieren Sie den Nutzer und stützen Sie sich auf Konto- und Gerätesignale.
• VPN und Tor. Ein geprüftes oder gelistetes VPN kann block erreichen, wie der Mullvad-Server, aber ein VPN allein ist kein Betrug. Sie bevorzugen vielleicht step_up für VPN-Logins und behalten block für Tor und gehäufte Signale vor.

Die Regel hinter allen fünf: Der Proxy-Typ bestimmt, wie viel Gewicht das Netzsignal trägt, und den Rest muss etwas anderes tragen.

Benennen Sie den Proxy-Typ, bevor Sie eine Reaktion wählen

Die Methodik dokumentiert, wie jedes der oben genannten Signale erhoben wird. Jedes Feld ist im kostenlosen Tarif mit 1.500 Abfragen pro Tag enthalten, und die Übersicht zur Betrugsprävention zeigt, wie der Score in eine Entscheidung einfließt. Um jetzt eine Adresse zu prüfen, geben Sie sie in den VPN-Erkennungstest oder die Rechenzentrums-IP-Prüfung ein und lesen Sie, welche detection_methods angeschlagen haben, bevor Sie entscheiden, mit welcher Art von Proxy Sie es zu tun haben.

Häufig gestellte Fragen

Welche Proxy-Typen gibt es hauptsächlich?

Proxys werden nach zwei unabhängigen Achsen eingeteilt. Nach Herkunft der Exit-IP gibt es vier: Rechenzentrum (gemietete Cloud- oder Hosting-Server), ISP oder statisch Residential (Adressraum eines Endkunden-ISP auf Rechenzentrumshardware), Residential (echte Endkundenanschlüsse in echten Haushalten) und mobil (echte Mobilfunkverbindungen hinter Carrier-NAT). Nach der Art, wie der Proxy kommuniziert, gibt es drei gängige Protokolle: HTTP-Proxys, HTTPS-Tunnel über die CONNECT-Methode und SOCKS5. Die erste Achse bestimmt, was eine IP-Abfrage sehen kann und wie teuer der Proxy ist. Die zweite bestimmt, welchen Verkehr er transportieren kann.

Was ist der Unterschied zwischen einem Rechenzentrums-Proxy und einem Residential-Proxy?

Ein Rechenzentrums-Proxy hat seinen Exit auf einem Server, der bei einem Cloud- oder Hosting-Anbieter gemietet ist. Die Adresse liegt also in einem als Hosting eingestuften ASN-Bereich, und eine IP-Abfrage zeigt das deutlich. Ein Residential-Proxy hat seinen Exit auf einem echten Endkundenanschluss in einem echten Haushalt, oft eingebunden über ein App-SDK, ein kostenloses VPN, Proxyware oder Malware. Die Adresse gehört also einem legitimen ISP und sieht genau wie ein Kunde aus. Allein anhand der IP können Sie einen Residential-Proxy-Exit meist nicht von dem Haushalt unterscheiden, dem der Anschluss gehört. Deshalb kostet er Angreifer mehr und ist das Standardwerkzeug für ernsthaften Missbrauch.

Was ist ein ISP-Proxy?

Ein ISP-Proxy, manchmal als statischer Residential-Proxy verkauft, ist die Mischform: Die IP-Adresse ist auf einen Endkunden-ISP registriert, aber die Maschine, die darauf antwortet, steht in einem Rechenzentrum. Betreiber kaufen oder leasen Adressraum von Endkunden-ISPs und kündigen ihn von Hosting-Infrastruktur aus an. Eine Registry-Prüfung sieht eine Residential-Adresse; der brauchbare Hinweis ist ein Widerspruch, etwa ein Proxy-Protokoll, das auf der Adresse antwortet.

Sind mobile Proxys schwieriger zu handhaben als Residential-Proxys?

Ja, und der Grund sind Kollateralschäden. Mobile Proxys haben ihren Exit auf echten Mobilfunkverbindungen hinter Carrier-Grade-NAT, sodass eine Adresse gleichzeitig viele voneinander unabhängige Teilnehmer repräsentieren kann. Eine IP-Abfrage kann Ihnen sagen, dass die Adresse einem Mobilfunkanbieter gehört, aber nicht, ob eine der Personen dahinter einen Proxy betreibt. Wer die Adresse blockiert, bestraft alle, die sie teilen. Eine mobile Adresse sollte also eine zusätzliche Verifizierung auslösen, keine harte Sperre.

Ist SOCKS5 besser als ein HTTP-Proxy?

Sie lösen unterschiedliche Probleme. Ein HTTP-Proxy versteht HTTP und kann Anfragen lesen und umschreiben. Das macht ihn nützlich für Caching und Filterung, beschränkt ihn aber auf Webverkehr. SOCKS5, definiert in RFC 1928, arbeitet unterhalb der Anwendungsschicht und leitet einfach TCP und UDP weiter. Es transportiert also jedes Protokoll und prüft nie die Nutzdaten. Angreifer bevorzugen meist SOCKS5, weil es weniger identifizierende Header preisgibt.