Ausländische Trump-Accounts auf X enttarnt – aber, X ist nicht in der Lage, moderne VPN-Architekturen zuverlässig zu erkennen oder zu blockieren. Eine investigative Recherche

Auf X konnten Nutzer am Wochenende erstmals sehen, wo bestimmte Accounts tatsächlich sitzen – und das Ergebnis lässt kaum jemanden kalt. Viele der lautesten Pro-Trump-Profile, voll mit US-Flaggen, Bildern von Wahlkampfveranstaltungen und patriotischen Slogans, stammen gar nicht aus den Vereinigten Staaten. Die neue Standortanzeige weist sie als Nutzer aus Südasien, Afrika oder Osteuropa aus. Dazu gehören Namen wie „@TRUMP_ARMY“ oder „@MAGANationX“, die sich bisher erfolgreich als amerikanische Unterstützer inszeniert hatten. Die Offenlegung trifft genau jene Accounts, die seit Monaten reihenweise irreführende Behauptungen verbreiten – etwa die Geschichte, Demokraten hätten Debattenmoderatoren bestochen. Recherchen von NewsGuard zeigen, dass mehrere dieser angeblich „typischen US-Pro-Trump-Accounts“ in Wirklichkeit möglicherweise aus dem Ausland betrieben werden und Hunderttausende Follower erreichen.

Wir haben am Montag eine tiefergehende Analyse der neuen Standortfunktion von X durchgeführt – und dabei ein technisches Verhalten bestätigt, das innerhalb der IT-Sicherheitscommunity seit Jahren bekannt ist: Die Plattform ist nicht in der Lage, moderne VPN-Architekturen zuverlässig zu erkennen oder zu blockieren. Besonders deutlich wurde das beim Einsatz von CyberGhost, einem Dienst, der sogenannte „Shared Exit Nodes“ und „Layered Routing“ nutzt, um die ausgehende IP-Topologie zu verschleiern.

Wir haben die Standortfunktion parallel über getunnelte Verbindungen, Traffic-Shaping und modulierte Timing-Signaturen getestet – X erkennt davon praktisch nichts. Selbst bei simultanen Multi-Hop-Routen über unterschiedliche AS-Register bleibt das System blind und ordnet die Accounts falsch zu.

X greift – soweit ersichtlich – auf eine Kombination aus Geo-IP-Zuordnungen und netzseitigen Fingerprinting-Methoden zurück, darunter Standardverfahren wie ASN-Abfragen, Forward-Confirmed Reverse DNS Checks sowie heuristische Zuordnungen über bekannte Proxy-Netzwerke. Diese Verfahren sind gegen die aktuelle Generation kommerzieller VPNs jedoch weitgehend wirkungslos. CyberGhost verwendet verteilt arbeitende Gateways in Hochleistungsrechenzentren, die bewusst so konzipiert sind, dass sie in denselben Adressblöcken wie große Cloudanbieter laufen. Das führt dazu, dass sich die ausgehende Verbindung für externe Systeme nicht von einer regulären Serververbindung unterscheidet – und exakt deshalb konnte X den VPN-Einsatz in keinem unserer Tests identifizieren.

Selbst fortgeschrittenere Methoden wie Traffic-Timing-Analysen oder TLS-Fingerprint-Vergleiche bringen gegen CyberGhosts Architektur keinen durchschlagenden Vorteil. Der Client nutzt wechselnde Cipher Suites, Proxy-Obfuscation und „Packet Shaping“, das den Datenverkehr so anpasst, dass er sich unauffällig in typische Mobil- oder Privatnetzwerke einfügt. Diese Art von Tarnmechanismen wird ursprünglich entwickelt, um Netzwerkrestriktionen autoritärer Staaten zu umgehen – hat aber einen Nebeneffekt: Plattformen wie X sehen den VPN-Nutzer schlicht als normalen Client an.

Das Ergebnis unserer Tests ist eindeutig: Die neue Standortfunktion zeigt zuverlässig echte Standorte an – sofern der Nutzer ungeschützt unterwegs ist. Doch sobald ein gut konfigurierter VPN im Spiel ist, lässt sich die Herkunft innerhalb von Millisekunden fälschen. Wer will, taucht mit einem Klick in Warschau auf, eine Sekunde später in Lagos, danach in Neu-Delhi oder Buenos Aires.

Die Plattform blendet zwar gelegentlich Warnhinweise ein, dass Daten „unter Umständen ungenau“ seien, doch das ist keine technische Gegenmaßnahme – sondern ein Eingeständnis. Solange X auf klassische Geo-IP-Erkennung setzt, während VPN-Anbieter mit Cloud-Clustern und verschleierten Exit-Strukturen arbeiten, bleibt die Funktion ein Werkzeug für Transparenz – aber keines für Verifikation.

Kurz gesagt: Wer seine Spur verwischen will, kann das weiterhin ohne großen Aufwand tun. Und das erklärt, warum nun reihenweise vermeintlich „amerikanische“ Pro-Trump-Accounts plötzlich als Nutzer aus Südafrika, Pakistan oder Osteuropa auftauchen – und ebenso leicht auch das Gegenteil vortäuschen könnten. Doch selbst X räumt ein, dass VPNs oder automatische Proxys der Provider für Unschärfen sorgen können. Bei einigen Accounts blendet die Plattform bereits Hinweise ein, dass die Daten unzuverlässig sein könnten.

X-Produktchef Nikita Bier erklärte zur neuen Funktion, die neue Funktion solle Nutzern ermöglichen, die Herkunft eines Profils mit einem Klick auf das Anmeldedatum einzusehen. Doch selbst X räumt ein, dass VPNs oder automatische Proxys der Provider für Unschärfen sorgen können. Bei einigen Accounts blendet die Plattform bereits Hinweise ein, dass die Daten unzuverlässig sein könnten. Trotzdem offenbaren die ersten Entdeckungen ein großes Netzwerk aus Profilen, die sich als überzeugte Trump-Unterstützer darstellen und doch weit entfernt von den USA betrieben werden. Ein besonders auffälliger Fall ist „@BarronTNews_“, der sich als „Mar-a-Lago“ ausgibt, laut Standortkennzeichnung jedoch aus „Osteuropa (Non-EU)“ kommt. Die Standortfunktion greift nur bei Accounts mit Verifizierungsstatus – also Haken-Accounts, bezahlte Einzelprofile, Organisationen und Marken. Normale Nutzer ohne Haken, geschützte Accounts und ältere verifizierte Profile der ‚Legacy‘-Ära bleiben derzeit unsichtbar. In unseren Tests wurden sämtliche kostenpflichtig verifizierten Profile von X korrekt ausgelesen, während unverifizierte Profile konsequent ohne Standortangabe blieben.“

In den Diskussionen auf X wird die Funktion bereits heftig umstritten. Einige begrüßen die Transparenz, andere sprechen von einem Eingriff in die Privatsphäre. Eines macht die neue Anzeige jedoch unmissverständlich deutlich: Ein Teil des politischen Trommelfeuers auf X stammt nicht aus amerikanischen Wohnzimmern, sondern von Nutzern, die weder im Land wählen noch von den Folgen der Debatten betroffen sind. Für die US-Politik bedeutet das eine neue Dimension – denn plötzlich wird sichtbar, wie viel Einfluss ausländische Akteure auf den täglichen digitalen Lärm rund um Trump wirklich haben.