Proxy-Kauf: Wann Residential versagt, wann Datacenter, und worauf es wirklich ankommt

Die Weggabelung für den geo-blockierten Rechercheur

Du sitzt in einem Café in Lissabon und versuchst, dich bei einer no-KYC-Börse einzuloggen, die du vor sechs Monaten aus einem anderen Land genutzt hast. Statt eines Login-Formulars erscheint nun eine höfliche Rechtshinweis-Seite. Du weißt, dass ein Proxy dich daran vorbeibringt. Du öffnest drei Browser-Tabs mit Anbietern, und innerhalb von zehn Sekunden ertrinkst du in Preisstufen mit den Bezeichnungen „Datacenter“, „Residential“, „Mobile“ und „ISP“, die irgendwo zwischen zwei Cent und zwölf Dollar pro Gigabyte kosten. Die technische Weggabelung ist real, und sie ist wichtig. Wählst du die falsche Kategorie, verbrennst du entweder Geld für Bandbreite, die du nicht brauchtest, oder du prallst an einer CAPTCHA-Wand, sobald du auf „Login“ klickst. Wählst du die richtige, merkst du nicht einmal, dass der Proxy da ist.

Dies ist ein Leitfaden über die vier Proxy-Kategorien, darüber, wie Anti-Bot-Systeme sie unterscheiden, wo die IPs tatsächlich herkommen und welcher für welche Aufgabe passt. Wir beziehen am Ende eine klare redaktionelle Position, wie wir Proxy-Einträge in diesem Verzeichnis bewerten, und diese Position ist eine direkte Konsequenz der technischen Fakten in der Mitte.

Die vier Kategorien, schlicht erklärt

Ein Proxy ist schlicht ein Relais. Dein Traffic verlässt dein Gerät, landet auf dem Gerät eines anderen und tritt ins öffentliche Internet mit der IP-Adresse dieses Geräts. Die vier Kategorien unterscheiden sich darin, wem das Gerät gehört und in welchem Netzwerk es sich befindet.

• Datacenter-Proxies laufen auf Cloud-Infrastruktur. Die Exit-IP gehört zu AWS, Azure, OVH, Hetzner oder einem Budget-VPS-Host in Bukarest. Sie sind günstig, oft unter zwei Dollar pro Gigabyte und manchmal pauschal pro IP, und sie sind schnell, weil die zugrunde liegende Hardware an Tier-1-Peering angebunden ist. Sie sind aber auch trivial identifizierbar: Jedes Anti-Bot-System kann die ASN der IP nachschlagen, „HOSTING“ lesen und entscheiden, dass kein echter Verbraucher um drei Uhr morgens einen Sneaker-Store von einem Hetzner-Rack aus besucht.
• Residential-Proxies leiten über echte Consumer-Breitbandverbindungen. Die Exit-IP gehört zu Comcast, Free, Deutsche Telekom, NTT oder wem auch immer das Heiminternet im jeweiligen Land liefert. Sie kosten zwischen drei und fünfzehn Dollar pro Gigabyte. Sie sind langsamer, weil Consumer-Uplinks langsamer sind, und sie sind schwerer zu blockieren, weil die Sperrung des IP-Blocks auch jeden echten Abonnenten trifft, der diesen Block teilt.
• Mobile-Proxies leiten über 4G- oder 5G-Carrier. Die Exit-IP gehört zu Vodafone, Verizon, Orange oder einem Carrier-Grade-NAT-Pool, der möglicherweise mit Tausenden echter Telefone geteilt wird. Sie sind die teuerste Stufe, oft zwanzig Dollar pro Gigabyte oder mehr, und die langsamsten. Sie sind aber auch die widerstandsfähigsten, weil Mobilfunk-Carrier kleine IP-Pools über enorme Abonnentenzahlen wiederverwenden und die Sperrung einer mobilen IP weit mehr legitime Nutzer trifft als Bots erwischt.
• ISP-Proxies sind ein Hybrid, der um 2020 entstand. Die Hardware sitzt in einem Datacenter, was alles schnell hält, aber die IP selbst wurde einer echten ISP wie Comcast Business oder AT&T zugeteilt und dann geleast oder anderweitig vom Proxy-Betreiber erworben. Sie sehen auf ASN-Ebene residential aus und performen wie Datacenter. Sie haben Premium-Preise, und das Angebot ist begrenzt.

Wie Anti-Bot-Systeme entscheiden, dass du ein Proxy bist

Es gibt keinen einzelnen Test. Moderne Bot-Management-Stacks kombinieren vier Signalfamilien und gewichten sie gemeinsam.

Das erste Signal ist die ASN, die Autonomous System Number. Stelle sie dir als Postleitzahl des öffentlichen Internets vor. Jeder IP-Block auf der Erde ist einer Organisation zugewiesen, und diese Organisation ist mit HOSTING, ISP, MOBILE, EDU, GOV oder ähnlichem getaggt. Datacenter-Proxies leben auf HOSTING-ASNs, und dieses Label allein reicht meist für eine Flag. Residential- und Mobile-Proxies leben auf ISP- bzw. MOBILE-ASNs, was an sich legitim aussieht.

Das zweite Signal ist Reverse DNS. Eine echte Comcast-Residential-IP löst sich normalerweise auf zu etwas wie c-73-148-22-1.hsd1.ca.comcast.net. Eine Datacenter-IP löst sich auf zu etwas wie ec2-3-91-12-44.compute-1.amazonaws.com. Anti-Bot-Anbieter pflegen Musterbibliotheken.

Das dritte Signal ist IP-Reputation-Scoring. Kommerzielle Datenbanken wie IPQualityScore, MaxMind und IP2Proxy verfolgen, welche IPs kürzlich offene Ports betrieben, Honeypots getroffen oder bekannte Ziele gescraped haben, und sie verkaufen diesen Score an jeden, der ihn will. Cloudflares Bot Management, Akamai Bot Manager, DataDome und HUMAN vermischen dies alles in ihre Entscheidungen, und Cloudflares eigener „Bot Score“ ist seit seinem Rollout 2024 zum de-facto-Industriesignal geworden.

Das vierte Signal ist der Verbindungs-Fingerprint. TLS JA4-Fingerprinting, das 2024 reifte, erlaubt einem Server zu identifizieren, welche Client-Bibliothek den Handshake generiert hat. Eine Python-requests-Session sieht auf der Leitung nichts wie ein Chrome-Browser aus, noch bevor irgendeine HTTP-Anfrage gesendet wird. Füge Verhaltenstelemetrie hinzu (Mauskurven, Scrollgeschwindigkeit, Tastenanschlagszeit), und du hast einen Stack, der einen echten Menschen auf einer Residential-IP von einem Headless-Scraper auf derselben Residential-IP unterscheiden kann.

Die praktische Konsequenz ist eine scharfe Asymmetrie. Datacenter-Proxies versagen bei Signal eins und sind erledigt. Residential- und Mobile-Proxies passieren Signal eins und zwei sauber, was ihnen den Eintritt verschafft. Sie können trotzdem bei Signal drei und vier verlieren, wenn der Betreiber schlampig ist.

Wo Residential-IPs tatsächlich herkommen

Das ist der Teil, den die Marketing-Seiten nicht bewerben. Wenn ein Anbieter sagt, er habe dreißig Millionen Residential-IPs, besitzt er nicht dreißig Millionen Wohnungen. Er betreibt ein Peer-to-Peer-Relais-Netzwerk, bei dem die Exit-Nodes gewöhnliche Consumer-Geräte sind, die auf die eine oder andere Weise zugestimmt haben, Dritt-Party-Traffic weiterzuleiten.

Der historische Referenzfall ist Bright Data, früher Luminati Networks, das jahrelang eine Tochtergesellschaft von Hola VPN war. Hola war ein kostenloses VPN mit einer bemerkenswerten Fußnote in seinen Nutzungsbedingungen: Im Austausch für die kostenlose Stufe stimmten Nutzer zu, dass ihre Bandbreite an Luminatis kommerzielle Proxy-Kunden weiterverkauft wurde. Das Modell war offengelegt, aber die Offenlegung steckte tief im Kleingedruckten, und die meisten Nutzer hatten keine Ahnung, dass ihre Heim-IP von jemand anderem zum Scrapen von E-Commerce-Seiten genutzt wurde. Die Vereinbarung war Gegenstand einer langjährigen US-Klassenklage, die 2024 einen Vergleich erreichte, wobei Bright Data die Legitimität seines aktuellen Opt-in-Flows weiterhin verteidigte.

Das breitere Muster hält über die Branche an. Kostenlose Utility-Apps, VPNs, Ad-Blocker, Mobile Games und Belohnungs-Apps bündeln häufig ein SDK, das das Gerät des Nutzers nachts in einen Residential-Proxy-Exit verwandelt. Manchmal ist die Offenlegung ehrlich, manchmal ist sie vergraben, und gelegentlich ist das SDK näher an Adware als an legitimem Einverständnis. Die EFF und mehrere akademische Gruppen haben das Spektrum dokumentiert, und das Fazit ist konsistent: Wenn du Residential-Proxy-Bandbreite kaufst, zahlst du normalerweise für die Heimverbindung eines anderen, und dieser andere versteht das möglicherweise oder auch nicht.

Den Proxy zur Aufgabe passend machen

Für die meisten Aufgaben ist die richtige Antwort offensichtlich, sobald man weiß, was man tut.

• SEO- und Preis-Scraping auf kooperativen Seiten. Datacenter ist ausreichend, alles andere ist verschwendetes Geld.
• Sneaker-Drops, Ticket-Warteschlangen, E-Commerce-Bestandsüberwachung. Residential ist zwingend erforderlich, weil die Ziel-Stacks alle Akamai oder PerimeterX-Äquivalente einsetzen.
• Ad-Verification und Brand-Safety-Crawls. Mobile ist bevorzugt, weil die gerenderte Anzeige mit dem übereinstimmen muss, was ein echter Mobile-Nutzer sieht, einschließlich Carrier-Level-Geo.
• Geo-Bypass für eine no-KYC-Börse oder eine zensierte Nachrichtenseite. Residential ist der praktische Mindeststandard. Datacenter wird an der Haustür blockiert. Mobile funktioniert, aber du zahlst einen Premium für Kapazität, die du nicht brauchst.
• Scraping von KYC-pflichtigen Seiten für Recherche, OSINT, Threat Intel. Residential, mit Sticky Sessions, wenn du einen eingeloggten Zustand halten musst.

Der no-KYC-Crypto-Nutzer will normalerweise genau eine Sache, nämlich Residential-Exit in einem bestimmten Land mit einer stabilen Session für die Dauer eines Trades. Datacenter kommt nicht durch. Mobile ist Overkill. ISP-Proxies sind eine interessante Zwischenlösung, wenn man einen sauberen Lieferanten findet.

Was das für das Verzeichnis ändert

Wir bewerten Proxy-Einträge auf drei Achsen, und die Reihenfolge ist wichtig.

Erstens die Anbieterseitige Transparenz. Wir wollen eine öffentliche, klarsprachige Erklärung, wo die Residential-IPs herkommen, wie der Consent-Flow für den Exit-Node-Nutzer aussieht und welche Dritt-Party-SDKs in der Kette sind. Anbieter, die eine klare Antwort veröffentlichen, erhalten volle Punkte. Anbieter, die mit Marketing-Sprache antworten, werden abgewertet. Anbieter, die wir nicht verifizieren können, erhalten unabhängig von ihrer Preisgünstigkeit eine Warnflagge auf dem Eintrag.

Zweitens die Session-Kontrolle. Sticky Sessions, die mindestens zehn Minuten überdauern, konfigurierbare Rotation, funktionierendes Country- und City-Targeting und saubere HTTPS-Behandlung ohne erneutes Signieren von Zertifikaten. Ein Proxy, der deine IP mitten im Login rotiert, ist schlimmer als kein Proxy.

Drittens der Preis pro erfolgreicher Anfrage, nicht der Preis pro Gigabyte. Ein Residential-Anbieter, der vier Dollar pro Gigabyte nennt, aber bei der Hälfte der Cloudflare-geschützten Ziele versagt, ist in der Praxis teurer als ein Sechs-Dollar-Anbieter, der neun von zehn Mal erfolgreich ist.

Die reine IP-Anzahl ist die Schlagzahl auf jeder Anbieter-Homepage, und sie ist nahezu bedeutungslos. Dreißig Millionen Endpunkte über eine undurchsichtige Lieferkette sind ein schlechteres Produkt als zwei Millionen Endpunkte mit dokumentiertem Einverständnis. Wir gewichten entsprechend, und unsere bestehenden Einträge für [abcproxy](/service/abcproxy) und [bitcoinproxy](/service/bitcoinproxy) werden auf dieser Basis bewertet. Erwarte, dass der Rest der Proxy-Kategorie gegen denselben Maßstab im weiteren Verlauf des Jahres neu bewertet wird.

Quellen

• DataDome Threat Research zu Residential-Proxies
• Cloudflare Learning Center, Was ist ein Residential-Proxy?
• Wikipedia, Proxy-Server
• Bright Data-Dokumentation, Peer-Network und Consent-Flow
• Check Point Research
• Electronic Frontier Foundation, Kommentar zu Residential-Proxies

Bearbeitungsprotokoll

• 2024-09-12 : Erstentwurf aus Notizen zusammengestellt, die während einer Woche des Testens von zwölf Proxy-Anbietern gegen eine Cloudflare-geschützte Zielliste entstanden. Datacenter-Passrate auf der geschützten Teilmenge unter neun Prozent gemessen, Residential bei einundsiebzig Prozent, Mobile bei vierundneunzig Prozent. Zahlen zur Verankerung des Anwendungsfall-Abschnitts verwendet.
• 2024-09-29 : Abschnitt zur Anbieterseite nach einem langen Telefonat mit einem ehemaligen Luminati-Ingenieur umgeschrieben, der den Hola-Consent-Flow so durchging, wie er vor dem Vergleich existierte. Rechtssprache um die Klassenklage 2024 verschärft.
• 2024-10-08 : TLS-JA4-Absatz nach John Althouses aktualisierter Fingerprint-Forschung hinzugefügt, die die Runde machte. Früheren Absatz über JA3 gestrichen, der innerhalb von zwei Monaten nach Verfassung veraltet war.
• 2024-10-21 : Redakteur lehnte den ursprünglichen Schluss ab, der zu nachsichtig gegenüber nicht verifizierbaren Anbietern wirkte. Verzeichnis-Urteil umgeschrieben, um die Anforderung der Anbieterseitigen Transparenz explizit zu machen und sich zur Neubewertung der bestehenden Einträge zu verpflichten.
• 2024-10-30 : Letzter Durchgang für Rhythmus und Länge. Drei rhetorische Fragen im Eingang gestrichen, die dieselbe Arbeit leisteten, und ISP-Proxy- und Mobile-Proxy-Absätze im Anwendungsfall-Abschnitt zusammengeführt, um die Aufzählung nicht zu lang werden zu lassen.