Confidence Score

Der Confidence Score ist eine Zahl zwischen 0 und 100, die angibt, wie wahrscheinlich es ist, dass eine IP-Adresse bösartig ist. Es handelt sich dabei weder um die Anzahl der Reports noch um eine Durchschnittsbewertung: Der Wert berücksichtigt, wie viele unabhängige Quellen die Adresse gemeldet haben, wie aktuell die Reports sind, wie schwerwiegend das gemeldete Verhalten war und ob einer der Reports von einem verifizierten Honeypot stammt. Jede API-Antwort, die abuseConfidencePercentage diesen Wert enthält.

Wie der Wert berechnet wird

Vier Komponenten werden addiert, wobei jede einzelne begrenzt ist, sodass kein einzelnes Signal den Wert allein bestimmen kann. Anschließend wird ein Honeypot-Bonus hinzugefügt, und die Gesamtsumme wird auf 100 begrenzt.

Vielfalt der Melder

Reports aus unterschiedlichen Quellen zählen weitaus mehr als wiederholte Reports aus einer einzigen Quelle. Ein Report, der von zehn verschiedenen Websites gemeldet wird, wird ganz anders behandelt als ein Report, der zehnmal von einer einzigen Website gemeldet wird, obwohl beide jeweils zehn Reports aufweisen.

Zwei Einschränkungen sorgen hierfür:

• Bei weniger als 5 gültigen Reports wird die Punktzahl auf 49 begrenzt.
• Bei weniger als 10 gültigen Reports wird die Punktzahl auf 74 begrenzt.
• Ein einzelner Melder mit mehr als einer Report begrenzt die Punktzahl auf 60.

Bei den „gültigen Reports“ werden Honeypot-Reports doppelt gezählt, da ein Honeypot keinen legitimen Datenverkehr aufweist, der mit einem Angriff verwechselt werden könnte.

Zeitliche Gewichtsreduzierung

Reports verlieren mit zunehmendem Alter an Gewicht, wobei die Halbwertszeit 30 Tage beträgt. Eine Adresse, die keine Angriffe mehr ausführt, wird daher von selbst aus der Blacklist entfernt, ohne dass jemand einen Antrag auf Löschung stellen muss.

Die Gewichtung sinkt niemals auf null. Eine lange Geschichte des Missbrauchs bleibt schwach sichtbar, weshalb sich eine Adresse mit einer jahrelangen Vorgeschichte langsamer erholt als eine mit einem einzigen Vorfall aus jüngerer Zeit.

Honeypot-Reports

Ein Honeypot-Server hat keine echten Nutzer, daher ist jede Anfrage, die er erhält, per Definition unaufgefordert. Das macht seine Reports ungewöhnlich sauber, und sie werden entsprechend gewichtet: Sie zählen doppelt für die effektive Meldungszahl, sie bringen einen Bonus von bis zu 25 Punkten ein und sie verlieren langsamer an Gewicht als gewöhnliche Reports.

Der Bonus ist weiterhin an die Vielfalt geknüpft. Ein einzelner Honeypot, der wiederholt dieselbe Adresse meldet, erhält einen reduzierten Bonus, und ab einem bestimmten Schwellenwert wird eine Strafe verhängt – andernfalls könnte ein einzelner „lauter“ Sensor die Bewertung des gesamten Netzwerks beeinflussen. Informationen zum Betrieb eines Honeypot-Servers finden Sie unter „Honeypot Server “.

Burst-Aggregation

Wiederholte Reports für dieselbe Adresse vom selben Melder innerhalb eines kurzen Zeitfensters werden zu einem einzigen Datensatz mit einem Angriffszähler zusammengefasst. Ein Brute-Force-Angriff, der innerhalb von zwei Minuten 500 fehlgeschlagene Logins erzeugt, wird daher als ein anhaltender Vorfall und nicht als 500 separate Beweise registriert.

Auslesen der Aufschlüsselung über die API

Hinzufügen verbose=true einer /check Anfrage liefert die einzelnen Komponenten neben der Endpunktzahl – dies ist der schnellste Weg, um zu verstehen, warum eine Adresse eine bestimmte Punktzahl erhält.

{
  "data": {
    "ip": "203.0.113.42",
    "abuseConfidencePercentage": 75,
    "confidenceBreakdown": {
      "reportScore": 12.0,
      "diversityScore": 8.0,
      "recencyWeight": 10.5,
      "severityWeight": 9.3,
      "honeypotBonus": 15.0,
      "maxConfidence": 100,
      "constraintReasons": []
    },
    "debugInfo": {
      "reportCount": 8,
      "uniqueReporters": 4,
      "honeypotReportsCount": 3,
      "effectiveReportCount": 11,
      "timeDampeningFactor": 0.85
    }
  }
}

constraintReasons ist das Feld, das Sie überprüfen sollten, wenn eine Punktzahl niedriger erscheint, als die Anzahl der Reports vermuten lässt: Es gibt die angewendete Obergrenze an. Das vollständige Antwortformat finden Sie in der API Reference.

Festlegung eines Schwellenwerts

Der richtige Schwellenwert hängt davon ab, was geschieht, wenn er überschritten wird. Das Blockieren eines zahlenden Kunden kostet mehr als das Durchlassen eines Scanners; daher sollte der Schwellenwert mit der Schwere der Maßnahme ansteigen.

Die Community Blacklist verwendet 75 als Schwellenwert für die Aufnahme; die dienstbezogenen Netzwerklisten verwenden 90, da eine Verwerfung auf Kernel-Ebene dem Besucher keine Möglichkeit zur Einspruchserhebung lässt. Siehe „Blockierung auf Netzwerkebene “.

Wenn eine Bewertung falsch erscheint

Bewertungen sinken von selbst, wenn Reports veralten; daher bedarf eine Adresse, die keine Angriffe mehr ausführt, keiner Maßnahme. Bei einer fälschlicherweise gelisteten Adresse – einem gemeinsam genutzten NAT-Gateway, einem Mailserver, der kurzzeitig kompromittiert war, oder einem mit Genehmigung ausgeführten Scanner – siehe „IP Delisting “.

Zuletzt aktualisiert: 13. August 2026 · Betreut vom ReportedIP-Team