Residential Proxies: warum Ihre IP-Sperrliste aufgehört hat zu wirken

Was sich geändert hat, und wann

Fast die ganze Geschichte des Webs hindurch war feindselige Automatisierung leicht zu verorten. Sie kam aus einem Rechenzentrum. Die Adresse gehörte einem Hoster, das autonome System ließ sich nachschlagen, und den ganzen Bereich zu sperren kostete nichts, weil dort keine Kunden wohnten.

Diese Heuristik ist tot, und sie starb kommerziell, nicht technisch. Residential-Proxy-Netze verkaufen heute Zugang zu Millionen Adressen gewöhnlicher Haus- und Mobilanschlüsse, pro Gigabyte, mit Selbstbedienungsoberfläche und Rotation bei jedem Request.

Das Ergebnis: Der Verkehr eines Angreifers kommt jetzt aus demselben Adressraum wie der Ihrer Kunden. Nicht aus einem ähnlichen — aus demselben, oft beim selben Provider, manchmal in derselben Stadt.

Jede Kontrolle, die Sie auf „ist diese Adresse an sich verdächtig“ gebaut haben, hat nun ein Problem mit übersehenen Fällen, das sich nicht durch eine bessere Liste beheben lässt.

Woher die Adressen kommen

Das ist wichtig, denn davon hängt ab, was Sie gefahrlos dagegen tun können.

Manche sind mit Einwilligung. Jemand installiert ein kostenloses VPN, eine Browser-Erweiterung oder ein Handyspiel, in dessen Bedingungen irgendwo steht, dass ungenutzte Bandbreite weiterverkauft wird. Er hat zugestimmt — in dem Sinne, in dem Juristen das Wort verwenden.

Manche sind kaum mit Einwilligung. Ein SDK, eingebettet in eine App, die man wirklich wollte, mit einem Hinweis, der so geschrieben ist, dass er formal vorhanden und praktisch ungelesen ist.

Manche ganz ohne. Kompromittierte Router, IoT-Geräte und Telefone, die per Schadsoftware in ein Proxy-Netz eingeschrieben wurden, deren Besitzer nichts davon ahnt, dass sein Anschluss weiterverkauft wird.

Hinter einer Residential-Proxy-Adresse steht also meist ein echter Mensch, der Sie nicht angreift und oft nicht weiß, dass seine Leitung benutzt wird. Genau deshalb ist es der falsche Zug, die Adresse zu sperren.

Warum eine gekaufte Proxy-Liste es nicht behebt

Die naheliegende Antwort ist, einen Feed bekannter Residential-Proxy-Adressen zu kaufen und sie zu sperren. Sie scheitert aus vier Gründen, die sich verstärken.

Die Pools rotieren schneller, als die Listen nachkommen. Eine Adresse ist für die Dauer einer Sitzung im Pool und dann nicht mehr. Wenn ein Feed sie führt, kann sie längst wieder nur das Breitband einer Familie sein.

Die Listen veralten in die Richtung, die wehtut. Ein Fehlalarm auf einer wiederverwendeten Adresse sperrt eine echte Kundin aus, und Sie erfahren es nicht: Wer nicht durch die Kasse kommt, schreibt keinen Fehlerbericht, sondern geht.

Die Abdeckung ist ein Bruchteil. Schätzungen zu Poolgrößen gehen in die Zehnermillionen von Adressen. Kein Feed hat sie alle, und die, die er hat, sind die, die billig zu finden waren.

Und Sie beantworten immer noch die falsche Frage. „Ist diese Adresse in einem Proxy-Pool“ ist etwas anderes als „ist diese Sitzung automatisiert“, und nur Letzteres wollen Sie wissen. Ein Journalist auf einem Privatsphäre-VPN und ein Scraper auf einem Residential-Proxy können sich eine Adresse teilen; einer von beiden soll durchkommen.

Was diese Veränderung überlebt

Alles, was die Sitzung beschreibt statt die Adresse.

Transport-Fingerabdrücke. Der Proxy reicht Bytes weiter; er schreibt den TLS-Handshake nicht um. Welcher Client die Verbindung aufgebaut hat, meldet weiterhin seine eigene geordnete Menge von Cipher Suites, Extensions und Kurven — den JA3- oder JA3N-Hash. Eine Scraping-Bibliothek hinter einer Residential-Adresse sieht immer noch aus wie eine Scraping-Bibliothek, und hier einen echten Browser nachzubilden heißt, einen ganzen Krypto-Stack zu reproduzieren statt einen Header zu ändern.

Verhalten. Eine Sitzung, die ein Formular ohne das Timing des Tippens ausfüllt, den Fokus anders bewegt als eine Hand, oder schneller absendet, als eine Person die Seite hätte lesen können, ist automatisiert — gleich wessen Breitband sie sich geliehen hat.

Rate über Konten, nicht über Adressen. Das Signal bei Credential Stuffing war nie „viele Versuche von einer Adresse“ — das stimmte in dem Moment nicht mehr, als Rotation billig wurde. Es ist „je ein Versuch gegen vierhundert Konten“, und das sieht nur, wer den Akteur bewertet statt Requests je Adresse zu zählen.

Konsistenz. Ein Client, der sich als Safari auf iOS ausgibt und dabei einen TLS-Fingerabdruck zeigt, den keine iOS-Version erzeugt, hat sich selbst widersprochen — und der Proxy hilft ihm dabei nicht.

Reputation, die etwas taugt

Adressreputation ist nach dieser Veränderung nicht nutzlos — sie muss nur richtig gewichtet werden.

Gewichten Sie danach, wie geteilt eine Adresse ist. Eine Adresse, die zu einem Privatkunden-Provider oder Mobilfunknetz auflöst, ist wahrscheinlich geteilt, und eine einzelne schlechte Sitzung sollte ihre Reputation weit weniger bewegen als dieselbe Sitzung von einem dedizierten Rechenzentrumshost. Das falsch zu machen ist der Weg, ein Unternehmen zu sperren, weil eine Person in dessen Netz einen Scraper laufen ließ.

Lassen Sie sie verfallen. Reputation auf einem rotierenden Pool muss schnell altern, sonst bestrafen Sie den nächsten Inhaber der Adresse für den Mieter des Vormonats.

Bevorzugen Sie beim Erstkontakt seitenübergreifende Signale. Wenn eine Adresse zum ersten Mal bei Ihnen auftaucht, haben Sie keine Historie. Wenn sie letzte Nacht eine Zugangsdatenliste gegen ein fremdes Login laufen ließ, ist das wertvoll — und es ist das Einzige, was beim allerersten Request hilft.

Behalten Sie das menschliche Veto. Was die Bewertung auch sagt: Sie brauchen eine Allow-Liste, die sie überstimmt, und Sie müssen sie tatsächlich pflegen.

Wo Karma steht

Karma bewertet die Sitzung — Verhaltenssignale und TLS/HTTP2-Fingerabdrücke — und hält Adressreputation als gewichteten Eingang, nicht als Antwort. Adressen, die geteilt aussehen, werden als geteilt behandelt, und Reputation verfällt.

Der optionale geteilte Pool deckt den Erstkontakt ab: Eine Adresse, die sich auf der Website eines anderen Kontos wie ein Bot verhalten hat, ist bekannt, bevor sie bei Ihnen ankommt — genau der Moment, in dem eine seitenlokale Sperrliste nichts zu sagen hat.

Der kostenlose Detect-Tarif fährt das mit ausgeschalteter Durchsetzung, sodass Sie sehen können, wie viel Ihres Verkehrs aus dem Residential-Raum kommt und was die Verdicts dazu sagen, bevor Sie irgendetwas ändern.