Sicherheitsnachrichten

Schützen Sie Ihren Webserver mit einer Live-IP-Blacklist

21. Juli 2026 · Aktualisiert 7. September 2026 · Patrick Schlesinger

Die ReportedIP-Community erfasst 720.103 IP-Adressen aus insgesamt 6,59 Millionen Missbrauchsmeldungen, wobei derzeit 53.426 IP-Adressen als aktive Bedrohungen eingestuft sind (Stand: 7. September 2026). Die Dynamic Blacklist fasst diese Daten zu firewallfähigen Blacklists zusammen, die alle 15 Minuten serverseitig neu generiert werden, und ein Abfrageparameter unterteilt sie in fünf portbezogene Listen: SSH, E-Mail, Web, FTP und Netzwerkperipherie.

Die vollständige Anleitung mit den Cron- und ipset-Skripten finden Sie in der Blacklist-Dokumentation.

Warum eine dynamische Blacklist einer statischen Blocklist-Datei überlegen ist

Statische Blocklisten sind nicht sehr zukunftssicher. Angreifer wechseln ständig zwischen Cloud-Anbietern und Botnetzen hin und her, sodass eine IP-Adresse, über die im Juni SSH-Brute-Force-Angriffe durchgeführt wurden, im August oft bereits ein legitimer Kunde desselben Hosting-Anbieters ist. Eine Liste, die einmal heruntergeladen und unverändert belassen wird, blockiert weiterhin die falschen Personen, während die aktuelle Angriffswelle unentdeckt bleibt.

Die Dynamic Blacklist „ReportedIP“ wird alle 15 Minuten anhand von Live-Reports aus der Community neu erstellt. Honeypot Server, WordPress-Seiten, auf denen das Hive-Plugin läuft, sowie fail2ban-Installationen speisen Missbrauchsberichte in eine Bewertungs-Pipeline ein, und nur IP-Adressen, die den von Ihnen gewählten Konfidenzschwellenwert überschreiten, gelangen in die Liste, die Sie abrufen. Wenn ein Angreifer inaktiv wird, senkt der Verfall die Bewertung, und die IP-Adresse wird automatisch aus der Liste entfernt. Keine manuelle Überprüfung, keine veralteten Einträge aus dem letzten Quartal.

Wie der Confidence Score dafür sorgt, dass die Liste sauber bleibt

Jede IP-Adresse in der Liste ist mit einem Confidence Score zwischen 0 und 100 versehen. Der Wert ergibt sich aus vier Basiskomponenten sowie einem Honeypot-Bonus:

• Anzahl der Reports (bis zu 30 Punkte): die gewichtete Anzahl der Reports im Zusammenhang mit dem geistigen Eigentum.
• Vielfalt der Berichterstatter (bis zu 15 Punkte): Reports aus unabhängigen Quellen werden stärker gewichtet. Ein einzelner lautstarker Berichterstatter kann eine IP-Adresse nicht im Alleingang über eine Punktzahl von 60 hinausbringen.
• Aktualität (bis zu 15 Punkte): Ein Report aus den letzten 24 Stunden bringt 5 Punkte, einer aus der letzten Woche 3 Punkte; ältere Reports bringen weniger Punkte.
• Schweregrad (bis zu 15 Punkte): gewichtet nach Threat Category, sodass ein Exploited Host anders bewertet wird als ein Kommentar-Spammer.
• Honeypot-Bonus (bis zu 25 Punkte): Reports von Honeypots mit hoher Interaktionsrate werden stärker gewichtet, da kein legitimer Benutzer jemals mit einem Honeypot in Berührung kommt.

Alte Reports verlieren exponentiell an Wert, wobei die Halbwertszeit 30 Tage beträgt: Ein Report hat nach 30 Tagen noch 50 Prozent seines Gewichts und nach 60 Tagen 25 Prozent. Darüber hinaus begrenzen strenge Vorgaben die Punktzahl: Eine IP-Adresse mit weniger als 5 gültigen Reports kann niemals 49 Punkte überschreiten, und bei weniger als 10 Reports liegt die Obergrenze bei 74 Punkten. Der empfohlene Sperrschwellenwert von 90 erfordert daher anhaltenden, aktuellen Missbrauch, der von mindestens zwei unabhängigen Meldern bestätigt wurde. Bekannte Suchmaschinen- und Überwachungs-Crawler werden serverseitig ausgeschlossen, bevor die Liste erstellt wird.

Warum eine Sperrliste pro Dienst besser ist als eine einzige riesige Liste

Jeder Bericht enthält IDs für Threat Categories. Gültige IDs reichen von 1 bis 63: klassische Kategorien wie SSH-Brute-Force-Angriffe (22) und Email Spam (11), einen speziellen WordPress-Block (31 bis 58), der Brute-Force-Angriffe auf Login und XML-RPC, Plugin-Exploits, Kommentar-Spam und Backdoor-Scans abdeckt, sowie Kategorien, die ausschließlich Honeypots betreffen (59 bis 63). Der category Parameter GET /blacklist akzeptiert eine durch Kommas getrennte Liste dieser IDs, sodass jeder exponierte Dienst genau die Angreifer erhält, die auf ihn abzielen.

Liste	Kategorien	Anwendbar auf	Umfang (21. Juli 2026)
SSH	22,18	Port 22	5.141 IP-Adressen
E-Mail	11, 7, 17, 18	Ports 25, 465, 587, 110, 143, 993, 995	2.784 IP-Adressen
Web	21,16,10,19,12 + WP-Block 31–58	Ports 80, 443	3.666 IP-Adressen
FTP	5,18	Hafen 21	2.580 IP-Adressen
Kante	4,14,20	Alle Anschlüsse	5.920 IP-Adressen

Auf bestimmte Ports beschränkte Regelgruppen halten die Folgen von Fehlern gering: Eine IP-Adresse auf der Web-Liste kann einen Administrator niemals vom SSH-Zugang ausschließen. Die Edge-Liste (DDoS, Port Scans, Exploited Hosts) ist die einzige, die es wert ist, auf alle Ports angewendet zu werden, da diese Angreifer alles abtasten.

So erstellen Sie eine Liste und sperren diese in fünf Minuten

Der Zugriff auf die Blacklist ist ab der Stufe „Contributor“ möglich, die kostenlos ist. Pro Dienstliste wird ein authentifizierter GET-Aufruf als Klartext zurückgegeben, wobei pro Zeile eine IP-Adresse aufgeführt wird, wobei IPv4- und IPv6-Adressen gemischt sind:

curl -H "X-Key: YOUR_API_KEY" \
  "https://reportedip.com/wp-json/reportedip/v2/blacklist?confidence=90&format=txt&limit=50000&category=22,18" \
  | while read ip; do ipset add rip-ssh "$ip" -exist; done

iptables -I INPUT -p tcp --dport 22 -m set --match-set rip-ssh src -j DROP

In modernen Distributionen ersetzen nftables-Sätze ipset nach demselben Muster:

nft add set inet filter rip-ssh '{ type ipv4_addr; flags interval; }'
nft add rule inet filter input tcp dport 22 ip saddr @rip-ssh drop

Laden Sie die heruntergeladene Liste mit folgendem Befehl in den Satz: nft add elementoder verwenden Sie das „Atomic-Swap“-Aktualisierungsskript aus der Anleitung zur Blockierung auf Netzwerkebene, die auch IPv6-Sets und Cloud-Firewalls abdeckt. Zwei Sicherheitsregeln vor der ersten Ausführung: Fügen Sie Ihre eigenen Verwaltungs-IP-Adressen in ein separates Set auf, das zuerst abgeglichen wird, und ersetzen Sie niemals ein funktionierendes Set durch einen unvollständigen Download. Das Referenzskript lehnt jede Antwort mit weniger als 1.000 Zeilen ab.

Halten Sie die Liste auf dem neuesten Stand, ohne Ihr Kontingent zu überschreiten

Ein stündlicher Cron-Job pro Liste reicht völlig aus. Der Endpoint gibt bei jeder Antwort einen ETag zurück; speichern Sie diesen und senden Sie ihn als If-None-Match, und eine unveränderte Liste antwortet mit 304 Not Modified und einem leeren Body. Wiederholte Abfragen verursachen auf beiden Seiten kaum Kosten.

Das Abrufen von Blacklists ist funktionsabhängig, wird jedoch nicht auf Ihr tägliches Abruf- oder Report-Limit angerechnet; daher ist die Abfragehäufigkeit eine Frage der Zwischenspeicherung und keine Frage des Budgets. ETags sind spezifisch für die genaue Kombination der von Ihnen angeforderten Parameter; bewahren Sie daher pro Liste ein gespeichertes Tag auf. Parameter und Antwortformate sind in der API Reference dokumentiert. E-Mail-Betreiber, die DNS-Abfragen der Listensynchronisierung vorziehen, können dieselben Daten wie in einer privaten RBL Zone abfragen.

Melden Sie Angreifer mit fail2ban

Das Blockieren ist die Hälfte des Prozesses. Eine kleine fail2ban-Aktion übermittelt jede Sperre auf Ihrem Server an POST /report with the corresponding Threat Category per Jail: sshd bans are reported as Category 22, Postfix bans as Category 11, and nginx bans as Category 21. For these Reports, only your daily Report quota is used, never your query quota.

Der Nutzen ist unmittelbar. Ihr Bericht erhöht den Confidence Score des Angreifers für alle, und da Werte mindestens zwei unabhängige Melder benötigen, um die 60er-Marke zu überschreiten, ist Ihre Bestätigung oft der Bericht, der eine grenzwertige IP-Adresse über die Sperrschwelle hinausdrückt. Die vorgefertigte Aktionskonfiguration und die Zuordnungstabelle von „Jail“ zu Kategorien finden Sie im fail2ban-Integrationsleitfaden. Bei WordPress-Seiten funktioniert der gleiche Ablauf, ohne dass Sie die Shell nutzen müssen: Das Hive-Plugin überwacht Logins, Kommentare und XML-RPC und meldet bestätigte Angriffe automatisch.

Wie sieht es mit False Positives aus?

Drei Mechanismen begrenzen Kollateralschäden. Erstens bedeuten die oben genannten Bewertungsbeschränkungen, dass ein einzelner falsch konfigurierter Reporter eine IP-Adresse nicht eigenständig auf die Blacklist setzen kann. Zweitens werden durch die Halbwertszeit von 30 Tagen bereinigte IP-Adressen automatisch entfernt, anstatt darauf zu warten, dass jemand dies bemerkt. Drittens werden bekannte Infrastrukturen wie Suchmaschinen-Crawler und wichtige Überwachungsdienste bereits vor der Erstellung der Liste durch eine serverseitige Whitelist abgedeckt.

Sollte eine Ihrer eigenen IP-Adressen jemals auf der Liste landen, wird dies durch den Prozess des Delistings behoben: Die Reports zu einer IP-Adresse werden nicht mehr gezählt, sobald der Missbrauch aufhört, und strittige Fälle werden im Rahmen einer manuellen Überprüfung geklärt. Wenn Sie in der ersten Woche die Protokolle nur aufzeichnen, anstatt Zugriffe zu blockieren (fail2ban bezeichnet dies als „Dry Run“, das Hive-Plugin als „Report-Only Mode“), können Sie genau erkennen, welche Zugriffe blockiert worden wären, bevor tatsächlich eine Blockierung erfolgt.

Häufig gestellte Fragen

Wie viele IP-Adressen befinden sich auf der „ReportedIP“-Blacklist?

Die Datenbank erfasst 720.103 gemeldete IP-Adressen, von denen derzeit 53.426 als aktive Bedrohungen eingestuft werden (Stand: 7. September 2026). Wie viele davon Sie abrufen, hängt von Ihren Filtern ab: confidence=90 Bei Auswahl einer Dienstkategorie werden in der Regel zwischen 2.500 und 6.000 IP-Adressen pro Liste zurückgegeben, und der limit Parameter Werte bis zu 50.000 akzeptiert.

Wie oft sollte ich die Blacklist aktualisieren?

Stündlich pro Liste. Der Server aktualisiert die Listen alle 15 Minuten; dank der ETag-Überprüfung erfasst ein stündlicher Cron-Job jedoch jede wesentliche Änderung bei nahezu null Kosten. Die Abrufe werden nicht auf ein Tageskontingent angerechnet.

Welchen Confidence Score sollte ich für die automatische Sperrung verwenden?

Verwenden Sie den Wert 90. Der Endpoint ist standardmäßig auf 75 festgelegt, was für Warnmeldungen oder Rate Limiting ausreichend ist; ein Wert von 90 oder höher erfordert jedoch mindestens 10 gültige Reports von zwei oder mehr unabhängigen Meldern mit aktueller Aktivität. Dies ist der Schwellenwert, ab dem eine automatische Abweisung unbedenklich ist.

Kann die Blacklist dazu führen, dass ich keinen Zugriff mehr auf meinen eigenen Server habe?

Nicht, wenn Sie zwei Regeln befolgen: Tragen Sie Ihre Verwaltungs-IP-Adressen in eine Whitelist ein, die die Firewall vor der Blockliste überprüft, und wenden Sie jede Liste ausschließlich auf ihre eigenen Ports an. Ein Eintrag in der Web-Liste kann dann selbst im schlimmsten Fall Ihre SSH-Sitzung nicht beeinträchtigen.

Umfasst die Blacklist auch IPv6-Adressen?

Ja. Das Klartextformat gibt IPv4- und IPv6-Adressen gemischt aus, jeweils eine pro Zeile. Verwenden Sie separate „ipset“- oder „nftables“-Sätze pro Adressfamilie; im Leitfaden zur Firewall wird das Muster mit zwei Sätzen beschrieben.

Was kostet der Zugriff auf die Blacklist?

Es gibt keine Einstiegsbedingungen. Der Zugriff auf die Blacklist beginnt ab der Stufe „Contributor“, die kostenlos ist und keine Kreditkarte erfordert. Höhere Stufen erhöhen die täglichen Kontingente für Überprüfungen und Reports für andere Endpoints; die Nutzung der Blacklist selbst unterliegt keiner Begrenzung.

Beginnen Sie mit dem Free-Tarif

• Erstellen Sie ein kostenloses Konto; der Zugriff auf die Blacklist ist ab der Stufe „Contributor“ möglich, keine Kreditkarte erforderlich
• Dokumentation zur Blacklist, Dienstlisten, Formate, Skript zur automatischen Aktualisierung
• fail2ban-Integration: Melden Sie Ihre Sperrungen an die Community zurück