Häufig gestellte Fragen

ReportedIP ist ein von der Community getragener IP-Reputationsdienst. Er sammelt Reports über schädliche IP-Adressen von WordPress-Websites, Linux-Servern, Honeypots und manuellen Meldungen, bewertet jede Adresse und stellt das Ergebnis über eine REST API, eine herunterladbare Blacklist und eine DNS-Zone bereit.

Jeder kann eine Adresse kostenlos prüfen. Registrierte Nutzer können Angreifer melden und erhalten höhere Kontingente. Der Dienst wird aus Deutschland nach der DSGVO betrieben und läuft auf Servern in Deutschland.

Ja. Der Free-Tarif umfasst 1.000 IP-Prüfungen und 50 Reports pro Tag. Das reicht für die meisten kleinen und mittleren Websites. Abfragen ohne API Key sind ebenfalls möglich, begrenzt auf 100 pro Tag und IP-Adresse.

Bezahlte Tarife erhöhen die Kontingente und bringen Bulk-Operationen, mehrere Domains pro Lizenz, Lizenzen für Linux-Server und den verwalteten Versand von Mails und SMS für die Zwei-Faktor-Anmeldung. Siehe die Preisseite.

Der Confidence Score (0 bis 100) gibt an, wie wahrscheinlich eine IP-Adresse schädlich ist. Er berechnet sich aus:

• Anzahl der Reports: Mehr Reports erhöhen den Score.
• Vielfalt der Melder: Reports aus verschiedenen Quellen zählen mehr als viele Reports aus einer Quelle.
• Aktualität: Neue Reports zählen mehr als alte.
• Schweregrad: Schwere Angriffskategorien erhöhen den Score stärker.
• Honeypot-Daten: Reports von verifizierten Honeypots erhalten einen Bonus.

Reports verlieren mit dem Alter an Gewicht (Halbwertszeit 30 Tage). Zusätzlich sinkt der gesamte Score, sobald eine Adresse ruhig wird: Nach zwei Wochen ohne neuen Report halbiert er sich alle 30 Tage. Eine Adresse, die nicht mehr angreift, fällt so von selbst aus der Blacklist. Details: Confidence Score.

Drei konkrete Unterschiede. (1) Betrieb in Deutschland nach der DSGVO, auf Servern in Deutschland. (2) Offene Clients: Das WordPress-Plugin Hive und der DNS Checker stehen unter der GPL und sind prüfbar, der Honeypot Server ist source-available. (3) Scores, die altern: Reports verlieren mit einer Halbwertszeit von 30 Tagen an Gewicht, ruhige Adressen fallen automatisch aus der Liste, und Reports verifizierter Honeypots zählen stärker.

Einen direkten Vergleich finden Sie unter AbuseIPDB-Alternative im Vergleich.

Zwei Produkte für zwei Arten von Systemen:

• ReportedIP Hive, das WordPress-Sicherheitsplugin mit 16 Angriffssensoren, einer Web Application Firewall und Zwei-Faktor-Anmeldung mit vier Methoden (SMS-Codes ab Tarif Professional). Kostenlos in jedem Modus. Es kommt von WordPress.org, die Funktionen der Bezahltarife liefert das Add-on ReportedIP Hive Pro.
• ReportedIP Agent für Linux-Server: Er liest die Logs von SSH-, Mail-, Web- und FTP-Diensten, blockiert Angreifer im Kernel und lädt die Blacklist der Community. Lizenziert pro Server.

Die Rohdaten gibt es in drei Formen: die REST API, den Blacklist-Feed und die DNS/RBL-Zone für Mailserver. Dazu kommen fünfzehn kostenlose Tools, darunter der selbst gehostete Honeypot Server. Übersicht: Produkte.

Die Registrierung dauert eine Minute:

1. Öffnen Sie die Seite Registrieren und geben Sie Ihre E-Mail-Adresse und ein Passwort ein.
2. Akzeptieren Sie die Datenschutzerklärung und die Nutzungsbedingungen.
3. Klicken Sie auf den Aktivierungslink in der E-Mail, die wir Ihnen senden.
4. Sie landen in Ihrem Dashboard.

Wichtig: Sie können sich erst anmelden, nachdem Sie Ihre E-Mail-Adresse bestätigt haben. Kommt die Aktivierungsmail nicht innerhalb weniger Minuten an, sehen Sie in Ihrem Spam-Ordner nach.

Öffnen Sie in Ihrem Dashboard den Bereich Subscription. Professional und Business buchen Sie dort selbst über den Stripe-Checkout, monatlich oder jährlich. Aktuelle Preise stehen auf der Preisseite. Enterprise wird individuell angeboten: Nutzen Sie den Bereich Enterprise im Dashboard oder schreiben Sie an 1@reportedip.com.

Im Bereich Privacy Ihres Dashboards können Sie Ihre Daten exportieren oder Ihr Konto mit allen personenbezogenen Daten löschen. Die Löschung erfolgt sofort und lässt sich nicht rückgängig machen. Von Ihnen eingereichte Reports bleiben ohne jeden Bezug zu Ihnen in der Datenbank, weil die Reputation der gemeldeten Adressen davon abhängt.

Ja. Jedes Konto hat im Dashboard einen persönlichen Empfehlungslink. Die geworbene Person erhält 20 % Rabatt auf die erste Rechnung eines Professional- oder Business-Tarifs, und Sie erhalten eine Gutschrift im Wert eines Monats Ihres Tarifs, sobald deren Widerrufsfrist abgelaufen ist. Unternehmen können alternativ am Partnerprogramm mit Barauszahlung teilnehmen. Details und Bedingungen: Empfehlungsprogramm.

Registrieren Sie ein kostenloses Konto unter reportedip.com/register, bestätigen Sie Ihre E-Mail-Adresse, öffnen Sie dann den Bereich API Keys in Ihrem Dashboard und legen Sie einen Key mit aussagekräftigem Namen an. Kopieren Sie ihn sofort, er wird nur einmal angezeigt. Senden Sie ihn mit jeder Anfrage im Header X-Key.

Die Tageslimits hängen von Ihrem Tarif ab:

• Free: 1.000 Prüfungen/Tag, 50 Reports/Tag
• Contributor: 5.000 Prüfungen/Tag, 200 Reports/Tag
• Professional: 25.000 Prüfungen/Tag, 1.000 Reports/Tag, Bulk-Operationen
• Business: 100.000 Prüfungen/Tag, 5.000 Reports/Tag, Bulk-Operationen. Bei zwei- bis zwanzigfacher Buchung vervielfachen sich alle Limits.
• Enterprise: unbegrenzt, individueller Vertrag
• Honeypot-Betreiber: unbegrenzt

Die Limits gelten pro Konto, nicht pro Key. Abfragen ohne API Key sind auf 100 pro Tag und IP-Adresse begrenzt.

Die API antwortet in JSON. Der Endpoint /blacklist unterstützt zusätzlich format=txt (eine IP pro Zeile) und format=csv (Spalten IP, Confidence, letzter Report).

POST /v2/bulk-check prüft bis zu 1.000 IPs in einem Aufruf und liefert pro Adresse ein Ergebnisobjekt. Der Endpoint steht in Professional, Business und Enterprise zur Verfügung. POST /v2/bulk-report nimmt bis zu 1.000 Reports pro Aufruf an und ist Enterprise vorbehalten. Bulk-Aufrufe zählen gegen Ihr Tageskontingent nach der Anzahl der IPs, nicht nach der Anzahl der HTTP-Anfragen. Payloads: API-Referenz.

Für die Blacklist ja. /blacklist liefert einen ETag- und einen Cache-Control-Header. Senden Sie bei der nächsten Anfrage If-None-Match mit, dann erhalten Sie HTTP 304, solange sich die Liste nicht geändert hat. Blacklist-Downloads zählen nie gegen Ihr Tageskontingent, egal ob sie mit 200 oder 304 antworten.

/check hat kein ETag. Speichern Sie die Antwort stattdessen auf Ihrer Seite zwischen: Die WordPress-Plugins halten ein positives Ergebnis 24 Stunden und ein negatives 2 Stunden vor.

Mit ?verbose=true liefert /v2/check zusätzlich confidenceBreakdown (den Anteil jeder Komponente: Reports, Vielfalt, Aktualität, Schweregrad, Honeypot-Bonus und den Inaktivitätsfaktor) sowie debugInfo (Anzahl der Reports, eindeutige Melder, Honeypot-Reports, Faktor der zeitlichen Dämpfung). Damit sehen Sie, wie der Score einer Adresse zustande kam. Ein Verbose-Aufruf kostet genauso viel wie ein normaler.

Widerrufen Sie den Key in Ihrem Dashboard unter API Keys und legen Sie einen neuen an. Der alte Key wird ab der nächsten Anfrage abgelehnt. Aktualisieren Sie danach jedes System, das ihn genutzt hat (WordPress-Websites, Linux-Agents, Skripte). Jeder Tarif kann mehrere Keys enthalten. Sie können also erst den neuen Key anlegen und ohne Ausfall wechseln.

Seit Version 3.0.0 gibt es ein Plugin und ein Add-on:

• ReportedIP Hive, kostenlos von WordPress.org: 16 Angriffssensoren, eine Web Application Firewall, Zwei-Faktor-Anmeldung, Formularschutz, Multisite und WooCommerce. Dokumentation.
• ReportedIP Hive Pro, das Add-on für die Tarife Professional, Business und Enterprise: verwalteter Mail- und SMS-Versand, Zwei-Faktor-Anmeldung im WooCommerce-Shop und die übrigen Funktionen dieser Tarife. Sie laden es im Dashboard herunter. Es läuft neben dem kostenlosen Plugin und installiert dieses, falls es fehlt.

WordPress-Admin → Plugins → Neues Plugin hinzufügen → nach „ReportedIP Hive“ suchen → Jetzt installieren → Aktivieren. Beim ersten Aktivieren öffnet sich ein einseitiger Schnellstart. Mit dem Tarif Professional, Business oder Enterprise laden Sie zusätzlich ReportedIP Hive Pro im Dashboard herunter und laden es unter Plugins → Neues Plugin hinzufügen → Plugin hochladen hoch. Für eine manuelle Installation gibt es reportedip-hive.zip auch als Download. Dokumentation.

Local Shield läuft vollständig auf Ihrem Server. Es zählt fehlgeschlagene Logins und blockiert Wiederholungstäter lokal, teilt aber keine Daten und fragt die Community-Datenbank nicht ab. Es gehen keine Anfragen an reportedip.com.

Community Network verbindet sich mit der ReportedIP API. Ihre Website profitiert von dem, was Tausende anderer Websites melden, und Angriffe auf Ihre Website werden geteilt, um die anderen zu schützen. Dafür brauchen Sie einen API Key (der Free-Tarif reicht). Das Plugin unterstützt beide Modi, und Sie können jederzeit wechseln, ohne lokale Daten zu verlieren.

Ja. Seit Version 2.1.2 prüft Hive eingehende Anfragen (URI, Query-String, Body, User-Agent) gegen ein Signatur-Regelwerk: SQL-Injection, XSS, Path Traversal, Command Injection, LFI-Wrapper, SSRF, Log4Shell, PHP Object Injection, NoSQL, XXE, Uploads von Web-Shells und mehr. Die Engine und das Regelwerk nach OWASP Top 10 (Paranoia-Level 1) sind in jedem Tarif kostenlos. Im Local-Shield-Modus nutzt Hive die im Plugin mitgelieferte Basis; eine mit der Community verbundene Website erhält den Free-Regelsatz von reportedip.com, der mehr abdeckt. Contributor ergänzt das erweiterte Regelwerk für Paranoia-Level 2, wöchentlich aktualisiert, Professional das tiefere Regelwerk für die Paranoia-Level 2 und 3, täglich aktualisiert über Priority Sync. Die Regeln sind mit Ed25519 signiert, und eine mitgelieferte Offline-Basis sorgt dafür, dass ein manipulierter oder nicht erreichbarer Feed Ihre Regeln nie beschädigen kann. Ein optionales Drop-in (automatisch eingerichtet für Apache und PHP-FPM, Snippet für nginx) blockiert, bevor WordPress überhaupt lädt. Die WAF ist gegen ReDoS gehärtet und schlägt offen fehl: Eine fehlerhafte Regel legt die Website nie lahm.

Kostenlos in jedem Tarif: Erkennung verifizierter Bots (Googlebot, Bingbot und andere Crawler werden über ihre offiziellen Adressbereiche und vorwärts bestätigtes Reverse DNS geprüft, Fälschungen werden markiert oder blockiert), Sperre von Wegwerf-E-Mail-Adressen bei der Registrierung, ein Kommentar-Honeypot, grundlegende Security-Header, ein Schutz- und Härtungswert von 0 bis 100, Referenzcodes auf der Sperrseite (auch als Header X-RIP-Ref gesendet), Schalter zum Abriegeln von REST API, XML-RPC, Feeds, Gastzugriff auf wp-admin, PHP im Upload-Ordner und Versions-Fingerprints, ein Register zur Systembereitschaft, das zeigt, was sonst meist unbemerkt scheitert, und die MainWP-Integration.

Professional ergänzt erweiterte Security-Header (HSTS, Permissions-Policy, Content-Security-Policy, Cross-Origin-Isolation), adaptive Auslöser für die Zwei-Faktor-Anmeldung pro Rolle und optional das Blockieren von Tor-Exit-Nodes. Business ergänzt das Audit-Log (Anmeldungen, Konten, Inhalte, Plugins, Themes und Core, Einstellungen mit altem und neuem Wert, Datei-Editor, Netzwerk; mit Filtern und Export als CSV/JSON), das Sperren von Konten mit dem Sitzungsmanager und die zentrale Verwaltung der Einstellungen aller Ihrer Websites aus dem Dashboard auf reportedip.com.

Kostenlos in jedem Tarif: ein Spamfilter für Kommentare, der jeden Kommentar bewertet und als Spam markiert oder ablehnt, und ein unsichtbarer Ausführungsnachweis bei Kommentaren, Registrierung und Passwort-vergessen-Formularen, den echte Browser unbemerkt bestehen und einfache Bots nicht. Derselbe Schutz deckt mit einem Schalter auch Contact Form 7 ab.

Professional ergänzt eine Rechenprüfung: Der Browser muss eine kleine signierte Aufgabe Ihres Servers lösen, bevor das Formular abgeschickt wird. Der Aufwand steigt mit der Anfragerate, und die Seite bleibt cachebar. Business ergänzt fertige Adapter für WPForms, Gravity Forms, Elementor Forms, Formidable Forms, Forminator und Ultimate Member. Bei einer abgelehnten Eingabe sieht der Absender immer eine Meldung, nichts verschwindet still.

Hive hat ein Regelwerk für Registrierungen, das jeden Weg zur Anmeldung abdeckt: das WordPress-Registrierungsformular, WooCommerce, Multisite-Anmeldungen und per Code angelegte Konten. Es umfasst verbotene Benutzernamen zusätzlich zu einer eingebauten Liste reservierter Systemnamen (admin, administrator, root, webmaster und ähnliche), Erlaubnis- und Sperrregeln für E-Mail-Adressen, ein einstellbares Limit für Registrierungen pro IP-Adresse und optional eine sofortige Sperre bei Login-Versuchen mit nicht existierenden Benutzernamen. Genau solche Versuche erzeugen Credential-Stuffing-Tools in großer Menge.

Zehn Einträge pro Liste sind in jedem Tarif kostenlos. Professional hebt das Limit auf, akzeptiert /regex/-Muster und ergänzt Registrierungen ausschließlich aus freigegebenen IP-Bereichen. Details: Registrierungsregeln.

Ja, im Business-Tarif. Ein gesperrtes Konto behält seine Beiträge, Bestellungen und Medien, kann sich aber nicht anmelden, kein Anwendungspasswort nutzen und kein Zurücksetzen des Passworts abschließen. Alle Sitzungen und vertrauenswürdigen Geräte enden in dem Moment, in dem die Sperre gesetzt wird. Sie sperren über das Benutzerprofil, über die Benutzerliste (Spalte, Filter und Massenaktion) oder mit wp reportedip user block <user>. Eine Sperre kann eine Nachricht tragen, die die Person beim Login sieht, und eine interne Notiz, die sie nie sieht.

Bestehende Sperren bleiben wirksam und lassen sich jederzeit aufheben, auch nach Ablauf des Tarifs. Eine abgelaufene Lizenz lässt also nie ein Konto ausgesperrt zurück. Unter Users → Sessions sehen Sie jede aktive Sitzung mit Login-Zeit, Ablauf, IP-Adresse und Gerät und können einzelne oder alle Sitzungen eines Benutzers beenden. Details: Kontosteuerung und Sitzungen.

Kaum. Die Sperrprüfung ist eine indizierte Abfrage auf die lokale Sperrtabelle pro Anfrage, früh bei init ausgeführt. Die Whitelist liegt für die Dauer der Anfrage im Speicher. Reports werden in eine Warteschlange gestellt und per Cron im Hintergrund gesendet. Reputationsabfragen beim Login und bei Formularen werden lokal zwischengespeichert, ein positives Ergebnis 24 Stunden und ein negatives 2 Stunden. Wiederholte Prüfungen derselben Adresse kosten so weder Zeit noch API-Kontingent.

Von Hand ist nichts zu tun. Version 3.0.0 kommt als normales Update. Versuche, gesperrte IPs, Whitelist (samt Bereichen und dauerhaften Einträgen), Warteschlange, Einstellungen und API Key bleiben erhalten. In einem Netzwerk, in dem das Plugin pro Website lief, wandern die Daten jeder Website in die Netzwerktabellen. Öffnen Sie danach den Schnellstart und wählen Sie Local Shield oder Community Network.

Ja, seit Version 2.0.0. Hive wird nur netzwerkweit aktiviert, damit die Sicherheitskonfiguration auf jeder Website gleich bleibt. Alle Tabellen liegen unter dem Netzwerkpräfix: Eine Sperre schließt eine Adresse von jeder Unterseite aus, und Brute-Force-Versuche über mehrere Websites laufen in einem Zähler zusammen. Netzwerk-Admins erhalten alle Einstellungen und eine Log-Ansicht über alle Websites. Website-Admins sehen Status und Logs ihrer Website sowie einige Einstellungen, die sie pro Website überschreiben können. Wie viele Domains den verwalteten Mail- und SMS-Versand nutzen dürfen, hängt vom Tarif ab (Professional 3, Business 15 pro Lizenz, Enterprise unbegrenzt).

Hive unterstützt vier Methoden, pro Benutzer kombinierbar: TOTP (Google Authenticator, Authy, 1Password, Bitwarden und andere), einen Code per E-Mail, einen Code per SMS (über den verwalteten SMS-Versand, ab Professional) und WebAuthn (Passkeys, YubiKey, Touch ID, Face ID, Windows Hello). Ein Sicherheitsschlüssel pro Konto ist beim WordPress-Login und beim Zurücksetzen des Passworts in jedem Tarif kostenlos; die Zwei-Faktor-Abfrage im WooCommerce-Shop, Schlüsselprüfung eingeschlossen, setzt Professional oder höher voraus. Business ergänzt Advanced Security Keys (mehrere Schlüssel pro Benutzer, automatische Modellerkennung, Benachrichtigung beim Hinzufügen oder Entfernen eines Schlüssels). Dazu kommen zehn Einmal-Wiederherstellungscodes und vertrauenswürdige Geräte (standardmäßig 30 Tage).

Ja, offiziell seit Version 2.1.36. Die YubiKey-5-Serie (USB-A, USB-C, Lightning, NFC), der Security Key by Yubico und jeder andere CTAP2-Authenticator durchlaufen eine vollständige WebAuthn-Zeremonie beim WordPress-Login, bei der Abfrage im WooCommerce-Shop und beim Zurücksetzen des Passworts. Beim WordPress-Login und beim Zurücksetzen des Passworts ist ein Schlüssel oder Passkey pro Konto in jedem Tarif kostenlos; die Schlüsselprüfung im WooCommerce-Shop gehört zur Shop-Abfrage und setzt Professional oder höher voraus. Der Business-Tarif ergänzt mehrere Schlüssel pro Konto (Haupt- und Backup-Schlüssel), automatische Modellerkennung ("YubiKey 5 Series with NFC") und E-Mail-Benachrichtigungen beim Hinzufügen oder Entfernen eines Schlüssels. Ein geklonter Schlüssel (der Signaturzähler steigt nicht) wird in jedem Tarif abgelehnt und per Mail gemeldet. Einrichtung: Hardware-Sicherheitsschlüssel; Erfahrungsbericht: YubiKey 5C NFC für WordPress-2FA.

Nutzen Sie einen der zehn Wiederherstellungscodes, die Sie bei der Einrichtung gespeichert haben. Sind diese weg, kann ein Administrator die Zwei-Faktor-Anmeldung jedes Benutzers unter Users → Two-Factor zurücksetzen. Mit Shell-Zugang erledigt wp reportedip 2fa reset <user_id> dasselbe per WP-CLI, in jedem Tarif.

Ja. Fehlgeschlagene Logins auf den WooCommerce-Seiten für Konto und Checkout zählen in jedem Tarif für den Brute-Force-Schutz, Free eingeschlossen. Ab Professional erscheint mit dem Pro-Add-on die Zwei-Faktor-Abfrage direkt in Ihrem Shop (Mein Konto, Checkout, Warenkorb und der Checkout-Block) statt auf der WordPress-Login-Seite.

Das kostenlose Plugin aktualisiert sich über WordPress.org wie jedes Plugin aus dem Verzeichnis. ReportedIP Hive Pro fragt alle 12 Stunden mit Ihrem Community Access Key bei reportedip.com nach, seine Updates erscheinen auf derselben Seite Plugins. Websites mit der früheren GitHub-Version (2.1.x) haben einmalig ein Release 3.0.0 bekommen, das sie umgestellt und das Pro-Add-on installiert hat, sofern der Tarif es enthält.

Drei Formate über /v2/blacklist:

• JSON: Adresse, Confidence Score und Zeitpunkt des letzten Reports
• TXT: eine IP pro Zeile, gedacht für Firewalls
• CSV: Spalten IP, Confidence und letzter Report

Mailserver können dieselben Daten pro Nachricht als DNS/RBL-Zone abfragen.

Der API-Feed gehört ab dem Contributor-Tarif zu jedem Konto, und Downloads zählen nicht gegen das Tageskontingent. Unabhängig davon steht ein öffentlicher Spiegel auf GitHub allen kostenlos und ohne Konto zur Verfügung. Der Linux-Agent braucht eine Serverlizenz, um den Feed zu laden, siehe den Abschnitt zum Agent weiter unten.

Die API-Liste wird laufend aus den aktuellen Scores neu erstellt. Für Firewalls reicht ein Abruf alle 15 bis 60 Minuten. Der öffentliche Git-Spiegel wird einmal täglich aktualisiert: Eine Adresse kommt 48 Stunden nach ihrer ersten Meldung hinein und bleibt, solange ihr Score über der Schwelle liegt.

Standardmäßig enthält die Liste Adressen mit einem Confidence Score von 75 oder höher. Ein einzelner Melder kann eine Adresse nicht so weit hochtreiben: Der Score ist gedeckelt, bis mehrere unabhängige Quellen sie gemeldet haben. Eine andere Schwelle wählen Sie mit dem Parameter confidence, zum Beispiel ?confidence=90 für eine strengere Liste. Weitere Parameter: limit, format und category.

Ja. Übergeben Sie ?category=<id> an /v2/blacklist, mehrere IDs durch Kommas getrennt. Die IDs stehen unter Threat Categories. Der öffentliche Git-Spiegel veröffentlicht zusätzlich neun Themenlisten (Spam, Brute Force, CMS-Login, Web-Angriffe, Malware, DDoS, Betrug, Infrastruktur und APT) als eigene Dateien. So laden Sie nur, was zu Ihrem System passt.

Ja. Das TXT-Format ist für die direkte Einbindung in Firewalls gedacht. Die Blacklist-Dokumentation enthält Anleitungen für nginx, Apache, iptables, fail2ban und Cloudflare Custom Rules. Wie Sie Angreifer aus fail2ban zurückmelden, steht in der fail2ban-Anleitung. Auf Linux-Servern erledigt der ReportedIP Agent das alles in einem Paket.

Mit der DNS/RBL-Zone lässt sich die Blacklist pro Nachricht aus Postfix, Exim, Rspamd oder jedem DNSBL-fähigen Mailfilter abfragen, mit den üblichen Rückgabecodes 127.0.0.x. Der Zugriff läuft über ein persönliches Token. Sie ist ein Add-on für Professional, Business und Enterprise zu 7,90 € im Monat oder 79 € im Jahr inkl. MwSt., mit bis zu 100.000 Abfragen pro Tag und Token. Einrichtung: DNS/RBL-Zone, Produktseite: DNSBL Zone.

Prüfen Sie Ihre Adresse zuerst auf der ReportedIP-Startseite, um zu sehen, welche Kategorien gemeldet wurden. Sobald die Ursache behoben ist, beantragen Sie die Entfernung über das Delisting-Formular. Ohne Konto bestätigen Sie den Antrag per E-Mail, angemeldete Nutzer verfolgen ihn in ihrem Dashboard. Anträge werden in der Regel innerhalb von 48 Stunden entschieden.

Jeder Report verliert mit einer Halbwertszeit von 30 Tagen an Gewicht: Nach 30 Tagen zählt er zur Hälfte, nach 90 Tagen zu einem Achtel. Zusätzlich sinkt der Score einer Adresse, sobald kein neuer Report mehr eingeht: Nach zwei ruhigen Wochen halbiert er sich alle 30 Tage. Eine Adresse, die nicht mehr angreift, fällt deshalb innerhalb weniger Wochen unter die Schwelle der Blacklist. Eine dauerhafte Sperre durch Community-Reports gibt es nicht.

Fehlalarme kommen vor, meist bei Adressen von Shared Hosting, VPN-Exit-Nodes und dynamisch vergebenen Adressen. Jede IP-Detailseite und jedes Abfrageergebnis für eine gemeldete Adresse verlinkt auf das Delisting-Formular, in dem die Adresse bereits eingetragen ist. Unser Team prüft den Antrag, meist innerhalb von 48 Stunden, und Sie erhalten die Entscheidung per E-Mail.

VPN- und Tor-Adressen werden wie jede andere Adresse bewertet: nach dem, was von ihnen aus gemeldet wird. Kommen Angriffe von Ihrem Exit-Node, wird er gelistet, und er fällt wieder heraus, sobald die Reports aufhören. Wurde Ihr Bereich ohne Grund gelistet, nutzen Sie das Delisting-Formular. Unsere API kennzeichnet bekannte Tor-Exit-Nodes gesondert, damit Website-Betreiber selbst entscheiden können, wie sie damit umgehen.

Reports bleiben in der Datenbank, weil die Reputation der gemeldeten Adressen davon abhängt. Wenn Sie Ihr Konto löschen, verlieren die Reports jeden Bezug zu Ihnen und bleiben als anonyme Datenpunkte erhalten. Ihr Gewicht nimmt mit dem Alter ab wie bei jedem anderen Report. War einer Ihrer Reports falsch, schreiben Sie an 1@reportedip.com.

Business kostet 39,00 € im Monat oder 389 € im Jahr (etwa 17 % günstiger), inkl. MwSt. Zusätzlich zu Professional erhalten Sie: 100.000 API-Prüfungen und 5.000 Reports pro Tag, 15 Domains pro Lizenz, 3 Lizenzen für Linux-Server, 2.500 Mails und 75 SMS pro Monat über den verwalteten Versand, 3 Gruppen für gemeinsame Sperren, Advanced Security Keys, das Audit-Log, das Sperren von Konten mit dem Sitzungsmanager, die zentrale Verwaltung der Einstellungen aller Ihrer Websites, Formular-Adapter für WPForms, Gravity Forms, Elementor Forms, Formidable Forms, Forminator und Ultimate Member, ein Jahr Aufbewahrung der Logs und bevorzugten E-Mail-Support innerhalb von 12 Stunden. Den vollständigen Vergleich finden Sie auf der Preisseite.

Ja. Business lässt sich im Checkout 2- bis 20-fach buchen und später im Stripe Customer Portal ändern. Damit vervielfacht sich der gesamte Tarif: tägliche API-Prüfungen und Reports, die enthaltenen Mails und SMS pro Monat und die Anzahl der Domains. Beispiel: 5-fach Business ergibt 500.000 Prüfungen am Tag, 25.000 Reports am Tag, 12.500 Mails und 375 SMS im Monat und bis zu 75 Domains. Die enthaltenen Lizenzen für Linux-Server vervielfachen sich nicht, weil Server getrennt gebucht werden. Ab zwei Lizenzen gilt automatisch ein Mengenrabatt, und der genaue Gesamtbetrag wird angezeigt, bevor Sie bestätigen. Ab 20-fach übernimmt Enterprise (ab 663 € im Monat, individueller Vertrag).

Sind Ihre monatlich enthaltenen SMS aufgebraucht (25 bei Professional, 75 bei Business), können Sie im Dashboard ein einmaliges Paket kaufen: 50 SMS für 14,90 €, 200 SMS für 49,90 € oder 500 SMS für 99,90 €, jeweils inkl. 19 % MwSt. Pakete verfallen nie und werden erst nach dem Monatskontingent verbraucht. Die anderen Methoden der Zwei-Faktor-Anmeldung (TOTP, E-Mail, WebAuthn) funktionieren weiter, auch wenn keine SMS mehr übrig sind.

Ja, nach derselben Logik: 1.000 Mails für 4,90 €, 5.000 Mails für 14,90 € oder 25.000 Mails für 49,90 €, jeweils inkl. 19 % MwSt. Sie verfallen nie und greifen erst, wenn die monatlich enthaltenen Mails (500 bei Professional, 2.500 bei Business) aufgebraucht sind. Wer regelmäßig Pakete kauft, fährt mit dem nächsthöheren Tarif meist besser.

Jährliche Abrechnung spart etwa 17 %: Professional 149 € im Jahr statt 12 × 14,90 € = 178,80 €, Business 389 € im Jahr statt 12 × 39,00 € = 468 €. Den Abrechnungszeitraum wählen Sie im Checkout. Spätere Änderungen laufen über das Stripe Customer Portal, das Sie im Bereich Billing des Dashboards öffnen. Enterprise-Verträge werden individuell angeboten.

Ja: Professional deckt 3 Domains ab, Business 15 pro Lizenz, Enterprise beliebig viele; Free und Contributor decken eine ab. Eine Hive-Website registriert ihre Domain, sobald sie Ihren API Key nutzt. Unter Domains im Dashboard sehen Sie jede registrierte Website mit API Key, Hive- und WordPress-Version und letztem Kontakt und können eine Domain freigeben, um den Platz wieder frei zu machen. Mit Business können Sie außerdem die Hive-Einstellungen aller Websites zentral verwalten.

Mail: Hive weicht auf wp_mail() auf Ihrem eigenen Server aus. Die Zwei-Faktor-Anmeldung funktioniert weiter, nur ohne die Zustellbarkeit unseres verwalteten Mailversands.

SMS: Der Benutzer wechselt zu einer anderen Methode (TOTP, E-Mail, WebAuthn), oder Sie kaufen ein Paket. Der SMS-Login scheitert nie still, der Benutzer erfährt klar, wenn SMS nicht verfügbar ist.

Alle Self-Service-Preise (Professional, Business, Pakete und Add-ons) enthalten 19 % deutsche MwSt. Stripe Tax wendet den korrekten Satz an:

• Kunden in Deutschland: 19 % MwSt. auf der Rechnung.
• Unternehmen in der EU mit gültiger USt-IdNr. (geprüft über VIES): 0 %, mit dem Reverse-Charge-Hinweis auf der Rechnung ("Steuerschuldnerschaft des Leistungsempfängers").
• Verbraucher in der EU außerhalb Deutschlands: der Satz ihres Landes über OSS (One-Stop-Shop).
• Unternehmen außerhalb der EU: 0 %, Export.

Enterprise wird netto angeboten, auf der Rechnung gelten dieselben Regeln. Stripe erstellt die Rechnungen. Sie finden sie als PDF im Bereich Billing Ihres Dashboards.

Professional und Business können Sie jederzeit im Stripe Customer Portal kündigen, wirksam zum Ende des laufenden Abrechnungszeitraums, monatlich oder jährlich. Eine anteilige Erstattung für den Rest eines Zeitraums gibt es nicht. Stattdessen gilt für die erste Abo-Zahlung eine 14-tägige Geld-zurück-Garantie: Innerhalb von 14 Tagen nach dem Kauf erhalten Sie ohne Angabe von Gründen den vollen Betrag zurück. Fordern Sie ihn an unter 1@reportedip.com.

Guthaben aus Paketen wird endgültig, sobald das erste Guthaben verbraucht ist. Verbraucher haben das gesetzliche Widerrufsrecht. Bei digitalen Dienstleistungen erlischt es nur dann vorzeitig, wenn Sie dem vor dem Checkout ausdrücklich zugestimmt haben. Verbindlich ist die Fassung in unseren Nutzungsbedingungen.

Für jeden Report: die gemeldete IP-Adresse, Angriffskategorien, einen Zeitstempel, einen optionalen Kommentar und das Konto, das gemeldet hat. Keine User-Agents und keine Daten Ihrer Besucher. Der Dienst folgt dem Grundsatz der Datenminimierung (Art. 5 DSGVO).

Die WordPress-Plugins senden nie Benutzernamen an den Dienst. Auf Ihrem eigenen Server speichert Hive Benutzernamen nur dort, wo Sie es einschalten (ausführliches Logging), oder wo es der Zweck der Funktion ist (das Audit-Log in Business).

Reports bleiben gespeichert, weil die Reputation einer Adresse aus ihnen berechnet wird. Ihr Gewicht nimmt mit dem Alter ab, und ein erfolgreicher Delisting-Antrag entfernt eine Adresse aus der Datenbank. Kontodaten werden gelöscht, wenn Sie Ihr Konto löschen. Wie lange Hive seine Logs aufbewahrt, hängt von Ihrem Tarif ab: 30 Tage bei Free und Contributor, 90 Tage bei Professional, ein Jahr bei Business, einstellbar bei Enterprise.

Ja. Nach Art. 17 DSGVO können Sie die Löschung Ihrer personenbezogenen Daten verlangen. Mit Konto erledigen Sie das selbst im Bereich Privacy des Dashboards, sofort. Ansonsten schreiben Sie an 1@reportedip.com. Reports, die über Ihr Konto eingereicht wurden, bleiben als anonyme Datenpunkte ohne jeden Bezug zu Ihnen erhalten.

Sobald Sie den verwalteten Mail- und SMS-Versand nutzen (ab Professional), verarbeiten wir personenbezogene Daten in Ihrem Auftrag, nämlich Empfängeradressen und Telefonnummern. Dafür handeln wir als Ihr Auftragsverarbeiter nach Art. 28 DSGVO. Den Auftragsverarbeitungsvertrag (AVV) fordern Sie an unter 1@reportedip.com. Enterprise-Kunden können einen individuellen AVV vereinbaren. Das Teilen von Angreiferadressen mit der Community ist keine Verarbeitung in Ihrem Auftrag; jede Partei ist für ihren eigenen Teil verantwortlich.

Die Server laufen bei Hetzner Online in Nürnberg, Deutschland. Mails werden von unseren eigenen Mailservern in Deutschland versendet. Unterauftragsverarbeiter:

• Stripe Payments Europe Ltd. (Irland), Zahlungsabwicklung.
• Avernis (Deutschland), Zustellung von SMS-Codes.
• Cloudflare, DDoS-Schutz vor der API-Adresse reportedip.de.

Die vollständige und verbindliche Liste steht in unserer Datenschutzerklärung.

Nein. Auf reportedip.com gibt es keine Webanalyse, keine Werbe-Tracker und kein Tracking durch Dritte. Die Cookies, die wir setzen, sind funktional: die Login-Sitzung, die gewählte Sprache, das Farbschema und, wenn Sie über einen Empfehlungslink gekommen sind, ein Empfehlungs-Cookie mit 60 Tagen Gültigkeit. Die Zahlung läuft auf Seiten von Stripe. Hive setzt auf Ihrer Website nur während der Zwei-Faktor-Anmeldung Cookies: ein kurzlebiges Challenge-Cookie und, wenn der Benutzer zustimmt, ein Token für ein vertrauenswürdiges Gerät.

Eine eigenständige PHP-Anwendung (PHP 8.2+ mit SQLite), die WordPress, Drupal und Joomla nachahmt. 40 eingebaute Analysemodule erkennen SQL-Injection, XSS, Brute Force, Credential Stuffing, Plugin-Exploits und Scanner-Signaturen. Erkannte Angreifer werden in kleinen Stapeln an die ReportedIP API gemeldet, standardmäßig direkt nach Seitenaufrufen, optional per Cron. Der Quellcode ist öffentlich unter github.com/reportedip/honeypot-server unter der Business Source License 1.1, die am 1. März 2030 zu Apache 2.0 wird. Anleitung zur Einrichtung: Dokumentation zum Honeypot Server.

Zwei Gründe. Abwehr: Jede Anfrage, die ein Angreifer an Ihren Honeypot verschwendet, trifft kein echtes System. Status: Honeypot-Betreiber erhalten den Honeypot-Status für ihr ReportedIP-Konto, mit unbegrenzten Prüfungen und Reports und zusätzlichem Gewicht für ihre Reports. Honeypot-Daten zählen mehr als gewöhnliche Reports, weil niemand einen Honeypot versehentlich besucht.

Ja, Angreifer müssen ihn aus dem Internet erreichen können. Betreiben Sie ihn auf einer ungenutzten Subdomain oder auf einem kleinen separaten VPS; die kleinsten Cloud-Server-Tarife reichen aus. Ein Setup mit Docker Compose ist enthalten.

Ja. Seit Version 1.3.0 kann jede Erkennung einen Webhook auslösen, und jeder Webhook hat eigene HTTP-Methode, Header und Body. So lässt sich jede API damit beliefern. Wählen Sie die Methode (POST, PUT, PATCH oder GET), fügen Sie Auth-Header zeilenweise hinzu und bauen Sie den Body aus Platzhaltern wie {{ip}}, {{categories}}, {{severity}} und {{timestamp}}. Der Platzhalter {{abuseipdb_categories}} ordnet ReportedIP-Kategorien den IDs von AbuseIPDB zu, und Vorlagen für AbuseIPDB, Slack, Discord und allgemeines JSON bringen Sie mit einem Klick zum Start. Testzustellungen nutzen die Loopback-Adresse 127.0.0.1 und erzeugen daher nie einen echten Report. Referenz: Dokumentation zum Honeypot Server.

Optional ja. Hinterlegen Sie für einen Webhook ein Secret, dann trägt jede Anfrage einen Header X-ReportedIP-Signature mit einem HMAC-SHA256 des rohen Bodys (sha256=<hmac>). Berechnen Sie ihn mit demselben Secret nach und vergleichen Sie in konstanter Zeit, bevor Sie dem Payload vertrauen. GitHub und Stripe nutzen dasselbe Muster. Die Zustellung erfolgt, nachdem die Antwort der Falle gesendet wurde, ein Webhook bremst den Honeypot also nie aus.

Der Agent schützt Linux-Server. Er liest die Logs von SSH, Mail (Postfix, Dovecot, Exim), Webservern, WordPress und Drupal, FTP, DNS und ModSecurity, blockiert Angreifer lokal im Kernel mit ipset oder nftables, meldet sie an die Community und lädt die Blacklist der Community in fünf Sets (ssh, mail, web, ftp, edge). Er aktualisiert sich selbst und meldet sich per Mail, wenn etwas Aufmerksamkeit braucht. Übersicht: ReportedIP Agent.

Ein Befehl als root, mit dem API Key aus Ihrem Dashboard:

curl -fsSL https://reportedip.com/agent/install.sh | REPORTEDIP_KEY=<KEY> sh

Der Installer bittet Sie zuerst, die Nutzungsbedingungen zu akzeptieren; für unbeaufsichtigte Installationen setzen Sie REPORTEDIP_ACCEPT_TERMS=1. Die einzige harte Voraussetzung ist systemd, auf x86_64 oder ARM64. Ohne ipset oder nftables läuft der Agent trotzdem und meldet, er kann nur nicht blockieren. Schritt für Schritt: Installation.

Für den Blacklist-Feed ja: Er wird pro Server lizenziert. Professional enthält einen Server, Business drei, Enterprise nach Vereinbarung. Free und Contributor enthalten keinen: Der Agent lässt sich auch dort installieren, erkennt, blockiert lokal und meldet, lädt aber nicht die Blacklist der Community. Mit einer Kulanz- oder Testlizenz lädt der Agent den Feed einmal pro Stunde, mit Adressen ab Confidence 90; ab Professional alle 15 Minuten, ab Confidence 75.

Server bilden einen eigenen Pool, getrennt von den Domains des Hive-Plugins. Ein lizenzierter Server kostet Sie also nie eine Domain. Lizenzen fügen Sie unter Agent Servers im Dashboard hinzu oder entfernen sie dort. Details: Lizenzen.

4,90 € im Monat oder 49 € im Jahr pro Server, inkl. MwSt. Der Preis pro Server sinkt mit der Anzahl: 4,90 € für 1 bis 4 Lizenzen, 3,90 € ab 5, 2,90 € ab 10, 1,90 € ab 25 und 1,40 € ab 50, jeweils für alle gebuchten Lizenzen. Ab Professional gibt es keine Obergrenze.

Wer Business mehrfach bucht, erhöht die Anzahl der Domains, aber nicht die Anzahl der enthaltenen Server, weil Server der Teil sind, der getrennt bezahlt wird.

Nein. Domains und Server sind zwei getrennte Pools. Ein Professional-Konto, das alle drei Domains belegt, hat trotzdem seinen einen enthaltenen Server, und zusätzliche Serverlizenzen verringern nie die Anzahl der Domains.

Nur der Download des Feeds pausiert. Die bereits geladene Liste der Community bleibt im Kernel und blockiert weiter. Lokale Erkennung, lokales Blockieren, Reports innerhalb des Tageslimits Ihres Tarifs und Selbst-Updates laufen alle weiter. Der Dienst wird nicht gestoppt und kein Set wird geleert.

Das ist Absicht: Ein Server darf wegen einer offenen Rechnung nie ungeschützt werden. reportedip-agent status zeigt den Lizenzstatus, das Alter der Liste und was zu tun ist.

Nein. Die Lizenzierung wird in Stufen eingeführt, und jeder Server, der vor der Umstellung an ReportedIP gemeldet hat, behält dauerhaft eine kostenlose Lizenz.

Ja, mit Gruppen. Eine Gruppe bündelt API Keys von Agent-Hosts und Hive-Websites: Meldet ein Mitglied eine Adresse, blockiert jedes Mitglied sie. Jede Gruppe hat ihre eigene Whitelist mit Adressen, die kein Mitglied jemals blockiert oder meldet. Professional enthält 1 Gruppe mit bis zu 10 Mitgliedern, Business 3 Gruppen mit je 50 Mitgliedern, Enterprise 100 Gruppen mit 500 Mitgliedern. Einrichtung: Gruppen.

Ja. Jede Angriffsart, die früher über ein Jail kam, hat einen eigenen Detektor, der das ursprüngliche Log liest. Ein Host ohne fail2ban verliert also nichts. Wo fail2ban noch läuft, kann der Agent es als zusätzliche Quelle nutzen.

Gemessen über elf Tage auf einem Produktivhost fand der Agent 187 der 189 Adressen, die fail2ban auf derselben Maschine gesperrt hatte (die beiden fehlenden waren von Hand eingetragene Testadressen), und meldete 78 weitere Adressen, die tatsächlich angriffen, aber unter den Schwellen von fail2ban blieben. reportedip-agent test <file> ersetzt fail2ban-regex. Die vollständige Anleitung: Wie der Linux-Agent fail2ban ersetzt.

Ein kostenloses Diagnosetool für Domains. Es fragt etwa 100 DNS-Resolver in mehr als 50 Ländern auf sechs Kontinenten ab und prüft SPF, DKIM, DMARC und DNSSEC. Typische Einsätze: Probleme bei der Mailzustellung finden, die DNS-Propagierung bei einem Umzug verfolgen, Antworten verschiedener Resolver vergleichen. Verfügbar unter reportedip.com/dnschecker/. Das zugrunde liegende WordPress-Plugin reportedip-dnschecker mit dem Shortcode [ridns_dns_checker] ist Open Source unter der GPL.

Ja. Ohne Konto haben Sie 30 Abfragen am Tag pro IP-Adresse, gemeinsam für alle Tools. Angemeldet steigt das gemeinsame Limit auf 100 am Tag. Die Tools sind unabhängig vom IP-Reputationsdienst; Sie können das eine ohne das andere nutzen.

Zehn, und nein. Neun laufen im Browser, das zehnte ist der Honeypot Server, den Sie selbst hosten: DNS Checker, Email Security Check, DNSBL Blacklist Check, Reverse DNS, Abuse Contact, Bot Verification, ASN Report, Security Headers und What We Know About You. Die vollständige Liste mit Ein- und Ausgaben finden Sie unter Free Tools.

Nutzen Sie den DNSBL Blacklist Check. Er fragt zwölf ausgewählte Zonen gleichzeitig ab, für IPv4 und IPv6, dazu die Liste von ReportedIP, und nennt jede Liste, die antwortet, samt Rückgabecode. So wissen Sie, wo Sie die Entfernung beantragen müssen. Neun der zwölf Zonen haben eine IPv6-Version; für die anderen drei lautet das Ergebnis "nicht anwendbar" statt "sauber".

Beim Betreiber des kleinsten Netzblocks, nicht des größten. Das Tool Abuse Contact liest die zuständige Registry über RDAP aus und liefert das Postfach, das dieser Betreiber veröffentlicht, zusammen mit dem Netzblock, seinem Inhaber und einem Entwurf der Abuse-Meldung, den Sie aus Ihrem eigenen Postfach senden. Von unserer Seite wird nichts verschickt.

Prüfen Sie es mit Bot Verification. Ein User-Agent ist freier Text, den jeder Client senden kann. Das Tool nutzt deshalb die Methode, die der Betreiber des Bots veröffentlicht: vorwärts bestätigtes Reverse DNS für Googlebot, Bingbot, Applebot, YandexBot und Baiduspider und die veröffentlichten Adressbereiche für GPTBot, OAI-SearchBot, ChatGPT-User, ClaudeBot, PerplexityBot und DuckDuckBot.

Meist, weil die Adresse keinen PTR-Eintrag hat oder einen, der nicht zurück auflöst. Reverse DNS zeigt beides: den Namen, den die Adresse trägt, und ob er die Vorwärtsprüfung besteht. Einen PTR-Eintrag kann nur der Betreiber des Adressblocks setzen, meist Ihr Hosting- oder Transit-Anbieter.

Das hängt davon ab, wie sich die Reports verteilen, und genau das beantwortet der ASN Report. Eine reine Gesamtzahl der Reports lässt jeden großen Anbieter kriminell aussehen. Der Bericht zeigt deshalb für jedes Netzwerk zwei Werte: wie viele Adressen dort bekannt sind und wie viele Reports jede davon trägt.

Mit Security Headers. Das Tool ruft eine Seite ab und gewichtet jeden Befund danach, was er verhindert. Eine fehlende Content-Security-Policy zählt also mehr als eine fehlende Permissions-Policy. Es nennt die Direktive, die Sie ändern müssen, statt nur den fehlenden Header. Die Gewichtungen stehen unter Tool Scoring.

Ja. Jedes Tool ist ein öffentlicher REST-Endpoint unter /wp-json/ridns/v1, insgesamt siebzehn, ohne Key und ohne Konto. Sie teilen sich das Tageskontingent der Browser-Tools. Parameter und Antworten: Tools API.

Ja, in zwei Protokollen. Für die Statistik wird jede Abfrage (die eingegebene Domain, Adresse oder AS-Nummer) mit einem pseudonymen Besucher-Hash und, wenn Sie angemeldet sind, Ihrer Benutzer-ID erfasst und bis zu ein Jahr aufbewahrt. Zur Missbrauchsabwehr wird die Abfrage zusätzlich mit Ihrer vollständigen IP-Adresse, der Eingabe und dem Ergebnis erfasst und nach 30 Tagen gelöscht. Der Tageszähler für das Rate Limit verfällt nach einem Tag, und der DNS Checker hält seine Ergebnisse 90 Sekunden im Cache. Kein Tool erstellt in Ihrem Namen einen Report, und kein Tool kontaktiert eine eingegebene Adresse; nur Security Headers ruft die angegebene Seite ab, weil es genau die prüft. Einzelheiten: Datenschutzerklärung.