Zusammenfassung

  • Von 84.961.989 im Jahr 2025 angelegten gTLD-Namen waren laut Interisle bis zum 18. Mai 2026 genau 8.496.811 in den ausgewählten Blocklisten erschienen. Der Bericht wertet die zehn Prozent als Untergrenze und projiziert nach späteren Einträgen und einer Erweiterung über assoziierte Domains bis zu 16,8 Millionen beziehungsweise 20 Prozent.
  • ICANN unterscheidet gemeldete oder gelistete Namen von Fällen mit handlungsfähiger Evidenz. Meldestatistiken seien höchstens eine Obergrenze bestätigten Missbrauchs; eine Sperre verlange in der Regel Untersuchung oder Bestätigung.
  • Die beiden Aussagen zielen auf verschiedene Mengen. Ein beobachteter Wert kann unter einer angenommenen Population noch unsichtbarer böswilliger Registrierungen und zugleich über der Menge liegen, die Vertragsdefinition und Einzelfallprüfung übersteht.
  • Ein Zustandsregister sollte Beobachtung, Klassifikation, Populationsschätzung, politisches Signal, Fallevidenz und autorisierte Maßnahme getrennt halten. Ein Messbeleg für Aggregate ersetzt keinen Maßnahmenbeleg für eine Domain.

Ein Nenner, mehrere Behauptungen

Die Debatte wirkt wie ein Widerspruch, solange 8,5 Millionen als fertige Antwort behandelt werden. Tatsächlich ist die Zahl nur dann verständlich, wenn an ihr haften bleibt, was gezählt, wann gezählt, mit welchen Quellen klassifiziert und wohin anschließend extrapoliert wurde.

Interisle setzt als Nenner 84.961.989 gTLD-Namen, die 2025 angelegt wurden. Der Bericht führt mehrere professionelle Quellen für Phishing, Malware und weitere schädliche Aktivitäten zusammen, ergänzt definierte Kampagnenlisten aus Strafverfolgung, Gerichten und Bedrohungsforschung, aktualisiert die Daten mehrmals täglich und entfernt Doppelzählungen. Bis zum Stichtag 18. Mai 2026 waren 8.496.811 Namen aus diesem Jahrgang aufgetaucht.

Darauf folgt eine Klassifikation. Interisle versucht, eigens für schädliche Zwecke registrierte Namen von legitimen, später kompromittierten Domains zu trennen. Das ist operativ bedeutsam: Wegwerfinfrastruktur eines Angreifers ist etwas anderes als die verwundbare Website eines unbeteiligten Unternehmens. Nach den Kriterien des Berichts entfielen rund 98 Prozent der gelisteten 2025er-Namen auf mutmaßlich böswillige Registrierung.

Dann kommen zwei Projektionen. Erstens sollen weitere Namen mit Verzögerung auf Listen erscheinen; dadurch könnten aus zehn Prozent bis Ende 2026 ungefähr zwölf Prozent oder 10,1 Millionen werden. Zweitens erweitert Interisle bekannte Ausgangspunkte um andere Namen aus verbundenen Registrierungsbündeln. Mit dieser Assoziation entsteht die Projektion von 16,8 Millionen oder 20 Prozent.

Die drei Größen sind nicht austauschbar. 8,5 Millionen sind beobachtet und unter datierten Regeln klassifiziert. Rund 10,1 Millionen enthalten eine Annahme über spätere Sichtbarkeit. 16,8 Millionen enthalten zusätzlich eine Annahme über Beziehungen. Wer alle als „gezählte böswillige Domains“ ausgibt, beseitigt genau die Information, die eine Überprüfung ermöglicht.

Warum ICANN von einer Obergrenze spricht

ICANN fragt nicht primär, wie viele böswillige Registrierungen den ausgewählten Sensoren entgangen sein könnten. Die Organisation fragt, wie viele gemeldete oder gelistete Namen genügend Evidenz für eine vernünftige Feststellung von DNS Abuse nach den einschlägigen Verträgen tragen. Eine Meldung kann heuristisch oder prädiktiv sein, eine kompromittierte legitime Website betreffen, außerhalb des Vertragsumfangs liegen oder zusätzliche Bestätigung verlangen.

In dieser Richtung ist die gemeldete Menge größer als die bestätigte. Das ist die Obergrenze. Sie widerlegt die Untergrenze nicht, weil diese auf eine andere, teilweise unbeobachtete Population gerichtet ist.

ICANN verwirft Blocklisten dabei keineswegs. Domain Metrica nutzt selbst Reputationsquellen, um gemeldeten DNS-Missbrauch in Teilen des Domainmarkts sichtbar zu machen. Die FAQ begrenzen die Aussage ausdrücklich: Das System zeigt das Ökosystem durch die Linse gemeldeten Missbrauchs; ein Eintrag ist nicht zwingend ein bestätigter Vorfall; ICANN erzeugt die Meldungen nicht und sieht nicht sämtliche Aktivität.

Damit entstehen zwei gleichzeitige Fehlergrenzen. Abwesenheit von den Quellen beweist keine Unbedenklichkeit. Anwesenheit beweist keinen bestätigten Vertragsfall. Eine Quelle kann echten Missbrauch übersehen und dennoch Elemente enthalten, die eine spätere Handlungsschwelle nicht erreichen.

„Von diesen Quellen beobachtet“, „als böswillig registriert klassifiziert“, „tatsächlich geschehene böswillige Registrierung“, „bestätigter vertraglicher DNS Abuse“ und „verhältnismäßig zu sperrende Domain“ sind verschiedene Messziele. Der Verlust dieser Unterscheidung ist nicht bloß statistische Unordnung. Er verändert, wer aus einer Zahl welche Macht ableitet.

Die Sensorwahl schreibt an der Rangliste mit

ICANNs Untersuchung vom Juli 2025 macht die Abhängigkeit von Quellen sichtbar. Beschränkte man die Eingabe auf offene Quellen, kommerzielle Feeds oder deren Kombination, änderten sich die Platzierungen mancher anonymisierter TLDs deutlich. Einige blieben weit oben; andere verschoben sich. Sichtbare Konzentration ist somit sowohl eine Eigenschaft des Marktes als auch des gewählten Sensornetzes.

OCTO-037 bewertet RBLs nach ihrem Einsatzzweck. Das Volumen lässt sich unmittelbar messen. Aktualität, Reinheit und Metadatengenauigkeit erfordern möglicherweise Stichproben. Einzugsbereich, erneute Prüfung und betriebliche Zuverlässigkeit sind aus den Einträgen mitunter gar nicht abzulesen. Eine Liste kann eine Netzwerkabwehr hervorragend unterstützen und trotzdem ungeeignet sein, wenn jeder Fehlalarm eine teure Untersuchung oder schwer umkehrbare Maßnahme auslöst.

Auch die inhaltlichen Karten unterscheiden sich. Interisle behandelt Phishing, Malware und Botnets, zusätzlich aber Betrug, Scams und weiter gefassten Spam. Für eine Analyse krimineller Nachfrage nach Domainnamen ist das plausibel. Ein Opfer interessiert nicht, ob sein Schaden in das Vertragsvokabular einer privaten Koordinierungsorganisation passt.

Öffentliche Relevanz schafft jedoch nicht automatisch ICANN-Zuständigkeit. Die Global Amendments von 2024 definieren DNS Abuse in den einschlägigen Vereinbarungen als Malware, Botnets, Phishing, Pharming und Spam, soweit Spam die anderen genannten Schäden transportiert. Der Compliance-Hinweis erläutert Pflichten von Registraren und Registries, wenn handlungsfähige Evidenz sie in ihrer jeweiligen Rolle erreicht. Er macht nicht jede weiter gefasste Schädigung zum selben Vertragsfall.

Die Trennung verhindert weder Forschung noch schnelle Abhilfe. Ein klar belegter Phishing-Fall muss nicht auf das Ende einer Debatte über Marktanteile warten. Ein auffälliges Aggregat muss nicht verworfen werden, weil noch kein Urteil zu jedem Namen vorliegt. Beide Systeme beantworten unterschiedliche Fragen.

Eine Quellenangabe ist kein Methodenvergleich

Interisle verweist für die Erweiterung assoziierter Domains auf Ähnlichkeiten mit ICANN OCTOs Batch-Studie und für die Klassifikation auf COMAR. ICANN bemängelt, dass die Abweichungen nicht ausreichend offengelegt seien. Der entscheidende Gegenstand ist kein Zitationsstil, sondern ein reproduzierbarer Diff.

Die ICANN-Batch-Studie bündelt zeitnahe Registrierungen anhand von Registrar, autoritativem Nameserver und Erstellungszeit und prüft die Verteilung bekannter RBL-Ausgangspunkte. Cluster unter zehn wurden wegen schwächerer Koexistenz ausgeschlossen. Gruppen über 1.000 blieben aus der Detailanalyse, weil manche heterogen waren oder Verarbeitungsmuster von Resellern abbildeten. Die Ground-Truth-Prüfung stützte sich auf einen kooperierenden Registrar; breitere Angaben zu Kontoinhabern verbleiben bei Registraren und Registries.

Die Arbeit meldete durch Batch-Inferenz eine Erweiterung neu registrierter RBL-Domains um 80 Prozent. Zugleich sagt sie, dass Assoziation keine neue Zuschreibung liefert, Angreifer die Gruppierungsannahmen umgehen können und der Betrieb weitere Verfeinerung sowie eine Mindestevidenzschwelle braucht. Spätere Forschung darf Grenzen, Fenster, Filter oder Nenner ändern. Sie muss die Änderungen aber ausweisen.

COMAR berichtete mit 38 Merkmalen aus öffentlichen Daten 97 Prozent Genauigkeit und 2,5 Prozent Falschpositive auf seinen gelabelten Phishing- und Malware-Datensätzen. Das ist ein starkes Testergebnis, kein dauerhaftes Zertifikat für spätere Klassifikationen. Dokumentiert sind manuelle Labels, fehlgeschlagene Inhaltsabrufe, Umgehung, Dropcatching und irreführende Merkmale durch legitime Historie oder verunstaltete Startseiten.

Der Methodenname markiert einen Ausgangspunkt. Erst eine versionierte Beschreibung dessen, was übernommen, entfernt, justiert oder neu interpretiert wurde, bildet eine Provenienzkette. Ohne sie lässt sich nicht erkennen, ob ein Ergebnisunterschied aus Daten, Definition, Implementierung oder Schlussfolgerung stammt.

Sechs nicht zusammenlegbare Zustände

Die dünnste gemeinsame Infrastruktur ist kein zentraler Missbrauchsdetektor, sondern eine öffentliche Grammatik des Behauptungszustands.

Zustand Was der Datensatz belegen darf Wozu er nicht stillschweigend werden darf
Beobachtung Ein Name oder eine URL erschien zu einem angegebenen Zeitpunkt in einer benannten Quelle Beweis böswilliger Absicht
Klassifikation Eine versionierte Regel oder ein Modell vergab Kategorie, Assoziation oder Vertrauen Unfehlbares Etikett
Populationsschätzung Beobachtungen und Inferenzen ergaben Zähler, Nenner, Spanne oder Projektion Zahl entschiedener Fälle
Politisches Signal Das Aggregat betrifft eine erklärte politische Frage Befugnis gegen eine Domain vorzugehen
Fallevidenz Ein bestimmter Name wurde nach anwendbarer Definition untersucht oder bestätigt Entscheidung eines nicht benannten Akteurs
Autorisierte Maßnahme Eine verantwortliche Stelle nutzte ein gültiges Instrument und reagierte verhältnismäßig Löschung von Benachrichtigung, Prüfung oder Korrekturhistorie

Übergänge sind möglich und notwendig. Ein Feed-Eintrag kann eine Untersuchung priorisieren. Ein Aggregat kann ein Policy-Verfahren anstoßen. Eine Vertragspartei kann zusätzliche Evidenz erhalten. Jeder Sprung muss aber neues Material, Urteilsträger und Rechts- oder Vertragsgrund benennen. Die erste Beobachtung enthält nicht schon die letzte Entscheidung.

Der Beleg für die Messung

Jede bedeutende Zahl braucht ein kompaktes Begleitprotokoll: Messziel und Einheit, Beobachtungsfenster und Stichtag, Quellen und Sichtbarkeitsgrenzen, Missbrauchsdefinition, Aufnahme-, Ausschluss- und Deduplizierungsregeln, Klassifikator samt Version, Assoziationsmethode, Zähler und Nenner. Beobachtung, Inferenz und Projektion stehen getrennt.

Die Richtung der Unsicherheit gehört dazu. Unvollständige Quellen können eine Zahl gegenüber einer verborgenen Population nach unten verzerren. Unbestätigte oder außerhalb des Mandats liegende Meldungen können sie gegenüber einer bestätigten Vertragsmenge nach oben verzerren. Beides kann gleichzeitig gelten.

Außerdem müssen zulässige und unzulässige Nutzungen feststehen. „Für aggregierte Trends geeignet“, „zur Einleitung einer Prüfung geeignet“ und „für Sperrung ausreichend“ sind drei Genehmigungen. Korrekturidentität und Änderungsprotokoll müssen nachgelagerte Dashboards, Rankings und Policy-Dokumente erreichen.

Lizenzierte Feeds, personenbezogene Daten oder Umgehung erleichternde Schwellen müssen nicht offenliegen. Quellenklassen, Auswahlregeln, Hashes, hinterlegte Prüfpfade und Sensitivitätsanalysen können Überprüfbarkeit schaffen, ohne Schutzinteressen aufzugeben.

Der getrennte Beleg für die Maßnahme

Das Einzelfallprotokoll beginnt am Ende des Messprotokolls. Es nennt Fall, Vertragskategorie, verantwortliche Partei, konkrete Quellen, Bestätigungsstand und die Frage, ob der Name böswillig registriert, kompromittiert oder ungeklärt ist. Es hält Ermittler und Entscheider, Umfang, Verhältnismäßigkeit, Mitteilung, Eskalation, Überprüfung, Korrektur und Wiederherstellung fest.

Zwischen beiden steht ein ausdrücklicher Satz: Aggregierte Listung, Assoziation oder Populationsschätzung wird nicht allein dadurch zur handlungsfähigen Evidenz für eine Domain, dass sie Politik beeinflusst hat. Enthält derselbe Bericht fallbezogene Belege, gelangen diese als fallbezogene Belege in das Verfahren.

Die Grenze schützt auch schnelles Handeln. Ein sauber bestätigter Phishing-Fall muss keine Auseinandersetzung über Gesamtprozente abwarten. Ein Marktsignal darf weiter untersucht werden, ohne sich als Millionen abgeschlossener Verfahren auszugeben.

Evidenz ernennt sich nicht selbst zur Autorität

Heng Lus Kritik am Mandat im Multistakeholder-Modell liefert die übergeordnete Regel. Beteiligung bringt Sachkenntnis, Warnung und technische Disziplin ein. Sie macht den Beteiligten nicht automatisch zum Auftraggeber, der alle Betroffenen binden darf. Messung kennt dieselbe Versuchung: Ein großer Datensatz sieht wie eine Wählerschaft aus, ein Modell wie ein Entscheider und ein Dashboard wie eine Anordnung.

Interisle trägt Autorität für die eigene Forschung. ICANN OCTO für die eigenen Messsysteme. Die GNSO entwickelt Policy im zugewiesenen Verfahren. Contractual Compliance beurteilt Pflichten innerhalb beschlossener Instrumente. Registries und Registrare besitzen unterschiedliche Betriebsinformationen und Verantwortungen. Gerichte und öffentliche Stellen handeln nach anderem Recht. Evidenz darf reisen; Autorität verschmilzt nicht, nur weil alle dieselbe Domain zitieren.

Standardisiert werden sollte der Übergang: Zustand, Provenienz, Methodendifferenz, Korrektur und Schwelle. Das erhält methodischen Wettbewerb und macht institutionelle Verwendung prüfbar. Eine Zentralisierung würde Fehler konzentrieren; vollständig private Vokabulare würden Vergleich und Berichtigung verhindern.

Aus dem Streit eine prüfbare Aufgabe machen

Ein produktiver nächster Beitrag würde die 8,5 Millionen als Pipeline zeigen: Beitrag und Überlappung der Feeds, Kampagnenergänzungen, Ausschlüsse, Trennung böswillig registriert oder kompromittiert, Nenner und Stichtage. Die 20-Prozent-Projektion sollte die spätere Listung und die Assoziation getrennt ausweisen und Sensitivitäten offenlegen.

ICANN wiederum sollte sagen, welche Vergleiche die eigene Einschätzung der Größenordnung ändern könnten und welche Einwände Zuständigkeit statt empirische Häufigkeit betreffen. Dann erscheint eine Mandatsgrenze nicht als Leugnung des Phänomens, und ein großes Phänomen nicht automatisch als Beweis einer konkreten Vertragsverletzung.

Das Ergebnis darf weiter umstritten sein. Rechenschaft bedeutet nicht, alle Beobachter auf eine Zahl festzulegen. Sie bedeutet, bei jeder Zahl zu erhalten, was sie beweist, was nicht, wer sie verwenden darf und welches zusätzliche Protokoll vor einem Schaden nötig ist.

Unter- und Obergrenze können bestehen bleiben. Gebaut werden muss der nachweisbare Weg dazwischen.

Quellen

  1. ICANN, „Looking Beyond the Numbers: Understanding Malicious Domain Registration Data“
  2. Interisle Consulting Group, „Malicious Registrations in the Domain Market“
  3. ICANN, FAQ zu Domain Metrica
  4. ICANN, „How Choice of Reputation Blocklists Affects DNS Abuse Metrics“
  5. ICANN OCTO-037v2, „RBL Evaluation Methodology“
  6. ICANN OCTO SSR, „Detecting Malicious Domain Registration Batches: Patterns, Prevalence, and Security Implications“
  7. Maroofi et al., „COMAR: Classification of Compromised versus Maliciously Registered Domains“
  8. ICANN-Hinweis zur Einhaltung der DNS-Abuse-Pflichten
  9. ICANN, Global Amendments 2024
  10. ICANN, Programm zur Eindämmung von DNS Abuse
  11. Lu Heng, „The Multi-Stakeholder Mirage—How the Multi-Stakeholder Model Turned Attendance Into Mandate“