Zusammenfassung

  • Der Centralized Zone Data Service vereinheitlicht Antrag und Standardvereinbarung. Daraus wird aber keine einzige ICANN-Entscheidung: zentrale Berechtigungsprüfung, Registry-Genehmigung, Vertragsaufsicht und Pflichten des Nutzers bleiben getrennte Kontrollflächen.
  • Eine Genehmigung gewährt lediglich ein begrenztes, nicht übertragbares Recht auf eine Kopie der Zonendaten. Sie überträgt weder Eigentum an Namen noch Kontrolle über die TLD. Die größte zeitliche Lücke: Der Registry-Vertrag nennt keine Bearbeitungsfrist.

Ein gemeinsamer Eingang ohne gemeinsamen Takt

Für DNS-Forscher, Sicherheitsteams und Markenbeobachter beseitigt CZDS einen handfesten Aufwand. Statt für jede gTLD einen eigenen Vertrag und Übertragungsweg zu suchen, kann ein Nutzer über ein Konto Anträge an viele teilnehmende Registries senden.

ICANNs Erläuterung zum Zonendateizugriff benennt jedoch die entscheidende Grenze. Der Registry-Vertrag legt nicht fest, innerhalb welcher Zeit der Betreiber einen Antrag bearbeiten muss. Zentralisiert ist die Einreichung, nicht die Uhr.

Das ist mehr als ein Komfortproblem. Für eine langfristige Messreihe mag eine Verzögerung von Tagen verkraftbar sein. Bei einer Phishing-Kampagne, die ihre Infrastruktur schnell wechselt, kann sie den Erkenntniswert zerstören. Derselbe sichtbare Status „ausstehend“ kann fehlende Angaben, eine aktive Prüfung oder einen unerklärten Rückstand bedeuten.

Eine technische Momentaufnahme, kein Eigentumsregister

Eine gTLD-Zonendatei zeigt gebündelt delegierte Namen und DNS-Einträge, über die ihre autoritativen Nameserver gefunden werden. Damit lassen sich Zugänge, Abgänge und Infrastruktur-Muster beobachten. Sie ist weder ein vollständiges Registrantenverzeichnis noch ein Nachweis dafür, wem ein Name gehört.

Die geänderte Specification 4 formuliert den Zugang deshalb als begrenztes Recht: nicht exklusiv, nicht übertragbar und grundsätzlich höchstens eine Kopie innerhalb von 24 Stunden. Die Nutzung muss rechtmäßig bleiben. Untersagt sind unter anderem massenhafte Werbung an Nichtkunden, hochvolumige automatisierte Prozesse gegen Systeme von Registries oder Registraren sowie Eingriffe in den normalen Betrieb von Registranten.

Der Nutzer erhält Beobachtungsdaten. Er darf die Zone dadurch nicht ändern, die Daten nicht grenzenlos weitergeben und keine Registry-Funktion ausüben. Sichtbarkeit und Verfügungsgewalt sind verschiedene Dinge.

Wer an welchem Tor entscheidet

Am ersten Tor steht der zentrale Zone-Data-Access-Provider, also ICANN oder ein Beauftragter. Er darf einen Nutzer ablehnen, der die Anforderungen an Identität und Erreichbarkeit nicht erfüllt. Hier geht es um Berechtigungsnachweise.

Das zweite Tor kontrolliert der Registry-Betreiber. Er kann einen Antrag zurückweisen, wenn Angaben falsch oder illegitim sind oder wenn er vernünftigerweise einen Verstoß gegen die Nutzungsbeschränkungen erwartet. Nach einer Genehmigung darf er den Zugang widerrufen, wenn Belege für einen Verstoß vorliegen. Ein Widerruf bezieht sich damit auf Verhalten nach der Freigabe und ist nicht bloß eine verspätete Ablehnung.

ICANN Contractual Compliance übernimmt eine dritte Funktion. Die Stelle bearbeitet Beschwerden über die Pflicht der Registry, Dritten Zugang zu gewähren. Eine Vertragsprüfung ist nicht dasselbe wie die ursprüngliche Genehmigung. Wer nur von einer „ICANN-Entscheidung“ spricht, verdeckt den handelnden Akteur, den einschlägigen Grund und den passenden Rechtsbehelf.

Quellen