Gericht in Utah: Keine genaue Geolokalisierung über IP. Was bedeutet das für VPN und Proxys?

Am 24. September 2026 hat der Bundesrichter in Utah, David Barlow, den Teil des Gesetzes SB 73 ausgesetzt, der von Websites verlangte, den tatsächlichen Standort der Besucher selbst über VPN oder Proxys zu ermitteln. Das Hauptargument des Gerichts ist fast ingenieurtechnisch formuliert: Eine perfekte Geolokalisierung über IP existiert derzeit nicht, und das Gesetz verlangte genau dies. Ende Oktober wird die britische Ofcom ihre Empfehlungen zur Identifizierung von VPNs veröffentlichen. Im Folgenden analysieren wir, was das Gericht entschieden hat, wie sich dies von der Position Großbritanniens unterscheidet und was sich für diejenigen ändert, die mit geoabhängigen Diensten, Scraping und Proxys arbeiten.

Was das Gericht in Utah entschieden hat

Die Klage wurde von Aylo (Besitzer von Pornhub und anderen Erwachsenen-Websites) eingereicht, Fall Aylo Freesites Ltd v. Utah, Nr. 2:26-cv-00340. Betroffen war eine Norm: Abschnitt 78B-3-1002(3), der durch die Änderungen von 2026 hinzugefügt wurde. Dieser betrachtete einen Besucher, der sich physisch in Utah aufhielt, als Bewohner des Bundesstaates, selbst wenn sein Standort durch VPN oder Proxy verborgen war. Die Website war für diesen Benutzer verantwortlich.

Das Gericht erließ eine vorläufige einstweilige Verfügung (preliminary injunction). Die Hauptargumente:

• In der Norm fehlt eine Klausel zu „angemessenen Bemühungen“. Formal ist die Website für jeden versäumten Benutzer verantwortlich, das heißt, sie muss alle ohne Fehler geolokalisieren. Beide Parteien waren sich jedoch einig, dass eine perfekte Geolokalisierung unmöglich ist.
• Belastung des Handels außerhalb des Bundesstaates. Da man einen Bewohner von Utah über VPN nicht genau von einem Bewohner aus Seattle oder Shanghai unterscheiden kann, müsste die Website das Alter aller Besucher weltweit überprüfen. Im Urteil wird eine Zahl genannt: Aylo müsste 28 Millionen Benutzer verifizieren. Das Gericht stellte fest, dass dies wahrscheinlich die sogenannte „schlafende“ Handelsklausel der US-Verfassung (dormant Commerce Clause) verletzt.
• Der Staat hat weniger belastende Möglichkeiten, Minderjährige zu schützen.

Utah wandte ein, dass das Gesetz nicht Perfektion, sondern angemessene Maßnahmen verlangt: Die wahrscheinliche Nutzung von VPN kann berechnet werden, und der Standort kann aus den Geräteeinstellungen und der Aktivität des Kontos abgeleitet werden. Das Gericht antwortete, dass es den Text des Gesetzes analysiert, der von der Legislative verabschiedet wurde, und nicht, wie der Generalstaatsanwalt vorschlägt, es anzuwenden.

Was in Kraft bleibt

• Die Hauptpflicht von Erwachsenen-Websites, das Alter „mit angemessenen Methoden“ zu überprüfen, bleibt bestehen.
• Das Verbot für solche Websites, zu erklären, wie man die Überprüfung über VPN umgeht, wurde von Aylo nicht angefochten und bleibt ebenfalls bestehen.
• Die Ausführungsregeln R152-78B, die am 1. September veröffentlicht wurden und ab dem 8. Oktober in Kraft treten könnten, können nicht angewendet werden, solange das Gerichtsurteil besteht.
• Die Parteien haben sich darauf geeinigt, den Prozess bis zum Ende der Sitzung der Legislative von Utah im Jahr 2027 auszusetzen: Es wird erwartet, dass das Gesetz neu geschrieben wird.

Kontext: Gesetze zur Altersüberprüfung für Erwachsenen-Inhalte wurden in 27 Bundesstaaten der USA verabschiedet (Stand August 2026), aber nur Utah hat versucht, Websites direkt zu verpflichten, Benutzer über VPN zu identifizieren. Wie diese Norm vor dem Gericht aussah und warum sie Websites zu massiven IP-Sperren drängte, haben wir in dem Artikel über den SCREEN Act und Utah SB 73 behandelt.

Warum IP nicht sagt, wo sich eine Person befindet

Die Schlussfolgerung des Gerichts ist technisch korrekt und geht weit über Websites für Erwachsene hinaus. IP-Geolokalisierung ist eine probabilistische Schätzung auf der Grundlage einer Datenbank und kein Maß. Die Website sieht nur die Adresse, von der die Anfrage kam. Wenn der Verkehr über VPN oder Proxy läuft, handelt es sich um die Adresse eines Zwischenservers oder eines fremden Geräts.

Selbst ohne VPN ist die Genauigkeit gering. Laut MaxMind (einer der größten Geo-Datenbanken) werden in den USA im Umkreis von 50 km etwa 60% der IP-Adressen korrekt bestimmt, weitere 33% sind einer Stadt zugeordnet, verfehlen jedoch um mehr als 50 km, und für 7% der Daten gibt es auf Stadtebene überhaupt keine Informationen. Das Unternehmen weist ausdrücklich darauf hin, dass es keine Genauigkeit in der Zukunft garantiert.

Die Fehler entstehen aus mehreren Schichten:

• Zuordnung von Blöcken zur Registrierungsregion. Ein Anbieter kann ein Subnetz in einer Stadt registrieren, es aber in einer anderen an seine Kunden verteilen.
• Mobiles NAT. Bei Mobilfunkanbietern sitzen viele Kunden hinter einer einzigen öffentlichen IP, und der Internetzugang erfolgt häufig über einen Knoten in einer anderen Region.
• Unternehmensnetzwerke und Clouds. Ein Mitarbeiter in Utah mit einem Büro-VPN sieht aus wie ein Benutzer aus der Zentrale in Kalifornien oder aus einem Rechenzentrum.
• Verzögerung bei der Aktualisierung von Datenbanken. Subnetze wechseln zwischen Anbietern und Ländern, während die Datenbanken Wochen brauchen, um dies nachzuholen.

Deshalb stößt jede Forderung nach „genauer Bestimmung“ an die physikalischen Grenzen des Netzwerks. Das Gericht in Utah war im Grunde das erste Gericht, das dies in einem Urteil zu VPN festhielt.

Großbritannien geht einen anderen Weg

In Großbritannien gilt die Altersüberprüfung gemäß dem Online Safety Act seit dem 25. Juli 2025, die Geldstrafen können bis zu 18 Millionen Pfund oder 10% des weltweiten Umsatzes betragen. Die Reaktion der Benutzer war sofort: Die Registrierungen von Proton VPN aus Großbritannien stiegen am Tag des Inkrafttretens der Regeln um 1400%, und die App überholte kurzzeitig ChatGPT im britischen App Store.

Die Position der Behörden ist dabei vorsichtiger als die der Amerikaner:

• Am 15. Juli 2026 erklärte die Ministerin für Technologie, Liz Kendall, im Parlament, dass die Regierung VPN nicht verbieten und keine Altersüberprüfung für sie einführen werde.
• Ofcom erklärt ausdrücklich, dass das Gesetz ihm nicht das Recht gibt, die Blockierung von VPN zu verlangen.
• In einem Bericht vom Juli 2026 erkannte der Regulierer an, dass keine Methode zur Altersüberprüfung einen vollständigen Umgehungsschutz bietet, und empfiehlt einen mehrstufigen Ansatz mit Beteiligung von App-Stores und Kontrolle auf Geräteebene.
• Ofcom wurde beauftragt, bis Ende Oktober 2026 Empfehlungen zu veröffentlichen, was Dienste tun können, um die Nutzung von VPN zu identifizieren und zu verhindern.

Das heißt, das britische Modell lautet nicht „geolokalisieren Sie perfekt unter Androhung von Strafen“, sondern „ergreifen Sie angemessene Maßnahmen“. Branchenanalysen beschreiben bereits ein Schema aus drei Zuständen für Dienste: Benutzer genau aus Großbritannien (Anforderungen anwenden), genau nicht aus Großbritannien (außerhalb des Gesetzes) und „Standort nicht überprüfbar“ – eine separate Entscheidung über das Risiko, beispielsweise das Alter in dieser Gruppe zu überprüfen.

Wie Websites VPN und Proxys identifizieren werden

Weder das amerikanische Gericht noch der britische Regulierer heben auf, dass Websites weiterhin verdächtigen Verkehr kennzeichnen werden. Typische Signale sind:

1. ASN des Hostings. Adressen aus den Bereichen von Clouds und Rechenzentren (AWS, Hetzner, OVH, M247 und ähnliche) werden zuerst markiert: gewöhnliche Heimbenutzer kommen nicht von dort.
2. Listen von VPN-Servern. Viele VPNs veröffentlichen die Adressen ihrer Server, andere lassen sich leicht sammeln, indem man sich mit dem Dienst verbindet.
3. Dichte der Benutzer pro IP. Hunderte verschiedener Konten von einer Adresse in kurzer Zeit deuten auf einen Ausgangsknoten hin.
4. Diskrepanzen. Zeitzone des Browsers, Systemsprache, Tastaturlayout, Zahlungsland im Vergleich zum Land der IP.
5. Verhaltens- und Kontosignale – genau das, worauf Utah im Gericht verwies.

Es ist wichtig, dass all diese Methoden Wahrscheinlichkeiten und keine Beweise liefern. Falsche Positivmeldungen sind unvermeidlich: betroffen sind Mitarbeiter mit Unternehmens-VPN, Abonnenten von Mobilfunkanbietern, Reisende und automatisierte Systeme, die Geo für Geschäfte benötigen.

Was das für Unternehmen bedeutet, die mit Geo arbeiten

Die Entscheidung betrifft Websites für Erwachsene, hat aber weitreichendere Folgen. Geo über IP wird für Preisgestaltung, Lizenzierung von Inhalten, Betrugsbekämpfung, Werbeüberprüfung und Monitoring verwendet. Einige praktische Schlussfolgerungen.

Wenn Sie Eigentümer eines Dienstes sind

• Bauen Sie die Einhaltung der Anforderungen nicht auf einer einzigen Geodatenbank auf. Selbst ohne VPN kann jede dritte Adresse in den USA einer falschen Stadt zugeordnet sein. Für Entscheidungen mit rechtlichen Konsequenzen ist eine Aufzeichnung darüber erforderlich, welche „angemessenen Maßnahmen“ Sie ergriffen haben.
• Berücksichtigen Sie den dritten Zustand „nicht wissen“. Das binäre „unser Gebiet / nicht unser Gebiet“ funktioniert schlecht bei mobilen und Unternehmensverkehren.
• Vergleichen Sie mehrere Quellen. Verschiedene Datenbanken weichen bei derselben Adresse ab. Wie sich IPQS, Scamalytics, IPinfo und andere Checker unterscheiden, haben wir an realen Adressen verglichen.

Wenn Sie Daten sammeln oder Werbung nach Regionen überprüfen

• Rechenzentrumsadressen werden zuerst blockiert. Die Welle von Gesetzen zur Altersüberprüfung und die Empfehlungen der Regulierungsbehörden drängen Websites dazu, Hosting-ASNs vollständig zu blockieren. Für Aufgaben, bei denen man die Website aus der Sicht eines lokalen Benutzers sehen muss, sind residential Proxys mit Länder- und Stadtwahl geeignet: Die Adresse gehört dem lokalen Anbieter der gewünschten Region.
• Mobile Adressen sind widerstandsfähiger gegen Blockierungen, aber schlechter in der Genauigkeit der Stadt. Aufgrund von NAT des Anbieters sieht die Website eine Adresse bei vielen Abonnenten, daher ist es teuer, diese zu sperren. Wenn die Region wichtig ist, nicht die genaue Stadt, sind mobile Proxys eine zuverlässige Option.
• Überprüfen Sie, wo Ihr IP in mehreren Datenbanken „steht“. Die Website könnte nicht die gleiche Datenbank verwenden wie Ihr Checker und eine andere Region sehen. Vor einer großangelegten Datensammlung führen Sie Testanfragen durch und vergleichen Sie, welche lokale Version die Zielwebsite ausgibt.
• Halten Sie den Fingerabdruck des Browsers in Übereinstimmung mit der IP. Zeitzone, Sprache und Locale sollten dem Land des Ausgangs entsprechen: Diskrepanzen werden häufiger erkannt als die IP selbst.

Was kommt als Nächstes

Die nächsten Ereignisse, die es zu beobachten gilt:

• Ende Oktober 2026 – Empfehlungen von Ofcom zur Identifizierung von VPN. Die Hauptfrage: Werden darin spezifische technische Methoden enthalten sein oder bleibt es bei der Formel „angemessene Maßnahmen“.
• Sitzung der Legislative von Utah 2027 – das Gesetz wird wahrscheinlich mit einer Klausel zu angemessenen Bemühungen neu geschrieben. Dann wird sich der Streit von „kann man Perfektion verlangen“ zu „was als angemessen gilt“ verschieben.
• Andere Bundesstaaten – die EFF hat bereits erklärt, dass sie ähnliche Initiativen anfechten wird, aber die Gesetze zur Altersüberprüfung werden weiterhin ausgeweitet, auch auf soziale Netzwerke.

Fazit

Das Gericht in Utah hat festgehalten, was Netzwerktechniker schon lange wissen: IP ist ein Hinweis auf den Standort, aber kein Beweis dafür. Gesetzgeber können von Websites angemessene Maßnahmen verlangen, aber keine perfekte Geolokalisierung. Für Unternehmen bedeutet das zwei Dinge. Dienstleister sollten ihre Geo-Logik mit einem Puffer für Fehler und einem dritten Zustand „nicht wissen“ aufbauen. Und diejenigen, die ehrlichen Zugang zu lokalen Ergebnissen benötigen, müssen noch strenger auf die Qualität der Adressen achten: Unter dem Druck der Regulierungsbehörden werden Websites häufiger Rechenzentren sperren und in erster Linie residential und mobile IPs vertrauen.