Um herauszufinden, wem eine IP-Adresse oder ein Domainname gehört, gibt es zwei Protokolle: das alte WHOIS und RDAP, das es ablösen soll. Beide lesen dieselben Registry-Datenbanken; der Unterschied liegt darin, wie die Daten bei Ihnen ankommen. Dieser Leitfaden zeigt die Abfrage, das Lesen des Eintrags und die Stellen, an denen Einträge regelmäßig falsch verstanden werden.
Zwei Protokolle, ein Datenbestand
| WHOIS | RDAP | |
|---|---|---|
| Transport | 43/TCP, Klartext | HTTPS, JSON |
| Format | Freitext, bei jeder Registry anders | Standardisierte Feldnamen |
| Zeichenkodierung | Undefiniert | UTF-8, festgelegt |
| Verweis auf den zuständigen Server | Von Hand verfolgt | Teil des Protokolls |
| Zugriffssteuerung | Limits pro IP | Limits pro IP, einzelne Felder mit Authentifizierung |
Daraus folgt: Jede neue Integration gehört auf RDAP, WHOIS bleibt Rückfallebene für Endungen, die nichts anderes anbieten.
Die Abfrage ausführen
Der kürzeste Weg auf der Kommandozeile:
Verlassen Sie sich im Produktivbetrieb nicht auf einen Redirector. Die IANA veröffentlicht Bootstrap-Dateien, die festhalten, welcher Bereich zu welcher Registry gehört; ein Client, der diese Datei täglich lädt und cacht, spart eine Abhängigkeit und spricht direkt mit dem zuständigen Server.
Den Eintrag Feld für Feld lesen
Diese Felder eines IP-Eintrags sind die interessanten:
- inetnum / handle / startAddress–endAddress — der genaue Bereich der Zuteilung. Daran erkennen Sie, in welchem Block Ihre Adresse liegt, und damit, ob ein Problem einen Host oder einen ganzen Block betrifft.
- netname — der interne Name des Betreibers für den Block. Oft verrät er den Kunden oder die Art des Dienstes.
- org / organization — die Organisation, die den Block hält.
- country — das registrierte Land der Organisation. Keine Ortsangabe; dazu gleich mehr.
- status — Art der Zuteilung: direkte Allokation oder ein an einen Kunden vergebener Untereintrag.
- abuse-c / abuse mailbox — wohin Beschwerden gehen. In der Praxis das wertvollste Feld des Eintrags.
- last-modified / events — wie aktuell der Eintrag ist. Jahrelang unberührt heißt oft, dass der Block den Besitzer gewechselt haben könnte.
Eine Adresse kann in mehreren Einträgen auftauchen: oben die breite Zuteilung der Registry an den Betreiber, darunter dessen engere Zuweisung an den Kunden. Maßgeblich ist immer der spezifischste Eintrag — für die Inhaberschaft wie für die Abuse-Adresse.
Das Länderfeld ist keine Ortsangabe
Das ist das häufigste Missverständnis. country: nennt das registrierte Land der Organisation, der der Block zugeteilt wurde. Ein an eine niederländische Firma zugeteilter Block kann vollständig in Brasilien laufen — im Eintrag steht trotzdem „NL“. Wo eine Adresse physisch genutzt wird, ist eine eigene Schätzung mit eigener Fehlerquote; Wie genau ist IP-Geolokalisierung geht darauf ein.
Domainabfragen: Registry, Registrar und geschwärzte Felder
Domains haben zwei Ebenen: die Registry, die die Endung betreibt, und den Registrar, der den Namen verkauft hat. Die autoritative Antwort liegt bei der Registry, ausführliche Kontaktdaten meist beim Registrar. Seit 2018 werden Daten natürlicher Personen standardmäßig geschwärzt und durch ein Kontaktformular oder eine Ersatzadresse ersetzt. Bei gewerblichen Registrierungen sind die Felder oft weiterhin gefüllt.
Dazu kommen Ausnahmen je Endung: Manche nationalen Registries bestehen auf ihrer eigenen Abfrageoberfläche und liefern gar keine Standard-WHOIS-Antwort. Der IP-DB-WHOIS-Dienst nimmt diese Unterschiede ab, holt den Eintrag von der zuständigen Quelle — auch bei Endungen wie .tr — und zeigt ihn in einer einheitlichen Form.
Die richtige Abuse-Adresse finden
Wer einen Angriff meldet, schreibt an die Abuse-Adresse, nicht an den administrativen oder technischen Kontakt: Sie hängt an einem Ticketsystem und ist auf automatisierte Meldungen eingerichtet. Ist ein Netz an einen Kunden delegiert, gilt die Abuse-Adresse des spezifischsten Eintrags, nicht die des übergeordneten Blocks. Wie die Meldung selbst aussehen sollte, steht in eine missbräuchliche IP melden; ein IP-DB-Profil zieht diese Adresse ohnehin aus dem RDAP-Eintrag und zeigt sie an.
Grenzen bei Massenabfragen
Registries begrenzen Abfragen pro IP und sperren Überschreitungen zeitweise — kein theoretisches Risiko, sondern Alltag. Drei Regeln retten den Job: Ergebnisse cachen (Einträge ändern sich monatlich, nicht stündlich), denselben Block nicht wiederholt abfragen, Anfragen zeitlich strecken. Nach einer Sperre erst den auslösenden Job stoppen, dann bei der Registry um Freischaltung bitten.
Der praktische Weg für Massenarbeit ist, aus einer gecachten Quelle zu lesen, statt die Abfragen in der eigenen Infrastruktur zu wiederholen: Die API liefert Registry-Daten, Abuse-Kontakt und Reputationsverlauf einer Adresse in einer Antwort, und die Sammelprüfung verarbeitet eine ganze Liste auf einmal.
Häufige Fragen
Was unterscheidet WHOIS von RDAP?
Beide lesen dieselben Einträge; der Unterschied liegt in Format und Zugang. WHOIS liefert auf Port 43 Freitext: Jede Registry sieht anders aus, das Parsen ist fragil. RDAP liefert JSON über HTTPS, die Feldnamen sind standardisiert, die Zeichenkodierung ist definiert und die Weiterleitung an den zuständigen Server gehört zum Protokoll. Für neue Integrationen ist RDAP die Grundlage, WHOIS nur noch Rückfallebene für Endungen ohne RDAP.
Woher weiß ich, an welchen RDAP-Server meine Abfrage geht?
Die IANA veröffentlicht Bootstrap-Dateien, die festhalten, welcher IP-Bereich, welches ASN und welche Domain-Endung zu welchem Server gehören. Ihr Client wählt daraus den richtigen Server. Für Handversuche leistet ein Redirector wie rdap.org dasselbe; im Produktivbetrieb sollten Sie die Bootstrap-Datei besser selbst cachen.
Ist das Länderfeld im Eintrag eine Ortsangabe?
Nein. Es nennt das registrierte Land der Organisation, der der Block zugeteilt wurde, nicht den Ort, an dem die Adresse physisch genutzt wird. Ein an eine niederländische Firma zugeteilter Block kann vollständig in Brasilien im Einsatz sein. Für eine Ortsschätzung braucht es andere Daten — mit eigener Fehlerquote.
Warum stehen bei Domainabfragen keine persönlichen Daten mehr?
Seit 2018 verbergen Registrare die Daten natürlicher Personen standardmäßig und veröffentlichen stattdessen ein Kontaktformular oder eine Ersatzadresse. Bei gewerblichen Registrierungen bleiben die Angaben oft sichtbar. An die Person hinter einem geschwärzten Eintrag kommt man nur auf rechtlichem Weg.
Warum werden meine Abfragen nach einiger Zeit abgewiesen?
Registries begrenzen Abfragen pro IP und sperren Adressen, die darüber liegen, vorübergehend. Bei Massenläufen heißt das: Ergebnisse cachen, denselben Eintrag nicht wiederholt abfragen und Anfragen zeitlich strecken. Nach einer Sperre muss man den auslösenden Job stoppen und bei der Registry um Freischaltung bitten.
An welche Adresse gehört eine Missbrauchsmeldung?
An die Abuse-Adresse des Eintrags, nicht an den administrativen oder technischen Kontakt. Diese Adresse hängt an einem Ticketsystem und ist für automatisierte Meldungen eingerichtet. Ist das Netz an einen Kunden weitergereicht, zählt die Abuse-Adresse des spezifischsten Eintrags, nicht die des übergeordneten Blocks.
Die Grundlagen stehen in Was ist eine IP-Adresse, Listung und Entfernung im Delisting-Leitfaden.
Kommentare 0
Teile eine Frage, Erfahrung oder Korrektur — registriert oder anonym.
Noch keine Kommentare. Schreib den ersten.