60 Minuten reichen aus

Aber wie bewältigen die Kriminellen diese enorme Flut von Änderungen überhaupt? "Die Anmeldungen und Änderungen von Domain-Namen laufen bei den Registraren, die Domain-Namen an Endkunden verkaufen, über voll automatisierte Schnittstellen", erläutert der Karlsruher Sicherheitsexperte Christoph Fischer. Um diese zu bedienen, könnten auch Skripte - kleine Computerprogramme also - eingesetzt werden. Bis überhaupt ein Ermittler gemerkt hat, dass auf einem Server illegale Inhalte liegen, hat der längst wieder seine Adresse geändert. "Auf diese Weise", sagt Fischer, "kommt man an die illegalen Server nicht mehr heran."

Eigentlich ließe sich das Problem leicht lösen, sagt Lutz Donnerhacke: "Es genügt, die möglichen Änderungen auf ein paar Mal am Tag zu begrenzen oder zwischen Änderungen eine Wartezeit von 60 Minuten einzubauen." Eine solche Begrenzung gibt es zum Beispiel bei der zentralen deutschen Registrierungsstelle Denic. "Das genügt, um das Konzept der Double-Fast-Flux-Netze zu behindern", bestätigt auch Fischer.

Zahlen mit gestohlenen Kreditkarten

Bereits seit 2005 liegt der Internetverwaltung Icann ein entsprechender Maßnahmenkatalog vor. Seine Umsetzung aber werde von großen Registraren wie Verisign verhindert, sagt Donnerhacke. Das sind Unternehmen, welche die Vergabe von Internetadressen regeln. Bei täglich 100.000 Neuanmeldungen allein über Verisign verdienten diese Registrare eben sehr viel Geld. Pro Adressänderung kassiert Verisign 6,86 Dollar für eine .com-Seite und 4,23 Dollar für eine .net-Seite. Die Kriminellen haben mit diesen Gebühren kein Problem - sie zahlen ohnehin mit gestohlenen Kreditkarten. Das entlastet nicht bloß das Budget, sondern lässt auch Ermittlungen über diesen Weg ins Leere laufen.

Die Registrare ihrerseits argumentieren, die Flexibilität sei unerlässlich für Firmen wie etwa Akamai, die sich darauf spezialisiert haben, große Dateien im Auftrag von Kunden möglichst schnell auszuliefern. Dazu müssten Anfragen sehr schnell umgeleitet werden können - ein Argument, das Donnerhacke jedoch nicht gelten lässt. Die dafür nötigen Änderungen würden die Firmen ohnehin auf ihren eigenen Systemen vornehmen, deren Adresse nach außen die gleiche bleibe. Matt Larson, Vizepräsident der Domain-Name-System-Forschung beim Registrar Verisign, lässt auf Anfrage wissen, dass er sich dafür einsetze, andere "Methoden zu entwickeln, mit denen Fast-Flux-Netzwerke entdeckt und das Risiko eines Angriffs reduziert werden kann". Welche das sein könnten, lässt er allerdings offen.

Lahme Internetverwaltung

Die Internetverwaltung Icann hat zwar eigentlich Verträge mit den Registaren geschlossen, die solche Praktiken ausschließen. Dennoch reicht ihre Macht offenbar nicht aus, die Registrare auch dazu zu zwingen, nur noch korrekte Registrierungen vorzunehmen. Überhaupt mahlen die Mühlen der Internetverwaltung um einiges langsamer als das dynamisch sich entwickelnde neue Medium Internet.

Innerhalb der Icann konnte man sich noch nicht einmal darauf einigen, ein Gütesiegel an Registrare zu vergeben, die korrekt arbeiten - auch ein Vorschlag, der schon Jahre alt ist. Manche Registrare wären wohl auch vorsichtig, sich allzu sehr damit zu brüsten. So ist es in der Szene kein Geheimnis, dass manche Registrare, aber auch Internetzugangsanbieter immer wieder mal ganze Blöcke von Adressen abschalten. Aber nur stillschweigend - aus Angst vor den Online-Kriminellen und deren Macht.

(SZ vom 3.6.2009/beu)