Wie Switch mit den Registraren gegen betrügerische Webshops kämpft

Es gibt immer mehr betrügerische Onlineangebote – auch in der Schweiz. Für ihre Löschung ist Switch zuständig, die Registrierungsstelle (Registry) für .ch-Domain-Namen. Switch kooperiert dafür mit den Schweizer Behörden. Der wichtigste Partner ist das Bundesamt für Polizei (Fedpol).

So verschwinden .ch-Domains vom Netz

Switch arbeitet aber nicht nur mit dem Fedpol zusammen, sondern mit allen Schweizer Behörden im Rahmen ihrer Zuständigkeit. Auch mit der Melde- und Analysestelle Informations­sicherung (Melani), den Kantonspolizeien, der Eidgenössischen Finanzmarktaufsicht Finma, Swissmedic, der interkantonalen Lotterie- und Wettkommission Comlot, dem Staats­sekretariat für Wirtschaft Seco und mit der Eidgenössische Spielbanken­kommission.

Entdeckt eine Behörde im Rahmen ihrer Tätigkeit eine potenziell rechtswidrige .ch-Website, beauftragt sie Switch, den Domain-Halter der Schweizer Adresse zu kontaktieren. In Switchs Datenbank sind aber oft ausländische Adressen oder geklaute Identitäten eingetragen. Die Stiftung fordert die Domain-Halter dann per E-Mail dazu auf, innert 30 Tagen eine gültige Adresse in der Schweiz anzugeben. Verstreicht diese Frist ungenutzt, löscht Switch den Domain-Namen. Damit ist die Website nicht mehr erreichbar.

Switch löscht 5000 Webshops

2016 löschte Switch rund 700 Domains von betrügerischen .ch-Webshops. Dieses Jahr waren es bis September über 5000. Allein im August nahm Switch im Rahmen einer Aktion mit den Behörden rund 4500 .ch-Webshops vom Netz.

Warum die Zunahme? Laut Michael Hausding, Experte für Domain-Namen-Missbrauch und Mitglied des 14-köpfigen Sicherheitsteams Switch-Cert, gibt es dafür mehrere Gründe. Die Kriminalität im Internet habe weltweit stark zugenommen, und Domain-Namen mit .ch-Endung seien für Kriminelle sehr attraktiv. Warum das so ist, erklärt Hausding im Interview (Seite 28).

Der Basler Webhoster Cyon weist darauf hin, dass per 30. Juni 2 084 580 .ch-Domain-Namen registriert gewesen seien. Switch habe also bloss 0,25 Prozent der .ch-Domains gelöscht. «Jede be­trügerische Website ist aber eine zu viel», schreibt der Registrar.

Günstige Domains fördern Missbrauch

Um die Löschungen zu meistern, kooperiert Switch eng mit dem Fedpol. Meldungen an Switch und Benachrichtigungen der Domain-Halter sind seit Februar halbautomatisiert.

«Switch schaltet Webshops nicht ab, weil sie illegal sind», betont Hausding. «Sondern weil die Betreiber der Websites uns keine gültige Korrespondenzadresse in der Schweiz melden.» Der Preis für die Neuregistrierung von Domains sei in der Schweiz tief. «Das ist aus Security-Sicht heikel. Je billiger neue Domains sind, desto mehr Missbrauch gibt es.»

Domain-Vergaben mit Tücken

Für die Korrektheit der Halterdaten sind laut Switch die Registrare verantwortlich. Da viele Adressen falsch sind, stellt sich die Frage, ob die Registrare schlecht arbeiten. Hausding verneint: «Sie prüfen ja, ob eine Adresse gültig ist oder nicht. Wenn die Identitäten aber gestohlen sind, bringt das wenig.» Wenn Switch eine Anfrage an einen Registrar stelle, liege meist bereits eine Stunde später eine Antwort vor.

Der Bund nutze bewusst ein offenes Vergabemodell. Jede Registrierung händisch zu prüfen, sei unrealistisch, sagt Hausding. Das würde mehr Personal brauchen und die Domains massiv verteuern.

Das sagen die Registrare

Man müsse Aufwand, Ertrag und Kundenzufriedenheit abwägen, sagt Klemens Forster von Hosttech. Es sei fast unmöglich, die Echtheit einer Person zu bestätigen. Selbst wenn Hosttech eine Identitätskarte verlange, könne man die Verifizierung täuschen. «Zudem wäre ein aufwendiger Prozess nicht im Interesse der ehrlichen Kunden und würde dem gesamten Domain-Handel in der Schweiz schaden.» «Als Registrar tun wir, nur schon aus eigenem Interesse, unser Bestes, die Daten der Kunden auf ihre Plausibilität zu überprüfen», sagt Tom Brühwiler von Cyon. Viele Kunden würden auch für Webhosting bezahlen. «Diese im Vergleich zu reinen Domain-Registraren engere Kundenbeziehung erlaubt uns auch eine bessere Kontrolle.»

Metanet hat mit missbräuchlichen Webshops kaum Probleme: Switch habe kürzlich zum ersten Mal auf eine dubiose Website hingewiesen, die bei Metanet registriert worden sei. Für die Inhalte der Domain sei aber der Halter verantwortlich, heisst es auf Anfrage.

«Wir prüfen jede Domain-Bestellung auf Korrektheit und Plausibilität», sagt Hostpoint-Mitgründer Claudius Röllin. Deshalb gebe es nur wenige Registrierungen zu betrügerischen Zwecken. Röllin geht davon aus, dass andere Anbieter ähnlich vorgehen. «Es ist natürlich nicht auszuschlies­sen, dass einige Anbieter – insbesondere solche mit tiefen Preisen – dazu neigen könnten, die Prüfung von Halterdaten abzukürzen, um die Marge zu optimieren.»

Deutschland und Frankreich als Vorbild?

Wer in Frankreich eine .fr-Domain will, braucht im Land einen Wohn- oder Firmensitz. Dasselbe in Deutschland. Wäre das auch für die Schweiz sinnvoll? «Ansichtssache», meint Forster. Laut Hosttech braucht es keine solchen Einschränkungen. «Wir finden jedoch, dass die ICANN den Registrierungsprozess weltweit vereinheitlichen sollte, um Verwirrung und Unklarheiten vorzubeugen.»

«Das Problem mit den gestohlenen Identitäten löst dieses Modell nicht», sagt Hausding. .ch stehe für eine offene Registrierung – auch für Halter im Ausland. Für sie könne es gute Gründe geben, .ch-Domains zu registrieren.

Dieser Meinung ist auch Brühwiler. «Eine Einschränkung bei .ch-Domain-Namen, wonach ein Wohn- oder Unternehmenssitz in der Schweiz für eine Registrierung nötig wäre, halten wir für übertrieben», teilt der Registrar mit.

Auch Metanet findet das französische Modell für .ch-Domains nicht sinnvoll. Es sei möglich, .de- und .fr-Domains aus dem Ausland zu registrieren. Die Registry biete dafür sogar einen Treuhand-Service an. Er ersetze den Ansprechpartner in den Whois-Daten durch eine lokale Adresse. Mit den um ein Vielfaches teureren .swiss-Domains verfolge die Schweiz bereits ein Modell, bei dem der Domain-Inhaber einen Vorgabenkatalog erfüllen müsse, was ein Prüfungsverfahren sicherstelle.

Neue Verordnung ab 1. November

Um gegen Cyberkriminalität vorgehen zu können, verabschiedete der Bundesrat am 15. September die revidierte Verordnung über Internet-Domains (VID). Sie erlaubt es Melani weiterhin, Adressen von Websites zu sperren, die Phishing betreiben oder schädliche Software verbreiten. Zusätzlich ist es für Melani neu möglich, Websites zu sperren, die solche Aktivitäten indirekt unterstützen.

Die VID regelt, wann der Bund den Datenverkehr analysieren darf. Sie soll die Amtshilfe und die Zusammenarbeit mit privaten Akteuren vereinfachen. Der Bundesrat darf entscheiden, wer .swiss-Domains registrieren darf. Aktuell nur Personen, die als Einzelfirma im Handelsregister eingetragen sind – nicht aber natürliche Personen. Es sei möglich, die Zuteilung von Domains mit der Endung .ch und .swiss für illegale Zwecke zu verweigern.

Die neue VID tritt am 1. November in Kraft. Sie spezifiziert provisorische Massnahmen, die Behörden anordnen können. Sie können etwa verlangen, den Datenverkehr umzuleiten. Auf diese Weise könnten sie infizierte Server ausfindig machen, Opfer informieren und technische Analysen der Funktionsweise vornehmen.

«Der Nutzen durch die Revision in Sachen Bekämpfung der Cyberkriminalität lässt sich zum jetzigen Zeitpunkt schlecht abschätzen», kommentiert Röllin. «Aber wir sind eher skeptisch, dass er in einem gesunden Verhältnis zu den potenziellen Eingriffen in die Privatsphäre und Rechte von Domain-Haltern steht, die durch die Revision möglich werden.» Röllin hofft, dass die Behörden verhältnismässig agieren und die neuen Kompetenzen mit Augenmass einsetzen.

Der Datenverkehr sei privat und solle auch so behandelt werden, sagt Forster. «Die neue Regelung heisst für uns mehr Aufwand. Bestimmt können Sie sich vorstellen, dass unsere Kunden im Falle einer Sperrung zuerst uns kontaktieren.»

Die Recherche zeigt, dass Switch, Registrare und Behörden den Kampf gegen dubiose Webshops nur gewinnen können, wenn sie eng kooperieren. Und für die Konsumenten gilt: den gesunden Menschenverstand walten lassen. Er schützt am besten vor Betrug im Internet.