IP-Spoofing

Was bedeutet IP-Spoofing?

IP-Spoofing ist eine Manipulation auf der Netzwerkebene, bei der ein Absender eine fremde oder frei gewählte Quell-IP-Adresse in den Header eines IP-Pakets einträgt. Synonyme und verwandte Bezeichnungen sind IP-Adress-Spoofing, Source Address Spoofing und IP Source Address Forgery.

Die Quell-IP-Adresse gibt an, von welchem System ein Datenpaket angeblich stammt. Router verwenden für die Weiterleitung jedoch primär die Zieladresse. Ohne zusätzliche Validierung kann deshalb ein Paket transportiert werden, obwohl seine eingetragene Absenderadresse nicht zum tatsächlichen Ursprung passt.

Das Verfahren betrifft grundsätzlich IPv4 und IPv6. Eine gefälschte IP-Adresse verändert dabei nicht automatisch den gesamten Kommunikationsweg: Antworten werden in der Regel an die manipulierte Adresse geschickt und erreichen den Angreifer daher nicht. Diese Einschränkung beeinflusst, für welche Angriffsformen sich die Technik eignet.

Wie funktioniert das Fälschen einer IP-Adresse?

Ein Angreifer erstellt oder verändert Datenpakete so, dass ihr IP-Header eine falsche Quelladresse enthält. Als Absender kann beispielsweise die Adresse des späteren Opfers, eines vertrauenswürdigen internen Systems oder eine zufällig gewählte IP-Adresse eingetragen werden.

Die Übertragung erfolgt anschließend über Netzwerke, die keine ausreichende Source Address Validation durchführen. Die Internetarchitektur verhindert gefälschte Quelladressen nicht von sich aus, weshalb zusätzliche Filtermechanismen erforderlich sind. Die IETF beschreibt dafür unter anderem Ingress Filtering nach BCP 38 sowie ergänzende Verfahren für komplexe und mehrfach angebundene Netzwerke.

• Der Angreifer erzeugt ein IP-Paket und trägt eine fremde Quell-IP-Adresse ein.
• Das Paket wird anhand seiner unveränderten Ziel-IP-Adresse durch das Netzwerk transportiert.
• Das Zielsystem verarbeitet die vermeintliche Absenderadresse oder sendet seine Antwort dorthin zurück.
• Der tatsächliche Ursprung ist anhand des manipulierten Headers nicht unmittelbar erkennbar.

Warum eignet sich UDP besonders für IP-Spoofing?

UDP ist ein verbindungsloses Transportprotokoll und führt keinen Verbindungsaufbau mit gegenseitiger Bestätigung durch. Ein Absender kann deshalb eine Anfrage mit gefälschter Quelladresse versenden, ohne zuvor eine vollständige Sitzung mit dem Zielsystem aufzubauen.

Bei einem Reflection-Angriff trägt der Angreifer die IP-Adresse des Opfers als Absender ein und sendet Anfragen an fremde Server. Diese Server beantworten die Anfragen an das Opfer. Liefert das angesprochene Protokoll wesentlich größere Antworten als die ursprünglichen Anfragen, entsteht zusätzlich ein Amplification-Angriff.

Welche Einschränkung besteht bei TCP?

TCP verwendet normalerweise einen Drei-Wege-Handshake, bei dem beide Kommunikationspartner Sequenznummern austauschen. Da die Antwort auf ein gefälschtes Paket an die fremde IP-Adresse geht, kann ein außerhalb des Kommunikationswegs stehender Angreifer die Verbindung meist nicht regulär abschließen.

TCP-basiertes Spoofing ist dennoch möglich, wenn keine vollständige Verbindung benötigt wird, Sequenznummern vorhersehbar sind oder der Angreifer den Datenverkehr beobachten kann. Ein typisches Beispiel ist eine SYN-Flood, bei der zahlreiche Verbindungsanfragen gesendet werden, ohne den Handshake ordnungsgemäß abzuschließen.

<alert style="danger"]Eine IP-Adresse ist allein kein zuverlässiger Identitätsnachweis. Zugriffskontrollen sollten zusätzlich authentifizierte und verschlüsselte Verfahren verwenden, weil IP-basierte Freigaben je nach Netzwerkarchitektur durch Spoofing, kompromittierte Systeme oder falsch konfigurierte Weiterleitungen umgangen werden können.[/alert]

Welche Arten von IP-Adress-Spoofing gibt es?

Die Varianten unterscheiden sich vor allem nach Angriffsziel, Transportprotokoll und Position des Angreifers. Mehrere Formen können innerhalb eines Angriffs gleichzeitig auftreten.

• Blindes Spoofing: Der Angreifer kann die Antworten des Zielsystems nicht beobachten und muss relevante Protokollwerte erraten oder benötigt keine Antwort.
• On-Path-Spoofing: Der Angreifer befindet sich im Kommunikationsweg oder kann den Netzwerkverkehr mitlesen, wodurch interaktive Manipulationen leichter möglich werden.
• Reflection und Amplification: Fremde Server werden mit der Adresse des Opfers angesprochen und senden ihre Antworten an dieses Ziel.
• Spoofing einer vertrauenswürdigen Adresse: Die gefälschte Adresse soll eine einfache IP-Allowlist oder eine interne Vertrauensregel ausnutzen.
• Zufällige Quelladressen: Wechselnde oder zufällig erzeugte Absenderadressen erschweren Filterung, Zuordnung und Analyse eines Angriffs.

Wie schützt man ein Netzwerk vor IP-Spoofing?

Wirksamer Schutz kombiniert die Prüfung von Quelladressen mit zustandsbehafteter Verkehrsfilterung, DDoS-Abwehr und sicherer Authentifizierung. Eine einzelne Firewall-Regel genügt nicht für jede Netzwerkstruktur.

• Ingress Filtering: Eingehende Pakete werden verworfen, wenn ihre Quelladressen nicht über den tatsächlichen Eingangsweg erreichbar sein können.
• Egress Filtering: Ausgehende Pakete werden geprüft, damit Systeme aus dem eigenen Netzwerk keine unzulässigen Quelladressen verwenden.
• Unicast Reverse Path Forwarding: Router vergleichen die Quelladresse mit Routinginformationen und verwerfen verdächtige Pakete abhängig vom gewählten Prüfmodus.
• Stateful Firewalls: Die Firewall ordnet Pakete bestehenden Verbindungen zu und blockiert unerwarteten oder unplausiblen Verkehr.
• Rate Limits und DDoS-Schutz: Verkehrsspitzen werden begrenzt, verteilt oder bereits vor der eigenen Infrastruktur gefiltert.
• Starke Authentifizierung: Zertifikate, kryptografische Schlüssel und sichere Sitzungen verhindern, dass eine passende IP-Adresse allein als Berechtigung ausreicht.

BCP 38 empfiehlt, gefälschten Verkehr möglichst nahe an seinem Ursprung zu filtern. Der Schutz wirkt besonders gut, wenn Netzbetreiber ausgehende Pakete nur dann akzeptieren, wenn ihre Quelladressen zum zugewiesenen Adressbereich des angeschlossenen Netzes gehören.

Welche Bedeutung hat IP-Spoofing für SEO, SEA und GEO?

IP-Spoofing ist kein direkter Rankingfaktor, kann die Suchmaschinenoptimierung aber mittelbar beeinträchtigen. Ein erfolgreicher DoS- oder DDoS-Angriff kann eine Website verlangsamen oder unerreichbar machen, wodurch Nutzer und Suchmaschinen-Crawler Inhalte zeitweise nicht abrufen können.

Manipulierter oder ungewöhnlicher Netzwerkverkehr kann außerdem Serverlogs, Sicherheitsberichte und technische Analysen verfälschen. Bei einer technischen SEO-Analyse sollten verdächtige Anfragen deshalb nicht vorschnell als echte Nutzer- oder Crawler-Aktivität bewertet werden.

Für SEA entsteht ein unmittelbares wirtschaftliches Risiko, wenn bezahlte Anzeigen weiterhin Klicks auf eine überlastete oder nicht erreichbare Landingpage leiten. Kampagnenverantwortliche sollten Verfügbarkeit, Serverantworten und Conversion-Daten überwachen und bei einem Angriff gegebenenfalls Budgets oder Zielseiten in der Google-Ads-Betreuung anpassen.

GEO, die Generative Engine Optimization, ist ebenfalls von der technischen Erreichbarkeit abhängig. Wenn KI-Crawler oder Suchsysteme strukturierte Inhalte wegen einer Störung nicht abrufen können, stehen diese Informationen für aktuelle Auswertungen, Quellenabrufe und potenzielle Zitate möglicherweise nicht zur Verfügung. Eine GEO-Strategie für KI-Sichtbarkeit benötigt daher eine stabile und abgesicherte technische Grundlage.

IP-Spoofing von Proxy, VPN und DNS-Spoofing abgrenzen

Ein Proxy oder VPN leitet Datenverkehr über ein anderes System und verwendet dabei eine tatsächlich erreichbare IP-Adresse dieses Systems. Antworten können regulär zurückgesendet werden. Beim IP-Spoofing ist dagegen die im Paket eingetragene Quelladresse gefälscht und muss keinen funktionierenden Rückweg zum Absender besitzen.

DNS-Spoofing manipuliert DNS-Antworten oder DNS-Zuordnungen, damit ein Domainname auf eine falsche IP-Adresse verweist. IP-Spoofing verändert dagegen die Absenderadresse einzelner Netzwerkpakete. Beide Methoden können Teil eines komplexeren Angriffs sein, betreffen jedoch unterschiedliche technische Ebenen.

ARP-Spoofing manipuliert die Zuordnung zwischen IP- und MAC-Adressen innerhalb eines lokalen Netzes. Dadurch kann ein Angreifer Datenverkehr umleiten oder mitlesen. IP-Spoofing benötigt keine entsprechende Manipulation der lokalen ARP-Tabellen.

Häufige Fragen zum Fälschen von IP-Adressen

Fragen zur technischen Absicherung deiner SEO-, SEA- oder GEO-Strategie lassen sich im Rahmen einer individuellen Analyse einutions Group GmbH bietet persönliche Betreuung durch Experten mit mindestens 14 Jahren Erfahrung.