Ein Bericht von Interisle beziffert bösartige Registrierungen im gTLD-Markt auf zehn Prozent der Neuregistrierungen, hochgerechnet auf bis zu zwanzig Prozent. ICANNs Forschungsteam vermisst die Nachvollziehbarkeit der Methode. Aus der Branche kommen unterschiedliche Einwände: EuroDNS bestreitet die Größenordnung, die i2Coalition die daraus abgeleitete Schlussfolgerung.
Der Streit läuft seit dem Frühjahr und hat inzwischen vier benannte Beteiligte. Anlass ist der Bericht "Malicious Registrations in the Domain Name Market" der Interisle Consulting Group, verfasst unter anderem von Karen Rose und Greg Aaron. Am 10. August 2026 hat sich ICANNs Forschungsabteilung für Sicherheit, Stabilität und Resilienz zu Wort gemeldet, und zwar nicht mit eigenen Zahlen, sondern mit einer Auseinandersetzung darüber, wie solche Zahlen entstehen.
Was Interisle zählt
Der Bericht wertet Domains aus, die im Jahr 2025 unter generischen Endungen neu registriert wurden, und prüft ihren Listungsstatus bis zum 30. April 2026. Beobachtet wurden dabei 8,5 Mio. gelistete Domains, rund zehn Prozent der 85 Mio. Neuregistrierungen. Alles Weitere ist eingerechnet: Fortgeschrieben auf das Jahresende 2026 erwartet Interisle 10,1 Mio. oder zwölf Prozent, und erst unter Einbeziehung einer Hochrechnung auf verbundene, selbst nicht gelistete Registrierungen kommt der Bericht auf bis zu 16,8 Mio. und damit auf jene zwanzig Prozent, die seither zitiert werden. Die Unterscheidung ist für die Debatte wesentlich: Zehn Prozent sind die von Interisles beobachtete und klassifizierte Untergrenze, zwanzig Prozent ein Modellwert.
Die Verteilung ist ungleich. Bei den absoluten Zahlen führt .com mit 1,93 Mio., was dort 4,9 Prozent der Neuregistrierungen entspricht, gefolgt von .top mit 1,79 Mio., .info mit 562.000 und .bond mit 514.000. Nach Anteilen sieht es anders aus: .locker mit 72,9 Prozent, .lgbt mit 72,2 Prozent und .town mit 70,2 Prozent. Auf der Registrarseite entfallen auf Dynadot, Gname, Namecheap, NameSilo und GoDaddy zusammen die Hälfte aller Listungen, die höchste Quote weist NiceNIC International mit 87,6 Prozent auf.
Wie er zählt
Ausgangspunkt sind acht Reputationslisten, darunter der APWG-Phishingfeed, OpenPhish, PhishTank, die Spamhaus DBL, SURBL und URLhaus; ergänzend hat Interisle Domainlisten aus dokumentierten Cybercrime-Fällen einbezogen. Aus einer Listung allein ergibt sich jedoch noch nicht, dass eine Domain zu diesem Zweck registriert wurde. Dafür zieht der Bericht mehrere Kriterien heran. Das Wichtigste ist das Alter: Eine innerhalb von 90 Tagen nach der Registrierung gelistete Domain stuft Interisle als bösartig ein, weil solche Domains nach früheren Untersuchungen typischerweise zu jung für eine Kompromittierung sind. Weitere Indikatoren sind Auffälligkeiten im Namen selbst, etwa Bestandteile wie "login" oder "security", sowie Markennamen und deren Varianten und Hinweise auf eine gemeinsame Kontrolle. Als Massenregistrierung gilt, wenn beim selben Registrar mindestens zehn gelistete Domains mit höchstens zehn Minuten Abstand voneinander vorliegen.
Für die Hochrechnung auf verbundene, selbst nicht gelistete Domains gelten strengere Anforderungen, die zusammen erfüllt sein müssen: gleicher Registrar, enge zeitliche Nähe, gemeinsame Infrastruktur und charakteristische Namensmuster. Die so gebildeten Gruppen hat Interisle zusätzlich manuell geprüft.
Die Grenzen benennt der Bericht selbst und deutlicher als die zitierte Zahl vermuten lässt:
The blocklist providers we use do not claim to detect or list all the abusive activity happening on the Internet. The data we have is only a subset of the abuse problem. Our numbers are a floor, and the number of domain names being used for abusive purposes is higher.
Dazu ein Beleg für die Erfassungslücke: Von den durch das FBI dokumentierten Domains des FUNNULL-Komplexes standen nur 56,6 Prozent überhaupt jemals auf den ausgewerteten Listen. Das sagt etwas darüber, wie viel den Listen entgeht, und nichts darüber, wie zuverlässig das, was darauf steht, ist.
Was ICANN einwendet
Der Beitrag von Siôn Lloyd, Sam Cheadle und Carlos Hernández Gañán setzt an drei Stellen an. Erstens unterscheidet er zwischen einer Domain, die als bösartig gemeldet wurde, und einer, für die belastbare Anhaltspunkte für eine Feststellung vorliegen. Das ist keine Wortklauberei, sondern der Unterschied zwischen einem Eintrag auf einer Liste und einer Grundlage, auf der ein Registrar eine Sperre stützen kann.
Zweitens verweist er auf den Zuschnitt der vertraglichen Definition. Als DNS-Missbrauch gelten dort Malware, Botnetze, Phishing und Pharming sowie Spam, soweit er zur Verbreitung einer dieser Formen dient. Betrug und Scams als solche gehören nicht dazu. Wer beides zusammenzählt, misst etwas anderes als das, wofür ICANN-Vertragspartner einzustehen haben.
Drittens, und das ist der schärfste Punkt, betrifft die Nachvollziehbarkeit. Nach Darstellung des Beitrags weist das Vorgehen von Interisle Ähnlichkeiten mit einer von ICANN veröffentlichten Methode auf, ohne dass die Abweichungen erläutert würden, was die Reproduktion und Bewertung erschwere.
Die wissenschaftliche Grundlage, auf die sich beide Seiten beziehen, ist älter als der Streit. COMAR wurde 2020 auf dem IEEE European Symposium on Security and Privacy von Sourena Maroofi, Maciej Korczyński, Cristian Hesselman, Benoît Ampeau und Andrzej Duda, also von der Universität Grenoble gemeinsam mit den Forschungsabteilungen von SIDN und AFNIC, vorgestellt. Der Ausgangspunkt der Arbeit ist genau der Punkt, um den heute gestritten wird: Bestehende Reputationslisten führen bösartig registrierte und kompromittierte Domains in denselben Einträgen zusammen, obwohl beide unterschiedliche Maßnahmen erfordern. Eine gekaperte Website eines Betriebs gehört nicht als eine Domain behandelt, die zum Betrug angelegt wurde. COMAR trennt die beiden Zustände anhand von 38 Merkmalen und erreicht nach Angaben der Autoren eine Genauigkeit von 97 Prozent bei 2,5 Prozent falsch-positiver Fälle. Für die praktisch einsetzbare Variante beschreiben sie eine Klassifikation ausschließlich anhand öffentlich verfügbarer und leicht zugänglicher Daten.
Was die Branche einwendet
Aus dem Kreis der Registrare kam der Widerspruch früher, und er geht weiter. EuroDNS hat am 13. Juni nach dem Treffen in Sevilla nicht nur die Schlussfolgerung angegriffen, sondern auch die Zahl selbst: Die Behauptung, jede fünfte neue Domain sei bösartig, beruhe auf unbestätigten Missbrauchsmeldungen. Dazu der Verweis auf die Ökonomie: Ein Registrar werde einmal für die Registrierung bezahlt, mit schmaler Marge, und verdiene nichts daran, was auf der Website dahinter geschehe. Missbrauch sei für ihn ein reines Verlustgeschäft. Verbunden damit ist die Forderung, dass ICANNs Technikbüro eigene Forschung beauftragen solle, die gemeinsam mit Registries, Registraren und Sicherheitsforschern entwickelt wird und den Missbrauch über die Ebenen Registrierung, Hosting, Plattform und Inhalt hinweg abbildet.
Christian Dawson von der i2Coalition hat die Frage am 17. Juli anders formuliert. Er bestreitet die Schäden nicht, sondern die Zuordnung:
A methodology built around counting malicious domains is naturally effective at identifying activity involving malicious domains.
Die größten Missbrauchsökosysteme seien nicht zwingend jene mit den meisten Domains, weil sich Schäden häufig auf wenigen Domains zentralisierter Plattformen bündelten. Ein Messrahmen, der den Umfang von Onlineschäden schätzen wolle, tauge deshalb nicht zwingend dazu, die Wirksamkeit von ICANN-Vertragspartnern zu bewerten. Sein Kernsatz lautet, dass die öffentliche Politik der Messung folgt, und die Frage sei nicht, ob mehr getan werden müsse, sondern wer dafür in der Lage sei.
Warum darum gestritten wird
Weil die Zahl in eine bereits laufende Debatte fällt. Seit April 2024 verpflichten die Verträge Registries und Registrare, gegen belegten DNS-Missbrauch vorzugehen; seither ist strittig, wie weit diese Pflichten reichen und welche Formen von Missbrauch einzubeziehen sind. Je nachdem, welche Messmethode zugrunde gelegt wird, verändert sich das Bild des Problems und damit die Frage der Verantwortlichkeit.
Bemerkenswert ist, wie wenig die Beteiligten in der Sache auseinanderliegen. Interisle bezeichnet seine Zahlen selbst als eine Untergrenze und dokumentiert damit die Erfassungslücke. ICANN bestreitet nicht, dass bösartige Registrierungen ein Problem sind, sondern verlangt die Trennung zwischen Meldung und Nachweis. Dawson bestreitet die Schäden nicht, sondern die Ableitung. Auch EuroDNS fordert keine Entwarnung, sondern eine belastbarere Grundlage. Der Streit betrifft die belastbare Größenordnung und, stärker noch, die Frage, was aus solchen Zahlen für Verantwortlichkeit und Regulierung folgt.
Solange die Klassifikationsregeln konkurrierender Methoden nicht offen nebeneinander liegen, bleibt die Debatte über Prozentwerte eine Debatte über Vertrauen. Eine gemeinsam entwickelte Untersuchung über mehrere Ebenen der Infrastruktur hinweg, wie EuroDNS sie vorschlägt, würde zumindest einen Teil dieses Vergleichsproblems beseitigen.
Quellen
- ICANN: Looking Beyond the Numbers, Understanding Malicious Domain Registration Data, 10. August 2026
- Interisle Consulting Group: Malicious Registrations in the Domain Name Market 2026 (PDF)
- EuroDNS: ICANN 86, The Internet Needs Better Data, Not Louder Claims, 13. Juni 2026
- CircleID: Christian Dawson, The Question Isn't Whether the Harm Is Real, It's Who Should Act, 17. Juli 2026
- Maroofi, Korczyński, Hesselman, Ampeau, Duda: COMAR, Classification of Compromised versus Maliciously Registered Domains, IEEE European Symposium on Security and Privacy 2020