Du schaust dir die Angriffs-Logs deines WordPress an und erwartest verstreute Adressen von zufälligen Leuten aus aller Welt — stattdessen findest du ganze IP-Blöcke, die Amazon, DigitalOcean oder irgendeinem Cloud-Anbieter gehören, den du gar nicht kennst. Das ist kein Zufall und kein Erkennungsfehler: Es ist mit Abstand die häufigste Quelle von automatisiertem, bösartigem Traffic.
Warum ein Angreifer nicht “von zu Hause aus” angreift
Um einen Bot zu betreiben, der das Internet nach Passwörtern oder Schwachstellen durchsucht, braucht man einen Server, der 24 Stunden am Tag läuft, eine gute Verbindung hat und nicht davon abhängt, dass der private Computer des Angreifers ständig eingeschaltet ist. Die naheliegende Lösung — und die, auf der der Großteil des automatisierten bösartigen Traffics beruht — ist, einen billigen Cloud-Server zu mieten.
Was eine ASN ist und warum sie wichtiger ist als eine einzelne IP
Eine Nummer, die den Anbieter identifiziert, nicht den konkreten Server
Jeder IP-Adressblock im Internet gehört einer Organisation, die durch eine ASN (Autonomous System Number) identifiziert wird — in der Praxis ist das der “Besitzer” dieses Bereichs. Amazon Web Services, DigitalOcean, Hetzner — jeder hat seine eigene ASN (oder mehrere, bei großen Anbietern mit Präsenz in vielen Regionen).
Eine IP zu blockieren ist wie ein Loch in einem Netz mit Tausenden zu stopfen
Wenn du eine bestimmte IP eines Angreifers blockierst, der einen Cloud-Server mietet, wird diese IP für ihn nutzlos — aber der Anbieter hat noch Tausende weitere zur Verfügung, und der Angreifer kann in Minuten einen neuen Server mit neuer IP starten. Eine Blockierung auf ASN-Ebene kappt den Zugang zum gesamten Bereich des Anbieters auf einen Schlag, statt einzelne Adressen einzeln zu jagen.
Eine direkte Blockierung ist nicht immer die richtige Wahl
Zwischenmodi, um legitimen Traffic nicht versehentlich zu verlieren
Eine ganze ASN komplett zu blockieren ist eine wichtige Entscheidung, weil dadurch auch jeglicher legitime Traffic von dort abgeschnitten wird. Deshalb lohnt es sich, mehr Optionen als nur “blockieren oder nicht” zu haben: nur protokollieren, ohne zu blockieren, um das Muster vor einer Entscheidung zu beobachten, oder nur blockieren, wenn diese Quelle zusätzlich ein weiteres verdächtiges Signal zeigt (ein leerer User-Agent, typische Muster von Pentesting-Tools oder das Nichtbestehen der Verifizierung, dass sie ist, wer sie vorgibt zu sein) — so wird der Rechenzentrums-Bereich nicht automatisch als schuldig behandelt, sondern nur als ein weiterer Faktor berücksichtigt.
Häufig gestellte Fragen
Schneidet das Blockieren einer ganzen ASN nicht auch legitimen Traffic ab?
Das kann passieren, wenn man einen pauschalen direkten Blockiermodus verwendet — deshalb lohnt es sich, vorher zu prüfen, welcher legitime Traffic von dort kommen könnte, oder einen Modus zu verwenden, der nur bei einem zusätzlichen verdächtigen Signal aktiv wird.
Wie finde ich die ASN eines bestimmten Anbieters heraus?
Öffentliche Tools wie bgp.tools oder bgp.he.net erlauben die Suche nach Firmennamen und zeigen alle IP-Bereiche, die zu dessen ASN gehören.
Ersetzt das die Blockierung nach IP oder Land?
Nein, sie ergänzen sich: Geo-Blocking filtert nach Land, IP-Blocking wirkt auf eine konkrete Quelle, und ASN-Blocking deckt den Mittelfall ab — “ein ganzer Hosting-Anbieter” — den weder Geografie noch eine einzelne IP allein gut lösen.