_{In einer anderen Sprache lesen: English · 简体中文 · 繁體中文 · 日本語 · 한국어 · Русский · Українська · Deutsch · Français · Español · Português (Brasil) · Italiano · Nederlands · Polski · Čeština · Slovenčina · Magyar · Română · Български · Srpski · Hrvatski · Ελληνικά · Türkçe · Azərbaycanca · Қазақша · Oʻzbekcha · فارسی · العربية · עברית · हिन्दी · বাংলা · اردو · தமிழ் · తెలుగు · मराठी · മലയാളം · ไทย · Tiếng Việt · Bahasa Indonesia · Bahasa Melayu · Filipino · မြန်မာ · Kiswahili · Svenska · Dansk · Norsk · Suomi · ქართული · Հայերեն · नेपाली}

IP-Betrugsdatenbank, alle 30 Minuten neu gebaut

1.651.503 bestätigt bösartige IP-Adressen und 546 stark auffällige Netze. Jede Adresse bewertet, kategorisiert und mindestens zweimal unabhängig bestätigt.

_{MIT-Lizenz · keine Anmeldung, kein API-Schlüssel, kein Limit · aktualisiert am 03.11.2026}

Das ist die offene IP-Betrugsdatenbank hinter ffraud.com. Jede Adresse darin wurde beim Angriff beobachtet, mindestens zweimal unabhängig bestätigt, von 0 bis 100 bewertet und damit beschriftet, wobei sie erwischt wurde und auf welcher Infrastruktur sie läuft. Angreifer wechseln ihre Infrastruktur ständig, deshalb ist eine Sperrliste nur so viel wert wie ihre letzte Aktualisierung: diese hier wird alle 30 Minuten direkt aus der laufenden Engine neu gebaut. Was Sie herunterladen, greift das Internet gerade jetzt an. Keine Anmeldung, kein API-Schlüssel, kein Limit. Rein damit in eine Firewall, eine WAF, ein Anmeldeformular oder eine Betrugsprüfung.

Die wichtigsten Zahlen

• 1.651.503 bestätigt bösartige IP-Adressen, jede mindestens zweimal unabhängig beim Missbrauch beobachtet
• 546 Netze, in denen die von uns beobachteten Adressen überwiegend bösartig und proxylastig waren
• 224.884 Wegwerf-E-Mail-Domains liegen ebenfalls in diesem Repository, ein Klon deckt also beide Hälften einer Anmeldeprüfung ab
• Jede Adresse trägt einen Score von 0 bis 100, eine Bedrohungskategorie und den Infrastrukturtyp, soweit erkennbar
• Wird alle 30 Minuten neu gebaut und hochgeladen. Die Commit-Historie ist das Änderungsprotokoll, und metadata.json trägt die genaue Bauzeit
• MIT-Lizenz, kommerzielle Nutzung eingeschlossen, keine Namensnennung nötig
• Schlichtes CSV und TXT. Kein Archiv zum Entpacken, kein Schema zum Lernen, keine Bibliothek zum Installieren

Die Dateien oder die API?

Dieses Repository ist der bestätigte Kern von FFraud: die Adressen, die wir mindestens zweimal beim Angreifen erwischt haben, jeweils mit Score, einer Kategorie und dem Infrastrukturtyp. Es ist dafür gemacht, bekannte Angreifer in großen Mengen zu blocken. Die kostenlose API antwortet für jede Adresse und weiß deutlich mehr:

	Dieses Repository	Die API
Adressen	Nur bestätigte Angreifer	Jede Adresse, auch solche, die erst einmal bestätigt wurden
VPN, Proxy, Tor, Rechenzentrum	Nur für gelistete Angreifer	Für jede Adresse
Wann sie aktiv war	Keine Daten	Zuerst gesehen, zuletzt gesehen, aktueller Missbrauch
Warum sie markiert ist	Die schlimmste Kategorie	Jedes Bedrohungs-Tag und eine ausformulierte Begründung
Netzwerk-Kontext	Nicht enthalten	Die /24-Nachbarschaft, ASN, Betreiber, WHOIS-Abuse-Kontakt, Standort

Bewusst nie veröffentlicht

• Wer eine Adresse gemeldet hat und welche Belege mitkamen: Meldungen erreichen uns vertraulich.
• Adressen, die erst einmal bestätigt wurden: Eine Meldung ist eine Behauptung, kein Beweis. Die API berücksichtigt sie bereits; diese Liste wartet auf eine zweite, unabhängige Bestätigung.
• Wo unsere Sensoren stehen: Ein Honeypot funktioniert nur, solange Angreifer nicht wissen, dass er einer ist.
• Welche Internetanbieter infizierte Kunden haben: Eine solche Rangliste wäre eine Zielliste für Kriminelle. Die Netzwerk-Datei nennt nur kleine Netze, in denen fast jede beobachtete Adresse missbräuchlich war.

Nutze dieses Repository, um bekannte Angreifer zu blocken. Nutze die API, um über einen bestimmten Besucher zu entscheiden. Beides ist kostenlos.

Was drin ist

Datei	Zeilen	Was es ist
threat-ips/confirmed-abusive.csv	1.651.503	Bösartige Adressen, jede mindestens zweimal bestätigt, mit unserem Score von 0 bis 100, der Bedrohungskategorie (c2, Malware, Botnet, Brute Force, Web-Angriff, Scanner, Phishing, Spam) und dem Infrastrukturtyp (proxy, vpn, tor, datacenter, mobile), soweit bekannt
asn-reputation/high-abuse-networks.csv	546	Netze, deren beobachtete Adressen überwiegend bösartig und proxylastig waren: die Signatur von kugelsicherem Hosting
disposable-email-domains.txt	224.884	Wegwerf- und Temporär-E-Mail-Domains, eine pro Zeile
ip-intelligence/examples.json	Beispiel	Vollständige Auskunft pro Adresse: der Score, eine Begründung in Klartext und jede angehängte Kategorie
metadata.json	—	Aktuelle Zählerstände und die UTC-Bauzeit, damit ein Skript erkennt, wie frisch seine Kopie ist

Was jede Zeile aussagt

ip,ffraud_score,confirmations,category,type
80.82.77.33,95,40,c2,proxy
2.57.121.25,95,36,c2,proxy
193.46.255.86,95,33,c2,proxy

Feld	Was es aussagt
ip	Die Adresse. IPv4 und IPv6 kommen beide vor
ffraud_score	Unser eigener Betrugs-Score von 0 bis 100. Alles hier Veröffentlichte liegt bei 50 oder darüber
confirmations	Wie oft wir den Missbrauch unabhängig beobachtet haben. Unter 2 wird nichts gelistet; die schlimmsten Adressen tragen 30 bis 40
category	Wobei sie erwischt wurde: c2, malware, botnet, brute_force, web_attack, scanner, phishing, spam oder abuse
type	Die dahinterliegende Infrastruktur, soweit sichtbar: proxy, vpn, tor, datacenter, mobile. Leer, wenn wir es nicht erkennen können

Schnellstart

# Bestätigt bösartige IPs, mit Kategorie und Typ
curl -s https://raw.githubusercontent.com/FFraud-com/ip-fraud-database/main/threat-ips/confirmed-abusive.csv

# Die schlimmsten Netze
curl -s https://raw.githubusercontent.com/FFraud-com/ip-fraud-database/main/asn-reputation/high-abuse-networks.csv

# Wegwerf-E-Mail-Domains
curl -s https://raw.githubusercontent.com/FFraud-com/ip-fraud-database/main/disposable-email-domains.txt

Jede Datei ist reiner Text mit einer Kopfzeile und ein paar führenden #-Kommentaren. Direkt weiterleiten an ipset, iptables, eine WAF-Regel oder ein Set in der Sprache, die Sie ohnehin benutzen.

Eine einzelne Adresse prüfen, ohne etwas herunterzuladen

Sie müssen nicht die ganze Datenbank ziehen, um eine einzelne Sache zu prüfen. Die öffentliche API braucht keinen Schlüssel, hat kein Tageslimit und beantwortet einzeln dieselben Fragen wie dieses Repository in der Masse:

# Vollständige Auskunft zu einer IP: Score, Begründung, Kategorien
curl -s https://api.ffraud.com/public/ip/80.82.77.33

# Ist diese Adresse eine Wegwerfadresse?
curl -s -X POST https://api.ffraud.com/public/email/check -H 'content-type: application/json' -d '{"email":"[email protected]"}'

# Vergibt diese Domain Wegwerf-Postfächer?
curl -s https://api.ffraud.com/public/domain/mailinator.com

Für Agenten und Assistenten: ffraud.com/llms.txt ist der Maschinen-Index, ffraud.com/llms-full.txt enthält jede Doku-Seite als reines Markdown, und ffraud.com/openapi.json ist die OpenAPI-Spezifikation. Alle drei sind öffentlich, brauchen keinen Schlüssel und sind zum direkten Abruf gedacht. Wer lieber eine Seite benutzt, findet die kostenlosen Prüfwerkzeuge unter ffraud.com/tools.

Wie die Datenbank entsteht

Zwei Dinge bauen sie: unser eigenes Honeypot-Sensornetz, das ununterbrochen angegriffen wird und aufzeichnet, was es angreift, und Meldungen von den Leuten, deren Server getroffen werden. Nichts wird auf fremdes Wort hin weiterveröffentlicht. Jede Adresse wird von der ffraud-Engine bewertet und geprüft, bevor sie hier auftaucht.

Die Hürde für die Aufnahme sind mindestens zwei unabhängige Bestätigungen, denn eine einzelne Sichtung ist Rauschen. Genau diese Regel macht die Liste kleiner als eine ungefilterte Sammlung und wertvoller: Sie enthält die Adressen, die wirklich angegriffen haben, nicht alles, was jemand einmal markiert hat.

Der Score, die Kategorie und der Infrastrukturtyp sind unsere eigenen Schlussfolgerungen, vollständig veröffentlicht, damit Sie ihnen widersprechen können. Das genaue Bewertungsverfahren steht unter ffraud.com/docs/methodology.

Fragen

Wie oft wird wirklich aktualisiert?

Alle 30 Minuten, neu gebaut aus der laufenden Engine und hierher hochgeladen. Kein nächtlicher Abzug. Die Commit-Liste dieses Repositorys ist der ehrliche Nachweis, und metadata.json enthält die genaue UTC-Bauzeit Ihrer Kopie.

Darf ich das in einem kommerziellen Produkt einsetzen?

Ja. MIT, keine Namensnennung nötig, keine getrennte kommerzielle Lizenz, keine Platzzählung, niemand zu fragen. Wenn es Ihnen Geld spart, hören wir gern davon, schulden tun Sie uns nichts.

Warum steht meine Adresse auf der Liste?

Weil sie mindestens zweimal beim Angriff beobachtet wurde. Schlagen Sie sie auf ffraud.com nach, um Score, Kategorien und die Begründung in Klartext zu sehen. Wenn das falsch ist oder die Maschine bereinigt wurde, sagen Sie uns unter ffraud.com/report Bescheid, dann wird sie im nächsten Build erneut geprüft.

Worin unterscheidet sich das von den großen kostenpflichtigen Anbietern?

Es ist kostenlos, MIT-lizenziert, braucht keinen Schlüssel, hat kein Limit, und du kannst genau nachlesen, warum jede Adresse gelistet ist. Außerdem kannst du jede bestätigte Adresse in einer einzigen Datei herunterladen, was die meisten kostenpflichtigen Produkte zu keinem Preis erlauben.

Gibt es eine API für Einzelabfragen?

Ja, und sie braucht keinen Schlüssel. Siehe den Abschnitt oben oder die Doku unter ffraud.com/docs.

Mitbauen

Diese Datenbank wächst mit den Leuten, die sie benutzen. Wer Server, fail2ban, eine WAF oder eigene Honeypots betreibt, schickt uns, was ihn angreift, und wir veröffentlichen es: melden unter ffraud.com/report, fail2ban auf den fertigen Endpunkt zeigen lassen oder hier ein Issue öffnen. Wir prüfen, entdoppeln und bewerten jede Einsendung; bestätigte gehen im nächsten Build mit, also innerhalb einer halben Stunde, auf Wunsch mit Namensnennung.

Ein Hinweis zur Netzliste

high-abuse-networks.csv gibt an, welcher Anteil der Adressen eines Netzes sich nach unserer Beobachtung bösartig verhalten hat. Das ist eine Messung des Verkehrs, der unsere Sensoren erreicht hat, kein rechtliches Urteil über einen Betreiber, und seriöse Hoster tauchen dort auf, wenn ihre Kunden sich danebenbenehmen. Wer ein gelistetes Netz betreibt und die Messung für falsch hält, sagt uns Bescheid, dann prüfen wir im nächsten Build erneut.

Verwandte offene Daten

• Wegwerf-E-Mail-Datenbank: unsere offene Liste von Wegwerf-, Einweg- und Temporär-E-Mail-Domains.
• ffraud.com: kostenlose IP- und E-Mail-Betrugsdaten: eine öffentliche API ohne Schlüssel, Live-Prüfwerkzeuge und all diese Daten.

Lizenz

MIT. Überall einsetzbar, auch in kommerziellen Produkten. Forken, weitergeben, ein Geschäft darauf aufbauen. Namensnennung freut uns und ist nie Pflicht.

---

_{Gebaut von [ffraud.com](https://ffraud.com). Kostenlose Betrugsdaten, für alle.}