Erkennung von Bots und böswilligen Nutzern: Ein technischer Leitfaden zur Identifizierung von VPNs, Proxies und Tor

Einführung

In der vernetzten digitalen Welt von heute sehen sich Unternehmen ständig einer Vielzahl von Bedrohungen durch böswillige Akteure gegenüber. Diese Personen und automatisierten Bots führen eine breite Palette schädlicher Aktivitäten durch, darunter Zahlungsbetrug, Kontoübernahmen und Missbrauch von Inhalten. Um dabei ihre wahre Identität zu verschleiern, greifen sie häufig auf Tools wie Virtual Private Networks (VPNs), Proxies und das Tor-Netzwerk zurück.

Für jedes Online-Unternehmen, von E-Commerce-Shops bis hin zu Finanzinstituten, ist die Fähigkeit, diese getarnten Nutzer zuverlässig zu erkennen, nicht nur eine Schutzmaßnahme, sondern ein zentraler Bestandteil einer soliden Sicherheitsstrategie. Dieser Leitfaden bietet eine technische Einführung in die Methoden zur Identifizierung und Erkennung von Nutzern, die sich hinter VPNs, Proxies und Tor verbergen, und hilft Ihnen, Ihre Plattform und Ihre Kunden zu schützen.

Eine Studie von Imperva aus dem Jahr 2021 zeigte, dass schädliche Bots fast 26 % des gesamten Website-Traffics ausmachen, wobei fortgeschrittene persistente Bots über 15 % ausmachen. Diese Bots werden immer raffinierter und ahmen menschliches Verhalten nach, um einfache Erkennungsmethoden zu umgehen. Dies unterstreicht den zunehmenden Bedarf an fortgeschrittenen Erkennungstechniken, die über einfache IP-Blacklists hinausgehen.

Grundlagen: IP- und Netzwerkinformationen

Bevor wir auf spezifische Erkennungsmethoden eingehen, ist es wichtig, die grundlegenden Datenpunkte zu verstehen, die diese Techniken ermöglichen. Kern eines jeden Erkennungssystems ist die Analyse der IP-Adresse des Nutzers und des dazugehörigen Netzwerks.

Dienste wie IP Location Intelligence und Network Intelligence (ASN) liefern wichtige Informationen über eine IP-Adresse, wie zum Beispiel:

• Geolokalisierung: Wo befindet sich der Nutzer physisch? Stimmen Standortinformationen mit anderen Nutzerdaten überein (z. B. Rechnungsadresse)?
• ASN (Autonomous System Number): Welcher Organisation gehört die IP-Adresse? Handelt es sich um einen privaten Internetanbieter, einen Cloud-Hosting-Anbieter oder einen bekannten VPN-Anbieter?
• IP-Reputation: Wurde die IP-Adresse in der Vergangenheit mit bösartigem Verhalten in Verbindung gebracht?

Mit diesem Basiswissen können Sie beginnen, eine ausgefeiltere Fingerprinting-Strategie zu entwickeln.

Erkennung von VPNs

VPNs erzeugen einen verschlüsselten Tunnel zwischen dem Gerät des Nutzers und einem entfernten Server und verschleiern so die echte IP-Adresse. Obwohl viele Menschen VPNs aus legitimen Datenschutzgründen nutzen, sind sie auch ein häufiges Werkzeug von Betrügern.

So identifizieren Sie eine VPN-Verbindung

1. Datenbanken bekannter VPN-Anbieter: Die einfachste Methode ist der Abgleich der IP-Adresse mit einer Datenbank bekannter VPN-Anbieter. Unternehmen, die sich auf VPN- & Proxy-Erkennung spezialisiert haben, pflegen und aktualisieren diese Listen regelmäßig. Wird die IP-Adresse dort gefunden, ist das ein starker Hinweis auf eine VPN-Nutzung.
2. Port-Analyse: Bestimmte Ports werden häufig von VPN-Protokollen genutzt. Zum Beispiel verwendet OpenVPN oft den UDP-Port 1194. Port-Scans sind zwar technisch aufwendig und nicht immer praktikabel, aber ein ungewöhnlich hoher Traffic auf typischen VPN-Ports von einer einzigen IP kann verdächtig sein.
3. Inkonsistente Geolokalisierungsdaten: Wenn die IP-Adresse einen Standort in einem Land anzeigt, während Browser-Sprache oder Zeitzone auf ein anderes hinweisen, ist das verdächtig. Ein Beispiel: Eine IP aus den Niederlanden, Browser auf „en-US" und Zeitzone Pazifik. Hier zahlt sich ein zuverlässiger Service für IP Location Intelligence aus.
4. Eigenschaften des Datenverkehrs: VPN-typischer Traffic kann sich z. B. durch Paketgrößen und Timing von normalem Web-Traffic unterscheiden. Diese Analyse erfordert jedoch oft Deep Packet Inspection und geht über die Möglichkeiten vieler Webanwendungen hinaus.

Enttarnung von Proxies

Proxies funktionieren als Vermittler zwischen einem Nutzer und dem Internet. Der Nutzer sendet die Anfrage an den Proxy-Server, der diese dann zum Zielserver weiterleitet. Proxies werden sowohl für legitime als auch für böswillige Zwecke eingesetzt. Dabei gibt es verschiedene Proxy-Typen:

• Datacenter Proxies: Am häufigsten und günstigsten. Die IPs gehören zu kommerziellen Rechenzentren und sind klar als nicht-residential erkennbar.
• Residential Proxies: Diese leiten Traffic über echte Wohnanschlüsse, was sie schwerer erkennbar macht.
• Mobile Proxies: Ähnlich wie Residential Proxies, wobei der Traffic über mobile Geräte geleitet wird.

So identifizieren Sie eine Proxy-Verbindung

1. ASN- und IP-Besitzanalyse: Der effektivste Weg, Proxies zu erkennen, ist die Untersuchung des ASN der IP-Adresse. Gehört das ASN einem Hosting-Anbieter oder Rechenzentrum (z. B. AWS, Google Cloud, kleinere Hosting-Firmen), ist die Wahrscheinlichkeit hoch, dass es sich um einen Datacenter Proxy handelt. Ein ASN Lookup Online Tool kann dabei helfen, verdächtige IPs zu überprüfen.
2. HTTP-Header: Manche (vor allem ältere oder fehlkonfigurierte) Proxies fügen ihren Anfragen spezielle Header hinzu, wie X-Forwarded-For, Via oder Forwarded. Das Vorhandensein solcher Header ist ein klarer Proxy-Indikator.
3. Verhaltensanalyse: Proxies werden häufig für automatisierte Aktionen wie Web-Scraping oder Credential Stuffing genutzt. Eine einzelne IP, die ungewöhnlich viele Anfragen stellt oder innerhalb kurzer Zeit versucht, sich in mehrere Accounts einzuloggen, deutet stark auf einen Bot hinter einem Proxy hin.

Für eine vertiefte Betrachtung zur Auswertung von IP-Daten zur Betrugserkennung empfehlen wir unseren Leitfaden: Beyond API Accuracy: 5 Steps to Evaluate IP Data for Fraud Detection.

Tor-Nutzer erkennen

Tor (The Onion Router) bietet hohe Anonymität, indem der Traffic über ein freiwillig betriebenes Netzwerk von Servern geleitet wird. Obwohl Tor ein wirkungsvolles Werkzeug für Datenschutz und Zensurumgehung ist, wird es auch häufig für illegale Aktivitäten und Betrug missbraucht.

So identifizieren Sie eine Tor-Verbindung

Tor zu erkennen ist in der Regel einfacher als viele VPNs oder Proxies zu enttarnen. Das Tor-Projekt veröffentlicht eine öffentliche Liste aller Exit Nodes — der Server, die den Traffic ins öffentliche Internet weiterleiten.

Zur Erkennung eines Tor-Nutzers prüfen Sie einfach, ob die IP-Adresse in dieser Liste als Tor-Exit-Node geführt wird. Wenn ja, können Sie mit hoher Sicherheit davon ausgehen, dass es sich um einen Tor-Nutzer handelt.

Die Herausforderung liegt darin, die Liste der Exit Nodes aktuell zu halten, da sie sich häufig ändert. Ein professioneller VPN- & Proxy-Erkennungsdienst übernimmt dies für Sie und sorgt so für stets aktuelle Daten.

Aufbau einer mehrschichtigen Verteidigung

Keine einzelne Erkennungsmethode ist absolut zuverlässig. Ein raffinierter Betrüger kann beispielsweise einen noch nicht gelisteten Residential Proxy oder einen neuen, unbekannten VPN-Dienst nutzen. Daher ist ein mehrstufiger Ansatz unerlässlich.

Ihr Fingerprinting-System sollte verschiedene Signale kombinieren, um einen umfassenden Risikowert zu ermitteln. Dazu gehören etwa:

• VPN/Proxy/Tor-Erkennung: Stammt die IP von einem anonymisierenden Service?
• IP-Reputation: Wurde die IP-Adresse in Botnetzen oder anderen Angriffen beobachtet?
• Geolokalisierungsanalyse: Scheint der Standort des Nutzers plausibel?
• Verhaltensanalyse: Entspricht das Verhalten typischen legitimen Kunden?
• Geräte-Fingerprinting: Was verraten Browser und Gerät über den Nutzer?

Durch die Kombination dieser unterschiedlichen Datenquellen erhalten Sie ein präziseres Bild von der tatsächlichen Identität und den Absichten des Nutzers. Weitere Einblicke dazu finden Sie in unserem Blog-Artikel 5 Reasons Why Smart Businesses Use VPN/Proxy Detection.

Fazit

Die Erkennung böswilliger Nutzer hinter VPNs, Proxies und Tor ist eine komplexe, aber unerlässliche Aufgabe für jedes Online-Geschäft. Mit einer Kombination aus Methoden , von der Analyse von IP-Besitz und Geolokalisierung bis hin zur Überwachung des Nutzerverhaltens , lassen sich Risiken von Betrug und Missbrauch deutlich verringern.

Zwar kann man manche dieser Erkennungstechniken intern entwickeln, doch das Umfeld ändert sich ständig. Neue VPN-Anbieter tauchen auf, Proxy-Netzwerke entwickeln sich weiter, und Botnetze finden immer neue Wege, der Erkennung zu entkommen. Aus diesem Grund setzen viele Unternehmen auf spezialisierte Dienste, die stets auf dem neuesten Stand bleiben und ihnen so ermöglichen, sich auf ihr Kerngeschäft und ihre Kunden zu konzentrieren. Mit einer soliden Erkennungsstrategie schützen Sie Ihren Umsatz, Ihren Ruf und die Integrität Ihrer Plattform.