Der wahre Feind ist nicht der Betrüger. Es ist der Registrar, der seine Schecks einlöst.

Seien wir mal ganz ehrlich, was die Betrugsbekämpfungsbranche nicht gerne laut ausspricht: Die meisten Betrüger sind keine kriminellen Genies. Sie gehen nicht raffiniert vor. Die meisten von ihnen sind kaum kompetent.

Hört auf, den Fußsoldaten hinterherzujagen

Wir verfolgen seit Jahren die Aktivitäten von Cyberkriminellen. Wir beobachten, wie sie sich von einem Betrugsmodell zum nächsten wandeln: heute Betreiber von Datendiebstahl-Tools, morgen Entwickler von Geldabzugsprogrammen, im nächsten Quartal Betreiber von Carding-Shops. Wir beobachten, wie sie ihre gefälschten Identitäten und ihre Infrastruktur verlagern – diesen Monat in die Schweiz, im nächsten in die Türkei. Sie verstecken sich nicht besonders gut. Sie hinterlassen Spuren, denen selbst ein Analyst im ersten Jahr folgen könnte. Die meisten von ihnen sind aus einem einfachen Grund in diesem „Geschäft“ gelandet: Sie hatten keinen anderen Ausweg und nicht genug Verstand für etwas Legitimes.

Warum wird das Problem also immer größer? Weil es unglaublich viele Übeltäter gibt und es rein rechnerisch sinnlos ist, sie einzeln aufzuspüren.

Schauen Sie sich unsere eigene Telegram-Analysplattform an. Allein in unserem Datensatz sind fast 130.000 böswillige Akteure erfasst – und das ist nur ein einziger Datensatz.

Rechnet man die Tausenden hinzu, die bei früheren Ermittlungen anderer Forschungsteams identifiziert wurden, ergibt sich ein klares Bild: Bei einer Population dieser Größenordnung kann man sich nicht durch Verhaftungen aus der Affäre ziehen. Man nimmt einen Akteur oder eine Gruppe fest – nach monatelanger juristischer Arbeit, grenzüberschreitenden Zuständigkeitsproblemen und Fallzahlen, die für die Strafverfolgungsbehörden kaum von Interesse sind – und schon tauchen in derselben Woche zehn Nachfolger auf. Der einzelne Betrüger ist ein billiger, austauschbarer Knotenpunkt.

Die Rechnung ändert sich erst, wenn sich die wirtschaftlichen Rahmenbedingungen ändern. Solange Betrug billig bleibt – günstige Domains, Registrare, die keine Fragen stellen, Krypto-Zahlungen ohne jegliche Überprüfung –, wird es ihn in großem Umfang geben. Die einzige Strategie, die sich skalieren lässt, besteht darin, Betrug teuer zu machen. Und das führt direkt zu denjenigen, die ihn derzeit billig machen:

Die Zahlen deuten auf eine Krise hin. Die Branche tut so, als sei es nur eine vorübergehende Schwäche.

Das ist nicht unsere Meinung. Das ist der dokumentierte Stand im Internet:

Lesen Sie diese letzte Zeile noch einmal. Die führende unabhängige Studie auf diesem Gebiet bestätigt genau unsere Aussage: Der Auslöser ist die nachlässige Praxis der Branche. Nicht das Genie der Betrüger. Nachlässigkeit. Und die Konzentration belegt dies: Interisle stellte fest, dass bei einer Kampagne eine Stichprobe von 37.000 Domainnamen im Zusammenhang mit Betrugsmaschen rund um unbezahlte Mautgebühren zeigte, dass 65 % wurden über einen einzigen chinesischen Registrar registriert.

Die Betrugswirtschaft ist nicht zufällig im Internet verteilt. Sie konzentriert sich auf bestimmte Registrare – denn Betrüger suchen nach Diskretion.

Registrare sind nicht neutral. Sie sind bezahlte Akteure.

Es gibt einen bequemen Mythos, wonach Registrare eine „neutrale Infrastruktur“ seien – passive Dienstleister, die kein Interesse daran haben, was auf den von ihnen verkauften Domains geschieht.

Das ist eine Lüge. Ein Registrar ist ein gewinnorientiertes Unternehmen, das direkt Einnahmen aus jeder Phishing-Domain erzielt, deren Sperrung es ablehnt. Jede ignorierte Missbrauchsmeldung bedeutet gesicherte Einnahmen. Jede Antwort nach dem Motto „Wir können Inhalte nicht beurteilen“ ist eine geschäftliche Entscheidung, die als rechtlicher Standpunkt getarnt ist.

Betrüger wählen einen Registrar nicht wegen der Preisliste oder des Designs aus. Sie entscheiden sich für den Registrar, der keine Fragen stellt, Domains nicht sperrt, Kryptowährungen ohne Identitätsprüfung akzeptiert und bei Missbrauchsmeldungen stillschweigend hinschaut. Das ist ein Markt. Das ist ein Produkt. Und die brancheninternen Daten zeigen, wer es verkauft. Laut Die Ergebnisse von Interisle, die fünf größten gTLD-Registrare gemessen am reinen Phishing-Aufkommen waren NameSilo, GoDaddy, GMO (Onamae), PublicDomainRegistry und NameCheap; normiert nach den verwalteten Domains waren die am häufigsten missbrauchten NiceNIC, URL Solutions, Aceville, WebNic und OwnRegistrar — wobei laut NiceNIC 45 % ihres gTLD-Portfolios im Zusammenhang mit Phishing gemeldet wurden.

Wer überwacht die Registrare? Technisch gesehen die ICANN. Praktisch gesehen niemand.

Über den Registrierstellen steht die ICANN. Über der ICANN steht niemand.

ICANN-Akkreditierungsvereinbarung für Registrare von 2013, Abschnitt 3.18, verpflichtet jeden akkreditierten Registrar vertraglich dazu, eine Kontaktstelle für Missbrauchsfälle zu unterhalten und angemessene sowie unverzügliche Maßnahmen zu ergreifen, um Missbrauchsmeldungen zu untersuchen und angemessen darauf zu reagieren. Auf dem Papier – eine einklagbare Verpflichtung.

In der Praxis? Ausgehend von dem, was wir täglich an vorderster Front beobachten, schätzen wir, dass ein einzelner missbrauchsanfälliger Registrar mindestens gegen 3.18 verstößt. ~1.000 Mal pro Jahr — ignorierte Meldungen, Schein-„Ermittlungen“, Phishing-Domains, die wochenlang aktiv blieben, während die Opfer Schaden erlitten. Rechnet man das auf die gesamte Branche über einen Zeitraum von fünf Jahren hoch, so beläuft sich die tatsächliche Zahl der Vorfälle der Kategorie 3.18 plausiblerweise auf eine Million ignorierter oder falsch bearbeiteter Meldungen. Niemand kennt die tatsächliche Zahl, da niemand verpflichtet ist, sie zu erfassen. Genau darum geht es.

Und das Durchsetzungsinstrumentarium der ICANN? Im Grunde genommen ein einziger „Atomknopf“: die Entziehung der Akkreditierung. Keine Geldstrafen. Keine abgestuften Sanktionen. Keine Entschädigung für die Opfer. Und dieser Knopf wird fast ausschließlich bei Registraren gedrückt, die bereits „tot“ sind – Hüllenfirmen, die ihre Gebühren nicht mehr zahlen. Warum? Weil die ICANN durch Gebühren genau jener Registrare finanziert wird, die sie „reguliert“. Einen großen, profitablen und missbrauchsanfälligen Registrar auszuschließen, bedeutet, sich selbst die Einnahmen zu entziehen. Sie ist strukturell nicht in der Lage, Durchsetzungsmaßnahmen zu ergreifen.

Die ICANN hat den Vorsitz der Regulierungsbehörde nominell übernommen – gerade um ihre Unabhängigkeit zu wahren und Regierungen fernzuhalten. Das Ergebnis: eine Regelung, vor der kein Registrar Angst hat. Ja, es gibt Präzedenzfälle – Aufforderungen zur Einhaltung der Vorschriften und Verwarnungen (Der Fall WebNIC (darunter). Sehen Sie sich die Folgen an. Ein scharf formulierter Brief im Vergleich zu einem Geschäftsmodell, das Millionen einbringt. Ein Compliance-System, bei dem die Einhaltung freiwillig ist, ist keine Regulierung. Es ist nur Show.

Fallstudie: NameSilo – „das am schnellsten wachsende“, das am schnellsten ignorierende

NameSilo ist ein börsennotiertes Unternehmen. Es legt Berichte für die Börse vor, aus denen ein Umsatz in Millionenhöhe hervorgeht, und vermarktet sich selbst als einer der am schnellsten wachsenden Domain-Registrare weltweit. Gleichzeitig steht es laut der oben zitierten unabhängigen Studie an der Spitze der Rangliste hinsichtlich des reinen Phishing-Volumens. Ein Zufall? Folgendes haben wir persönlich beobachtet:

Wie viele Anträge auf Schutz von US-Nutzern hat NameSilo direkt ignoriert, um keine Einnahmen zu verlieren? Wir antworten aus eigener Erfahrung: nicht nur viele – wir glauben, die Mehrheit. Und es gibt keinerlei Rechenschaftspflicht dafür.

Es kommt noch besser. NameSilo hat öffentlich beschrieben, wie es einem Kunden – von dem es behauptete, keine Beschwerden erhalten zu haben – dabei geholfen hat, die Erkennungen bei VirusTotal entfernen zu lassen. Folgen Sie der Logik:

• Aufforderung zur Sperrung einer Phishing-Domain: „Wir sind nicht in der Lage zu beurteilen, was böswillig ist.“
• Einem zahlenden Kunden helfen: plötzlich befugt, Erkennungsentscheidungen von Fortune-500-Sicherheitsanbietern außer Kraft zu setzen.

Man kann sich nicht gleichzeitig hinter technischer Inkompetenz verstecken und technische Kompetenz als Dienstleistung anbieten. Entscheiden Sie sich für das eine oder das andere. Das ist kein Zufall und auch kein Einzelfall. Es ist ein Muster: Das Geld lieben, nichts tun, niemandem Rechenschaft ablegen.

Was eine ICANN-Akkreditierung tatsächlich wert ist: Trustname, aktuell

Der Interessenkonflikt ist struktureller Natur und ganz einfach: Eine Regulierungsbehörde sollte ihre Einnahmen niemals direkt von den von ihr regulierten Parteien beziehen. Die ICANN tut dies – und wir verstehen, dass ihre rund 400 Mitarbeiter zweifellos mit dringenderen Angelegenheiten beschäftigt sind als mit der Sicherheit der Nutzer, deren Geldbeutel durch diese Domains leergeräumt werden sollen.

Hier erfahren Sie, was diese Akkreditierung in der Praxis heute konkret bedeutet. Bedenken Sie Folgendes: Treuhandname (Fewmoretaps OÜ) – ein Registrar, den wir ausführlich dokumentiert. Auf dem Papier handelt es sich um ein estnisches Unternehmen; operativ wird es von Weißrussland von einem einzigen Eigentümer und Geschäftsführer – seinem 100-prozentigen Anteilseigner, CEO und einzigen Mitarbeiter. Angegebener Umsatz für 2024: 120 €. Erst in diesem Jahr hat das Unternehmen ernsthaft mit dem Verkauf von Domains begonnen. Und seine ICANN-Akkreditierung (IANA #4318) lautet auch während der Liquidation des Unternehmens weiterhin aktiv. Von den rund 7.641 Domains, die das Unternehmen verwaltet, 86 % der aktiven Dateien sind nachweislich schädlich.

Genau diesen hat die ICANN ein Vertrauenssiegel verliehen. Und dies ist nicht unsere Einschätzung, wie das Unternehmen mit Missbrauch umgeht – es ist die von Trustname. eigene veröffentlichte Richtlinie zum Umgang mit Missbrauch:

„Gemäß den ICANN-Richtlinien muss dem Registrar in den meisten Fällen ein gültiger Gerichtsbeschluss oder die Zustimmung des Registranten vorliegen, um Maßnahmen gegen eine Domain ergreifen zu können.“

„Meldungen, die ausschließlich über automatisierte Systeme zur Bedrohungsanalyse eingehen, werden als Ermittlungsansätze und nicht als schlüssige Beweise behandelt … Trustname kann zudem eine Bestätigung anfordern, dass der mutmaßliche Missbrauch zum Zeitpunkt der Überprüfung weiterhin besteht.“

„Meldungen über Missbrauch, die über kostenlose oder anonyme E-Mail-Dienste (z. B. @gmail.com, @proton.me) gesendet werden, unterliegen einer zusätzlichen Überprüfung.“

„Wir beurteilen nicht die Rechtmäßigkeit der Inhalte einer Website und werden nur auf Anweisung der Strafverfolgungsbehörden oder in eindeutigen Fällen eines Verstoßes gegen unsere Nutzungsbedingungen tätig.“

Betrachtet man es als Ganzes, ist das Design unverkennbar: ein stichhaltiges gerichtliche Anordnung sich mit einem Bereich zu befassen; echte Entdeckungen, die zu bloßen „Hinweisen“ herabgestuft werden; die Aufforderung, den Betrug erneut zu bestätigen, ist noch am Leben zum Zeitpunkt der Überprüfung – nachdem sie die Sache lange genug hinausgezögert haben; zusätzliche „Überprüfung“ für alle, die über Gmail oder Proton Meldung erstatten; und eine pauschale Weigerung, Inhalte zu beurteilen, wobei höflich an „Wenden Sie sich an Ihren Hosting-Anbieter“ verwiesen wird. Verpackt man das noch in Datenschutzmaßnahmen der Registrare, die Kryptowährungen akzeptieren und physische Post aussortieren, dann hat man kein Verfahren zur Missbrauchsbekämpfung. Man hat durch Papierkram unantastbar — und es steht auf dem Briefkopf eines von der ICANN akkreditierten Registrars.

Dies belastet die ICANN unmittelbar. Eine von Belarus geführte Ein-Personen-Einrichtung mit einem Umsatz von 120 Euro – die sich in Liquidation befindet – verfügt über eine gültige Akkreditierung und veröffentlicht offen eine Richtlinie, die so gestaltet ist, dass niemals eine Sperrung erfolgt. Das wirksamste Mittel, über das die ICANN als Reaktion verfügt, ist ein Schreiben; die Reaktion, die wir auf solche Schreiben bisher gesehen haben, ist eine Aktualisierung der Nutzungsbedingungen, nicht eine Aussetzung. Eine Aufsichtsbehörde, deren strengste Sanktion ein Schreiben ist – auf das mit einer Änderung der Nutzungsbedingungen geantwortet wird –, ist keine Aufsichtsbehörde. Unterdessen verlieren jeden Tag echte Menschen Geld bei .com und andere Domains, die auf diese Weise durch die Betreiber laufen, während sich der Papierkram in die Länge zieht. Drei gerichtliche Anordnungen zur Abschaltung einer aktiven Phishing-Seite sind kein ordnungsgemäßes Verfahren; es ist eine Farce, und es ist eine Farce, die die ICANN durch die Akkreditierung der Betreiber, die dies fordern, unterstützt.

„Trustname“ ist kein seltsamer Zufall; es ist das Ergebnis einer billigen und unkontrollierten Akkreditierung. Mehrere EU-Länder – darunter Estland (Heimat einer langen Liste solcher Briefkastenfirmen, Keitaro (einschließlich) sowie Großbritannien mit seinen extrem günstigen Gründungskosten – verkaufen Unternehmens- und Dienstleistungszugänge zu einem Preis, der jede echte Überprüfung ausschließt. Das Ergebnis ist ein Umfeld, das von Grund auf von Misstrauen geprägt ist, selbst gegenüber seriösen Unternehmen, da niemand Kontrollen durchführt und niemand zur Rechenschaft gezogen wird. Auch bei bestimmten Betreibern mit Länderkürzeln sind wir auf Varianten derselben, gerichtlich angeordneten Barriere gestoßen; diese werden wir separat dokumentieren.

Die Lösung liegt auf der Hand: Geldstrafen und Haftung

Wir fordern keine Zensurbefugnisse. Wir fordern das, was in jeder anderen Branche bereits gilt: finanzielle Konsequenzen bei Vertragsverletzungen.

Die Registrare werden beklagen, dass man von ihnen „nicht erwarten könne, zu entscheiden, was Phishing ist“. Gegenfrage: Ihr seid in der Lage, das Geld anzunehmen und die Akkreditierungsverpflichtungen zu unterzeichnen – aber nicht in der Lage, diese einzuhalten? Wenn ein Registrar tatsächlich nicht in der Lage ist, eine Missbrauchsmeldung mit beigefügten Beweisen zu prüfen, hat er kein Recht auf eine Akkreditierung, die vertraglich genau dies vorschreibt.

Was sollte an seine Stelle treten: ein offenes Echtzeit-Missbrauchsregister

Wir schlagen keine zweite ICANN vor – wir brauchen keine. Zwei der tragenden Systeme des Internets zeigen bereits, wie die Lösung aussehen könnte: TLS/SSL-Zertifikattransparenz und WHOIS — offene, durchsuchbare, öffentlich zugängliche Unterlagen. Der Umgang mit Missbrauchsfällen sollte auf dieselbe Weise funktionieren: ein übersichtliches, öffentliches Register aller Missbrauchsmeldungen, die bei einer Registrierungsstelle eingehen, sowie der genauen Maßnahmen, die diese daraufhin ergriffen hat — mit Zeitstempel versehen, nachprüfbar und im Nachhinein nicht mehr zu leugnen.

Vor diesem Hintergrund bricht ein Großteil des heutigen Theaters zusammen:

• Es gibt keinen ausländischen Gerichtsbeschluss, um eine unmittelbare Bedrohung abzuwenden. Eine Phishing-Seite, die Geldbörsen leerräumt, stellt eine unmittelbare Gefahr dar; um sie zu sperren, sollte es keiner gerichtlichen Entscheidung von irgendeiner Insel in einer Offshore-Zone bedürfen. Die Beweise finden sich im Bericht, und aus den öffentlich zugänglichen Unterlagen geht hervor, ob die Registrierungsstelle Maßnahmen ergriffen hat.
• Die Triage lässt sich automatisieren. Die Registrare betonen, dass sie unter „Angriffen“ und unerwünschten Meldungen versinken – und genau das ist die Art von Filterung, die ein KI-Ebene funktioniert gut: das Rauschen herausfiltern, die begründeten Fälle an die Oberfläche bringen und jede Entscheidung protokollieren. Ein einfacher, ehrlicher Proxy vor der Missbrauchspipeline würde bereits besser abschneiden als das derzeitige, nicht standardisierte menschliche Verfahren. Dafür braucht man keinen ICANN-Nummer-2.
• Die Ausrede ist nicht mehr gültig. Ein Registrar erhält für jede verkaufte Domain eine Vergütung; der Umgang mit Missbrauch ist die andere Hälfte dieser Transaktion und keine Gefälligkeit. Die „Wir sind nicht qualifiziert“-Ausrede von NameSilo ist eine geschäftliche Entscheidung, keine technische Einschränkung – und ein Unternehmen, das tatsächlich nicht in der Lage ist, ein Phishing-Kit von legitimem Datenverkehr zu unterscheiden, sollte sich auf seine anderen Geschäftsbereiche konzentrieren, anstatt standardmäßig Betrugs- und Phishing-Aktivitäten zu unterstützen.
• Nie wieder „Wir haben keine Meldung erhalten.“ WebNic und NiceNic antworteten uns mit automatischen Standardantworten, in denen sie einen Screenshot verlangten, der dem Bericht bereits beigefügt war; NameSilo erklärte öffentlich, es habe „noch nie eine einzige Beschwerde gegeben“. Keine dieser Behauptungen hält einer Überprüfung anhand eines öffentlichen, mit Zeitstempeln versehenen Protokolls stand.

Und das Hauptbuch zieht die einzige Konsequenz, auf die es ankommt durchsetzbar. Wenn ein Opfer Geld an eine Domain verliert Tage später Da bereits ein fundierter Bericht vorlag – und aus den öffentlichen Unterlagen hervorgeht, dass der Registrator diesen zurückhielt –, handelt es sich hierbei nicht mehr um eine bedauerliche Grauzone. Es handelt sich um ein dokumentiertes Versäumnis mit einem zeitlichen Bezugspunkt, und der Registrator sollte für diesen konkreten Vorfall finanziell haftbar gemacht werden.

Das ist der gesamte Mechanismus. Sobald das Ignorieren einer Meldung mehr kostet als das Ergreifen von Maßnahmen, hat die Ausrede „Wir sind nicht qualifiziert“ ein Ende, finden die Meldestellen plötzlich Mittel und Personal, und die Betrüger, die sich Schweigen erkaufen wollen, stellen fest, dass es kein Schweigen mehr zu kaufen gibt – und geben still und leise die Domains auf, auf die sie gesetzt hatten.

Transparenz ist die Lösung. Man kann einen Bericht, dessen Erhalt für alle sichtbar ist, nicht einfach stillschweigend ignorieren.

Fazit

$16 billion in reported losses in a single year. Phishing up 180% since 2021. 130,000 malicious actors in one monitoring dataset alone. And the entire pipeline still starts the same way: a cheap domain, sold by a registrar that will never answer for its silence.

Der Betrüger ist das Symptom – ein austauschbarer, meist einfältiger Knotenpunkt in einer Wirtschaft der Verzweiflung. Der Registrar, der seine Kryptowährung mit einem Lächeln entgegennimmt, zwanzig Missbrauchsmeldungen ignoriert und anschließend öffentlich darüber lügt – das ist die Krankheit. Und die rein kosmetische „Regulierung“ der ICANN ist das Immunsystem, das beschlossen hat, nicht in Aktion zu treten.

Betrug wird genau so lange weit verbreitet bleiben, wie er billig bleibt. Und er wird genau so lange billig bleiben, wie die Registrare schweigen – und für ihr Schweigen nichts bezahlen müssen.

Quellen und Literaturhinweise

1. FBI Internet Crime Complaint Center (IC3) — Bericht über Internetkriminalität 2024 (859.532 Beschwerden; gemeldete Verluste in Höhe von 16,6 Mrd. $; Phishing/Spoofing an erster Stelle hinsichtlich der Anzahl der Beschwerden).
2. Interisle Consulting Group — Phishing-Landschaft 2025 (≈2 Mio. Phishing-Angriffe; +180 % seit 2021; Konzentration bei Registraren/TLDs; Stichprobe mit 37.000 Domains im Zusammenhang mit Mautbetrug).
3. ICANN — Vereinbarung über die Akkreditierung von Registraren von 2013, § 3.18 (Anlaufstelle bei Missbrauch; Pflicht, angemessene und unverzügliche Maßnahmen zu ergreifen, um Missbrauchsfälle zu untersuchen und darauf zu reagieren).
4. Einhaltung der ICANN-Vertragsbedingungen — Mitteilung über einen Datenschutzverstoß an Web Commerce Communications (WebNic), 29. Juli 2025.

Die Zahlen stammen aus den oben genannten Primärquellen; die Interpretation und die Erläuterungen stammen von den Autoren.