Mobile-Carrier-IPs und Shared NAT: Warum eine Sperre Tausende treffen kann

Security-Teams verlassen sich häufig auf IP Intelligence, um schädliche Aktivitäten zu erkennen und einzudämmen. IP-Adressen zu blockieren, die mit Missbrauch in Verbindung stehen, gehört zum Standardrepertoire. Bei IP-Adressen von Mobilfunkanbietern kann eine vermeintlich präzise Sperre jedoch unbeabsichtigt Tausende legitime Nutzerinnen und Nutzer treffen. Der Grund ist der breite Einsatz von Carrier-Grade Network Address Translation (CGNAT).

Understanding CGNAT and Mobile Networks

Mobilfunknetzbetreiber stehen seit Jahren vor demselben Problem: IPv4-Adressen sind knapp. Zwar nimmt die Verbreitung von IPv6 weiter zu, doch große Teile des Internets basieren nach wie vor auf IPv4. Um ihre begrenzten öffentlichen IPv4-Adresspools effizient zu nutzen und gleichzeitig immer mehr mobile Endgeräte anzubinden, setzen Mobilfunkanbieter flächendeckend auf CGNAT.

How CGNAT Works

CGNAT ist im Grunde eine Erweiterung des klassischen NAT-Prinzips, nur in deutlich größerem Maßstab. Statt dass ein einzelner Heimrouter private IP-Adressen in eine öffentliche IP übersetzt, übernehmen im Kernnetz des Mobilfunkanbieters große NAT-Systeme diese Aufgabe. Sie werden häufig als „LBs“ oder „LSN“-Geräte bezeichnet, wobei LSN für Large Scale NAT steht. Diese Systeme übersetzen viele private, nicht routbare IPv4-Adressen, die einzelnen mobilen Geräten zugewiesen sind, in einen deutlich kleineren Pool öffentlicher IPv4-Adressen, bevor der Traffic das Netz des Mobilfunkanbieters in Richtung Internet verlässt.

Aus Sicht eines externen Dienstes können daher Hunderte oder sogar Tausende unterschiedliche mobile Geräte innerhalb eines bestimmten Zeitraums von derselben öffentlichen IPv4-Adresse zu kommen scheinen. Eine einzelne öffentliche IP-Adresse wird also gleichzeitig oder in schneller Abfolge von sehr vielen Teilnehmern geteilt.

The Security Implications of Shared Mobile IPs

Diese geteilte IP-Umgebung stellt Security-Teams und IP-Intelligence-Plattformen vor besondere Herausforderungen:

• Schwierige Zuordnung: Wenn Missbrauch von einer CGNAT-IP ausgeht, kann ein externer Dienst nicht zuverlässig bestimmen, welches konkrete Gerät oder welcher konkrete Nutzer verantwortlich war. Alle Aktivitäten über diese geteilte öffentliche IP wirken wie Traffic aus einer einzigen Quelle.
• Mehr False Positives: Genau hier liegt das Kernproblem. Wenn ein Nutzer hinter einer geteilten CGNAT-IP schädliche Aktivitäten ausführt, etwa Botnet-Traffic, Credential Stuffing, Scraping, Spam oder betrügerische Registrierungen, und diese öffentliche IP anschließend gesperrt wird, trifft die Sperre auch alle anderen legitimen Nutzerinnen und Nutzer, die dieselbe IP gerade verwenden oder kurz zuvor verwendet haben. Das kann zu einer sehr großen Zahl an False Positives führen.
• Kurzlebige Zuweisungen: Mobile IP-Adressen sind oft hochdynamisch. Nutzer erhalten andere IPs, wenn sie zwischen Funkzellen wechseln, ihr Gerät neu starten oder einfach nach einiger Zeit neu eingebucht werden. Langfristige Sperren einzelner IPs sind gegen persistente Angreifer daher nur begrenzt wirksam und erhöhen zugleich das Risiko, später unbeteiligte Nutzer zu blockieren.

Identifying Mobile Carrier IPs

IP-Intelligence-Plattformen liefern mehrere Signale, mit denen sich IPs von Mobilfunkanbietern erkennen und mögliche CGNAT-Szenarien einordnen lassen:

• ASN (Autonomous System Number): Mobilfunkanbieter betreiben in der Regel eigene ASNs. Über die ASN einer IP lässt sich erkennen, ob sie zu einem bekannten Mobilfunknetz gehört, etwa AT&T Mobility, Vodafone, China Mobile oder einem anderen Carrier. Das ist ein starkes Indiz.
• rDNS Hostname: Reverse-DNS-Abfragen für mobile IPs zeigen häufig generische Hostnames, die auf ein Mobilfunknetz hindeuten, zum Beispiel dialup-123-45-67-89.mobile.att.net oder pool-123-45-67-89.dynamic.vodafone.co.uk. Solche Einträge unterscheiden sich meist deutlich von statischen Server-rDNS-Records oder klassischen Residential-ISP-Mustern.
• Hosting Range Type: IP-Intelligence-Daten klassifizieren IP-Bereiche. Mobile Ranges werden oft explizit als mobile oder cellular markiert und damit von datacenter, residential, business oder education abgegrenzt.
• Hohe Nutzerzahl und dynamisches Verhalten: Plattformen wie Guarda können das typische Verhalten einer IP beobachten und auswerten. Eine IP mit ungewöhnlich vielen unterschiedlichen User-Agents, schnellen Geolokationswechseln innerhalb kurzer Zeit oder sehr hohem Request-Volumen in einem engen Zeitfenster kann auf eine geteilte CGNAT-Umgebung hinweisen.

Wichtig ist: Eine Klassifizierung als datacenter kann sich in Einzelfällen mit Infrastruktur von Mobilfunkanbietern überschneiden, insbesondere bei Komponenten im Core Network. Nutzernahe IP-Bereiche sind in der Regel jedoch klarer abgegrenzt.

Mitigating the Risk: Strategies for Security Engineers

Mobile IPs grundsätzlich nicht zu blockieren, ist keine realistische Option. Auch aus Mobilfunknetzen kommen echte Angriffe. Das Ziel muss daher sein, False Positives zu minimieren und Missbrauch trotzdem wirksam zu begrenzen.

1. Granular Risk Assessment

Statt eine IP allein auf Basis ihres Risk Scores pauschal zu sperren, sollten weitere Signale einbezogen werden. Eine IP mit einem high risk score, die zugleich als mobile carrier IP mit hosting range: mobile und einem auf dynamische Vergabe hinweisenden rDNS hostname erkannt wird, sollte anders behandelt werden als eine statische Datacenter-IP mit vergleichbarem Risk Score.

Plattformen wie Guarda liefern einen umfassenden risk score, der verschiedene Faktoren bündelt, etwa TOR Exit, proxy, VPN oder aktuelle Abuse-Meldungen. Dieser Wert ist ein wichtiger Hinweis, sollte aber immer mit Kontext zur Herkunft der IP kombiniert werden.

2. Rate Limiting and Behavioral Analysis

Statt sofort zu blockieren, empfiehlt sich bei verdächtigen Aktivitäten von mobilen IPs oft ein strengeres Rate Limiting. Sinnvoll ist die Kombination mit Verhaltensanalyse:

• Session-Level-Tracking: Bewerten Sie Nutzerverhalten innerhalb einer Session, nicht nur anhand der IP-Adresse. Wenn eine bestimmte Session von einer mobilen IP verdächtige Muster zeigt, etwa viele fehlgeschlagene Logins in kurzer Zeit, ungewöhnliche Navigation oder bot-typisches Timing, kann gezielt diese Session blockiert oder mit strengeren Prüfungen belegt werden.
• Account-Reputation: Wenn die mobile IP mit einem bestehenden Konto verknüpft ist, sollte die Reputation dieses Kontos einbezogen werden. Ein neues Gerät oder ein ungewöhnlicher Login-Standort über eine mobile IP bei einem etablierten, vertrauenswürdigen Account spricht eher für eine Step-up-Authentifizierung, etwa MFA, als für eine harte Sperre.

3. Progressive Security Measures

Statt binär zwischen Blockieren und Erlauben zu entscheiden, sind abgestufte Maßnahmen oft die bessere Wahl:

• CAPTCHA/reCAPTCHA: Bei verdächtigen Aktivitäten von mobilen IPs können Challenges vorgeschaltet werden. Das hält Bots häufig wirksam ab, ohne menschliche Nutzer pauschal auszusperren.
• JavaScript challenges: Clientseitige JavaScript-Analysen können automatisierte Browser oder Headless-Umgebungen erkennen, wie sie von Bots häufig genutzt werden.
• Temporary blocks: Für kleinere Verstöße bieten sich kurzfristige Sperren an, etwa 5-15 Minuten. In dieser Zeit kann die IP neu vergeben werden, legitime Nutzer können es später erneut versuchen, und Angreifer verlieren oft den unmittelbaren Nutzen.

4. Leverage IP Intelligence Hosting Range and TOR Exit Status

Auch wenn mobile IPs besondere Vorsicht erfordern, deuten bestimmte hosting range-Klassifizierungen wie datacenter oder anonymous proxy, sofern sie auf der verwendeten Plattform klar von mobile getrennt sind, sowie ein expliziter TOR exit-Status häufig auf eine höhere Missbrauchswahrscheinlichkeit hin. Solche Quellen können in vielen Fällen konsequenter blockiert werden. Entscheidend ist die saubere Unterscheidung zwischen anonymisierender Infrastruktur und geteilten mobilen IP-Adressen.

Conclusion

Mobile Carrier IPs hinter CGNAT sind eine echte Herausforderung für die Netzwerksicherheit. Eine einfache IP-Sperre, die gegen statische Bedrohungen sinnvoll sein kann, erzeugt in Mobilfunknetzen schnell erhebliche Reibung für legitime Nutzerinnen und Nutzer. Wer die zugrunde liegende Netzarchitektur versteht und fortgeschrittene IP-Intelligence-Signale wie ASN, rDNS, hosting range und Risk Scores von Plattformen wie Guarda nutzt, kann deutlich feinere und weniger störende Schutzmechanismen umsetzen. So lässt sich Missbrauch wirksam eindämmen, ohne die User Experience unnötig zu beschädigen. Für eine schnelle Prüfung einzelner IPs steht auf der guarda.net-Homepage ein kostenloses IP-Lookup-Tool bereit.