IP-Adresse einer Website herausfinden — und ihr Standort
Die IP-Adresse ist in fünf Sekunden da. Was daraus über den Standort gefolgert wird, ist dagegen meistens falsch — und zwar aus einem Grund, den die Anzeige selbst nicht verrät.
Die Abfrage#
Im Terminal, auf jedem System:
nslookup beispiel.de
Oder, wo verfügbar, dig beispiel.de +short — kürzer und ohne Beiwerk. Windows kennt nslookup von Haus aus, macOS und Linux beides.
Kommen mehrere Adressen zurück, ist das der Normalfall: Lastverteilung, IPv4 und IPv6 nebeneinander, oder ein Netzwerk, das je nach Anfragendem etwas anderes antwortet.
Der Standort, und warum er selten stimmt#
Eine IP-Adresse ist einem Netzbetreiber zugeteilt, nicht einem Ort. Was Standortdienste anzeigen, ist der eingetragene Sitz dieses Betreibers oder eine Schätzung aus Laufzeitmessungen. Bei Servern in Rechenzentren liegt das oft daneben — nicht um Meter, sondern um Länder.
Der größere Punkt: Läuft eine Seite über ein Content Delivery Network, gibt es den einen Standort gar nicht. Ein CDN beantwortet jede Anfrage vom nächstgelegenen Knoten. Die IP, die du siehst, gehört zu dem Knoten, der dir am nächsten steht — nicht zu dem Server, auf dem die Seite liegt. Zwei Menschen in verschiedenen Ländern bekommen verschiedene Adressen für dieselbe Domain, und beide sind richtig.
Woran man ein CDN erkennt: Der Rückwärtseintrag der Adresse oder der Server-Header nennt einen bekannten Anbieter. Dann ist die Standortfrage beantwortet — mit „überall".
Wofür die IP trotzdem taugt#
Den Betreiber der Infrastruktur finden. Die Zuteilung ist öffentlich: Zu jeder Adresse lässt sich der Netzbetreiber samt Missbrauchskontakt abfragen. Das ist die Stelle, an die ein Hinweis auf eine Betrugsseite gehört — nicht der Registrar, sondern der Hoster.
Zusammenhänge sehen. Liegen zwei Seiten auf derselben Adresse, kann das dasselbe Projekt bedeuten — oder nur denselben Massenhoster. Bei einer geteilten Adresse mit hunderten Domains sagt es nichts. Bei einer eigenen Adresse sagt es viel.
Die eigene Erreichbarkeit prüfen. Zeigt die Domain noch auf den alten Server? Nach einem Umzug ist das die erste Frage, und nslookup beantwortet sie.
Was der DNS sonst noch preisgibt#
nslookup -type=MX beispiel.de wer die Mails annimmt nslookup -type=TXT beispiel.de SPF, DMARC, Bestätigungen nslookup -type=NS beispiel.de wer die Zone verwaltet
Die TXT-Einträge sind der ergiebigste Teil. Dort stehen die Bestätigungscodes von Diensten, die jemand eingerichtet hat — und damit eine Liste der Werkzeuge, mit denen ein Betrieb arbeitet. Ein fehlender SPF- oder DMARC-Eintrag wiederum sagt, dass sich im Namen dieser Domain leicht Mails fälschen lassen.
Für die eigene Seite#
Zwei Prüfungen lohnen regelmäßig:
Zeigt noch alles dorthin, wo es soll? Alte A-Einträge für Subdomains, die es nicht mehr gibt, sind ein bekannter Angriffsweg: Wer den verwaisten Zielort übernimmt, bekommt eine Subdomain der fremden Domain.
Stimmt die Mail-Absicherung? MX, SPF, DKIM, DMARC — vier Einträge, und drei davon fehlen häufiger, als man denkt.
Weiterlesen#
Wer wissen will, wer hinter der Domain steht statt hinter dem Server: Domainbesitzer herausfinden. Welche Technik auf dem Server läuft, liest der Tech-Stack-Checker — oder man sieht selbst nach, siehe Website-Quellcode anzeigen.