Eine missbräuchlich genutzte IP melden — und was danach passiert

Eine IP zu sperren schützt Sie, stoppt aber den Angriff nicht — die Maschine sucht sich andere Ziele. Die Adresse beim zuständigen Netzbetreiber zu melden schaltet dagegen oft die Quelle ab, denn dahinter steckt meist ein kompromittierter Server, von dem sein Besitzer nichts ahnt.

1. Zuerst Beweise sammeln

Eine gute Meldung ist eine, bei der das Abuse-Team ohne Rückfragen handeln kann. Enthalten sein sollten:

• Die angreifende IP-Adresse und, falls relevant, Ihre Zieladresse
• Zeitstempel mit Zeitzone, am besten UTC. Der Betreiber ordnet den Vorfall über die Zeit einem Kunden zu; ohne klare Zeitzone passt nichts zusammen.
• Rohe Logzeilen — im Original, keine nacherzählte Zusammenfassung
• Protokoll und Port sowie die Art des Vorfalls (Brute Force, Scan, Exploit-Versuch, Spam)
• Ihre Kontaktdaten

Bereinigen Sie die Logs vor dem Versand von Daten Dritter, die nichts mit dem Vorfall zu tun haben.

2. Den richtigen Abuse-Kontakt finden

Zu jedem IP-Block gehört ein eingetragener Verantwortlicher. Eine RDAP-Abfrage liefert den abuse-c-Kontakt der verwaltenden Organisation — der direkteste Weg ins richtige Postfach. Hat das Unternehmen ein eigenes Missbrauchsformular, nutzen Sie dieses: Formulare werden meist schneller bearbeitet als E-Mails. Gehört die Adresse einem Cloud-Anbieter, ist die angreifende Maschine fast immer ein Server eines seiner Kunden, und Ihre Meldung wird an diesen weitergereicht. Bei IP-DB steht diese Adresse auf jedem IP-Profil in der Karte „Netzwerkinformationen“ als „Abuse-Kontakt“, sofern die Registry eine hinterlegt hat — geben Sie die Adresse einfach ins Suchfeld ein.

3. Die Meldung schreiben

Kurz, auf einen Vorfall beschränkt und maschinenlesbar. In die Betreffzeile gehören IP-Adresse und Vorfallstyp. Im Text genügen ein erklärender Satz und darunter die rohen Logzeilen. Emotionale Formulierungen, Drohungen oder Schadensersatzforderungen beschleunigen nichts — meist bremsen sie.

4. Was danach passiert

• Der Betreiber erfasst die Meldung und ordnet sie über den Zeitstempel einem Kunden zu.
• Der Kunde wird verwarnt; bei einem kompromittierten Server folgt meist Sperrung oder die Auflage zu bereinigen.
• Bei schweren oder wiederholten Fällen wird der Dienst beendet.
• Keine Antwort zu bekommen ist normal. Viele Betreiber melden sich aus Datenschutz- und Kapazitätsgründen nicht zurück — das heißt nicht, dass nichts geschehen ist.

Dauert der Angriff an, senden Sie nach einigen Tagen genau eine Erinnerung mit neuen Belegen im selben Betreff. Denselben Vorfall mehrfach an verschiedene Adressen zu schicken, bewirkt das Gegenteil.

5. Eskalationswege

Wenn der Betreiber nicht reagiert und der Angriff weiterläuft: den Upstream-Provider informieren, der den Block ankündigt, das nationale CERT/CSIRT einschalten und bei Straftaten Anzeige erstatten. Regionale Registries wie RIPE oder ARIN prüfen weder Inhalte noch Verhalten; sie kümmern sich nur um die Aktualität der Kontaktdaten.

6. Der Community melden

Zusätzlich zur Meldung beim Betreiber sorgt ein Eintrag in einer offenen Reputationsdatenbank dafür, dass auch andere Systeme auf die Adresse vorbereitet sind. Auf IP-DB.com können Sie über das Meldeformular Kategorie und Kurzbeschreibung einreichen und sehen, ob dieselbe Adresse bereits von anderen gemeldet wurde. Für viele Einträge auf einmal gibt es die Sammelmeldung.

Was Sie nicht tun sollten

Kein Gegenangriff („hack back"): Das ist strafbar, und die Quelladresse gehört fast immer zur gekaperten Maschine eines unbeteiligten Dritten. Versuchen Sie auch nicht, allein anhand der IP eine Person zu identifizieren — die Genauigkeit der Standortdaten trägt solche Schlüsse nicht.