Seit dem Ausbruch des Krieges in der Ukraine im Februar 2022 durch die russische Invasion hat sich eine bedeutende Veränderung in der Nutzung und Kontrolle der Internetinfrastruktur des Landes vollzogen. Ein Großteil der ursprünglich in ukrainischem Besitz befindlichen Internet Protocol Version 4 (IPv4) Adressen ist nun entweder unter russischer Kontrolle oder von internationalen Adressbrokern gekauft oder geleast worden. Dies führt zu einer Fragmentierung des ukrainischen IP-Raums und hat weitreichende Folgen für die nationale Sicherheit, die digitale Wirtschaft und die globale Internetgemeinschaft. Im Zentrum dieser Entwicklung steht ein Bericht von Kentik, einem Unternehmen, das sich auf das Netzwerkperformance-Monitoring spezialisiert hat. Die Studie zeigt, dass rund ein Fünftel des ukrainischen IPv4-Adressraums seit Kriegsbeginn umverteilt wurde.
Die Verteilung erfolgt dabei häufig an verschleierte Proxy- und Anonymitätsdienste, die häufig bei großen amerikanischen Internetdienstanbietern wie Amazon, AT&T und Cogent eingebettet sind. Diese Proxy-Dienste ermöglichen es Kunden, ihre Internetaktivitäten über fremde IP-Adressen anonym abzuwickeln, was sowohl legitime Geschäftsanwendungen als auch missbräuchliche Nutzung erleichtert. Die ukrainischen Internetanbieter stehen durch die Kriegsfolgen selbst unter großem finanziellen und infrastrukturellen Druck. Einige von ihnen wie Ukrtelecom sind gezwungen, ihre IP-Adressräume zu verkaufen oder zu verleasen, um finanziell über Wasser zu bleiben und grundlegende Dienste aufrechtzuerhalten. So rentiert Ukrtelecom aktuell nur noch knapp 30 Prozent der zu Kriegsbeginn kontrollierten IPv4-Adressen. Diese bisher von ukrainischen ISPs verwalteten Adressen sind heute zwischen mehr als hundert internationalen Providern verteilt.
Besonders auffällig ist die starke Verlagerung hin zu US-amerikanischen Netzwerken, wobei AT&T als einer der Hauptempfänger auftritt. Außerdem berichten Untersuchungen, dass viele der von ukrainischen Providern wie LVS, TVCOM und Trinity abgegebenen IP-Adressen in das Routing von Proxy-Diensten an US-basierte ISPs übergegangen sind. Die Strategie, solche Adressen zu verleasen oder zu verkaufen, ist zwar ein Mittel zur kurzfristigen finanziellen Stabilisierung, führt aber dazu, dass diese IP-Blöcke oftmals in nicht transparenten und potenziell riskanten Kontexten genutzt werden. Die Integration von ehemals ukrainischen IPs in Proxy-Netzwerke ermöglicht nicht nur legale Anwendungen wie Web-Crawling, Preisvergleiche oder Marktforschung, sondern wird auch zunehmend für verschleierte Cyberangriffe verwendet.
Ein besorgniserregender Trend ist, dass diese Adressräume inzwischen häufig zur Verschleierung von Hass- oder kriminellen Cyberaktivitäten verwendet werden, inklusive Angriffen auf ukrainische und andere pro-westliche Infrastrukturziele. Ein aktuell strafrechtlich relevantes Beispiel ist Stark Industries Solutions Inc. , ein ISP, der kurz vor Beginn des Krieges gegründet wurde und schnell zur Quelle umfangreicher DDoS-Angriffe und Phishing-Kampagnen durch russische, staatlich geförderte Hackergruppen wurde. Die Analyse seiner IP-Ressourcen zeigt, dass viele davon von ukrainischen ISPs stammen und gleichzeitig mit Proxy- und Anonymitätsdiensten in Verbindung stehen. Durch die Vermischung von legitimen ukrainischen IP-Adressen mit Proxydiensten entsteht für Webseiten und Sicherheitsteams ein erhöhtes Risiko.
Traffic, der über solche Proxys läuft, erscheint aus der Perspektive von Zielservern als legitimer Nutzer mit einer bestimmten geografischen Herkunft, obwohl in Wirklichkeit die Quelle verschleiert wird. Das erschwert nicht nur die Rückverfolgung von Angriffen, sondern fördert auch den Missbrauch von Internetressourcen für betrügerische und kriminelle Zwecke. Der Wert von IPv4-Adressen ist angesichts der begrenzten Vorräte auf dem globalen Markt erheblich gestiegen. Leasingmodelle, bei denen Adressblöcke an Proxy-Anbieter vermietet werden, erzielen monatliche Einnahmen von mehreren hundert Dollar pro Block und machen sie damit zu lukrativen Assets. Dadurch werden ukrainische ISPs trotz der prekären Lage international attraktive Adressanbieter, insbesondere für Anbieter von Proxys und VPN-Diensten.
Unternehmen wie Spur, die auf die Erkennung und Analyse von Proxy-Diensten spezialisiert sind, weisen darauf hin, dass viele der zuvor ukrainischen IP-Bereiche nun kommerziellen Proxy-Diensten zugeordnet sind, die ihren Kunden an verschiedenen Standortoptionen ermöglichen, ihren Datenverkehr anonymisiert zu routen. Die Rolle großer amerikanischer Internetanbieter ist in diesem Prozess ambivalent. So hat AT&T im Februar 2025 eine neue Unternehmenspolitik eingeführt, die den Ursprung von IP-Adressblöcken, die nicht von AT&T selbst stammen, strenger regelt. Kunden, die fremde IP-Adressbereiche verwenden, müssen bis September 2025 eigene autonome Systemnummern (ASNs) vorweisen, um weiterhin Routing-Dienste zu erhalten. Experten sehen diesen Schritt als einen ersten aktiven Versuch, den Missbrauch von IP-Ressourcen durch Proxy-Provider einzudämmen.
Gleichwohl gibt es weiterhin andere große US-ISPs wie Cogent, die vergleichsweise unreguliert das Routing von IP-Adressen ermöglichen und dadurch weiterhin als Heimatbasis für Proxy-Dienste fungieren. Die Konsequenzen des Vertriebs ukrainischer IP-Adressen an Proxy-Dienste sind weitreichend. Für die Ukraine selbst bedeutet es einen teilweise unwiderruflichen Verlust eines wichtigen Teils der digitalen Infrastruktur. Gleichzeitig führt sie durch die Neuverwendung dieser Adressen indirekt zur Ermöglichung von Cyberangriffen gegen sich selbst und verbündete Länder. international betrachtet verdeutlicht das Phänomen die Schwachstellen globaler Internet-Infrastruktur, wenn es um Krieg, Cybersecurity und die Kommerzialisierung knapper Ressourcen geht. Die Debatte um die Legalität und Ethik der Vermietung von IP-Adressräumen an Proxy-Dienste ist kontrovers.
Während solche Praktiken in vielen Ländern legal sind und von zahlreichen seriösen Unternehmen genutzt werden, gibt es kritische Stimmen, die auf Missbrauch und die erschwerte Rückverfolgbarkeit krimineller Aktivitäten aufmerksam machen. Kritiker fordern mehr Transparenz, Regulierung und internationale Zusammenarbeit, um die Verwässerung der Rechte vorheriger Adressinhaber zu verhindern und die Sicherheit im Netz insgesamt zu stärken. Für die Internetlandschaft bedeutet der Ukraine-IP-Exodus ein warnendes Beispiel dafür, wie politische und militärische Konflikte materielle Auswirkungen auf digitale Assets haben. Auch wenn kurzfristig wirtschaftliche Interessen einen Anreiz zur Veräußerung bieten, kann dies langfristig zu erheblichen Risiken für nationale und internationale Sicherheitssysteme werden.
Zugleich sieht man, wie die Kontrolle und Verwaltung von IP-Adressen in der modernen Welt weit über rein technische Fragestellungen hinausgeht und tiefe politische, wirtschaftliche und rechtliche Aspekte berührt. Abschließend zeigt der Exodus ukrainischer IP-Adressen auf, wie dynamisch und prekäres das Geflecht aus globalen ISP-Netzwerken, Proxy-Diensten, Cybersecurity und geopolitischen Konflikten ist. Die notwendigen Schritte zur Eindämmung von Missbrauch, wie die Verschärfung der Routing-Politik bei AT&T, sind erst ein Anfang. Um nachhaltige Lösungen zu erreichen, bedarf es umfassender internationaler Standards und einer stärkeren Einbindung sowohl der Internetgemeinschaft als auch staatlicher Behörden, damit die digitale Infrastruktur nicht als Kollateralschaden humanitärer und sicherheitspolitischer Konflikte weiterhin missbraucht wird.
