Blacklist

Die ReportedIP Blacklist ist eine von der Community gepflegte Liste bösartiger IP-Adressen, die automatisch aus realen Angriffsmeldungen generiert wird und über API sowie GitHub verfügbar ist. Nutzen Sie sie, um bekannte bösartige IP-Adressen in Ihrer Firewall, auf Ihrem Webserver oder in Ihrer Anwendung zu blockieren. Eine manuelle Prüfung gibt es nicht: Die API-Liste wird laufend aus den aktuellen Scores gebaut, der GitHub-Export einmal täglich aktualisiert.

So wird die Blacklist erstellt

Jede IP-Adresse in der Blacklist stammt aus Community-Reports, die in unserer Reputations-Engine erfasst werden. Eine IP-Adresse wird nur dann aufgenommen, wenn:

• ihr Confidence Score die Schwelle erreicht (berechnet aus der Häufigkeit der Reports, der Vielfalt der Quellen, dem Schweregrad und der Aktualität). Über die API wählen Sie die Schwelle mit confidence, der GitHub-Export verwendet ≥ 75 %
• nur beim GitHub-Export: ihr erster Report mindestens 48 Stunden alt ist (Abkühlphase für False Positives: Eine neue Adresse kommt erst in den Export, wenn sich ihr Score einpendeln konnte, und bleibt dann so lange, wie ihr Score hält)
• sie nicht auf der Whitelist steht (Suchmaschinen, CDN-Anbieter und als sicher bekannte Infrastrukturen sind ausgeschlossen)

Beide Listen entstehen automatisch, es findet keine manuelle redaktionelle Überprüfung statt. Die Scores folgen neuen Reports und sinken mit der Zeit, eine Adresse, die ruhig wird, verliert also an Score und fällt wieder heraus. Die gesamte Pipeline ist offen und transparent. Ohne Key zeigt die DNSBL-Blacklist-Prüfung den Status jeder Adresse; mit Key prüfen Sie jeden Eintrag über GET /reportedip/v2/check?ip=<ip>&verbose=true die genaue Aufschlüsselung der Punktzahl einsehen.

GitHub-Repository

Die vollständige Blacklist wird als öffentliches GitHub-Repository veröffentlicht, das einmal täglich aus den aktuellen Scores neu gebaut wird. Eine neue Adresse erscheint dort 48 Stunden nach ihrem ersten Report (die oben beschriebene Abkühlphase für False Positives) und bleibt, solange sie aktiv ist. Die Wartezeit gilt nur für neue Adressen: Eine Adresse, die herausgefallen ist und durch neue Reports wieder 75 erreicht, kommt mit dem nächsten täglichen Schnappschuss zurück. Sie können das Repository klonen, in CI/CD-Pipelines verwenden oder in Ihre Infrastruktur integrieren.

github.com/reportedip/reportedip-blacklist

Struktur des Repositorys

reportedip-blacklist/
├── blacklist-all.txt       # All IPs, one per line
├── blacklist-all.json      # All IPs with metadata
├── blacklist-all.csv       # All IPs, CSV format
├── metadata.json           # Export metadata (version, counts, timestamps)
├── lists/                  # Thematic sub-lists
│   ├── spam.txt
│   ├── brute-force.txt
│   ├── cms-login.txt
│   ├── web-attacks.txt
│   ├── malware.txt
│   ├── ddos.txt
│   ├── fraud.txt
│   ├── infrastructure.txt
│   └── apt.txt
└── formats/                # Ready-to-include firewall snippets
    ├── nginx-deny.conf
    ├── apache-htaccess.txt
    └── iptables.sh

Dateiformate

TXT-Format

Klartext, eine IP-Adresse pro Zeile. Zeilen, die mit # sind Kommentare, die Metadaten wie Erstellungszeit und Gesamtanzahl enthalten.

# ReportedIP Blacklist - All IPs
# https://reportedip.com
#
# Copyright (c) 2026 ReportedIP / Patrick Schlesinger
# Licensed under CC BY 4.0 - https://creativecommons.org/licenses/by/4.0/
#
# Daily snapshot. New addresses appear 48 hours after their first report.
# For real-time threat intelligence via API, contact: 1@reportedip.com
#
# Generated: 2026-07-22
# Total IPs: 12847
#
1.2.3.4
5.6.7.8
9.10.11.12

JSON-Format

Ein meta Block (Exportversion, Zählwerte, Erstellungszeitstempel), gefolgt von einem entries Array. categories sind numerische IDs für Threat Categories, ordnen Sie diese dem Threat Category-Katalog zu oder GET /categories.

{
  "meta": {
    "version": "2026-07-22",
    "generatedAt": "2026-07-22T00:00:00Z",
    "totalCount": 12847
  },
  "entries": [
    {
      "ip": "1.2.3.4",
      "confidence": 95,
      "categories": [18, 21],
      "source": "dynamic"
    },
    {
      "ip": "5.6.7.8",
      "confidence": 82,
      "categories": [14],
      "source": "dynamic"
    }
  ]
}

CSV-Format

Durch Kommas getrennte Werte mit einer Kopfzeile. Einfach in Tabellenkalkulationen, Datenbanken oder SIEM-Tools zu importieren. categories enthält durch Semikolons getrennte numerische Kategorie-IDs.

ip,confidence,categories,last_reported
1.2.3.4,95,"18;21","2026-07-19 14:22:00"
5.6.7.8,82,"14","2026-07-18 09:15:00"
9.10.11.12,78,"21","2026-07-17 20:45:00"

Firewall-Integration

Verwenden Sie die Blacklist-Dateien, um bösartige IP-Adressen auf Firewall- oder Webserver-Ebene zu blockieren. Nachfolgend finden Sie Integrationsbeispiele für gängige Tools.

Nginx

Generieren Sie eine Blocklist-Konfiguration und fügen Sie diese in Ihren Nginx-Serverblock ein:

# Generate Nginx blocklist from TXT file
awk '{print "deny " $1 ";"}' blacklist-all.txt > /etc/nginx/blocklist.conf

# /etc/nginx/sites-enabled/default
server {
    include /etc/nginx/blocklist.conf;

    # ... rest of your config
}

Apache (.htaccess)

# .htaccess: Block reported IPs
<RequireAll>
    Require all granted
    Require not ip 1.2.3.4
    Require not ip 5.6.7.8
    Require not ip 9.10.11.12
</RequireAll>

iptables (über ipset)

Laden Sie die Liste in ein „ipset“ und gleichen Sie diesen Satz anhand einer einzigen Regel ab. Eine Regel pro IP-Adresse würde bedeuten, dass für jedes Paket Tausende von Regeln durchlaufen werden müssten; ein Set-Lookup bleibt konstant, unabhängig davon, wie groß die Liste wird.

# Create the set and fill it in one pass (IPv4 entries only)
ipset create rip-block hash:ip family inet maxelem 65536 -exist
grep -E '^[0-9]+(\.[0-9]+){3}$' blacklist-all.txt \
  | sed 's|^|add rip-block |' | ipset restore -exist

# One rule blocks the whole set
iptables -I INPUT -m set --match-set rip-block src -j DROP

IPv6 benötigt ein eigenes Set (family inet6) sowie eine eigene ip6tables Regel, siehe „Blockierung auf Netzwerkebene“ für das vollständige Skript einschließlich nftables, dienstbezogener Sets und der stündlichen Synchronisierung.

API-Zugriff

Der /blacklist Endpoint bietet Echtzeit-Zugriff auf die vollständige Blacklist mit Filteroptionen. Ein API Key mit der „Threat Feed“-Funktion (ab der „Contributor“-Stufe) ist erforderlich. Der Endpoint ist funktionsgebunden und wird nicht auf Ihr tägliches Abfrage- oder Reports-Kontingent angerechnet: Sie können ihn so oft abfragen, wie es Ihre Caching-Strategie erfordert. Informationen zu Stufen und Schlüsseln finden Sie unter „Authentifizierung & Rate Limits “.

curl -H "X-Key: YOUR_API_KEY" \
     "https://reportedip.com/wp-json/reportedip/v2/blacklist?format=txt&confidence=90&limit=50000"

Die vollständige Dokumentation zum Endpoint, das Antwortformat sowie weitere Parameter finden Sie in der API Reference.

Dienstspezifische Blacklists

Kombinieren Sie den category Filter mit confidence=90 , um eine Sperrliste pro offengelegtem Dienst zu erstellen. Jede Liste enthält nur IP-Adressen, die für den entsprechenden Angriffstyp gemeldet wurden, sodass Sie sie portbezogen anwenden können, eine IP-Adresse auf der Web-Liste sperrt niemanden aus dem SSH-Zugang aus.

# SSH attackers only, plain text for ipset/nftables
curl -H "X-Key: YOUR_API_KEY" \
     "https://reportedip.com/wp-json/reportedip/v2/blacklist?confidence=90&format=txt&limit=50000&category=22,18"

Senden Sie den gespeicherten ETag als If-None-Match zurück; unveränderte Listen antworten mit 304 Not Modified, was kein Kontingent kostet. Den Abfragerhythmus und den Fall eines veralteten Tags behandelt Blockierung auf Netzwerkebene. Gültige Kategorie-IDs reichen von 1 bis 63: die IDs 31 bis 58 bilden den WordPress-Block, den die oben aufgeführte web-Liste enthält, die IDs 59 bis 63 stammen aus High-Interaction-Honeypots. Vollständiger Katalog: Threat Categories.

Ein Cronjob, der die Liste holt und die Firewall neu lädt, gehört zum übrigen Netzwerk-Setup: das Sync-Skript unter Blockierung auf Netzwerkebene lädt bedingt, tauscht das Set atomar, verwirft einen abgebrochenen Download und behandelt IPv6. Ein kurzes Herunterladen-und-Ersetzen leistet das alles nicht.

Echtzeit vs. GitHub

Zuletzt aktualisiert: 29. September 2026 · Betreut vom ReportedIP-Team