Weizenfelder und Sonnenblumen gibt es in Potwin. Zwei Kirchen, eine Grundschule, eine Highschool – und 450 Menschen. Die meisten Farmer. Angeblich. Es ist nicht viel los in dem Kaff im US-Bundesstaat Kansas, sollte man meinen. Doch wer IP-Adressen von Straftätern zurückverfolgt, merkt schnell: Pädophile, Spammer, Hacker, Steuerhinterzieher – eine stattliche Anzahl an Kriminellen tarnt sich offenbar in dem verschlafenen Nest als Farmer: Allen voran auf der Vogelman-Farm.

Die Geschichte ihrer Bewohner und deren Heimatstadt hat die Journalistin Kashmir Hill vom US-Online-Magazin Fusion entdeckt. Die Story versteckte sich in den Informationen aus einer Datenbank von MaxMind, einer Firma, mit deren Hilfe Kunden unter anderem IP-Adressen auf ihre geografische Herkunft prüfen können. Wer genau wissen will, woher der Besucher einer Website kommt, kann gegen eine Gebühr tiefer in der MaxMind-Datenbank suchen. Mit einem Sicherheitsforscher durchsuchte Hill die Daten nach Auffälligkeiten – und stieß auf den Fall aus Kansas.

Die Postanschrift im Internet

Zunächst kurz zur Technik: Jedes mit dem Internet verbundene Gerät und jede Website hat eine IP-Adresse. Von zeit.de kann das etwa die 217.13.68.251 sein. Für die meisten Privatnutzer ändert sich diese regelmäßig, meist täglich, sie wird vom Provider vergeben. Unternehmen oder Behörden können aber einzelne IP-Bereiche zugewiesen bekommen. So kann man zum Beispiel sehen, wer mit einer IP-Adresse der kanadischen Regierung gerade die Wikipedia editiert. Man kann sich IP-Adressen wie eine Anschrift im Internet vorstellen: Wer eine Website besucht, lässt sich die Daten an seine persönliche IP-Adresse, also seinen Computer oder sein Smartphone, schicken.

Die Adresse ist öffentlich, sofern sie nicht über Dienste wie VPN-Netzwerke oder Tor verschleiert wird. Jeder Website-Betreiber kann sehen, von welchen IP-Adressen aus seine Seiten besucht wurden. Und die Adressen lassen sich über Tracer- oder Tracker-Dienste im Netz zurückverfolgen, jedenfalls ein bisschen. Die obige IP-Adresse von zeit.de führt je nach Abfrage entweder zum Rechenzentrum in Braunschweig oder zum Hamburger Pressehaus, ist also recht genau. Für die meisten Privatnutzer endet die Rückverfolgung meist beim lokalen Providerknoten. Wer etwa O2-Kunde in Berlin ist, bekommt beim Abruf seiner IP-Adresse bloß Berlin als Endpunkt angezeigt, aber nicht die genaue Adresse seines Haushaltes. Diese Daten kennt nur der Provider und gibt sie in der Regel erst nach einem richterlichen Beschluss heraus, etwa im Fall von Abmahnungen.

Ortsmarke ungenau? Dann sind's die Vogelmans

Unternehmen wie MaxMind bieten IP-Abfragen in Form von Datenbanken für Geschäftskunden an. Es scannt regelmäßig IP-Adressen auf ihre Herkunft und reichert sie mit Informationen wie etwa dem Durchschnittseinkommen des jeweiligen Standortes an. Werbetreibende können damit dann genauere Analysen von Besuchern einer Website anlegen. Allerdings, das schreibt auch MaxMind auf seiner Website, seien die Herkunftsangaben nicht immer präzise und sollten deshalb nicht dazu verwendet werden, eine "bestimmte Adresse oder Haushalte zu identifizieren".

Dieses Kleingedruckte hat offenbar nicht alle Kunden von MaxMind erreicht. Deshalb kommen viele bei der Abfrage einzelner IP-Adressen bei der Farm von Familie Vogelman in Potwin heraus. 600 Millionen IP-Adressen sollen auf diesen Ort verweisen, berichtet Fusion.

Die Journalistin Hill hat inzwischen herausgefunden, wieso das so ist. Wann immer die Software von MaxMind eine amerikanische IP-Adresse nicht genauer lokalisieren kann, spuckt sie das geografische Zentrum der USA aus, was im Norden von Kansas liegt. Weil dessen Koordinaten allerdings etwas unschön sind, entschied MaxMind vor zehn Jahren, die Koordinaten auf- und abzurunden – mit dem Ergebnis, dass sie nun auf die Vogelman-Farm verweisen.

Selbst die Polizei irrt sich

Dessen Bewohner wundern sich schon länger, weshalb immer wieder fremde Personen bei ihnen anrufen. Seit einigen Jahren bekommen sie regelmäßig wütende Briefe, Eindringlinge durchsuchten ihre Scheune und auch die Behörden klopften schon an, wird die 82-jährige Joyce Taylor zitiert. In Internetforen wie Reddit wird die Adresse als Heimat von Menschen angeführt, die mutmaßlich illegal gehandelt haben oder einfach nur jemandem auf die Nerven gingen. Inzwischen hat der Sheriff von Potwin ein Schild an der Einfahrt der Farm angebracht mit der Bitte, sich bei Fragen doch bitte an ihn zu wenden.

Der Grund ist immer der gleiche: Nutzer haben die MaxMind-Datenbank genutzt, um eine bestimmte IP-Adresse nachzuverfolgen, wussten nicht, wie das System funktioniert und wie ungenau es ist. Selbst manche Behörden wissen das nicht. Einige lokale Polizeistellen nutzen die Datenbank für ihre Ermittlungen. Auch sie kamen am Ende in Kansas heraus.

Es gibt noch andere Orte in den USA, in denen unzählige IP-Adressen bei einzelnen Personen zusammenlaufen. Bei Tony Pav aus Virginia zum Beispiel, der in der Nähe mehrerer großer Serverzentren lebt. Auch hier führten die MaxMind-Koordinaten zu seinem Haus, und auch bei ihm wurde bereits die Polizei mit einem Durchsuchungsbefehl vorstellig. "Es ist, als säße ich auf einer Zeitbombe. Ich fühle mich hilflos", sagte Pav der Fusion-Journalistin.

MaxMind will die Koordinaten ändern

Dass solche Irrtümer möglich sind, hat vor allem zwei Gründe: Zum einen denken viele Menschen IP-Adressen seien mit physischen Adressen gleichzusetzen. In der öffentlichen Debatte über Abmahnwellen, aber auch über Terrorismusbekämpfung und Hatespeech werden häufig IP-Adressen erwähnt, dank derer Strafverfolger mutmaßlichen Kriminellen auf die Schliche kommen.

Zum anderen ist das Geschäft mit IP-Tracker-Diensten unreguliert. Unternehmen wie MaxMind verkaufen komplette Datenbanken. Daneben gibt es simple Web-Abfragen oder Suchmaschinen wie Shodan, die das Internet auf vernetzte Geräte wie Webcams oder Drucker hin durchsuchen. Sie alle sind niemals genau. Menschen wie Tony Pav können sich also nicht einfach an eine zentrale Stelle wie ihren Provider wenden, wenn plötzlich fremde Menschen anrufen, weil irgendeine Website auf ihr Haus gezeigt hat.

Zumindest im Fall der Firma MaxMind könnte die Geschichte ein gutes Ende finden. Der Geschäftsführer hat nach der Recherche gesagt, er habe nicht gewusst, dass die Standard-Location für viele IP-Adressen auf ein einzelnes Anwesen führt. Sowohl für Kansas als auch für Virginia will MaxMind die Koordinaten mit dem nächsten Update anpassen. Dorthin, wo garantiert niemand lebt, zum Beispiel in die Mitte eines Sees.

Datenschutz - Fünf Tipps gegen die Überwachung Seitdem ZEIT-Autor Christian Fuchs weiß, welche Daten die deutschen Sicherheitsbehörden über ihn gesammelt haben, hat er seine Alltagsgewohnheiten drastisch verändert.