IP-Reputation und Threat Intelligence für Systemadministratoren, Hosting-Anbieter und Entwickler

Es gibt zwei Möglichkeiten, je nachdem, wie aktuell die Daten sein müssen. Für eine umfassende Abdeckung rufen Sie den Blacklist Feed der Community direkt ab – eine stündlich aktualisierte Textdatei, die Sie mit einem ipset mit einem einzigen Cron-Job einbinden können, ganz ohne API Key. Für eine IP-spezifische Bewertung zum Zeitpunkt einer Anfrage – beispielsweise innerhalb einer fail2ban-Aktion oder einer benutzerdefinierten Firewall-Regel – rufen Sie die REST API mit einem Free-Konto auf (1.000 Überprüfungen pro Tag). In der Dokumentation veröffentlichen wir funktionierende Beispiele für Fail2ban-Filter sowie ein sofort einsatzbereites iptables-ipset-Skript, dazu Snippets für nginx und Postfix. Die meisten Betreiber kombinieren beides: den Feed für die Massenblockierung und die API für Echtzeitentscheidungen bei Datenverkehr, der noch nicht auf der Liste steht.

Jede IP-Adresse verfügt über einen Confidence Score von 0 bis 100, der die Wahrscheinlichkeit einschätzt, dass es sich um eine bösartige IP handelt. Fünf gewichtete Komponenten fließen dabei ein: die Anzahl der Meldungen, die Vielfalt der Melder (unabhängige Quellen zählen mehr als ein einzelner, unzuverlässiger Melder), die Aktualität (Reports, die weniger als 24 Stunden alt sind, werden am stärksten gewichtet), der Schweregrad der Threat Category sowie ein Bonus für Meldungen, die durch verifizierte Honeypots bestätigt wurden. Reports verlieren exponentiell an Gewicht mit einer Halbwertszeit von 30 Tagen – nach 30 Tagen hat eine Meldung noch die Hälfte ihres Gewichts, nach 60 Tagen ein Viertel –, sodass eine IP-Adresse, die keine Angriffe mehr ausführt, automatisch aus der Liste entfernt wird. Eine IP-Adresse benötigt mindestens fünf Meldungen, um den Wert 50 zu überschreiten, und zehn, um den Wert 75 zu erreichen. Klicken Sie verbose=true zu einer beliebigen Überprüfung hinzu, um die vollständige Aufschlüsselung anzuzeigen.

Exporte im Klartext- und JSON-Format werden bereitgestellt unter /wp-json/reportedip/v2/blacklist; fügen Sie ?format=txt für eine IP-Adresse pro Zeile oder ?format=csv für Tabellenkalkulationen und SIEM-Importe. Die gleichen Daten werden auf Git unter github.com/reportedip/reportedip-blacklist mit einer diff-freundlichen Commit-Historie gespiegelt, sodass Sie genau nachverfolgen können, welche IPs täglich hinzugefügt oder entfernt wurden, und bei Bedarf eine bestimmte Revision festlegen können, um reproduzierbare Builds zu erstellen. Der Feed ist für jede Nutzung Free, und eine Quellenangabe wird begrüßt. Die Einträge werden von derselben Konfidenz-Engine bewertet wie bei der API, sodass ein einziger Schwellenwert dafür sorgt, dass Ihre Sperrliste sowohl aktuell bleibt als auch nur wenige False Positives enthält.

Ja. Das Add-on „DNS / RBL Zone“ stellt Ihnen eine private, token-authentifizierte Zone zur Verfügung – <token>.bl.reportedip.de — die jeder Mailserver, jede Firewall oder jeder Spamfilter genau wie Spamhaus oder jede andere DNSBL abfragen kann. Sie entspricht RFC 5782, deckt sowohl IPv4 als auch IPv6 ab und gibt die üblichen 127.0.0.x Antwortcodes zurück, sodass bestehende Postfix-, Exim- oder Rspamd-Konfigurationen ohne zusätzliche Anpassungen funktionieren. Da die Abfragen über DNS erfolgen, werden sie von Ihrem Resolver zwischengespeichert und verursachen nahezu keine Verzögerung im E-Mail-Verkehr. Die Zone wird aus demselben bewerteten Datensatz wie der öffentliche Feed neu erstellt, und jedes Token verfügt über ein eigenes tägliches Abfragekontingent.

Ja. ReportedIP wird von einem deutschen Unternehmen (CMS ADMINS, München) betrieben, und die gesamte Verarbeitung erfolgt auf deutscher Infrastruktur unter Einhaltung des EU-Datenschutzrechts (DSGVO). Alle Unterauftragsverarbeiter haben ihren Sitz in der EU: der verwaltete reportedIP-E-Mail-/SMS-Relay-Dienst, Stripe Payments Europe (Irland) für die Abrechnung und sevDesk (Deutschland) für die Rechnungsstellung. Es verlassen keine personenbezogenen Daten die EU, und für Geschäftskunden steht eine Datenverarbeitungsvereinbarung zur Verfügung. IP-Adressen in Berichten werden im für Sicherheitszwecke unbedingt erforderlichen Umfang verarbeitet und im Laufe der Zeit gelöscht. Für Teams, die aus Compliance-Gründen verpflichtet sind, Threat Intelligence-Daten innerhalb der EU zu belassen, ist dies der Hauptgrund, warum sie sich für ReportedIP anstelle von in den USA gehosteten Alternativen entscheiden.

Nein. Die IP-Prüfung oben auf dieser Seite steht jedem offen und erfordert keine Registrierung; sie ist auf 100 Abfragen pro IP-Adresse und Tag begrenzt, um sie kostenlos und missbrauchsresistent zu halten. Das reicht für gelegentliche manuelle Überprüfungen aus, wenn Sie eine verdächtige Adresse in Ihren Protokollen entdecken. Für den programmgesteuerten Zugriff – Skripte, Fail2ban-Aktionen, Massenabfragen oder alles, was nach einem Zeitplan ausgeführt wird – erstellen Sie bitte ein kostenloses Konto. Dadurch wird das Limit auf 1.000 Abfragen und 50 Reports pro Tag angehoben, und Sie erhalten einen API Key sowie ein Nutzungs-Dashboard. Höhere Tarife erhöhen die Kontingente weiter und bieten zusätzlich Endpoints für Massenabfragen sowie die Verwaltung mehrerer Standorte.

Drei konkrete Unterschiede. Erstens wird ReportedIP in der EU gehostet, wobei die DSGVO ausdrücklich eingehalten wird und ausschließlich EU-basierte Unterauftragsverarbeiter zum Einsatz kommen; zudem wird eine Datenverarbeitungsvereinbarung angeboten. Zweitens ist die Bewertung vollständig transparent: Fügen Sie verbose=true bei jeder Überprüfung und Sie sehen jede Komponente des Confidence Score – Anzahl der Meldungen, Vielfalt, Aktualität, Schweregrad, Honeypot-Bonus – anstatt einer undurchsichtigen Zahl. Drittens sind die Clients, soweit möglich, Open Source: Die WordPress-Plugins (Hive und Hive Light), der Honeypot Server und der DNS Checker unterliegen der GPL 2.0 und sind auf GitHub oder WordPress.org einsehbar. Die Bewertung unterliegt einer zeitlichen Abklingzeit mit einer Halbwertszeit von 30 Tagen und einer konfigurierbaren Gewichtung von Honeypots, sodass inaktive Angreifer automatisch aus dem System fallen und synthetische Informationen zuverlässig bleiben. Sehen Sie sich den vollständigen Vergleich zwischen reportedIP und AbuseIPDB an.

Ja. Jedes System kann Reports über POST /reportedip/v2/report einen kostenlosen API Key – ein automatisierter Melder im Stil von „fail2ban“, der auf Ihrem eigenen Server läuft, ist genau die Art von Beitrag, auf der das Netzwerk aufbaut. Honeypot-Betreiber erhalten ein spezielles Abzeichen, und ihre Meldungen haben ein höheres Gewicht, da Honeypot-Datenverkehr unaufgefordert erfolgt und daher ein starkes Signal darstellt; Sie benötigen jedoch keinen solchen, um teilzunehmen. Die Vielfalt der Melder ist selbst ein Bewertungsfaktor, sodass jede unabhängige Quelle, die Sie hinzufügen, den gesamten Datensatz zuverlässiger macht. Registrieren Sie einfach ein Free-Konto, generieren Sie einen Schlüssel und richten Sie Ihre vorhandenen Tools zur Protokollüberwachung auf den Report-Endpoint aus.

Beide Editionen des Hive-WordPress-Sicherheits-Plugins sind kostenlos und Open Source unter der GPL-2.0: die Full Edition auf GitHub mit 16 Attack Sensors, einschließlich einer Web Application Firewall und einer Zwei-Faktor-Authentifizierung mit vier Methoden, sowie die Light Edition auf WordPress.org für gezielten Brute-Force-Schutz. Hive PRO ist ein optionales Abonnement zusätzlich zur Full Edition: Es verbindet Ihre Websites mit dem verwalteten, in der EU gehosteten 2FA-Relay für SMS- und E-Mail-Codes – ganz ohne Twilio-Konto und ohne API Keys –, wobei 25 SMS und 500 E-Mails pro Monat inbegriffen sind und eine Lizenz drei Domains abdeckt. Agenturen und Shops mit mehr Websites entscheiden sich für die Business-Edition, die fünfzehn Domains abdeckt. Das Plugin selbst bleibt kostenlos; die kostenpflichtigen Tarife umfassen lediglich die verwalteten Dienste. Die aktuellen Tarife finden Sie auf der Preisseite.