Wie IP-Geolokalisierung wirklich funktioniert (und wo sie an Grenzen stößt)

# Wie IP-Geolokalisierung wirklich funktioniert

Eine IP-Adresse ist keine Koordinate. Sie ist ein Routing-Identifier, den eine regionale Internet Registry (RIR) einer Organisation zugeteilt hat – und den diese Organisation über BGP im Internet bekanntmacht. Alles, was in einer Geolocation-Antwort darüber hinaus auftaucht, ist eine Ableitung aus genau diesen beiden Tatsachen.

Die vier Ebenen der Evidenz

• Registry-Daten. ARIN, RIPE NCC, APNIC, LACNIC und AFRINIC veröffentlichen, für welches Land eine IP-Zuteilung registriert wurde. Das ist das stabilste Signal – und der Grund, warum die Genauigkeit auf Länderebene meist sehr hoch ist.
• BGP-Routing. Das annoncierende ASN zeigt, welches Netz den Traffic tatsächlich transportiert. Ein in den Niederlanden registrierter IP-Block kann beispielsweise von einem Carrier in Brasilien announced werden.
• Netzwerkmessungen. Latenzen zwischen bekannten Messpunkten und einem Ziel grenzen ein, wo sich ein Host physisch befinden kann. Licht bewegt sich in Glasfaser grob mit 200 km pro Millisekunde; die Round-Trip-Time setzt der Entfernung also eine harte Obergrenze.
• Selbst gemeldete und abgeleitete Hinweise. rDNS-Hostnames (ae1.core1.fra3.example.net), Peering-Standorte an Internet Exchanges und vom Betreiber veröffentlichte Geofeeds.

Ein guter Anbieter führt alle vier Ebenen zusammen. Ein schwacher verlässt sich auf einen einzelnen, veralteten Registry-Dump.

Warum Länder einfach sind – und Städte schwierig

Die Genauigkeit auf Länderebene liegt typischerweise im hohen 90-Prozent-Bereich, weil Registry- und Routing-Daten meist zusammenpassen. Auf Stadtebene sieht die Sache anders aus:

• Mobilfunkanbieter leiten Nutzer über einige wenige nationale Gateways. Ein Smartphone in einer Kleinstadt kann deshalb so aussehen, als wäre es in der Hauptstadt.
• Große ISPs verwenden Adresspools über mehrere Ballungsräume hinweg und rotieren sie regelmäßig.
• Corporate VPNs und CGNAT bündeln Tausende Nutzer hinter einem einzigen Exit.

Behandeln Sie die Stadt daher als wahrscheinliche Metropolregion, nicht als Straßenadresse. Wenn eine Entscheidung unfair wäre, sobald die Stadt um 80 km danebenliegt, sollte sie nicht auf der Stadtangabe beruhen.

Was Sie mit dem Genauigkeitsradius anfangen sollten

Jeder seriöse Geolocation-Datensatz enthält einen Konfidenz- oder Genauigkeitsradius. Nutzen Sie ihn als Schwelle: Ist der Radius größer als das Gebiet, auf das sich Ihre Regel bezieht, sollten Sie auf das Land oder auf ein nicht geografisches Signal ausweichen. Wer den Radius stillschweigend ignoriert, blockiert am Ende schnell legitime Kunden.

Geolokalisierung und Anonymisierung sind zwei verschiedene Fragen

„Wo befindet sich diese IP?“ und „verschleiert der Nutzer seinen Standort?“ sind zwei getrennte Abfragen. Eine Datacenter-IP in Frankfurt kann geografisch korrekt und aus Verhaltenssicht gleichzeitig verdächtig sein. Guarda liefert deshalb sowohl Standortfelder als auch die Klassifizierung (residential, mobile, business, hosting, VPN, TOR) in einer Antwort – damit nie geraten werden muss, welcher Faktor eine Entscheidung ausgelöst hat.

Eine vernünftige Standard-Policy

• Inhalte auf Basis des Landes personalisieren.
• Preise und Steuern nach Rechnungsland berechnen, niemals nur nach IP.
• Städte nur für Analytics und sanfte Hinweise nutzen.
• Eskalationen an Klassifizierung und Risikoscore ausrichten, nicht an Entfernung.

Geolokalisierung ist ein hervorragender Kontext – aber ein schlechtes Urteil. Wer Regeln entsprechend baut, bekommt Daten, auf die er sich im Alltag verlassen kann.