„Nach den derzeitigen Kriterien würden wir etwa zehn Prozent überprüfen“

Wie viele Prüffälle erwarten Sie im Monat?

Nach den derzeitigen Kriterien würden wir etwa zehn Prozent der neu registrierten Inhaberdaten einer Überprüfung zuführen. Das wären zum Beispiel in der ersten Septemberwoche rund 300 Inhaber.

Privatperson oder Organisation: Die Angabe des Inhabers zählt

Woher weiß nic.at, ob ein Inhaber eine natürliche oder eine juristische Person ist? Verlassen Sie sich auf die Angabe oder prüfen Sie sie?

nic.at hat schon sehr lange im Datenmodell ein Typ-Feld, in dem man angeben kann, ob es sich um eine Privatperson oder eine Organisation handelt. Dieses Feld hat sich bereits bei der Umsetzung der DSGVO bestens bewährt und kommt uns nun sehr zugute. Wir übernehmen hier die Angaben des Domaininhabers, so wie bei allen anderen Feldern. Ein entsprechender Nachweis wäre nur im Rahmen einer Verifizierung zu erbringen.

Aus der Praxis können wir sagen, dass es seit Einführung der DSGVO zu diesem Themenkomplex keinerlei Probleme gab. Wenn, dann gab es Privatpersonen, die gerne ihre Daten bewusst veröffentlicht haben wollten. Jedenfalls hat sich ein explizites Feld, das vom Inhaber befüllt wird, sehr bewährt gegenüber Lösungen, in denen versucht wird, aus Namen oder Firmenzeichnungen etwas abzuleiten. Im Streitfall ist zu entscheiden, ob die Angaben des Inhabers korrekt waren oder nicht, so wie auch bei anderen Datenfeldern.

Was gilt für Einzelunternehmer und Freiberufler, die unter ihrem eigenen Namen firmieren?

Genau das oben Gesagte. Die DSGVO zielt leider nicht auf eine Unterscheidung von privater oder gewerblicher Nutzung ab. Wobei wir es als unproblematisch erachten, wenn ein Einzelunternehmer sich als Organisation deklariert, weil er eben möchte, dass sein Name und seine Kontaktinformationen öffentlich sichtbar sind. Das entspricht dann ja in etwa auch der Impressumspflicht gewerblicher Webseiten und ist für potenzielle Kunden vertrauensstiftend.

Telefonnummern natürlicher Personen werden erhoben, jedoch nicht veröffentlicht. Wer bekommt sie zu sehen?

Der vollständige Datensatz liegt in der Registry und ist für die nic.at und die Registrare einsehbar, wobei hier eine Veröffentlichung oder Verwendung untersagt ist, sofern es sich nicht um die Übernahme einer Domain im Kundenauftrag handelt.

Für die Gefahrenabwehr nur von begrenztem Nutzen

Sie gehören zur Leitung von CERT.at. Welche Rolle spielen dort die Domain-Inhaberdaten in der täglichen Arbeit? Die Begründung für Artikel 28 lautet ja, dass vollständige Daten die Abwehr von Missbrauch erleichtern.

Also grundsätzlich sind vollständige, korrekte und aktuelle Inhaberdaten natürlich wichtig, nicht zuletzt auch im Eigeninteresse des Domaininhabers. Für die Bekämpfung von Missbrauchsfällen im Allgemeinen und zur Gefahrenabwehr auf Bedrohungen der kritischen Infrastruktur im Besonderen, und darum geht es ja im Kontext NIS2 vor allem, spielen sie aber eine untergeordnete Rolle.

Geht man von organisierter Kriminalität oder gar state-driven actors aus, so ist schnell klar, dass es keinen Mangel an gefälschten oder missbräuchlich verwendeten Identitäten gibt. Diese Lektion hat man schon in anderen Bereichen wie der Telefonie oder dem Bankwesen gelernt. Wir sehen auch ganz konkret seit etwa 18 Monaten eine Zunahme an Dokumentenfälschungen beziehungsweise Vorlage gestohlener Ausweisdokumente, bis hin zu zweifelhaften Video-Ident-Beweisen, wobei man hier als Privatunternehmen so gut wie keine Möglichkeiten hat, seriöse Prüfungen durchzuführen. Auch die Unterstützung der Behörden ist maximal auf Einzelfälle beschränkt und schon gar nicht zeitnah.

Eine weite Verbreitung von eID-Verfahren etc. kann hier durchaus niederschwellige Identifikationen erleichtern, wird aber gerade die Angreifer, die mit erheblichen technischen und finanziellen Mitteln ausgestattet sind, keineswegs abhalten.

Weil es jetzt echte Verifizierungsmails gibt, funktionieren gefälschte besser. DENIC hat im August davor gewarnt. Schafft die Pflicht aus Artikel 28 eine neue Angriffsfläche?

Bei jeder Art von breit gestreuter Information besteht die Möglichkeit, dass es hier Trittbrettfahrer gibt. Wichtig wäre vor allem, dass auch Registrare und Reseller die Domaininhaber ihrerseits informieren. Leider ist dieses Thema außerhalb der Branche immer noch weitgehend unbekannt.

„Artikel 28 ist insgesamt ein Fremdkörper“

Wo lässt das Gesetz Fragen offen, die Sie in der Praxis beantworten müssen?

Der Artikel 28 ist insgesamt ein Fremdkörper in einem Gesetz, das sich im Kern mit gesamtstaatlicher kritischer Infrastruktur und Versorgungssicherheit befasst. Hier geht es eben genau nicht um Missbrauch wie zum Beispiel Fakeshops, in denen potenziell gefälschte Markenprodukte verkauft werden, oder illegal Filme zum Download angeboten werden. Mit Sicherheit erwarten wir aber genau aus dieser Richtung Anfragen, die aber mit dem Kern des NIS2-Gesetzes eigentlich nichts zu tun haben.

In den Fällen, wo ein tatsächlich relevanter technischer Grund vorliegt, eine Domain rasch offline zu nehmen, werden die Prozesse zur Inhaberprüfung aber meistens viel zu langsam sein. Missbrauch passiert häufig in den ersten 24 bis 48 Stunden. Das ist aber jedenfalls kürzer als eine angemessene Frist, die man einem Inhaber zur Reaktion auf eine Anfrage wohl einräumen muss.

Viele Textstellen sind auch unklar, wie zum Beispiel das Verbot der Mehrfacherhebung (Anmerkung der Redaktion: Artikel 28 Absatz 6 der NIS2-Richtlinie bestimmt, dass die Pflichten aus den Absätzen 1 bis 5 nicht zu einer doppelten Erhebung von Registrierungsdaten führen dürfen) oder die widersprüchlichen Ausführungen, welche Kontaktdaten zu prüfen sind. An einer Stelle wird von mindestens E-Mail oder Telefonnummer gesprochen, an anderer Stelle wieder von: Alle erhobenen Daten sind auf Korrektheit zu prüfen.

Die größte Herausforderung sehe ich in der Frage, wie gTLDs damit umgehen. Gerne wird der Absatz zur Vermeidung der Mehrfacherhebung als Freibrief für eine thin registry gelesen, was natürlich den Vorteil bietet, dass man als Registry keine Daten prüfen muss, die man nicht hat. Das erscheint dann aber doch ein deutlicher Widerspruch zur Anforderung, dass alle Beteiligten, Registry, Registrare und Reseller, für die Vollständigkeit und Korrektheit zuständig sind. Potenziell ergibt sich hier ein Nachteil für ccTLDs, die genau die Vorgaben des Gesetzgebers umsetzen, und globalen Playern, die sich auf sehr bequeme Standpunkte zurückziehen.

Was auch immer wieder für Verwirrung sorgt, ist der Umstand, dass zwar einige Registrare aufgrund ihrer Größe nicht per se unter NIS2 fallen, aber dennoch die Anforderungen aus Artikel 28 erfüllen müssen. Angekündigt ist schon eine Änderung hinsichtlich der Größenkriterien bei DNS-Betreibern. Das wäre mit Sicherheit ein sinnvoller Schritt, da die derzeitige Regelung deutlich überzogen ist und ganz klar eine weitere Marktkonzentration bewirken wird, die in vielerlei Hinsicht nicht im gesamtstaatlichen Interesse sein kann.

Quellen

• nic.at: NISG 2026, was sich für .at-Domains ändert, 21. August 2026
• Richtlinie (EU) 2022/2555 (NIS2), Artikel 28