Kostenlose oder kostenpflichtige Proxys? Die Risiken freier Proxy-Listen

Bei einem kostenlosen Proxy wissen Sie nicht, wem der Server gehört, ob er Ihren Datenverkehr protokolliert, ob er Code in Seiten einschleust und wofür die IP vorher benutzt wurde. Bei einem kostenpflichtigen Dienst stehen die Antworten auf diese Fragen im Vertrag, auf der Produktseite und beim Support.

Was ist ein kostenloser Proxy und woher kommen die Listen?

Kostenlose Proxy-Listen entstehen meist durch Scans. Listen-Websites prüfen IP-Adressen im Internet auf gängigen Proxy-Ports (etwa 8080, 3128 oder 1080), suchen Server, die Verbindungen ohne Authentifizierung annehmen, und tragen sie in eine Tabelle ein. Der Großteil der Adressen auf solchen Listen ist deshalb kein absichtlich angebotener Dienst. Meist stammen sie aus diesen Quellen:

• Falsch konfigurierte Server. Ein Squid- oder ähnlicher Proxy, den eine Firma für ihr internes Netz eingerichtet hat, ist offen im Internet erreichbar, weil eine Zugriffsregel vergessen wurde. Der Eigentümer weiß nicht, dass Ihr Datenverkehr über seinen Server läuft.
• Gekaperte Geräte. Nicht aktualisierte Router, IP-Kameras oder Server werden mit Schadsoftware zu Proxys umfunktioniert. Ohne es zu merken, nutzen Sie dann das Gerät eines anderen.
• Absichtlich geöffnete Server. Manche werden in guter Absicht betrieben, andere nur, um den durchlaufenden Datenverkehr abzugreifen. An der Liste allein lässt sich das nicht unterscheiden.

Auch die Angaben zu Land, Geschwindigkeit und „anonym“ auf den Listen sind in der Regel nur das Messergebnis des Scanners zum Zeitpunkt der letzten Prüfung. Ein paar Stunden später kann dieselbe Adresse abgeschaltet, langsamer geworden oder anders konfiguriert sein. Die kostenlose Proxy-Liste von WeProxy zeigt ebenfalls Adressen aus öffentlich zugänglichen Quellen. Sie dient dem Erkunden und Vergleichen; für die Sicherheit oder Verfügbarkeit dieser Adressen gibt es keine Zusage.

Welche Risiken haben kostenlose Proxy-Listen?

Ein Proxy sitzt mitten in Ihrem Datenverkehr. Wer ihn betreibt, sieht die Metadaten des Verkehrs, bei unverschlüsseltem Verkehr auch den Inhalt, und kann diesen verändern. Bei kostenlosen Proxys wissen Sie nicht, wer der Betreiber ist, und genau daraus ergeben sich die Risiken.

Eine der umfangreichsten Messungen zu diesem Thema ist die auf der ACSAC 2018 veröffentlichte Studie An Extensive Evaluation of the Internet’s Open Proxies. Die Forschenden haben 50 Tage lang mehr als 107.000 offene Proxys getestet, die auf Listen-Websites veröffentlicht wurden. Über 92 % der gelisteten Proxys beantworteten überhaupt keine Anfragen. Unter den funktionierenden fanden sie Proxys, die Kryptomining-Code in Seiten einfügten, TLS-Verbindungen per Man-in-the-Middle-Angriff (MitM) abfingen oder heruntergeladenen Programmen einen Remote-Access-Trojaner anhängten.

In der Praxis begegnen Ihnen diese Risiken:

1. Manipulierte Inhalte. In einfache HTTP-Seiten lassen sich Werbung, Tracking-Code oder Mining-Skripte einbauen. Eine heruntergeladene Datei kann unterwegs gegen eine andere ausgetauscht werden.
2. Abgegriffene Zugangsdaten. Formulardaten, Cookies und Authorization-Header, die über HTTP gesendet werden, landen im Klartext beim Proxy-Betreiber. Bei HTTPS-Seiten bleibt der Inhalt verschlüsselt, sichtbar ist aber, mit welchen Domains Sie sich verbinden.
3. Gefälschte Zertifikate. Der Proxy kann versuchen, sich mit einem eigenen Zertifikat dazwischenzuschalten. Der Browser warnt dann; wer die Warnung wegklickt oder ein Skript mit abgeschalteter Zertifikatsprüfung (curl -k, verify=False) nutzt, hebelt diesen Schutz selbst aus.
4. Protokollierung. Welche Seite Sie wann aufgerufen haben, kann zusammen mit Ihrer IP-Adresse gespeichert werden. Es gibt niemanden, den Sie fragen könnten, wo und wie lange diese Protokolle aufbewahrt werden.
5. Belastete IP-Historie. Dieselbe Adresse wurde womöglich schon von Tausenden für Spam, Brute-Force-Versuche oder automatisierte Registrierungen genutzt. Zielseiten sperren solche IPs oft oder leiten auf ein CAPTCHA um. Die Seite kann Ihnen auch den Datenverkehr anderer Leute zuordnen, die über dieselbe IP kommen.
6. Keine Kontinuität. Der Proxy kann innerhalb weniger Stunden verschwinden. Ein Scraping-Job bricht mittendrin ab, eine eingeloggte Sitzung muss mit einer neuen IP aus einem anderen Land weiterlaufen.

Datenverkehr, der über ein gekapertes Gerät läuft, nutzt ohne Zustimmung des Eigentümers dessen Internetanschluss. Neben dem technischen Risiko ist das ein ethisches und rechtliches Problem. Bei einem Proxy für geschäftliche Zwecke sollte sich die Herkunft offenlegen lassen.

Vergleichstabelle: kostenlose und kostenpflichtige Proxys

Jede Zeile in der Spalte für kostenpflichtige Proxys fällt von Anbieter zu Anbieter anders aus. Dass ein Dienst kostenpflichtig ist, macht ihn für sich genommen noch nicht sicher; dieselben Fragen sollten Sie auch einem kostenpflichtigen Anbieter stellen.

Wann kann man einen kostenlosen Proxy verwenden?

Sinnvolle Einsatzfälle für einen kostenlosen Proxy gibt es nur wenige. Gemeinsam ist ihnen, dass es egal ist, ob der Datenverkehr unterwegs mitgelesen oder verändert wird:

• Beim Kennenlernen von Proxys ausprobieren, wie man in einem Client eine Proxy-Einstellung vornimmt.
• Beobachten, wie sich ein selbst geschriebener Parser oder Fehlerbehandlungscode bei langsamen und abbrechenden Verbindungen verhält.
• Einmalig nachsehen, wie eine öffentliche Seite ohne Login aus einem anderen Land aussieht.

Für folgende Aufgaben sollten Sie keinen kostenlosen Proxy nutzen:

• Anmeldung bei einem beliebigen Konto (E-Mail, Social Media, Werbekonto, Bank, Admin-Panel).
• Aufträge im Namen von Kunden und jeder Ablauf mit personenbezogenen Daten. Nach KVKK (Türkei) und DSGVO (GDPR) ist es nicht zu rechtfertigen, solche Daten über den Server eines unbekannten Dritten zu leiten.
• Programme, Treiber oder Pakete herunterladen.
• Länger laufende Aufgaben wie Scraping, SERP-Tracking oder Preisbeobachtung. Weil die IPs schnell verschwinden und die meisten gesperrt sind, bricht die Arbeit ständig ab.

Wenn Sie unsicher sind, welcher IP-Typ zu einer Aufgabe passt: Der Beitrag zu den Einsatzbereichen von Proxys behandelt SEO, Datenerhebung und Werbung jeweils einzeln.

Wie testet man einen kostenlosen Proxy?

Prüfen Sie vor der Nutzung drei Dinge: Funktioniert der Proxy, von welcher IP geht er tatsächlich ins Netz, und fügt er Ihrer Anfrage etwas hinzu? Senden Sie bei diesen Tests keinerlei Zugangsdaten.

Kontrollieren Sie zuerst die Ausgangs-IP. Im folgenden Befehl steht 203.0.113.10:8080 für die Adresse aus der Liste:

curl -s --max-time 10 -x "http://203.0.113.10:8080" https://api.ipify.org

Stimmt die zurückgegebene IP nicht mit der Adresse aus der Liste überein oder ist es Ihre eigene IP, arbeitet der Proxy nicht wie erwartet. Notieren Sie Ihre eigene IP vorher mit dem My-IP-Tool.

Sehen Sie sich danach an, welche Header der Proxy der Anfrage hinzufügt:

curl -s --max-time 10 -x "http://203.0.113.10:8080" http://httpbin.org/headers

Taucht in der Ausgabe Ihre echte IP im Header X-Forwarded-For oder Via auf, gibt der Proxy Ihre Identität an die Zielseite weiter. Diesen Test machen wir bewusst über einfaches HTTP, denn Header kann der Proxy nur bei unverschlüsseltem Verkehr einfügen. Auf dieselbe Weise können Sie eine Seite einmal mit und einmal ohne Proxy herunterladen und beide Versionen mit sha256sum vergleichen, um Änderungen am Inhalt zu erkennen.

Für eine Massenprüfung können Sie die Liste in den Proxy-Checker einfügen. Das Tool zeigt, welche Adressen antworten. Ob ein antwortender Proxy sicher ist, zeigt es nicht. Wenn Sie SOCKS5 nutzen, wählen Sie das Schema socks5h://, damit auch DNS-Anfragen über den Proxy laufen; wie Sie im Browser DNS- und WebRTC-Leaks prüfen, steht im Leitfaden zu DNS-Leaks.

Auch für einen kostenlosen Proxy, der alle Tests besteht, gilt: Klicken Sie niemals eine Zertifikatswarnung weg und schalten Sie in Skripten die TLS-Prüfung nicht ab.

Worauf sollte man beim Kauf eines kostenpflichtigen Proxys achten?

Ein Proxy wird nicht automatisch vertrauenswürdig, nur weil er etwas kostet. Vor dem Kauf sollten Sie die Antworten auf diese Fragen auf der Website des Anbieters finden können:

1. Wer steht hinter dem Unternehmen? Firmenname, Adresse und Vertrag sollten offen einsehbar sein. WeProxy wird von der WE1TOWN Pazarlama ve Bilişim Teknolojileri Ltd. Şti. betrieben und ist im ETBİS, dem E-Commerce-Register der Türkei, eingetragen.
2. Woher kommen die IPs? Die Herkunft von Residential-IPs sollte offengelegt sein. Bei WeProxy stammen die Residential-Adressen aus einem einwilligungsbasierten SDK-Partnerprogramm; die Teilnehmenden werden informiert und erhalten dafür eine Vergütung.
3. Wie ist der Zugang geschützt? Der Proxy sollte per Benutzername/Passwort oder IP-Whitelist nur für Sie freigeschaltet sein. Welches Produkt welches Verfahren unterstützt, listet der Leitfaden zur Proxy-Authentifizierung pro Produkt auf.
4. Sind Protokoll und Standort klar angegeben? Unterstützung für HTTP, SOCKS5 und UDP, die Länderliste und das Rotationsverhalten sollten auf der Produktseite stehen. Die statischen Residential-Pakete für die Türkei zum Beispiel arbeiten mit HTTP und SOCKS5, UDP wird nicht unterstützt.
5. Gibt es eine Richtlinie zur akzeptablen Nutzung? Eine Richtlinie zur akzeptablen Nutzung, die Missbrauch verbietet, schränkt ein, dass IPs aus demselben Pool für Spam oder Angriffe genutzt werden. Das wirkt sich direkt auf die Reputation der IPs aus.
6. Welche Test- und Erstattungsbedingungen gelten? Bei WeProxy gibt es für Premium Rotating Residential einen kostenlosen Test mit 1 GB. Die Erstattungsbedingungen stehen im Servicevertrag; bei Residential-Paketen gibt es keine Rückerstattung, testen Sie deshalb zuerst mit dem Testzugang oder einem kleinen Paket.

Welchen kostenpflichtigen Proxy sollte man statt eines kostenlosen wählen?

Wer von einer kostenlosen Liste auf einen bezahlten Dienst umsteigt, sucht meist die günstigste Option. Wichtiger als der Preis sind dabei die Gesamtkosten pro Aufgabe: Eine billige IP, die oft gesperrt wird, verbraucht durch Wiederholungsversuche mehr Datenvolumen. Wie man das ausrechnet, erklärt die Seite günstige Proxys anhand der Kosten pro erfolgreicher Anfrage.

Bei Paketen, die pro GB verkauft werden, verfällt das gekaufte Datenvolumen nicht; es bleibt im Guthaben, bis Sie es verbrauchen, und wird nicht monatlich zurückgesetzt. Bei kleinen Projekten, die unregelmäßig laufen, zahlen Sie so nicht für ungenutztes Volumen. Den Unterschied zwischen Residential- und Datacenter-IPs erklärt der Vergleich Residential vs. Datacenter im Detail; die Produkte nach Einsatzbereich nebeneinander sehen Sie auf der Seite Proxy kaufen.

Prüfen Sie auch einen kostenpflichtigen Proxy bei der Ersteinrichtung auf dieselbe Weise: Kontrollieren Sie die Ausgangs-IP und starten Sie Ihre Aufgabe dann mit kleinem Volumen.

curl -s -x "http://USER:[email protected]:8989" https://api.ipify.org

Erhalten Sie einen Fehler wie 407 oder 502, hilft die Übersicht der Proxy-Fehlercodes bei der Frage, ob er vom Proxy oder von der Zielseite kommt.

Hat ein kostenloses VPN dieselben Risiken wie ein kostenloser Proxy?

Größtenteils ja. In beiden Fällen läuft Ihr Datenverkehr über den Server eines anderen, und die Kosten des Gratisdienstes müssen irgendwie gedeckt werden: durch Werbung, Datensammlung oder den Weiterverkauf des Datenverkehrs an andere Kunden. Der Unterschied liegt im Umfang. Ein kostenloser Proxy sieht nur den Datenverkehr der Anwendung, in der Sie ihn eingetragen haben; ein kostenloses VPN transportiert den gesamten oder größten Teil des Gerätedatenverkehrs. Eine bösartige VPN-App kann deshalb mehr Daten einsehen. Andererseits hat ein kostenloses VPN eines bekannten Unternehmens eine Datenschutzerklärung und einen Ansprechpartner; eine Adresse aus einer offenen Proxy-Liste hat weder das eine noch das andere.

Wofür die beiden Techniken eingesetzt werden und warum sie unterschiedlich funktionieren, vergleicht der Beitrag Proxy oder VPN. Wenn Sie ein Protokoll auswählen, erklärt der Beitrag HTTP vs. SOCKS5 die Unterschiede bei Sicherheit und Kompatibilität.

Nutzen Sie kostenlose Proxy-Listen nur für Tests ohne Login, personenbezogene Daten und Downloads, und senden Sie dabei keine Zugangsdaten. Sobald es um Konten, Kunden oder regelmäßige Arbeit geht, nehmen Sie einen kostenpflichtigen Proxy mit nachvollziehbarer Herkunft und geschütztem Zugang, und halten Sie sich dabei an die Nutzungsbedingungen der Zielseite, die Regeln in robots.txt und die Richtlinie zur akzeptablen Nutzung.