Was ist eine Datacenter-IP-Adresse? Cloud- und Hosting-Traffic erkennen (ohne echte Kunden zu blockieren)

Jedes Betrugs- und Abuse-Team stützt sich auf eine stille Annahme: Ein zahlender Kunde ist ein Mensch am Handy oder am Laptop zu Hause. Kommt eine Anfrage stattdessen aus einem Rack in einem Rechenzentrum, bricht diese Annahme, und genau dieser Bruch ist eine Information. Die Unterscheidung zwischen Datacenter und Residential ist eines der ältesten und nützlichsten Signale der IP-Intelligence (und eine zentrale Ebene dessen, wie VPN- und Proxy-Erkennung funktioniert), doch das meiste, was darüber geschrieben wird, stammt von Proxy-Anbietern, die erklären, wie man die Erkennung umgeht. Dieser Leitfaden sitzt auf der anderen Seite des Tisches: wie die Erkennung tatsächlich funktioniert, warum die naive Variante nach hinten losgeht und wie Sie das Signal in eine Entscheidung verwandeln, die Sie begründen können.

Was ist eine Datacenter-IP-Adresse (im Vergleich zu einer Residential-IP)?

Jede öffentliche IP-Adresse wird von genau einem Netzwerk announced, einem Autonomous System, und die Identität dieses Netzwerks verrät viel darüber, wer wahrscheinlich hinter der Adresse steckt. Ein Endkunden-ISP announced Adressen, die bei Haushalten und Handys enden. Ein Hosting-Anbieter announced Adressen, die bei Servern enden. Dieser eine Unterschied ist das ganze Spiel.

Beachten Sie die letzte Zeile, denn genau diesen Teil lassen die Leitfäden der Proxy-Anbieter weg. Eine Datacenter-IP ist nicht bösartig. Sie ist in einem Ablauf für Menschen unerwartet. Eine API-Integration, ein Webhook oder ein Monitoring-Check aus einem Rechenzentrum ist völlig normal. Ein Verbraucher, der sich von einem OVH-Server aus für ein Bankkonto registriert, ist es nicht. Der Kontext entscheidet, ob „unerwartet“ „Betrug“ bedeutet.

Warum Datacenter-IPs für Betrug so wichtig sind

Dieses Signal verdient sein Gewicht, weil Automatisierung irgendwo laufen muss, und der günstigste, am besten skalierbare Ort dafür ist gemietete Cloud-Infrastruktur. Wenn Sie betrachten, woher missbräuchlicher Traffic stammt, sind Rechenzentren im Verhältnis zur Zahl echter Menschen, die sie beherbergen, massiv überrepräsentiert. Unser Leitfaden dazu, was eine IP über einen Bot verraten kann und was nicht, stellt das Datacenter-Flag neben die anderen Bot-Signale, von veröffentlichten Crawler-Bereichen bis zu Tor- und Scanner-Flags.

(Dies sind Schätzungen auf Basis der Netzwerktelemetrie eines Anbieters: starke Hinweise auf die Richtung, entsprechend zugeordnet, keine Vollerhebung des gesamten Internets.) Die Schlussfolgerung ist einfach: Der Großteil von Credential Stuffing, Scraping, Fake-Account-Erstellung und Carding in großem Maßstab stammt aus Hosting-Infrastruktur, weil man dort für ein paar Dollar pro Stunde tausend Worker hochfahren kann. Datacenter-IPs zu markieren ist der günstigste Weg, diese Ökonomie zu besteuern, und genau deshalb haben Angreifer gelernt, sie zu verschleiern. Dazu kommen wir weiter unten.

Wie die Erkennung von Datacenter-IPs tatsächlich funktioniert

Es gibt kein magisches „Datacenter-Bit“ in einem IP-Paket. Erkennung bedeutet, eine Adresse dem Netzwerk zuzuordnen, das sie betreibt, und dieses Netzwerk dann zu klassifizieren. Produktivsysteme kombinieren mehrere Methoden, weil jede für sich blinde Flecken hat.

• ASN und Hosting-Profil (das Fundament). Lösen Sie die IP zu ihrer ASN auf und prüfen Sie, ob dieses Autonomous System ein Hosting-/Cloud-Anbieter oder ein privater ISP ist. Eine Adresse, die von AS16509 (Amazon) oder AS14061 (DigitalOcean) announced wird, ist ein Server; eine, die ein privater ISP announced, ist wahrscheinlich eine Person. Das erfasst den Großteil des Datacenter-Traffics bei der ersten Abfrage.
• Reverse DNS (rDNS). Cloud-Anbieter codieren Hinweise in PTR-Einträgen: Regionscodes, Instanz-IDs, Suffixe im Stil von compute.amazonaws.com. rDNS bestätigt das ASN-Urteil und erfasst manchmal Wiederverkäufer, die Adressraum erneut announcen.
• Registry- und WHOIS-Zuteilung. Die Regional Internet Registries verzeichnen, wem ein Block zugeteilt wurde. Zuteilungsart und Organisation helfen, echten ISP-Adressraum von Hosting-Adressraum zu unterscheiden, der herausgeschnitten und untervermietet wurde.
• Veröffentlichte Cloud-Bereiche. Die großen Anbieter veröffentlichen ihre IP-Bereiche. Der Abgleich damit macht aus „wahrscheinlich Hosting“ ein „definitiv AWS us-east-1“.
• Aktives Probing (wo es darauf ankommt). ASN-Daten verraten, dass eine Adresse ein Server ist; sie können nicht sagen, ob auf diesem Server ein SOCKS5-Proxy oder ein OpenVPN-Endpunkt läuft. Die relevanten Ports anzuklopfen und den Handshake auszulesen kann das. So wird eine Datacenter-IP von „Hosting“ zu „Hosting und offener Proxy“ verfeinert.

Eine gute IP-Intelligence-API erledigt all das für Sie und liefert das Urteil als einzelnes Feld, mit angehängten Belegen, damit Sie es prüfen können:

Gekürzte echte Antwort (Abfrage vom 2. Oktober 2026):

Sie pflegen keine ASN-Listen, scrapen keine Cloud-Bereiche und betreiben keine Probes selbst. Sie lesen detection.is_hosting, und scoring.detection_methods verrät Ihnen, warum es zutrifft. Achten Sie auf den Score: Ein einfaches DigitalOcean-Droplet ohne Anonymisierer, ohne offenen Proxy-Port und ohne Missbrauchseintrag erhält 15 Punkte und landet im Bereich allow. Eine Datacenter-Adresse zu sein ist ein Signal, kein Urteil, und genau darum geht es im nächsten Abschnitt. In der vollständigen Liste der IP-Datenfelder finden Sie alles, was eine Abfrage zurückgibt, und in der Methodik von GeoIPHub, wie jedes Urteil entsteht.

Der Haken: Nicht jeder Datacenter-Traffic ist Betrug

Hier richten naive Implementierungen mehr Schaden an als der Betrug, den sie verhindern sollen. Wenn Sie einfach if (detection.is_hosting) block schreiben, blockieren Sie eine lange Liste legitimen Traffics, und die Nutzer dahinter sind oft Ihre besten Kunden, denn viel datenschutzbewusster Traffic und Unternehmens-Traffic tritt heute bewusst über Cloud-Infrastruktur aus.

Zu legitimem Traffic von Datacenter-IPs gehören:

• Egress von Unternehmens-VPNs und SASE. Moderne Unternehmenssicherheit (Zscaler, Netskope, Cloudflare One) leitet Mitarbeitende über Cloud-Gateways. Das ganze Unternehmen kann so scheinbar von einer einzigen Datacenter-IP kommen.
• Apple iCloud Private Relay. Apples Datenschutzfunktion tritt über Partnernetze aus, und ein Teil dieser Infrastruktur wird als Hosting und nicht als Residential klassifiziert. Blockieren Sie sie, blockieren Sie einen Teil der Safari-Nutzer auf dem iPhone. So können Sie iCloud-Private-Relay-Traffic erkennen und durchlassen.
• Serverseitiges Rendering, Link-Vorschauen und Webhooks. Wenn jemand Ihre URL in Slack oder iMessage einfügt, ruft ein Server sie ab. Auch Ihre eigenen Integrationen rufen Ihre API von Servern aus auf.
• Uptime- und Sicherheitsmonitoring. Pingdom, UptimeRobot und Schwachstellenscanner, die Ihre Endpunkte erreichen sollen, stammen allesamt aus Rechenzentren.
• Verifizierte KI-Crawler und Shopping-Agenten. Ein wachsender Anteil von Recherche und Einkauf läuft heute über KI-Agenten in der Cloud. Wer sie blind blockiert, wird in einem realen und wachsenden Kanal unsichtbar (siehe KI-Crawler und Agenten per IP verifizieren).

Das Datacenter-Flag ist eine Ausgangsannahme, kein Urteil. Die Aufgabe ist, das Risiko zu erhöhen, wenn Sie es sehen, und es dann von entlastenden Signalen (ein verifizierter Crawler, ein bekannter Datenschutzanbieter, eine saubere Missbrauchshistorie) wieder senken zu lassen. Genau diese Balance haben wir in anonymisierten Traffic erkennen, ohne echte Kunden zu blockieren behandelt. Für Scraper auf Cloud-Servern zeigt unser Leitfaden zum Erkennen von Web-Scraping in Ihren Access-Logs, warum Rate und Seitenreihenfolge mehr zählen als das Hosting-Flag.

Datacenter-Erkennung allein reicht nicht mehr

Selbst ein perfekter Datacenter-Klassifikator stößt an eine Grenze, weil Angreifer dasselbe Playbook gelesen haben wie Sie. Sobald sich Datacenter-IPs leicht markieren ließen, wanderte Betrug auf Infrastruktur, die residential aussieht: Residential-Proxys, also echte, von ISPs vergebene Adressen, oft auf kompromittierten Geräten oder über zwielichtige SDKs, die als Exit-Nodes weiterverkauft werden. Traffic darüber trägt eine Residential-ASN und rauscht an jeder is_hosting-Prüfung vorbei.

Das ist keine Randtechnik. Impervas Daten für 2025 schreiben 21 % der Bot-Angriffe Residential-Proxys zu, und zwar gezielt, um dem Datacenter-Signal zu entgehen. Eine Datacenter-Prüfung muss daher in einem mehrschichtigen System leben, das auch das Verhalten von Residential-Proxys modelliert (Adresswechsel, Port-Fingerprints, UA-Vielfalt, Burst-Muster) und die Missbrauchshistorie gewichtet. Das schlüsseln wir in Residential-Proxy-Betrug im Jahr 2026 auf. Die Lehre: is_hosting ist eine Ebene der Beweisführung, nicht das ganze Urteil.

Was Sie mit einer Datacenter-IP tatsächlich tun sollten

Die Erkennung ist die leichte Hälfte. Bei der Entscheidung gewinnen oder verlieren Teams Kunden. Jede Datacenter-Anfrage hart zu blockieren tauscht eine kleine Betrugsreduktion gegen einen großen Haufen Fehlablehnungen; das Signal zu ignorieren lässt die Haustür offen. Die Antwort ist eine abgestufte Reaktion, die sich an Kontext und einem kombinierten Risikoscore orientiert, nicht an einem einzelnen Boolean. Bei bezahlter Suche entscheidet dieselbe Regel über Ihre Google-Ads-Ausschlussliste: Hosting-CIDRs, die einen Ausschlussplatz verdienen, sind die stabilen, die immer wieder in Ihrem Klick-Log auftauchen.

• Klassifizieren statt nur markieren: Unterscheiden Sie Hosting von Unternehmens-VPN, Privacy-Relay, verifiziertem Crawler und offenem Proxy. Sie tragen sehr unterschiedliches Risiko, obwohl alle „Datacenter“ sind.
• Nach Ablauf gewichten: Eine Datacenter-IP bei einem Seitenaufruf im Marketingbereich ist Rauschen; bei einer Registrierung, einem Checkout oder einer Auszahlung ist sie ein echtes Signal, auf das Sie reagieren sollten.
• Signale kombinieren, nie anhand eines einzelnen Booleans entscheiden: Verknüpfen Sie is_hosting mit Missbrauchshistorie, Residential-Proxy-Verhalten und Velocity, bevor Sie prüfen oder blockieren.
• Entlastende Signale nutzen: Ein verifizierter Googlebot oder ein bekannter Monitoring-Dienst aus einem Rechenzentrum sollte das Risiko senken und keine Sperre auslösen.
• Abgestuft reagieren: Geringes Risiko zulassen, im mittleren Bereich zusätzliche Verifizierung (MFA, Captcha) verlangen und harte Sperren für Betrug mit hoher Konfidenz reservieren.
• Erklärbar bleiben: Protokollieren Sie die detection_methods hinter jeder Entscheidung, damit ein abgelehnter Kunde eine Support-Antwort erhält und kein Rätsel.

Genau so ist der Risikoscore von 0 bis 100 von GeoIPHub aufgebaut. Das Datacenter-Signal bringt Punkte; ein privater ISP oder ein verifizierter Crawler zieht welche ab; und jede Abfrage liefert asn.connection_type, die Zuordnung asn.org und die ausgelösten scoring.detection_methods, damit Sie handeln und erklären können. Ein blockierter Checkout darf nie eine Black Box sein. Jede mögliche Begründung samt Gewichtung finden Sie in den Begründungen im Risikoscore, Feld für Feld.

Datacenter-IPs mit GeoIPHub erkennen

GeoIPHub liefert detection.is_hosting zusammen mit asn.connection_type, asn.asn, asn.org und den scoring.detection_methods hinter dem Urteil in jedem Tarif, auch im kostenlosen Tarif. Es gibt keine Paywall für die Hosting-Erkennung, kein „Upgraden, um den Verbindungstyp zu sehen“, und das Urteil kommt mit seinen Belegen statt mit einem Black-Box-Label. Der kostenlose Tarif umfasst 1.500 Anfragen pro Tag ohne Kreditkarte.

• Sofort ausprobieren: Das kostenlose Tool zur Datacenter-IP-Prüfung klassifiziert jede Adresse direkt in Ihrem Browser, ohne Registrierung.
• Einbauen: Holen Sie sich einen kostenlosen API-Schlüssel und lesen Sie die API-Dokumentation und den Quickstart.
• Tiefer einsteigen: VPN- und Proxy-Erkennung, verifiziert durch aktives Probing und Threat Intelligence und Missbrauchssignale erweitern dieselbe Abfrage.
• Keine Paywall für Felder: siehe Preise: jedes Feld in jedem Tarif.

Eine Datacenter-IP sagt Ihnen, dass ein Server und keine Person die Anfrage gesendet hat, und das ist eine der aussagekräftigsten Tatsachen, die Sie über einen Besucher erfahren können. Erkennen Sie sie bei jeder Abfrage, handeln Sie nie allein auf dieser Grundlage und halten Sie die Entscheidung stets erklärbar. Dann besteuern Sie die Betrugsökonomie, die von billiger Cloud-Infrastruktur abhängt, ohne je die echten Kunden und legitimen Bots zu blockieren, die zufällig ebenfalls dort zu Hause sind.

Häufig gestellte Fragen

Was ist eine Datacenter-IP-Adresse?

Eine Datacenter-IP-Adresse wird im Internet von einem Hosting-Unternehmen, Cloud-Anbieter oder Colocation-Betreiber (etwa AWS, Google Cloud, DigitalOcean oder OVH) announced und nicht von einem Endkunden-ISP, der Adressen an Haushalte und Handys vergibt. Weil hinter diesen Adressen Server statt Menschen stehen, ist eine Anfrage von einer Datacenter-IP weitaus wahrscheinlicher automatisiert: ein Bot, ein Scraper, ein VPN-Endpunkt oder ein Proxy. Sie ist eines der zuverlässigsten Einzelsignale für Betrug, weshalb die meisten Erkennungssysteme sie schon bei der allerersten Abfrage markieren.

Wie erkennt man eine Datacenter-IP-Adresse?

Die wichtigste Methode ist, die IP ihrer Autonomous System Number (ASN) zuzuordnen und zu prüfen, ob dieses Netzwerk ein Hosting-/Cloud-Anbieter oder ein privater ISP ist. Bestätigt wird das durch Reverse-DNS-Hostnamen (Cloud-Anbieter codieren darin Hinweise auf Region und Instanz), WHOIS- und Registry-Zuteilungsdaten sowie bekannte veröffentlichte Cloud-Bereiche. Eine gute IP-Intelligence-API liefert das als einzelnen Boolean (GeoIPHub gibt `detection.is_hosting` sowie die dahinterstehenden Felder `asn.asn` und `asn.org` zurück), sodass Sie keine ASN-Listen selbst pflegen müssen.

Sollte ich alle Datacenter-IP-Adressen blockieren?

Nein. Wer jede Datacenter-IP blockiert, erzeugt Fehlablehnungen, denn viel legitimer Traffic kommt aus Hosting-Infrastruktur: Egress von Unternehmens-VPNs und SASE, Apple iCloud Private Relay, serverseitiges Rendering und Link-Vorschauen, Uptime- und Sicherheitsmonitore sowie verifizierte KI-Crawler und Shopping-Agenten. Richtig ist eine abgestufte Reaktion: Anfragen mit geringem Risiko zulassen, unklare prüfen und nur dann blockieren, wenn das Datacenter-Signal zusammen mit anderen Risikosignalen eine Schwelle mit hoher Konfidenz überschreitet.

Was ist der Unterschied zwischen einer Datacenter-IP und einer Residential-IP?

Eine Residential-IP wird von einem Endkunden-ISP (Comcast, Vodafone, Jio) an einen echten Haushalt oder ein Mobilgerät vergeben und genießt daher das Vertrauen einer echten Endnutzerverbindung. Eine Datacenter-IP stammt von einem Hosting- oder Cloud-Anbieter und steht fast immer vor einem Server. Betrüger kennen diese Lücke, weshalb sie Residential-Proxys kaufen (echte ISP-Adressen, die als Proxys weiterverkauft werden), um der Datacenter-Erkennung zu entgehen. Das Datacenter-Flag ist also notwendig, aber nicht ausreichend: Sie brauchen auch Residential-Proxy-Erkennung.

Ist eine Datacenter-IP immer bösartig?

Nein. Eine Datacenter-IP sagt Ihnen nur, dass die Anfrage von Server-Infrastruktur kam und nicht aus einem Haushalt oder von einem Handy. Das ist bei einem Verbraucher-Login oder Checkout verdächtig, bei einem API-Client, einem Webhook, einem Monitoring-Dienst oder einem Unternehmensnetz, das Mitarbeitende über ein Cloud-Security-Gateway leitet, aber völlig normal. Behandeln Sie das Datacenter-Flag als starke Ausgangsannahme, die das Risiko erhöht, und lassen Sie entlastende Signale wie einen verifizierten Crawler oder einen bekannten Datenschutzdienst es wieder senken.

Können Betrüger eine Datacenter-IP verschleiern?

Ja, und das tun sie zunehmend. Die übliche Umgehung besteht darin, Angriffe über Residential- oder mobile Proxys zu leiten, damit der Traffic scheinbar von einem legitimen ISP kommt. Laut Impervas Bad Bot Report 2025 nutzen inzwischen 21 % der Bot-Angriffe genau aus diesem Grund Residential-Proxys. Deshalb muss die Datacenter-Erkennung Teil eines mehrschichtigen Systems sein, das auch das Verhalten von Residential-Proxys modelliert, die Missbrauchshistorie prüft und die tatsächliche Infrastruktur aktiv untersucht, statt allein der ASN zu vertrauen.