ICANN
Der neue SSAD-Entwurf streicht die Akkreditierung aller Nutzer
Die GNSO hat einen neuen Entwurf für ein zentrales System vorgelegt, über das sich nicht öffentliche Inhaberdaten anfragen lassen. Nutzer müssen sich nicht mehr akkreditieren, automatische Entscheidungen entfallen. Dringende Anfragen sollen innerhalb von 24 Stunden beantwortet werden. Kommentare sind bis zum 23. Dezember möglich.
Das System heißt System for Standardized Access/Disclosure, kurz SSAD. Am 12. März hatte der ICANN-Vorstand die 18 ursprünglichen Empfehlungen nicht angenommen. Ein Team der GNSO hat daraus zwölf ergänzende Empfehlungen abgeleitet. Es stützt sich dabei auf die Erfahrungen aus dem Pilotdienst RDRS, der zwei Jahre lief.
Strafverfolger werden zuerst authentifiziert
Ursprünglich sollten alle Nutzer akkreditiert werden. Das wäre laut dem Team zu teuer. Künftig reicht ein Konto mit bestätigter E-Mail-Adresse. Zusätzlich können sich Nutzer authentifizieren lassen, zuerst Strafverfolger. Andere Gruppen können eigene Stellen dafür einrichten, sofern diese die Anforderungen von ICANN erfüllen. Die Authentifizierung bestätigt lediglich, wer anfragt. Einen Anspruch auf die Daten begründet sie nicht.
Automatisch entscheidet das System nichts. Ob Daten herausgegeben werden, entscheidet allein der Registrar oder die Registry. Eine vollständige Automatisierung sei derzeit nicht machbar, hatte der Ständige Ausschuss zum RDRS festgestellt. Freiwillig automatisieren dürfen Registrare weiterhin. Lehnen sie eine Anfrage ab, müssen sie dies begründen.
Dringende Anfragen müssen binnen 24 Stunden beantwortet werden
Dringend sind Anfragen bei Gefahr für Leben oder kritische Infrastruktur sowie bei der Ausbeutung von Kindern. Stellen können sie nur authentifizierte Nutzer. Registrare und Registries müssen den Eingang innerhalb von 2 Stunden bestätigen und innerhalb von 24 Stunden antworten. In Ausnahmefällen sind bis zu 72 Stunden erlaubt. Als Antwort zählen auch eine Ablehnung oder eine Rückfrage. Für alle anderen Anfragen gelten zwei Werktage für die Bestätigung und anschließend 30 Kalendertage für die Antwort. Anfragen zu Phishing, Malware oder Betrug sollen Vorrang haben.
Anfragen gehen standardmäßig an den Registrar. Registries können sich freiwillig beteiligen. Länderendungen, die RDAP nutzen, können sich später ebenfalls anschließen. Registrare sollen angeben, ob sie Anfragen nach den Daten hinter Privacy- und Proxy-Diensten prüfen.