ICANN
Mehr als die Hälfte der gemeldeten Missbrauchsdomains ist mit anderen Domains verbunden
Mehr als die Hälfte der als bösartig gemeldeten gTLD-Domains steht in Verbindung mit anderen Domains. Das zeigt ein Bericht der Technikabteilung von ICANN, der ausschließlich öffentliche Daten auswertet. Früher als Sperrlisten erkennt das Verfahren jedoch nur einen kleinen Teil. Der Bericht liefert Zahlen für die laufende Policy-Entwicklung zu verbundenen Domains.
ICANN hat den Bericht am 6. Oktober veröffentlicht. Verfasst haben ihn vier Fachleute aus dem Office des Chief Technology Officers. Datiert ist er auf den 18. September. Hintergrund ist das GNSO-Verfahren zur Bekämpfung von DNS-Missbrauch. Dessen Arbeitsgruppe schlägt vor, dass Registrare nach einem belegten Fall auch verbundene Domains prüfen. Sie können dafür Kundendaten und Kontodaten verwenden. Der Bericht geht einen anderen Weg.
Registrar, Nameserver und Zeitpunkt reichen oft
Ausgewertet wurden nur öffentliche technische Daten: Registrar, Nameserver, Registrierungszeitpunkt und IP-Adressen. Angaben zu Inhabern, Zahlungen oder Kundenkonten blieben außen vor. Ausgangspunkt waren junge gTLD-Domains, die Ende September 2025 auf Sperrlisten wie Spamhaus oder PhishTank gelandet waren. Rund 4.000 kamen täglich hinzu. Die Autoren nutzten drei Methoden. Zwei suchen Domains, die beim selben Registrar und mit denselben Nameservern kurz nacheinander registriert wurden. Bei der engsten lagen höchstens fünf Sekunden zwischen zwei Registrierungen. Die dritte sucht nach Domains, die am selben Tag dieselbe Kombination aus IP-Adresse und Nameserver nutzten. Anschließend filterten die Autoren nach ähnlichen Domainnamen.
Bei 56,4 Prozent der gemeldeten Domains fanden sie mindestens eine verbundene Domain. Bei Phishing waren es 57 Prozent, bei Malware und Botnetzen zusammen 43 Prozent. Für diese beiden Arten war die Stichprobe allerdings klein.
Nur 4,6 Prozent werden früher erkannt
Früher als die Sperrlisten erkannte das Verfahren nur 4,6 Prozent der Domains. Die Ursache sind Verzögerungen bei den Daten. Viele gTLD-Registries lieferten ICANN ihre Registrierungsdaten damals nur wöchentlich. Lägen die Daten nach 30 Minuten vor, wären es nach einer Modellrechnung 10 Prozent. Der neueste Registry-Vertrag schreibt inzwischen mindestens tägliche Lieferungen vor.
Die engste Methode fand je gemeldeter Domain im Schnitt 2,32 weitere, die damals noch auf keiner Sperrliste standen. Ein großer Teil stammt jedoch aus einer einzigen Kampagne. Sie erzeugte per Algorithmus Namen aus sechs Buchstaben und Ziffern, die alle dieselbe Endung hatten. Manche Schübe umfassten mehr als 6.000 Domains. Ohne diese Kampagne sinkt die Zahl der neu gefundenen Domains deutlich. Bei kommerziellen Sperrlisten sinkt sie je Domain von 2,53 auf 1,54. Bei frei Zugänglichen sinkt sie von 4,39 auf 0,99.