Wie genau ist IP-Geolokalisierung wirklich?

Wie genau ist die IP-Geolokalisierung?

Die ehrliche Antwort lautet: Es hängt vollständig davon ab, welchen Grad an Präzision Sie verlangen. Auf Länderebene ist die IP-Geolokalisierung eine der zuverlässigsten Schlussfolgerungen in der Netzwerk-Forensik. Auf Stadtebene gleicht sie eher einem Münzwurf, der zu Ihren Gunsten gewichtet ist. Und bei bestimmten Arten von Verbindungen — Mobilfunkanbietern, VPN-Ausgängen, Satellitenverbindungen — kann der gemeldete Standort mit Überzeugung und auf systematische Weise falsch sein. Deshalb trägt jedes Dossier, das der Uplink Trace-Tracer erstellt, eine ausdrückliche Vertrauensbewertung, anstatt eine einzelne, autoritativ wirkende Markierung.

Die Zahlen, ohne Beschönigung

Warum die Länderebene fast immer stimmt

IP-Adressblöcke werden von regionalen Internet-Registries — RIPE NCC, ARIN und ihren Gegenstücken — an bestimmte Betreiber in bestimmten Ländern vergeben, und dieser Papierweg ist öffentlich. Ein Adressblock, der einem deutschen ISP zugeteilt ist, bedient überwiegend deutsche Kunden, und grenzüberschreitende Neuzuweisungen sind selten und langsam. Geolokalisierungsdatenbanken wie DB-IP gehen von diesen Registry-Daten aus und verfeinern sie, weshalb das Länderfeld in einem Dossier hohes Vertrauen verdient, während alles darunter Skepsis verdient.

Warum Region und Stadt weitaus weicher sind

Keine Registry erfasst, welche Stadt eine Adresse bedient. Einträge auf Regions- und Stadtebene sind abgeleitet: daraus, wo der betreibende ISP seine Infrastruktur konzentriert, aus Latenzmessungen, aus der Routing-Struktur und aus Mustern, wie der Anbieter seine Blöcke in der Vergangenheit eingesetzt hat. Diese Schlussfolgerungen verfallen. Ein ISP kann bei einer Netzumstrukturierung einen Block stillschweigend von Lyon nach Marseille verlegen, und die Datenbanken werden weiterhin Lyon melden, bis sich neue Belege ansammeln. Bei Festnetz-Breitband stimmt die Stadt ungefähr in der Hälfte bis zu drei Vierteln der Fälle — nützlich zur Triage, niemals ausreichend für eine Schlussfolgerung. Die Mechanismen werden ausführlicher in wie IP-Geolokalisierung funktioniert behandelt.

Mobilfunknetze und Carrier-Grade NAT

Mobilfunkanbieter verfügen nicht über genügend IPv4-Adressen, um jedem Endgerät eine eigene zu geben. Stattdessen setzen sie Carrier-Grade NAT ein (der gemeinsam genutzte Adressraum, der in RFC 6598 definiert ist) und leiten Tausende von Teilnehmern durch einen kleinen Pool öffentlicher Adressen an einem regionalen Gateway. Die IP, die Sie beobachten, gehört zu diesem Gateway, das Hunderte von Kilometern von jedem einzelnen Teilnehmer entfernt liegen kann. Ein Telefon in einer Kleinstadt wird routinemäßig auf das Gateway des Anbieters in der nächstgelegenen Großstadt geolokalisiert. Wenn eine Verfolgung auf dem AS eines Mobilfunkanbieters landet, behandeln Sie das Stadtfeld als die Verrohrung des Anbieters, nicht als den Aufenthaltsort des Nutzers.

VPNs, Proxys und Rechenzentrumsbereiche

Ein VPN tut genau das, was es verspricht: Die sichtbare IP ist die des Exit-Servers, sodass die Geolokalisierung das Rechenzentrum des Exit-Servers meldet — und zwar korrekt. Die Datenbank versagt nicht; sie verortet korrekt eine Maschine, die nicht diejenige ist, die Sie interessiert. Uplink Trace kennzeichnet Rechenzentrums- und VPN-Bereiche heuristisch anhand des Namens des AS-Betreibers und beschriftet sie als WAHRSCHEINLICH, anstatt einen Beweis zu behaupten, denn ein Betreibername ist ein Indiz, keine Gewissheit. Zu verstehen, was ein ASN ist, hilft hier: Das autonome System sagt Ihnen, wer das Netzwerk betreibt, was oft aufschlussreicher ist als die Koordinaten.

Unternehmensnetzwerke und Satellitenverbindungen

Große Organisationen leiten den Datenverkehr von Zweigstellen häufig über einen zentralen Internet-Ausbruch, sodass ein Mitarbeiter in Calgary mit einer IP auftauchen kann, die auf den Hauptsitz in Toronto registriert ist. Satelliten-Internet ist der Extremfall: Der Datenverkehr erreicht das terrestrische Internet an einer Bodenstation, die sich in einem anderen Land — gelegentlich auf einem anderen Kontinent — als die Antennenschüssel befinden kann. Beide Muster erzeugen Geolokalisierungsergebnisse, die in sich stimmig und im Betrieb irreführend sind.

Warum die Genauigkeit je nach Land variiert

Die Genauigkeit ist über die Landkarte hinweg nicht einheitlich. Kleine Länder sind auf Länderebene und oft auch auf Stadtebene mühelos genau, weil es schlicht weniger Gebiet gibt, bei dem man danebenliegen kann. Länder mit dichten, wettbewerbsintensiven ISP-Märkten und regional strukturierten Zuteilungen — ein Großteil Westeuropas, das städtische Nordamerika — lassen sich vergleichsweise gut geolokalisieren. Länder, in denen ein nationaler Anbieter aus einem landesweiten Adresspool schöpft, lassen sich unterhalb der Länderebene schlecht geolokalisieren, weil nichts in der Adressierungsstruktur eine Stadt von einer anderen unterscheidet. Dieselbe Datenbank kann in den Niederlanden hervorragend und andernorts auf Stadtebene nahezu nutzlos sein.

Wie man einen Vertrauensradius liest

Ein ehrliches Geolokalisierungsergebnis ist ein Kreis, kein Punkt. Eine Markierung auf einer Karte behauptet eine Präzision, die die zugrunde liegenden Daten nicht stützen können; ein Kreis besagt: Die Netzwerkbelege verorten diese Adresse irgendwo in diesem wahrscheinlichen Gebiet. Lesen Sie den Radius als Fehlerbalken: Ein enger Kreis über einer Stadt bei einem Festnetz-Breitband-ISP ist ein einigermaßen starkes Signal; ein weiter Kreis, der auf ein Mobilfunk-Gateway oder ein Rechenzentrum zentriert ist, ist das Werkzeug, das Ihnen sagt, dass der Mittelpunkt nahezu willkürlich ist. Wenn Uplink Trace einen breiten Radius zeichnet, ist das der Befund — ihn weiter einzugrenzen wäre Erfindung. Wie sich dies bei einer gut dokumentierten Adresse darstellt, können Sie in der Beispielverfolgung von 8.8.8.8 sehen.

Was das in der Praxis bedeutet

Ergebnisse auf Länderebene sind zuverlässig genug für Compliance-Prüfungen, Log-Triage und Missbrauchsanalysen. Ergebnisse auf Regions- und Stadtebene sind Hinweise, die zu erhärten sind, keine Fakten, die zitiert werden können. Und nichts davon identifiziert eine Person: Die IP-Geolokalisierung nähert sich an, wo sich ein Netzwerk mit dem Internet verbindet, nicht wer es nutzt oder wo diese Person wohnt — eine Unterscheidung, die in kann jemand meine Adresse anhand meiner IP finden aufgeschlüsselt wird. Jedes Werkzeug, das Ihnen eine präzise Markierung ohne Vertrauensbewertung zeigt, ist nicht genauer, als die Daten es zulassen; es ist lediglich zuversichtlicher, als es sein sollte.