Bots anhand der IP-Adresse erkennen

Um Bots anhand der IP-Adresse zu erkennen, prüfen Sie die Client-IP an sensiblen Endpunkten und schauen, aus welcher Art Netz sie stammt. Der meiste automatisierte Traffic kommt aus Hosting- und Rechenzentrumsnetzen, über Proxys, VPNs oder Tor; diese Netzklassen und die Reputation der IP sind daher der erste Filter. Crawler, die sich als Googlebot oder GPTBot ausgeben, gleichen Sie mit den IP-Bereichen ab, die ihre Betreiber veröffentlichen, und alles Übrige bekommt einen Score.

Warum die IP ein so starkes Bot-Signal ist

Ein nennenswerter Bot-Betrieb bedeutet viele Anfragen. Um simples Rate-Limiting zu umgehen, routen Betreiber über Proxys, VPNs, Tor oder Cloud-Server. Jede dieser Varianten hinterlässt einen Fingerabdruck auf IP-Ebene:

• Rechenzentrums-/Hosting-IPs: Bots lieben billige Cloud-Ressourcen.
• Proxys: vor allem rotierende Residential-Proxys, die echte Nutzer imitieren.
• VPNs: um die Herkunft zu verschleiern und einfache Geo-Regeln zu umgehen.
• Tor-Exit-Knoten: für vollständige Anonymität.

Eine Anfrage aus einer dieser Quellen ist nicht automatisch ein Bot, aber automatisch verdächtiger als eine von einer stabilen Residential-Verbindung.

Am deutlichsten sieht man das in der Webanalyse: ein Anstieg von „Nutzern“ aus China oder Singapur ohne jede Interaktion, fast alle aus Cloud-Netzen. Mehr dazu unter Bot-Traffic aus China und Singapur.

Die IP-Signale, die Bots entlarven

1. Hosting-Herkunft. Traffic aus einem Cloud- oder Hosting-ASN, der sich als beiläufiger Besucher ausgibt, ist der klassische Bot-Verräter. ASN-Daten machen das sichtbar.
2. Proxy-Typ. Residential-Proxys sind der stärkste Hinweis auf gezielte Umgehung, siehe was ist ein Residential-Proxy.
3. VPN-Nutzung. Üblich bei Credential Stuffing und Multi-Accounting.
4. Tor. Vollständige Anonymisierung; bei sensiblen Endpunkten mit Vorsicht behandeln.
5. Reputation. Frühere Missbrauchsfälle der IP oder ihres Bereichs erhöhen das Risiko.

Signale in eine Entscheidung verwandeln

Statt auf jede Markierung einzeln zu reagieren, fassen Sie sie zu einem Score zusammen. Ein IP-Fraud-Score kombiniert Proxy-, VPN-, Tor-, Hosting- und Reputationssignale zu einem einzigen Wert von 0 bis 100, sodass Ihre Regel so einfach sein kann wie:

• Score < 30 → zulassen
• 30–70 → Herausforderung (CAPTCHA, Verifizierung)

• 70 → blockieren oder zur Prüfung senden

So bleibt die Logik in Ihrer App einfach, während die eigentliche Arbeit im Lookup passiert.

Ein praxistaugliches Setup

Eine solide IP-basierte Bot-Abwehr sieht so aus:

1. Bei sensiblen Endpunkten (Login, Registrierung, Checkout, Suche, API) die Client-IP über die Proxy-Erkennungs-API abfragen.
2. Bekannte gute Bots auf eine Allowlist setzen: Suchmaschinen-Crawler und eigenes Monitoring, anhand ihrer veröffentlichten Bereiche.
3. Alles andere bewerten und Reibung proportional zum Score anwenden.
4. Verhalten als weitere Ebene für die schwierigen Fälle: Anfragegeschwindigkeit, fehlende Header, unmögliches Timing bei Interaktionen.

Bei den härtesten Bots nicht allein auf die IP verlassen

Die fortgeschrittensten Bots kaufen frische Residential-IPs und imitieren menschliches Verhalten. IP-Signale treiben ihre Kosten trotzdem nach oben und erfassen die Mehrheit, aber kombinieren Sie sie mit Verhaltensanalyse für gestaffelte Verteidigung. Die IP ist der günstigste, schnellste erste Filter, nicht die ganze Strategie.

Fazit

Die meisten Bots verraten sich auf Netzwerkebene, indem sie über Proxys, VPNs, Tor oder Hosting-IPs laufen. Prüfen Sie die Client-IP bei sensiblen Endpunkten, fassen Sie die Signale zu einem Score zusammen und blockieren oder fordern Sie basierend darauf heraus, dann fügen Sie Verhaltenssignale für die anspruchsvolle Minderheit hinzu.