Was ist eine ASN, und wie finde ich heraus, wem ein Netz gehört?

Geschrieben von Aldo · Threat Hunter im Blue Team
Zuletzt aktualisiert am 9. November 2026 · 4 Min. Lesezeit

Das Internet ist kein einzelnes Netz. Es sind Zehntausende getrennte Netze von Providern, Clouds, Universitäten und Unternehmen, die vereinbaren, den Verkehr der anderen zu transportieren. Jedes davon hat eine Nummer. Wenn du sie lesen kannst, ist eine unbekannte IP-Adresse kein anonymes Rauschen mehr.

Was ein autonomes System ist

Ein autonomes System ist ein Netz mit eigener Routing-Politik: Es besitzt Adressblöcke oder ist für sie verantwortlich und teilt seinen Nachbarn über ein Protokoll namens BGP mit: „Verkehr für diese Blöcke bitte an mich.“ Seine Nummer, die ASN, ist der Name, unter dem das restliche Internet es kennt. Googles Hauptnetz ist AS15169. Das von Cloudflare ist AS13335. Auch dein Provider zu Hause hat eine.

ASNs vergeben dieselben fünf regionalen Register, die auch Adressen vergeben (ARIN für Nordamerika, RIPE NCC für Europa und den Nahen Osten, APNIC für den Asien-Pazifik-Raum, LACNIC für Lateinamerika und AFRINIC für Afrika), unter dem Dach der IANA. Alte ASNs sind kleine Zahlen; seit die Nummern bis 65.535 knapp wurden, sind sie 32 Bit lang, deshalb begegnen dir auch Nummern im Hunderttausenderbereich.

Ein Praxisbeispiel: eine Adresse, zwei Antworten

Gib 1.1.1.1 in die IP-Abfrage von iplover ein und schau dir zwei Zeilen des Ergebnisses an. So sah es am 9. November 2026 aus:

Registrierter Inhaber (RDAP)	APNIC Research and Development, Netz `APNIC-LABS`, Block `1.1.1.0/24`, Register APNIC
Netz (ASN)	AS13335, Cloudflare, Inc.
Rückwärts-DNS	`one.one.one.one`, vorwärts bestätigt

Wem „gehört“ 1.1.1.1 also? Beide Antworten stimmen. APNIC, das Register für den Asien-Pazifik-Raum, hält den Block und forscht damit; Cloudflare betreibt darauf den öffentlichen DNS-Dienst und kündigt den Block aus seinem eigenen Netz an. Kam Verkehr von 1.1.1.1 bei dir an, dann kam er aus Cloudflares Netz, und Cloudflare wäre dein Ansprechpartner.

Diese Trennung ist häufig. Ein Unternehmen kann Adressen registrieren und von einem Hoster routen lassen; eine Cloud kann Blöcke routen, die auf ihre Kunden registriert sind. Die Registrierung sagt, wer auf dem Papier verantwortlich ist. Die ASN sagt, durch wessen Netz die Pakete tatsächlich gingen.

Ein zweites Beispiel zeigt den Gegenfall. Für 8.8.8.8 meldet die Abfrage den Inhaber Google LLC (Netz GOGL, Register ARIN) und das Netz AS15169, Google LLC. Dieselbe Organisation, keine Unklarheit.

Die ASN selbst herausfinden

Die schnellste öffentliche Quelle ist der kostenlose Dienst von Team Cymru, der per DNS antwortet. Schreib die Adresse rückwärts und frag nach einem TXT-Eintrag:

dig +short TXT 1.66.249.66.origin.asn.cymru.com
nslookup -type=TXT 1.66.249.66.origin.asn.cymru.com    # Windows

Für 66.249.66.1 (eine Googlebot-Adresse) kam die Antwort in zwei Zeilen:

"15169 | 66.249.64.0/20 | US | arin | 2004-03-05"
"15169 | 66.249.64.0/19 | US | arin | 2004-03-05"

Die Felder sind: ASN, der angekündigte Block, das Land der Registrierung, das Register und das Datum, an dem der Block vergeben wurde. Zwei Zeilen bedeuten, dass das Netz die Adresse doppelt ankündigt, als großen Block und als spezifischeren darin. Das ist normal; der Verkehr folgt dem spezifischeren. Um aus der Nummer einen Namen zu machen, frag nach der ASN selbst:

dig +short TXT AS15169.asn.cymru.com
"15169 | US | arin | 2000-03-30 | GOOGLE - Google LLC, US"

Derselbe Dienst antwortet auch per whois: whois -h whois.cymru.com " -v 66.249.66.1". Für einen tieferen Blick auf ein Netz (jeder Block, den es ankündigt, seine Nachbarn, seine Geschichte) sind RIPEstat und PeeringDB kostenlos und werden von der Community und den Registern gepflegt.

Wofür die ASN gut ist

Wen du bei Missbrauch kontaktierst. Das Netz, das eine Adresse routet, kann etwas tun. Die Abfrage von iplover zeigt neben der ASN die Abuse-Adresse aus dem offiziellen Register.
Welche Art Netz es ist. Eine ASN mit dem Namen einer Cloud oder eines Hosters bedeutet einen Server; die eines Mobilfunkanbieters bedeutet Handys; ein Breitbandanbieter bedeutet Menschen zu Hause. Oft reicht das, um eine Logzeile zu verstehen.
Nach Netz filtern. Viele Firewalls und CDNs können nach ASN filtern. So drosselst du einen ganzen Cloud-Anbieter, ohne Tausende Adressen aufzulisten.

Wenn du das findest, tu das

Was du findest	Was es meist bedeutet	Was zu tun ist
Die ASN gehört einem Festnetz- oder Mobilfunkanbieter	Der Anschluss eines Menschen, vielleicht geteilt (CGNAT)	Behandle die Adresse als einen von vielen Kunden. Geh nicht von einer einzelnen Person aus.
Die ASN gehört einer Cloud oder einem Hoster	Ein Server, meist automatisierter Verkehr	Normal für APIs und Crawler; ungewöhnlich auf einer Login-Seite. Melde wiederholten Missbrauch der Cloud.
Registrierter Inhaber und ASN weichen ab	Jemand anders routet den Block	Bei Missbrauch oder Sperren richte dich nach dem Betreiber der ASN.
Gar keine ASN	Die Adresse wird im Internet nicht angekündigt (oder ist privat)	Steht sie in deinem Log, prüf, ob es eine interne Adresse oder die eines Proxys ist.
Schädlicher Verkehr von vielen Adressen derselben ASN	Ein einziges Netz ist die Quelle	Drossle oder prüfe diese ASN, statt Adressen hinterherzulaufen.

Was eine ASN nicht verrät

Eine ASN kennzeichnet ein Netz, nie eine Person oder ein Gerät darin. Die ASN eines großen Providers umfasst Millionen Kunden. Das Land im Register ist das, in dem sich das Netz registriert hat, nicht das, in dem eine bestimmte Adresse genutzt wird. Und eine ganze ASN zu sperren ist ein grobes Werkzeug: Sperr eine große Cloud, und du sperrst legitime Dienste, Monitoring und alle anderen Kunden dieser Cloud gleich mit.

Quellen

Offizielle Dokumente, mit denen wir die Fakten in diesem Ratgeber geprüft haben.