Von der Erkennung zur Umsetzung

Die Frage ist enger gefasst als „Wer hat versagt?“: Welche erkennbaren Verzögerungen zwischen validierten Beweisen und angemessenen Maßnahmen lassen sich vermeiden, und welche Maßnahme mindert den Schaden für die Opfer, ohne dass dabei inakzeptable Fehlalarme oder Kollateralschäden entstehen?

Der Geltungsbereich umfasst das vertraglich festgelegte gTLD-Ökosystem: Registranten, Wiederverkäufer, Registrare, Registries und die für die Vertragskonformität zuständige Stelle von ICANN. Hosting-Anbieter, CDNs, Browser, Zahlungsdienste, Werbeplattformen, nationale CERTs und Strafverfolgungsbehörden werden nur dann einbezogen, wenn sie die Beweiskette oder die Reaktionskette beeinflussen. Ländercode-TLDs unterliegen einer anderen Governance und gelten nicht als Gegenstand der „gTLD“-Verträge von ICANN.

Stand der zentralen Thesen

• Der Beitrag analysiert „ICANN“ als private Institution zur Governance und zur Durchsetzung vertraglicher Verpflichtungen innerhalb des Ökosystems „gTLD“. „ICANN“ ist keine staatliche Regulierungs- oder Strafverfolgungsbehörde, akkreditiert jedoch Registrare, schließt Verträge mit Registrierungsbetreibern ab und sorgt für die Einhaltung dieser Vereinbarungen; dieser begrenzte Aufgabenbereich entbindet die Institution nicht von ihrer Rechenschaftspflicht.
• Der Bereich von 60–85 % ist eine zentrale quantitative Schätzung im Schadensmodell der Studie. Er wird als überprüfbare Schätzung dargestellt, die sich aus expliziten Annahmen und Fallbeobachtungen ableitet – nicht als bereits feststehende Statistik für den gesamten weltweiten Betrug. Die Veröffentlichung eines Datensatzes auf Vorfallsebene, der die Zeitstempel für Erkennung, Benachrichtigung, Schadensbegrenzung und Schaden miteinander abgleicht, ist der nächste Schritt zur Belegung der Ergebnisse.
• Der Betrag von 100–150 US-Dollar ist eine überprüfbare technische Kostenschätzung für die kontinuierliche Erfassung und erste Triage anhand eines definierten Satzes von Daten zu zugänglichen Zonen, „Certificate Transparency“ und öffentlichen Feeds auf Standardinfrastruktur. Es handelt sich dabei nicht um die Kosten für vollständige globale Transparenz, rechtliche Prüfung, Einsprüche, Hochverfügbarkeit oder Durchsetzung. Das Papier behandelt diesen Wert daher als Richtwert, der anhand einer veröffentlichten Arbeitslast, eines Quellenverzeichnisses und eines Kostenprotokolls reproduziert werden kann – nicht als bereits bewährten universellen Preis. Diese Unterscheidung schränkt die Aussage ein, ohne die getestete Kostenasymmetrie auszublenden.
• Der in der Studie durchgeführte dreiwöchige Vergleich bezieht sich auf die Latenz bei der Einhaltung der Vorschriften und nicht auf eine allgemeine SLA für die Sperrung von Domains. ICANN’s Häufig gestellte Fragen zur Vertragseinhaltung Darin heißt es, dass die meisten Beschwerdearten drei aufeinanderfolgende Antwortfristen von jeweils fünf Werktagen durchlaufen können, bevor eine formelle Eskalation erfolgt, während viele böswillige Kampagnen über Stunden oder Tage hinweg andauern. In den Verträgen ist gesondert festgelegt, dass nach Vorliegen verwertbarer Beweise unverzüglich angemessene Abhilfemaßnahmen zu ergreifen sind. [2][4]
• Im Falle einer nachweislich böswilligen Registrierung, die ausschließlich einem bestimmten Zweck dient, serverHold Gehört zu den Maßnahmen auf DNS-Ebene mit den größten Auswirkungen, da dadurch die Delegierung aus der Zone entfernt wird. Die Maßnahme ist nicht universell anwendbar: Sie kann auch den E-Mail-Verkehr, Subdomains und legitime Dienste beeinträchtigen; zwischengespeicherte Antworten können bis zum Ablauf der TTL bestehen bleiben; und bei kompromittierten oder gemeinsam genutzten Diensten sind unter Umständen gezieltere Abhilfemaßnahmen erforderlich. [4][7]

Der erste Halbjahresbericht der ICANN zur Umsetzung der Änderungen von 2024 verzeichnete 192 Untersuchungen, mehr als 2.700 gesperrte Domains, mehr als 350 deaktivierte Phishing-Seiten und zwei formelle Vertragsverletzungsanzeigen (Notices of Breach). Diese Zahlen belegen nicht, dass die heutigen Kontrollen ausreichen; sie widerlegen jedoch die pauschale Behauptung völliger Untätigkeit. [5]

Manche Phishing-Kampagnen laufen über einen Zeitraum von Stunden oder Tagen. Bijmans et al. berichteten in einer Studie aus dem Jahr 2021 über eine durchschnittliche beobachtete Lebensdauer von 45 Stunden und einen Median von 24 Stunden für 1.288 Phishing-Domains. Eine Studie aus dem Jahr 2026 über neu registrierte Phishing-Domains ergab eine stark schiefe Verteilung: Bei 14.112 Domains mit messbarer Lebensdauer betrug der Mittelwert 8,6 Tage und der Median einen Tag. Keine der beiden Stichproben lässt sich auf alle Bedrohungsklassen verallgemeinern, doch beide zeigen, warum ein Prozess, der nur in Werktagen gemessen wird, kurzlebige Kampagnen übersehen kann. [11][12]

Der wirtschaftlich relevante Wert liegt häufig nicht in der Registrierungsgebühr, sondern in Traffic, Werbemitteln, Infrastruktur und Vertrauen, die sich um eine Domain herum aufgebaut haben. Diese Annahme ist plausibel; ihre Größenordnung variiert je nach Betrugskampagne. Der folgende Rechner legt daher sämtliche Eingaben offen, statt ein hypothetisches Ergebnis als beobachteten Durchschnitt auszugeben.

visits(T)   = daily_traffic × T / 24
victims(T)  = visits(T) × conversion_rate
proceeds(T) = victims(T) × average_loss × (1 − cashout_attrition)
profit(T)   = proceeds(T) − campaign_budget

„Verlust nach Aufdeckung“ kann nur dann als nützliches Ergebnis gewertet werden, wenn die Begriffe „Aufdeckung“, „Übermittlung“ und „Schaden“ einheitlich definiert sind. Ein Zeitstempel auf einer schwarzen Liste ist kein Beweis dafür, dass der Registrar verwertbare Beweise erhalten hat. Eine Wallet-Transaktion lässt sich nicht automatisch einer bestimmten Domain zuordnen. Die Tatsache, dass eine Domain nicht mehr erreichbar ist, gibt keinen Aufschluss darüber, welcher Akteur diese Änderung verursacht hat.

Mindestschema für Ereignisse

Post-notice harm share =
  attributable harm with t_harm > t_notice
  ─────────────────────────────────────────
  all attributable harm in the observation window

Für Zähler und Nenner muss dieselbe Zuordnungsregel gelten. In den Ergebnissen sollten die Kohorte, das Konfidenzintervall, die Rechtszensierung, fehlende Quellen, der Umgang mit doppelten Opfern sowie die Sensitivität gegenüber dem Beobachtungszeitraum angegeben werden. Die Bezeichnung „vermeidbar“ sollte einem kausalen Design oder zumindest einem gepaarten Vergleich vorbehalten bleiben – und nicht jedem Ereignis nach Bekanntgabe.

Kein einzelner Akteur hat den vollständigen Überblick über den Vorfall oder die Kontrolle darüber. Der Registrar kennt die Beziehung zum Registranten; die Registry kontrolliert den von ihr festgelegten Domainstatus; der Host und der CDN steuern die Bereitstellung von Inhalten; Browser und Sicherheitsanbieter steuern Warnmeldungen; Zahlungs- und Wallet-Anbieter können Übertragungen unterbrechen; Behörden können die Aufbewahrung oder Beschlagnahme anordnen. ICANN erstellt und setzt Verträge im gTLD-Ökosystem durch, betreibt jedoch keine universelle EPP-Steuerungsebene.

Verteilte Zuständigkeiten bedeuten nicht, dass die Verantwortung entfällt. Ein sponsernder Registrar entbindet sich nicht von seinen vertraglichen Pflichten, indem er die Bearbeitung von Missbrauchsfällen an einen Wiederverkäufer delegiert; die Registry kontrolliert den EPP-Status der Server; ICANN sorgt für die Einhaltung der vertraglichen Verpflichtungen. Der Prüfpfad muss nicht nur festhalten, wer gehandelt hat, sondern auch, wer verwertbare Beweise erhalten, den Fall weitergeleitet, nicht reagiert oder eine zugewiesene Pflicht nicht erfüllt hat. Die rechtliche Befugnis verbleibt bei dem Akteur, der zur Anwendung einer Maßnahme befugt ist; die Rechenschaftspflicht erstreckt sich auch auf dokumentierte Pflichtverletzungen.

Die globalen Änderungen vom April 2024 am Registrar Accreditation Agreement und am Base Registry Agreement begründeten ausdrückliche Pflichten zur Eindämmung von DNS Abuse. Registrare müssen unverzüglich handeln, wenn ihnen verwertbare Beweismittel dafür vorliegen, dass ein von ihnen betreuter Domainname für DNS Abuse genutzt wird. Registry-Betreiber müssen unverzüglich handeln, wenn sie auf Grundlage verwertbarer Beweismittel nach vernünftigem Ermessen feststellen, dass ein registrierter Domainname für DNS Abuse genutzt wird. In beiden Fällen hängt die angemessene Maßnahme von Kontext, Schweregrad und Kollateralauswirkungen ab. [2][3]

Drei Zeitachsen, die oft miteinander verwechselt werden

Diese Flexibilität hat Vorteile: Eine kompromittierte Universitätsdomain sollte nicht wie eine neu registrierte, ausschließlich für Phishing-Zwecke genutzte Domain behandelt werden. Das Problem bei der Rechenschaftspflicht besteht darin, dass sich „unverzüglich“ und „angemessen“ ohne veröffentlichte Zeitstempel, Fallkategorien und Ergebniscodes nur schwer miteinander vergleichen lassen. Der nachstehende Vorschlag sieht Mess- und Überprüfungsmechanismen vor, ohne dabei so zu tun, als gäbe es eine einheitliche Frist, die für alle Fälle gilt.

Phishing fällt ausdrücklich unter die vertragliche Definition von DNS Abuse. Schwieriger abzugrenzen sind Websites, die Nutzer unter einem eigenen Namen täuschen, statt sich als identifizierbarer Dritter auszugeben: etwa bestimmte fingierte Anlageplattformen, betrügerische Shops, Recovery Scams und Systeme zum Erschleichen von Wallet-Signaturen. Je nach Sachverhalt können diese als Missbrauch von Website-Inhalten, Verbraucherbetrug oder eine andere Rechtskategorie und nicht als vertraglicher DNS Abuse behandelt werden.

Eine politische Konsultation könnte prüfen, ob eine eng abgegrenzte, evidenzgestützte Kategorie wie VFHA in künftige Verträge, einen sektorübergreifenden Verweisungsrahmen oder nationales Recht gehört. Jede Erweiterung sollte eine präzise Schadensprüfung, belastbare Beweismittel, verhältnismäßige Abhilfen, eine Prüfung der Zuständigkeit und einen Einspruchsweg voraussetzen. Pauschale Bezeichnungen wie „Scam“ reichen nicht aus.

Ein Standard-Server kann öffentlich zugängliche Snapshots der an „gTLD“ teilnehmenden Zonendateien herunterladen und Änderungen lokal berechnen, ausgewählte „Certificate Transparency“-Ereignisse und offene Feeds erfassen, Zeichenfolgen normalisieren, Hashes berechnen und Kandidaten priorisieren. Das ist ein nützlicher, testbarer technischer Maßstab – keine „vollständige Überwachung des Internets“. Im zweiten Quartal 2026 meldete Verisign 401,6 Millionen Registrierungen über alle TLDs hinweg; CZDS deckt teilnehmende „gTLD“-Zonendateien ab und nicht alle TLDs, und CT erfasst öffentlich protokollierte Zertifikate oder Vorzertifikate und nicht jede aktive oder schädliche Domain. [8][9][17]

Der vorgeschlagene Rahmen ist eine Referenzarchitektur, kein automatischer globaler „Kill Switch“. Er standardisiert den Evidence Envelope, die Entscheidungsunterlagen und die Zeitstempel und lässt den befugten Betreiber zugleich die wirksamste Maßnahme mit den geringsten Kollateralauswirkungen wählen.

Evidenzstufen

Die „API“ sollte einen überprüfbaren Fall anlegen und einen nachprüfbaren Reaktions-Timer starten; ein Melder darf keinen Haltebefehl direkt erteilen können. Betrifft ein E3/E4-Fall eine böswillige Registrierung mit einem einzigen Zweck und läuft er ohne begründete Entscheidung oder wirksame Abhilfemaßnahmen ab, eskaliert das System ihn automatisch an den Registrierungsbetreiber oder einen anderen Akteur mit vertraglicher oder gesetzlicher Befugnis. A serverHold Ein Befehl darf nur von einem autorisierten Akteur stammen. Die automatische Eskalation und die Befugnis der Registrierungsstelle, bei Ablauf Maßnahmen zu ergreifen, sind vorgeschlagene Richtlinienänderungen und stellen keine Behauptungen über bestehende Befugnisse dar. Jeder Zustandswechsel wird signiert und dem Prüfprotokoll angehängt.

{
  "indicator": {"type": "domain", "value": "example.invalid"},
  "alleged_category": "credential_phishing",
  "observed_at": "2026-08-02T06:14:22Z",
  "evidence": [
    {
      "type": "http_capture",
      "sha256": "a3f1c9…",
      "collection_method": "isolated_browser_v2",
      "source_id": "reporter:ed25519:7c2a…"
    }
  ],
  "provenance_graph": "ipfs-or-object-store:sha256:91bd…",
  "collateral_context": {
    "registered_domain_scope": true,
    "shared_service": false,
    "mail_observed": true,
    "suspected_compromise": false
  },
  "requested_action": "review",
  "reporter_signature": "ed25519:…"
}

Eine erfolgreiche Antwort enthält eine Fall-ID, den empfangenden Akteur, die Nachweisstufe, Fehler hinsichtlich der Vollständigkeit, die voraussichtliche Bearbeitungszeit sowie eine öffentliche Transparenz-URL. Es darf keine konkrete Abhilfemaßnahme zugesagt werden, bevor ein zuständiger Akteur die Zuständigkeit und die Nebenwirkungen geprüft hat.

Service-Level-Ziele sollten Eingangsbestätigung, Triage, Entscheidung und wirksame Risikominderung getrennt messen. So wird Leistung vergleichbar, ohne eine Sperrung stets als richtige Folge zu unterstellen.

Dies sind vorläufige Zielwerte. Die korrekten Werte sollten anhand der beobachteten Bedrohungsdauer, des Personalbedarfs, der Fehlerkosten und der rechtlichen Vorgaben ermittelt und anschließend nicht als einfacher Durchschnittswert, sondern als Erreichungsverteilung veröffentlicht werden.

Eine schnelle Reaktion ohne Sicherheitsvorkehrungen kann fehlerhafte Daten zu Zensur, wirtschaftlicher Sabotage oder Infrastrukturausfällen eskalieren lassen. Eine solide Architektur behandelt daher Fehlalarme und Kollateralschäden als schwerwiegende Sicherheitsversagen.

Mindestgarantien für ein ordnungsgemäßes Verfahren

1. Für jede einschränkende Maßnahme werden der Grundcode, die Nachweisstufe und der zuständige Entscheidungsträger erfasst.
2. Ein Registrant kann eine datenschutzkonforme Begründung einholen und Gegenbeweise vorlegen.
3. Eilbeschwerden werden von einer Person geprüft, die die ursprüngliche Entscheidung nicht getroffen hat.
4. Die Aufhebung wird über denselben signierten Kanal weitergeleitet wie die ursprüngliche Maßnahme.
5. Gesamtstatistiken zu Fehlern und Wiederherstellungen sind öffentlich zugänglich; sensible Beweismittel unterliegen weiterhin einer Zugriffskontrolle.

Eine öffentliche Bewertung eines Registrars kann die Rechenschaftspflicht verbessern; naive Ranglisten werden jedoch durch Portfoliogröße, Quellenabdeckung, Kundenmix und die Unterscheidung zwischen böswilliger Registrierung und späterer Kompromittierung verzerrt. Eine Bewertung darf niemals die pauschale Sperrung aller Kunden eines Registrars rechtfertigen.

RQI = report as a vector, not a single opaque rank:

  coverage-adjusted validated-abuse rate
  median / p90 acknowledge, triage and decision times
  mitigation effectiveness and recurrence
  false-positive and reversal rates
  median / p95 appeal-resolution time
  evidence completeness and transparency rate

Always publish N, observation window, confidence intervals,
feed coverage and malicious-registration / compromise split.

Wenn für die Governance ein zusammengesetzter Index erforderlich ist, sollten vor der Auswertung Gewichtungskoeffizienten festgelegt, Sensitivitätstests durchgeführt und Backtests anhand von aus der Auswertung ausgeschlossenen Fällen vorgenommen werden. Die Ergebnisse sollten nach TLD, Größe der Registrierungsstelle, Bedrohungsklasse und Quelle der Nachweise aufgeschlüsselt werden. Das Ergebnis ist ein Signal zur Rechenschaftspflicht – kein automatisiertes Urteil über eine Domain.

Ein Transparenzregister kann Streitigkeiten darüber ausräumen, ob eine Benachrichtigung vorlag, wann sie zugestellt wurde und welche Maßnahmen daraufhin ergriffen wurden. Die Veröffentlichung aller Belege könnte jedoch Opfer, personenbezogene Daten, Ermittlungsmethoden und aktuelle Angriffswege offenlegen. Die Lösung ist ein gestaffelter Zugriff.

Jedes Update ist nur anfügbar, mit einem Zeitstempel versehen und signiert. Korrekturen löschen den Verlauf nicht, sondern fügen einen neuen Eintrag hinzu, der den alten ersetzt. Die öffentliche Suche sollte die Aufbewahrungsvorschriften einhalten, eine massenhafte Identifizierung von Betroffenen verhindern und Abhilfe bei unrichtigen personenbezogenen Daten bieten.

Ein aussagekräftiger Pilotversuch sollte klein genug für verlässliche Governance und groß genug zur Prüfung der Kausalkette sein. Vorgeschlagener Umfang: drei freiwillige Registrare, zwei Registry-Betreiber, ein Hosting-/CDN-Partner, zwei unabhängige Forschungsfeeds und ein qualifiziertes Einspruchsgremium. Studienprotokoll und Endpunktdefinitionen sollten vor der Fallzuweisung registriert werden.

Primäre Endpunkte der Pilotstudie

• Median und 90. Perzentil der Zeitspanne vom Vorliegen validierter Erkenntnisse bis zur wirksamen Eindämmung.
• Unterschied im zurechenbaren Schaden nach der Benachrichtigung oder einem vorab festgelegten Ersatzindikator für die Exposition der Betroffenen.
• Falsch-positiv-Rate, Schweregrad ungerechtfertigter Maßnahmen und mediane Wiederherstellungszeit.
• Wiederholung auf der Ebene desselben Registranten, Infrastruktur-Clusters und derselben Kampagne.
• Direkte Betriebskosten pro validiertem Fall und pro wirksamer Abhilfemaßnahme.

Die Reaktion auf DNS Abuse ist weder ein rein technischer Filter noch eine Aufgabe, die eine einzelne Institution allein lösen kann. Die geltenden Verträge von 2024 begründeten substanzielle Pflichten zur Risikominderung, lassen aber erheblichen Ermessensspielraum bei Beweismitteln, Zeitpunkt und Abhilfe. Dieser Spielraum ist für Verhältnismäßigkeit erforderlich; ohne vergleichbare Aufzeichnungen erschwert er zugleich die Leistungsbewertung.

1. Evidence Envelope standardisieren. Einheitliche Felder für Provenienz, Zeitstempel und Ergebnisse bei Meldenden, Registraren, Registries und Infrastrukturanbietern einführen.
2. Die Etappen separat messen. Veröffentlichen Sie die Zeiten für die Bestätigung, Triage, Entscheidung, Schadensminderung und Einspruch nach Bedrohungsklasse und Evidenzstufe.
3. Unterscheiden Sie eine böswillige Registrierung von einer Kompromittierung. Bei kompromittierten legitimen Diensten sollte vorrangig eine Behebung auf Pfad-/Kontoebene angestrebt werden; domänenweite Maßnahmen sollten nur in Fällen ergriffen werden, in denen sie verhältnismäßig sind.
4. Reaktionsziele pilotieren. Stundenbasierte Zielwerte für hochgradig gesicherte, ausschließlich böswillige Registrierungen testen, statt eine allgemeingültige Frist festzulegen.
5. Veröffentlichen Sie datenschutzkonforme Daten zur Rechenschaftspflicht. Verwenden Sie ein mehrstufiges Transparenzregister mit signierten Verlaufsdaten und eingeschränkten Nachweisen.
6. Bewertung der kausalen Auswirkungen. Man sollte eine schnellere Aussetzung nicht gleichbedeutend mit Kosteneinsparungen setzen, solange keine vorab registrierte Studie die Auswirkungen auf die Opfer und die Verlagerungseffekte untersucht hat.

Die konstruktive Schlussfolgerung lautet nicht, dass das ursprüngliche Problem verschwindet, sobald seine Behauptungen relativiert werden. Vielmehr können die zentralen Behauptungen nun überprüft werden: Der Schadensbereich von 60–85 % nach der Erkennung ist eine explizite quantitative Hypothese; 100–150 $ sind eine überprüfbare technische Budgetannahme für eine definierte Sensor- und Triage-Ebene; und Reaktionsziele im Stundenbereich können für hochgradig zuverlässige, zweckgebundene böswillige Registrierungen erprobt werden. Veröffentlichen Sie den Arbeitsaufwand, die Kosten, die Zeitstempel und die Ergebnisse, vergleichen Sie diese mit einer Basislinie und messen Sie Abweichungen und Fehler. Eine Bestätigung würde vertragliche und politische Änderungen rechtfertigen; eine Ablehnung würde aufzeigen, welche Annahme fehlgeschlagen ist.