Wenn eine Website in einem Land nicht lädt und in einem anderen problemlos funktioniert, lautet die übliche Vermutung Zensur. Oft ist es nichts dergleichen. Die Sperre wurde von der Website selbst gesetzt, oder von dem Netzwerk, auf dem sie läuft, das entscheidet, wen es bedient.
Diese Praxis, serverseitiges Geoblocking, ist verbreitet, wird der gesperrten Person selten erklärt, und lässt sich überraschend schwer messen. Mehrere Peer-Review-Studien haben es trotzdem gemessen. Zusammen ergeben sie eine klare Antwort darauf, welche Länder am häufigsten gesperrt werden, und eine interessantere darauf, wer das tut.
Die wichtigsten Erkenntnisse
- In der größten weltweiten Messung wurden Syrien, Iran, Sudan und Kuba weit häufiger geoblockt als jedes andere Land, alle vier zu dieser Zeit unter US-Sanktionen. Das Medianland wurde von 3 von 8.000 populären Seiten gesperrt; Syrien von 71.
- Der Großteil des Blockings läuft über eine Handvoll Infrastrukturanbieter. In dieser Studie sperrten 40,7% der Google App Engine-Kunden unter den Top-Seiten mindestens ein Land, gegenüber 3,1% bei Cloudflare und 1,4% bei Amazon CloudFront.
- Nach der Invasion der Ukraine 2022 geoblockten 444 ausländische Websites russische Nutzer, darunter US-Nachrichtenseiten und Universitäten.
- Eine Messung aus Kuba von 2023 fand 546 gesperrte Domains, und 88% davon gaben keinen Grund an. Nur 9 verwendeten den HTTP-Statuscode, der für rechtliche Sperren geschaffen wurde.
- Das globale Länderranking stammt aus dem Jahr 2018. Keine Studie seither hat es weltweit wiederholt, und die US-Sanktionen gegen Syrien wurden im Juli 2025 aufgehoben.
Geoblocking ist keine Zensur
Die Unterscheidung ist wichtig, weil beide von unterschiedlichen Akteuren verursacht und von unterschiedlichen Personen behoben werden.
| Geoblocking | Zensur | |
|---|---|---|
| Wer handelt | Die Website, oder ihr Hosting- oder CDN-Anbieter | Eine Regierung, meist über lokale Netzwerke |
| Wo es geschieht | Am Server | Innerhalb des Landes des Besuchers |
| Typisches Signal | Eine 403-Seite, ein Hinweis, oder eine stille Ablehnung | DNS-Manipulation, Verbindungsabbrüche, gesperrte Adressen |
| Übliches Motiv | Sanktionen, Lizenzierung, Betrug, Kosten, rechtliches Risiko | Politische oder rechtliche Informationskontrolle |
Beide können für einen Besucher identisch aussehen, und sie verzerren gegenseitig ihre Messungen. Die unten genannte Studie von 2018 fand, dass 9% der Domains auf einer weitverbreiteten Zensur-Testliste in mindestens einem Land eine CDN-Blockseite zurückgaben, was bedeutet, dass einige „Zensur”-Befunde tatsächlich die Website waren, die Nein sagte.
Die am häufigsten gesperrten Länder
Das einzige weltweite Ranking stammt aus „403 Forbidden: A Global View of CDN Geoblocking”, vorgestellt auf der ACM Internet Measurement Conference 2018 von einem Team unter Leitung der University of Michigan, wobei Cloudflare eigene Kundenregeldaten beitrug. Sie luden 8.000 der Alexa-Top-10.000-Seiten von Beobachtungspunkten in 177 Ländern über Residential-Verbindungen und zählten explizite Blockseiten.
| Land | Top-10K-Seiten, die es sperren |
|---|---|
| Syrien | 71 |
| Iran | 67 |
| Sudan | 66 |
| Kuba | 66 |
| China | 11 |
| Nigeria | 11 |
| Russland | 10 |
| Brasilien | 8 |
| Irak | 6 |
| Pakistan | 5 |
Das Medianland wurde von 3 Seiten gesperrt. Die Autoren formulierten es direkt: die Top vier waren Syrien, Iran, Sudan und Kuba, „mit weitem Abstand”, und alle vier standen unter Sanktionen der Vereinigten Staaten. Das Blocking konzentrierte sich auf Finanz- und Bankenseiten, was mit der Einhaltung von Sanktionen übereinstimmt.
Eine größere Stichprobe von CDN-Kunden über die Top-Million-Seiten wiederholte das Muster, mit Iran gesperrt von 178 Domains, Sudan von 169, Syrien von 168 und Kuba von 165, gefolgt von China mit 34, Russland mit 28 und der Ukraine mit 22. Von 177 getesteten Ländern sah nur die Seychellen überhaupt kein Blocking.
Zwei Warnungen, bevor diese Tabelle zitiert wird. Die Messung stammt aus 2018, und nichts seither hat sie weltweit wiederholt. Und eines der Top-vier-Länder hat seinen Status geändert: Die US-Sanktionen gegen Syrien wurden mit Wirkung zum 1. Juli 2025 aufgehoben. Wie viele Seiten seither ihre Syrien-Regeln entfernt haben, wurde nicht gemessen.
Wer sperrt
Die Infrastrukturebene
Sehr wenige Websites bauen Geoblocking selbst. Sie schalten es in ihrem CDN oder ihrer Cloud-Plattform ein, weshalb dieselben wenigen Anbieter in jeder Studie dominieren. Unter den Top-10.000-Seiten in der Messung von 2018:
| Anbieter | Kunden, die mindestens ein Land sperren |
|---|---|
| Google App Engine | 40,7% |
| Cloudflare | 3,1% |
| Amazon CloudFront | 1,4% |
Der Wert von App Engine wurde durch Sanktionen bestimmt: Die Autoren berichten, dass es dieselbe sanktionierte Gruppe über seine Kunden hinweg sperrte, statt dass jede Seite selbst wählte. Anderswo ist Blocking eine Kundenentscheidung. Amazons Dokumentation beschreibt die Allow- und Denylists von CloudFront und besagt, dass ein gesperrter Besucher ein 403 Forbidden erhält. Cloudflares Dokumentation besagt, dass Länderblocking bei Enterprise-Plänen verfügbar ist, und dass andere Kunden Länder mit WAF-Custom-Rules sperren können.
Cloudflares eigene Regeldaten, veröffentlicht in derselben Studie für Juli 2018, zeigen, was Kunden zu sperren wählten. Über alle Zonen hinweg wurden Russland und China jeweils von 0,22% gesperrt, vor Nordkorea mit 0,20% und Iran mit 0,18%. Unter Enterprise-Kunden änderte sich die Reihenfolge vollständig: Nordkorea 16,50%, Iran 15,57%, Syrien 13,74%, Russland 4,90%. Große Organisationen sperren wegen Sanktionen; kleinere sperren dort, wo sie Missbrauch sehen.
Plattformen unter Handelskontrollen
Manche Dienste geben ihre Beschränkungen offen an. GitHubs Seite zu Handelskontrollen besagt, dass seine Dienste Entwicklern in Nordkorea nicht zur Verfügung stehen, und dass es eine Lizenz vom Office of Foreign Assets Control des US-Finanzministeriums hält, um Entwicklern im Iran Cloud-Dienste bereitzustellen. Richtlinien wie diese ändern sich mit den Sanktionen, sodass die Seite selbst, nicht eine sekundäre Zusammenfassung, die einzig verlässliche Quelle ist.
Russland nach 2022
Eine USENIX Security 2023-Studie maß das Netzwerk in den Wochen nach der Invasion der Ukraine, mit täglichen Messungen vom 14. März bis zum 22. April 2022 und einem vollständigen Scan am 10. Mai 2022.
Ausländische Websites reagierten schnell. Die Autoren fanden 444 ausländische Seiten, die russische Nutzer geoblockten. Auf HTTP-Ebene gaben 286 von 8.763 populären Domains (3,26%) Blocksignaturen an jeden russischen Beobachtungspunkt zurück, und Russland wurde von signifikant mehr Domains gesperrt als jedes andere getestete Land. Der Großteil dieses Blockings lief über Cloudflare, 87 Domains, und Akamai, 57. Unter den Sperrenden waren 42 Nachrichten- und Medien-Domains, die Mehrheit mit Sitz in den USA, national und lokal.
Das Blocking verlief auch in die andere Richtung. Mehr als 45% der getesteten russischen Regierungs-Domains sperrten den Zugriff aus anderen Ländern als Russland und Kasachstan.
Kuba, von innen
Die aktuellste Länderstudie stammte von einem einzigen Residential-Beobachtungspunkt in Kuba, veröffentlicht auf der USENIX Security 2024. Zwischen dem 11. und 22. Mai 2023 testeten die Forscher 10.093 populäre Domains und fanden 546, die kubanische Besucher geoblockten, darunter bekannte Dienste aus Technologie, Wirtschaft und Finanzen.
| Wie sich die Sperre zeigte | Domains |
|---|---|
| HTTP-Antwort mit Blockseite | 395 |
davon 403 Forbidden | 347 |
davon 200 OK, eine Blockseite präsentiert als Erfolg | 32 |
davon 451 Unavailable For Legal Reasons | 9 |
| Fehlschlag bei DNS-, TCP-, TLS- oder HTTP-Stufe ohne Ausgabe einer Seite | der Rest, einige Domains an mehr als einer Stufe |
Der wichtigste Befund für jeden Betroffenen: 88% der gesperrten Domains gaben keinen informativen Hinweis darauf, warum. Und der HTTP-Status 451, speziell geschaffen, um eine rechtliche Sperre zu signalisieren, blieb eine Seltenheit. Die Studie von 2018 sah ihn nur zweimal im gesamten Verlauf.
Die EU: Blocking innerhalb eines einzigen Marktes
Europa bietet ein anderes Bild, weil es gegen Geoblocking zwischen Mitgliedstaaten gesetzlich vorgegangen ist. Die Geoblocking-Verordnung gilt seit Dezember 2018. Die kurzfristige Überprüfung der Kommission von 2020 fand, dass nur 0,2% der rund 9.000 untersuchten Websites den Zugriff sperrten, und dass Standortanforderungen von 26,9% auf 14% fielen. Audiovisuelle Inhalte sind von der Verordnung ausgenommen, und das zeigt sich: dieselbe Überprüfung fand, dass ein europäischer Verbraucher im Durchschnitt auf 14% der online verfügbaren Filme in der EU zugreifen konnte, von 1,3% in Griechenland bis 43,1% in Deutschland. Die Kommission eröffnete im Februar 2025 eine formelle Evaluierung der Verordnung.
Blocking lief auch von außen nach Europa. Als die DSGVO 2018 in Kraft trat, sperrten mehrere US-Nachrichtenseiten EU-Besucher, statt ihre Datenpraktiken zu ändern. Eine Peer-Review-Studie über vier von ihnen, die Los Angeles Times, Chicago Tribune, USA Today und Us Weekly, fand, dass die einzigartigen monatlichen Besucher aus der EU während der Sperren um zwischen 82% und 96% zurückgingen, und dass das Publikum nicht vollständig zurückkehrte, sobald der Zugriff wiederhergestellt war. Dieselbe Frage stellt sich nun erneut bei Consent-Walls, die stark je Land variieren.
Warum das schwer zu messen ist
Jede oben genannte Studie sagt dasselbe über die Methode: Man kann Geoblocking nicht von einem einzigen Ort aus messen.
- Man braucht einen Beobachtungspunkt innerhalb jedes Landes. Eine gegen Russland gerichtete Sperre ist von Deutschland aus unsichtbar.
- Statuscodes lügen. Blockseiten, die als
200 OKausgeliefert werden, bestehen jede Prüfung, die nur auf den Status schaut. - Stille Fehlschläge sehen aus wie schlechte Netzwerke. Ein Timeout von einem gesperrten Land und ein Timeout von einem langsamen sind dasselbe Ereignis, bis man es mit einer Kontrolle vergleicht.
- Zensur und Geoblocking überlappen sich. Forscher trennen sie danach, wo im Pfad der Fehler auftritt, und markieren dennoch die zweifelhaften Fälle.
Auch die Messung trägt ethisches Gewicht. Die Forscher von 2018, die über Residential-Verbindungen testeten, verzichteten darauf, Seitenkategorien mit hohem Risiko zu untersuchen, um die Personen zu schützen, deren Verbindungen den Verkehr trugen. Diese Zurückhaltung gehört in jedes seriöse Messdesign, und derselbe Gedanke durchzieht das Plädoyer für die Aufzeichnung, wo Webdaten beobachtet wurden.
Was internationale Teams daraus mitnehmen sollten
Wer über Grenzen hinweg veröffentlicht, verkauft oder betreibt, für den lautet die Frage weniger „welche Länder werden gesperrt” und mehr „was bekommt mein Publikum in jedem Markt tatsächlich zu sehen”.
- Testen Sie Ihre eigenen Eigenschaften aus jedem Markt, den Sie bedienen. CDN- und WAF-Regeln sind leicht hinzuzufügen und leicht zu vergessen. Eine Regel, die vor drei Jahren wegen eines Missbrauchsspitzenwerts hinzugefügt wurde, sperrt möglicherweise noch immer ein ganzes Land.
- Prüfen Sie die Seite, nicht nur den Status. Achten Sie auf Blocktext im Body ebenso wie auf den Code.
- Wenn Sie sperren müssen, sagen Sie warum. Ein klarer Hinweis, und idealerweise ein
451, wo der Grund rechtlich ist, macht aus einem Rätsel eine Antwort. - Zeichnen Sie den Beobachtungspunkt auf, zusammen mit jedem Ergebnis, das Sie veröffentlichen.
Für den ersten Punkt zeigt eine länderspezifische Anfrage über Shifters Residential-Gateway, was ein Besucher in diesem Markt erhält, ohne sonst etwas an Ihrem Test zu ändern:
curl -s -o /dev/null -w "%{http_code}\n" \
-x customer-USERNAME-country-br:PASSWORD@p.shifter.io:443 \
https://www.example.com/Ländercodes sind ISO 3166-1 alpha-2. Die Geo-Targeting-Dokumentation behandelt Region-, Stadt- und ASN-Targeting, und wie sich das Testen Ihrer eigenen Releases auf diese Weise auf Geo-Compliance-Prüfungen erstreckt.
Eine Zeile ist nicht verhandelbar. Geoblocking zur Einhaltung von Sanktionen ist eine rechtliche Verpflichtung des Unternehmens, das es anwendet, und Residential-Proxys dürfen nicht verwendet werden, um dies zu umgehen, oder Lizenzierungsbeschränkungen, von irgendwoher. Die hier beschriebene Nutzung ist die Beobachtung Ihrer eigenen Eigenschaften und öffentliche Messung, und wenn Sie unsicher sind, wo diese Grenze für Ihre Situation liegt, holen Sie sich rechtlichen Rat, bevor Sie testen.
Fazit
Die am häufigsten gesperrten Länder sind jene unter Sanktionen, und das Blocking geschieht größtenteils, weil Infrastrukturanbieter es zu einem Kontrollkästchen machen. Um diesen Kern herum liegt eine größere, lockerere Schicht: Seiten, die Russland nach 2022 sperren, US-Verlage, die Europa nach der DSGVO sperren, kleinere Unternehmen, die überall sperren, wo sie Missbrauch sahen. Fast nichts davon sagt dem gesperrten Besucher, warum.
Die größte Lücke ist die Datenlage selbst. Das einzige weltweite Länderranking ist acht Jahre alt, und eines der Top-vier-Länder steht nicht mehr unter US-Sanktionen. Wer eine aktuelle Antwort für seine eigenen Märkte braucht, muss sie selbst messen, aus dem Inneren dieser Märkte.
Quellen und Referenzen
- McDonald, Bernhard, Valenta, VanderSloot, Scott, Sullivan, Halderman und Ensafi, 403 Forbidden: A Global View of CDN Geoblocking, ACM Internet Measurement Conference 2018. Länderzahlen, Anbieterquoten und Cloudflare-Regeldaten.
- Ramesh, Sundara Raman, Virkud, Dirksen, Huremagic, Fifield, Rodenburg, Hynes, Madory und Ensafi, Network Responses to Russia’s Invasion of Ukraine in 2022: A Cautionary Tale for Internet Freedom, USENIX Security 2023. Gemessen März bis Mai 2022.
- Ablove, Chandrashekaran, Le, Sundara Raman, Ramesh, Oppenheimer und Ensafi, Digital Discrimination of Users in Sanctioned States: The Case of the Cuba Embargo, USENIX Security 2024. Gemessen 11. bis 22. Mai 2023.
- US Department of the Treasury, Office of Foreign Assets Control, Recent actions, 30 June 2025. Aufhebung der Syrien-Sanktionen mit Wirkung zum 1. Juli 2025.
- Amazon Web Services, Restrict the geographic distribution of your content. Geografische Beschränkungen von CloudFront.
- Cloudflare, IP Access rules. Länderblocking nach Plan.
- GitHub, GitHub and Trade Controls.
- European Commission, Short-term review of the Geo-blocking Regulation, 30. November 2020, und evaluation launch, 11. Februar 2025.
- Thurman, Sly, Fletcher und Wilczek, The International Communication Gazette, zusammengefasst vom Reuters Institute: Many EU visitors shut out of US sites in response to GDPR never came back, 19. Juli 2022.