Eine IP-Adresse untersuchen: 3 echte IPs, 3 Urteile

Am 19. Oktober 2026 um 05:34 UTC haben wir drei Adressen durch dieselbe Pipeline geschickt und drei verschiedene Urteile erhalten. Ein Mullvad-VPN-Exit erhielt 100, block. Eine verifizierte AhrefsBot-Adresse erhielt 59, step_up, weil Spamhaus sie listet. Ein DigitalOcean-Server erhielt 12, allow. Elf Tage zuvor hatte dieselbe AhrefsBot-Adresse 23 erhalten, allow.

Im Folgenden finden Sie die zwölf Prüfungen in ihrer Reihenfolge, das jeweils zu lesende Feld, die Schwellenwerte, nach denen wir handeln, wohin Sie Missbrauch melden und die rechtliche Grenze jeder IP-Untersuchung.

Eine IP-Adresse untersuchen: drei Adressen, drei Urteile

Dieselben zwölf Fragen schickten drei Adressen zu drei verschiedenen Maßnahmen, und in jedem Fall gab ein Signal den Ausschlag. Es sind schlüssellose Abfragen über unsere API, zu den angegebenen Zeiten gespeichert, Werte unbearbeitet:

Unsere Bänder sind: allow bis 25, review bis 50, step_up bis 75 und block über 75. Die Reihenfolge der Prüfungen lautet: routbar, Eigentümer, Netzwerktyp, Hostname, Anonymisierer, Crawler oder Scanner, Sperrlisten, Score, Entscheidung, Meldung, Ablauf und die rechtliche Grenze.

Die mittlere Zeile ist die Lektion. Ein verifizierter Crawler kann trotzdem auf einer Sperrliste stehen, und der Crawler-Abschlag in unserem Score hielt ihn nicht bei allow.

Bevor Sie beginnen: passiv bleiben und festhalten, wo die IP auftauchte

Notieren Sie den Kontext der Warnung, bevor Sie irgendetwas nachschlagen: den Zeitstempel mit Zeitzone, den Port oder Pfad, den sie berührt hat, und was sie getan hat, etwa Prüfungen auf /wp-admin oder /.env oder eine Serie fehlgeschlagener Logins. Dieser Kontext entscheidet das Urteil ebenso sehr wie jede Abfrage.

Bleiben Sie passiv: Nutzen Sie Abfragen, Registrierungsstellen und Reputationsseiten, und scannen Sie die Adresse niemals zurück. Ein Portscan kann den Betreiber des Hosts warnen, und das Scannen eines Netzwerks ohne Erlaubnis kann gegen Gesetze oder die Bedingungen Ihres Anbieters verstoßen.

Schritt 1: Ist es eine routbare öffentliche Adresse?

Prüfen Sie, ob die Adresse Sie überhaupt über das Internet erreicht haben kann. Lesen Sie threat.is_bogon und threat.is_cgnat. Ein Bogon ist eine Adresse, die nie im öffentlichen Internet auftauchen sollte, etwa ein privater oder reservierter Bereich. Wenn eine solche als Quelle an Ihrem Internet-Edge auftaucht, sehen Sie internen Datenverkehr, einen falsch konfigurierten Proxy oder ein gefälschtes Paket, und der Rest dieser Pipeline greift nicht.

Eine Carrier-Grade-NAT-Adresse (CGNAT) ist routbar, aber geteilt. Eine einzige Mobilfunk- oder Breitbandadresse kann Hunderte von Teilnehmern gleichzeitig tragen, sodass alles, was Sie über sie entscheiden, alle davon trifft.

Alle drei unserer Adressen lieferten is_bogon false und is_cgnat false, sie gehen also weiter durch die Pipeline.

Schritt 2: Wem gehört sie? ASN und RDAP

Der Eigentümer ergibt sich aus zwei Einträgen: dem autonomen System (AS), das die Adresse ankündigt, und dem Registrierungseintrag für den Block. Lesen Sie asn.asn, asn.org und asn.rpki für die Route, dann whois.org, whois.netname, whois.registered und network.abuse_contact für die Registrierung.

Achten Sie darauf, was die Einträge nicht sagen. Nichts im Eintrag des Mullvad-Servers sagt „Mullvad“: Er nennt 31173 Services, das Unternehmen, das Mullvads Netzwerk betreibt, und whois.has_vpn_keywords ist false. DigitalOceans whois.org kam als „none“ zurück, dort trägt also die ASN die Eigentümerschaft. Hier lesen Sie, was eine ASN über das Netzwerk verrät, falls Sie den Hintergrund brauchen.

Wenn der gespeicherte Eintrag dünn ist, gehen Sie zur Quelle. Registrierungsdaten liegen bei den fünf regionalen Internet-Registrierungsstellen: ARIN, RIPE NCC, APNIC, LACNIC und AFRINIC. Die RDAP-Bootstrap-Datei der IANA sagt Ihnen, welche davon einen Bereich verwaltet. RDAP ist der strukturierte JSON-Nachfolger von WHOIS. Als wir um 05:43 UTC den RDAP-Eintrag von RIPE für 5.39.1.230 öffneten, zeigte er einen kleineren Block, 5.39.1.224/27, dessen registrierte Organisation Ahrefs Pte Ltd nennt. Unser gespeicherter Eintrag spiegelt OVHs größeren Failover-Block wider. Der spezifischste Registrierungseintrag gewinnt.

Schritt 3: Um welche Art von Netzwerk handelt es sich?

Der Netzwerktyp rahmt jedes spätere Signal ein, lesen Sie ihn also vor allen Reputationsdaten. Die Felder sind asn.asn_type, asn.user_type, asn.connection_type, detection.is_hosting und detection.is_mobile.

Alle drei sind Hosting-Adressen, und nur eine endete bei block. Hosting ist Kontext, keine Schuld: VPN-Exits, Crawler und Ihre eigenen CI-Runner leben alle in Rechenzentren. Deshalb ist eine Hosting-IP kein Beweis für Betrug. AhrefsBots user_type search_engine_spider ist der erste Hinweis darauf, dass die zweite Adresse ein Crawler ist.

Schritt 4: Was sagt ihr Hostname? Reverse DNS und FCrDNS

Reverse DNS liefert den Hostnamen, den der Eigentümer des Blocks gesetzt hat, und Forward-Confirmed Reverse DNS (FCrDNS) prüft, ob dieser Hostname wieder auf dieselbe IP auflöst. Lesen Sie network.ptr_record und network.fcrdns_valid und führen Sie die Prüfung dann selbst aus, denn ein gespeicherter PTR kann dem Live-DNS hinterherhinken. Wir haben diese Befehle am 19. Oktober 2026 um 05:42 UTC ausgeführt:

Die AhrefsBot-Adresse besteht FCrDNS live, und die Robot-Seite von Ahrefs sagt, dass die Hostnamen ihres Crawlers immer auf ahrefs.com oder ahrefs.net enden. Unsere API speichert für sie allerdings keinen PTR, weshalb später no_ptr_datacenter bei ihr anschlägt. Vertrauen Sie dem Live-Lauf mehr als dem gespeicherten Feld.

Der DigitalOcean-Server zeigt den anderen Fehlerfall. Unsere API speichert für ihn einen Hostnamen, der einem unbeteiligten Dritten gehört, fcrdns_valid ist false, und die Methode fcrdns_mismatch schlägt an. Unser eigenes dig -x lieferte überhaupt keinen PTR, der gespeicherte Name ist also veraltet. Ein solcher Widerspruch ist ein schwaches Signal: Er war eine von nur zwei Methoden, die anschlugen, und die Adresse erhielt trotzdem nur 12.

Schritt 5: Ist es ein VPN, ein Proxy, ein Tor-Exit oder ein Relay?

Dieser Schritt fragt, ob sich jemand hinter der Adresse versteckt. Lesen Sie detection.is_vpn, is_proxy, is_tor, is_relay, vpn_provider, relay_provider und last_seen.

Der Mullvad-Server wird mit vpn_confidence 95 benannt, weil er auf der Serverliste steht, die Mullvad für seine eigenen Apps veröffentlicht. So wird eine VPN-IP ihrem Anbieter zugeordnet, und das hat eine Grenze: Ein nicht gelistetes VPN kann trotzdem durch Probes erfasst werden, bleibt aber unbenannt. Für Tor vergleichen Sie die Adresse mit der Bulk-Exit-Liste des Tor Project oder lesen unseren Leitfaden, um Tor-Exit-Datenverkehr zu erkennen. Relays wie iCloud Private Relay sind keine VPNs: Sie tragen gewöhnliche Browser-Nutzer, daher deckelt unser Score eine Relay-Adresse bei 60, und sie kann nie block erreichen.

Schritt 6: Ist es ein verifizierter Crawler oder ein bekannter Scanner?

Ein verifizierter Crawler ist eine Adresse auf der veröffentlichten Bereichsliste ihres Betreibers, und ein Scanner ist Infrastruktur, die das gesamte Internet abtastet. Lesen Sie threat.crawler.verified, name, operator und verification_method, dann threat.is_scanner und threat_types.

AhrefsBot passte zu den von Ahrefs veröffentlichten Bereichen, sein Betreiber steht also fest. Alles, dessen User-Agent behauptet, Googlebot zu sein, verdient dieselbe Behandlung: Verifizieren Sie eine IP, die sich als Googlebot ausgibt, bevor Sie ihr vertrauen. Das Gesamtbild finden Sie unter Bots anhand der IP-Adresse erkennen.

Die vierte Zeile ist ein Censys-Scanner in Ann Arbor, abgefragt um 05:34 UTC. Er lieferte is_scanner true, einen Score von 0, allow und eine leere Liste detection_methods. Das Scanner-Flag bewegt unseren Score nicht, lesen Sie es also direkt.

Schritt 7: Steht sie auf Sperrlisten, und seit wann?

Sperrlisten halten fest, dass von einer Adresse Missbrauch beobachtet wurde, und ihr Datum zählt mehr als ihr bloßes Vorhandensein. Lesen Sie threat.is_abusive, is_spammer, is_botnet und dnsbl_sources.

Prüfen Sie dann passiv die externen Quellen:

• Spamhaus. ZEN bündelt die kostenlosen IP-Sperrlisten von Spamhaus, und die Seite verweist für Details zu Einträgen auf den IP- und Domain-Reputationschecker von Spamhaus.
• AbuseIPDB. AbuseIPDB zeigt von Nutzern eingereichte Missbrauchsmeldungen. Lesen Sie den Konfidenzwert und die Daten der jüngsten Meldungen, nicht die Gesamtzahl.
• VirusTotal. VirusTotal zeigt, wie viele Sicherheitsanbieter die Adresse markieren, und alle damit verbundenen Dateien oder URLs.
• Shodan und Censys. Shodan und Censys zeigen, was ihre Scans bereits auf dem Host gefunden haben, sodass Sie offene Dienste sehen, ohne ihn zu berühren.

Aktualität schlägt Vorhandensein. Ein Eintrag aus der letzten Woche zählt, und ein sauberes Ergebnis von vor sechs Monaten sagt Ihnen fast nichts über heute.

Schritt 8: Den Score und die angeschlagenen Methoden lesen

Der Score ist eine datierte Zusammenfassung von allem oben Genannten, und scoring.detection_methods sagt Ihnen, warum er dort gelandet ist, wo er liegt. Dies ist die AhrefsBot-Abfrage, gekürzt auf die Gruppen, die dieses Playbook verwendet, Werte unbearbeitet:

Die Methoden für alle drei Adressen:

verified_crawler ist ein entlastendes Signal, das in unserer Bewertung minus 28,5 wert ist (minus 30 bei einer Konfidenz von 0,95), und es reichte trotzdem nicht aus, um zwei Sperrlisten-Methoden und einen Spam-Eintrag auszugleichen. Reputation ist Geschichte, und der Score ist eine Momentaufnahme davon; hier lesen Sie, wie IP-Reputation entsteht.

Schritt 9: Entscheiden, ob Sie die IP, das Präfix oder die ASN sperren

Ordnen Sie das Score-Band einer Maßnahme zu und wählen Sie dann, wie weit die Maßnahme reicht. Nach diesen Urteilen würden wir handeln:

Der Geltungsbereich zählt ebenso wie die Maßnahme. Sperren Sie bei einem Einzelfall eine IPv4-Adresse. Bei IPv6 sperren Sie ein IPv6-/64 statt einer einzelnen Adresse, weil ein Kunde in der Regel das ganze /64 kontrolliert. Sperren Sie eine ganze ASN nur bei Hosting-Netzwerken, aus denen Ihre echten Nutzer nie kommen, und niemals bei einem Mobilfunkanbieter oder einem CGNAT-Bereich.

Bevorzugen Sie Ratenbegrenzungen und Challenges gegenüber harten Sperren: Eine Sperre trifft auch denjenigen, der die Adresse nächste Woche innehat. Sperren automatisch aus Ihren Logs abzuleiten, etwa mit fail2ban, ist ein eigenes Thema. Welches Signal welchen Angriff stoppt, lesen Sie unter welches IP-Signal welchen Angriff stoppt.

Schritt 10: Eine missbräuchliche IP an den Abuse-Kontakt ihres Netzwerks melden

Senden Sie Missbrauchsmeldungen an die Adresse in network.abuse_contact, die aus dem Registrierungseintrag stammt:

Senden Sie Belege, keine Adjektive: Zeitstempel mit Zeitzone, die Logzeilen, den Zielhost und -port und was der Datenverkehr getan hat. Melden Sie es auch bei AbuseIPDB, damit andere Verteidiger es sehen.

Schritt 11: Wie lange hält ein IP-Urteil?

Ein Urteil hält Tage, nicht Monate, und wir haben zugesehen, wie sich eines änderte. Am 8. Oktober 2026 haben wir 5.39.1.230 für einen Beitrag über Web-Scraping abgefragt. Sie lieferte crawler.verified true, is_abusive true, einen Score von 23 und allow, mit den Methoden abusive_listed, datacenter_blocklisted, no_ptr_datacenter und verified_crawler.

Am 19. Oktober 2026 um 05:34:32 UTC lieferte dieselbe Adresse 59 und step_up. Derselbe Crawler, derselbe verifizierte Bereich, derselbe Betreiber. Was sich bei den Methoden änderte, war known_spammer, das zur Liste hinzukam, und die heutige Abfrage zeigt is_spammer true mit zen.spamhaus.org in dnsbl_sources. Diese beiden Felder hatten wir am 8. Oktober nicht festgehalten, wir wissen also, dass der Spam-Eintrag für den Score neu ist, aber nicht, an welchem Tag Spamhaus ihn hinzugefügt hat. Der Abschlag für verifizierte Crawler griff weiterhin, und er reichte nicht. Elf Tage verschoben die Adresse über zwei Bänder hinweg.

Unsere Threat-Feeds und Crawler-Bereichsdateien werden beide täglich aktualisiert, ein Urteil kann sich also über Nacht ändern. Die Regel: Speichern Sie bei jedem Urteil das Datum, und führen Sie die Abfrage erneut aus, bevor Sie auf ein Urteil hin handeln, das älter ist als Ihr Feed-Zyklus. Ein Flag ist kein Urteil, und ein Urteil läuft ab.

Schritt 12: Kann man die Person hinter einer IP-Adresse finden?

Nein. Eine IP-Adresse führt Sie zu einem Netzwerk, nicht zu einer Person: Nur der ISP oder Host kann eine Adresse und einen Zeitpunkt einem Anschlussinhaber zuordnen, und er gibt das im Rahmen eines rechtlichen Verfahrens wie eines Gerichtsbeschlusses heraus, nicht an Sie oder an uns.

Untersuchen Sie Adressen, die Ihre eigenen Systeme berührt haben, hören Sie beim Netzwerk auf, und versuchen Sie nicht, jemanden zu enttarnen oder zu scannen. Auch die Geolokalisierung ist nur ungefähr: Unsere drei Abfragen verorteten die Adressen in Frankfurt, Paris und North Bergen, was ein Rechenzentrum auf Stadtebene lokalisiert, niemals eine Straßenadresse.

Dieselbe Pipeline bei Ihrer nächsten Warnung anwenden

Nehmen Sie die nächste Adresse aus Ihrer Warnungs-Queue und schicken Sie sie durch dieselbe Abfrage, mit dem Kontext der Warnung daneben. Um die zwölf Prüfungen zu automatisieren, beginnen Sie mit der Dokumentation der Lookup-API.

Abfragen ohne Schlüssel sind auf 30 pro Minute begrenzt, und die Grenze ist strikt: Schon die 30. Anfrage innerhalb einer Minute liefert eine 429 und sperrt die aufrufende IP für zwei Stunden. Verwenden Sie für Skripte einen kostenlosen Schlüssel: Er bietet 1.500 Abfragen pro Tag mit allen Feldern. Abfragen in großem Umfang in ein SIEM einzuspeisen, ist der nächste Schritt für eine volle Queue.

Häufig gestellte Fragen

Wie untersucht man eine verdächtige IP-Adresse?

Passiv und in fester Reihenfolge. Bestätigen Sie, dass es eine routbare öffentliche Adresse ist, ermitteln Sie, wem sie gehört und um welche Art von Netzwerk es sich handelt, prüfen Sie Hostnamen, Anonymisierer- und Crawler-Flags, lesen Sie Sperrlisteneinträge und deren Datum, handeln Sie dann anhand eines Scores und notieren Sie das Datum.

Wie kann ich prüfen, ob eine IP-Adresse bösartig ist?

Keine einzelne Prüfung beweist es. Suchen Sie nach aktuellen Einträgen, etwa bei Spamhaus, nach jüngsten Missbrauchsmeldungen bei AbuseIPDB und nach Anonymisierer-Flags, und wägen Sie diese gegen das ab, was die Adresse auf Ihren eigenen Systemen getan hat. Ein Flag bedeutet, dass von der Adresse Missbrauch beobachtet wurde, nicht, dass diese Anfrage Missbrauch ist.

Kann man die Person hinter einer IP-Adresse finden?

Nicht auf eigene Faust. Eine IP führt zu einem Netzwerkbetreiber, und nur dieser kann eine Adresse und einen Zeitpunkt einem Anschlussinhaber zuordnen, was er im Rahmen eines rechtlichen Verfahrens offenlegt, nicht Ihnen gegenüber. Melden Sie Missbrauch stattdessen an den Abuse-Kontakt des Netzwerks.

Sollte ich die IP, das Präfix oder die ganze ASN sperren?

Sperren Sie bei einem Einzelfall eine IPv4-Adresse, bei IPv6 ein /64 statt einer einzelnen Adresse, und eine ganze ASN nur bei Hosting-Netzwerken, aus denen Ihre echten Nutzer nie kommen. Vermeiden Sie Sperren von Mobilfunk- oder CGNAT-Bereichen, weil eine Adresse viele Nutzer tragen kann.

Kann man einen verifizierten Crawler immer bedenkenlos zulassen?

Nein. AhrefsBots 5.39.1.230 passte am 19. Oktober 2026 zu den von Ahrefs veröffentlichten Bereichen, stand aber auch auf Spamhaus ZEN und erhielt einen Score von 59, step_up. Die Verifizierung sagt Ihnen, wer die Adresse betreibt, nicht, dass ihr Bereich sauber ist.

Wie lange bleibt das Ergebnis einer IP-Untersuchung gültig?

Tage, nicht Monate. Dieselbe AhrefsBot-Adresse erhielt am 8. Oktober 2026 einen Score von 23, allow, und am 19. Oktober 59, step_up. Führen Sie die Abfrage erneut aus, bevor Sie auf ein altes Urteil hin handeln, und speichern Sie bei jedem Urteil das Datum.