Ein Proxy-Anbieter sitzt im Pfad Ihres Datenverkehrs. Ihre Scraper, Monitoring-Jobs und Testsuiten senden Anfragen über sein Netzwerk, oft mit angehängten Zugangsdaten, weshalb Ihr Sicherheitsteam vor der Freigabe eines residential proxy plan schriftliche Antworten verlangen wird.
Die meisten Unternehmen beginnen mit einem Standardfragebogen wie dem Shared Assessments SIG oder dem CAIQ der Cloud Security Alliance, einer Reihe von Ja- oder Nein-Fragen, die der Cloud Controls Matrix zugeordnet sind. Diese decken die Grundlagen jedes Anbieters ab. Ein Proxy-Netzwerk wirft einige Fragen auf, die dort nicht gestellt werden, vor allem woher die IPs stammen und was der Anbieter einsehen kann. Diese Checkliste behandelt beides, Abschnitt für Abschnitt, mit Beispielen dafür, wie eine gute Antwort aussieht.
Dies sind allgemeine Informationen, keine Rechts- oder Prüfungsberatung.
Warum ein Proxy-Anbieter eine eigene Prüfung verdient
Drei Dinge unterscheiden Proxy-Anbieter von einem typischen SaaS-Lieferanten.
- Sie sehen Ihren Datenverkehr. Bei HTTPS-Anfragen sieht der Anbieter die Hosts, mit denen Sie sich verbinden, sowie Timing und Volumen. Bei einfachem HTTP sieht er den Inhalt.
- Sie verwalten Zugangsdaten, mit denen Geld ausgegeben werden kann. Ein geleaktes Proxy-Passwort erlaubt es jemand anderem, Datenverkehr über Ihr Konto laufen zu lassen.
- Die Exit-IPs gehören jemand anderem. Residential- und Mobile-IPs stammen von den Geräten echter Menschen. Wie diese Geräte dem Netzwerk beigetreten sind, ist eine rechtliche und reputationsbezogene Frage, sowohl für Sie als auch für den Anbieter.
Der letzte Punkt ist nicht theoretisch. Im Mai 2024 gab das US-Justizministerium bekannt, das 911-S5-Botnet zerschlagen zu haben, einen Residential-Proxy-Dienst, der mit mehr als 19 Millionen eindeutigen IP-Adressen in Verbindung stand und durch die Verbreitung von Malware über VPN-Programme und gebündelte Installer aufgebaut wurde. Im Mai 2025 warnte das FBI, dass kriminelle Proxy-Dienste Proxys auf nicht mehr unterstützten Heimroutern installierten. Im Januar 2026 beschrieb die Google Threat Intelligence Group, wie sie das IPIDEA-Netzwerk störte, dessen Exit-Knoten nach ihren Beobachtungen von mehr als 550 Bedrohungsgruppen genutzt wurden, und kam zu dem Schluss, dass Behauptungen ethischer Beschaffung „durch transparente, prüfbare Nachweise der Nutzereinwilligung belegt werden müssen.”
Abschnitt 1: IP-Beschaffung und Einwilligung
- Wie werden Residential- und Mobile-IPs beschafft: über ein SDK in Partner-Apps, eine Bandbreiten-Sharing-App, ISP-Vereinbarungen?
- Können Sie den Einwilligungsbildschirm zeigen, den ein Geräteeigentümer sieht, und wie er diese widerruft?
- Prüfen Sie Partner-Apps, die Ihr SDK enthalten, und was passiert, wenn eine gegen die Regeln verstößt?
- Kaufen oder verkaufen Sie IPs von bzw. an andere Netzwerke weiter?
Gute Antwort: ein benanntes Beschaffungsmodell, ein einsehbarer Einwilligungsablauf und ein Auditprozess. Warnsignal: „unsere IPs sind ethisch beschafft” ohne Substanz dahinter. Unser Leitfaden zu wie Anbieter Residential-IPs beschaffen erklärt die Modelle und welche Nachweise zu erwarten sind.
Abschnitt 2: Was der Anbieter sieht und protokolliert
- Welche Anfragedaten protokollieren Sie: Quell-IP, Ziel-Host, Zeitstempel, Bytes, vollständige URLs?
- Wie lange wird jedes Protokoll aufbewahrt, und wer im Unternehmen hat Zugriff darauf?
- Untersuchen oder verändern Sie den Datenverkehr, etwa durch TLS-Interception?
- Geben Sie Protokolle an Dritte weiter, und unter welchem rechtlichen Verfahren?
Gute Antwort: eine feldweise Liste mit Aufbewahrungsfristen und keine TLS-Interception. Warnsignal: „wir protokollieren nichts” von einem Anbieter, der nach Bandbreite und Ziel abrechnet, da er irgendetwas zählen muss. Unser Beitrag dazu, ob Residential-Proxys sicher sind, behandelt, was ein Proxy sehen kann und was nicht.
Abschnitt 3: Zugriffskontrolle und Zugangsdaten
- Welche Authentifizierungsmethoden unterstützen Sie: Benutzername und Passwort, IP-Allowlisting, beides?
- Können wir separate Zugangsdaten pro Team, Projekt oder Umgebung erstellen und eine davon widerrufen, ohne die übrigen zu beeinträchtigen?
- Unterstützt das Dashboard Single Sign-on und Multi-Faktor-Authentifizierung mit Rollen?
- Gibt es ein Auditprotokoll für Kontoänderungen und Zurücksetzungen von Zugangsdaten?
Gute Antwort: projektbezogene Zugangsdaten mit eigenen Limits und MFA im Dashboard. Separate Sub-User pro Team oder Kunde machen es außerdem möglich zu erkennen, welcher Job was genutzt hat.
Abschnitt 4: Verschlüsselung bei der Übertragung
- Welche TLS-Versionen akzeptieren Dashboard, API und Proxy-Endpunkte?
- Kann die Verbindung von unserem Client zum Proxy selbst verschlüsselt werden?
Gute Antwort: TLS 1.2 oder neuer, mit Unterstützung für TLS 1.3. Die Leitlinie des NIST für US-Bundessysteme (SP 800-52 Rev. 2) setzt diese Grundlinie, und sie ist ein vernünftiger Maßstab für jeden Anbieter.
Abschnitt 5: Audits und Zertifizierungen
- Verfügen Sie über einen SOC-2-Bericht? Typ 1 oder Typ 2, welcher Zeitraum, und welche Trust-Services-Kategorien (Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit, Datenschutz)?
- Sind Sie nach ISO/IEC 27001:2022 zertifiziert, und was ist der Geltungsbereich?
- Wann war Ihr letzter unabhängiger Penetrationstest, und können wir eine Zusammenfassung sehen?
Gute Antwort: ein aktueller Typ-2-Bericht, dessen Geltungsbereich die Proxy-Infrastruktur einschließt, nicht nur die Abrechnungswebsite. Ein Typ-1-Bericht besagt nur, dass die Kontrollen zu einem bestimmten Zeitpunkt angemessen konzipiert waren; Typ 2 fügt eine Einschätzung hinzu, ob sie über einen Zeitraum hinweg wirksam funktioniert haben. Warnsignal: ein Zertifikat, dessen Geltungsbereich die Systeme ausschließt, die Sie nutzen werden.
Abschnitt 6: Datenschutz und Unterauftragsverarbeiter
- Werden Sie einen Auftragsverarbeitungsvertrag unterzeichnen? Nach Artikel 28 der DSGVO handelt ein Auftragsverarbeiter nur auf dokumentierte Weisung und benötigt die vorherige schriftliche Genehmigung des Verantwortlichen, bevor er einen weiteren Auftragsverarbeiter hinzuzieht.
- Welche Unterauftragsverarbeiter nutzen Sie (Hosting, Logging, Zahlungen), und in welchen Ländern?
- Führen Sie das nach Artikel 30 für Auftragsverarbeiter vorgeschriebene Verzeichnis von Verarbeitungstätigkeiten?
Gute Antwort: ein Standard-DPA, eine veröffentlichte Liste von Unterauftragsverarbeitern und eine Ankündigungsfrist für Änderungen. Für das umfassendere DSGVO-Bild siehe unseren Leitfaden zu Residential-Proxys und DSGVO-Konformität.
Abschnitt 7: Vorfälle und Missbrauch
- Wie und wie schnell werden Sie uns über einen Sicherheitsvorfall informieren, der unser Konto oder unsere Daten betrifft? Artikel 33 der DSGVO verlangt von Auftragsverarbeitern, Verantwortliche „unverzüglich” zu benachrichtigen, und von Verantwortlichen, die Behörde, wo machbar, innerhalb von 72 Stunden zu benachrichtigen.
- Wie gehen Sie mit Missbrauchsmeldungen zu Datenverkehr aus Ihrem Netzwerk um?
- Welche Ziele und Nutzungen blockieren Sie, und überprüfen Sie Kunden?
Gute Antwort: eine benannte Kontaktperson, eine vertraglich zugesicherte Benachrichtigungspflicht und eine schriftliche Acceptable-Use-Policy, die durchgesetzt wird. Missbrauchskontrollen schützen auch Sie: Jeder Kunde teilt sich den Ruf derselben IPs.
Abschnitt 8: Kontinuität und Ausstieg
- Welche Verfügbarkeit sagen Sie zu, wie wird sie gemessen, und was ist die Abhilfe, wenn Sie sie verfehlen?
- Wenn Sie die Leistung für uns einstellen, wie erhalten wir unsere Daten und schließen Zugangsdaten?
Der Fragebogen auf einer Seite
| Abschnitt | Fragen Sie nach | Warnsignal |
|---|---|---|
| Beschaffung | Einwilligungsablauf, Beschaffungsmodell, Partneraudits | „Ethisch beschafft” ohne Nachweis |
| Protokollierung | Feldliste und Aufbewahrung je Protokoll | „Wir protokollieren nichts” |
| Zugriff | Projektbezogene Zugangsdaten, MFA, Auditprotokoll | Ein geteiltes Passwort pro Unternehmen |
| Verschlüsselung | TLS 1.2+, 1.3 unterstützt | Dashboard oder API im Klartext |
| Audits | SOC 2 Typ 2 oder ISO 27001 mit Proxy-Geltungsbereich | Geltungsbereich ohne das Netzwerk |
| Datenschutz | DPA, Liste der Unterauftragsverarbeiter | Kein DPA für EU-Kunden |
| Vorfälle | Vertragliche Meldepflicht, Missbrauchsrichtlinie | Kein benannter Sicherheitskontakt |
Fazit
Ein Proxy-Anbieter verdient dieselbe Prüfung wie jeder Lieferant, der Ihren Datenverkehr berührt, plus einige Fragen, die nur Proxy-Netzwerke aufwerfen. Senden Sie Ihren Standardfragebogen, ergänzen Sie ihn um die oben genannten Abschnitte zu Beschaffung, Protokollierung und Missbrauch, und verlangen Sie Nachweise statt Behauptungen. Die Antworten sagen mehr über ein Netzwerk aus als seine Preisseite.
Quellen und Verweise
- US-Justizministerium, 911-S5-Botnet zerschlagen (29. Mai 2024): justice.gov
- Google Threat Intelligence Group, Störung des größten Residential-Proxy-Netzwerks (Januar 2026): cloud.google.com
- FBI, Cyber Criminal Proxy Services Exploiting End of Life Routers (Mai 2025): ic3.gov
- Cloud Security Alliance, Cloud Controls Matrix und CAIQ: cloudsecurityalliance.org
- Shared Assessments, SIG-Fragebogen: sharedassessments.org
- AICPA, SOC-2-Berichterstattung: aicpa-cima.com
- ISO/IEC 27001:2022: iso.org
- DSGVO, Artikel 28, 30 und 33: eur-lex.europa.eu
- NIST SP 800-52 Rev. 2: csrc.nist.gov