BetrugspräventionWarum sind so viele Residential-Proxys in meinem Verkehr?
Residential-Proxys sind billig, reichlich vorhanden und für einfache IP-Prüfungen nahezu unsichtbar. Warum sie Ihren Verkehr überschwemmen, woher sie kommen und was Sie dagegen tun können.
Die meisten Betrugswerkzeuge blockieren Rechenzentrums-IPs einigermaßen gut. Sobald ein Angreifer über AWS oder DigitalOcean routet, fällt das irgendwo auf. Residential-Proxys existieren gezielt, um diese Abwehr zu umgehen, und sie sind die Klasse, die die mehrschichtige Erkennung von VPNs und Proxys am schwersten sieht. Wenn Sie sie in großem Umfang in Ihrem Verkehr sehen, sehen Sie, wie ein technisch ausgefeilter Angriff aussieht, wenn er auf Systeme zielt, die nur auf Rechenzentrums-IPs prüfen.
Was ein Residential-Proxy-Netz tatsächlich ist
Ein Residential-Proxy-Netz ist ein Pool echter privater Internetanschlüsse, die minutenweise gemietet werden können. Wenn jemand ihn nutzt, tritt sein Verkehr über eine Heim-IP aus, die ein Endkunden-ISP wie Comcast einem echten Haushalt zugewiesen hat, statt über seine tatsächliche IP. Für jeden Zielserver sieht die Anfrage so aus, als käme sie aus diesem Haushalt.
Die IPs im Pool stammen aus einer von zwei Quellen:
Aus Botnetzen (ohne Einwilligung): Auf dem Gerät eines Opfers installierte Malware leitet Verkehr Dritter über die Verbindung des Opfers. Das Opfer ahnt nichts. Seine Haushalts-IP wird auf einem Proxy-Marktplatz für 5 bis 15 $ pro GB verkauft, während es selbst die Rechnung für die Bandbreite bezahlt. Das ist in den meisten Rechtsordnungen illegal.
Aus SDKs (mit versteckter Einwilligung): Ein Software-SDK wird in kostenlose Apps eingebettet: VPNs, Spiele, Hilfsprogramme, Browsererweiterungen. Die Nutzungsbedingungen enthalten, versteckt in Tausenden Wörtern, eine Klausel, die dem Betreiber erlaubt, Ihre Bandbreite zu nutzen. Der Nutzer hat technisch gesehen zugestimmt, aber nicht verstanden, wozu. Honeygain, IPRoyal Pawns und ähnliche Dienste arbeiten auf diese Weise.
Aus Sicht der Erkennung erzeugen beide funktional identische Exit-IPs: echte Adressen von Residential-ISPs, die jede naive Prüfung bestehen. Das unterscheidet sie vom Rechenzentrumsende der vollständigen Einteilung der Proxy-Typen. Dieselben Lieferketten reichen inzwischen bis in Mobilfunknetze, wo mobile Proxys 4G/5G-Exit-IPs vermieten, gegen die man noch schwerer vorgehen kann.
Warum einfache Prüfungen sie übersehen
Wer versteht, warum Residential-Proxys auftauchen, versteht auch, warum sie in der Ausgabe Ihres Betrugsfilters erscheinen:
| Art der Prüfung | Warum sie Residential-Proxys übersieht |
|---|---|
| Sperre von Rechenzentrums-ASNs | Residential-Proxys nutzen ISP-ASNs (Comcast, Vodafone usw.) |
| IP-Sperrliste | Exit-IPs rotieren ständig; Listen veralten innerhalb von Stunden |
| VPN-Protokollprüfung | Auf dem Exit-Gerät läuft keine Serversoftware |
| rDNS-Analyse | Liefert ein typisches Hostname-Muster eines ISP |
| Geolokalisierungsprüfung | Liefert eine legitime Stadt und einen privaten Adressbereich |
Die einzigen zuverlässigen Erkennungsmethoden beruhen auf Signalen, die Residential-Proxys nicht fälschen können: Verhaltensbelege, dass die IP gleichzeitig oder nacheinander von vielen verschiedenen Sitzungen genutzt wird (hohe Wiederverwendung), Auftauchen in Datenbanken mit Werbung von Proxy-Netzen und Abweichungen zwischen dem privaten Fingerprint der IP und dem Geräte- oder Verhaltensprofil der Sitzung. Das meiste davon liegt auf Sitzungsebene. Eine IP-Abfrage allein, auch die VPN- und Proxy-Erkennung von GeoIPHub, kann den Status als Residential-Proxy nur grob aus ASN-Daten ableiten.
Das Ausmaß von Residential-Proxy-Netzen
Die Zahlen sind größer, als die meisten Betrugsteams erwarten:
- Bright Data (das nach offengelegter Größe größte Residential-Proxy-Netz) gibt an, über 72 Millionen Residential-IPs im Pool zu haben
- Oxylabs gibt über 100 Millionen Residential-IPs an
- Smartproxy, SOAX und NetNut geben jeweils Dutzende Millionen an
Das sind die offengelegten Zahlen legitimer (oder halblegitimer) kommerzieller Anbieter. Netze aus Botnetzen veröffentlichen ihre Poolgrößen nicht, aber Lumen/Black Lotus Labs schätzte 2024 über 190.000 kompromittierte private Knoten, die in einer einzigen Botnet-as-a-Proxy-Operation aktiv waren.
Die gesamte Poolgröße über alle Anbieter hinweg, kommerzielle wie kriminelle, übersteigt wahrscheinlich 200 Millionen IPs. Deshalb ist das Volumen in Ihrem Verkehr nicht überraschend, sobald Sie eine Erkennung im Einsatz haben.
Wie Residential-Proxy-Verkehr in Ihren Logs aussieht
Vor der Erkennung ist Residential-Proxy-Verkehr unsichtbar. Nach der Erkennung zeigen sich Muster:
Hohe IP-Vielfalt bei Bot-Kampagnen: Jede Anfrage bei einem Credential-Stuffing-Angriff kommt von einer anderen Residential-IP. Das Anfragevolumen pro IP bleibt bei 1-3 Anfragen, weit unter den Ratenlimits. Das Signal ist das sitzungsübergreifende Muster, nicht das Volumen pro IP.
Geografische Streuung: Residential-Proxy-Pools erstrecken sich über Hunderte Länder. Eine Kampagne, die sie nutzt, zeigt innerhalb weniger Minuten Anfragen aus über 40 Ländern, ein Muster, das nicht zur Verteilung organischen Verkehrs passt.
Zeitliche Anomalien: Automatisierte Kampagnen über Residential-Proxys zeigen oft ein Anfragetiming, das zu regelmäßig ist (Abstände unter einer Sekunde zwischen Logins) oder zu unregelmäßig (Burst-Muster, die nicht zur Navigationsgeschwindigkeit eines Menschen passen).
Abweichung zwischen Gerät und IP: Eine Sitzung, die vorgibt, ein Mobilgerät im ländlichen Iowa zu sein, kommt von einer privaten Comcast-IP in Houston. Die Geolokalisierung passt zu einem Haushalt, aber nicht zum angegebenen Gerät oder zum Verhalten der Sitzung.
Eine IP prüfen: eine echte Abfrage
Bevor Sie eine Adresse als Residential-Proxy einstufen, fragen Sie sie ab. Hier ist eine echte Antwort der GeoIPHub-API für 104.28.46.99, gekürzt auf die Felder, die für diese Frage relevant sind:
curl https://api.geoiphub.com/v1/lookup/104.28.46.99 \
-H "x-api-key: YOUR_API_KEY"
{
"ip": "104.28.46.99",
"asn": {
"asn": 13335,
"org": "CLOUDFLARENET - Cloudflare, Inc.",
"user_type": "consumer_privacy_network"
},
"detection": {
"is_proxy": false,
"is_vpn": false,
"is_relay": true,
"is_residential_proxy": false,
"relay_provider": "iCloud Private Relay",
"anonymity_level": "medium"
},
"scoring": {
"fraud_score": 9,
"recommended_action": "allow",
"detection_methods": ["relay_ip"]
}
}
Diese Adresse ist überhaupt kein Residential-Proxy. Sie ist ein Egress von iCloud Private Relay, was bedeutet, dass die Person dahinter mit ziemlicher Sicherheit eine zahlende Apple-Kundin oder ein zahlender Apple-Kunde ist, die oder der eine Datenschutzfunktion eingeschaltet hat. Die API sagt das direkt (is_relay: true, relay_provider: "iCloud Private Relay") und vergibt den Score 9 mit der Empfehlung, zuzulassen.
Das ist die Falle bei Dashboards mit "zu vielen Residential-Proxys". Relay-Verkehr, Carrier-NAT im Mobilfunk und echte Proxy-Exits können alle gleich aussehen, wenn Sie nur prüfen, ob es sich um eine Endkunden-IP von einem unerwarteten Ort handelt. Lesen Sie detection_methods, um zu sehen, welches Signal angeschlagen hat, und behandeln Sie is_residential_proxy als das, was es ist: eine grobe, ASN-basierte Ableitung, keine direkte Beobachtung von Proxy-Netzen. Kombinieren Sie es mit den oben beschriebenen Sitzungsmustern, bevor Sie jemanden blockieren.
Wie Sie reagieren sollten
Die Erkennung von Residential-Proxys sollte in den meisten Abläufen in einen Risikoscore einfließen statt eine harte Sperre auszulösen. Die empfohlene Reaktion hängt vom Kontext ab:
| Ablauf | Residential-Proxy erkannt | Empfohlene Aktion |
|---|---|---|
| Checkout für Endkunden | Allein, keine weiteren Flags | Leichte Challenge (Bestätigung per E-Mail oder SMS) |
| Checkout für Endkunden | Mit Missbrauchshistorie oder >1 Signal | Harte Challenge oder zur Prüfung zurückhalten |
| Konto-Login | Allein | Zusätzliche MFA, nicht blockieren |
| Konto-Login | Mit unmöglicher Reise oder Geräteabweichung | Sitzung blockieren, Konto markieren |
| API-Zugriff (nicht authentifiziert) | Jede Erkennung | Rate aggressiv begrenzen |
| Anzeigenklick / Formularübermittlung | Jede Erkennung | Als ungültig markieren, Kampagne nicht belasten |
Das Kernprinzip: Ein Residential-Proxy ist ein starkes Signal, aber selten ein vollständiges Urteil. Ein legitimer, datenschutzbewusster Nutzer könnte einen Residential-Proxy-Dienst nutzen. Eine legitime Marktforscherin tut es mit Sicherheit. Behalten Sie harte Sperren für Residential-Proxys vor, die zusammen mit anderen Signalen auftreten: hoher Wiederverwendungsscore, Missbrauchshistorie, Verhaltensanomalien oder mehrere Erkennungen in derselben Sitzung.
Warum das Volumen steigt
Wenn die Erkennung von Residential-Proxys in Ihren Werkzeugen hohe Volumen zeigt, ist das kein Zeichen dafür, dass die Erkennung zu oft anschlägt. Es ist ein Zeichen dafür, dass:
- Angreifer von Rechenzentrums-Proxys (erkennbar) zu Residential-Proxys (schwerer zu erkennen) gewechselt sind
- Ihre Erkennung dort angekommen ist, wo sich der Angriffsverkehr befindet
- der kommerzielle Markt für Residential-Proxys so weit gewachsen ist, dass diese Netze billig genug für Missbrauch mit geringem Ertrag sind
Wenn Ihre bisherigen Werkzeuge niedrige Raten an Residential-Proxys zeigten, haben sie diese wahrscheinlich nicht erkannt. Sie waren nie abwesend. Eine genaue Erkennung macht das wahre Volumen der Angriffsfläche sichtbar.
Werbetreibende spüren diese Verschiebung am stärksten, denn dieselben gemieteten Residential-IPs, die eine Login-Regel aushebeln, hebeln auch die IP-Ausschlussliste einer Werbeplattform aus. Deshalb muss die Erkennung von Klickbetrug anhand der IP-Adresse ein Bewertungsproblem sein und kein Sperrproblem.
Weiterführende Beiträge
- Betrugserkennung bei Residential-Proxys: Der vollständige Leitfaden: die Mechanik der Erkennung im Detail
- Kontoübernahme und Credential Stuffing: wie Residential-Proxys Credential Stuffing in großem Umfang ermöglichen
- Was ist IP-Reputation?: wie die Historie von Residential-Proxys in die Reputationsbewertung einfließt
Häufig gestellte Fragen
Was ist ein Residential-Proxy?
Ein Residential-Proxy leitet Verkehr über eine IP-Adresse, die zu einem echten privaten Internetanschluss gehört und von einem Endkunden-ISP wie Comcast oder Vodafone einem Haushalt zugewiesen wurde. Da die Exit-IP wie ein gewöhnlicher privater Nutzer aussieht, umgeht sie Prüfungen, die Rechenzentrums-IPs blockieren. Residential-Proxy-Netze bestehen entweder aus mit Malware infizierten Geräten (ohne Einwilligung gekapert) oder aus Peer-to-Peer-Proxy-Apps, bei denen Nutzer ihre Bandbreite gegen etwas anderes eintauschen (ein 'kostenloses' VPN, ein Spiel usw.).
Warum tauchen Residential-Proxys in legitim wirkendem Verkehr auf?
Weil sie darauf ausgelegt sind, legitim auszusehen. Die IP ist eine echte private Adresse, ASN-Prüfungen werden also bestanden, die Geolokalisierung liefert ein echtes Wohnviertel, und einfache Betrugsregeln, die Rechenzentrums-IPs blockieren, schlagen nicht an. Residential-Proxys sind das Mittel der Wahl, wenn ein Angreifer IP-basierte Kontrollen in großem Umfang umgehen muss (Credential Stuffing, Werbebetrug, Scraping, Carding), gerade weil sie nicht auffallen.
Wie kommen Residential-Proxy-Netze an ihre IPs?
Über zwei Hauptquellen. Erstens Malware-Botnetze: Mit Malware infizierte Geräte leiten heimlich Verkehr von Angreifern über den Hausanschluss des Opfers. Der Nutzer ahnt nichts. Zweitens einvernehmliche Peer-to-Peer-Netze: SDK-Betreiber bauen Proxy-Funktionen in Apps ein (VPNs, Filesharing-Tools, Spiele), und Nutzer stimmen unwissentlich zu, ihre Bandbreite im Gegenzug für den kostenlosen Dienst zu teilen. Honeygain, Peer2Profit und ähnliche Dienste arbeiten legal auf diese Weise; Malware-Botnetze tun dasselbe illegal.
Sind alle erkannten Residential-Proxys bösartig?
Nein. Es gibt einige legitime Residential-Proxy-Dienste für Marktforschung, Anzeigenverifizierung und Tests der Barrierefreiheit. Ein kleiner Prozentsatz des Residential-Proxy-Verkehrs stammt aus diesen professionellen Anwendungsfällen. In Endkundenprodukten wie E-Commerce-Checkouts, Logins zu Finanzkonten und Content-Plattformen gibt es für die Nutzung eines Residential-Proxys durch einen echten Kunden jedoch kaum eine legitime Erklärung. Die richtige Reaktion ist, es als Hochrisikosignal zu behandeln, nicht als automatische Sperre.
Warum kann ich nicht einfach alle Residential-Proxy-IPs blockieren?
Weil die IPs ständig rotieren und echten Haushalten gehören. Wer eine Residential-IP blockiert, die heute als Proxy genutzt wurde, blockiert morgen womöglich einen echten Kunden, oder sogar gleichzeitig, da CGNAT und gemeinsam genutzte Router bedeuten, dass mehrere Menschen dieselbe IP verwenden. Der richtige Ansatz ist, die Erkennung von Residential-Proxys mit anderen Sitzungssignalen zu kombinieren und in den meisten Abläufen zu einer Challenge (zusätzliche MFA, E-Mail-Bestätigung) zu eskalieren statt hart zu sperren.
Worin unterscheidet sich die Erkennung von Residential-Proxys von der VPN-Erkennung?
Die VPN-Erkennung ist vergleichsweise einfach: VPN-Server betreiben Serversoftware, haben Rechenzentrums-ASNs und antworten auf Protokollprüfungen. Bei Residential-Proxys ist es umgekehrt: Die Exit-IP ist privat, der ISP ein Endkundenanbieter, und es gibt keine Serversoftware, die man prüfen könnte. Die Erkennung erfordert Verhaltenssignale: die IP taucht in Werbung von Proxy-Netzen auf, ungewöhnliche Verkehrsmuster, hohe Wiederverwendung über mehrere Sitzungen oder eine Abweichung zwischen den Merkmalen des Haushalts hinter der IP und dem Verhalten der Sitzung.
Das Team hinter der GeoIPHub-API
Verfasst vom GeoIPHub-Team, den Menschen, die die GeoIPHub-API für IP-Intelligence und ihren Scanner entwickeln. Entwürfe entstehen mit KI-Unterstützung und werden vom Team redigiert; API-Beispiele sind echte Abfragen gegen die Live-API, sofern nicht als illustrativ gekennzeichnet.
IP-Intelligence
