резолвить хост через gethostbyaddr на каждом хите — плохая идея. увеличишь ttfb в разы, а если днс сервер затупит, то сайт вообще повиснет у всех юзеров.

в .htaccess твой первый вариант не работал, потому что на сервере скорее всего стоит HostnameLookups Off (это стандарт для перфоманса). чтобы работало Deny from, апач должен сам резолвить каждый ip, а это нагрузка.

судя по хосту your-server.de — это hetzner. посмотри через whois, какая там подсеть (обычно они блоками идут) и забань весь cidr через .htaccess по ip (deny from 79.19.0.0/16 например). или если сайт за cloudflare — закрой доступ по ASN хетцнера в firewall rules, это вообще нагрузку с сервера снимет.