Wie IP-Geolokalisierung wirklich funktioniert

Wie funktioniert IP-Geolokalisierung?

Eine IP-Adresse enthält keine Koordinaten. Es gibt keinen GPS-Chip im Protokoll, kein Breitengrad-Feld im Paket-Header, kein Signal, das meldet, wo eine Maschine steht. Eine IPv4-Adresse besteht aus 32 Bit Routing-Information, eine IPv6-Adresse aus 128. Alles, was ein Geolokalisierungsdienst Ihnen über den Ort mitteilt, wird aus Belegen abgeleitet, die die Adresse umgeben, und nicht aus ihr abgelesen. Zu verstehen, wie diese Ableitung funktioniert – und wo sie versagt –, macht den Unterschied aus, ob man ein Werkzeug wie den Tracer richtig einsetzt oder seine Ausgabe fehlinterpretiert.

Die kurze Antwort auf die Frage „Wie funktioniert IP-Geolokalisierung“ lautet: Datenbanken korrelieren mehrere unabhängige öffentliche Signale über einen Adressblock, wägen sie gegeneinander ab und veröffentlichen eine bestmögliche Schätzung mit einem Konfidenzniveau. Die ausführliche Antwort lohnt es sich, Schicht für Schicht durchzugehen.

Schicht eins: Registrierungsdaten

Jede öffentliche IP-Adresse wird von einem der fünf Regional Internet Registries vergeben: ARIN (Nordamerika), RIPE NCC (Europa, Naher Osten und Zentralasien), APNIC (Asien-Pazifik), LACNIC (Lateinamerika und Karibik) und AFRINIC (Afrika). Jede Registry veröffentlicht, wer welchen Block hält, sowie das im Register hinterlegte Land des Inhabers. Dies ist das grundlegende Signal: Es ist maßgeblich, öffentlich und auf Länderebene selten falsch für Adressen, die dort bleiben, wo sie zugewiesen wurden. Es sagt nichts über Städte aus und nichts darüber, wo sich die einzelnen Kunden des Inhabers befinden – die gesamte Zuweisung eines landesweiten ISP trägt eine einzige Inhaberadresse. Die Registry verknüpft jeden Block außerdem mit einem autonomen System, weshalb ein ASN-Lookup oft der zuverlässigste Teil jeder Rückverfolgung ist.

Schicht zwei: von ISPs veröffentlichte Daten

Manche Netzbetreiber veröffentlichen ihre eigenen Geolokalisierungsdaten freiwillig. Die standardisierte Form ist ein Geofeed – eine CSV-Datei, beschrieben in RFC 8805, die Adressbereiche einem Land, einer Region und einer Stadt zuordnet. Wenn ein ISP einen korrekten Geofeed pflegt, behandeln ihn Datenbankanbieter als hochzuverlässige Eingabe, denn der Betreiber weiß besser als jeder andere, welches Präfix welchen Ballungsraum bedient. Die Abdeckung ist ungleichmäßig: Große Content-Netzwerke und vorausschauende ISPs veröffentlichen Feeds; viele Betreiber veröffentlichen nichts, und einige wenige veröffentlichen veraltete.

Schicht drei: Latenzmessung

Licht in Glasfaser ist durch die Physik begrenzt. Wenn ein Messserver in Frankfurt eine Adresse in 4 Millisekunden erreicht, kann sich diese Adresse nicht in São Paulo befinden. Anbieter betreiben Messnetzwerke, die Adressbereiche von Dutzenden Beobachtungspunkten aus anpingen und triangulieren: Jede Umlaufzeit zeichnet einen Kreis mit maximaler Entfernung, und der Schnittpunkt vieler Kreise grenzt den plausiblen Bereich ein. Latenz-Triangulation ist gut darin, Regionen auszuschließen, und mittelmäßig darin, Städte festzunageln, weil Routing-Umwege, Warteschlangenverzögerungen und die Technik der letzten Meile die Umlaufzeiten unvorhersehbar aufblähen.

Schicht vier: per Crowdsourcing gewonnene GPS-Korrelation

Das granularste Signal stammt von Geräten, die beides zugleich melden. Mobile Anwendungen und Websites, die eine Standortberechtigung anfordern, erfassen eine GPS-Position und die öffentliche IP, über die sie eintraf; über Millionen einwilligender Sitzungen hinweg aggregiert, ergibt dies eine statistische Karte, welche Adressbereiche in welchen Stadtvierteln auftreten. Das ist wirkungsvoll und vergänglich: ISPs weisen Adresspools neu zu, und ein Block, der sich letztes Quartal in einem Vorort ballte, bedient heute vielleicht einen anderen. Wichtig ist außerdem: Es handelt sich um aggregierte Daten über Bereiche – es identifiziert nicht und kann nicht die einzelne Person hinter einer bestimmten Adresse identifizieren, ein Punkt, der ausführlicher unter der Frage, ob eine IP Ihre Adresse verrät, behandelt wird.

Schicht fünf: Hostname-Hinweise

Netzwerktechniker benennen Router nach Orten. Ein Reverse-DNS-Lookup auf einem Backbone-Hop liefert oft etwas wie lon-edge-02.example.net oder ae1.cr2.ord7.example.net – Flughafen- und Städtecodes, die per Konvention eingebettet sind (LON für London, ORD für Chicago). Das Auswerten dieser Hostnamen lokalisiert Infrastruktur, und eine Endnutzeradresse, die über einen benannten Point of Presence geleitet wird, wird wahrscheinlich aus dessen Nähe bedient. Das Signal ist indirekt: Namenskonventionen unterscheiden sich je nach Betreiber, Namen überdauern Standortwechsel, und der Kunde kann sich Hunderte Kilometer vom Edge-Router entfernt befinden, der ihn bedient.

Warum die Antwort eine Schätzung und keine Positionsbestimmung ist

Keine einzelne Schicht ist ausschlaggebend, daher kombinieren die Anbieter sie. Wo die Schichten übereinstimmen – das Registry-Land passt zu den Latenzeinschränkungen, ein Geofeed nennt dieselbe Stadt, die auch die GPS-Ballungen nahelegen –, ist die Konfidenz hoch. Wo sie sich widersprechen, weitet sich die Schätzung. Deshalb trägt ein ehrliches Ergebnis stets einen Konfidenzradius statt einer Punktmarkierung: Die Ausgabe bedeutet „dieser Bereich bedient höchstwahrscheinlich dieses Gebiet“, niemals „dieses Gerät befindet sich an diesen Koordinaten“. Die gemessene Genauigkeit spiegelt diese Struktur wider: Antworten auf Länderebene sind in etwa 95 bis 99 Prozent der Fälle korrekt, Antworten auf Regionsebene 55 bis 80 Prozent und Antworten auf Stadtebene 50 bis 75 Prozent bei festem Breitband – bei Mobilfunkanbietern, VPN-Ausgängen und Satellitenverbindungen sind sie häufig auf jeder Ebene falsch. Die vollständigen Zahlen finden Sie unter wie genau IP-Geolokalisierung ist.

Wie die Datenbanken zusammengestellt werden

Produkte wie DB-IP (das die Standortschicht von Uplink Trace speist) und MaxMinds GeoLite2 nehmen alle fünf Schichten fortlaufend auf, lösen Konflikte algorithmisch auf und veröffentlichen Momentaufnahmen – typischerweise monatlich bei kostenlosen Editionen, häufiger bei kommerziellen. Der Aktualisierungszyklus ist wichtig, weil sich die Adresskarte des Internets darunter verschiebt. Wenn ein Block verkauft, verleast oder aus einem neuen Land neu angekündigt wird, meldet jede Datenbank, die ihn noch nicht erneut beobachtet hat, weiterhin den alten Standort. Veraltete Zuweisungen sind die häufigste Einzelursache für ein Ergebnis mit falschem Land: Ein Adressbereich, der von einem europäischen Broker an einen asiatischen Cloud-Betreiber übertragen wurde, kann monatelang auf den falschen Kontinent geolokalisiert werden. Ein Blick auf das ankündigende Netzwerk – siehe was ein ASN ist – deckt die Diskrepanz oft auf, weil sich BGP-Ankündigungen in Minuten aktualisieren, während sich Geolokalisierungs-Momentaufnahmen in Wochen aktualisieren.

Um zu sehen, wie die Schichten zu einem Live-Dossier zusammengefügt werden, führen Sie die Beispiel-Rückverfolgung von 8.8.8.8 aus: Registrierungsdaten, AS-Betreiber, Reverse DNS und die Geolokalisierungsschätzung erscheinen nebeneinander, jeweils gekennzeichnet mit dem, was sie behaupten kann und was nicht. Genau diese Transparenz ist der Sinn der Sache. IP-Geolokalisierung ist ein gut kalibriertes statistisches Instrument, um Netzwerke näherungsweise Regionen zuzuordnen – und ein grundsätzlich falsches Instrument, um Personen zu lokalisieren, was sie nicht leisten kann.