Wem gehört eine IP-Adresse? So prüfen Sie es mit WHOIS und RDAP

Sie führen eine IP-WHOIS-Abfrage durch. Ein Firmenname erscheint. Sie prüfen BGP und sehen eine andere ASN, die das Präfix ankündigt. Das Angebot kam von einer dritten Firma.

Ist das Angebot gefälscht?

Nicht unbedingt. Eine Organisation kann der registrierte Inhaber sein, eine andere die Origin-ASN betreiben und eine dritte ein autorisierter Broker sein. Diese Konstellation kann legitim sein. Doch solange die drei Rollen nicht schlüssig zusammenpassen, sollten Sie nichts unterschreiben und nichts ankündigen.

Auf die Frage „Wem gehört eine IP-Adresse?“ gibt es keine einzelne Antwort. Es gibt fünf, und sie liegen in fünf verschiedenen Datenbanken.

Wem gehört eine IP-Adresse? Die kurze Antwort

Für eine öffentliche IP-Adresse zeigen WHOIS oder RDAP in der Regel die Organisation, die für den übergeordneten Block registriert ist. Man nennt diese Organisation den Eigentümer der IP-Adresse. Der korrekte Begriff ist registrierter Inhaber.

Dieser Eintrag identifiziert nicht zwingend die Person, die die Adresse nutzt, die ASN, die die Route ankündigt, den physischen Standort des Servers, das Unternehmen, das den Block zum Leasing anbietet, oder einen allgemein anerkannten rechtlichen Eigentümer.

IP-Adressen werden über eine Hierarchie verteilt. IANA vergab große Bereiche an fünf Regional Internet Registries, bis der globale IPv4-Pool 2011 erschöpft war. Die RIRs registrieren Ressourcen nach regionalen Richtlinien auf ISPs, Betreiber und andere Organisationen und arbeiten heute fast ausschließlich mit zurückgewonnenem Adressraum und Transfers. Die fünf sind ARIN, RIPE NCC, APNIC, LACNIC und AFRINIC. Welche Registry maßgeblich ist, hängt vom Adressbereich ab, nicht davon, wo Sie die Abfrage durchführen.

Eine IP-Adresse, fünf verschiedene Fragen

Keine einzelne Datenbank beantwortet alle fünf Fragen. Das ist die wichtigste Erkenntnis dieses Leitfadens.

RDAP vs. WHOIS

Beide stellen Registrierungsdaten bereit. RDAP ist der bessere Ausgangspunkt, weil Abfragen und Antworten standardisiert sind: RFC 9082 definiert, wie Sie fragen, RFC 9083 das JSON, das Sie zurückbekommen, und RFC 9224 das Bootstrapping zur richtigen Registry. WHOIS liefert Klartext, der sich von Registry zu Registry unterscheidet und jeweils eigenes Parsing erfordert.

Keines von beiden macht den zugrunde liegenden Eintrag korrekt. Ein veralteter Firmenname in WHOIS ist in RDAP genauso veraltet, denn beide beruhen auf Registry-Daten, die von den Ressourceninhabern gepflegt werden.

Vielleicht haben Sie gelesen, dass WHOIS 2025 abgeschaltet wurde. Das betraf generische Top-Level-Domains. RDAP wurde am 28. Januar 2025 zur maßgeblichen Quelle für gTLD-Registrierungsdaten, und die Umstellung ging schnell: Bis September 2025 hatten 374 gTLDs WHOIS abgeschaltet, im Juni 2025 überholte das RDAP-Abfragevolumen WHOIS, und im Januar 2026 entzog ICANN einem Registrar die Akkreditierung, weil er RDAP nicht implementiert hatte. Die meisten Länder-TLDs betreiben weiterhin WHOIS.

Nichts davon betraf die WHOIS-Dienste der RIRs für IP- und ASN-Einträge. Für IP-Ressourcen sind 2026 beide Protokolle aktiv im Einsatz.

So finden Sie den Eigentümer einer IP-Adresse

1. Beginnen Sie mit dem vollständigen CIDR-Block

Fordern Sie für ein Leasing das vollständige Präfix in CIDR-Notation an, etwa 198.51.100.0/24, und prüfen Sie den Bereich als Ganzes. Dieses Beispiel stammt aus einem für Dokumentation reservierten Block – verwenden Sie es nicht als echtes Routing-Ziel.

Private Bereiche sind etwas anderes. 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16 werden innerhalb privater Netzwerke wiederverwendet. Für eine Adresse wie 192.168.1.10 gibt es keinen eindeutigen globalen Eigentümer.

2. RDAP-Abfrage durchführen

Die IANA RDAP Bootstrap Registry ordnet Bereiche der richtigen RIR zu, und ein globaler Client folgt ihr automatisch. Sie können auch direkt abfragen:

Für die Automatisierung unterstützt RDAP einen Standardpfad wie /ip/198.51.100.10. Ein korrekter Client folgt den Bootstrap-Daten, statt anzunehmen, dass jede Adresse zu ARIN oder RIPE NCC gehört.

3. Drei Befehle, die das meiste beantworten

Befehl 1 zeigt, was die Registry sagt. Befehl 3 zeigt, was das Internet sagt. Jede Lücke dazwischen ist Ihre erste Due-Diligence-Frage.

Speichern Sie das rohe JSON, keinen Screenshot. Beide Datensätze ändern sich, und eine Antwort mit Zeitstempel ist ein Beleg, den eine Gegenpartei später nicht bestreiten kann.

4. Lesen Sie den Eintrag als Sammlung von Hinweisen

RDAP liefert bei einer IP-Abfrage das spezifischste Netzwerkobjekt. Prüfen Sie übergeordnete und verknüpfte Entitäten, wenn die geschäftliche Beziehung unklar ist, und stellen Sie sicher, dass Ihre Belege auf eine maßgebliche RIR-Antwort zurückgehen und nicht auf einen Aggregator, der sie kopiert hat.

Was eine Abfrage Ihnen nicht sagen kann

Sie identifiziert in der Regel nicht den Endnutzer. Der Eintrag nennt vielleicht einen ISP, ein Hosting-Unternehmen oder eine Firma. Er verrät nicht, welcher Teilnehmer oder welcher virtuelle Server eine Adresse zu einem bestimmten Zeitpunkt genutzt hat. Diese Zuordnung steht in den privaten Logs des Betreibers.

Sie beweist keinen physischen Standort. Ein Länderfeld beschreibt einen Registrierungs- oder Verwaltungsstandort. Geolocation-Anbieter schätzen, wo Adressen genutzt werden. Beides ist keine Straßenadresse, und beide können legitimerweise voneinander abweichen.

Sie beweist nicht, dass der Leasinggeber berechtigt ist. Das Unternehmen in Ihrem Vertrag kann ein Broker, eine Plattform oder eine Tochtergesellschaft sein. Das kann in Ordnung sein – es bedeutet nur, dass ein weiteres Glied der Kette dokumentiert werden muss.

Sie zeigt nicht, ob der Block sauber ist. WHOIS und RDAP sind Registrierungsdienste, keine Reputationsdatenbanken.

Sie sagt nicht, ob die Registry handlungsfähig ist

Eine Abfrage zeigt, was heute eingetragen ist. Sie zeigt nicht, ob die Registry, die diesen Eintrag pflegt, in der Lage ist, ihn zu ändern.

Im Servicegebiet von AFRINIC wurde das von einer theoretischen zu einer praktischen Frage. Der Vorstand wurde aufgelöst und AFRINIC 2022–2023 unter Zwangsverwaltung gestellt; in der Zeit ohne handlungsfähigen Vorstand lagen Adressanträge monatelang auf Eis. Nach den Wahlen 2025 trat ein Vorstand an, und der Zwangsverwalter beantragte im Oktober 2025 das Ende der Zwangsverwaltung – doch vor und nach diesen Wahlen begonnene Rechtsstreitigkeiten laufen weiter, die Wahl vom Juni 2025 wurde annulliert und nach anderen Regeln wiederholt, und ein neuer CEO tritt sein Amt erst im Januar 2027 an.

Für ein Leasing sind das Fragen des Timings. Wie lange dauert eine Registry-Änderung derzeit? Kann der Inhaber während der Laufzeit eine Änderung umsetzen? Gibt es laufende Verfahren, die die Ressource betreffen? Fragen Sie explizit nach der RIR, in der Ihr Präfix liegt, und lassen Sie sich die Antwort schriftlich geben.

Die Bedingungen bei einer Registry sind keine dauerhafte Eigenschaft einer Region. Auch die Richtlinien unterscheiden sich – unser Leitfaden zur RIPE NCC Mitgliedschaft zeigt, was eine Registry konkret verlangt, und der Beitrag zur 24-monatigen Haltefrist erklärt eine Regel, die einen Transfer blockieren kann, den Sie für möglich hielten.

Warum Eigentümer und Origin-ASN abweichen können

RDAP sagt Ihnen, wer registriert ist. BGP sagt Ihnen, welches Autonomous System das Präfix ankündigt. Das sind unterschiedliche Rollen.

Eine Abweichung ist legitim, wenn der Block bereits geleast ist, der Eigentümer Transit oder Managed BGP nutzt, eine Cloud-Plattform den Bereich per BYOIP ankündigt, eine Muttergesellschaft hält, was eine Tochter betreibt, oder das Routing gerade umgestellt wird. Welcher Fall zutrifft, hängt vom Ankündigungsweg ab – unser Vergleich der vier Routing-Wege für geleastes IPv4 behandelt die jeweiligen ROA-Regeln, und Was ist IP-Transit? erklärt die Upstream-Beziehung, die hinter den meisten steht.

Sie kann aber auch eine veraltete Route, eine nicht autorisierte Ankündigung oder einen Hijack aufdecken. Die Abweichung ist kein Urteil. Sie ist eine Frage, die beantwortet werden muss. Gefälschte Unterlagen für ruhenden Adressraum sind ein reales Problem – sehen Sie, wie Legacy-IPv4-Hijacking in der Praxis funktioniert, von der Übernahme des Whois-Eintrags bis zu gefälschten LOAs.

Prüfen Sie mit RIPEstat oder einer anderen BGP-Quelle den aktuellen Origin und die Historie. Ein Präfix, das heute ruhig wirkt, kann letzten Monat aus fremden Netzwerken angekündigt worden sein.

Prüfen Sie dann RPKI. Eine Route Origin Authorization legt fest, welche ASN ein Präfix originieren darf und wie spezifisch die Ankündigung sein darf. Valid bedeutet, dass Präfix und Origin durch eine passende ROA abgedeckt sind. Invalid bedeutet, dass eine ROA existiert, ASN oder Präfixlänge aber nicht passen. NotFound bedeutet, dass keine abdeckende ROA existiert.

Eine gültige Route ist ein starkes Signal, aber Sie sollten wissen, was sie Ihnen bringt. Im Juni 2026 erreichte die RPKI-Abdeckung einen Rekord von 67,43 % der angekündigten Präfixe – rund 1,07 Millionen von 1,58 Millionen Routen hatten eine signierte ROA. Die Durchsetzung hinkt hinterher: Von RIPE Labs zitierte Messungen beziffern vollständige Route Origin Validation auf rund 12 % der AS, rund 36 % validieren überhaupt nicht. Eine ROA schützt Ihr Präfix nur in dem Maß, in dem Netzwerke zwischen Ihnen und einem Angreifer ungültige Routen tatsächlich verwerfen.

Gültigkeit beweist zudem nicht, dass das Unternehmen, das Ihnen schreibt, der Eigentümer ist oder dass die Adressen eine gute Reputation haben.

So prüfen Sie einen Block vor dem Leasing

Prüfen Sie die exakte Ressource. Lassen Sie sich vollständiges CIDR, RIR, vorgesehene Origin-ASN, Laufzeit und Aktivierungsdatum geben. Vertrag, LOA, Route-Objekt und ROA-Plan müssen alle dasselbe Präfix nennen. Seien Sie vorsichtig bei einem Anbieter, der nur Beispiel-IPs beschreibt – der Status unterscheidet sich zwischen benachbarten Bereichen.

Gleichen Sie die Gegenpartei mit dem registrierten Inhaber ab. Stimmen beide überein, bestätigen Sie, dass der Unterzeichner die Organisation verpflichten kann. Stimmen sie nicht überein, lassen Sie sich die Beziehung schriftlich geben und prüfen Sie diese Befugnis unabhängig – über einen bekannten Unternehmenskontakt oder einen in der Registry veröffentlichten Kontakt, nicht nur über ein PDF des Vermittelnden. Alte Namen sind nicht automatisch Betrug; Legacy-Adressraum, Fusionen und Umstrukturierungen hinterlassen historische Namen. Die Rechtsnachfolge muss aber dokumentiert sein.

Bestätigen Sie die operative Kontrolle. Ein legitimer Leasinggeber kann eine präfixspezifische LOA ausstellen, die ROA für die vereinbarte ASN anlegen oder aktualisieren, das IRR-Route-Objekt pflegen, Reverse DNS koordinieren und alte Routing-Autorisierungen vor der Aktivierung zurückziehen. Die LOA allein ist kein Beweis – sie kann gefälscht sein. Gleichen Sie Unterzeichner, Präfix, ASN, Zweck und Gültigkeitszeitraum mit unabhängig geprüften Informationen ab.

Prüfen Sie die Routing-Historie. Halten Sie aktuelle und frühere Origins, First- und Last-Seen-Daten sowie ungewöhnlich spezifische Ankündigungen fest. Lassen Sie sich jüngste Änderungen vom Anbieter erklären. Die sichere Aktivierungsreihenfolge lautet: alte Ankündigung zurückgezogen, ROA und IRR aktualisiert, neue Ankündigung gestartet, Verbreitung überwacht. Ist das Ziel eine Cloud-Plattform, gilt der Prozess des jeweiligen Anbieters – der Leitfaden zu AWS BYOIP zeigt, wie das durchgängig aussieht.

Prüfen Sie die Reputation für Ihren konkreten Anwendungsfall. Fragen Sie nicht „Ist diese IP sauber?“, sondern „Ist dieses Präfix für die Systeme geeignet, die wir betreiben wollen?“

Es gibt einen Grund, warum das bei gehandeltem Adressraum keine Option ist, sondern Pflicht. Eine Studie zu RIR-Transferberichten von 2009 bis 2019 ergab, dass fast 40 % der gerouteten transferierten Präfixe mindestens einen Blacklist-Eintrag hatten – gegenüber etwa 6 % der gerouteten Präfixe, die nie transferiert wurden. Adressraum, der den Besitzer gewechselt hat, ist nicht automatisch belastet, gehört aber in eine andere Risikoklasse.

Scannen Sie das gesamte Präfix, soweit der Dienst es erlaubt. Eine saubere Adresse in einem /24 entlastet nicht die anderen 255. Und unterscheiden Sie aktive von historischen Problemen – alte Meldungen beeinträchtigen die Zustellung möglicherweise nicht mehr, während eine leere Ergebnisseite auch eingeschränkte Sichtbarkeit statt Sauberkeit bedeuten kann.

Halten Sie das Ergebnis im Leasingvertrag fest. Benennen Sie Präfix, Parteien, erlaubte und verbotene Nutzungen, Origin-ASN, Autorisierungsmethode, Aktivierungsdatum, Abuse-Prozess, Fristen zur Behebung, Monitoring, Sperrrechte und den Rückzug zum Leasingende. Ist Reputation geschäftlich relevant, definieren Sie ein Abnahmefenster und nennen Sie die Quellen, die Sie prüfen. „Saubere IPs“ ist für einen Vertrag zu vage.

Eine schnelle Entscheidungstabelle

Ein gelbes Ergebnis ist kein geplatzter Deal. Es bedeutet, dass die offene Frage vor der Aktivierung geklärt wird – und bevor Zahlungen nicht mehr erstattbar sind.

Von der Eigentumsprüfung zur Sicherheit beim Leasing

Die Bestätigung des registrierten Inhabers sagt Ihnen, wer das Leasing autorisieren darf. Sie sagt nicht, wie die Kontrolle geschützt ist, sobald die neue ASN mit der Ankündigung beginnt.

Bei einem typischen gerouteten Leasing bleibt der Inhaber derselbe, während eine andere ASN die begrenzte Befugnis erhält, das Subnetz anzukündigen. Wie das in der Registry erscheint, variiert – je nach RIR und Struktur kann ein Leasing als Assignment, Allocation oder Sub-Allocation erfasst werden, und in den Systemen von RIPE NCC auch als temporärer Transfer. Jede Form delegiert unterschiedlich viel Verantwortung. Ein formaler temporärer Transfer nach RIR-Richtlinie ist eine andere Struktur als ein gewöhnliches geroutetes Leasing und sollte auch so dokumentiert werden. Wenn Sie die Struktur selbst noch abwägen, behandelt Kauf vs. Leasing diese Entscheidung und der Preisrechner die Zahlen.

FAQ

Kann ich über eine IP-Adresse den Namen einer Person herausfinden?

In der Regel nicht. WHOIS und RDAP identifizieren die Organisation, die für den übergeordneten Block registriert ist, etwa einen ISP oder Hosting-Anbieter. Der Anbieter hat möglicherweise private Logs, die eine IP zu einem bestimmten Zeitpunkt einem Kunden zuordnen, doch das sind keine öffentlichen Registry-Daten.

Gibt es WHOIS für IP-Adressen 2026 noch?

Ja. Die WHOIS-Dienste der RIRs für IP-Adressen und ASNs sind weiterhin verfügbar, und die meisten RIRs betreiben RDAP parallel dazu. Die Umstellung vom Januar 2025, die RDAP maßgeblich machte, betraf gTLD-Domainnamen, nicht Abfragen zu IP-Ressourcen.

Wem gehört eine private IP-Adresse wie 192.168.1.1?

Im öffentlichen Internet gehört sie keiner Organisation exklusiv. Private Bereiche sind für die Wiederverwendung in vielen getrennten Netzwerken gedacht und werden nicht global geroutet.

Zeigt eine IP-WHOIS-Abfrage den Standort der Adresse?

Nicht zuverlässig. Ein Länderfeld in der Registry kann einen Verwaltungsstandort beschreiben. Kommerzielle Geolocation-Datenbanken schätzen, wo eine Adresse genutzt wird, doch keines von beiden identifiziert eine genaue physische Adresse oder Person.

Warum weicht der ASN-Name von der WHOIS-Organisation ab?

Registrierter Inhaber und Routing-Betreiber können unterschiedlich sein – Leasing, Transit, Managed BGP, BYOIP und Konzernstrukturen führen alle dazu. Das ist nicht automatisch verdächtig, sollte aber zu den Dokumenten passen.

Spielt es eine Rolle, zu welcher RIR der Block gehört?

Ja, gleich doppelt. Transfer- und Leasing-Richtlinien unterscheiden sich zwischen Registries, sodass dieselbe Vereinbarung in ARIN- und RIPE-NCC-Einträgen unterschiedlich dokumentiert sein kann. Und die Betriebsbedingungen unterscheiden sich – Governance-Streitigkeiten oder Rechtsverfahren können Änderungen in einer Region verlangsamen oder blockieren. Fragen Sie, welche RIR die Ressource hält und wie lange eine Änderung dort derzeit dauert.

Fazit

Um herauszufinden, wem eine IP-Adresse gehört, beginnen Sie mit maßgeblichem RDAP oder RIR-WHOIS. Lesen Sie das Ergebnis als registrierten Inhaber des übergeordneten Blocks – nicht als aktuellen Nutzer, exakten Standort, Routing-Betreiber oder endgültigen Nachweis rechtlicher Befugnis.

Verknüpfen Sie diesen Eintrag vor dem Leasing mit der Gegenpartei, prüfen Sie die Routing-Kontrolle über BGP und RPKI, bestätigen Sie, dass die Registry Änderungen tatsächlich umsetzen kann, und prüfen Sie die Reputation über mehrere Quellen. Ein guter Deal ist nicht eine saubere Abfrage. Er ist eine schlüssige Beweiskette vom Registry-Eintrag über den Vertrag bis zur Route.

IPbnb verbindet die Prüfung von Identität und Block mit Routing-Autorisierung und laufendem Monitoring. Sehen Sie sich den Prozess unter Trust and Compliance an oder entdecken Sie IPv4-Blöcke, die zum Leasing verfügbar sind.