Schützen Sie Ihren Webserver mit einer Live-IP-Blacklist
Die Blacklist ReportedIP umfasst rund 10.000 IP-Adressen mit einer Missbrauchswahrscheinlichkeit von über 90 Prozent und wird serverseitig alle 15 Minuten neu generiert (Stand: 21. Juli 2026). Ein Abfrageparameter wandelt diese einzelne Liste in fünf portbezogene Firewall-Sperrlisten um – SSH, E-Mail, Web, FTP und Netzwerkperipherie.
Die vollständige Anleitung mit den Cron- und ipset-Skripten finden Sie in der Blacklist-Dokumentation.
Warum eine Sperrliste pro Dienst besser ist als eine riesige Liste
Jeder Bericht im ReportedIP enthält IDs für Bedrohungskategorien – insgesamt 58, von „SSH-Brute-Force“ (22) bis hin zu einem eigenen WordPress-Block (31–58), der Brute-Force-Angriffe auf Login und XML-RPC, Plugin-Exploits, Kommentar-Spam und Backdoor-Scans abdeckt. Der category Parameter ein GET /blacklist akzeptiert eine durch Kommas getrennte Liste dieser IDs, sodass jeder exponierte Dienst genau die Angreifer erhält, die auf ihn abzielen.
| Liste | Kategorien | Angewandt auf | Größe (21. Juli 2026) |
|---|---|---|---|
| SSH | 22,18 | Port 22 | 5.141 IP-Adressen |
11,7,17,18 | Ports 25, 465, 587, 110, 143, 993, 995 | 2.784 IP-Adressen | |
| Web | 21,16,10,19,12 + WP-Block 31–58 | Ports 80, 443 | 3.666 IP-Adressen |
| FTP | 5,18 | Hafen 21 | 2.580 IP-Adressen |
| Kante | 4,14,20 | Alle Anschlüsse | 5.920 IP-Adressen |
Auf Ports beschränkte Listen halten den Aufwand bei Fehlern gering: Eine IP-Adresse auf der Web-Liste kann einen Administrator niemals aus dem SSH-Zugang aussperren. Die Listen bleiben sauber, da für eine Bewertung von 90+ mindestens 10 gültige Meldungen von zwei oder mehr unabhängigen Meldern erforderlich sind, alte Meldungen mit einer Halbwertszeit von 30 Tagen verfallen und bekannte Crawler serverseitig ausgeschlossen werden, bevor die Liste erstellt wird.
So erstellen Sie eine Liste und sperren sie in fünf Minuten
Ein authentifizierter GET-Aufruf pro Dienstliste, im Klartext, eine IP-Adresse pro Zeile:
curl -H "X-Key: YOUR_API_KEY"
"https://reportedip.de/wp-json/reportedip/v2/blacklist?confidence=90&format=txt&limit=10000&category=22,18"
| while read ip; do ipset add rip-ssh "$ip" -exist; done
iptables -I INPUT -p tcp --dport 22 -m set --match-set rip-ssh src -j DROPEin stündlicher Cron-Job pro Liste reicht völlig aus – der Endpunkt gibt einen ETag zurück, und wenn man diesen als If-None-Match gibt unveränderte Listen mit 304 Not Modified, daher kosten wiederholte Abfragen fast nichts. Abfragen der Blacklist werden nicht auf das tägliche Kontingent angerechnet; Parameter und Antwortformate finden Sie in der API-Referenz. E-Mail-Anbieter, die DNS-Abfragen der Listensynchronisierung vorziehen, können dieselben Daten abfragen wie ein private RBL-Zone.
Angreifer mit fail2ban melden
Das Blockieren macht die Hälfte der Masche aus. Ein kleines fail2ban action veröffentlicht jede Sperre auf deinem Server unter POST /report mit der entsprechenden Bedrohungskategorie pro Server – sshd-Sperren werden als Kategorie 22, Postfix-Sperren als Kategorie 11 und nginx-Sperren als Kategorie 21 ausgewiesen. Berichte belasten ausschließlich Ihr tägliches Berichts-Kontingent, niemals das Prüfkontingent, und jeder Bericht verfeinert die genauen Listen, die Sie in der nächsten Stunde abrufen.
Die vorgefertigte Aktionskonfiguration und die Zuordnungstabelle „Jail zu Kategorie“ finden Sie im fail2ban-Integrationsleitfaden.
Beginnen Sie mit dem kostenlosen Tarif
- Erstellen Sie ein kostenloses Konto – der Zugriff auf die Blacklist ist ab der Stufe „Contributor“ möglich, keine Kreditkarte erforderlich
- Blacklist-Dokumentation – Dienstlisten, Formate, Skript zur automatischen Aktualisierung
- fail2ban-Integration – Melde deine Sperren an die Community zurück