Warum denken Websites, dass ich ein VPN nutze?

Geschrieben von Aldo · Threat Hunter im Blue Team
Zuletzt aktualisiert am 9. November 2026 · 5 Min. Lesezeit

Ein Streamingdienst meldet „Du scheinst ein VPN oder einen Proxy zu nutzen“. Deine Bank verlangt einen zusätzlichen Code. Ein Shop lehnt deine Karte ab. Du hast kein VPN eingeschaltet. Was sehen die da?

Nicht dein Gerät. Eine Website bekommt deine IP-Adresse und ein paar Angaben deines Browsers, mehr nicht. Um zu entscheiden, ob du ein VPN nutzt, fragt sie eine kommerzielle Datenbank oder eigene Regeln zu dieser Adresse. Diese Datenbanken stützen sich auf eine Handvoll Signale, und jedes davon kann bei dir falsch liegen.

Die fünf Signale, die Websites nutzen

Die Adresse gehört zu einem Rechenzentrum. VPN-Server laufen in Rechenzentren und Clouds, also behandeln die meisten Seiten jede Adresse von Amazon, Google Cloud, Microsoft Azure oder einem Hoster als „kein Privatanschluss“.
Die Adresse steht auf einer Liste bekannter VPN- oder Proxy-Server. Manche Listen sind öffentlich (iplover nutzt die von der Community gepflegte X4BNet-Liste und nennt sie bei jedem Treffer); kommerzielle Anbieter führen eigene.
Die Adresse ist ein Privacy-Relay. Apple veröffentlicht die Ausgangsadressen von iCloud Private Relay, also kann jede Seite sie erkennen.
Die Zeitzone deines Browsers passt nicht zum Standort der Adresse. Eine Uhr auf Berlin mit einer Adresse in New York sieht nach einem Tunnel aus.
Die Adresse hat einen schlechten Ruf, weil andere auf derselben Adresse (oder im selben Block des Providers) sich danebenbenommen haben. Bei geteilten Adressen ist das häufig.

Ein Praxisbeispiel: vier Adressen, vier Netzwerktypen

Die Netzwerktyp-Prüfung von iplover nutzt nur öffentliche Listen, also dieselbe Art Information, mit der ein Betrugserkennungs-Tool anfängt. Am 9. November 2026 lieferte sie:

Adresse	Netzwerktyp	Woher wir das wissen
172.224.226.33	Privacy-Relay	In Apples veröffentlichter Liste der Ausgangsadressen von iCloud Private Relay. Viele Menschen teilen sie; es ist nicht die Adresse einer einzelnen Person.
3.5.140.1	Hosting, Cloud oder Rechenzentrum	In den Bereichen, die Amazon Web Services veröffentlicht: ein Server, kein Privatanschluss.
185.220.101.1	Tor-Exit-Node	In der Exit-Liste des Tor-Projekts.
8.8.8.8	Hosting, Cloud oder Rechenzentrum (Schätzung)	Nur eine Schätzung anhand des Inhabernamens, Google LLC. Namen können täuschen.

Die erste Zeile überrascht viele. Ein iPhone-Nutzer mit eingeschaltetem Private Relay sieht für eine Website genau so aus: eine Adresse, die viele Apple-Nutzer teilen, geleitet über ein Content-Netzwerk. Er hat nie ein VPN installiert und wird trotzdem markiert.

Die letzte Zeile zeigt das schwächste Signal. Deckt keine Liste eine Adresse ab, greifen Tools auf den Namen des Netzinhabers zurück. Ein Name mit „cloud“, „hosting“ oder einer großen Tech-Marke schiebt die Schätzung Richtung „Rechenzentrum“. Kommerzielle Datenbanken machen dasselbe, mit derselben Fehlerquote, und sagen selten, dass es eine Schätzung ist. Unsere schreibt „(Schätzung)“ dazu.

Ohne VPN markiert? Prüf das hier

Was prüfen	Wo	Warum es zählt
iCloud Private Relay	In den iCloud-Einstellungen deines Apple-Accounts, auf iPhone, iPad oder Mac. Name und Ort des Schalters haben sich zwischen Systemversionen geändert; Apples Anleitung iCloud Privat-Relay auf allen Geräten einrichten zeigt die aktuellen Schritte.	Es verbirgt deine Adresse in Safari und wird überall erkannt. Schalte es zum Testen aus.
Ein im Browser eingebautes VPN	Das VPN von Opera, Secure Network von Edge, Privacy-Erweiterungen	Sie ändern deine Adresse nur für diesen Browser, deshalb vergisst man, dass sie an sind.
Arbeits- oder Schulnetz, oder ein Dienstgerät	Läuft dein Verkehr über den Proxy oder das VPN der Firma?	Firmen-Gateways stehen oft in Rechenzentren.
Sicherheitssoftware	Funktionen wie „sicheres Surfen“, „Web-Schutz“ oder „sicheres DNS“	Manche leiten den Verkehr über die Server des Herstellers.
Deine Zeitzone	Die Datums- und Zeiteinstellungen deines Geräts	Eine von Hand gesetzte Zeitzone, die nicht zu deinem Ort passt, sieht nach Tunnel aus.
Dein Provider teilt Adressen (CGNAT)	Vergleich die WAN-Adresse deines Routers mit der auf der Startseite von iplover	Viele Kunden teilen eine öffentliche Adresse, und deren Ruf.

Die Startseite von iplover erledigt zwei dieser Prüfungen für dich: den Netzwerktyp deiner aktuellen Adresse und ob die Zeitzone deines Browsers zu deren Standort passt.

Was du tun kannst

Wenn es ein Relay oder VPN ist, das du nutzt: Schalte es nur für diese Seite ab, wenn die App das erlaubt, oder nimm die zusätzlichen Prüfungen als Preis der Privatsphäre in Kauf.
Wenn es die geteilte Adresse deines Providers ist: Ein Router-Neustart bringt manchmal eine andere Adresse. Manche Provider geben dir auf Anfrage eine eigene öffentliche Adresse, teils gegen Gebühr.
Wenn eine Seite dich weiter blockiert: Nenn ihrem Support deine Adresse (kopier sie von der Startseite von iplover) und dass es ein Privatanschluss ist. Anbieter von Betrugserkennung korrigieren Einträge, wenn Seiten sie melden.
Im Mobilfunknetz: Netzbetreiber leiten viele Kunden über wenige Gateways, Mobiladressen werden also oft geteilt. Zwischen WLAN und mobilen Daten zu wechseln ist ein schneller Test, welches Netz die Seite nicht mag.

Was eine Seite nicht wissen kann

Keines dieser Signale schaut in dein Gerät. Eine Seite kann nicht erkennen, ob eine VPN-App installiert ist, nur ob deine aktuelle Adresse nach einem VPN aussieht. Das gilt in beide Richtungen: Ein gutes Residential-VPN kann unbemerkt bleiben, und ein ganz normaler Kunde auf einer geteilten Adresse kann markiert werden. Wenn eine Seite sagt, du nutzt ein VPN, und das stimmt nicht, liegt ihre Schätzung falsch, nicht deine Verbindung.

Quellen

Offizielle Dokumente, mit denen wir die Fakten in diesem Ratgeber geprüft haben.