IP-Geolocation erklärt: Funktionsweise, Genauigkeit und Datenschutz

Jede Website sieht Ihre öffentliche IP-Adresse und kann daraus ableiten, wo Sie ungefähr online sind. Hier erfahren Sie, woher diese Standortdaten stammen, wie genau sie in Deutschland sind und wofür Shops, Streamingdienste und IT-Abteilungen sie einsetzen. Dazu kommen ein Vergleich mit GPS und Browser-Standort, die Regeln der DSGVO und ein Beispiel für Entwickler.

So sieht IP-Geolocation für Ihre eigene Verbindung gerade aus:

Die Box zeigt Ihre öffentliche IP-Adresse und den Ort, dem eine Geolocation-Datenbank sie gerade zuordnet. Weicht die Stadt ab, ist das normal. Warum, steht im Abschnitt zur Genauigkeit.

Was ist IP-Geolocation? Geolokalisierung einfach erklärt

Geolokalisierung bedeutet, den geografischen Ort eines Geräts oder Objekts zu bestimmen, etwa per GPS, WLAN, Mobilfunk oder IP-Adresse. Die IP-Geolocation, auch Lokalisierung der IP-Adresse genannt, kommt ohne Zutun des Nutzers aus: Ein Server ordnet die IP-Adresse, von der eine Anfrage kommt, einem Ort zu.

Geortet wird dabei das Netz, nicht die Person. Eine IP-Adresse enthält keine Ortsangabe. Sie gehört zu einem Adressbereich, den ein Provider in einer bestimmten Region einsetzt. Die Wohnung eines Nutzers lässt sich daraus nicht ablesen.

Das funktioniert nur mit öffentlichen Adressen. Private Adressen wie 192.168.178.20 gelten nur im eigenen Netz und haben keinen Standort. Mehr dazu im Grundlagenartikel über öffentliche und private IP-Adressen.

Wie funktioniert IP-Geolocation? Die Datenquellen

Geolocation-Anbieter führen Datenbanken, in denen jeder Adressbereich (Präfix) einen Ort hat. Die Zuordnung bauen sie aus mehreren Quellen auf, denn keine reicht allein. Eine Abfrage sucht dann nur den kleinsten Adressbereich, der die Adresse enthält – per API oder in einer lokalen Datenbankdatei, die regelmäßig aktualisiert werden muss.

Adressvergabe: IANA, RIPE NCC und Provider

Die IANA verteilt große Adressblöcke an fünf regionale Vergabestellen (RIRs). Für Europa, den Nahen Osten und Teile Zentralasiens ist das RIPE NCC zuständig. Es vergibt Blöcke an seine Mitglieder, vor allem Provider, die sie an ihre Kunden weitergeben. Das gibt einen ersten Hinweis auf die Region, mehr nicht.

Registry-Einträge: WHOIS und RDAP

In der RIPE-Datenbank beschreibt ein Eintrag (inetnum, bei IPv6 inet6num) jeden registrierten Adressbereich mit Netzname, Organisation, Abuse-Kontakt und Länderfeld. Abrufbar sind die Daten per WHOIS oder maschinenlesbar per RDAP. Das Feld country: ist allerdings eher eine Verwaltungsangabe: Laut RIPE lässt es sich nicht zuverlässig nutzen, um IP-Adressen Ländern zuzuordnen.

Geofeeds: Standortangaben der Provider

Netzbetreiber können ihre Standorte auch selbst veröffentlichen. RFC 8805 legt dafür ein CSV-Format fest, den Geofeed: pro Zeile ein Präfix mit Land, Region (als ISO-3166-2-Code) und Stadt.

# Präfix,Land,Region,Stadt,PLZ
203.0.113.0/24,DE,DE-HH,Hamburg,
2001:db8:a::/48,DE,DE-BY,München,
2001:db8:b::/48,AT,AT-9,Wien,

Das Format erlaubt bewusst nur grobe Angaben; das Feld für die Postleitzahl gilt als veraltet. Wo der Feed liegt, steht nach RFC 9632 im Feld geofeed: des RIPE-Eintrags. Die Datei kann eine RPKI-Signatur tragen, die belegt, dass sie vom Inhaber des Adressbereichs stammt. Für Datenbanken ist ein Geofeed ein Hinweis, den sie mit anderen Quellen abgleichen sollten. Apple etwa veröffentlicht die Adressen von iCloud Privat-Relay samt Region und Stadt in diesem Format.

Routing-Daten: BGP und autonome Systeme

Jedes größere Netz kündigt über das Routing-Protokoll BGP an, welche Präfixe es erreicht. Solche Netze heißen autonome Systeme und tragen eine Nummer, die ASN. Aus diesen Routing-Daten sehen Datenbanken, wer einen Bereich betreibt – Zugangsprovider, Mobilfunknetz oder Rechenzentrum – und wann er den Betreiber wechselt. Kündigt plötzlich ein Netz aus einem anderen Land ein Präfix an, muss der Ort neu geprüft werden.

Messungen: Laufzeiten verraten die Entfernung

Signale brauchen Zeit: In Glasfaser legt Licht rund 200 Kilometer pro Millisekunde zurück. Kommt eine Antwort nach einer Millisekunde zurück, liegt das Ziel höchstens etwa 100 Kilometer entfernt, denn das Signal muss hin und zurück. Mehrere Messpunkte mit bekanntem Standort grenzen den Ort weiter ein. Traceroute zeigt zudem die Router auf dem Weg; ihre Namen enthalten oft Kürzel von Städten oder Flughäfen.

Ein öffentliches Beispiel ist RIPE IPmap. Der Dienst des RIPE NCC verortet Router und Internet-Knoten (IXPs) auf Stadt- oder Länderebene. Er nutzt dafür Laufzeitmessungen von RIPE-Atlas-Sonden an bekannten Standorten und Ortsangaben in Hostnamen (Reverse DNS). Für einzelne Endkundenanschlüsse ist er nicht gedacht.

Korrekturen

Hinzu kommen Fehlermeldungen von Netzbetreibern und Nutzern, die ebenfalls mit anderen Quellen abgeglichen werden sollten. Die Daten müssen laufend gepflegt werden, denn Provider verschieben Adressbereiche, und knappe IPv4-Blöcke wechseln den Besitzer, auch über Landesgrenzen hinweg.

Welche Daten liefert eine IP-Geolocation-Abfrage?

Eine Abfrage liefert mehr als den Ort. Die Tabelle zeigt typische Angaben mit den Feldnamen der IP-Lookup-API:

Eine gekürzte Antwort mit Beispielwerten für eine Dokumentationsadresse:

{
  "data": {
    "ip": "203.0.113.42",
    "type": "v4",
    "connection": {
      "asn": 64500,
      "organization": "Beispiel Netz GmbH",
      "isp": "Beispiel Netz",
      "range": "203.0.113.0/24"
    },
    "location": {
      "continent": { "code": "EU", "name": "Europe" },
      "country": { "alpha2": "DE", "name": "Germany", "is_in_european_union": true },
      "region": { "alpha2": "DE-HH", "name": "Hamburg" },
      "city": { "name": "Hamburg" },
      "zip": "20095",
      "latitude": 53.5511,
      "longitude": 9.9937
    },
    "timezone": {
      "id": "Europe/Berlin",
      "current_time": "2026-10-28T14:30:00+01:00",
      "code": "CET",
      "is_daylight_saving": false,
      "gmt_offset": 3600
    }
  }
}

Wie genau ist IP-Geolocation? Standort-Genauigkeit in Deutschland

Je feiner die Ebene, desto unsicherer das Ergebnis. Allgemeingültige Prozentwerte gibt es nicht, denn die Trefferquote hängt stark vom Netz ab. Als Faustregel für Deutschland:

Warum der IP-Standort oft nicht stimmt

• Mobilfunk: Smartphones gehen über wenige zentrale Übergänge ins Internet und teilen sich öffentliche IPv4-Adressen mit vielen Kunden (Carrier-Grade NAT, CGNAT). Datenbanken kennen dann oft nur das Land oder den Ort des Übergangs. Im Ausland erscheint ein Handy mit deutscher SIM-Karte häufig mit deutscher Adresse, weil die Daten über das Heimatnetz laufen.
• DS-Lite bei Kabel und Glasfaser: Der Anschluss hat eine eigene IPv6-Adresse, IPv4 läuft dagegen durch einen Tunnel zum Provider und teilt sich dort eine Adresse mit anderen Kunden. IPv4 und IPv6 desselben Anschlusses können deshalb an verschiedenen Orten erscheinen.
• VPN, Proxy und Tor: Websites sehen die Adresse des Servers, über den die Verbindung läuft, und damit dessen Standort.
• iCloud Privat-Relay: In Safari sehen Websites eine Relay-Adresse, die sich mehrere Nutzer in derselben Gegend teilen können. Laut Apple entspricht sie standardmäßig grob der Stadt des Nutzers; mit der Einstellung Land und Zeitzone verwenden wird die Zuordnung gröber.
• Firmennetze: Viele Unternehmen leiten ihren Datenverkehr zentral ins Internet, etwa über die Zentrale oder einen Cloud-Sicherheitsdienst in einem anderen Land.
• Anycast: Manche Dienste, etwa große DNS-Resolver, betreiben dieselbe Adresse an vielen Orten gleichzeitig. Ein einzelner Ort beschreibt sie nicht.
• Wechselnde Adressen: Anschlüsse mit dynamischer IP-Adresse erhalten nach einer Neueinwahl oft eine neue Adresse, manchmal aus einem Pool, den Datenbanken einem anderen Ort zuordnen. Verlegt ein Provider seine Pools, ziehen Datenbanken mit Verzögerung nach.

Prüfen Sie es selbst: Das Tool IP-Adresse orten zeigt für jede IPv4- und IPv6-Adresse Standort und Provider. Öffnen Sie es zum Beispiel auf Ihrem Smartphone einmal im WLAN und einmal im Mobilfunknetz und vergleichen Sie die Orte.

Falscher Standort: Wer ihn korrigieren kann

Netzbetreiber mit eigenem Adressblock können ihre Standorte als Geofeed veröffentlichen und im RIPE-Eintrag darauf verweisen. Privatkunden können die Zuordnung nicht selbst ändern. Stimmen Land oder Region nicht, können Sie uns einen falschen Standort melden.

IPv6-Geolocation: Was ist anders?

Bei IPv6 erhält Ihr Anschluss vom Provider ein ganzes Präfix, also einen eigenen Adressblock, aus dem jedes Gerät seine Adressen bildet. Für die Geolocation zählt das Präfix, nicht das einzelne Gerät.

• Keine geteilte Adresse: Anders als bei CGNAT oder DS-Lite gehört eine IPv6-Adresse zu Ihrem Anschluss. Sie lässt sich deshalb oft genauer dem regionalen Netz des Providers zuordnen als eine geteilte IPv4-Adresse.
• Privacy Extensions ändern den Ort nicht: Viele Betriebssysteme wechseln den hinteren Teil der Adresse regelmäßig (temporäre Adressen nach RFC 8981). Das erschwert es, ein Gerät wiederzuerkennen; Präfix und Standort bleiben gleich.
• Neues Präfix, neuer Ort: Vergibt der Provider nach einer Neueinwahl ein anderes Präfix, kann sich auch der angezeigte Ort ändern.

Mehr zum Aufbau: IPv6-Adresse und Unterschied zu IPv4.

Wofür wird IP-Geolocation genutzt?

• Sprache, Währung und Inhalte: Ein Shop zeigt Besuchern aus der Schweiz Preise in Franken, ein Nachrichtenportal regionale Meldungen. Für die Sprache taugt die Spracheinstellung des Browsers besser: Ein Besucher aus der Schweiz kann Deutsch, Französisch oder Italienisch bevorzugen. Lassen Sie die Auswahl änderbar.
• Betrugsprävention: Passt das Land der IP-Adresse nicht zur Rechnungs- oder Lieferadresse, prüfen Shops die Bestellung genauer. Adressen aus Rechenzentren, VPNs oder dem Tor-Netz sind ein weiteres Signal, aber allein kein Grund zur Ablehnung: Auch Reisende, Firmennetze und Privat-Relay erzeugen Abweichungen. Laut Apple muss IP-basierte Betrugserkennung wegen Privat-Relay unter Umständen angepasst werden.
• IT-Sicherheit: Firewalls und Log-Systeme können jede IP-Adresse um Land, Provider und ASN ergänzen (Log-Anreicherung). So fallen Anmeldungen aus ungewohnten Ländern auf, ebenso „unmögliche Reisen“: zwei Logins desselben Kontos, die in kurzer Zeit weit auseinanderliegen. Länder-Sperren bremsen Angriffe, halten aber niemanden auf, der über einen Server im Inland kommt.
• Statistik: Analyse-Tools zeigen, aus welchen Ländern und Regionen Besucher kommen. Dafür genügen meist Land und Region.
• Zeitzonen: Termine, Fristen und Benachrichtigungen erscheinen in der Ortszeit des Nutzers, etwa „Europe/Berlin“ mit automatischer Sommerzeit.
• Compliance: Unternehmen sperren Zugriffe aus Ländern, für die Sanktionen oder Exportbeschränkungen gelten, oder dokumentieren, wo ein Kunde sitzt.

Geo-Blocking in der EU: Regeln für Online-Shops

Streaming- und Sportrechte werden oft pro Land vergeben; Anbieter prüfen deshalb per IP-Geolocation, aus welchem Land ein Abruf kommt. Für Online-Shops setzt die Geoblocking-Verordnung (EU) 2018/302 seit dem 3. Dezember 2018 Grenzen. In ihren Erwägungsgründen nennt sie die IP-Adresse ausdrücklich als Mittel, den Standort von Kunden zu ermitteln. Die Kernregeln:

• Ein Shop darf Kunden aus anderen EU-Ländern nicht wegen ihrer Staatsangehörigkeit, ihres Wohnsitzes oder ihres Niederlassungsorts sperren, es sei denn, Rechtsvorschriften verlangen das (Art. 3).
• Auf eine andere Länderversion darf er sie nur mit ihrer ausdrücklichen Zustimmung umleiten (Art. 3).
• Waren und viele Dienstleistungen muss er ihnen zu denselben Bedingungen verkaufen wie Inländern (Art. 4). Eine Pflicht, in jedes EU-Land zu liefern, folgt daraus nicht.
• Audiovisuelle Dienste wie Video-Streaming fallen nicht unter die Verordnung. Für elektronische Dienste, deren Kern der Zugang zu urheberrechtlich geschützten Werken ist, etwa E-Books oder Musik, gilt die Gleichbehandlung aus Art. 4 nicht.

Bezahlte Streaming-Abos bleiben nach der Portabilitätsverordnung (EU) 2017/1128 bei vorübergehenden Aufenthalten in anderen EU-Ländern nutzbar. Zur Prüfung des Wohnsitzlandes darf der Anbieter die IP-Adresse in der Regel nur zusammen mit einem weiteren Nachweis nutzen.

Umsatzsteuer: Die IP-Adresse als Beleg

Verkaufen Sie elektronische Dienstleistungen wie Software-Abos, Apps oder Downloads an Privatkunden in anderen EU-Ländern, fällt die Umsatzsteuer grundsätzlich im Land des Kunden an. Als Beweismittel für diesen Ort nennt die Durchführungsverordnung (EU) Nr. 282/2011 in Artikel 24f ausdrücklich „die Internet-Protokoll-Adresse (IP-Adresse) des von dem Dienstleistungsempfänger verwendeten Geräts oder jedes Verfahren der Geolokalisierung“. In der Regel braucht es zwei Beweismittel, die sich nicht widersprechen, etwa IP-Land und Rechnungsanschrift (Art. 24b Buchst. d). Für kleine Anbieter gelten Erleichterungen; die Details klärt Ihre Steuerberatung.

IP-Geolocation, GPS und Browser-Standort im Vergleich

Die Verfahren unterscheiden sich vor allem in Genauigkeit und Zustimmung:

Ohne Ihre Freigabe bleibt einer Website im Normalfall nur die grobe Schätzung aus der IP-Adresse.

Datenschutz: Ist IP-Geolocation nach der DSGVO erlaubt?

IP-Adressen sind in vielen Fällen personenbezogene Daten. Die DSGVO nennt sie in Erwägungsgrund 30 ausdrücklich als Online-Kennungen, über die Personen identifizierbar sein können. Schon 2016, noch vor Geltung der DSGVO, entschied der Europäische Gerichtshof: Auch eine dynamische IP-Adresse ist für einen Website-Betreiber ein personenbezogenes Datum, wenn er über rechtliche Mittel verfügt, die Person mithilfe der Zusatzinformationen des Internetzugangsanbieters bestimmen zu lassen (Urteil vom 19. Oktober 2016, C-582/14, „Breyer“). Für Website-Betreiber heißt das:

• Rechtsgrundlage: Jede Geolocation-Abfrage verarbeitet die IP-Adresse und braucht eine Rechtsgrundlage nach Art. 6 DSGVO, oft ein berechtigtes Interesse (Abs. 1 Buchst. f). Als Beispiele nennt die DSGVO die Verhinderung von Betrug (Erwägungsgrund 47) und die Netz- und Informationssicherheit (Erwägungsgrund 49), jeweils im unbedingt erforderlichen Umfang.
• Informieren: Nennen Sie Zweck und Rechtsgrundlage in der Datenschutzerklärung (Art. 13 DSGVO).
• Sparsam speichern: Speichern Sie nach Möglichkeit nur das Ergebnis, etwa den Ländercode, und kürzen oder löschen Sie die vollständige Adresse früh (Art. 5 Abs. 1 Buchst. c und e). Für Land oder Region reicht oft eine gekürzte Adresse, etwa mit einer 0 als letzter Zahl einer IPv4-Adresse oder bei IPv6 nur mit den ersten drei Blöcken, weil Datenbanken ganze Bereiche zuordnen.
• Externe Dienste: Wer eine API abfragt, übermittelt die IP-Adresse an einen externen Anbieter. Prüfen Sie, ob ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO nötig ist und wo der Anbieter die Daten verarbeitet.

Mehr zu Server-Logs, Speicherfristen und dem Kürzen von Adressen steht unter IP-Adresse und Datenschutz.

IP-Geolocation per API abfragen

Soll eine Anwendung Adressen automatisch auswerten, etwa im Shop oder in Server-Logs, nutzen Sie die IP-Lookup-API. Eine Abfrage mit curl, der API-Schlüssel steht im Header apikey:

curl -H "apikey: $IPLOOKUPAPI_KEY" \
  "https://api.iplookupapi.com/v1/info?ip=193.0.6.139&fields=ip,connection.isp,location.country.alpha2,location.city.name,timezone.id"

Der Parameter fields beschränkt die Antwort auf die genannten Felder; ohne ihn liefert die API den vollständigen Datensatz. Den Schlüssel legen Sie in der Umgebungsvariablen IPLOOKUPAPI_KEY ab, statt ihn in Skripte zu schreiben.

Viele Adressen auf einmal verarbeitet ein Batch-Aufruf: bis zu 1.000 IPv4- und IPv6-Adressen pro POST-Anfrage, in jedem Tarif. Details stehen in der Batch-Dokumentation (Englisch). Standort, Provider und Zeitzone gibt es ab dem kostenlosen Tarif, die Erkennung von VPN, Proxy und Tor ab Professional.