Zusammenfassung

  • Die ICANN-Arbeitsgruppe schlägt vor, dass ein Registrar verbundene Domains prüft, sobald ihm belastbare Hinweise vorliegen, dass eine von ihm betreute Domain für eine definierte Form von DNS-Missbrauch genutzt wird. Gefordert wäre eine Untersuchung, keine automatische Sanktion gegen alle verknüpften Namen.
  • 42 öffentliche Eingaben führten zu 533 klassifizierten Antworten; rund 85 Prozent unterstützten Teile der 13 Empfehlungen und Umsetzungshinweise. Das fließt in die nächste Beratungsstufe ein, ist aber weder eine endgültige Regel noch eine Abstimmung aller Domaininhaber und Internetnutzer.

Über den Einzelfall hinaus

Der geltende Registrar Accreditation Agreement verpflichtet Registrare bereits zum Handeln, wenn ihnen belastbare Hinweise vorliegen, dass eine von ihnen gesponserte Domain für DNS-Missbrauch genutzt wird. Die Maßnahme muss zeitnah und angemessen sein und mögliche Schäden durch Nebenwirkungen berücksichtigen. ICANN erläutert dies in seinem Compliance-Hinweis zu DNS-Missbrauch von 2024. Die globale Vertragsänderung definiert DNS-Missbrauch als Malware, Botnetze, Phishing, Pharming sowie Spam, sofern Spam eine dieser anderen Formen verbreitet.

Die bestehende Pflicht bezieht sich auf den Namen, für den die Hinweise vorliegen. Eine Kampagne kann jedoch viele Domains nutzen: Eine wird gemeldet, während andere mit demselben Akteur verbundene Namen ungeprüft bleiben. Der Initial Report der GNSO-Arbeitsgruppe vom 18. August schlägt Associated Domain Checks (ADC) vor, um diese Lücke zu schließen. Liegen einem Registrar belastbare Hinweise auf Missbrauch einer von ihm betreuten Domain vor, müsste er untersuchen, ob verbundene Domains in seinem eigenen Portfolio ebenfalls missbräuchlich genutzt werden.

Prüfung und Sanktion sind verschiedene Schritte. Eine Verbindung zeigt, wo weitergesucht werden kann; sie entscheidet nicht, was die nächste Domain tut. Der Entwurf verlangt eine angemessene Untersuchung, ob verbundene Namen für Missbrauch eingesetzt werden. Er ordnet keine Sperrung allein deshalb an, weil eine Domain mit dem auslösenden Namen ein Konto, Inhaberdaten, einen Nameserver oder einen Reseller teilt. Eine Suche über mehrere Registrare oder eine zentrale Datenbank aller Domains eines Inhabers ist ebenfalls nicht vorgesehen.

Noch handelt es sich um einen Vorschlag und nicht um eine geltende Pflicht. Die ICANN-Konsultationsseite enthält einen Ergebnisbericht vom 9. Oktober. Danach hatte die Arbeitsgruppe aufgrund der Kommentare noch keine Änderungen übernommen und wollte die Eingaben bei ICANN87 in Bali prüfen. Anschließend muss sie einen Abschlussbericht vorlegen, über den der GNSO-Rat berät. Stimmt er den Empfehlungen zu, kann das ICANN-Board deren Annahme als Consensus Policy prüfen. Die offizielle Darstellung des GNSO-PDP zeigt diese getrennten Stufen.

Verbindung ist eine zu prüfende Hypothese

Der Vorschlag legt keinen einheitlichen Identitätstest fest. Zu den möglichen Hinweisen zählen Daten zum Inhaber oder Konto, technische oder koordinierte Aktivitäten, Registrierungsmuster, Nameserver und Informationen, die dem Registrar im normalen Geschäft zugänglich sind. Der Bericht räumt ein, dass die passenden Indikatoren je nach Fall variieren und kein einzelner Datenpunkt immer eine Verbindung belegt. Die Untersuchung soll praktikabel und im Verhältnis zu den Hinweisen und dem vermuteten Ausmaß stehen.

Diese Flexibilität reagiert auf eine konkrete Schwierigkeit. Manche Kampagnen koordinieren zahlreiche Domains. Unabhängige Kunden können aber ebenfalls denselben Hoster, Datenschutzdienst, Reseller oder dieselbe Infrastruktur nutzen. Ein gemeinsames Merkmal kann ein sinnvoller Ansatzpunkt sein, aber auch bei legitimer Nutzung häufig vorkommen. Zwei Domains im selben Konto beweisen für sich genommen nicht, dass beide zu einem Missbrauchszweck eingesetzt werden.

Der Auslöser verlangt mehr als eine Anschuldigung. Empfehlung 1 knüpft an belastbare Hinweise im Sinne des Vertrags an und nimmt kompromittierte Domains vom ADC-Auslöser aus. Der Bericht unterscheidet zwischen einer Domain, die für Missbrauch registriert wurde, und einem ursprünglich legitimen Namen, den Dritte später ohne Wissen oder Zustimmung des Inhabers ausnutzen. Umsetzungshinweise lassen aktuelle, zeitweise oder wiederkehrende Hinweise zu. Ist das Verhalten nicht kontinuierlich sichtbar, sollte die Meldung das Muster belegen.

Damit soll verhindert werden, dass eine glaubwürdige Kampagne übersehen oder aufgrund einer spekulativen Meldung eine breite Suche ausgelöst wird.

Die Empfehlungen 2 bis 4 halten den nächsten Schritt als Untersuchung begrenzt. Registrare sollen Informationen prüfen, die ihnen im normalen Betrieb vernünftigerweise zur Verfügung stehen, etwa Vertragsdaten, technische Systeme und Meldungen. Sie müssen nicht in jedem Fall jede Datenart berücksichtigen und keine Informationen erzeugen, die sie üblicherweise nicht besitzen. Eine angemessene Prüfung ist auch keine routinemäßige Durchsicht des gesamten Portfolios. Eine umfassendere Suche kann gerechtfertigt sein, wenn die Hinweise auf eine größere Kampagne deuten; ihr Umfang sollte aus den Belegen folgen.

Die Reihenfolge ist wichtig, denn Verbindung und Missbrauch sind zwei unterschiedliche Feststellungen. Zwei Domains mit demselben Konto können Anlass geben, eine gemeinsame Kontrolle zu prüfen. Das zeigt noch nicht, dass die zweite Domain für Phishing, Malware, Pharming, ein Botnetz oder Spam eingesetzt wird. Die ADC ist erst dann sachgerecht, wenn der Registrar jede verbundene Domain anhand der Missbrauchsdefinition bewertet und nicht bei einem passenden Feld aufhört.

Der Registrar bleibt auch in der Reseller-Kette verantwortlich

Der Entwurf verortet die Pflicht im Portfolio der vom Registrar gesponserten Domains. Er darf einen Reseller mit Untersuchungsschritten betrauen, soweit dieser über die entsprechenden Informationen verfügt; für seine vertraglichen Pflichten bleibt der Registrar jedoch verantwortlich. So bleibt gegenüber ICANN ein klarer Adressat für Compliance, während die Arbeit dort stattfinden kann, wo Kundendaten liegen.

Die Eingabe der Registrar Stakeholder Group unterstützt den Entwurf grundsätzlich, verlangt aber Klarstellungen. Die Wirkung sollte an Veränderungen der DNS-Missbrauchslage gemessen werden, nicht an der Zahl durchgeführter Checks, gesperrter Domains oder eröffneter Compliance-Fälle. Das ist eine wesentliche Unterscheidung: Prozessaktivität ist nicht gleich Wirkung.

Die Eingabe von Openprovider unterstützt einen evidenzbasierten Mindeststandard und benennt zugleich ein Betriebsproblem. In Wholesale-Modellen hält der Registrar möglicherweise Registrierungs- und technische Daten, während der Reseller Kundenbeziehung, Kontostruktur und weitere Informationen verwaltet. Damit wäre der Registrar für einen Prozess verantwortlich, dessen nützliche Hinweise anderswo liegen. Openprovider fragt zudem, wie lange ältere Hinweise relevant bleiben und wer beurteilt, ob eine Domain kompromittiert oder mit Missbrauchsabsicht registriert wurde. Eine allgemeine Zustimmungsquote löst diese Umsetzungsfragen nicht.

Die Verantwortungsregel funktioniert nur, wenn Befugnis und Fähigkeit zusammenpassen. Ein Registrar kann keine verhältnismäßige Prüfung nachweisen, wenn die Politik stillschweigend Daten voraussetzt, auf die er rechtlich oder vertraglich nicht zugreifen darf. Umgekehrt wird er seine Verantwortung nicht los, indem er die Aufgabe dem Reseller überträgt. Die endgültige Regel sollte festlegen, welche Mindestinformationen ein Registrar vernünftigerweise beschaffen kann, welche Schritte ein Reseller übernehmen darf und wann fehlende Daten die Untersuchung begrenzen, statt als Schuldbeweis zu gelten.

Schutzvorkehrungen müssen der Umsetzung standhalten

Der Entwurf enthält mehrere Grenzen: Einhaltung geltenden Rechts und vertraglicher Pflichten, Verhältnismäßigkeit und Datenminimierung, Vorsicht bei Fehlzuordnungen durch Datenschutzdienste, Reseller oder gemeinsam genutzte Infrastruktur sowie die Berücksichtigung möglicher Auswirkungen auf Domaininhaber. Nach zwei Jahren soll geprüft werden, ob ein einheitlicher Mindeststandard entsteht, Compliance bewertet werden kann und die Checks Kampagnen aufdecken und stören.

Vorgesehen sind zudem Aufzeichnungen aus dem normalen Geschäftsbetrieb: Auslöser und Zeitpunkt, Beginn der Prüfung, gesichtete Informationen, Zahl der identifizierten verbundenen Domains, gegebenenfalls getroffene Maßnahmen und die Gründe für einen angemessenen Umfang. Ein bestimmtes Format oder ein großes neues Datensystem wird nicht verlangt. Registrare sollen eine interne Prozessbeschreibung vorhalten, die ICANN auf Anfrage zugänglich ist. Ein Prüfpfad entsteht dadurch aber nur, wenn er zwischen einem Verbindungsindikator und einem Missbrauchsbefund unterscheidet.

Diese Unterscheidung betrifft reale Dienste. Eine Domain kann E-Mail, Kundenkonten, öffentliche Informationen oder andere legitime Nutzung tragen, auch wenn ein Teil kompromittiert oder missbraucht wird. Der ICANN-Hinweis von 2024 warnt, dass eine Sperrung legitime Inhalte und zugehörige Dienste unterbrechen kann. Die vorgeschlagene ADC ergänzt eine Untersuchungspflicht; sie ersetzt nicht die bestehende Pflicht, für jede Domain eine angemessene Maßnahme unter Berücksichtigung möglicher Folgeschäden zu wählen.

Eine Portfolio-Übereinstimmung als ausreichenden Sperrgrund zu behandeln, würde eine begrenzte Prüfung zu einer weitergehenden Sanktion machen, die der Bericht nicht vorsieht.

Die Erfolgsmessung bleibt ein offener Punkt. Der Entwurf sieht eine Überprüfung nach zwei Jahren vor und erwägt aggregierte Informationen von ICANN Contractual Compliance, dem Büro des CTO und Registraren. Zugleich erkennt er an, dass sich DNS-Missbrauch verändert und sich Gesamtrückgänge nur schwer einer einzelnen Regel zurechnen lassen. Die Zahl der Checks oder Mitteilungen würde zeigen, dass ein Prozess gelaufen ist; sie beweist nicht, dass Kampagnen gestört, legitime Inhaber vor Fehlern geschützt oder Täter an einem Wechsel von Registrar und Methode gehindert wurden.

Was die 85 Prozent zeigen – und was sie nicht entscheiden

Der ICANN-Ergebnisbericht verzeichnet 42 Eingaben. 41 lieferten klassifizierte Antworten zu acht vorläufigen Empfehlungen und fünf Umsetzungshinweisen, insgesamt 533. Rund 85 Prozent unterstützten den Text oder seine Absicht mit Änderungswünschen; 3 Prozent verlangten wesentliche Änderungen; keine Antwort wählte „nicht unterstützen / streichen“; und 12 Prozent entfielen auf „Sonstiges“. Je nach Output lag die Zustimmung zwischen etwa 78 und 90 Prozent.

Diese Zahlen sind bedeutsam: Sie zeigen breite Unterstützung unter den Beitragenden und geben der Arbeitsgruppe eine umfangreiche Grundlage. Aber 533 zählt Antworten auf einzelne Outputs, nicht 533 verschiedene Personen. Der Bericht selbst erklärt, dass die Kategorien den Inhalt der Kommentare nicht vollständig erfassen. 26 Eingaben enthielten zusätzliche Bemerkungen außerhalb der strukturierten Fragen; auch Unterstützer verlangten Änderungen zu Umfang, Schutzvorkehrungen, Resellern, Dokumentation und Messung. Kommentare informieren die Entscheidung, sie ersetzen sie nicht.

Diese institutionelle Unterscheidung wertet Beteiligung nicht ab. Die GNSO-Arbeitsgruppe kann im Rahmen ihres Mandats eine Empfehlung erarbeiten. Kommentierende können Annahmen prüfen, fehlende Auswirkungen aufzeigen und Textänderungen vorschlagen. Rat und Board haben in dem veröffentlichten Verfahren spätere Entscheidungsrollen. Beteiligung und Genehmigung zu trennen, weist jeder Handlung eine Funktion zu; es macht öffentliche Eingaben nicht bedeutungslos. Im vorliegenden Fall sagt der Ergebnisbericht ausdrücklich, dass aus den Kommentaren noch keine Änderungen übernommen worden waren.

Die nächste Fassung sollte die offenen Fragen beantworten: Beruht die Verbindung auf aussagekräftigen Hinweisen zur Kampagne oder nur auf einem leicht durchsuchbaren gemeinsamen Feld? Wird jede untersuchte Domain separat auf Missbrauch geprüft? Kann der Registrar darlegen, was er geprüft hat und warum der Umfang angemessen war? Bewahrt die Delegation an Reseller sowohl den Zugang zu Belegen als auch eine klare Verantwortungslinie? Kann die spätere Evaluation wirksame Störung von Prozessvolumen und Folgeschäden unterscheiden?

Die stärkste Idee des Entwurfs lautet nicht: „Prüfe jeden Namen, der mit einer gemeldeten Domain verbunden ist.“ Sie ist eine begrenzte Eskalation: Belastbare Hinweise zu einer gesponserten Domain können eine verhältnismäßige Untersuchung anderer Namen rechtfertigen, die mit derselben Aktivität verbunden sind; jede weitere Schlussfolgerung braucht aber ihre eigene Grundlage. Bewahrt die endgültige Regel diese Grenze, kann sie Portfolio-Kampagnen adressieren, ohne aus einer schwachen Verbindung ererbte Schuld zu machen.

Fehlt die Grenze, erschwert gerade die zur Kampagnenerkennung gedachte Flexibilität die Antwort auf die Frage, wann aus einem Hinweis ein Urteil wurde.