Eine Kennzahl zur Pool-Größe sagt etwas über den Umfang aus, nicht über die Herkunft. Für Einkaufs-, Sicherheits- und Compliance-Teams kann die Quelle der residentiellen IP-Kapazität darüber entscheiden, ob ein Proxy-Dienst ein vertretbarer Lieferant oder ein unkontrolliertes Cyberrisiko ist.
Zwei Anbieter können beide Zugang zu Millionen residentieller IPs verkaufen. Der eine rekrutiert Teilnehmer möglicherweise durch klare, widerrufbare Zustimmung und kontrollierte Partnerschaften. Ein anderer beschafft sich Kapazität möglicherweise über undurchsichtige Software Development Kits, irreführende Offenlegungen oder Malware. Für den Käufer können sich die Produkte ähnlich anfühlen, bis eine Sicherheitsprüfung, eine Strafverfolgungsmaßnahme oder eine schlechte IP-Reputation den Unterschied offenlegt.
Dieses Briefing befasst sich mit residentiellen Proxys aus Malware-Quellen und den Belegen, die Unternehmensteams vor einer Beschaffung einfordern sollten.
Wichtige Erkenntnisse
- Der Bestand an residentiellen Proxys kann über transparente Opt-in-Programme, mehrdeutig offengelegte Proxyware oder schlicht durch Malware und Botnetze rekrutiert werden.
- Wissenschaftliche Forschung und die Strafverfolgung von 911 S5 zeigen, dass Netzwerke aus kompromittierten Geräten in sehr großem Umfang betrieben wurden.
- Eine echte Einwilligung ist notwendig, aber nicht ausreichend: Anbieter benötigen auch starke Missbrauchskontrollen, Überwachung und Partner-Governance.
- Ein ungewöhnlich niedriger Preis ist kein Beweis für Fehlverhalten, aber undurchsichtige Wirtschaftlichkeit und ausweichende Antworten zur Herkunft sollten eine tiefere Due-Diligence-Prüfung auslösen.
- Unternehmenskäufer sollten die Beschaffung residentieller Proxys als eine Abhängigkeit in der Cyber-Lieferkette bewerten, nicht nur als reinen Konnektivitätskauf.
Pool-Größe ist keine Herkunft
Ein residentieller Proxy leitet Datenverkehr über eine IP-Adresse, die von einem Internetdienstanbieter einem privaten Netzwerk oder Gerät zugewiesen wurde. Diese Netzwerkposition kann legitime Anwendungsfälle unterstützen, etwa lokalisierte Recherche im öffentlichen Web, Preisüberwachung, Werbeverifikation und die Erfassung von Suchdaten. Aber die Bezeichnung „residentiell“ sagt nichts darüber aus, wie der Endpunkt dem Netzwerk beigetreten ist, was dem Teilnehmer mitgeteilt wurde oder welche Kontrollen den Datenverkehr regeln.
Diese Unterscheidung ist wichtig, weil der Endpunkt keine abstrakte Cloud-Ressource ist. Es handelt sich um eine echte Verbindung, die einer Person, einem Haushalt oder einer Organisation gehört. Einkaufsteams müssen daher sowohl die Beschaffungskette als auch die begleitenden Betriebskontrollen verstehen. Die richtige Frage lautet nicht nur „Wie viele IPs befinden sich im Pool?“, sondern „Wie sind diese IPs dorthin gelangt, und welche Belege machen diese Antwort vertretbar?“
Drei Beschaffungsmodelle hinter demselben Produktetikett
| Beschaffungsmodell | Wie Kapazität rekrutiert wird | Was Käufer prüfen sollten |
|---|---|---|
| Transparentes Opt-in | Teilnehmer erhalten eine klare Benachrichtigung, treten aktiv bei, verstehen den Wertaustausch und können ohne unnötige Hürden aussteigen. | Einwilligungsnachweise, Austrittsprozess, Partner-Governance, Kommunikation mit Teilnehmern und Missbrauchskontrollen. |
| Proxyware oder SDK-Monetarisierung | Ein Relay-SDK ist in eine Anwendung oder einen Dienst eingebettet. Der Nutzer erhält möglicherweise eine Zahlung, kostenlose Funktionen oder einen anderen Vorteil, aber die Qualität der Offenlegung und Zustimmung kann stark variieren. | Genauer Wortlaut der Einwilligung, separates Opt-in, App- oder SDK-Partnerverträge, Benachrichtigungsverhalten, Prüfungsrechte und Widerrufskontrollen. |
| Rekrutierung über Malware oder Botnetz | Geräte werden über bösartige Software, raubkopierte Anwendungen, verdeckte Hintertüren oder Malware eingebunden, die bereits vor dem Kauf installiert wurde, bei nicht zertifizierten Geräten wie TV-Streaming-Boxen, ohne eine echte Erlaubnis. | Es sollte kein legitimer Beleg existieren. Jeder Hinweis auf eine verdeckte Rekrutierung sollte als kritischer Befund im Lieferantenrisiko behandelt werden. |
Die mittlere Kategorie ist der Punkt, an dem vereinfachte Etiketten wie „ethisch versus unethisch” oft nicht mehr greifen. Ein Nutzer kann technisch auf „Zustimmen” klicken und trotzdem verwirrende, gebündelte oder unvollständige Informationen erhalten. Eine belastbare Prüfung sollte testen, ob die Einwilligung spezifisch, informiert, sichtbar und tatsächlich widerrufbar ist, statt jeden Zustimmungsbildschirm als ausreichend zu betrachten. Viele Peer-to-Peer-Netzwerke rekrutieren auf diese Weise; was ein Peer-to-Peer-Residential-Proxy-Netzwerk ist erklärt, wie das Modell funktioniert.
Was die Forschung über kompromittierte und mehrdeutig rekrutierte Netzwerke zeigt
Die IEEE-Studie Resident Evil: Understanding Residential IP Proxy as a Dark Service aus dem Jahr 2019 identifizierte etwa sechs Millionen residentielle Proxy-IPs in mehr als 230 Ländern und 52.000 Internetdienstanbietern. Die Forscher berichteten, dass viele beobachtete Proxys offenbar auf wahrscheinlich kompromittierten Hosts liefen, darunter IoT-Geräte, und verknüpften einige Hosts mit Phishing, Malware-Hosting und anderen illegalen Aktivitäten.
Eine NDSS-Studie von 2021 zu mobilen Proxy-Netzwerken fand 1.701 Android-Pakete in 963 Anwendungen, die Proxy-SDKs enthielten, mit insgesamt mindestens 300 Millionen Installationen. Die Forscher stellten fest, dass Einwilligungshinweise verwirrend sein konnten, und dokumentierten ein SDK, das Datenverkehr weiterleitete, ohne eine Benachrichtigung anzuzeigen. Sie berichteten außerdem, dass 48,43 % der Pakete von mindestens fünf Antivirenprogrammen als schädlich markiert wurden und dass 86,60 % der Anwendungen bis Oktober 2019 aus Google Play entfernt worden waren.
Neuere Forschung fügt eine wichtige Einschränkung hinzu: Selbst ein freiwillig installiertes Netzwerk kann erhebliches nachgelagertes Risiko tragen, wenn die Kundenaktivität nicht kontrolliert wird. Eine Studie von 2024 betrieb acht vom Nutzer installierte residentielle Proxy-Anwendungen über 7,5 Monate und analysierte 368 GB an weitergeleitetem Datenverkehr. Ihre Fallstudien deuteten auf eine wahrscheinliche Nutzung für Betrug auf Dating-Plattformen, phishingbezogene Aktivitäten und Web-Scraping hin, was die Notwendigkeit von Missbrauchserkennung und anbieterseitigen Kontrollen zusätzlich zur Zustimmung der Teilnehmer unterstreicht.
Einwilligung ist eine Schwellenkontrolle, nicht das gesamte Kontrollumfeld. Ein vertretbares residentielles Netzwerk benötigt außerdem Partneraufsicht, Durchsetzung der zulässigen Nutzung, Verkehrsüberwachung, Vorfallreaktion und einen Prozess zur Entfernung missbrauchter oder kompromittierter Endpunkte.
Fallstudie: Was das Botnetz 911 S5 offenbarte
Der Fall 911 S5 ist das klarste öffentliche Beispiel für einen malware-gespeisten residentiellen Proxy-Dienst, der in globalem Maßstab betrieben wurde. Im Mai 2024 kündigte das US-Justizministerium die Zerschlagung des Dienstes und die Festnahme seines mutmaßlichen Administrators an. Laut Anklageschrift und offiziellen Ankündigungen wurde Malware über kostenlose VPN-Anwendungen, raubkopierte Software und Pay-per-Install-Pakete verbreitet, wodurch Zugang zu mehr als 19 Millionen eindeutigen IP-Adressen in mehr als 190 Ländern entstand.
Das FBI beschrieb 911 S5 als einen der größten residentiellen Proxy-Dienste und Botnetze und erklärte, er sei aus kompromittierten Geräten aufgebaut worden, deren Eigentümer nicht wussten, dass ihre Verbindungen als Relais genutzt wurden. Die Behörden verknüpften den Dienst mit bestätigten Opferverlusten in Milliardenhöhe, während die Anklageschrift behauptet, dass der Betreiber rund 99 Millionen US-Dollar aus dem Verkauf des Zugangs zu den gekaperten IP-Adressen erhielt.
Der Fall zeigt auch, warum das Beschaffungsrisiko nicht bei der technischen Leistung endet. Das US-Finanzministerium sanktionierte Einzelpersonen und Organisationen, die mit dem Netzwerk in Verbindung standen. Sobald ein Anbieter oder ein verbundenes Unternehmen Gegenstand von Strafverfahren oder Sanktionen wird, müssen Kunden möglicherweise erklären, welche Sorgfaltsprüfung sie durchgeführt haben, ob sie nach öffentlich gewordenen Maßnahmen weiter mit dem Anbieter Geschäfte gemacht haben und wie schnell sie einen kritischen Lieferanten ersetzen können.
Vier Risiken, die auf den Käufer übergehen können
1. Datenschutz- und Rechtsrisiko
Die rechtliche Bewertung hängt von den Daten, den Rollen, den Rechtsordnungen und der vertraglichen Gestaltung ab. IP-Adressen können unter bestimmten Umständen personenbezogene Daten darstellen, und Organisationen, die Lieferanten zur Verarbeitung personenbezogener Daten einsetzen, müssen möglicherweise die Rechtsgrundlage, Transparenz, Sicherheit, Verträge und laufende Lieferantensicherung bewerten. Das britische Information Commissioner’s Office erklärt, dass Verantwortliche prüfen müssen, ob Auftragsverarbeiter ausreichende Garantien bieten, und die Einhaltung fortlaufend überwachen sollten.
Das bedeutet nicht, dass jede Proxy-Transaktion dieselbe rechtliche Belastung erzeugt. Es bedeutet jedoch, dass ein Käufer vage Angaben zur Herkunft nicht akzeptieren sollte, wenn der Dienst möglicherweise private Geräte, Netzwerkkennungen oder grenzüberschreitende Datenflüsse betrifft. Wo Teilnehmer keine echte Erlaubnis erteilt haben, kann das Beschaffungsmodell ernsthafte Bedenken hinsichtlich Datenschutz, Verträgen und Prüfbarkeit aufwerfen. Organisationen sollten sich auf Grundlage ihres eigenen Anwendungsfalls beraten lassen. Unsere eigene Betrachtung dazu findet sich unter residentielle Proxys und DSGVO-Konformität.
2. Cyber- und Lieferkettenrisiko
Ein Proxy-Anbieter wird Teil der digitalen Lieferkette des Kunden: Er verarbeitet Netzwerkverkehr, Zugangsdaten und Routing-Metadaten und kann von SDK-Partnern oder anderen vorgelagerten Lieferanten abhängen. Das UK National Cyber Security Centre empfiehlt Organisationen, zu verstehen, wer ihre Lieferanten sind, die von ihnen ausgehenden Risiken zu bewerten und Vertrauen darin zu gewinnen, dass angemessene Kontrollen vorhanden sind.
Für einen Kauf residentieller Proxys bedeutet das, zu fragen, wie weit der Anbieter seine eigene Lieferkette zurückverfolgen kann, wie Partner bewertet werden, welchen technischen Zugang Dritte behalten und wie Vorfälle untersucht werden. Ein Anbieter, der seine Endpunktquellen nicht abbilden kann, verlangt vom Kunden, eine nicht messbare Abhängigkeit zu akzeptieren. Investmentfirmen stehen vor derselben Frage bezüglich ihrer Datenanbieter; die Compliance-Ebene für alternative Daten zeigt, wie sie das dokumentieren.
3. Betriebliches Risiko und IP-Reputationsrisiko
Ein kompromittierter Endpunkt kann bereits eine Missbrauchshistorie, eine Blocklist-Exposition oder einen Ruf für verdächtige Aktivitäten tragen. In der Praxis kann das mehr CAPTCHAs, mehr Wiederholungsversuche, niedrigere Abschlussraten und höhere Bandbreitenkosten pro nutzbarem Ergebnis bedeuten. Deshalb ist die Herkunft auch eine Qualitätsfrage. Unser Leitfaden zur IP-Reputation erklärt, wie Missbrauchshistorie und schlechtes Pool-Management beeinflussen können, ob eine ansonsten residentielle IP von Zielseiten als vertrauenswürdig eingestuft wird.
4. Ermittlungs-, Sanktions- und Reputationsrisiko
Eine Strafverfolgungsmaßnahme kann Infrastruktur, Konten und Transaktionsaufzeichnungen einer Untersuchung aussetzen. Das macht nicht jeden Kunden schuldig, kann aber erheblichen Prüf-, Rechts- und Reputationsaufwand verursachen. Sanktionen schaffen ein zusätzliches Anliegen: Organisationen benötigen Screening- und Eskalationsprozesse, damit sie erkennen und reagieren können, wenn ein Lieferant, Eigentümer oder verbundenes Unternehmen benannt wird.
Preis ist ein Due-Diligence-Signal, kein Beweis
Ein ungewöhnlich niedriger Preis beweist nicht, dass ein Netzwerk aus Malware stammt. Skalierung, Automatisierung, kommerzielle Strategie und langfristige Verträge können die Kosten senken. Aber legitime residentielle Kapazität hat trotzdem eine eigene Wirtschaftlichkeit: Teilnehmer oder Vertriebspartner benötigen einen klaren Wertaustausch, Endpunkte müssen überwacht werden, und der Anbieter muss Missbrauchsprävention, Support und Netzwerkpflege finanzieren.
Die nützliche Beschaffungsfrage lautet daher nicht „Ist dieser Preis zu günstig, um wahr zu sein?“, sondern „Kann der Anbieter die Wirtschaftlichkeit und Kontrollen hinter diesem Preis erklären?“ Ein vertretbarer Lieferant sollte beschreiben können, wie Teilnehmer rekrutiert werden, was sie erhalten, wie Einwilligung erfasst wird, wie Partner gesteuert werden und wie missbräuchlicher Datenverkehr erkannt wird. Lautet die Antwort einfach „proprietär“, verbleibt das Risiko beim Käufer.
Eine Due-Diligence-Checkliste für die Beschaffung residentieller Proxys
Die folgenden Fragen verwandeln eine allgemeine ethische Behauptung in Belege, die Einkaufs-, Sicherheits- und Compliance-Teams bewerten können. Die Prüfungstiefe sollte im Verhältnis zum Anwendungsfall und zur Sensibilität der betroffenen Daten oder Systeme stehen.
| Frage | Einzufordernde Belege | Mögliche Warnsignale |
|---|---|---|
| Wie werden Endpunkte rekrutiert? | Ein schriftliches Beschaffungsmodell, Partnerkategorien, der Teilnehmerweg und geografische Einschränkungen. | Der Anbieter kann seine Lieferkette nicht über „globale Partner“ hinaus erklären. |
| Wie sieht die Einwilligung aus? | Der tatsächliche Hinweis, separates Opt-in, Versionshistorie, Austrittsprozess und Support-Weg für Teilnehmer. | Die Einwilligung ist in lange Bedingungen eingebettet, vorausgewählt, schwer zu widerrufen oder nicht durchgängig sichtbar. |
| Welchen Wert erhält der Teilnehmer? | Eine klare Beschreibung von Zahlung, Dienstvorteil oder anderem Austausch, einschließlich wer ihn finanziert. | Keine schlüssige Erklärung, warum Geräteeigentümer teilnehmen würden. |
| Wie werden SDK- und Vertriebspartner gesteuert? | Verträge, Prüfungsrechte, technische Einschränkungen, Zulassungskriterien und ein aktuelles Verzeichnis der Unterlieferanten. | Uneingeschränkte Unterverteilung oder Unfähigkeit anzugeben, wo das SDK eingebettet ist. |
| Wie wird Kundenmissbrauch kontrolliert? | Regeln zur zulässigen Nutzung, Kundenrisikobewertung, Verkehrsüberwachung, Ratenkontrollen, Untersuchungs- und Kündigungsverfahren. | Ein Vertriebsmodell „ohne Fragen zu stellen“ oder keine Belege für Durchsetzung. |
| Wie wird die Endpunktqualität verwaltet? | Überwachung der IP-Reputation, Blocklist-Prüfungen, Ausmusterung von Endpunkten, Vorfallskennzahlen und Abhilfeprozesse. | Verbrannte oder verdächtige Endpunkte bleiben aktiv, weil die Pool-Größe über die Qualität gestellt wird. |
| Welche unabhängige Absicherung besteht? | Relevante Prüfberichte, Zertifizierungen, Zusammenfassungen von Penetrationstests, Richtlinien und Sicherheitskontakte. | Logos ohne Umfang, Datum oder unterstützende Dokumentation. |
| Was geschieht bei einem Vorfall? | Vorfallreaktionsplan, Benachrichtigungszusagen, Beweissicherung, Sanktionsscreening und Ausstiegs- oder Kontinuitätsregelungen. | Kein benannter Verantwortlicher, keine Benachrichtigungsfrist und kein Prozess zur Isolierung betroffener Endpunkte. |
Wie vertretbare Beschaffung aussieht
Ein vertretbares residentielles Proxy-Netzwerk sollte fünf Dinge nachweisen können:
- Nachvollziehbare Herkunft. Der Anbieter kann erklären, woher Endpunkte stammen und wie weit er in seine Partnerkette blicken kann.
- Echte Teilnahme. Menschen erhalten klare Informationen, treffen eine aktive Entscheidung und können aussteigen.
- Aktive Missbrauchs-Governance. Beschaffungskontrollen werden durch Kundenkontrollen, Überwachung und Durchsetzung ergänzt.
- Unabhängige Absicherung. Sicherheits- und Compliance-Behauptungen werden durch aktuelle, abgegrenzte Belege gestützt.
- Betriebliche Transparenz. Der Anbieter kann Vorfälle, Endpunktqualität, Dienstkontinuität und Korrekturmaßnahmen erklären.
Bei Shifter sind wir der Ansicht, dass Käufer von jedem Anbieter, den sie bewerten, einschließlich uns, dokumentierte Antworten auf diese Fragen erwarten sollten. „Ethisch beschafft“ sollte kein Marketingetikett sein, das das Gespräch beendet. Es sollte der Beginn einer evidenzbasierten Prüfung sein. Für den breiteren Governance-Kontext siehe unseren Leitfaden zu ethisch beschafften residentiellen Proxys für die KI-Datenerfassung.
Fazit
Die Pool-Größe beantwortet, wie viel Kapazität ein Anbieter zu bieten behauptet. Die Herkunft beantwortet, ob ein Unternehmen den Kauf verteidigen kann. Forschung zu kompromittierten und mehrdeutig rekrutierten Netzwerken zeigt zusammen mit dem Fall 911 S5, dass die Beschaffung residentieller Proxys in dasselbe Gespräch gehört wie Absicherung der Cyber-Lieferkette, Due-Diligence bei Auftragsverarbeitern und betriebliche Widerstandsfähigkeit.
Der Markt braucht kein weiteres ungeprüftes „ethisches“ Gütesiegel. Er braucht einen Beschaffungsstandard: klare Rekrutierung, echte Einwilligung, Partnerverantwortung, Missbrauchskontrollen und Belege, die Rückfragen standhalten. Eine unerklärte Preislücke sollte diese Fragen auslösen, nicht ersetzen.
Wenn Ihr Einkaufs-, Sicherheits- oder Compliance-Team residentielle Proxy-Infrastruktur bewertet, sprechen Sie mit dem Shifter-Team über Netzwerkkontrollen, Bereitstellungsanforderungen und die zur Prüfung verfügbare Absicherungsdokumentation.
Dieses Briefing dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar.
Häufig gestellte Fragen
Was sind residentielle Proxys aus Malware-Quellen?
Es handelt sich um residentielle Proxy-Endpunkte, die aus Geräten entstehen, die ohne echte Erlaubnis eingebunden wurden, typischerweise über Malware, verdeckte Hintertüren oder täuschende Softwareverteilung. Der Käufer erhält Zugang zu einer residentiellen IP, aber der Geräteeigentümer hat der Bereitstellung der Verbindung nicht wissentlich zugestimmt.
Sind günstige residentielle Proxys immer malware-basiert?
Nein. Ein niedriger Preis kann aus Skalierung, Effizienz oder kommerzieller Strategie resultieren. Er sollte zu einem Due-Diligence-Signal werden, wenn der Anbieter nicht erklären kann, wie Teilnehmer rekrutiert, vergütet, informiert und geschützt werden.
Was war das Botnetz 911 S5?
911 S5 war ein residentieller Proxy-Dienst, der aus mit Malware kompromittierten Geräten aufgebaut wurde. US-Behörden erklärten, er habe mehr als 19 Millionen IP-Adressen in mehr als 190 Ländern umfasst und groß angelegte Cyberkriminalität ermöglicht. Das DOJ kündigte im Mai 2024 seine Zerschlagung und die Festnahme seines mutmaßlichen Administrators an.
Macht die Zustimmung des Nutzers ein residentielles Proxy-Netzwerk sicher?
Nicht allein. Echte Einwilligung ist eine wesentliche Beschaffungskontrolle, aber ein Anbieter muss auch SDK-Partner steuern, Kundenaktivität überwachen, Regeln zur zulässigen Nutzung durchsetzen, Missbrauch untersuchen und kompromittierte oder verbrannte Endpunkte entfernen.
Welche Belege sollte ein Unternehmenskäufer einfordern?
Fragen Sie nach dem Beschaffungsmodell, dem Einwilligungs- und Austrittsprozess der Teilnehmer, Partner-Governance-Kontrollen, dem Missbrauchsüberwachungsprozess, Endpunktqualitätskontrollen, unabhängigen Absicherungsnachweisen, Informationen zu Unterlieferanten und Zusagen zur Vorfallreaktion.
Kann die Nutzung residentieller Proxys konform sein?
Sie kann legitime geschäftliche Anwendungen unterstützen, aber die Konformität hängt vom Beschaffungsmodell, der beabsichtigten Aktivität, den betroffenen Daten, den Rechtsordnungen, den Verträgen und den technischen Kontrollen ab. Organisationen sollten ihre eigene Rolle bewerten und gegebenenfalls Rechtsberatung einholen.
Lässt sich an einer IP-Adresse erkennen, ob sie sich auf einem kompromittierten Gerät befindet?
In der Regel nicht. IP-Reputations- und Blocklist-Prüfungen können zeigen, dass eine Adresse missbraucht wurde, aber nicht, wie das Gerät dem Netzwerk beigetreten ist. Die Herkunft ist eine Frage an den Anbieter, weshalb sich die Due-Diligence-Checkliste auf Belege des Lieferanten konzentriert.
Ist Proxyware dasselbe wie Malware?
Nein. Proxyware wird mit einer Form der Nutzerzustimmung installiert, oft gegen Bezahlung oder kostenlose Funktionen, während Malware Geräte ohne echte Erlaubnis einbindet. Das Risiko bei Proxyware liegt darin, wie klar und widerrufbar diese Zustimmung tatsächlich ist.