Schützen Sie Ihren Webserver mit einer Live-IP-Blacklist
Die Community Blacklist von ReportedIP umfasst rund 10.000 IP-Adressen mit einer Missbrauchswahrscheinlichkeit von über 90 Prozent und wird serverseitig alle 15 Minuten neu generiert (Stand: 21. Juli 2026). Ein Abfrageparameter wandelt diese einzelne Liste in fünf portbezogene Firewall-Sperrlisten um – SSH, E-Mail, Web, FTP und Netzwerkperipherie.
Die vollständige Anleitung mit den Cron- und ipset-Skripten finden Sie in der Blacklist-Dokumentation.
Warum eine Sperrliste pro Dienst besser ist als eine einzige riesige Liste
Jede Meldung im ReportedIP-Netzwerk enthält IDs für Threat Categories – insgesamt 58, von „SSH-Brute-Force“ (22) bis hin zu einem speziellen WordPress-Block (31–58), der Brute-Force-Angriffe auf Login-Prozesse und XML-RPC, Plugin-Exploits, Kommentar-Spam sowie Backdoor-Scans abdeckt. Der category Parameter auf GET /blacklist akzeptiert eine durch Kommas getrennte Liste dieser IDs, sodass jeder exponierte Dienst genau die Angreifer erhält, die auf ihn abzielen.
| Liste | Kategorien | Angewandt auf | Umfang (21. Juli 2026) |
|---|---|---|---|
| SSH | 22,18 | Port 22 | 5.141 IP-Adressen |
11, 7, 17, 18 | Ports 25, 465, 587, 110, 143, 993, 995 | 2.784 IP-Adressen | |
| Web | 21,16,10,19,12 + WP-Block 31–58 | Ports 80, 443 | 3.666 IP-Adressen |
| FTP | 5,18 | Hafen 21 | 2.580 IP-Adressen |
| Edge | 4,14,20 | Alle Häfen | 5.920 IP-Adressen |
Auf Ports beschränkte Listen halten die Folgen von Fehlern gering: Eine IP-Adresse auf der Web-Liste kann einen Administrator niemals vom SSH-Zugang ausschließen. Die Listen bleiben sauber, da für eine Bewertung von 90+ mindestens 10 gültige Reports von zwei oder mehr unabhängigen Meldern erforderlich sind, alte Reports mit einer Halbwertszeit von 30 Tagen verfallen und bekannte Crawler serverseitig ausgeschlossen werden, bevor die Liste erstellt wird.
So erstellen Sie eine Liste und sperren diese in fünf Minuten
Ein authentifizierter GET-Aufruf pro Dienstliste, im Klartext, eine IP-Adresse pro Zeile:
curl -H "X-Key: YOUR_API_KEY"
"https://reportedip.com/wp-json/reportedip/v2/blacklist?confidence=90&format=txt&limit=10000&category=22,18"
| while read ip; do ipset add rip-ssh "$ip" -exist; done
iptables -I INPUT -p tcp --dport 22 -m set --match-set rip-ssh src -j DROPEin stündlicher Cron-Job pro Liste reicht völlig aus – der Endpoint gibt einen ETag zurück, und wenn man diesen als If-None-Match unveränderte Listen mit 304 Not Modified, sodass wiederholte Abfragen nahezu keine Kosten verursachen. Abfragen der Blacklist werden nicht auf ein tägliches Kontingent angerechnet; Parameter und Antwortformate finden Sie in der API Reference. E-Mail-Betreiber, die DNS-Abfragen der Listensynchronisierung vorziehen, können dieselben Daten als private RBL Zone abfragen.
Melden Sie Angreifer mit fail2ban
Das Blockieren ist nur die halbe Miete. Eine kleine fail2ban-Aktion übermittelt jede Sperre auf Ihrem Server an POST /report mit der entsprechenden Threat Category pro Jail – sshd-Sperren werden als Threat Category 22 gemeldet, Postfix-Sperren als Threat Category 11 und nginx-Sperren als Threat Category 21. Reports belasten ausschließlich Ihr tägliches Berichts-Kontingent, niemals das Abfrage-Kontingent, und jeder Report verfeinert die genauen Listen, die Sie in der nächsten Stunde abrufen.
Die vorgefertigte Aktionskonfiguration und die Zuordnungstabelle „Jail zu Kategorie“ finden Sie im fail2ban-Integrationsleitfaden.
Beginnen Sie mit der Free tier-Stufe
- Erstellen Sie ein kostenloses Konto – der Zugriff auf die Blacklist ist ab der Stufe „Contributor“ möglich, keine Kreditkarte erforderlich
- Blacklist-Dokumentation – Dienstlisten, Formate, Skript zur automatischen Aktualisierung
- fail2ban-Integration – Melden Sie Ihre Sperren an die Community zurück