Wie IP-Reputationswerte entstehen: Signale, Gewichte und Bänder

Der Reputationswert von 0 bis 100 neben einer IP-Adresse ist keine einzelne Messung, sondern die gewichtete Summe voneinander unabhängiger Signale. Wer weiß, wie er zustande kommt, gewichtet ihn in eigenen Entscheidungen richtig.

Welche Signale einfließen

Auf IP-DB.com ist der Wert die Summe aus fünf Komponenten mit jeweils eigener Obergrenze; die Summe ist auf 100 begrenzt:

• Threat-Feeds (bis zu 90 Punkte) — in wie vielen unabhängigen Blocklisten die Adresse steht, gewichtet nach der Verlässlichkeit jeder Liste. Entscheidend ist die Bestätigung: Eine zweite unabhängige Quelle bringt fast so viel wie die erste, eine Liste, die nur andere weiterveröffentlicht (Aggregator), zählt ihr Gewicht nur einmal, und mehrere Listen desselben Betreibers gelten als eine Stimme. Feeds allein erreichen die 100 nicht — dafür braucht es eine zweite Art von Beleg.
• Community-Meldungen (bis zu 35 Punkte) — zehn Punkte je verschiedenem Melder, drei für jede weitere Meldung derselben Person.
• DNSBL-Einträge (bis zu 20 Punkte) — zehn Punkte für jede Mail-Blacklist, die die Adresse bei der Abfrage führt.
• Kürzlich aufgehobene Listung (bis zu 35 Punkte) — hat eine Adresse gerade alle Feeds verlassen, die Hälfte des Werts beim Austritt, über 60 Tage auf null fallend. Gilt nie, solange die Adresse noch gelistet ist, damit derselbe Beleg nicht doppelt zählt.
• /24-Nachbarschaft (bis zu 20 Punkte) — null, bis 2 % des umgebenden Blocks gelistet sind, danach 0.4 Punkte je Prozent. Nachbarn allein heben eine Adresse nie über „niedrig“.

Zwei weitere Signale stehen neben dem Wert, fließen aber bewusst nicht ein: der Netztyp (Privatanschluss, Hosting, VPN, Tor) — ein VPN ist kein Missbrauch — und Spamhaus ASN-DROP, eine Aussage über den Betreiber des Netzes, nicht über die Adresse.

Warum „wie viele Quellen" wichtiger ist als „wie viele Einträge"

Das ist der entscheidende Teil der Formel: Unabhängige Quellen, die sich gegenseitig bestätigen, sind ein stärkerer Beleg als viele Einträge aus einer einzigen Quelle. Fünfzig Meldungen desselben Feeds sind nicht dasselbe wie je eine Meldung aus fünfzig Feeds. Für Community-Meldungen gilt dasselbe: Zehn verschiedene Nutzer wiegen weit mehr als zehn Meldungen eines Nutzers. Diese Struktur macht es zugleich schwer, den Wert durch Manipulation einer einzelnen Quelle hochzutreiben.

Die Bänder und ihre Bedeutung

• 0–9 — sauber: kein Eintrag in einem Feed. Wie normalen Verkehr behandeln.
• 10–39 — niedrig: ein schwaches oder einzelnes Signal. Protokollieren, nicht blockieren.
• 40–74 — verdächtig: mehrere Signale überschneiden sich. Das Band für zusätzliche Verifizierung, Rate-Limits oder manuelle Prüfung.
• 75–100 — kritisch: starke, sich gegenseitig bestätigende Belege. Hier liegt die sinnvolle Schwelle für automatische Sperren.

Den Wert in Entscheidungen übersetzen

Statt einer einzigen Schwelle sollten Sie abgestuft reagieren: im niedrigen Band nur protokollieren, im mittleren Reibung hinzufügen (zusätzliche Verifizierung, Verzögerung, Rate-Limit), im hohen blockieren. Je schwerer eine Entscheidung rückgängig zu machen ist — Kontosperrung, Zahlungsablehnung —, desto höher die Schwelle, und desto stärker sollten Kontohistorie, Gerätedaten und Transaktionshöhe mitgewogen werden.

Wann ein hoher Wert in die Irre führt

• Shared Hosting und CGNAT — hinter einer Adresse können Hunderte legitimer Nutzer stehen.
• Recycelte Blöcke — ein weitergereichter Block trägt die Vorgeschichte des früheren Inhabers noch eine Weile mit.
• Alte Einträge — ein Vorfall von vor zwei Jahren wiegt nicht wie der von gestern; achten Sie auf das Datum der letzten Sichtung.
• Kategorie passt nicht — eine wegen Spam gelistete Adresse ist für Ihre Webanwendung nicht zwangsläufig ein Risiko.

Lesen Sie deshalb immer auch die Aufschlüsselung: IP-DB.com zeigt getrennt an, welche Feeds angeschlagen haben, wie viele verschiedene Nutzer gemeldet haben, in welchen Kategorien und wann die Einträge zuletzt gesehen wurden.

Warum verschiedene Dienste verschieden bewerten

Jeder Anbieter nutzt andere Feeds, gewichtet anders und arbeitet mit anderen Zeitfenstern. Wenn zwei Dienste für dieselbe Adresse 40 und 80 melden, ist das kein Widerspruch, sondern dieselbe Evidenz in anderer Kalibrierung. Nehmen Sie beim Festlegen eigener Schwellen die Zahl eines Anbieters nicht als absolute Wahrheit, sondern messen Sie, welches Band in Ihrem Verkehr welches Ergebnis liefert.

Programmatischer Zugriff

Wert und Komponenten liefert auch die API, sodass Sie Ihre Schwellen in der eigenen Anwendung umsetzen und Entscheidungen zusammen mit der Feed- und Meldungsaufschlüsselung protokollieren können. Für viele Adressen auf einmal eignet sich die Sammelabfrage.