Multi-Accounting erkennen: Doppelte Konten in gemeinsam genutzten Netzwerken identifizieren

Multi-Accounting ist für viele Online-Plattformen ein ernstes Problem – vom E-Commerce über Gaming bis hin zu Finanzdiensten. Es unterläuft Fair-Use-Regeln, erleichtert Betrug und verfälscht Analysen. Häufig werden zur Erkennung einzelne Nutzermerkmale wie E-Mail-Adressen oder Device-IDs herangezogen. Diese lassen sich jedoch vergleichsweise leicht umgehen. Robuster ist ein Ansatz, der Signale auf Netzwerkebene auswertet – insbesondere dann, wenn mehrere Konten aus derselben oder über gemeinsam genutzte Netzwerkinfrastruktur entstehen.

Dieser Artikel zeigt technische Strategien, mit denen sich Multi-Accounting anhand gemeinsamer Netzwerkmerkmale erkennen lässt – und wie man legitime Nutzung von verdächtigem Verhalten trennt.

The Problem: Obfuscation Through Shared Infrastructure

Akteure, die mehrere Konten anlegen, versuchen häufig, ihre tatsächliche Herkunft zu verschleiern. Dafür nutzen sie verschiedene Formen gemeinsam genutzter Netzwerkinfrastruktur:

• Public Proxies/VPNs: Gängige Werkzeuge, um IP-Adressen zu rotieren und den Ursprung zu verbergen.
• TOR Exits: Anonymisierungsnetzwerke, die Traffic über mehrere Relays leiten und am Ende über einen Exit Node ausleiten, den viele Nutzer gemeinsam verwenden.
• Residential Proxies: IPs, die eigentlich privaten Haushalten zugeordnet sind, aber von einem Proxy-Dienst kontrolliert werden. Sie sind besonders schwer zu erkennen, weil sie auf den ersten Blick legitim wirken.
• Datacenter IPs: Nicht-private IPs, die typischerweise für Hosting, Cloud-Dienste oder großflächige Automatisierung genutzt werden. Für manche Anwendungsfälle sind sie legitim, bei einzelnen Nutzerkonten können sie jedoch ein Warnsignal sein.
• Shared WiFi Networks: Öffentliche Hotspots, Firmennetzwerke oder Bildungseinrichtungen, in denen viele legitime Nutzer dieselbe externe IP-Adresse teilen.

Ziel ist es, harmlose gemeinsame IP-Nutzung – etwa Familienmitglieder bei einem Streaming-Dienst – von missbräuchlichem Multi-Accounting zu unterscheiden, bei dem eine Person Dutzende Konten für unerlaubte Zwecke anlegt.

Network Signals for Multi-Accounting Detection

Wirksame Erkennung entsteht durch die Korrelation verschiedener Netzwerksignale und deren Einordnung in den richtigen Kontext. Die wichtigsten Indikatoren sind:

1. IP Type and Classification

Die Klassifizierung einer IP-Adresse ist die Grundlage. Eine IP Intelligence API kann eine IP unter anderem wie folgt einordnen:

• Proxy/VPN: Zeigt an, ob eine IP zu einem bekannten Proxy- oder VPN-Anbieter gehört. Das ist ein starkes Indiz dafür, dass der Ursprung verschleiert werden soll.
• TOR Exit: Kennzeichnet Traffic, der aus dem TOR-Netzwerk kommt. Das ist nicht automatisch bösartig, aufgrund der Anonymisierungsfunktion aber ein Risikosignal.
• Datacenter: Eine IP eines Hosting-Providers oder Cloud-Dienstes. Normale Endnutzer greifen nur selten direkt über Datacenter-IPs auf Consumer-Dienste zu.
• Residential: Gilt grundsätzlich als risikoärmer, wird durch Residential Proxies aber komplizierter. Hier ist zusätzliche Analyse nötig.

Konten, die sich regelmäßig über Proxy-, VPN- oder Datacenter-IPs registrieren oder anmelden, sollten markiert werden. Entscheidend sind Muster: Wenn viele unterschiedliche Konten von solchen Hochrisiko-IP-Typen stammen oder wiederholt zwischen ihnen wechseln, ist das stark verdächtig.

2. Autonomous System Number (ASN) and Organization

Eine ASN identifiziert ein Netzwerk im globalen Internet-Routing. Die Analyse der ASN und der zugehörigen Organisation kann auffällige Muster sichtbar machen:

• ASN Diversity vs. Homogeneity: Wenn mehrere Konten von IPs aus vielen unterschiedlichen ASNs stammen – insbesondere aus Residential-Netzen –, kann das auf eine legitime, vielfältige Nutzerbasis hindeuten. Wenn dagegen viele scheinbar unabhängige Konten aus IP-Bereichen derselben einzelnen ASN kommen, die für Proxys oder VPNs bekannt ist, ist das ein deutliches Warnsignal.
• ISP Reputation: Manche ISPs gelten als toleranter gegenüber Missbrauch oder betreiben Dienste, die bei Betrügern beliebt sind, etwa Bulletproof Hosting. Konten aus solchen ASNs frühzeitig zu markieren, ist eine proaktive Schutzmaßnahme.

3. Reverse DNS (rDNS) Hostname

rDNS löst eine IP-Adresse zurück auf einen Domainnamen auf. Das liefert oft wertvollen Kontext:

• Generic Hostnames: rDNS-Hostnames wie dsl-123-45-67-89.ispname.net sind typisch für private Internetanschlüsse. Konten, die von solchen IPs kommen, sind in der Regel weniger riskant – vorausgesetzt, die übrigen Signale sind unauffällig.
• Suspicious Hostnames: Hostnames mit Begriffen wie proxy, vpn, tor, cloud, vps, server oder sehr generischen Maschinennamen, etwa ec2-xx-xx-xx-xx.compute-1.amazonaws.com, deuten stark auf nicht-private oder verschleierte Herkunft hin.
• Lack of rDNS: Fehlt ein rDNS-Eintrag vollständig, kann das – insbesondere bei einer IPv4-Adresse – ein leises Warnsignal sein, da viele legitime private und geschäftliche ISPs solche Einträge konfigurieren.

4. IP Risk Score

Viele IP-Intelligence-Dienste liefern einen numerischen Risk Score. Dieser verdichtet mehrere Faktoren – etwa Blacklists, bekannte schädliche Aktivitäten, Häufigkeit von Abuse-Meldungen, TOR-Exit-Listen oder Proxy-Erkennung – zu einer handhabbaren Kennzahl.

• Thresholding: Legen Sie einen Schwellenwert für den Risk Score fest. Konten, die über IPs mit einem Wert oberhalb dieser Grenze mit Ihrer Plattform interagieren, sollten genauer geprüft werden.
• Aggregate Risk: Wenn mehrere Konten trotz unterschiedlicher IP-Adressen durchgehend hohe Risk Scores aufweisen, spricht das für koordiniertes Vorgehen – etwa mit kompromittierten oder eingekauften Hochrisiko-IPs.

5. Geo-Location Inconsistencies

Geodaten betreffen nicht direkt gemeinsame Netzwerke, ergänzen Netzwerksignale aber sinnvoll:

• Impossible Travel: Wenn sich ein Konto erst aus Stadt A anmeldet und zwei Stunden später aus Stadt B, Tausende Kilometer entfernt, ist das verdächtig. Besonders aussagekräftig wird es in Kombination mit dem IP-Typ – etwa wenn die IP in Stadt B zu einem VPN gehört.
• Network-Level Geo Discrepancy: Auch Abweichungen zwischen angegebener Nutzerposition und tatsächlichem Netzwerkstandort sind relevant. Beispiel: Ein Nutzer gibt London als Standort an, verbindet sich aber über eine Datacenter-IP in Frankfurt.

Strategies for Implementation

Die Integration dieser Signale funktioniert am besten als mehrschichtiger Ansatz:

• Baseline Legitimate Activity: Verstehen Sie zunächst, wie legitime Nutzung bei Ihnen aussieht. Welcher Anteil Ihrer Nutzer kommt über mobile Daten, private Breitbandanschlüsse oder Corporate VPNs? Diese Baseline hilft, Anomalien zu erkennen.
• Real-Time API Integration: Binden Sie eine IP Intelligence API an kritischen Stellen ein, etwa bei Registrierung, Login oder hochwertigen Transaktionen. So lassen sich eingehende IP-Adressen sofort bewerten.
• Correlation Engine: Entwickeln oder nutzen Sie ein System, das Ereignisse über mehrere Konten hinweg korrelieren kann. Zum Beispiel: 10 neue Konten werden innerhalb einer Stunde angelegt, alle von unterschiedlichen IPs, aber mit derselben ASN eines bekannten Proxy-Anbieters – oder alle mit Risk Scores oberhalb eines definierten Schwellenwerts.
• Actionable Tiers: Definieren Sie abgestufte Reaktionen je nach Risiko. Ein niedriges Risiko kann ein CAPTCHA auslösen, ein mittleres Risiko eine Multi-Faktor-Authentifizierung, ein hohes Risiko eine manuelle Prüfung oder sofortiges Blocking.

Example Scenario:

Ein Streaming-Dienst bemerkt ein Muster: Innerhalb einer Woche werden über 50 neue Konten registriert. Jedes Konto nutzt eine andere IP-Adresse. Die Analyse der IP-Intelligence-Daten zeigt jedoch:

• Alle 50 IPs sind als „Datacenter“ oder „VPN Exit“ klassifiziert.
• Die ASNs von 40 dieser IPs gehören zu zwei bekannten Cloud-Hosting-Anbietern.
• Die rDNS-Hostnames enthalten regelmäßig Begriffe wie vps, server oder cloud.
• Der durchschnittliche IP Risk Score dieser IPs liegt deutlich über der Plattform-Baseline für neue Registrierungen.
• Trotz geografisch verteilter IP-Standorte verwenden alle Konten ähnliche Namenskonventionen oder Muster bei E-Mail-Adressen.

Diese Kombination von Signalen deutet klar auf koordiniertes Multi-Accounting hin. Die Plattform kann die betroffenen Konten dadurch deutlich effizienter markieren und untersuchen, als wenn sie sich nur auf einzelne Kontomerkmale verlassen würde.

Limitations and Considerations

• False Positives: Legitime gemeinsame Netzwerke – etwa große Universitäten oder Firmennetzwerke – können ebenfalls Warnsignale auslösen. Eine granulare Analyse, ein gutes Verständnis der eigenen Nutzerbasis und die Kombination mehrerer Signale, also nicht nur IP-Typ, sondern auch ASN-Reputation und Risk Score, reduzieren dieses Risiko.
• Residential Proxies: Sie bleiben schwierig. Zwar wirken sie wie normale private Anschlüsse, doch ihre programmatische Nutzung erzeugt häufig Verhaltensanomalien, die in Kombination mit IP Intelligence trotzdem sichtbar werden.
• Evolving Tactics: Angreifer passen sich laufend an. Kontinuierliches Monitoring neuer Proxy-Dienste und aktueller Missbrauchsmuster im Netzwerk ist deshalb unverzichtbar.

Conclusion

Wer Multi-Accounting zuverlässig erkennen will, sollte über einzelne Kontomerkmale hinausgehen und belastbare Intelligence auf Netzwerkebene nutzen. IP-Klassifizierung, ASN-Analyse, rDNS und umfassende Risk Scores helfen Unternehmen, doppelte Konten in gemeinsam genutzten oder verschleierten Netzwerken deutlich besser zu erkennen.

Guarda.net hat bereits über 0 Lookups durchgeführt und liefert detaillierte IP Intelligence, mit der Engineering-Teams robustere Systeme bauen können. Einen kostenlosen IP-Check finden Sie auf der Startseite – dort sehen Sie direkt, welche Daten verfügbar sind.