TCP/IP-Proxydruck: So überprüfen Sie, ob Ihr Betriebssystem Sie nicht an Anti-Bot-Systeme verrät

Sie haben den Antidetect-Browser für Windows und Chrome eingerichtet, eine saubere IP ausgewählt, die Zeitzone und die Sprache angepasst, und die Website zeigt trotzdem ein Captcha an oder schneidet das Konto ab. Ein häufiger Grund liegt unterhalb des Browsers, auf der Ebene von TCP/IP. Der Server sieht das erste Verbindungs-Paket (SYN), und an seinen Feldern erkennt man, welches Betriebssystem dieses Paket gesendet hat. Wenn es ein Linux-Proxy-Server ist und der User-Agent Windows angibt, erhält das Antibot-System einen Widerspruch, den man mit Headern nicht beheben kann.

Das Thema ist keine Exotik mehr. Am 13. Oktober 2026, laut Proxyway, hat der britische Anbieter Byteful in der offenen Beta die Spoofing-Funktion für TCP/IP-Fingerabdrücke für Rechenzentrums- und ISP-Proxys aktiviert: Sie können sich als Windows, macOS, Linux, Android und iOS ausgeben. Die Erklärung von Proxyway ist einfach: Antibot-Systeme achten zunehmend auf den TCP/IP-Fingerabdruck. Im Folgenden werden wir erläutern, wie diese Überprüfung funktioniert, wie man in fünf Minuten seinen Proxy überprüfen kann und was zu tun ist, wenn es zu Abweichungen kommt.

Was ist ein TCP/IP-Fingerabdruck und warum ändert der Proxy ihn?

Jedes Betriebssystem sammelt das SYN-Paket auf seine eigene Weise: seine anfängliche TTL, die Größe des TCP-Fensters, den Fenster-Skalierungsfaktor, MSS und, am wichtigsten, die Menge und Reihenfolge der TCP-Optionen. Passives Fingerprinting (hier ist das klassische Tool p0f, moderne Varianten heißen Zardaxt und JA4T) liest diese Felder und errät das Betriebssystem, ohne dem Client eine Antwort zu senden.

Ein entscheidender Punkt für diejenigen, die über einen Proxy arbeiten: Die Website sieht den TCP-Stack des Geräts, das die letzte Verbindung zu ihr öffnet. Ein normaler Proxy (HTTP CONNECT oder SOCKS5) akzeptiert Ihre Verbindung und öffnet eine neue Verbindung zur Website in seinem eigenen Namen. Daher gehören TTL und TCP-Optionen im Paket dem Proxy und nicht Ihrem Computer. Den User-Agent, den TLS-Fingerabdruck oder die Header kann man ändern, aber das SYN wurde bereits vom Kernel des Geräts gesammelt, über das Sie verbunden sind.

Typische Werte nach Betriebssystem

Orientierungen aus der Analyse von Scrapfly und der Dokumentation von pydoll (die Werte können je nach spezifischen Kernel-Versionen und Netzwerken variieren):

• Windows 10/11: anfängliche TTL 128, Fenster 64240–65535, Reihenfolge der Optionen MSS, NOP, WSCALE, NOP, NOP, SACK (standardmäßig ohne Timestamp).
• Linux: TTL 64, Fenster 29200 bei Kerneln 3.x+ (bei einigen 5.x/6.x-Kernen 64240), Reihenfolge MSS, SACK, TIMESTAMP, NOP, WSCALE.
• macOS und iOS: TTL 64, Fenster 65535, Reihenfolge MSS, NOP, WSCALE, NOP, NOP, TIMESTAMP, SACK, EOL.
• Android: TTL 64, die Reihenfolge der Optionen ist ähnlich wie bei Linux, was logisch ist, da es einen Linux-Kernel hat.

Hieraus ergibt sich die Hauptfalle: Fast alle Rechenzentrums-Proxys laufen auf Linux. Das Profil „Windows + Chrome“ über einem solchen Proxy trägt im SYN Merkmale von Linux, und dieser Widerspruch fällt am stärksten auf.

Wie genau fangen Antibots Abweichungen auf?

Zahlen gibt es vom offenen Projekt Zardaxt: Dies sind umgeschriebene p0f und satori.py, die speziell nach Repeatern suchen, also HTTP- und SOCKS-Proxys, hinter denen der Browser sich als ein anderes Gerät ausgibt. Laut README für die Version vom 21. September 2026 (Datenbasis von 1.453 Fingerabdrücken aus etwa 23.000 Sitzungen):

• Das Modell mit einem Schwellenwert von 0,8 fängt 94,4% der Verbindungen über Proxys und markiert fälschlicherweise nur 0,1% der direkten Verbindungen;
• Wenn der Browser Windows angibt, wird der Proxy in 96% der Fälle erkannt, wenn Mac, dann in 99%;
• Schwache Punkte sind Android und Linux: Sie teilen sich eine Klasse, daher werden solche Repeater in 74% der Fälle erkannt;
• Tunnel-VPNs sieht das Modell kaum (6,1%): Über einen Tunnel zur Website spricht der Stack Ihres eigenen Geräts.

Am stärksten gibt das Betriebssystem die Reihenfolge der TCP-Optionen preis: In der Faktorenanalyse des Projekts errät dieses Feld das Betriebssystem in 99,1% der Fälle. Das DF-Flag ist fast nutzlos (0,362). Dies ist ein offenes Werkzeug eines Forschers, bei kommerziellen Antibots werden keine Details veröffentlicht, aber das Prinzip ist dasselbe: Vergleichen Sie das Betriebssystem aus SYN mit dem Betriebssystem aus User-Agent.

Wie man seinen Proxy überprüft: Schritt für Schritt

1. Erstellen Sie einen „Referenzwert“ ohne Proxy. Öffnen Sie in einem normalen Browser browserleaks.com/tcp. Notieren Sie sich TTL, MSS, die Reihenfolge der Optionen, die Vermutung von p0f und die Bewertungen von Zardaxt zum Betriebssystem. Das ist Ihr echter Stack.
2. Überprüfen Sie den Proxy über die Konsole. Führen Sie eine Anfrage über den Proxy an den offenen Klassifizierer aus:
   curl -x http://LOGIN:PASS@HOST:PORT "https://tcpip.incolumitas.com/classify?by_ip=1"
   In der Antwort gibt es ein Feld avg_score_os_class mit Punkten für Linux, Windows, Mac OS und iOS. Der Gewinner hier ist das Betriebssystem des Ausgangs-Proxy, nicht Ihres Computers.
3. Wiederholen Sie dies im Antidetect-Profil. Öffnen Sie browserleaks.com/tcp oder proxydetect.live/tcpip.html bereits im Profil mit dem Proxy. Vergleichen Sie nun zwei Dinge: das Betriebssystem aus TCP/IP und das Betriebssystem aus dem User-Agent des Profils.
4. Beachten Sie MSS. Eine saubere Ethernet-Leitung gibt MSS 1460. Werte wie 1380 (WireGuard), 1360 (IPsec) oder 1240 deuten auf einen Tunnel auf dem Weg hin. An sich ist das kein Bann, Mobilfunknetze geben auch oft einen niedrigeren MSS, aber in Kombination mit anderen Anzeichen erhöht es den Verdacht.
5. Führen Sie 5–10 Messungen bei Rotation durch. Bei Residential- und mobilen Proxys kann jede neue IP ein anderes Gerät mit einem anderen Betriebssystem sein. Eine Messung sagt nichts aus, schauen Sie sich die Verteilung an.
6. Fassen Sie in einer Tabelle zusammen: Typ des Proxys → Betriebssystem nach TCP → Betriebssystem des Profils → Übereinstimmung ja/nein. Das ist die Antwort, welches Profil auf welchem Proxy gestartet werden soll.

Ein einzelner TTL-Wert ist als Beweis nicht ausreichend: Der sichtbare Wert verringert sich an jedem Router, und die Website bewertet nur den anfänglichen (64 oder 128) nach der nächstgelegenen Potenz. Entscheidend sind die Kombinationen der Felder, vor allem die Reihenfolge der Optionen.

Was tun bei Abweichungen

1. Passen Sie das Profil an den Proxy an, nicht umgekehrt

Die kostengünstigste Methode: Wählen Sie das Betriebssystem des Profils so, dass es mit dem übereinstimmt, was der Ausgangs-Proxy anzeigt. Wenn der Proxy Linux angibt, ist es ehrlicher, ein Linux-Profil zu starten, als der Website zu beweisen, dass Sie Windows sind. Für Aufgaben, bei denen das Betriebssystem des Profils nicht wichtig ist (Parsing öffentlicher Seiten, Preisüberwachung), löst dies das Problem vollständig.

2. Wählen Sie den Proxy-Typ entsprechend dem benötigten Betriebssystem

• Rechenzentrums-Proxys zeigen fast immer einen Linux-Server aus einer Cloud-ASN an. Das ist normal für das Scraping von einem Linux-Client (Python, Go, curl auf dem Server): Der Stack und der User-Agent Ihres Skripts stimmen überein. Für Profile „Windows-Benutzer“ ist dies ein schwaches Glied. Rechenzentrums-Proxys wählen Sie dort, wo Geschwindigkeit und Preis pro Gigabyte wichtig sind, nicht die Legende eines „lebenden Menschen“.
• Residential-Proxys gehen über echte Heimgeräte und Gateways, daher sieht die Website den Stack des echten Benutzerknotens. Das Betriebssystem auf einer bestimmten IP ist im Voraus nicht garantiert, aber es ist der Stack eines echten Geräts, nicht eines Cloud-Servers. Für Multi-Accounting und komplexe Antibots bieten Residential-Proxys das natürlichste Bild, wenn man die Verteilung der Betriebssysteme bei der Rotation überprüft.
• Mobile Proxys zeigen Pfade, die Android oder iOS ähneln. Für mobile Profile (Soziale Netzwerke, Anwendungen, mobile Versionen von Websites) ist dies eine ideale Übereinstimmung auf allen Ebenen. Mehr darüber, wie man eine echte mobile IP von einer Fälschung unterscheidet, lesen Sie in unserer Anleitung zur Überprüfung mobiler Proxys. Für solche Aufgaben eignen sich mobile 4G/5G Proxys.

3. Verwechseln Sie nicht die TCP-Ebene mit der TLS-Ebene

Werkzeuge wie curl-impersonate oder curl_cffi fälschen das TLS-Handshake und HTTP/2 unter Chrome, aber der TCP-Stack bleibt unberührt: SYN wird weiterhin vom Kernel des Geräts gesammelt, von dem die Verbindung ausgeht. Ein guter TLS-Fingerabdruck über einem widersprüchlichen TCP rettet nicht, beide Schichten sind notwendig. Wie man den TLS-Teil ausrichtet, wird im Artikel über Umgehung von JA4 über curl_cffi behandelt.

4. Betriebssystem-Spoofing auf der Proxy-Seite und Tunnel

Anbieter beginnen, das Spoofing von TCP/IP-Fingerabdrücken auf ihren Servern zu verkaufen, das Beispiel Byteful oben, aber das ist bisher selten und in der Beta-Phase. Es gibt auch einen umgekehrten Weg: Tunnel-VPNs erkennt das Modell Zardaxt kaum als Repeater, weil die Website Ihren eigenen Stack sieht. Die Nachteile sind ebenfalls bekannt: Ein reduziertes MSS zeigt einen Tunnel an, und die IP des VPN wird oft in Datenbanken als Hosting-IP aufgeführt.

Häufige Fehler

• Nur IP-Checker verwenden. IP-Reputationsdienste schauen sich die Adresse und ASN an, nicht das SYN. Eine saubere IP mit einem Linux-Stack unter einem Windows-Profil besteht den Checker und fällt bei Antibots durch.
• Schlussfolgerungen aus einer einzelnen Messung bei Rotation ziehen. Im Residential-Pool kann die nächste IP ein anderes Betriebssystem sein.
• Mit Headern reparieren. Kein Header schreibt das SYN um, nachdem der Kernel es gesendet hat.
• Android-Profile auf Linux-Proxys ignorieren. Für offene Modelle ist dies ein Unsicherheitsbereich (74% Erkennung), aber kommerzielle Antibots können andere Signale hinzufügen, wie Timings und mobile ASN. Ein mobiles Profil sieht natürlicher aus auf einer mobilen IP.

Fazit

Der TCP/IP-Fingerabdruck ist eine Schicht, die nicht aus dem Browser heraus korrigiert werden kann: Sie wird von der Maschine bestimmt, die die Verbindung zur Website öffnet. Die Überprüfung dauert fünf Minuten: browserleaks.com/tcp ohne Proxy und mit Proxy, plus curl zum offenen Klassifizierer. Danach gilt die einfache Regel: Das Betriebssystem des Profils sollte mit dem Betriebssystem des Ausgangs-Proxy übereinstimmen. Rechenzentren eignen sich für Linux-Skripte, Residential-Proxys für „lebendige“ Desktop-Profile, mobile Proxys für mobile Szenarien. Wählen Sie den Proxy-Typ entsprechend Ihrem Profil, führen Sie 5–10 Messungen bei Rotation durch, und das Antibot-System verliert einen seiner zuverlässigsten Anhaltspunkte.