Bots anhand der IP-Adresse erkennen
Bots verstecken sich hinter Proxys, VPNs und Hosting-IPs. Lernen Sie die IP-basierten Signale kennen, die automatisierten Traffic entlarven, und wie Sie Anfragen bewerten, bevor sie Schaden anrichten.
Bots sind billig zu betreiben und teuer zu ignorieren. Sie scrapen Inhalte, kaufen limitierte Bestände leer, versuchen Logins per Brute-Force und blähen Metriken künstlich auf. Die meisten teilen eine Schwäche: Sie müssen von irgendwoher kommen, und dieses Irgendwo ist meist anonymisierende Infrastruktur, die sich per IP erkennen lässt.
Warum die IP ein so starkes Bot-Signal ist
Ein nennenswerter Bot-Betrieb bedeutet viele Anfragen. Um simples Rate-Limiting zu umgehen, routen Betreiber über Proxys, VPNs, Tor oder Cloud-Server. Jede dieser Varianten hinterlässt einen Fingerabdruck auf IP-Ebene:
- Rechenzentrums-/Hosting-IPs: Bots lieben billige Cloud-Ressourcen.
- Proxys: vor allem rotierende Residential-Proxys, die echte Nutzer imitieren.
- VPNs: um die Herkunft zu verschleiern und einfache Geo-Regeln zu umgehen.
- Tor-Exit-Knoten: für vollständige Anonymität.
Eine Anfrage aus einer dieser Quellen ist nicht automatisch ein Bot, aber automatisch verdächtiger als eine von einer stabilen Residential-Verbindung.
IP auf Proxy-, VPN- und Tor-Signale prüfen
Die IP-Signale, die Bots entlarven
- Hosting-Herkunft. Traffic aus einem Cloud- oder Hosting-ASN, der sich als beiläufiger Besucher ausgibt, ist der klassische Bot-Verräter. ASN-Daten machen das sichtbar.
- Proxy-Typ. Residential-Proxys sind der stärkste Hinweis auf gezielte Umgehung, siehe was ist ein Residential-Proxy.
- VPN-Nutzung. Üblich bei Credential Stuffing und Multi-Accounting.
- Tor. Vollständige Anonymisierung; bei sensiblen Endpunkten mit Vorsicht behandeln.
- Reputation. Frühere Missbrauchsfälle der IP oder ihres Bereichs erhöhen das Risiko.
Signale in eine Entscheidung verwandeln
Statt auf jede Markierung einzeln zu reagieren, fassen Sie sie zu einem Score zusammen. Ein IP-Fraud-Score kombiniert Proxy-, VPN-, Tor-, Hosting- und Reputationssignale zu einem einzigen Wert von 0 bis 100, sodass Ihre Regel so einfach sein kann wie:
- Score < 30 → zulassen
- 30–70 → Herausforderung (CAPTCHA, Verifizierung)
-
70 → blockieren oder zur Prüfung senden
So bleibt die Logik in Ihrer App einfach, während die eigentliche Arbeit im Lookup passiert.
Ein praxistaugliches Setup
Eine solide IP-basierte Bot-Abwehr sieht so aus:
- Bei sensiblen Endpunkten (Login, Registrierung, Checkout, Suche, API) die Client-IP über die Proxy-Erkennungs-API abfragen.
- Bekannte gute Bots auf eine Allowlist setzen: Suchmaschinen-Crawler und eigenes Monitoring, anhand ihrer veröffentlichten Bereiche.
- Alles andere bewerten und Reibung proportional zum Score anwenden.
- Verhalten als weitere Ebene für die schwierigen Fälle: Anfragegeschwindigkeit, fehlende Header, unmögliches Timing bei Interaktionen.
Bei den härtesten Bots nicht allein auf die IP verlassen
Die fortgeschrittensten Bots kaufen frische Residential-IPs und imitieren menschliches Verhalten. IP-Signale treiben ihre Kosten trotzdem nach oben und erfassen die Mehrheit, aber kombinieren Sie sie mit Verhaltensanalyse für gestaffelte Verteidigung. Die IP ist der günstigste, schnellste erste Filter, nicht die ganze Strategie.
Fazit
Die meisten Bots verraten sich auf Netzwerkebene, indem sie über Proxys, VPNs, Tor oder Hosting-IPs laufen. Prüfen Sie die Client-IP bei sensiblen Endpunkten, fassen Sie die Signale zu einem Score zusammen und blockieren oder fordern Sie basierend darauf heraus, dann fügen Sie Verhaltenssignale für die anspruchsvolle Minderheit hinzu.