Zusammenfassung

  • Carlos Gañán trennte zwei Fragen, die eine einzelne DNS-Missbrauchsrate oft zusammenzieht: Taucht in einem gTLD-Monat mindestens eine böswillige Registrierung auf, und wie groß wird eine Kampagne danach?
  • Sein Vortrag auf der RIPE 93 zeigte für Category-1-gTLDs mehr Vorkommen, aber eine kleinere bedingte Kampagnenskala. Zusammengenommen schätzte das Modell 37 Prozent weniger böswillig registrierte Domains je gTLD-Monat.

Analyse

Eine Monatsrate verschluckt den nächsten Schritt

Eine Monatsrate wirkt wie eine einfache Note für Schutzregeln. Sie sagt jedoch wenig darüber, was nach der ersten böswilligen Registrierung passiert. Carlos Gañán, leitender Wissenschaftler in ICANNs Bereich Security, Stability and Resiliency Research, prüfte die Category-1-Schutzmaßnahmen auf der RIPE 93 deshalb mit zwei getrennten Fragen: Erscheint Missbrauch überhaupt, und wie weit wächst er anschließend?

Die Antwort fällt zweigeteilt aus. In seinem Vortrag lag die modellierte Wahrscheinlichkeit, dass eine Category-1-gTLD in einem Monat mindestens eine böswillig registrierte Domain verzeichnet, um 3,1 Prozentpunkte über der anderer neuer gTLDs. Wenn Missbrauch vorkam, lag die erwartete Skala dagegen um 38 Prozent niedriger. Beide Modellteile zusammen ergaben geschätzt 37 Prozent weniger böswillig registrierte Domains je gTLD-Monat.

Die Werte erfassen zwei Stufen: Eine Erweiterung kann in mehr Monaten mindestens einen Treffer aufweisen und in diesen Monaten kleinere Kampagnen tragen. Eine Gesamtzahl wirft Eintritt und Ausbreitung in denselben Topf.

Was die Studie erfasste

Die Untersuchung verfolgte 1.106 neue gTLDs in Monatsdaten von 2023 bis 2025. Laut Gañán berücksichtigte das Modell die Größe der jeweiligen Namensräume, die Registry-Architektur und gemeinsame Bedingungen pro Monat. Erfasst wurden böswillig registrierte Domains im verwendeten DNS-Abuse-Rahmen. Kompromittierte Domains und ccTLDs blieben außen vor, weil die Schutzregeln diese Bereiche nicht steuern sollten.

Category 1 umfasst zwei Registrierungsmodelle. Der 2014 von ICANN angenommene Rahmen ordnet offenen Registrierungen die Schutzmaßnahmen 1–3 und stark regulierten, geschlossenen Bereichen die Maßnahmen 1–8 zu. Klausel 6 verlangt eine vertragliche Erklärung der Registrierenden, dass sie die nötigen Genehmigungen, Lizenzen oder Nachweise für ihren Bereich besitzen. Nach Klausel 7 sollen Registry-Betreiber die zuständigen Behörden konsultieren, wenn eine Beschwerde Zweifel daran weckt; Klausel 8 verlangt die Meldung wesentlicher Änderungen, die die Gültigkeit dieser Nachweise betreffen.

Der Vortrag berichtete für die beschränktere Level-8-Gruppe niedrigere Werte bei Auftreten, bedingtem Ausmaß und Gesamtvolumen als für Level 3.

Die Ergebnisse schwankten außerdem nach Jahr und Missbrauchsart. Beim Phishing war der Unterschied am klarsten, bei Malware kleiner; für Botnet-Command-and-Control-Domains ergab die dünne Datenbasis keinen statistisch signifikanten Effekt. Die Beobachtungsstudie trennte Erklärungen, tatsächlich ausgeführte Prüfungen, abgelehnte Registrierungen und Beschwerdebearbeitung nicht voneinander und erfasste keine Zeit bis zur Abschaltung. Registry-Daten, die diese Schritte mit den Ergebnissen verbinden, würden zeigen, wo der Unterschied entstand.

Die drei Schätzwerte gehören zusammen: 3,1 Prozentpunkte höhere monatliche Auftretenswahrscheinlichkeit, 38 Prozent kleinere Kampagnen nach einem Treffer und 37 Prozent weniger böswillig registrierte Domains je gTLD-Monat. Getrennte Werte für Zugang und Eindämmung zeigen, was eine einzige Missbrauchsrate verdeckt.

Quellen

RIPE-93-Sitzung und Zusammenfassung; offizielles Plenar-Transkript; ICANN Category-1-Schutzmaßnahmen; 2014 angenommener Umsetzungsrahmen; ICANN-Profil von Carlos Hernandez Ganan; Sprecherporträt der RIPE 93.