Das Rätsel um die IP

Auf das Thema hat mich eine kleine Szene aus meinem Umfeld gebracht: Ein Bekannter geriet ernsthaft in Panik, weil ihr jemand gesagt hatte, er habe jetzt seine IP-Adresse – so, als wäre damit die Wohnungstür bereits aufgehebelt. Wenn man in diesem Gebiet ein wenig arbeitet ist der Blickwinkel auf solche Sachen extrem anders, allerdings gibt es viele Leute die nie direkt in Kontakt mit diesen Themen gekommen sind. Die Reaktion ist also irgendwo verständlich und trotzdem übertrieben, und genau in dieser Lücke zwischen Bauchgefühl und Realität steckt der Grund für diesen Artikel.

Denn die eigene öffentliche IP-Adresse gehört zu den Dingen, die jeder ständig benutzt und kaum jemand von normalen Nutzern kennt. Sie steht bei jeder Webseite, die man aufruft, im Absender und trotzdem behandeln viele sie wie ein Geheimnis, das man besser nicht anfasst. Ich finde das schade, denn erstens ist die IP in wenigen Sekunden geprüft, und zweitens lohnt es sich zu wissen, was daran wirklich öffentlich ist und was eben nicht. Genau darum geht es hier: einmal nachsehen, verstehen, was man da sieht, und die Aufregung darum auf ein realistisches Maß bringen.

Zwei Adressen, nicht eine

Bevor wir nachsehen, ein kurzer Blick auf ein Detail, das für die meisten Missverständnisse sorgt: Ihr Rechner hat in der Regel gar nicht eine IP-Adresse, sondern mindestens zwei.

Die eine ist die lokale Adresse, die Ihnen miest Ihr Router zuteilt, oft etwas in die Richtung wie 192.168.0.42. Diese Adresse gilt nur in Ihrem Heimnetz und ist von außen nicht sichtbar. Die andere ist die öffentliche Adresse, unter der Ihr gesamter Anschluss im Internet auftritt. Der Grund für diese Trennung ist ein Verfahren namens NAT (Network Address Translation): Der Router übersetzt zwischen den vielen privaten Adressen Ihrer Geräte und der einen öffentlichen Adresse, die nach außen zeigt. Deshalb teilen sich Laptop, Fernseher und Smartphone hinter demselben Anschluss dieselbe öffentliche IP und deshalb ist es diese öffentliche Adresse, die eine Webseite zu sehen bekommt, nicht die 192.168.… Ihres Laptops.

Der schnellste Weg: einfach nachsehen

Am bequemsten sehen Sie Ihre öffentliche IP im Browser nach. Genau dafür gibt es auf meiner Plattform ein kleines Werkzeug, das nichts anderes tut, als Ihnen ohne Umschweife anzuzeigen, unter welcher Adresse Sie gerade unterwegs sind:

→ ip.web.mm-core.de

Wer lieber im Terminal arbeitet, kommt genauso schnell ans Ziel. Der Klassiker ist curl gegen einen Dienst, der nichts als die IP zurückgibt:

curl ifconfig.me

Es gibt eine ganze Reihe solcher Dienste: icanhazip.com, api.ipify.org, checkip.amazonaws.com und andere. Dass ich hier mehrere nenne, hat einen praktischen Grund: Fällt einer davon einmal aus, haben Sie sofort einen Ersatz zur Hand, ohne lange suchen zu müssen.

Wer keine HTTP-Anfrage über einen fremden Webserver schicken möchte, nimmt stattdessen eine reine DNS-Abfrage. Das ist schlank und funktioniert auch in Umgebungen, in denen ausgehendes HTTP gesperrt, DNS aber erlaubt ist:

dig +short myip.opendns.com @resolver1.opendns.com

Ein Hinweis, der auf modernen Anschlüssen wichtig wird: Haben Sie sowohl IPv4 als auch IPv6, bestimmt das Betriebssystem, welche Variante zuerst genommen wird – und Sie bekommen mal die eine, mal die andere Adresse. Wenn Sie gezielt die eine oder andere sehen wollen, erzwingen Sie das Protokoll:

curl -4 ifconfig.me   # nur IPv4
curl -6 ifconfig.me   # nur IPv6

Was die IP verrät – und was nicht

Jetzt zum eigentlich interessanten Teil, denn hier liegen die meisten Fehlvorstellungen. Aus einer öffentlichen IP lässt sich zuverlässig ablesen, welcher Provider dahintersteht und in welchem Netz (ausgedrückt über die sogenannte ASN, die Kennung des Netzbetreibers) sie liegt. Dazu kommt eine grobe geografische Einordnung – meist auf Länder- und oft auf Stadtebene.

Der entscheidende Punkt ist das Wort „grob". IP-Geolocation ist kein GPS. Sie ordnet eine Adresse der Infrastruktur eines Providers zu, nicht Ihrem Gerät, und schon deshalb kann die angezeigte Stadt daneben liegen, wenn der Verkehr über einen Knoten im Nachbarort geführt wird. Selbst gute Datenbanken kommen bei Privatanschlüssen typischerweise auf Stadt- oder Postleitzahl-Ebene, und schon die reine Stadt-Trefferquote liegt je nach Anbieter und Region eher im Bereich von grob der Hälfte bis drei Vierteln der Fälle. Was die IP dagegen nicht hergibt, ist Ihre Wohnadresse, Ihr Name oder Ihr genauer Aufenthaltsort. Die Zuordnung von Adresse zu konkretem Anschlussinhaber liegt allein beim Provider und die gibt er nur unter rechtlicher Anordnung heraus, etwa gegenüber Strafverfolgungsbehörden.

Kurz gesagt: Wer Ihre IP kennt, weiß, bei welchem Anbieter Sie sind und ungefähr in welcher Ecke des Landes – nicht Ihren Namen und nicht Ihre Adresse. Das entzaubert schon die schlimmsten „jemand hat meine IP!"-Szenarien, mit denen dieser Artikel begonnen hat.

Ganz ohne Angriffsfläche ist die Sache trotzdem nicht, und der Ehrlichkeit halber gehört das dazu. Wer Ihre IP hat, kann sie nach offenen Ports absuchen, also nach Diensten, die von außen erreichbar sind, bei den meisten Privatpersonen bei denen der Router aber auf Werkseinstellung ohne Portfreigaben steht, und erst recht hinter CGNAT, findet ein solcher Scan schlicht nichts. Die IP taugt außerdem als ein Signal fürs Cross-Site-Tracking: In Kombination mit Cookies und weiteren Merkmalen lässt sich ein Nutzer damit über verschiedene Seiten hinweg grob wiedererkennen, wobei sie für sich genommen ein schwaches Signal ist, weil sie geteilt wird und wechselt. Und theoretisch lässt sich eine IP mit einer DDoS-Attacke unter Verkehr begraben, was man vor allem aus dem Gaming-Umfeld als kurzzeitiges „Offline-Werfen" kennt. Für normale Nutzer ist das alles unwahrscheinlich und im Ernstfall eher lästig als gefährlich die Kirche bleibt also im Dorf, nur ganz leer steht sie eben nicht.

Warum Ihre IP oft gar nicht Ihnen gehört

Es gibt noch eine Ebene, die kaum jemand auf dem Schirm hat und die zwei häufige Beobachtungen erklärt: dass sich die eigene IP von Zeit zu Zeit ändert, und dass manche Ratschläge aus dem Netz („Port freigeben", „eigenen Server erreichbar machen") einfach nicht funktionieren.

Der Hintergrund ist die Knappheit an IPv4-Adressen. Von diesen Adressen gibt es weltweit nur rund 4,3 Milliarden, und die sind längst vergeben. Viele Provider teilen deshalb eine einzige öffentliche IPv4-Adresse über ein Verfahren namens CGNAT (Carrier-Grade NAT) auf viele Kunden gleichzeitig auf im Grunde dasselbe Prinzip wie im Heimrouter, nur eine Etage höher beim Provider und über hunderte oder tausende Anschlüsse hinweg. Auf Mobilfunk und bei manchen Anschlüssen ist das heute der Normalfall; intern läuft das oft über einen reservierten Adressbereich wie 100.64.0.0/10. Die Folge: Die öffentliche Adresse, die Sie nach außen tragen, gehört in Wahrheit nicht Ihnen allein, sondern wird geteilt – und wechselt entsprechend häufiger.

Die eigentliche Lösung dahinter ist IPv6, das mit seinem gigantisch größeren Adressraum die Knappheit strukturell behebt. Deshalb haben Sie auf vielen Anschlüssen heute beides parallel, und deshalb kann curl -6 eine ganz andere Adresse zeigen als curl -4.

An dieser Stelle muss ich auch zugeben, dass ich oft merke, wie ich aus Reflex auch immer unterbewusst bei einer „richtigen" IP-Adresse immer noch vier Zahlen mit Punkten wie 84.132.20.7 erwarte. Das ist IPv4, die klassische Schreibweise. Eine IPv6-Adresse sieht dagegen aus wie 2a02:8071:2192:af00:1c3d:5eff:fe12:34ab, also ein deutlich längerer Block aus Ziffern und Buchstaben, getrennt durch Doppelpunkte. Das wirkt auf den ersten Blick befremdlich, ist aber eine vollkommen normale, gültige Adresse. Wer sich sonst nicht mit dem Thema befasst, sollte sich davon also nicht abschrecken lassen: Auch dieses lange Ungetüm ist schlicht „Ihre IP", nur im neueren Format.

Für die Einordnung einer geteilten Adresse bleibt übrigens die ASN verlässlich: Der Provider lässt sich immer bestimmen, die genaue Stadt hinter CGNAT dagegen kaum noch.

Was das praktisch bedeutet

Ich halte es für sinnvoll, die eigene IP einmal bewusst angesehen zu haben – nicht aus Sorge, sondern um die Größenordnung einzuschätzen. Die öffentliche IP ist kein Geheimnis, sondern schlicht die Rückadresse Ihres Anschlusses; ohne sie käme keine Antwort bei Ihnen an. Sie verrät Provider und Region, nicht Ihre Identität. Wem selbst diese grobe Sichtbarkeit unangenehm ist, der verlagert sie mit einem VPN auf einen anderen Server – dann sehen Webseiten dessen Adresse statt Ihrer. Das ist eine legitime Option, aber keine Pflicht, und für die meisten alltäglichen Sorgen deutlich überdimensioniert.

Fazit

Die öffentliche IP-Adresse ist schneller gefunden, als ihr Ruf vermuten lässt – ein Klick auf ip.web.mm-core.de oder ein curl ifconfig.me genügen. Und was sie verrät, ist überschaubar: den Provider, eine grobe Region, das Netz dahinter. Alles Weitere – Name, Adresse, genauer Standort – bleibt außen vor. Wer das einmal verstanden hat, blickt auf die eigene IP gelassener und trifft die Frage nach VPN oder nicht aus Wissen statt aus Bauchgefühl.