Domain-Verwaltung ICANN testet schnellen Polizeizugriff auf verborgene Inhaberdaten

ICANN, die US-amerikanische Non-Profit-Organisation, die das weltweite System der Domainnamen verwaltet, testet ein Verfahren, mit dem sich Polizeibehörden direkt in ihren Anfragedienst einloggen und bei Registraren die verborgenen Daten von Domaininhabern anfordern können. Der Versuch läuft gemeinsam mit dem FBI und Interpol, wie ICANN auf ihrer Jahrestagung ICANN 87 auf Bali mitteilte. Darüber berichtete The Register am 20. Oktober. Es geht ausschließlich um dringende Fälle: eine unmittelbare Gefahr für Leib und Leben, drohende schwere Körperverletzung, Gefahren für kritische Infrastruktur oder sexuelle Ausbeutung von Kindern.

Was verborgen ist und wer es anfragen darf

Seit die EU-Datenschutz-Grundverordnung (DSGVO) 2018 in Kraft getreten ist, zeigen die meisten Registrare in öffentlichen WHOIS-Einträgen weder Namen noch Adresse, E-Mail-Adresse oder Telefonnummer des Inhabers an. Der Registrar verfügt aber weiterhin über diese Daten, und jeder mit einem berechtigten Interesse kann sie anfordern. Dafür betreibt ICANN seit November 2023 den Registration Data Request Service (RDRS). Wer eine Anfrage stellt, füllt ein Standardformular aus, und ICANN leitet es an den Registrar weiter, der die Domain verkauft hat. Der Registrar entscheidet, ob er die Daten herausgibt.

Der Dienst steht nicht nur der Polizei offen, sondern auch Anwälten, Markeninhabern, Sicherheitsforschern und Behördenmitarbeitern. In den ersten zwei Jahren, bis zum 30. November 2025, gingen darüber mehr als 3.700 Anfragen zu 40.400 Domains ein. 26 % wurden genehmigt, 55 % abgelehnt, der Rest wurde teilweise genehmigt oder betraf Daten, die ohnehin öffentlich waren. Auf Strafverfolgungsbehörden entfielen 16 % der Anfragen. Registrare machen freiwillig mit: Zum Ende der Pilotphase waren es 80, die zusammen 46 % der Domains abdeckten. Nach dem Ende der Pilotphase verlängerte der ICANN-Vorstand den Dienst um bis zu zwei Jahre.

Wie der Login für die Polizei funktionieren soll

Derzeit verlangt RDRS lediglich ein ICANN-Konto, und der ICANN-Ausschuss, der die Pilotphase ausgewertet hat, nannte die Überprüfung der Identität von Antragstellern als eine der Lehren daraus. Nach den ICANN-Regeln müssen Registrare dringende Anfragen innerhalb von 24 Stunden bearbeiten, und die Community bezeichnet die Prüfung, wer tatsächlich anfragt, als eines der größten Hindernisse, um diese Frist einzuhalten. Das neue Verfahren verlagert diese Prüfung auf die Behörden selbst. ICANN bevorzugt SAML, einen verbreiteten Standard für Single Sign-on: Ein Beamter meldet sich über das System seiner eigenen Behörde an, und RDRS erhält die Bestätigung, dass die Anfrage von einem echten Polizeibeamten kommt.

Laut The Register sollen die Behörden die einzelnen Mitarbeiter benennen, die Anfragen stellen dürfen, und ein beim Login ausgetauschtes Token soll das durchsetzen. Damit will man auch verhindern, dass eine große Behörde wie das FBI den Dienst mit Anfragen zahlreicher einzelner Agenten überflutet. ICANN zeigt sich offen für andere Login-Verfahren für Behörden, die kein SAML nutzen, und will eine Spezifikation veröffentlichen, nach der sich jede Polizeibehörde anbinden kann.

Die Arbeitsgruppe wurde im Juni gegründet. Ihr Zeitplan sieht den Beginn der Tests im Dezember 2026 und die Veröffentlichung der Ergebnisse im März 2027 vor.

Was noch offen ist

Die Gruppe entwickelt nur den technischen Teil. Sie schreibt keine Richtlinien und ändert die bestehenden Datenregeln nicht. Was das Token enthält, welche Nutzungsregeln gelten und was mit Anfragen geschieht, die die Dringlichkeitsschwelle nicht erreichen, entscheiden andere ICANN-Gruppen. Registrare können eine Anfrage weiterhin ablehnen, wenn sie sie nicht für dringend halten, und haben bei komplexen Fällen bis zu 72 Stunden Zeit. Vertreter von Namecheap und Verisign sprachen sich für das Verfahren aus. Ungeklärt ist noch der Schutz der Beamten selbst: Ihre E-Mail-Adressen in den Anfragen könnten sie zur Zielscheibe von Belästigungen machen.

Warum das wichtig ist

Für die Polizei geht es um Tempo: Domains, die für Phishing, Schadsoftware oder Erpressung genutzt werden, bleiben oft online, solange sich der Inhaber nicht ermitteln lässt. Für Website-Betreiber bedeutet das: Ein verborgener WHOIS-Eintrag schützt sie vor der Öffentlichkeit, nicht vor den Behörden. Der Registrar kennt die bei der Registrierung angegebenen Daten, und in dringenden Fällen wird die Polizei sie über einen verifizierten Kanal anfordern können. Wie streng die Registrare die Dringlichkeit beurteilen werden, ist noch nicht bekannt.