Woher kommen die Resident-IP: 4 Modelle und AppEsteem-Test

Beim Kauf eines Residential Proxys mieten Sie tatsächlich eine fremde Heimverbindung. Wessen genau und mit wessen Zustimmung – das ist eine Frage, die im Jahr 2026 nicht mehr philosophisch ist. Im Januar hat Google zusammen mit Partnern das Netzwerk IPIDEA aufgedeckt, in dem Adressen unter anderem durch kompromittierte Programme und Set-Top-Boxen mit verstecktem Proxy-Code gesammelt wurden. Seit September überprüft das Unternehmen AppEsteem, das eine öffentliche Liste von „betrügerischer“ Software führt, einmal im Monat die Proxy-Anbieter selbst: was der Kunde mit minimaler Überprüfung tun kann und ob der Besitzer der Heim-IP darunter leidet.

Im Folgenden finden Sie einen Vergleich von vier Modellen, mit denen Anbieter Residential-Adressen sammeln, sowie eine Analyse von zehn Anforderungen des AppEsteem-Tests: was davon für den normalen Käufer relevant ist und wodurch sich ein „verantwortungsvoller“ Anbieter in Ihren Aufgaben von einem „alles fressenden“ unterscheidet.

Was passiert ist: Proxy-Anbieter werden wie Antiviren getestet

AppEsteem hat in AMTSO (der Organisation, die die Teststandards für Antivirenprogramme festlegt) eine Reihe von „AppEsteem 2026 Residential Proxy Operator Responsibilities Test Series“ registriert. Die Mitteilung über den Test wurde am 21. September 2026 veröffentlicht, das Veröffentlichungsdatum der Ergebnisse in der AMTSO-Karte ist der 19. November 2026.

Aus dem veröffentlichten Testplan (Version 1.1 vom 11. September):

Der Test ist kontinuierlich und monatlich. Die ersten drei Dienstage im Monat sind Trainingsläufe, deren Ergebnisse nur von den Anbietern gesehen werden, die diesen Service bezahlt haben. Der vierte Dienstag ist ein Prüfungsdurchlauf für alle, dessen Ergebnisse kostenlos veröffentlicht werden. Der erste Prüfungsdurchlauf laut Plan ist der vierte Dienstag im September 2026.
Getestet wird im Namen des „am wenigsten überprüften Kunden“ – eines Kontos, das mit der niedrigsten Schwelle registriert ist, die der Anbieter zulässt. Bei manchen ist das eine E-Mail und eine Karte, bei anderen bereits KYC.
Jeder Zugang wird einzeln überprüft: HTTP(S)-Proxys, SOCKS5-Ports und mit der Zeit auch „Agenten“-/MCP-Schnittstellen. Der Grund wird im Plan direkt genannt: Ein Anbieter, der eine Website über HTTP blockiert, lässt sie manchmal über seinen eigenen SOCKS5 durch.
Folgen: Ein zertifizierter Anbieter, der seine Versprechen bricht, riskiert eine Überprüfung oder den Entzug seines Zertifikats; ein nicht zertifizierter Anbieter, der „ethische“ Adressen bewirbt, sie aber für Missbrauch zugänglich lässt, wird in die Deceptor-Liste aufgenommen. Die Ergebnisse und diese Liste übergibt AppEsteem an Antivirenanbieter und an diejenigen, die Unternehmensnetzwerke schützen.

Ein wichtiger Punkt: Die Frage der Zustimmung (RPR-001, „ethische Sammlung“) ist nicht Teil dieses Tests – AppEsteem überprüft sie separat im Rahmen der Zertifizierung. Der neue Test behandelt etwas anderes: Selbst eine ehrlich erhaltene Adresse sollte nicht zum Angriffsinstrument werden.

Vier Modelle zur Sammlung von Residential-IPs: Vergleich

Nach dem Bericht der Google Threat Intelligence Group über das Netzwerk IPIDEA und Branchenübersichten gelangen Adressen auf vier Hauptwegen in Residential-Pools. Sie unterscheiden sich nicht nur in der Ethik, sondern auch in der Stabilität des Pools und wie „schmutzig“ die Adressen sein werden.

1. „Verdiene mit Traffic“-Apps (bewusste Opt-in)

Eine Person installiert selbst ein Programm, das bezahlt oder Boni für die Bereitstellung des Kanals vergibt. Die Zustimmung ist am deutlichsten: Der Benutzer versteht, warum er die Software installiert hat. Aber auch hier ist es wichtig, ob die Person sieht, welcher Traffic über ihren Kanal läuft, und ob sie die Bereitstellung jederzeit ausschalten kann: eine ausdrückliche Zustimmung bei der Installation garantiert noch nicht die ehrliche Nutzung danach.

2. SDK in regulären Anwendungen

Ein Entwickler von Spielen, Dienstprogrammen oder Inhalten integriert ein Monetarisierungs-SDK, und das Gerät wird zum Ausgangsknoten. Der SDK-Anbieter bezahlt den Entwickler – laut GTIG normalerweise für die Installation. Die Qualität der Zustimmung hängt davon ab, wie der Zustimmungsschirm dargestellt wird: Infoblox merkt in seiner Juni-Studie an, dass die Zustimmung oft in den Nutzungsbedingungen versteckt ist, die niemand liest. Dies ist die größte und anfälligste Quelle: Der Pool kann über Nacht verschwinden. Im Fall von IPIDEA begann Google Play Protect, vor Anwendungen mit ihrem SDK zu warnen, sie zu entfernen und neue Installationen auf zertifizierten Android-Geräten zu blockieren.

3. Kostenlose VPNs und Geräte mit Vorinstallation

Eine separate Klasse sind kostenlose VPNs, die tatsächlich als VPN funktionieren, aber gleichzeitig das Gerät in ein Proxy-Netzwerk einbinden, sowie nicht zertifizierte Set-Top-Boxen und günstige Android-Geräte mit verstecktem Proxy-Code „out of the box“. Im Bericht über IPIDEA werden die VPN-Anwendungen Galleon VPN, Radish VPN und Aman VPN genannt. Eine Zustimmung gibt es hier im Grunde nicht, und der Pool lebt bis zur ersten Bereinigung der Plattform oder Firmware.

4. Trojaner und Botnetze

Die dunkelste Variante: Das Gerät ist infiziert, der Besitzer weiß nichts davon. GTIG fand 3.075 einzigartige Hashes von Windows-Dateien, die mit den Steuerdomänen von IPIDEA kommunizierten, einschließlich Binärdateien, die sich als OneDriveSync und Windows Update tarnen. Solche Adressen sind normalerweise bereits in Bedrohungsdatenbanken aufgeführt – und was für den Käufer wichtiger ist, in Ihrer Nähe arbeiten über dasselbe Netzwerk Angreifer: Laut Google nutzten in einer Woche im Januar 2026 über 550 Gruppen die Ausgangsknoten von IPIDEA.

Zusammenfassungstabelle

Modell	Zustimmung des IP-Besitzers	Stabilität des Pools	Risiko eines „schmutzigen“ Rufs der Adresse	Risiko einer plötzlichen Bereinigung
Opt-in „Verdiene mit Traffic“	Ausdrücklich	Mittel	Unterdurchschnittlich	Niedrig
SDK in Anwendungen	Von ausdrücklich bis formal	Hoch, solange das SDK nicht gesperrt wurde	Mittel	Mittel-hoch
Kostenlose VPNs, Set-Top-Boxen mit Vorinstallation	Formal oder nicht vorhanden	Niedrig	Hoch	Hoch
Trojaner, Botnetze	Nein	Unvorhersehbar	Sehr hoch	Sehr hoch

Die Bewertungen in den letzten drei Spalten sind unsere qualitative Interpretation basierend auf den beschriebenen Fällen und keine Messungen. Wir haben ausführlich untersucht, wie das Verbot von SDK auf der Plattform den Pool beeinträchtigt, in einem Artikel über das Verbot von Proxy-SDK in Smart TVs von LG.

Zehn Anforderungen von AppEsteem und was sie für den Käufer bedeuten

Der Test misst das Verhalten des Anbieters anhand von zehn Punkten aus dem Whitepaper von AppEsteem (RPR-002 – RPR-011). Für den Kunden lassen sie sich in drei Gruppen einteilen.

Schützen sowohl Sie als auch den Besitzer der Adresse

RPR-002 – saubere Adresse. Der Anbieter darf nicht im Voraus erlauben, die IP für Spam, Betrug und Manipulationen zu verwenden, sondern muss dies nachträglich klären. Für Sie bedeutet dies weniger Adressen, die bereits in Anti-Betrugs-Datenbanken markiert sind.
RPR-003 – kein illegaler Traffic, Malware-Domains, kriminelle Plattformen und Foren mit gestohlenen Daten.
RPR-005 – Traffic nur nach außen. Es darf kein Ausgang in das Heimnetzwerk, auf den Router, auf Loopback geleitet werden, und es dürfen keine E-Mail- und Remote-Desktop-Ports oder UDP-Relays geöffnet werden.
RPR-010 – das Programm ist vom Gerät abgeschottet. Es liest keine Passwörter, Cookies und Dateien des Besitzers, und Ihre Anmeldedaten werden auf dem Weg nicht gelesen.
RPR-011 – die Software ist aktualisiert und gleichmäßig auf allen Eingängen geschützt.

Blockierungen, die der Kunde bemerken wird

RPR-006 – gefährliche Kategorien sind standardmäßig für jede anonyme Registrierung gesperrt. Im Testplan sind als Beispiele für Kategorien Erwachseneninhalte, Glücksspiel, Regierungswebsites, Banken, Krypto, Streaming, Spiele, Tickets und E-Mail aufgeführt.
RPR-007 – Blockierungen können nicht umgangen werden durch kleine Änderungen der Adresse, „Reflektoren“ oder den eigenen SOCKS5-Port des Anbieters.
RPR-004 – nur öffentliche Seiten. Für den nicht überprüften Kunden muss die Verbindung das lesen, was die Website allen zeigt, und keine Logins, Cookies und Tokens für geschlossene Bereiche übermitteln. Der Test überprüft an einer Kontrollwebsite die Zugänge, Registrierungen, Veröffentlichungen und das Einfügen von Anmeldedaten.

Transparenz der Regeln

RPR-008 und RPR-009 – veröffentlichte Regeln (AUP) und eine Liste von Ausnahmen mit Gründen. Der Anbieter kann den Zugriff auf geschlossene Kategorien für überprüfte Kunden öffnen, aber nur, wenn die Ausnahme veröffentlicht ist, der Kunde überprüft wurde und der Besitzer der Adresse sehen kann, wie seine Verbindung genutzt wird. Im Plan steht ausdrücklich: Ohne die dritte Bedingung schützt die Identitätsprüfung „die Papiere des Anbieters, nicht des Verbrauchers“.

Zusätzlich fängt der Test einen umgekehrten Fehler ein – Übervorsicht. Wenn der Anbieter gewöhnliche Websites wie Nachrichten oder Enzyklopädien blockiert, gilt dies als Misserfolg: Das bedeutet, dass seine Blockierungen nichts über die Qualität des Schutzes aussagen.

Was sich in Ihren Aufgaben ändern wird

Wenn die Branche beginnt, sich an diesen Test anzupassen, werden sich „verantwortungsvolle“ und „alles fressende“ Anbieter je nach Szenario unterschiedlich verhalten.

Parsing öffentlicher Daten (Preise, Ausgaben, Kataloge, Bewertungen). Nichts bricht: RPR-004 erlaubt ausdrücklich, das zu lesen, was die Website allen zeigt. Der Gewinn – sauberere Adressen und weniger Captchas durch Nachbarn im Pool.
Multi-Accounting, SMM, Arbeiten in Konten. Der sensibelste Bereich. Login, Veröffentlichung und Cookies von Sitzungen – genau das, was RPR-004 dem „am wenigsten überprüften Kunden“ verbietet. Das bedeutet, dass solche Szenarien bei verantwortungsvollen Anbietern in überprüfte Tarife mit KYC und einer Beschreibung der Aufgabe überführt werden. Wir haben verglichen, welcher der großen Anbieter bereits den Zugang verschärft hat, in der Übersicht KYC und Nutzungsrichtlinien bei Proxy-Anbietern.
E-Mail, Messenger mit nicht standardmäßigen Ports, UDP. E-Mail-Ports und UDP-Relays aus dem Heimnetzwerk gelten im Test als Verstoß. Für solche Aufgaben ist es sinnvoller, sofort Datacenter-Proxys oder eine Serverlösung zu wählen, bei der kein Heimgerät vorhanden ist, das man verwenden könnte.
Banken, Regierungswebsites, Tickets, Streaming. Diese Kategorien sind in den Beispielen der Standardblockierung enthalten. Wenn Ihre Aufgabe die legale Überprüfung von Lokalisierung oder Preisen in diesen Nischen ist, bereiten Sie sich auf die Anfrage nach einer Fallbeschreibung vor.

Wie man den Anbieter bereits jetzt überprüfen kann

Die Ergebnisse von AppEsteem für bestimmte Anbieter sind bisher nicht veröffentlicht, aber die Fragen aus ihrer Methodik können Sie jedem Verkäufer selbst stellen:

Woher stammen die Adressen? Opt-in-Anwendung, SDK, Partnerschaft mit Anbietern? Gibt es eine öffentliche Seite über die Zustimmung der Eigentümer und darüber, wie sie sich abmelden können?
Gibt es eine veröffentlichte AUP und eine Liste der blockierten Kategorien? Wenn es keine Regeln gibt, ist das keine „Freiheit“, sondern ein Signal, dass in Ihrem Pool jeder arbeiten kann.
Funktionieren HTTP und SOCKS5 gleich? Überprüfen Sie dieselbe Website über beide Protokolle: Unterschiede in der Verfügbarkeit sind ein Zeichen für einen gefälschten Schutz.
Wie sauber sind die Adressen? Lassen Sie 10–20 ausgegebene IPs durch Reputationsprüfer laufen und vergleichen Sie sie mit einer vertrauenswürdigen Verbindung. Ein hoher Anteil an Adressen mit den Markierungen „Proxy/Bot/Betrug“ sagt viel darüber aus, wie der Pool gefüllt wird.
Was passiert bei einer massiven Bereinigung? Fragen Sie, aus wie vielen Quellen der Pool zusammengestellt wurde. Ein SDK – ein Tag bis zum Verlust eines erheblichen Teils der Adressen.

Für Szenarien, in denen eine „lebendige“ Heimadresse wichtig ist – lokale Ausgaben, Überprüfung von Werbung, Geo-Preise – wählen Sie Residential Proxys mit klaren Regeln und Rotation für die Aufgabe, und für die Arbeit in Konten mit Login erkundigen Sie sich im Voraus beim Anbieter, ob ein solches Szenario erlaubt ist.

Fazit

Der Test von AppEsteem ist der erste Versuch, Proxy-Anbieter genauso zu messen wie Antivirenprogramme: nach einer öffentlichen Methodik, monatlich, mit separaten Bewertungen für den Besitzer der Adresse und für den Kunden. Für ehrliches Parsing öffentlicher Daten ist das eine gute Nachricht: weniger schmutzige Adressen und Nachbarn, die Angreifer sind. Für Multi-Accounting und Arbeiten mit Logins – ein Signal, sich auf KYC und die Beschreibung von Aufgaben vorzubereiten. Die ersten öffentlichen Ergebnisse werden im November erwartet; bis dahin ist der beste Filter die gleichen Fragen nach der Herkunft der Adressen und den Regeln, die auch der Test stellt.