IP Abfrage (IP Standort & ISP)

IP Abfrage: Was ist das und was zeigt dieses Tool?

Eine IP Abfrage liest Registrierungsdatenbanken aus und nennt Land, Anbieter und Netz (ASN) hinter einer IP Adresse. Ich schaue dort zunächst nach, wenn ich die Quelle eines Anzeigenklicks, einer Formularanfrage oder eines Eintrags im Server Log verstehen will. Dieses Tool zeigt in einer Abfrage:

• Standort: Land, Region, Stadt und ungefähre Koordinaten.
• Netz: Internetanbieter (ISP), Organisation und ASN.
• Zeit: Zeitzone und die aktuelle Ortszeit dort.
• Typ: ob die Adresse öffentlich, intern oder Teil eines reservierten Bereichs ist.

Vor allem wichtig: Die Abfrage startet Ihr Browser, nicht unser Server. Das Tool fragt bei einer öffentlichen Adresse zuerst ipwho.is; kommt keine Antwort, springen ipapi.co und danach ipinfo.io ein. Deshalb erreicht die abgefragte Adresse unseren Server nie. Die Details Ihrer eigenen Verbindung sehen Sie, wenn Sie das Feld leer lassen oder das Tool Meine IP öffnen.

Wie genau ist der Standort einer IP Adresse?

Kurz gesagt: auf Länderebene sehr gut, auf Stadtebene schwankend. Der Geodatenanbieter MaxMind nennt für die Länderebene eine Genauigkeit von meist über 99 Prozent, für die Stadtebene 20 bis 75 Prozent. Die Stadt im Ergebnis ist also eine Schätzung und nicht der Ort, an dem eine Person sitzt.

Die häufigsten Gründe für eine Abweichung:

• Registrierungsort: Ein Betreiber kann einen IP Block am Sitz seiner Zentrale registrieren.
• Mobilfunk: Laut MaxMind landen mobile IPs oft in einer großen Region; zudem wandert eine Adresse unter Umständen zwischen Nutzern, die Hunderte Kilometer auseinander sind.
• VPN und Proxy: Das Ergebnis zeigt den Standort des VPN Servers, nicht den der Person.
• Anycast: Adressen wie 8.8.8.8 antworten gleichzeitig von vielen Orten; der Standort spiegelt nur die Registrierung.

Deshalb nennen verschiedene Dienste für dieselbe IP oft verschiedene Städte. Zum Beispiel meldet ein Dienst für 8.8.8.8 San Jose, ein anderer Mountain View; Land und ASN stimmen trotzdem überein. Für Ausrichtung von Anzeigen oder Betrugsprüfungen entscheide ich daher nach Land und Netz, nie nach Stadt.

Was unterscheidet private und öffentliche IP Adressen?

Jede Adresse, die im Internet geroutet ist, gibt es nur einmal, und sie gehört einem Betreiber; das nennen wir öffentliche IP. Ihr Router zu Hause verteilt dagegen private Adressen wie 192.168.1.x an Ihre Geräte. RFC 1918 reserviert dafür drei Blöcke: 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16. Millionen Haushalte nutzen dieselben Adressen, deshalb haben sie im Internet keine Bedeutung. Per NAT bündelt der Router alle Geräte hinter einer öffentlichen IP.

Weil IPv4 Adressen knapp sind, setzen Provider noch eine Ebene darauf. Der Block 100.64.0.0/10 aus RFC 6598 erlaubt es, viele Kunden hinter dieselbe öffentliche IP zu setzen; das heißt CGNAT. Zeigt Ihr Router eine WAN Adresse zwischen 100.64 und 100.127, sitzen auch Sie hinter CGNAT. Anders gesagt: Sie teilen Ihre öffentliche IP mit anderen Kunden.

Das Tool erkennt diese Bereiche im Browser und schickt sie deshalb nie an einen externen Dienst. Stattdessen zeigt es Block, Standard, erste und letzte Adresse sowie die Blockgröße. Bei IPv6 übernehmen fc00::/7 (ULA) und fe80::/10 (Link Local) dieselbe Rolle. Ob Ihre Verbindung IPv6 unterstützt, prüfen Sie außerdem mit dem IPv6 Test.

Was verraten ASN und ISP über Ihren Anzeigenverkehr?

Die ASN ist die Kennnummer eines Netzes im Internet. Fünf regionale Internetregistrare, etwa RIPE NCC und ARIN, vergeben sowohl IP Blöcke als auch ASNs. Deshalb zeigt die ASN einer IP oft auf einen Blick, ob Verkehr aus einem Heimanschluss oder aus einem Rechenzentrum kommt.

Bei einer Welle verdächtiger Klicks in Google Ads gehe ich so vor:

1. Ich sammle die IPs aus Logs oder Formulardaten.
2. Ich frage jede hier ab und prüfe ASN und ISP. Eine Serie von Klicks aus demselben Hosting Netz ist das erste Warnsignal.
3. Ich prüfe den Filter von Google. Laut der Google Ads Hilfe zieht Google ungültige Klicks, die es vor Monatsende erkennt, selbst von der Rechnung ab. Sie sehen sie in der Spalte Ungültige Klicks Ihrer Kampagnentabelle.
4. Ist das Muster klar, lege ich eine Liste für IP Ausschlüsse an. Pro Kampagne sind bis zu 500 IP Adressen möglich; eine Liste auf Kontoebene deckt zudem Performance Max und alle anderen Kampagnentypen ab.

IPs zu sperren löst das Problem selten allein; die eigentliche Arbeit leisten Messung und Kampagnenaufbau. Wie mein Team und ich diese Analyse laufend machen, lesen Sie unter Google Ads Betreuung.

Wie finden Sie die echte Besucher IP im Server Log?

Steht Ihre Website hinter einem CDN wie Cloudflare oder einem Load Balancer, gehört die IP im Log meist zu diesem Server. Fragen Sie sie ab, zeigt die ASN das Netz des CDN; das ist der erste Hinweis. Die echte Adresse steckt in einem Header, den der Proxy ergänzt:

• X-Forwarded-For: eine Liste mit Kommas. Der Wert ganz links ist der Client, der ganz rechts der letzte Proxy.
• CF-Connecting-IP: die Besucheradresse, die Cloudflare als Einzelwert weitergibt.
• Forwarded: der standardisierte Header für dieselbe Aufgabe; in der Praxis seltener.

Vorsicht an dieser Stelle: MDN warnt, dass jeder Wert gefälscht sein kann, den nicht Ihr vertrauenswürdiger Proxy gesetzt hat. Für Sicherheitsentscheidungen wie Rate Limits oder IP Sperren nutzen Sie also nur den Wert Ihres eigenen Proxys. Adressen mit Port (203.0.113.7:51234) oder IPv6 in Klammern aus einer Logzeile sind kein Problem; das Tool bereinigt sie.

Haben Sie statt einer Adresse einen Domainnamen, ermitteln Sie die IP zuerst mit der DNS Abfrage. Mit welchen Werkzeugen ich Logs lese, beschreibe ich im Beitrag zu Webanalyse Tools.

IP Abfrage und DSGVO: Ist die IP Adresse ein personenbezogenes Datum?

In den meisten Fällen ja, zumindest sollten Sie sie so behandeln. Die DSGVO nennt personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Erwägungsgrund 30 zählt IP Adressen ausdrücklich zu den Online Kennungen. Eine IP allein nennt keinen Namen. Zusammen mit Daten des Providers oder Nutzerkonten auf Ihrer Website macht sie eine Person jedoch identifizierbar.

In der Praxis hat das zwei Folgen:

• Logs und Formulardaten: Nennen Sie erfasste IPs in Ihrer Datenschutzerklärung. Legen Sie eine Speicherdauer fest und löschen Sie danach.
• Webanalyse: Google Analytics 4 protokolliert und speichert keine IP Adressen. Deshalb braucht GA4 die IP Maskierung aus Universal Analytics nicht mehr.

Dieses Tool verarbeitet keine IP auf unserem Server; die abgefragte öffentliche Adresse geht allerdings an den externen Dienst, der antwortet. Interne Adressen verlassen Ihren Browser gar nicht. Wollen Sie Kunden IPs in großer Zahl auswerten, brauchen Sie eine eigene Rechtsgrundlage; prüfen Sie bei kritischen Vorgängen zudem die aktuelle Rechtslage. Die technische Seite einer konformen Website habe ich im DSGVO Leitfaden für Websites gesammelt.

Was ändert sich bei einer IPv6 Abfrage?

Eine IPv4 Adresse besteht aus vier Zahlen, getrennt durch Punkte, jede zwischen 0 und 255. IPv6 nutzt dagegen acht Gruppen zu 16 Bit, getrennt durch Doppelpunkte. Aufeinanderfolgende Nullgruppen dürfen Sie einmal mit :: abkürzen. Das Tool akzeptiert beide Formate und zeigt IPv6 in der Kurzschreibweise, die RFC 5952 empfiehlt. Geben Sie zum Beispiel 2001:0db8:0000:0000:0000:0000:0000:0001 ein, lautet das Ergebnis 2001:db8::1.

Sehen Sie bei Ihrer eigenen IP eine IPv6 Adresse, ist das normal. Unterstützt Ihr Anschluss beide Protokolle, wählt der Browser meist IPv6. Außerdem erzeugen viele Geräte aus Datenschutzgründen temporäre IPv6 Adressen und wechseln sie regelmäßig; die Adresse von heute kann morgen also eine andere sein.

Für Anzeigen hat das eine praktische Folge. Provider geben einem Heimanschluss oft keine einzelne IPv6 Adresse, sondern einen großen Block wie /56 oder /48. Folglich stoppt die Sperre einer einzelnen IPv6 Adresse den nächsten Klick aus demselben Haushalt unter Umständen nicht. Bei verdächtigem Verkehr empfehle ich deshalb den Blick auf Netz und ASN statt auf die einzelne Adresse.