IP-Untersuchung

Schlagen Sie eine beliebige IP-Adresse nach und erhalten Sie ein Profil auf einen Blick — Klassifizierung, Inhaber und Abuse-Kontakt, Routing/ASN, Reverse DNS, Host-Exponierung, Cloud-Zuordnung, Reputation sowie Malware- und C2-Bedrohungsdaten — live aus öffentlichen Quellen.

Warum das zählt

Taucht eine verdächtige IP in einer Meldung oder einer Log-Zeile auf, stellen sich immer dieselben Fragen: Wem gehört sie, ist das echte Infrastruktur oder ein Endnutzer, an wen richtet man eine Beschwerde — und ist der Host selbst exponiert? Die Antworten erfordern normalerweise den Wechsel zwischen whois-Tools, Registry-Websites und Scanner-Dashboards. Die IP-Untersuchung bündelt alles auf einer Seite: Eine einzige Abfrage liefert das vollständige Bild.

Was das Tool kann

Geben Sie eine IP-Adresse ein — oder fügen Sie bis zu 10 auf einmal ein, direkt aus einer Log-Zeile. Jede Adresse erhält eine eigene Karte mit:

einer Klassifizierung — öffentlich, privat, Loopback, Link-local, CGNAT oder reserviert. Nicht-öffentliche Adressen werden sofort beantwortet, ganz ohne Netzwerkabfragen.
einer Ein-Zeilen-Zusammenfassung, die Sie direkt in einer Meldung oder einem Kommentar zitieren können.
Signal-Chips, die auffällige Befunde auf einen Blick hervorheben.
Intel pro Abschnitt mit Status-Badge und Herkunftsangabe (Quelle und Alter) für jeden Abschnitt.

Ungültige Token brechen die Abfrage nicht ab — jedes erhält eine eigene Karte mit dem Urteil „ungültig“.

Was die einzelnen Abschnitte zeigen

Abschnitt	Quelle	Was Sie erfahren
Inhaber & Abuse-Kontakt	RDAP (direkt bei der Registry)	Netzname, Registrant, CIDR-Bereiche und der Abuse-Kontakt für die Eskalation
Routing / ASN	RIPEstat	Ankündigendes AS (Nummer und Betreiber) sowie das angekündigte Präfix
Reverse DNS	DNS (forward-bestätigt)	Der PTR-Hostname — nur vertrauenswürdig, wenn er auf dieselbe IP zurück auflöst
Host-Exponierung	Shodan	Offene Ports, Service-Banner, bekannte CVEs und Tags des Hosts
Cloud & CDN	Veröffentlichte IP-Bereiche der Anbieter	Ob die IP zu AWS, GCP, Cloudflare, Fastly und anderen Anbietern gehört — Hosting-Ursprung, CDN-Edge oder WAF
Geolokalisierung	RIPEstat (MaxMind GeoLite), Shodan als Fallback	Ungefähre Stadt und Land
Reputation	AbuseIPDB-Score + aus Shodan abgeleitete Kennzeichen	Abuse-Confidence-Score sowie Kennzeichen für Kompromittierung/Malware/Honeypot
Tor	Exit-Liste des Tor Project	Ob die IP ein bekanntes Tor-Exit-Relay ist
Bedrohungsdaten	abuse.ch — URLhaus + Feodo Tracker	Ob die IP URLs zur Malware-Verteilung hostet (und wie viele davon noch aktiv sind) oder ein bekannter Botnet-Command-and-Control-Server ist

Note

Reverse DNS wird forward-bestätigt, weil PTR-Einträge unter der Kontrolle des IP-Inhabers stehen — ein Angreifer kann sie auf einen beliebigen Namen zeigen lassen. Ein Hostname, der nicht auf dieselbe Adresse zurück auflöst, wird markiert, statt ihm zu vertrauen.

Note

Ein Ergebnis „keine bekannte Malware-Aktivität“ im Bedrohungsabschnitt bedeutet, dass die Adresse nicht in den Malware-URL- oder C2-Daten von abuse.ch enthalten ist — nicht, dass sie nachweislich sauber ist. Abwesenheit ist kein Unschuldsbeweis.

Eine IP untersuchen

Öffnen Sie die Seite IP-Untersuchung. Jedes angemeldete Kontomitglied kann sie nutzen.

Geben Sie eine IP-Adresse ein, oder fügen Sie bis zu 10 ein — getrennt durch Leerzeichen, Kommas oder Semikolons.
Senden Sie ab — die Ergebnisse erscheinen direkt auf der Seite, eine Karte pro Adresse.

Die Abfrage läuft als einfacher GET-Request. Die entstehende URL lässt sich also teilen und direkt verlinken: Fügen Sie sie in einen Meldungs-Thread ein, und ein Teammitglied landet in derselben Untersuchung.

Auch Omnisearch kennt das Tool: Tippen oder fügen Sie eine IP in die Befehlspalette (Cmd+K) ein, und die Aktion Investigate IP <Adresse> (IP untersuchen) erscheint — als Direktlink mit vorausgefüllter Adresse.

Woher die Daten stammen

Alles wird aus öffentlichen Quellen abgeleitet — RDAP-Registry-Daten, RIPEstat-Routing-Daten, DNS, Shodan, veröffentlichte Cloud- und CDN-Bereichs-Feeds, die Exit-Liste des Tor Project und Bedrohungsdaten von abuse.ch (URLhaus und Feodo Tracker). Das Tool liest externe Informationen über die Adresse, die Sie eingeben; es greift weder auf Ihre Kontodaten zu noch legt es sie offen, und nichts, was Sie nachschlagen, wird gespeichert.

Limits

Limit	Wert
Batch-Größe	Bis zu 10 IP-Adressen pro Abfrage
Schlüsselpflichtige Quellen	Host-Exponierung (Shodan), Reputation (AbuseIPDB) und Bedrohungsdaten (abuse.ch) erfordern API-Schlüssel. Ohne einen solchen fällt der betreffende Abschnitt auf „kein API-Schlüssel konfiguriert“ zurück, statt die Abfrage scheitern zu lassen
Caching	Ergebnisse können aus einem kurzlebigen, App-weit geteilten Cache stammen — die Informationen können also einige Stunden alt sein

Auf einen Blick

Öffnen Sie die Seite IP-Untersuchung — oder drücken Sie Cmd+K und tippen Sie die IP ein
Fügen Sie eine IP ein, oder bis zu 10 aus einer Log-Zeile
Zitieren Sie die Ein-Zeilen-Zusammenfassung in Ihrer Meldung
Eskalieren Sie an den Abuse-Kontakt aus dem Inhaber-Abschnitt