Wissen · Tool-Anleitungen
Eine IP-Adresse zurückverfolgen: Standort, Provider und ASN bestimmen
Eine IP-Adresse taucht überall auf: im Kopf einer verdächtigen E-Mail, in den Zugriffslogs Ihres Servers, in einer Firewall-Meldung oder in einer Betrugsnachricht. Die naheliegende Frage lautet dann: Woher kommt das? Mit den Browser-Werkzeugen «IP-Intel» und «ASN-Recon» lässt sich eine IP-Adresse zurückverfolgen — bis zum ungefähren Standort, zum Provider, zur Netzkennung (ASN) und zum zuständigen Missbrauchs-Kontakt. Was dabei nicht herauskommt, ist ebenso wichtig: der Name der Person hinter dem Anschluss.
Was eine IP-Adresse verrät — und was nicht
Eine öffentliche IP-Adresse gehört einem Netzbetreiber, nicht direkt einem Menschen. Aus ihr lassen sich zwei Dinge ableiten:
- Registrierungsdaten aus den Datenbanken der regionalen Vergabestellen (RIPE, ARIN, APNIC …): welche Organisation den Adressblock zugeteilt bekam, welcher Netzbereich dazugehört und welche Abuse-Adresse für Beschwerden zuständig ist.
- Geolokalisierung, also eine Schätzung des Standorts. Sie beruht auf kommerziellen Datenbanken und Rückschlüssen, nicht auf GPS. Das Land stimmt meist, die Stadt oft nicht.
Nicht ableitbar sind Name, Adresse oder Anschlussinhaber. Diese Zuordnung kennt nur der Provider selbst und gibt sie nur an Behörden auf gesetzlicher Grundlage heraus — in der Schweiz über den Dienst ÜPF nach BÜPF. Kein OSINT-Werkzeug umgeht das.
Standort, Provider und ASN mit «IP-Intel» und «ASN-Recon»
«IP-Intel» nimmt eine einzelne Adresse und fasst Herkunftsschätzung, Provider, Netztyp und Abuse-Kontakt zusammen. «ASN-Recon» geht eine Ebene tiefer: Es zeigt die Autonome-System-Nummer (ASN) des Betreibers und die von ihm angekündigten Netzbereiche — nützlich, um zu erkennen, ob eine Adresse zu einem Privatanschluss, einem Rechenzentrum oder einem Hosting-Anbieter gehört. Für die Beispiel-Adresse 198.51.100.23 (eine reservierte Doku-Adresse) sähe das etwa so aus:
Die entscheidende Zeile ist hier der Netztyp. Dass die Adresse in einer Hosting-Range liegt, ist ein starker Hinweis darauf, dass jemand seinen tatsächlichen Ursprung hinter einem VPN, Proxy oder Server versteckt — die «Stadt» Frankfurt ist dann bloss der Standort des Rechenzentrums, nicht der der Person.
Grenzen: VPN, CGNAT und dynamische Adressen
Mehrere Effekte verwässern die Spur systematisch:
- VPN, Proxy und Tor verbergen den echten Ausgangspunkt. Sie sehen dann das Rechenzentrum, nicht den Nutzer.
- CGNAT: Bei vielen Mobil- und Kabelanschlüssen teilen sich Hunderte Kunden eine öffentliche IP. Eine Adresse zeigt dann auf viele Personen zugleich.
- Dynamische Vergabe: Private Anschlüsse bekommen oft täglich eine neue IP. Eine gestern zugeordnete Adresse kann heute jemand anderem gehören.
Die VPN-/Proxy-Erkennung ist deshalb eine Heuristik: Sie stuft Adressbereiche als datencenter- oder wohnadresstypisch ein. Das ist ein Anhaltspunkt, kein Nachweis.
So gehen Sie vor
- IP-Adresse isolieren — etwa aus dem
Received:-Header einer E-Mail oder aus Ihrem Server-Log. - Mit «IP-Intel» Land, Provider, Netztyp und Abuse-Kontakt bestimmen.
- Mit «ASN-Recon» prüfen, ob die Adresse zu Privatanschluss, Hosting oder Rechenzentrum gehört.
- Bei Missbrauch eine sachliche Meldung an die Abuse-Adresse senden — mit Zeitstempel und Log-Auszug.
- Bei einer verdächtigen Nachricht zusätzlich den Betrugswarner nutzen und die IP als einen von mehreren Hinweisen behandeln.
- Die Recherche im Auftrag laufen lassen? Der KI-Agent führt «IP-Intel» und «ASN-Recon» für Sie aus und fasst die Funde zusammen.