Wie funktioniert VPN-Erkennung? Die Signale hinter dem Urteil

"VPN-Erkennung" klingt, als müsste es sich um einen einzelnen Abgleich mit einer Liste handeln. In Wirklichkeit entsteht ein zuverlässiges Urteil durch das Abwägen mehrerer unabhängiger Signale, denn keines davon ist für sich allein vertrauenswürdig. Hier ist, was tatsächlich in die Entscheidung einfließt, ob eine IP-Adresse zu einem VPN gehört.

Es ist ein Bewertungsproblem, kein Abgleich

Ein naiver Ansatz führt eine Liste von VPN-IPs und prüft die Mitgliedschaft. Das Problem: VPN-Anbieter starten und beenden Server ständig, betreiben Tausende von IP-Adressen, und manche geben sich besondere Mühe, unauffällig zu wirken. Eine statische Liste ist am Tag nach ihrer Erstellung schon veraltet.

Moderne VPN-Erkennung behandelt die Frage probabilistisch. Jedes Signal verschiebt einen Konfidenzwert nach oben oder unten, und Sie handeln auf Basis dieses Werts.

Die zentralen Signale

1. Bekannte Anbieterbereiche

Kommerzielle VPN-Anbieter arbeiten aus IP-Bereichen, die fortlaufend erfasst werden können. Eine Übereinstimmung hier ist ein starkes positives Signal, deckt aber nur VPNs ab, deren Bereiche bekannt sind.

2. Hosting- vs. Privatanschluss-Herkunft

VPN-Ausgangsserver befinden sich fast immer in Rechenzentren und Hosting-Netzwerken, nicht bei Privatkunden-ISPs. Wenn "ein Privatnutzer" scheinbar aus einem AWS- oder OVH-Bereich surft, gehört diese Diskrepanz zu den zuverlässigsten Hinweisen im gesamten Werkzeugkasten. Hier leisten ASN-Daten einen Großteil der Arbeit.

3. Reputationsverlauf

Wie hat sich diese IP-Adresse über ein großes Netzwerk von Abfragen hinweg im Zeitverlauf verhalten? Eine Adresse mit einer Vorgeschichte anonymisierten oder missbräuchlichen Datenverkehrs ist eher ein VPN-Ausgang als eine unauffällige Privatleitung. Mehr dazu unter IP-Reputation.

4. Protokoll- und Port-Fingerabdrücke

Endpunkte, die mit OpenVPN, WireGuard oder IKEv2 in Verbindung stehen, hinterlassen Signaturen, die ein Urteil untermauern können.

5. Konsistenz der Geolokation

Wenn der angegebene Standort anderen Standortsignalen widerspricht, verstärkt diese Inkonsistenz den Verdacht.

Die Signale kombinieren

Jedes Signal wird gewichtet und zu einem einzigen Konfidenzwert zusammengeführt, meist im Bereich 0-100. Dieser Wert ist der eigentliche Zweck der ganzen Übung:

• Niedriger Wert → als gewöhnlichen Besucher behandeln.
• Mittlerer Wert → zusätzliche Hürden oder Stufenverifizierung einbauen.
• Hoher Wert → blockieren oder bei wertvollen Aktionen an eine manuelle Prüfung weiterleiten.

Da Sie den Schwellenwert selbst festlegen, können Sie auf einer Auszahlungsseite streng und in einem Blog nachsichtig sein. Die VPN-Erkennungs-API liefert sowohl das Urteil als auch den Wert, sodass Ihre eigenen Regeln die endgültige Entscheidung treffen.

Warum Fehlalarme auftreten (und wie Bewertung hilft)

Gelegentlich löst ein legitimer Nutzer die Signale aus, etwa ein Firmennetzwerk, das über Cloud-Infrastruktur geleitet wird. Eine binäre Sperrliste würde ihn zu Unrecht ausschließen. Ein Wertesystem erlaubt es Ihnen, einen Schwellenwert festzulegen, der gelegentliche Grenzfälle toleriert und harte Maßnahmen den Fällen mit hoher Konfidenz vorbehält.

In der Praxis umsetzen

Wenn Sie VPNs im eigenen Produkt erkennen möchten:

1. Rufen Sie die Erkennungs-API von Ihrem Backend aus auf, wenn sich ein Nutzer anmeldet, einloggt oder zur Kasse geht.
2. Lesen Sie das Urteil und den Konfidenzwert aus.
3. Wenden Sie Ihre Richtlinie basierend auf dem Wert und dem Risiko der Aktion an.

Eine Schritt-für-Schritt-Anleitung für Node.js finden Sie unter VPN-Erkennung in Node.js.

Fazit

VPN-Erkennung funktioniert, indem Anbieterbereiche, Hosting-Analyse, Reputation und Protokollhinweise zu einem Konfidenzwert kombiniert werden, nicht durch das Abgleichen einer einzelnen Liste. Behandeln Sie es als Bewertungsaufgabe, legen Sie einen Schwellenwert fest, der zum Risiko jeder Aktion passt, und Sie erhalten zuverlässige Ergebnisse, ohne legitime Nutzer zu bestrafen.