False-Positive-Schutz (Whitelists, Tor & dnswl)

False Positives sind das größte Risiko für jeden Blacklist-Dienst. Das Attack Intelligence Network nutzt fünf unabhängige Ebenen, um Fehl-Listungen legitimer Infrastruktur zu verhindern:

1. Vorsichts-Prinzip bei der Listung: ein einzelner Report (mit Token oder anonym - jeder Report zählt gleich) erreicht nur die Watchlist. Zwei unabhängige Reports listen die IP (soft-listed), kritische Kategorien (Malware, Botnet) listen mit einem Report - das verhindert Willkür-Listungen.
2. Reporter-Reputation: vertrauenswürdige Melder haben mehr Gewicht, False-Positive-anfällige Melder werden automatisch herabgestuft.
3. Interne Whitelist: Administratoren pflegen CIDR-Whitelists; whitelisted-IPs werden nie gelistet.
4. dnswl.org-Reputation: Mailserver auf der dnswl.org-Whitelist erhalten reduziertes Signalgewicht für Mail-Dienste (smtp-auth, imap, pop3) - ein gewhitelisteter Server kann trotzdem kompromittiert sein, daher dämpfen wir, statt zu schweigen.
5. Tor-Exit-Behandlung: Tor-Exit-Nodes werden in der Evidenz markiert statt wie normale Angreifer behandelt; sie werden nie an Abuse-Abteilungen gemeldet (geteilte Infrastruktur, Betreiber können nicht handeln).

Tor-Exit-Nodes erzeugen ständig Angriffs-Traffic von geteilten IP-Adressen. Ein Tor-Exit zu blocken betrifft alle Nutzer dieses Exits - eine Policy-Entscheidung, die jeder Administrator für sich treffen muss.

Wie wir Tor-Exits behandeln

• Meldungen von Tor-Exits werden weiterhin gescort (die Angriffe sind real).
• Die Evidenz wird mit tor-exit markiert - in Firewall-Regeln filterbar, falls Sie Tor erlauben möchten.
• Für Tor-Exits werden keine Abuse-Benachrichtigungen versendet (die Betreiber können nicht handeln).

Die Liste wird stündlich von check.torproject.org/torbulkexitlist aktualisiert.

dnswl.org pflegt eine DNS-basierte Whitelist von Mailservern mit nachweislich gutem Versandverhalten. Wir fragen sie bei Meldungen gegen Mail-Dienste (smtp-auth, imap, pop3) ab.

Wirkung

• Trust-Level 0-1: keine Anpassung (unbekannt oder niedriges Vertrauen).
• Trust-Level 2-3 (mittel/hoch): Signalgewicht wird halbiert und die Evidenz mit dnswl-2 / dnswl-3 markiert.

Warum nicht komplett ausschließen? Ein gewhitelisteter Mailserver kann kompromittiert werden und Angriffe senden. Reduziertes Gewicht bedeutet: Die Listung passiert weiterhin - sie braucht nur mehr Bestätigung. Das spiegelt blocklist.de's Nutzung von dnswl.org wider, mit feiner abgestufter Reaktion.

Hinweis: Wir nutzen nicht den kommerziellen Spamhaus-Whitelist-Feed; dnswl.org deckt dasselbe Schutzziel über öffentliches DNS ab.

Die eigene Infrastruktur niemals listen: Tragen Sie Ihre IP-Bereiche in die interne Whitelist ein, damit Ihre Monitoring- und Sicherheitssysteme nicht versehentlich gemeldet werden.

Whitelist-Anfragen: Kontaktieren Sie uns mit den von Ihnen betriebenen CIDR-Bereichen. Whitelisted-Bereiche sind von allen Listing-Entscheidungen ausgeschlossen und erscheinen in der Check-API als whitelisted: true.