Zusammenfassung

  • OCTO-044 ordnet in einer einwöchigen gTLD-Stichprobe aus 2025 mit kombinierten Verfahren 56,4 Prozent der Reputationslisten-Seed-Domains mindestens einer weiteren Domain zu. Das ist die Abdeckung dieser Stichprobe, keine Quote aller Domains und kein Nachweis eines gemeinsamen Inhabers.
  • Die Studie nutzt öffentliche technische Registrierungs- und DNS-Daten. Laut ICANN ließ sich die Zuordnung nicht mit verifizierten Kontoinhaberdaten abgleichen; eine datenschutzwahrende Prüfung erfordert weitere Zusammenarbeit mit Registraren.

Am 6. Oktober meldete ICANN die Veröffentlichung von Associated Domain Analysis Using Public Data (OCTO-044), einem Bericht ihres Office of the Chief Technology Officer. Die auffälligste Zahl: In der untersuchten Woche ordneten die kombinierten Verfahren 56,4 Prozent der Seed-Namen aus reputationsbasierten Sperrlisten mindestens einer benachbarten Domain zu.

Die Zahl beantwortet eine eng umrissene Frage. Die Seeds waren gTLD-Namen im Zusammenhang mit Phishing, Schadsoftware oder Botnet-Command-and-Control, die zwischen dem 24. und 30. September 2025 erstmals auf mehreren Listen auftauchten. Zum Zeitpunkt der Meldung waren sie höchstens sechs Monate alt; rund 4.000 neu registrierte Namen pro Tag gelangten in die Stichprobe. Das ist weder der Anteil missbräuchlicher Neuregistrierungen insgesamt noch eine aktuelle Messung des gesamten Marktes.

OCTO-044 arbeitet mit beobachtbaren technischen Merkmalen: Registrar-Kennung, autoritative Nameserver, Erstellungszeit und bei einem Verfahren gemeinsame IPv4-Auflösung. Registrierungen innerhalb weniger Sekunden oder Stunden sowie Domains mit gemeinsamer Infrastruktur werden gruppiert und anschließend nach sprachlicher Ähnlichkeit gefiltert. Die Verfahren überschneiden sich. Deshalb lassen sich ihre Einzelabdeckungen – etwa 16 Prozent für Batch-Registrierungen, 33 Prozent für Bulk-Registrierungen und 18 Prozent für Bulk-Auflösung – nicht addieren.

Entscheidend ist, was „zugeordnet“ hier bedeutet. Der Begriff beschreibt eine aus technischen Merkmalen abgeleitete Verbindung. Er sagt nicht, wer eine Domain besitzt oder betreibt und warum sie registriert wurde. ICANN weist darauf hin, dass Massenregistrierungen legitime Zwecke haben können, etwa defensive Markenregistrierung, Werbenetzwerke oder Verkehrsverteilung. Gemeinsame Infrastruktur kann Fehlalarme erzeugen; strenge Ähnlichkeitsfilter können zugleich echte Verbindungen übersehen.

Die Studie verglich ihre Gruppen nicht mit einem Datensatz, der Kontoinhaber verlässlich bestätigt. Dem Bericht zufolge hat ICANN keinen Einblick in diese personenbezogenen Daten, die üblicherweise bei Registraren und einigen Registries liegen. Eine umfassende, datenschutzwahrende Prüfung erfordere daher eine fortlaufende Zusammenarbeit mit der Registrar-Community. Das ist ein noch offener Validierungsschritt, kein Beweis für ein Scheitern der Methode. Es verbietet aber, aus einem Ermittlungsansatz eine Inhaberzuordnung zu machen.

Auch Aussagen zur Geschwindigkeit brauchen diese Genauigkeit. Unter den im Bericht angesetzten Erfassungs- und täglichen Verarbeitungsbedingungen wurden 4,6 Prozent der Stichprobe vor einem Eintrag auf einer Reputationsliste erkannt. Ein hypothetisches Szenario mit einer Verarbeitung binnen 30 Minuten hebt den modellierten Anteil auf 10,0 Prozent. Das ist kein beobachteter Betriebserfolg: OCTO-044 zufolge können Registrierungsdaten Tage später eintreffen und werden teilweise wöchentlich aktualisiert.

ICANN kündigt weitere Validierung, geringere Verarbeitungslatenzen und die Weitergabe der Ergebnisse an einschlägige Akteure an. Erst daran wird sich zeigen, ob die Methode mehr als eine rückblickende Ausgangsmessung leistet. Derzeit trägt der Bericht eine begrenzte, aber nützliche Aussage: Öffentliche Daten können in großem Maßstab Gruppen für weitere Prüfungen sichtbar machen. Er beweist nicht, dass jede Gruppe einen Inhaber, eine missbräuchliche Absicht oder einen ausreichenden Grund für eine Sperre teilt.

Quellen: