Ist jede fünfte neue Domain bösartig registriert? Über diese Zahl streitet die Branche seit Monaten

Die Grenzen benennt der Bericht selbst und deutlicher als die zitierte Zahl vermuten lässt:

The blocklist providers we use do not claim to detect or list all the abusive activity happening on the Internet. The data we have is only a subset of the abuse problem. Our numbers are a floor, and the number of domain names being used for abusive purposes is higher.

Dazu ein Beleg für die Erfassungslücke: Von den durch das FBI dokumentierten Domains des FUNNULL-Komplexes standen nur 56,6 Prozent überhaupt jemals auf den ausgewerteten Listen. Das sagt etwas darüber, wie viel den Listen entgeht, und nichts darüber, wie zuverlässig das, was darauf steht, ist.

Was ICANN einwendet

Der Beitrag von Siôn Lloyd, Sam Cheadle und Carlos Hernández Gañán setzt an drei Stellen an. Erstens unterscheidet er zwischen einer Domain, die als bösartig gemeldet wurde, und einer, für die belastbare Anhaltspunkte für eine Feststellung vorliegen. Das ist keine Wortklauberei, sondern der Unterschied zwischen einem Eintrag auf einer Liste und einer Grundlage, auf der ein Registrar eine Sperre stützen kann.

Zweitens verweist er auf den Zuschnitt der vertraglichen Definition. Als DNS-Missbrauch gelten dort Malware, Botnetze, Phishing und Pharming sowie Spam, soweit er zur Verbreitung einer dieser Formen dient. Betrug und Scams als solche gehören nicht dazu. Wer beides zusammenzählt, misst etwas anderes als das, wofür ICANN-Vertragspartner einzustehen haben.

Drittens, und das ist der schärfste Punkt, betrifft die Nachvollziehbarkeit. Nach Darstellung des Beitrags weist das Vorgehen von Interisle Ähnlichkeiten mit einer von ICANN veröffentlichten Methode auf, ohne dass die Abweichungen erläutert würden, was die Reproduktion und Bewertung erschwere.

Die wissenschaftliche Grundlage, auf die sich beide Seiten beziehen, ist älter als der Streit. COMAR wurde 2020 auf dem IEEE European Symposium on Security and Privacy von Sourena Maroofi, Maciej Korczyński, Cristian Hesselman, Benoît Ampeau und Andrzej Duda, also von der Universität Grenoble gemeinsam mit den Forschungsabteilungen von SIDN und AFNIC, vorgestellt. Der Ausgangspunkt der Arbeit ist genau der Punkt, um den heute gestritten wird: Bestehende Reputationslisten führen bösartig registrierte und kompromittierte Domains in denselben Einträgen zusammen, obwohl beide unterschiedliche Maßnahmen erfordern. Eine gekaperte Website eines Betriebs gehört nicht als eine Domain behandelt, die zum Betrug angelegt wurde. COMAR trennt die beiden Zustände anhand von 38 Merkmalen und erreicht nach Angaben der Autoren eine Genauigkeit von 97 Prozent bei 2,5 Prozent falsch-positiver Fälle. Für die praktisch einsetzbare Variante beschreiben sie eine Klassifikation ausschließlich anhand öffentlich verfügbarer und leicht zugänglicher Daten.

Was die Branche einwendet

Aus dem Kreis der Registrare kam der Widerspruch früher, und er geht weiter. EuroDNS hat am 13. Juni nach dem Treffen in Sevilla nicht nur die Schlussfolgerung angegriffen, sondern auch die Zahl selbst: Die Behauptung, jede fünfte neue Domain sei bösartig, beruhe auf unbestätigten Missbrauchsmeldungen. Dazu der Verweis auf die Ökonomie: Ein Registrar werde einmal für die Registrierung bezahlt, mit schmaler Marge, und verdiene nichts daran, was auf der Website dahinter geschehe. Missbrauch sei für ihn ein reines Verlustgeschäft. Verbunden damit ist die Forderung, dass ICANNs Technikbüro eigene Forschung beauftragen solle, die gemeinsam mit Registries, Registraren und Sicherheitsforschern entwickelt wird und den Missbrauch über die Ebenen Registrierung, Hosting, Plattform und Inhalt hinweg abbildet.

Christian Dawson von der i2Coalition hat die Frage am 17. Juli anders formuliert. Er bestreitet die Schäden nicht, sondern die Zuordnung:

A methodology built around counting malicious domains is naturally effective at identifying activity involving malicious domains.

Die größten Missbrauchsökosysteme seien nicht zwingend jene mit den meisten Domains, weil sich Schäden häufig auf wenigen Domains zentralisierter Plattformen bündelten. Ein Messrahmen, der den Umfang von Onlineschäden schätzen wolle, tauge deshalb nicht zwingend dazu, die Wirksamkeit von ICANN-Vertragspartnern zu bewerten. Sein Kernsatz lautet, dass die öffentliche Politik der Messung folgt, und die Frage sei nicht, ob mehr getan werden müsse, sondern wer dafür in der Lage sei.

Warum darum gestritten wird

Weil die Zahl in eine bereits laufende Debatte fällt. Seit April 2024 verpflichten die Verträge Registries und Registrare, gegen belegten DNS-Missbrauch vorzugehen; seither ist strittig, wie weit diese Pflichten reichen und welche Formen von Missbrauch einzubeziehen sind. Je nachdem, welche Messmethode zugrunde gelegt wird, verändert sich das Bild des Problems und damit die Frage der Verantwortlichkeit.

Bemerkenswert ist, wie wenig die Beteiligten in der Sache auseinanderliegen. Interisle bezeichnet seine Zahlen selbst als eine Untergrenze und dokumentiert damit die Erfassungslücke. ICANN bestreitet nicht, dass bösartige Registrierungen ein Problem sind, sondern verlangt die Trennung zwischen Meldung und Nachweis. Dawson bestreitet die Schäden nicht, sondern die Ableitung. Auch EuroDNS fordert keine Entwarnung, sondern eine belastbarere Grundlage. Der Streit betrifft die belastbare Größenordnung und, stärker noch, die Frage, was aus solchen Zahlen für Verantwortlichkeit und Regulierung folgt.

Solange die Klassifikationsregeln konkurrierender Methoden nicht offen nebeneinander liegen, bleibt die Debatte über Prozentwerte eine Debatte über Vertrauen. Eine gemeinsam entwickelte Untersuchung über mehrere Ebenen der Infrastruktur hinweg, wie EuroDNS sie vorschlägt, würde zumindest einen Teil dieses Vergleichsproblems beseitigen.

Quellen

• ICANN: Looking Beyond the Numbers, Understanding Malicious Domain Registration Data, 10. August 2026
• Interisle Consulting Group: Malicious Registrations in the Domain Name Market 2026 (PDF)
• EuroDNS: ICANN 86, The Internet Needs Better Data, Not Louder Claims, 13. Juni 2026
• CircleID: Christian Dawson, The Question Isn't Whether the Harm Is Real, It's Who Should Act, 17. Juli 2026
• Maroofi, Korczyński, Hesselman, Ampeau, Duda: COMAR, Classification of Compromised versus Maliciously Registered Domains, IEEE European Symposium on Security and Privacy 2020