CGNAT: warum echte Stimmen abgelehnt werden
Ein Veranstalter sieht in der Auswertung, dass hundert Stimmen von derselben IP-Adresse stammen, und zieht daraus den naheliegenden Schluss: Hier hat jemand mit einem Skript oder mehreren Browserfenstern manipuliert. Diese Schlussfolgerung ist plausibel, aber nicht zwingend richtig, denn eine gemeinsame IP-Adresse kann auch ohne jede Absicht entstehen, allein durch die Art, wie ein Internetanbieter seine Adressen verwaltet.
Start › Technik
Für die abstimmende Person selbst bleibt eine solche Adresse fast immer unsichtbar. Wer ein Formular ausfüllt, sieht weder die eigene Netzwerkadresse noch erfährt er, wie viele fremde Anschlüsse sich dieselbe Adresse gerade teilen. Diese Unsichtbarkeit macht das Thema für Teilnehmende schwer greifbar, obwohl es ihre eigene, vollkommen reguläre Stimme unter Umständen direkt betrifft.
Ein cgnat ip limit trifft genau in diesem Punkt oft die Falschen: Es blockiert oder markiert Stimmen anhand einer Adresse, die technisch von vielen völlig unabhängigen Personen gleichzeitig genutzt wird, nicht von einer einzelnen Person mit mehreren Geräten. Wer den Unterschied zwischen einer geteilten Adresse und einem einzelnen Nutzer nicht kennt, hält eine unauffällige technische Ursache leicht für einen Manipulationsversuch.
Was Carrier-Grade NAT technisch macht
Jede Verbindung ins Internet benötigt eine öffentliche IPv4-Adresse, davon existiert aber nur eine begrenzte Gesamtzahl weltweit, deutlich weniger als es Internetanschlüsse gibt. Um trotzdem allen Kundinnen und Kunden einen Zugang zu ermöglichen, schaltet ein Anbieter eine zusätzliche Übersetzungsebene zwischen die einzelnen Anschlüsse und das öffentliche Internet, die Carrier-Grade NAT genannt wird.
Diese Übersetzungsebene weist mehreren tausend Anschlüssen gemeinsam dieselbe öffentliche Adresse zu und unterscheidet einzelne Verbindungen intern über zusätzliche technische Kennungen, die für eine Website oder ein Voting-Formular von außen nicht sichtbar sind. Von außen betrachtet sehen alle diese Anschlüsse wie ein einziger Nutzer aus, obwohl an jedem einzelnen davon eine eigenständige Person oder ein eigener Haushalt hängt.
Anders als ein gewöhnlicher Router im Haushalt, der ohnehin schon mehrere Geräte hinter einer Adresse bündelt, sitzt Carrier-Grade NAT eine Ebene weiter beim Anbieter selbst. Ein Voting-Formular sieht deshalb nicht die Adresse eines einzelnen Haushalts, sondern eine Adresse, hinter der gleichzeitig zahlreiche fremde Haushalte hängen, die technisch nichts miteinander zu tun haben.
Mobilfunknetze setzen Carrier-Grade NAT besonders häufig ein, weil dort auf eine begrenzte Anzahl öffentlicher Adressen eine deutlich größere Zahl gleichzeitig aktiver Mobilgeräte trifft als bei einem klassischen Festnetzanschluss. Eine Stimme, die über das Mobilfunknetz eingeht, teilt sich deshalb tendenziell mit mehr fremden Personen dieselbe Adresse als eine Stimme über einen häuslichen WLAN-Anschluss.
IPv6 mildert dieses Problem teilweise, weil dort genügend Adressen existieren, um auf eine Übersetzungsebene wie Carrier-Grade NAT zu verzichten. Solange ein Voting-System aber nur die klassische IPv4-Adresse auswertet, bleibt die Bündelung bestehen, selbst wenn der Anschluss selbst technisch auch über IPv6 erreichbar wäre.
Ein gewöhnlicher Router im Haushalt bündelt ebenfalls mehrere Geräte hinter einer Adresse, allerdings nur die eines einzelnen Haushalts. Carrier-Grade NAT bündelt eine ganze Ebene weiter oben beim Anbieter selbst und betrifft dadurch nicht nur ein Dutzend Geräte einer Familie, sondern gleichzeitig zahlreiche fremde Haushalte, die technisch nichts miteinander zu tun haben. Für ein Voting-Formular sind beide Fälle von außen nicht zu unterscheiden, obwohl der eine harmlos und der andere folgenreich ist.
Ein öffentliches WLAN in einem Café, einer Hochschule oder einem Firmennetz erzeugt einen ähnlich aussehenden Effekt, technisch aber auf einem anderen Weg: Dort bündelt ein lokaler Netzbetreiber viele gleichzeitig angemeldete Geräte hinter einer einzigen Adresse, ohne dass ein Mobilfunk- oder Festnetzanbieter überhaupt beteiligt ist. Ein Voting-System sieht auch hier nur eine gemeinsame Adresse und kann die Ursache dahinter nicht unterscheiden.
Wie ein Voting-System auf eine geteilte Adresse reagiert
Setzt ein Voting-System ein striktes Limit von einer Stimme pro Adresse durch, blockiert es bei einer Carrier-Grade-NAT-Adresse jede weitere Stimme, sobald die erste Person hinter dieser Adresse bereits abgestimmt hat, unabhängig davon, wie viele andere, unabhängige Personen noch folgen wollen. Für den Veranstalter entsteht dadurch der irreführende Eindruck, es habe nur eine einzige Person aus dieser Region abgestimmt.
Umgekehrt kann derselbe Effekt auch als vermeintlicher Beweis für Manipulation gedeutet werden, wenn ein System ein Limit nicht durchsetzt, sondern lediglich protokolliert: Ein auffälliger Block gleichartiger Stimmen von einer Adresse muss dann nicht auf eine einzelne, manipulierende Person zurückgehen, sondern kann ebenso gut eine ganz gewöhnliche Gruppe unabhängiger Kundinnen und Kunden desselben Anbieters sein.
Manche Systeme reagieren deshalb nicht mit einem harten Block, sondern nur mit einer Markierung zur späteren manuellen Prüfung, und werten zusätzlich die zeitliche Verteilung der Stimmen aus: Kommen die Stimmen von derselben Adresse über Stunden verteilt einzeln herein, spricht das eher für unabhängige Haushalte hinter einer Carrier-Grade-NAT-Adresse; treffen sie dagegen alle innerhalb weniger Sekunden ein, spricht das eher für ein automatisiertes Skript.
Ein weiteres Merkmal, das manche Systeme zusätzlich auswerten, ist die Vielfalt der Endgeräte hinter derselben Adresse: Stammen die Stimmen erkennbar von unterschiedlichen Browsern, Bildschirmgrößen oder Betriebssystemen, spricht das eher für mehrere unabhängige Haushalte. Kommen dagegen alle Stimmen von einem technisch identisch aussehenden Gerät, verschiebt sich der Verdacht eher in Richtung einer einzelnen, wiederholt abstimmenden Person.
Ein Voting-System, das ein IP-Limit mit einer zweiten Kennung wie einem Konto oder einer E-Mail-Bestätigung kombiniert, verlagert das eigentliche Zählmerkmal von der Adresse weg und macht die Carrier-Grade-NAT-Bündelung damit für das Ergebnis größtenteils bedeutungslos, auch wenn die Adresse im Hintergrund weiterhin protokolliert wird.
Umgekehrt kann sich die Adresse ein und derselben Person mitten in einer Abstimmung ändern, etwa beim Wechsel zwischen Mobilfunknetz und WLAN oder beim Wechsel der Funkzelle unterwegs. Ein System, das eine Stimme nur einmal pro Adresse zulässt, kann eine solche zweite Stimme derselben Person danach fälschlich als eigenständigen neuen Versuch akzeptieren, während es umgekehrt bei einer geteilten Adresse eine echte zweite Person fälschlich ablehnt.
Was sich ohne weitere Prüfung nicht unterscheiden lässt
Allein aus einer IP-Adresse lässt sich nicht ablesen, ob dahinter eine einzelne Person mit mehreren Versuchen steckt oder eine Carrier-Grade-NAT-Adresse mit vielen unabhängigen Kundinnen und Kunden. Diese Unterscheidung würde zusätzliche technische Informationen erfordern, über die ein gewöhnliches Voting-Formular meist nicht verfügt.
Ob ein bestimmter Anbieter für einen bestimmten Anschluss überhaupt Carrier-Grade NAT einsetzt oder eine eigene öffentliche Adresse vergibt, lässt sich von außen ebenfalls nicht zuverlässig feststellen. Diese Entscheidung trifft der jeweilige Internetanbieter nach eigenen, selten veröffentlichten Kriterien, unabhängig vom Voting-System, das die Adresse später auswertet.
Auch wie viele Geräte tatsächlich hinter einer bestimmten Carrier-Grade-NAT-Adresse gebündelt sind, veröffentlicht kein Anbieter für einzelne Adressen. Ein Voting-System kann deshalb höchstens eine Vermutung anhand des beobachteten Musters treffen, nie eine gesicherte Zahl an tatsächlich dahinterstehenden Personen.
Fast jeder deutsche Wettbewerb verbietet in den Teilnahmebedingungen gekaufte, künstlich erzeugte und automatisierte Stimmen. Veranstalter können solche Stimmen für ungültig erklären, Teilnehmer ausschließen und bereits zugesprochene Gewinne aberkennen. Ein offener Aufruf an das eigene Publikum, regulär abzustimmen, ist dagegen bei den meisten Organisatoren ausdrücklich erlaubt. Lesen Sie die Bedingungen, bevor Sie handeln.
Abstimmungssysteme prüfen Doppelabstimmungen über Konten, E-Mail-Adressen, Geräte und IP-Adressen. Wer sein Publikum offen zum Abstimmen aufruft, erzeugt genau das Muster, das diese Systeme erwarten: echte Konten, verschiedene Geräte, Stimmen verteilt über den Zeitraum. Massenhafte Stimmen aus einer Quelle fallen dagegen auf und werden häufig gar nicht erst gewertet.
Bei Wahlen und Abstimmungen in einer Volksvertretung ist der Kauf oder Verkauf einer Stimme strafbar. Solche Abstimmungen lehnen wir grundsätzlich ab. Bei privaten Gewinnspielen, Leserwahlen und Publikumspreisen entscheidet der Veranstalter über die Regeln; er muss die Teilnahmebedingungen klar und eindeutig angeben und kann Verstöße sanktionieren.
Wir verkaufen nichts und garantieren daher kein Ergebnis. Diese Seite dokumentiert, wie Abstimmungen funktionieren. Kein Anbieter kann verhindern, dass ein Veranstalter Stimmen verwirft oder einen Teilnehmer disqualifiziert. Wenn ein Wettbewerb gekaufte Stimmen ausschließt, ist die Teilnahme verloren, und dagegen gibt es keinen Schutz.
deutscher-engagementpreis.de psd-nachbarschaftspreis.de landwirtschaft-verstehen.at
Fragen
Nein, nicht zwingend. Durch Carrier-Grade NAT können viele unabhängige Personen technisch dieselbe öffentliche Adresse teilen, ohne dass eine von ihnen etwas mit den Stimmen der anderen zu tun hat.
Weil öffentliche IPv4-Adressen weltweit begrenzt sind. Anbieter bündeln deshalb viele Anschlüsse hinter derselben Adresse, um trotz der Knappheit allen Kundinnen und Kunden einen Internetzugang zu ermöglichen.
Ja. Sobald eine Person hinter einer Carrier-Grade-NAT-Adresse abgestimmt hat, blockiert ein striktes Limit weitere Stimmen von derselben Adresse, auch wenn dahinter völlig unabhängige Personen stehen.
Meist ja. Mobilfunknetze setzen Carrier-Grade NAT häufiger ein, weil dort deutlich mehr gleichzeitig aktive Geräte auf dieselbe begrenzte Zahl öffentlicher Adressen treffen als bei einem WLAN-Anschluss zu Hause.
Teilweise. IPv6 bietet genug Adressen, um auf eine Bündelung zu verzichten. Wertet ein Voting-System aber ausschließlich die IPv4-Adresse aus, bleibt die Carrier-Grade-NAT-Bündelung trotzdem bestehen.
Meist nicht ohne Weiteres. Ob ein Anschluss hinter Carrier-Grade NAT liegt, entscheidet der jeweilige Internetanbieter und ist für Nutzerinnen und Nutzer von außen kaum erkennbar.
Der sichtbare Effekt ist ähnlich, die technische Ursache eine andere: Ein öffentliches WLAN bündelt viele Geräte lokal hinter einer Adresse, ohne dass ein Mobilfunk- oder Festnetzanbieter beteiligt ist. Ein Voting-Formular kann beide Fälle nicht unterscheiden.
Ja, etwa beim Wechsel zwischen Mobilfunknetz und WLAN oder beim Wechsel der Funkzelle. Ein System, das nur eine Stimme pro Adresse zulässt, kann eine zweite, eigentlich gültige Stimme derselben Person dadurch fälschlich als neuen Versuch werten.
Frage zu einem konkreten Wettbewerb?
Schicken Sie den Link und die Deadline. Wir lesen die Teilnahmebedingungen und sagen, wie dieser Wettbewerb zählt und was das praktisch bedeutet — auch dann, wenn die Antwort lautet, dass sich hier nichts machen lässt.
Frage stellenZuletzt geprüft: