Zusammenfassung

  • Die auDA beschreibt ihren Betreiber für das .au-Register als Drittpartei, die sie nach globalen Vergabeverfahren 2017 und 2023 bestellt hat; ihr öffentliches Vergabepapier prüft einen Wechsel von Eigentümerschaft oder Kontrolle aber nur zwischen Angebotsabgabe und Vertragsunterzeichnung.
  • Cloud Registry Pty Ltd steht im BTW-Verzeichnis als Registry in Australien — mit zwei Domain-Referenzen, einer Website, drei Stützreferenzen und ausdrücklich fehlenden Angaben zu ASNs und Kontakten.

Ein Registry ist die Datenbank, die festhält, welche .au-Namen existieren und wer sie hält. Betrieben wird sie von einem Unternehmen, das die Domainverwaltung auDA vertraglich bestellt. Genau dort beginnt das Problem für jeden, dessen Website, Zertifikat oder Mailzustellung an einer .au-Adresse hängt: Wer den Vertragspartner kontrolliert, kontrolliert die Infrastruktur mit.

Die auDA schreibt auf ihrer Seite zum .au-Register, es werde von Identity Digital Australia betrieben — beschrieben als Drittpartei, die auDA mit der Erbringung der Registry-Dienste beauftragt hat, bestellt nach einem globalen Vergabeverfahren im Jahr 2017 und erneut bestellt nach einem weiteren globalen Vergabeverfahren im Jahr 2023 (auDA: The .au registry).

Ein Betreiber mit Namensgeschichte

Die Projektseite zur Vergabe 2023 hält fest, auDA habe Identity Digital Australia Pty Ltd (formerly Afilias Australia Pty Ltd) erneut als Registry-Betreiber für .au bestellt; die Laufzeit des neuen Registry-Services-Vertrags beginnt am 1. Juli 2024, und der erfolgreiche Bieter wurde am 27. August 2023 bekannt gegeben (auDA: 2023 registry tender project). Dieselbe Klammer trägt die Bekanntmachung der erneuten Bestellung (auDA: announcement of the reappointment).

Der Klammerzusatz ist kein Schmuck. Er sagt: Die juristische Person, die heute den Vertrag hält, hieß früher anders. Was zwischen den beiden Namen geschah, steht in keiner hier geprüften Quelle; dieses Briefing berichtet die Umbenennung so, wie auDA sie schreibt, und nicht als Transaktion, für die es keinen Beleg gibt.

Der Kontrolltest, im Originalwortlaut

Die Ausschreibung der Registry-Operator-Vergabe 2023 enthält einen Absatz, der genau eine Frage beantwortet: Wann prüft die Domainverwaltung, ob sich Zusammensetzung oder Kontrolle ihres Vertragspartners verschieben?

If during the period following the submission of the Tender and prior to the execution of a resultant Registry Services Agreement with the successful Tenderer, an event occurs that has the effect of substantially altering the: (i) composition or control of the Tenderer; or (ii) business of the Tenderer, auDA may allow substitution of the Tenderer with another legal entity following receipt of a jointly written request from or on behalf of the Tenderer and the other legal entity. (Registry Operator Procurement 2023, clause 7.2(a))

Drei Begrenzungen, in einfachen Worten. Erstens gilt der Absatz nur in der Zeit nach der Angebotsabgabe und vor der Unterzeichnung des Registry-Services-Vertrags. Zweitens darf auDA eine Substitution erlauben — also das Ersetzen einer Vertragspartei durch eine andere juristische Person —, sie muss es nicht; ein Anspruch darauf entsteht nicht. Drittens setzt eine solche Ersetzung einen gemeinsamen schriftlichen Antrag beider Seiten voraus. Dieselbe Ausschreibung hält fest, dass auDA mit einer einzigen juristischen Person kontrahieren will (Registry Operator Procurement 2023).

Warum ein Fenster vor der Unterschrift nicht zur Laufzeit passt

Ein Kontrolltest, der mit der Unterschrift endet, prüft den Zustand, der am wenigsten riskant ist: den Moment, in dem alle Beteiligten einander gerade geprüft haben. Das Risiko liegt danach. Eine Registry ist keine Ware, die den Besitzer wechselt, ohne dass es jemand merkt; sie ist eine Datenbank mit Zone, Signaturschlüsseln und einem Vertrag, der über Jahre läuft. Wer in dieser Zeit die Kontrolle über den Betreiber erwirbt, erwirbt sie über die Infrastruktur, an der die .au-Namen hängen — und das öffentliche Vergabepapier sieht dafür kein Verfahren vor.

Das ist die Pointe des Wortlauts: Die Prüfung ist nicht schwach, sie ist nur für den falschen Zeitraum geschnitten. Der Vertragspartner wird vor dem Start geprüft wie ein Bieter und danach behandelt wie eine Konstante.

Der Außenseiter im Verzeichnis

Im BTW-Verzeichnis ist Cloud Registry Pty Ltd als Registry in Australien geführt, mit dem Alias cloudregistry.net und einem Konfidenzwert von 0,85 (BTW-Verzeichniseintrag Nur für den Strategischen Kreis).

Der Eintrag sagt selbst, wie schmal seine Grundlage ist: zwei Domain-Referenzen, eine öffentliche Website und drei Stützreferenzen; als Datenlücken sind „no_asns“ und „no_contacts“ vermerkt, die letzte Aktualisierung datiert vom 15. Juni 2026, und der einzige verlinkte Artikel ist eine BTW-Recherche vom 30. September 2026 (BTW-Verzeichniseintrag Nur für den Strategischen Kreis).

Für die Frage dieses Briefings ist das der aufschlussreichste Teil: Der Name verspricht ein Register, der Eintrag liefert vor allem einen Namen, eine Website und eine dünne Belegdecke. Kein für dieses Briefing geprüftes Dokument zeigt, dass das Unternehmen sich an den Vergabeverfahren 2017 oder 2023 beteiligt hat.

Was der Aktenstand nicht beantwortet

Fünf Grenzen gehören zum Befund. Der ausgeführte Registry-Services-Vertrag zwischen auDA und dem Betreiber liegt nicht unter den geprüften Dokumenten; nichts hier sagt, ob er für einen späteren Wechsel von Eigentümerschaft oder Kontrolle etwas vorsieht. Der zitierte Absatz steht in der Ausschreibung, und sein Vorhandensein dort belegt nicht, dass es nicht anderswo eine Regel für die Zeit nach der Unterzeichnung gibt. Die Lücken im Verzeichniseintrag beschreiben, was der Eintrag enthält, nicht was das Unternehmen tut.

Und die Umstände der Umbenennung von Afilias Australia Pty Ltd zu Identity Digital Australia Pty Ltd sind aus diesen Quellen nicht zu rekonstruieren.

Die Uhr: 1. Juli 2024

Seit dem 1. Juli 2024 läuft der Vertrag, den die Vergabe 2023 hervorgebracht hat (auDA: 2023 registry tender project). Von diesem Datum an ist das beschriebene Kontrollfenster zu. Was in den Dokumenten bleibt, ist ein Vorgang mit klarer Prüfpflicht vor dem Start und ohne öffentlich nachlesbare Prüfpflicht danach — für eine Datenbank, an der eine ganze Länderendung hängt. Der nächste belastbare Beobachtungspunkt ist deshalb keine Pressemitteilung, sondern der Text der nächsten Ausschreibung: Steht dort weiterhin nur das Fenster vor der Unterschrift, bleibt die Laufzeit der blinde Fleck.