Zusammenfassung

  • Jede Missbrauchsmeldung muss entgegengenommen, bestätigt und untersucht werden. Die stärkere Pflicht zur Mitigation beginnt jedoch erst, wenn leicht verfügbare Informationen die vernünftige Feststellung erlauben, dass ein gTLD-Name für die vertraglich definierten Formen von DNS-Missbrauch genutzt wird.
  • Verlangt wird, diese Nutzung durch eine zügige und verhältnismäßige Maßnahme zu stoppen oder zu stören. Der Vertrag macht die Sperre nicht automatisch, setzt keine einheitliche Frist und gibt ICANN keine allgemeine Zuständigkeit für Webinhalte und Hosting.

Eine Meldung kommt mit Domain, Bildschirmfoto und Forderung: „Nehmen Sie sie vom Netz.“ Die Formulierung scheint Schaden in eine klare Anweisung zu verwandeln. Die ICANN-Verträge trennen dagegen Eingang, Untersuchung, Beweisbewertung und Maßnahme. Sie unterscheiden außerdem einen böswillig registrierten Namen von einer legitimen, kompromittierten Domain.

Zuerst kommt die Annahme. Abschnitt 3.18.1 des Registrar Accreditation Agreement verlangt eine leicht erreichbare Missbrauchsadresse oder ein Webformular, eine Empfangsbestätigung und angemessene, zügige Schritte zur Untersuchung und Antwort. Eine unvollständige Meldung darf nicht einfach verschwinden. Der Beleg schafft eine nachvollziehbare Spur; die Untersuchung klärt Zuständigkeit und welche Informationen der Registrar vernünftigerweise selbst beschaffen kann.

Danach folgt die Schwelle der handlungsfähigen Beweise. Nach 3.18.2 muss ein Registrar, der solche Beweise für die Nutzung eines von ihm betreuten Namens zu DNS-Missbrauch besitzt, umgehend die vernünftigerweise notwendigen Schritte ergreifen, um diese Nutzung zu stoppen oder zu stören. Die ICANN-Handreichung versteht darunter verfügbare Informationen, die eine vernünftige Feststellung erlauben. Bei Phishing machen die vollständige URL, ein Bild der gefälschten Seite, das imitierte Unternehmen und die Nachricht mit dem Link die Behauptung prüfbar. Registrierungsdatum, Nameserver, EPP-Status und Kontobewegungen liefern weiteren Kontext.

Die Schwelle beseitigt die Untersuchungspflicht nicht. Ein Registrar kann Kunden- oder DNS-Daten besitzen, die dem Meldenden fehlen. „Die Eingabe beweist den Fall noch nicht“ ist nicht gleichbedeutend mit „es gibt nichts zu untersuchen“. So wird eine schwache Meldung weder zur automatischen Sanktion noch zum bequemen Ende eines prüfbaren Falls.

Auch der sachliche Umfang ist begrenzt. DNS-Missbrauch bedeutet in diesen Verträgen Malware, Botnetze, Phishing, Pharming und Spam, wenn er eine der anderen vier Formen verbreitet. Betrug, Verleumdung, Urheberrechtsverletzung oder sonstige rechtswidrige Inhalte können anderen Gesetzen und Regeln unterliegen. Sie werden nicht allein wegen einer Domain zum vertraglichen DNS-Missbrauch. Die Änderung von 2024 ist kein allgemeines Inhaltsrecht für das Internet.

Sobald die Beweise handlungsfähig sind, wird der Spielraum kleiner, verschwindet aber nicht. Eine frisch registrierte Domain mit nichts als einem falschen Bank-Login unterscheidet sich von einer lange genutzten Unternehmensdomain mit einem kompromittierten Subdomain-Bereich. Die erste zu sperren kann die Kampagne unmittelbar stoppen. Die zweite zu sperren kann legitime Websites, E-Mail und unbeteiligte Subdomains abschalten. Eine Mitteilung an Inhaber, Betreiber oder Hoster mit klarer Frist kann den Missbrauch bei geringerem Kollateralschaden stören.

Die Registry arbeitet auf einer anderen Ebene. Stellt sie anhand handlungsfähiger Beweise vernünftigerweise fest, dass ein Name in ihrer TLD für DNS-Missbrauch genutzt wird, muss sie zügig zum Stoppen oder Stören beitragen. Mindestens muss sie Name und Beweise an den zuständigen Registrar weitergeben oder direkt handeln, wenn dies angemessen erscheint. Der Registrar ist meist näher am Kundenkonto; die Registry kann bei einer Bedrohung über mehrere Registrare hinweg, etwa einem Botnet-Domain-Generator, besser aufgestellt sein. Der Vertrag weist Verantwortung zu und veranstaltet keinen Wettbewerb um die härteste Maßnahme.

„Zügig“ ist keine universelle Stundenzahl. Fortlaufende Aufmerksamkeit muss dem möglichen Opferschaden entsprechen. Eine unmittelbar drohende Massenkampagne kann Handeln in Stunden verlangen; ein kompromittierter legitimer Dienst braucht möglicherweise genug Prüfung, damit die Abhilfe nicht den schützenswerten Dienst zerstört. Die Zeitangaben in ICANN-Beispielen sind Erläuterungen, keine Vertragsfristen.

Eine Eskalation an ICANN verlangt eine weitere Beweisschicht. Der Leitfaden fordert die betroffenen gTLD-Namen, Erklärung und Nachweis des Missbrauchs, den Beleg der vorherigen Meldung an Registrar oder Registry, weitere Kommunikation und eine Begründung für die unzureichende Antwort. Das Dashboard vom Mai 2026 zeigt viele ungültige oder nicht handlungsfähige Beschwerden, weil der vorherige Bericht nicht belegt war. Das macht den Schaden nicht unwirklich; es zeigt, dass Contractual Compliance einen Vertragsverstoß prüft und deshalb Missbrauch, Verantwortlichen, Mitteilung und Reaktion verbinden muss.

Der Vertrag ordnet nicht die Sperre jedes Namens an und verspricht nicht, dass eine DNS-Maßnahme Inhalte beim Hoster löscht. Er unterstellt ccTLDs, Hostinganbieter und Website-Administratoren nicht den gTLD-Verträgen. Sein durchsetzbares Versprechen ist präziser: Tragen die Beweise eine vernünftige Feststellung, muss die Vertragspartei zügig die Befugnisse einsetzen, die sie tatsächlich besitzt, um den definierten Missbrauch zu stoppen oder zu stören und vermeidbare Nebenwirkungen zu begrenzen.

Quellen