Nach fast jedem Angriff höre ich denselben Satz. Sperr die IP. Er klingt vernünftig. Jemand macht Ärger, also schließt man ihm die Tür vor der Nase zu. Das Problem ist nur: Für den Angreifer ist diese Tür ein Vorhang, und er steht schon im nächsten Raum.
Um zu verstehen, warum die IP-Sperre so wenig bringt, muss man verstehen, wie ein Angreifer aufwächst.
Wie ein Angreifer eine Sperre erlebt
Die meisten, die später Systeme angreifen, haben irgendwann als Jugendliche in einem Chat gehangen. Wer dort Unsinn macht, wird vom Betreiber rausgeworfen. Gesperrt wird man über einen von drei Werten: den Benutzernamen, den Hostnamen oder die IP-Adresse.
Stell dir ein vierzehnjähriges Kind vor, das chatten will und dessen Name gesperrt wird. Es braucht keine zwei Minuten, um zu merken, dass eine kleine Namensänderung reicht. Die IP-Sperre umgeht es, indem es den Router neu einwählt, zum Nachbarn geht oder eine fremde Maschine benutzt. Niemand muss dafür verstehen, wie der Filter funktioniert. Man probiert es aus und sieht, was passiert.
Das ist das Erste, was jeder lernt, lange bevor er irgendetwas Illegales tut. Und es bleibt hängen. Wer dich später ernsthaft angreift, hat das Umgehen von Sperren als Kind gelernt, so wie andere Fahrradfahren.
Was die Sperre wirklich kostet
Eine IP-Sperre trifft selten den Angreifer. Sie trifft dich, auf drei Arten.
Du verlierst deinen besten Indikator. Solange du die IP nicht sperrst, kannst du den Angreifer über sie beobachten. Du siehst, was er versucht, wann, in welcher Reihenfolge. Sperrst du ihn, ist dieser Faden gekappt. Er kommt über eine andere Adresse zurück, und diesmal siehst du ihn nicht kommen.
Du verrätst deine Erkennung. Der Angreifer pingt deinen Server, nichts kommt durch, er wechselt auf eine zweite Maschine und prüft nach. Geht die Anfrage durch, weiß er zweierlei: dass du ihn gesperrt hast, und welche seiner Anfragen die Sperre ausgelöst hat. Beim nächsten Mal vermeidet er genau diese Anfrage und bleibt unsichtbar. Du hast ihm eine Lektion erteilt, nur leider die falsche.
Du triffst Unbeteiligte. Hinter einer einzigen IP-Adresse stecken heute oft viele echte Menschen. Ein Firmennetz, ein Café, ein ganzes Mobilfunknetz. Sperrst du die Adresse, sperrst du sie alle. Und ein cleverer Angreifer nutzt genau das aus: Er kann deine Sperrregel gegen dich richten und reihenweise echte Kunden aussperren, indem er sie in die Regel laufen lässt.
Eine IP-Sperre ist damit im besten Fall ein kleiner Klaps auf die Finger. Im schlechtesten ein Ansporn, sich beim nächsten Mal mehr Mühe zu geben.
Prävention schlägt Verfolgung
Dahinter steckt ein größerer Gedanke. Die meiste Zeit, die man in das Verfolgen von Angreifern steckt, ist verlorene Zeit.
Nimm den Vergleich mit dem Einbruch. Jemand kommt durch deine offene Hintertür und räumt aus. Was hilft dir mehr? Dem Dieb hinterherzujagen, der deine Sachen längst verkauft hat? Oder die gleiche Zeit darauf zu verwenden, dass die Tür beim nächsten Mal zu ist? Die zweite Antwort ist die vernünftige. Trotzdem lassen sich die meisten vom ersten Impuls leiten.
Dein Geld und deine Zeit sind besser investiert, wenn du die Schwachstellen in deinem System findest und schließt, als wenn du irgendwelchen bösen Buben nachjagst. Für die Verfolgung gibt es Behörden. Für die geschlossene Tür bist du zuständig.
Was du stattdessen tun kannst
Das heißt nicht, dass du nichts tun sollst. Es heißt, klüger zu handeln als mit dem Holzhammer.
Beobachte, statt zu blockieren. Du kannst einen Angreifer als bösartig führen und ihn trotzdem auf dem System lassen, an einer Stelle, wo er keinen Schaden anrichtet. So behältst du ihn im Blick, statt ihn in den blinden Fleck zu schieben.
Zeig ihm weniger, statt ihn ganz auszusperren. Versucht jemand, an sensible Daten zu kommen, kannst du ihm die Seite zeigen und genau diese Daten weglassen. Er weiß dann zwar, dass etwas nicht stimmt, aber er kommt nicht an das, was er sucht.
Nutze mehrere Merkmale für deine Entscheidung, nicht nur eines. Je mehr Signale zusammenkommen, desto genauer erkennst du die Absicht, und desto schwerer errät der Angreifer, welches Merkmal ihn verraten hat. Das ist dieselbe Idee wie bei der Interessenbestimmung: nicht ein Signal, sondern das Bild.
Automatische Sperren gehören nur gegen eindeutige Bots und Würmer, nie gegen mögliche Menschen. Nur wenn du sicher bist, dass am anderen Ende kein Mensch sitzt, darfst du hart durchgreifen.
Eine Ausnahme gibt es. Wenn dich gerade eine massive Überlastung trifft, ein verteilter Angriff, der deinen Server in die Knie zwingt, dann ist das vorübergehende Sperren ganzer Regionen außerhalb deines Marktes legitim. Das ist Notwehr im Ausnahmezustand, keine Strategie für den Alltag.
Was sich seit 2017 verschärft hat
Wer damals dachte, IP-Sperren seien stumpf, für den sind sie heute noch stumpfer.
Große Teile des Mobilfunks laufen über geteilte Adressen, Carrier-Grade NAT sorgt dafür, dass sich Tausende Nutzer eine öffentliche IP teilen. Eine Sperre trifft dort nie einen Einzelnen.
Gleichzeitig ist es für Angreifer billiger denn je, Adressen zu wechseln. Über Residential-Proxy-Netze mieten sie sich für wenige Cent den Zugang zu Millionen echter Wohnanschlüsse und rotieren im Sekundentakt. Gegen diese Masse ist jede statische Sperrliste chancenlos.
Der vernünftige Weg ist derselbe geblieben, nur die Werkzeuge sind besser. Statt starrer Listen setzt man auf verhaltensbasierte Erkennung und darauf, wie oft jemand in welcher Zeit anfragt, das sogenannte Rate Limiting. Und es gibt kollaborative Ansätze wie CrowdSec, bei denen viele Betreiber ihre Beobachtungen teilen, statt jeder für sich eine Mauer zu bauen. Zu solchen Werkzeugen komme ich später in dieser Reihe.
Sperr nicht, beobachte
Die IP-Sperre ist attraktiv, weil sie sich nach Handlung anfühlt. Du hast etwas getan, der Angreifer ist weg. Nur ist er nicht weg, er ist nur unsichtbar geworden, und du hast ihm beigebracht, wie er es bleibt.
Der bessere Reflex ist der schwierigere: hinschauen, verstehen, den Angreifer näherkommen lassen, bevor du reagierst. Das setzt allerdings eine Sache voraus, die viele Firmen bis heute nicht tun. Sie schauen überhaupt nicht hin. Warum das nicht nur fahrlässig, sondern inzwischen auch riskant ist, darum geht es im nächsten Teil.
Weiterführend in dieser Reihe
- Interessenbestimmung
- Die Ignoranz-Falle
- Die Web-Firewall für Arme