Häufig gestellte Fragen (FAQ)

CleanIP gliedert IP-Typen nach Konsistenz der Zugehörigkeit, Netzwerkzweck und Anonymitätsrisiko. Die häufigsten Typen:

Farben zeigen nur eine Risikotendenz an, kein absolutes Urteil. Die endgültige Beurteilung hängt weiterhin von Missbrauchshistorie, ASN-Reputation und dem konkreten Geschäftsszenario ab.

Ein gängiger Ansatz ist die Prüfung des ASN-Inhabertyps. Das zeigt jedoch nur, dass die IP einem ISP gehört – nicht, dass sie tatsächlich für einen privaten Breitbandanschluss genutzt wird. In China etwa sind die meisten klassischen IDC-Server-IPs bei den drei großen Netzbetreibern (China Telecom, China Unicom, China Mobile) registriert, da diese ISPs sind; tatsächlich werden diese IP-Adressen aber in Servern von Rechenzentren eingesetzt.

CleanIP kombiniert für diese Einschätzung ASN-Typ, Organisationsname, Reverse DNS, offene Ports, Service-Banner, Proxy-/VPN-Signale und historisches Verhalten. So lassen sich zwei leicht verwechselbare Fälle unterscheiden: Server-IPs in Rechenzentren, die auf einen Netzbetreiber registriert sind, und Ausgangs-IPs von Residential Proxys, die sich als privater Breitbandanschluss tarnen.

Native IP bezeichnet eine IP, bei der das Registrierungsland ihres Bereichs mit dem gewählten Land der Geolokalisierung übereinstimmt. Unterscheiden sich die Länder, gilt sie als Broadcast-IP. Das Registrierungsland des Bereichs ist das Land in den täglichen Delegationsdateien der fünf RIRs, also das Land des Inhabers, dem die RIR den Block zugeteilt hat – dieselbe Grundlage wie das Registrierungsland bei MaxMind und anderen gängigen Datenbanken. Nur wenn die Delegationsdatei lediglich einen Regionscode angibt, greifen wir auf whois und RDAP zurück. Das inetnum-Land in whois trägt der Inhaber selbst ein; es entscheidet nicht über das Ergebnis. Ein abweichendes Registrierungsland der ASN ist ein separater Hinweis auf regionsübergreifende Nutzung und ändert dieses Ergebnis nie. Sowohl private Breitbandanschlüsse als auch Rechenzentrumsnetze können native IPs nutzen.

Einige globale, multinationale IDC-Anbieter (etwa AWS, GCP und Azure) kaufen zur einfacheren Verwaltung große IP-Blöcke und verteilen sie per Broadcast auf mehrere Länder. Eine solche IP nennt man Broadcast-IP.

Ist eine IP als nativ markiert, gehört sie in der Regel zu einem privaten Breitbandanschluss oder einem lokalen Rechenzentrumsanbieter. Wird eine IP als Broadcast angezeigt, stammt sie in der Regel weder von einem privaten Breitbandanschluss noch von einem lokalen Rechenzentrumsanbieter.

CleanIP bestimmt anhand des Registrierungsorts, ob eine IP nativ ist. Stimmt das Registrierungsland mit dem Land des geolokalisierten Standorts überein, wird „Native IP“ angezeigt, andernfalls „Broadcast-IP“. In der Tabelle „Registrierungsverlauf“ unten sehen Sie den Registrierungsort der IP und seine Historie.

Drei typische Gründe, nach Häufigkeit geordnet:

1. Broadcast-IP: Das Registrierungsland der IP weicht vom Land des geolokalisierten Standorts ab. Häufig bei multinationalen Rechenzentren, Cloud-Anbietern, Auslandsknoten von Netzbetreibern oder Broadcast durch Rechenzentren. CleanIP kennzeichnet dies mit dem gelben Badge Broadcast-IP.
2. Öffentliche Infrastruktur: Öffentliches DNS, CDNs oder Knoten globaler Cloud-Plattformen nutzen teils dieselben Adressblöcke in mehreren Regionen. Daher melden Geo-Datenbanken je nach Standort der Messung und Routing-Perspektive unterschiedliche Länder oder Städte.
3. Veraltete Geo-Datenbanken: Nach einem Inhaberwechsel eines IP-Blocks aktualisieren Geo-Anbieter unterschiedlich schnell (kommerzielle Geo-Datenbanken meist wöchentlich, manche kostenlosen Quellen monatlich oder seltener). Das gleicht sich mit der Zeit an; veraltete Daten einzelner Quellen lassen sich nur durch Kreuzvalidierung erkennen.

CleanIP stellt Geolokalisierung, ASN und Daten zur Netzzugehörigkeit aus mehreren Quellen nebeneinander. Je höher die Übereinstimmung, desto höher die Konfidenz; bei deutlichen Abweichungen weist CleanIP vorrangig auf wahrscheinliche Ursachen wie Broadcast-IPs, öffentliche Infrastruktur oder verzögerte Datenbanken hin.

CleanIP liefert zwei unabhängige Scores, die in entgegengesetzte Richtungen zeigen – bitte nicht verwechseln:

Bei den meisten IPs sind die beiden Scores negativ korreliert (ein hoher Reinheits-Score bedeutet meist einen niedrigeren Risikoscore), ergänzen sich aber nicht exakt. Sie werden unterschiedlich berechnet: Die Reinheit ist ein zusammengesetzter Qualitätsscore, während der Risikoscore stärker auf Bedrohungen und Blockierentscheidungen ausgerichtet ist.

Der Reinheits-Score (0–100, höher bedeutet sauberer) ist eine gewichtete Kombination aus 6 Dimensionen:

• Identitätsvertrauen (20%): Übereinstimmung zwischen dem Registrierungsland des IP-Bereichs und dem Land der Geolokalisierung, RPKI-Validierung sowie ob es sich um bekannte öffentliche Infrastruktur handelt
• Anonymisierung (25%): Erkennung von Proxy / VPN / Tor / Residential Proxy (je verborgener, desto größer der Abzug)
• Missbrauchshistorie (20%): Anzahl und Alter von Missbrauchsmeldungen, kreuzvalidiert über mehrere Datenquellen
• Blacklist-Abdeckung (15%): 21 DNSBL-Quellen, Honeypot-Datenbanken (HTTPBL) und Listen bekannt kompromittierter IP-Adressen
• Angriffsverhalten (10%): Netzweite Angriffszähler, die aktive Scans oder Brute-Force-Einträge widerspiegeln
• Lokale Reputation (10%): Die eigene Reputationsbewertung von CleanIP und Bedrohungsereignisse der letzten 30 Tage

Stufenzuordnung:

Der Score ist nicht das Ergebnis eines einzelnen Felds, sondern eine Gesamtbeurteilung aus sechs zusammenwirkenden Dimensionen: Identität, Anonymität, Missbrauch, Blacklist, Angriffe und lokale Reputation.

Der Risikoscore ist ein separater, von der Reinheit unabhängiger Score (0–100, höher bedeutet gefährlicher, also umgekehrt zur Reinheit). Er dient speziell der Risikokontrolle im Geschäftsbetrieb, also der Entscheidung, ob eine IP blockiert oder auf die Blacklist gesetzt werden soll:

Die Daten zur Risikokontrolle stammen aus Honeypot-Überwachung, Missbrauchsmeldungen, DNSBL-Blacklists, Verhaltensanalysen und weiteren Quellen. Der Risikowert einer IP nimmt mit zunehmendem Alter der Einträge ab.

Hinweis: Die große Zahl auf der Startseite ist der Reinheits-Score, nicht der Risikoscore. Höhere Reinheit ist besser; ein höherer Risikoscore ist gefährlicher.

Der Risikoscore hängt nicht direkt davon ab, ob eine IP zu einem privaten Breitbandanschluss gehört. Wurde eine solche IP früher für Scans, Brute-Force, Crawling oder ausgehende Angriffe genutzt, kann ihr Risikoscore hoch sein. Umgekehrt kann selbst eine Rechenzentrums-IP einen niedrigen Risikoscore haben, wenn kein bösartiges Verhalten erfasst ist.

Häufige Gründe für einen hohen Score bei privaten Breitbandanschlüssen:

• • Historische Belastung — Ein früherer Nutzer hat über diese IP Proxy-, Crawler- oder Angriffs-Traffic laufen lassen, und Datenquellen haben das gespeichert
• • Markierung des ganzen Präfixes — Im selben /24-Block gibt es eine bösartige IP, und Datenquellen haben den gesamten Block markiert
• • Kompromittiertes Gerät — Ein IoT-Gerät im Haushalt wurde kompromittiert und ist Teil eines Botnetzes geworden
• • Residential-Proxy-Client — Im Netzwerk läuft Residential-Proxy-Software wie ProxyScrape oder 911

Die Klassifizierung von CleanIP auf Ebene der IP-Blöcke ist relativ genau. Die Nutzung von IP-Adressen ist jedoch nicht statisch – täglich wechseln sehr viele IPs den Inhaber. Die Gesamtgenauigkeit der Daten liegt bei etwa 95%.

Um zu prüfen, ob eine IP kürzlich den Inhaber gewechselt hat, sehen Sie sich den Zeitstempel „erstmals gesehen“ in den ASN-Daten an. Sind die Daten zu dieser IP neu, kann das auf eine geänderte Zugehörigkeit oder einen geänderten Status hindeuten.

Die Sicherheitseinstufung für Plattformen schätzt die Wahrscheinlichkeit, dass diese IP in verschiedenen Geschäftsszenarien Verifizierungen, Einschränkungen oder Sperren auslöst. Berücksichtigt werden IP-Typ, Anonymitätsrisiko, geografische Konsistenz, Missbrauchshistorie und die Toleranz der Plattform. Es gibt drei Stufen:

• Sicher: Meist für die langfristige Nutzung geeignet, geringe Wahrscheinlichkeit zusätzlicher Verifizierungen
• Risiko: Kann gelegentlich Verifizierungen oder Einschränkungen auslösen
• Sperre: Hohe Wahrscheinlichkeit von Einschränkungen oder Sperren

Die Sicherheitseinstufung für Plattformen ist keine Garantie. Kontohistorie, Geräte-Fingerprint, Zahlungsmethode, Region und Zugriffsverhalten beeinflussen das endgültige Ergebnis der Risikokontrolle.

Plattformen unterscheiden sich darin, wie streng ihre Risikokontrolle ist:

• Tolerant (YouTube, X/Twitter, Facebook, E-Commerce, Gaming): achten vor allem auf Tor, öffentliche Proxys und schweren Missbrauch
• Streng (Netflix, Disney+, TikTok): blockieren aktiv Rechenzentrums-IPs und VPNs
• Zahlungsstufe: reagieren empfindlicher auf Anonymisierungsdienste, Rechenzentrums-IPs, geografische Abweichungen und ungewöhnliche Geräte
• KI-Plattformen: recht empfindlich gegenüber Proxys und Rechenzentrums-IPs

Beim Browser-Fingerprinting wird eine Reihe von Browser- und Geräteattributen erfasst (etwa Browserversion, Betriebssystem, Bildschirmauflösung, installierte Schriftarten, Zeitzone und Canvas-/WebGL-Ausgabe) und zu einer nahezu eindeutigen Kennung kombiniert. Damit lässt sich dasselbe Gerät ohne Cookies wiedererkennen oder verfolgen.

Typische Fingerprint-Signale sind: User-Agent, Bildschirmauflösung/Farbtiefe, Zeitzone/Spracheinstellungen, Canvas-/WebGL-Rendering, Unterschiede bei der Schriftvermessung, Audio-Fingerprinting, Hardware-Parallelität und mehr. Selbst wenn Sie Cookies löschen oder ein privates Fenster nutzen, kann Fingerprinting Sie wiedererkennen.

Ein WebRTC-Leak entsteht, wenn der Verbindungsaufbau von WebRTC im Browser (Austausch der ICE-Kandidaten) unbeabsichtigt Ihre lokale oder echte öffentliche IP-Adresse preisgibt. Eine Website kann dann selbst bei Nutzung eines VPN oder Proxys Ihre echte IP sehen.

• Chrome: Installieren Sie die Erweiterung „WebRTC Network Limiter“ (von Google) oder „WebRTC Leak Prevent“
• Firefox: Unter about:config setzen Sie media.peerconnection.enabled auf false

JA3-Fingerprint ist ein Hash-Fingerprint, der aus den Feldern der Client-Hello-Nachricht berechnet wird, die der Client beim TLS-Handshake sendet (SSL-Version, Cipher Suites, Erweiterungen, elliptische Kurven usw.), und der die Client-Implementierung eindeutig kennzeichnet. Browser und Anwendungen verwenden beim Aufbau von HTTPS-Verbindungen unterschiedliche Kombinationen von TLS-Parametern; diese Unterschiede bilden eine Art „Fingerprint auf Netzwerkebene“.

JA4 ist eine verbesserte Version von JA3. Sie behebt die Empfindlichkeit von JA3 gegenüber Änderungen der Reihenfolge und kann leicht modifizierte Implementierungen besser unterscheiden.

„Dual-ISP“ bedeutet nur, dass der Inhaber der IP ein ISP ist – nicht, dass die IP tatsächlich für einen privaten Breitbandanschluss genutzt wird. Ein Beispiel: Die IP 110.242.68.66, die ping baidu.com zurückgibt, gehört zu China Unicom und hat den ASN-Typ ISP, ist tatsächlich aber eine Server-IP von Baidu.

Die Server-Erkennung von CleanIP nutzt Reverse DNS, Port-Scans, Banner-Analyse und weitere Verfahren, um tatsächliche Server-IPs in ISP-Netzen zu identifizieren, und liefert so eine genauere Einstufung.

CleanIP kombiniert kommerzielle IP-Intelligence-Feeds, öffentliche Netzwerkdaten, Routing-Datenbanken, DNS-Blacklists und eigene Verhaltensdaten. Die einzelnen Quellen decken unterschiedliche Dimensionen ab:

• Geolokalisierung und ASN-Zugehörigkeit
• Erkennung von Proxys, VPN, Tor und Residential Proxys
• Missbrauchsmeldungen und Blacklist-Einträge
• ASN-Traffic und Netzwerkprofile
• BGP-Routing und Registrierungshistorie
• Offene Ports und Dienst-Fingerprints
• Eigene Honeypots und Verhaltensüberwachung
• Manuell gepflegte Datenbank für Marken und öffentliche Infrastruktur

Widersprechen sich Datenquellen, zeigt CleanIP vorrangig eine nachvollziehbare Schlussfolgerung an und hält einen Feedback-Kanal für Nutzer offen, um auffällige Einträge zu korrigieren.

„Geteilte Nutzer“ ist ein Schätzwert für die Anzahl unterschiedlicher Nutzer, die mit einer IP-Adresse in Verbindung stehen – ermittelt aus netzweiter Big-Data-Überwachung und -Analyse. Wird eine IP von vielen Nutzern geteilt, deutet das meist auf eine öffentliche Proxy- oder VPN-IP hin.

Da NAT in Festlandchina weit verbreitet ist, gehen sehr viele Endnutzer über dieselbe öffentliche IP ins Internet – ein normales Netzwerkverhalten. Deshalb zeigt das System die Kennzahl „Geteilte Nutzer“ für IP-Adressen aus Festlandchina standardmäßig nicht an.

IP-Adressen privater Breitbandanschlüsse sind in der Regel dauerhaft einer festen ASN und Organisation zugeordnet und ändern sich selten. Wechseln die historische ASN oder die zugehörige Organisation einer IP häufig, ist ihre Zuordnung instabil – eine solche IP wird oft als „unsauber“ bezeichnet.

In den Tabellen zur ASN- und Unternehmenshistorie sehen Sie alle Änderungen für die IP auf einen Blick – das hilft, ihre Stabilität einzuschätzen.

Das Datenerfassungsmodul von CleanIP erkennt IPs gängiger CDNs (u. a. Cloudflare, Akamai, Tencent Cloud CDN und Alibaba Cloud CDN). Betreiben Sie auf Ihrem Server einen Reverse Proxy und nutzt die darüber ausgelieferte Domain ein CDN, kann die IP Ihres Servers als CDN-IP erkannt werden.

CleanIP führt einen TCP-Connect-Scan auf 26 gängige Ports der Ziel-IP durch. Neben offenen Ports liefert der Scan außerdem:

• Banner-Grabbing: erkennt die konkrete Software und Version, die auf offenen Ports läuft
• CPE-Zuordnung: ordnet erkannte Software standardisierten CPE-Kennungen zu
• Tag-Ableitung: leitet den IP-Typ aus Port-Kombinationen und CPE-Daten ab (z. B. CDN, Datenbank, IoT usw.)
• CVE-Schwachstellenabgleich: gleicht erkannte Softwareversionen mit bekannten CVE-Schwachstellendatenbanken ab

CPE (Common Platform Enumeration) ist ein standardisiertes Benennungsschema für Software; so steht beispielsweise cpe:/a:nginx:nginx:1.24.0 für Nginx 1.24.0.

CVE (Common Vulnerabilities and Exposures) ist die Standardkennung für bekannte Sicherheitslücken – CVE-2024-6387 etwa ist eine Lücke zur Remote-Codeausführung in OpenSSH. CleanIP gleicht gescannte Softwareversionen automatisch mit bekannten CVEs hohen Schweregrads ab.