Domain anonym registrieren: WHOIS, Registrar und die Ebene, die Sie verrät

Der Name ist das schwächste Glied im Stack

Ein Server in Reykjavík, bezahlt in Monero, ohne Konto und ohne Identitätsprüfung, lässt sich Ihnen tatsächlich nur schwer wieder wegnehmen. Die Firma, die ihn vermietet, sitzt in einem Land, die Hardware steht in einem anderen, die Zahlung hat keinen Namen hinterlassen, und wer die Maschine abschalten lassen will, muss ein Gericht in einer Rechtsordnung überzeugen, die genau deshalb gewählt wurde, weil sie einem solchen Anliegen denkbar wenig entgegenkommt. Das ist der Teil des Stacks, den die Offshore-Hosting-Branche seit zwanzig Jahren perfektioniert.

Bei der Domain ist das ganz anders. Eine Domain besitzen Sie nicht — niemand besitzt sie. Sie halten eine verlängerbare Miete, verzeichnet von einem Registrar, delegiert von einer Registry, unter einem Vertrag, den Sie weggeklickt haben, und jede Partei oberhalb von Ihnen in dieser Kette kann über den Namen verfügen, ohne dass Sie einbezogen werden — meist sogar ohne Richter. Die Asymmetrie ist die ganze Geschichte: Den Host zu erreichen bedeutet eine ausländische Gerichtsverfügung und Monate; den Registrar zu erreichen bedeutet ein Beschwerdeformular und, an einem schlechten Tag, einen Nachmittag.

Das betrifft ganz gewöhnliche Projekte. Unabhängiger Journalismus, Spiegelungen von Material, das jemand lieber offline sähe, Archive, Erwachsenenangebote, die überall legal sind, wo sie betrieben werden, Sicherheitsforschung, Kommentare, die eine Firma mit eigener Rechtsabteilung verärgern — nichts davon ist illegal, und trotzdem zieht all das Druck auf sich, der gezielt auf das billigste biegsame Glied der Kette zielt. Dieses Glied ist so gut wie nie der Offshore-Host. Es ist der Registrar, und der wird per E-Mail erreicht.

Dieser Leitfaden handelt deshalb nicht davon, sich vor Strafverfolgungsbehörden zu verstecken — das ist ein anderes Problem mit einer anderen Antwort, und keines, das Hosting lösen kann. Es geht um zwei engere und tatsächlich erreichbare Ziele: einem Fremden mit einer Beschwerde nicht die Möglichkeit zu geben, aus einer öffentlichen Abfrage herauszufinden, wer Sie sind, und nicht nur eine einzige, ungeprüfte Beschwerde davon entfernt zu sein, den Namen zu verlieren, unter dem Ihr gesamtes Projekt läuft.

Die Reihenfolge, die nun folgt, ist bewusst gewählt, denn die meisten Ratschläge zu diesem Thema beginnen und enden mit „WHOIS-Datenschutz aktivieren“ — von den sechs Entscheidungen, die zählen, mit Abstand die am wenigsten tragende. Zuerst kommt die Rechtsordnung der Registry, zweitens das Temperament des Registrars, drittens das Registrierungsmodell, viertens der Zahlungsweg, fünftens der DNS-Betreiber und sechstens die Archive, die sich an alles erinnern.

Was WHOIS trotz Schwärzung noch speichert

2018 prallte das europäische Datenschutzrecht auf eine öffentliche Datenbank, die seit den 1980er-Jahren Name, Postanschrift, E-Mail-Adresse und Telefonnummer jedes Domaininhabers veröffentlicht hatte — und die Öffentlichkeit verlor. Fragen Sie heute eine generische Top-Level-Domain ab, erhalten Sie den Registrar, die Erstellungs- und Ablaufdaten, die Nameserver, die Statuscodes und einen anonymisierten Weiterleitungskontakt. In den persönlichen Feldern steht REDACTED FOR PRIVACY.

Lesen Sie das genau, denn es ist eine Änderung der Veröffentlichungspolitik, nicht der Datenpolitik. Der Registrar erfasst weiterhin Ihren Namen, Ihre Adresse, E-Mail und Telefonnummer. Er hat weiterhin Ihr Zahlungsmittel, die IP-Adresse, von der aus Sie sich angemeldet haben, und die IP-Adresse jedes Logins seither. Sein Akkreditierungsvertrag verpflichtet ihn, diese Daten zu erfassen, aufzubewahren und mindestens die E-Mail-Adresse zu verifizieren. Die Schwärzung hat den Datensatz hinter einen Schalter verlegt; gelöscht wurde nichts, und am Schalter sitzt Personal.

Auch das Abfrageprotokoll hat sich geändert. Der Port-43-Textdienst, den alle WHOIS nennen, wurde bei generischen Domains durch RDAP abgelöst, eine strukturierte JSON-Schnittstelle mit etwas, das das alte Protokoll nie hatte: einer authentifizierten Stufe. Akkreditierte Anfragende können Felder ausgeliefert bekommen, die die anonyme öffentliche Abfrage nie zu sehen bekommt. Die öffentliche Ansicht können Sie selbst unter ICANN Lookup ausprobieren; gehen Sie davon aus, dass diese Ansicht die Untergrenze dessen ist, was offengelegt wird, nicht die Obergrenze.

Was dabei völlig vergessen wird, ist die Geschichte. Kommerzielle Archive fertigen seit zwei Jahrzehnten ununterbrochen Schnappschüsse von Registrierungsdaten an, einschließlich der Jahre, in denen noch alles vollständig veröffentlicht wurde. War jemals einer Ihrer Namen offen registriert — ein Hobbyprojekt aus dem Jahr 2015, eine Firmendomain, irgendetwas mit Ihrer E-Mail-Adresse —, ist dieser Datensatz dauerhaft abrufbar, von jedem, der für eine Abfrage zu zahlen bereit ist. Schwärzung schützt, was Sie morgen registrieren. Sie tut absolut nichts gegen das, was Sie registriert haben, bevor Sie anfingen, sich darum zu kümmern.

Länderspezifische Endungen stehen außerhalb all dessen. Sie sind an die Regeln für generische Domains nicht gebunden, und jede Registry legt ihre eigenen fest: Manche veröffentlichen den Registranten vollständig, manche veröffentlichen gar nichts, und einige verlangen einen Wohnsitz- oder Vor-Ort-Nachweis, der nichts anderes ist als eine Identitätsprüfung mit anderem Etikett. Die .eu-Registry hat genau vorgeführt, wie scharf das sein kann, als Zehntausende Namen britischer Registranten nach dem Brexit die Berechtigungsregel nicht mehr erfüllten und entzogen wurden. Berechtigungsregeln werden durchgesetzt, indem geprüft wird, wer Sie sind.

Die praktische Konsequenz ist eine Regel, die Sie sich einprägen sollten, bevor Sie auch nur einen Cent ausgeben: Prüfen Sie, was über jeden Identifikator, den Sie wiederverwenden wollen, bereits öffentlich bekannt ist. Eine E-Mail-Adresse, die Sie schon einmal bei einer öffentlichen Registrierung verwendet haben, verknüpft den neuen Namen mit dem alten in einer einzigen Abfrage, und keine noch so gründliche Schwärzung des neuen Datensatzes macht das rückgängig.

Wer Ihnen den Namen entziehen kann, und wem sie Rechenschaft schulden

Über Ihnen stehen vier Parteien, und jede reagiert auf unterschiedlichen Druck in unterschiedlichem Tempo. Zu wissen, wer wer ist, entscheidet darüber, ob Sie auf eine Mitteilung richtig reagieren oder einen Namen verlieren, den Sie hätten behalten können.

Der Registrar ist am schnellsten und am wenigsten überprüfbar. Er kann nach seinen eigenen Nutzungsbedingungen sperren oder löschen, und er schuldet Ihnen keine Anhörung — bei manchen Unternehmen genügt eine Beschwerde, eine automatisierte Abuse-Pipeline oder ein Zahlungsstreit. Auf dieser Ebene lohnt es sich, für Reputation zu zahlen, denn die einzig wirksame Verteidigung besteht darin, von vornherein einen Registrar gewählt zu haben, der Beschwerden liest, bevor er auf sie reagiert.

Die Registry steht über dem Registrar und verhängt Statuscodes, die kein Registrar aufheben kann. Ein Name, auf den die Registry ein Hold legt — der Status serverHold —, gehört formal weiterhin Ihnen und löst trotzdem überhaupt nirgendwohin auf, was auf dasselbe hinausläuft wie verschwunden zu sein. Registries handeln auf Basis von Gerichtsbeschlüssen in ihrer eigenen Rechtsordnung und nach ihren eigenen veröffentlichten Richtlinien, in manchen Ländern zudem nach einem ausdrücklichen Verwaltungsverfahren, das im nationalen Recht verankert ist.

Dann gibt es die Streitbeilegungsverfahren, die für Markenkonflikte existieren und auf den Namen zielen, nicht auf das, was Sie darunter veröffentlichen. Die Uniform Domain-Name Dispute-Resolution Policy kann einen Namen innerhalb weniger Wochen an eine beschwerdeführende Partei übertragen — entschieden von einem Gremium, schriftlich, mit einer Antwortfrist, die Sie unbedingt einhalten müssen. Ihr schnelleres Pendant setzt den Namen aus, statt ihn zu übertragen. Keines von beiden ist ein Gericht, beide sind für Ihren Registrar bindend, und beide werden taktisch von Parteien genutzt, deren eigentlicher Einwand Ihren Inhalten gilt.

Und schließlich: Beschlagnahmung. Jedes Gericht, in dessen Gerichtsbarkeit die Registry liegt, kann anordnen, dass ein Name übertragen oder gesperrt wird — unabhängig davon, wo der Registrant lebt oder welcher Registrar ihn verkauft hat. Das ist die Tatsache, die den nächsten Abschnitt bestimmt: Weil der Betreiber der beiden weltweit größten Endungen ein Unternehmen in Virginia ist, liegt jede existierende .com- und jede .net-Domain in Reichweite einer US-amerikanischen Gerichtsverfügung. Das Archiv der EFF zu Domain-Beschlagnahmungen ist die Langfassung dieses Satzes.

Zusammengenommen: Ihr Registrar bestimmt, wie leicht der Name an eine Beschwerde verloren geht, und Ihre Registry bestimmt, welche Gerichte ihn nehmen können. Das sind zwei getrennte Entscheidungen, und Sie treffen beide im Moment des Kaufs — meist, ohne zu merken, dass Sie überhaupt eine davon getroffen haben.

Die Wahl der Endung ist die Wahl einer Rechtsordnung

Das ist die Entscheidung mit der größten Hebelwirkung in der gesamten Übung, sie kostet nichts, und fast niemand trifft sie bewusst. Die Methode ist dreißig Sekunden Arbeit: Schlagen Sie die Endung in der Root-Zone-Datenbank der IANA nach, lesen Sie die sponsernde Organisation und deren Adresse, und akzeptieren Sie, dass die Gerichte von deren Land jetzt Teil Ihres Bedrohungsmodells sind.

Die Ergebnisse überraschen die meisten. Endungen, die technisch, international oder vage alternativ wirken, werden oft von großen amerikanischen Unternehmen betrieben — die bei Entwicklern beliebten zweistelligen Endungen landeten über eine Reihe von Übernahmen in US-amerikanischem Unternehmensbesitz, und sehr viele der neueren generischen Endungen liegen bei ein und derselben amerikanischen Registry-Gruppe. Sich wie eine Alternative zu .com anzufühlen ist Branding. Dieselbe Rechtsordnung wie .com zu teilen ist eine Rechtstatsache.

Länderendungen unterscheiden sich so stark wie die Länder selbst, und die entscheidende Achse ist nicht „welches Land den besten Ruf in Sachen Datenschutz hat“, sondern „welches Verfahren existiert, und wer es anstoßen kann“. Islands Registry genießt einen guten Ruf, weil sie öffentlich erklärt, nach isländischen Gerichtsbeschlüssen zu handeln und nicht nach ausländischer Korrespondenz — die aktuellen Regeln finden Sie bei ISNIC. Die Schweiz hat ein starkes Datenschutzrecht und einen dokumentierten administrativen Sperrweg, der in ihrer Domainverordnung festgeschrieben ist — genau das ist Rechtsstaatlichkeit, und es ist zugleich ein Verfahren, das existiert. Gutes Recht ist nicht dasselbe wie kein Verfahren, und Sie wollen wissen, welches von beiden Sie da kaufen.

Wägen Sie gleichzeitig auch die unspektakulären betrieblichen Eigenschaften ab, denn die beißen später zu: ob die Registry Registry-Lock und DNSSEC unterstützt, ob die Endung einen Wohnsitznachweis verlangt, was Verlängerungen im dritten Jahr kosten, und wie politisch beständig die Zeichenkette ist. Eine Endung, die stellvertretend für ein Territorium delegiert wurde, kann den Besitzer wechseln, die Richtlinie ändern oder in die Diplomatie eines anderen hineingezogen werden. Das ist kein Argument gegen ihre Nutzung — es ist ein Argument dagegen, eine Identität aufzubauen, die Sie nicht mitnehmen können.

Ein weiterer, leicht zu übersehender Punkt: Die Endung ist auch ein Signal. Eine brandneue generische Endung mit niedrigem Verlängerungspreis zieht Missbrauch an, und Mail von dort wird von Spamfiltern deshalb direkt schlechter behandelt. Wird der Name jemals E-Mails versenden, ist dieser Reputationsnachteil real, und Sie werden ihn lange vor jeder Rechtsordnungsfrage zu spüren bekommen — der Leitfaden zum selbst gehosteten Mailserver behandelt, was es braucht, überhaupt zugestellt zu werden.

Privacy-Dienst, Proxy, Treuhänder: drei Dinge, die unter einem Wort verkauft werden

„Private Registrierung“ wird als ein einziges Produkt verkauft, ist in Wirklichkeit aber drei verschiedene Konstruktionen mit drei verschiedenen Versagensmustern. Sich klarzumachen, welche davon Sie kaufen, ist schon der größte Teil der Arbeit.

Ein Privacy- oder WHOIS-Proxy-Dienst setzt im öffentlichen Datensatz den eigenen Weiterleitungskontakt des Registrars an Ihre Stelle. Er verbirgt Sie vor einer beiläufigen Abfrage und vor sonst niemandem: Der Registrar weiß genau, wer Sie sind, eine Vorladung an den Registrar bringt Sie zum Vorschein, und auch eine authentifizierte Abfrage kann Sie zum Vorschein bringen. Bei einer generischen Endung, deren Felder ohnehin standardmäßig geschwärzt sind, zahlen Sie damit größtenteils für etwas, das die Richtlinie Ihnen bereits gibt.

Eine Proxy- oder Treuhand-Registrierung ist eine andere Geschichte. Ein Dritter wird zum eingetragenen Registranten und lizenziert Ihnen die Nutzung des Namens vertraglich — das Modell, das Njal.la salonfähig gemacht hat. Die Einträge bei Registry und Registrar nennen diesen Dritten, nicht Sie, und es gibt für jeden tatsächlich weniger offenzulegen, weil weniger in den Akten steht. Es ist das stärkste der drei Modelle, und es kostet Sie etwas Reales: Sie sind nicht der rechtmäßige Inhaber. Sie können kein Streitbeilegungsverfahren gegen Ihren eigenen Treuhänder anstrengen, und Sie verlassen sich auf einen Vertrag und auf die Bereitschaft des Betreibers, standhaft zu bleiben.

Die Registrierung auf eine Gesellschaft, die Sie kontrollieren, ist der dritte Weg: Ein Unternehmen in einer Rechtsordnung, die wirtschaftlich Berechtigte nicht veröffentlicht, wird zum Registranten. Das ist dauerhaft, es übersteht auch, wenn der Betreiber eines Proxy-Dienstes das Interesse verliert, und es bringt sein eigenes Offenlegungsregime mit, eigene Meldepflichten und einen eigenen Vertreter, der zur Auskunft gezwungen werden kann. Ein Unternehmen, das öffentliche Jahresabschlüsse mit Nennung seiner Direktoren einreicht, hat das Problem nicht gelöst, sondern nur verlagert.

Für welches Modell Sie sich auch entscheiden, drei Fragen entscheiden, ob es sein Geld wert ist. Welche Daten hält der Vermittler tatsächlich über Sie, wenn man bedenkt, dass er nur zur Herausgabe dessen gezwungen werden kann, was er tatsächlich besitzt? Was steht schriftlich über Übertragungen nach außen fest, falls der Vermittler unter Druck gerät, seine Richtlinie ändert oder einfach aufhört, auf E-Mails zu antworten? Und könnten Sie diesen Namen notfalls selbst übertragen, heute, ohne dessen Mitwirkung? Holen Sie sich diese Antworten, bevor Sie sich auf die Konstruktion verlassen — nicht erst in der Woche, in der Sie sie brauchen.

Eines ist niemals eine Strategie: sich Angaben auszudenken. Einem Registrar bewusst falsche Kontaktdaten zu geben, verstößt gegen den Registrierungsvertrag, und der Durchsetzungsmechanismus ist eine Verifizierungs-E-Mail, die den Namen aussetzt, wenn sie unbeantwortet bleibt. Der ganze Sinn der Proxy- und Gesellschaftsmodelle besteht darin, dass der Datensatz korrekt sein kann und trotzdem nicht Sie betrifft. Wer lügt, bekommt das Schlechteste aus beiden Welten — identifizierbar über die Zahlungsspur, und aus einem Formfehler heraus kündbar.

Die Domain bezahlen, ohne alles bisher Erreichte zunichtezumachen

Eine Kartenzahlung lässt die gesamte Kette in sich zusammenfallen. Der Zahlungsdienstleister des Registrars hält eine vollständig verifizierte Identität vor, unterliegt einem Compliance-Regime, das keine Registrierungsrichtlinie berührt, und bewahrt Aufzeichnungen von Gesetzes wegen jahrelang auf. Akzeptiert ein Registrar ausschließlich Kartenzahlungen, dann ist die Identitätsprüfung – egal, was er über Datenschutz behauptet – schlicht eine Stufe nach oben gewandert. Dasselbe Argument, das Krypto-only-Hosting stimmig macht, gilt hier unverändert.

Zahlen Sie also in Kryptowährung, wo der Registrar das akzeptiert, und bevorzugen Sie Monero gegenüber Bitcoin aus demselben Grund wie überall sonst: Ein transparentes Ledger veröffentlicht einen Betrag, einen Zeitpunkt und eine Adresse, die sich mit der Börse verknüpfen lässt, bei der Sie gekauft haben — ein privates Ledger tut das nicht. Die Abwägungen stehen vollständig im Vergleich von Bitcoin und Monero; kurz gefasst: Für eine wiederkehrende, kleine, identitätsrelevante Zahlung ist Monero das bessere Instrument.

Die Verlängerung ist das Versagensmuster, das niemand einplant und das doch irgendwann jeder erlebt. Eine verfallene Domain ist eine Abschaltung, die Sie sich selbst zugefügt haben, und ablaufende Namen werden innerhalb von Sekunden nach dem Freiwerden von automatisierten Diensten aufgekauft, die sie mit Aufschlag zurückverkaufen — vorausgesetzt, sie verkaufen sie überhaupt an Sie zurück. Registrieren Sie im Voraus für mehrere Jahre, führen Sie das Ablaufdatum in einem Kalender, der nicht auf der Domain selbst liegt, und stellen Sie sicher, dass die Erinnerungsmail irgendwo ankommt, wo Sie auch in drei Jahren noch mitlesen.

Auch der Support-Kanal übersteht die Anonymität nicht. Ein Gespräch über eine Rückerstattung, eine Rückbuchung, ein Ticket, das von einer privaten Adresse aus eröffnet wird, eine an einen Buchhalter weitergeleitete Rechnung — jedes davon heftet einen Namen an einen Datensatz, der zuvor keinen hatte. Entscheiden Sie einmal, welcher Identität diese Domain gehört, und fassen Sie das Konto nie von einer anderen Identität aus an — auch nicht an dem Tag, an dem etwas kaputtgeht und Sie es eilig haben.

Kalkulieren Sie ehrlich. Eine Treuhand-Registrierung kostet ein Vielfaches eines günstigen generischen Namens, eine Vorauszahlung für mehrere Jahre bindet Geld frühzeitig, und ein Ersatzname bei einem zweiten Registrar ist ein weiterer kleiner jährlicher Posten. Rechnen Sie insgesamt mit ein paar Dutzend Währungseinheiten pro Jahr. Gemessen an den Kosten, die Adresse zu verlieren, auf die jeder Link, jedes Lesezeichen, jeder Mail-Eintrag und jedes Suchergebnis zeigt, ist das die billigste Versicherung im gesamten Stack.

Das Registrar-Konto verrät mehr, als der öffentliche Datensatz je verraten hat

Alles in den obigen Absätzen betrifft das, was Fremde nachschlagen können. Das ergiebigere Ziel ist Ihr Konto beim Registrar, das eine aktuelle E-Mail-Adresse, einen Weg zum Zurücksetzen des Passworts, die IP-Adresse jedes Logins und den vollständigen Text jedes von Ihnen eröffneten Support-Tickets enthält. Diese Akte ist vollständiger, aktueller und ergiebiger, als es der ungeschwärzte WHOIS-Datensatz je war.

Die E-Mail-Adresse ist der Generalschlüssel, denn wer sie kontrolliert, kontrolliert die Domain: Passwort-Resets, Transfer-Bestätigungen und Bestätigungen zum Registrantenwechsel landen alle dort. Verwenden Sie eine Adresse, die ausschließlich für diese Domain existiert, auf Infrastruktur, die Sie selbst betreiben, oder bei einem Anbieter, der keine Telefonnummer verlangt. Wenn Sie dieses Postfach auf Hardware haben wollen, die Sie kontrollieren, ist der Leitfaden zum selbst gehosteten Mailserver die ehrliche Darstellung dessen, was das bedeutet. Was Sie nicht tun dürfen: das Postfach ausgerechnet auf der Domain hosten, die es schützen soll — wird der Name gesperrt, ist auch Ihre Möglichkeit dahin, ihn zurückzuholen.

Aktivieren Sie Zwei-Faktor-Authentifizierung mit zeitbasierten Codes aus einer Authenticator-App, und ausdrücklich nicht per SMS. Eine Telefonnummer ist gleichzeitig ein Identitätsdokument und der zuverlässigste Weg zur Konto-Übernahme, den es gibt, und sie einem Registrar zur „Sicherheitsverbesserung“ zu geben, ist ein schlechter Tausch. Bewahren Sie die Wiederherstellungscodes offline auf, an einem Ort, der nicht von dem Konto abhängt, das sie wiederherstellen sollen.

Dann gibt es noch die Korrelation, die stille Art, wie das meiste davon scheitert. Dieselbe E-Mail beim Hosting-Konto und beim Registrar-Konto. Dasselbe Passwort. Dieselbe Browser-Sitzung, die sich innerhalb einer Minute bei beiden anmeldet. Derselbe Nutzername in dem Forum, in dem Sie das Projekt angekündigt haben. Jedes einzelne davon macht aus zwei sorgfältig getrennten anonymen Konten eine einzige identifizierte Person, und keines davon ist in irgendeinem öffentlichen Datensatz sichtbar — genau deshalb wird es übersehen. Der Leitfaden zur Rückverfolgbarkeit geht dasselbe Problem von der Serverseite aus durch.

Setzen Sie schließlich den Transfersperr-Status (clientTransferProhibited) auf den Namen, und nehmen Sie ein Registry-Lock, falls die Registry das anbietet. Die Registrar-Sperre ist ein einziger Klick und blockiert den gängigsten Diebstahlweg; das Registry-Lock fügt einen zusätzlichen Verifizierungsschritt außerhalb des normalen Kanals hinzu, bevor überhaupt eine Änderung die Registry erreicht. Die überwältigende Mehrheit gestohlener Domains wird nicht von Gerichten beschlagnahmt — sie wird von jemandem transferiert, der Zugriff auf das Postfach hatte, und genau deshalb gibt es beide Sperren.

DNS-Hosting ist eine zweite Angriffsfläche für die Abschaltung

Einen Namen zu registrieren und Anfragen für ihn zu beantworten sind zwei verschiedene Aufgaben, meist von zwei verschiedenen Unternehmen erledigt, und wer die erste sorgfältig auswählt, lässt die zweite oft einfach auf der kostenlosen Standardoption stehen. Das ist eine Lücke: Der Betreiber, der für Ihre Zone antwortet, kann jederzeit aufhören zu antworten, und ein Name, der nirgendwohin auflöst, ist genauso gründlich aus dem Internet verschwunden wie einer, der beschlagnahmt wurde. Große Anbieter haben Abuse-Abteilungen, und Abuse-Abteilungen handeln.

Zwei Antworten lassen sich vertreten: autoritatives DNS selbst auf einem Server betreiben, den Sie ohnehin schon bezahlen, oder einen Betreiber nutzen, dessen Rechtsordnung Sie aus denselben Gründen bewusst gewählt haben wie die der Registry. Es selbst zu betreiben kostet Sie operative Verantwortung — zwei Nameserver an unterschiedlichen Orten, überwacht, gepatcht —, verschafft Ihnen aber die Gewissheit, dass Ihnen niemand die Zone kurzfristig unter den Füßen wegziehen kann. Für ein Projekt, bei dem der Name das eigentliche Kapital ist, ist das meist der richtige Tausch.

Auch Ihre Zone veröffentlicht Dinge über Sie. Die NS-Einträge nennen Ihren Betreiber. Der SOA-Eintrag trägt eine E-Mail-Adresse, die eine Funktionsadresse sein sollte und keine Person. Und eine Zone, deren Transfers offen für das gesamte Internet stehen, gibt jeden Hostnamen preis, den Sie haben — auch die, von denen Sie dachten, sie seien privat. Prüfen Sie, ob Ihre Zone das verweigert, denn die Standardeinstellung ist in manchen Konfigurationen freizügiger, als man erwarten würde.

DNSSEC lohnt sich zu aktivieren und wird oft missverstanden: Es authentifiziert Antworten, es verbirgt sie nicht. Mit den ursprünglichen Existenzverneinungs-Einträgen lässt sich eine signierte Zone durchwandern, um jeden darin enthaltenen Namen aufzuzählen — genau deshalb wurde NSEC3 spezifiziert. Wenn Ihre Subdomains nicht wie ein Verzeichnis Ihrer internen Systeme lesbar sein sollen, setzen Sie es ein.

Und gehen Sie davon aus, dass die Auflösungshistorie dauerhaft ist. Passive-DNS-Aggregatoren zeichnen jede Adresse auf, auf die Ihr Name jemals gezeigt hat — einschließlich der, die Sie zehn Minuten lang zum Testen gesetzt haben, einschließlich der, die auf Ihren Heimanschluss zeigte, bevor der Server bereit war. Für diese Daten gibt es kein Verfallsdatum und keine Löschung. Die Regel, die daraus folgt, ist absolut: Richten Sie einen echten Namen niemals auf etwas, das Sie nicht bewusst veröffentlichen würden — nicht einmal kurz, nicht einmal an einem Sonntag. Der Leitfaden zum anonymen Hosting behandelt den Rest dieses vielschichtigen Problems.

Halten Sie die Time-to-Live bei den wichtigen Einträgen niedrig — fünf Minuten sind ein vernünftiger Arbeitswert —, damit ein Wechsel des Registrars, des Anbieters oder des Servers eine Sache von Minuten statt von Tagen ist. Froh sein werden Sie darüber genau einmal, unter Druck, und genau dann zählt es. Das Migrations-Playbook enthält die vollständige Umschaltsequenz.

Die öffentlichen Archive, die einen sauberen Namen wieder mit einer Person verknüpfen

Nehmen wir an, die Registrierung ist sauber, die Zahlung hat keine Spur hinterlassen, und das DNS gehört Ihnen. Trotzdem gibt es eine Reihe dauerhafter, öffentlicher, frei durchsuchbarer Archive, die die ganze Zeit über still Ihre Infrastruktur mitgeschrieben haben — und genau so passiert Zuordnung in der Praxis tatsächlich.

Certificate Transparency ist das größte davon und das am wenigsten gewürdigte. Jedes öffentlich vertrauenswürdige Zertifikat, das für Ihren Namen ausgestellt wird, wird an öffentliche, nur anhängbare Logs übermittelt — das ist die gesamte Konstruktionsidee des Systems, Browser verlangen es, und das Ökosystem ist bewusst offen gehalten. Jedes Zertifikat, das Sie für einen bestimmten Hostnamen anfordern, veröffentlicht diesen Hostnamen innerhalb von Minuten dauerhaft vor aller Welt. Fordern Sie stattdessen eines für eine Wildcard an, veröffentlichen Sie nur den übergeordneten Namen. Der interne Hostname, den Sie einmal in Eile im Jahr 2024 zertifiziert haben, steht immer noch dort.

Wiederverwendete Identifikatoren korrelieren Seiten weit zuverlässiger als jeder Registrierungsdatensatz. Dieselbe Analytics-Property auf zwei Seiten, dasselbe Werbekonto, dieselbe selbst gehostete Metrik-Instanz, dasselbe Zertifikat, wiederverwendet auf zwei Hosts, derselbe SSH-Host-Key, dieselbe unverwechselbare Reihenfolge der HTTP-Antwort-Header, dasselbe Favicon. Kommerzielle Indizes und internetweite Scanner speichern das alles und lassen jeden in einer einzigen Abfrage von einer Property zur nächsten springen — das ist Routinearbeit, keine exotische Fähigkeit.

Inhalt ist ein eigener Kanal und bleibt von allem auf der Domain-Ebene unberührt. Schreibstil, die Tageszeit, zu der Ihre Commits eintreffen, ein Ankündigungspost von einem Konto mit Ihrem echten Namen darauf, ein Foto mit intakten Standort-Metadaten, ein PDF mit einem Autorenfeld aus der Textverarbeitung, die es erzeugt hat. Keine Registrar-Entscheidung schützt vor irgendetwas davon.

Die nützliche Angewohnheit ist, diese Prüfung an sich selbst vorzunehmen, bevor Sie live gehen — und nicht erst, nachdem es jemand anderes getan hat. Schlagen Sie Ihren Namen in einem Archiv zur Registrierungshistorie nach, durchsuchen Sie die Zertifikatslogs danach, fragen Sie ein Passive-DNS-Werkzeug ab, und scannen Sie Ihre eigene Adresse so, wie es ein Scanner tun würde. Zwanzig Minuten, in denen Sie Ihr eigenes Projekt mit dem Werkzeug eines Fremden betrachten, finden die Staging-Subdomain, das versprengte Zertifikat und den vergessenen Testeintrag, solange sie noch billig zu beheben sind.

Der Fluchtweg — und der Plan für den Tag, an dem eine Mitteilung eintrifft

Es gibt genau eine Art von Namen, die niemand nehmen kann: die, die niemand vergibt. Eine Onion-Adresse leitet sich aus einem Schlüssel ab, den Sie auf Ihrer eigenen Maschine erzeugen: Es gibt keine Registry, keinen Registrar, keine Verlängerung und keine jährliche Rechnung — also nichts zu beschlagnahmen und niemanden, auf den man Druck ausüben könnte. Das kostet Sie Auffindbarkeit, Merkbarkeit und das gewöhnliche Web-Publikum, also ist sie kein Ersatz für einen Clearnet-Namen — sie ist der Rückfallweg, der noch funktioniert, an dem Morgen, an dem der Clearnet-Name gesperrt wird. Der Leitfaden zum Onion-Service zeigt den vollständigen Aufbau.

Betreiben Sie beides, und machen Sie den Rückfallweg bekannt, solange noch alles ruhig ist. Ein einziger Antwort-Header — Onion-Location — lässt eine Clearnet-Seite ihre Onion-Adresse automatisch an den Tor Browser melden, sodass das Publikum, das die Alternative eines Tages brauchen wird, sie bereits kennt, statt sie ausgerechnet in der Woche suchen zu müssen, in der Ihre Hauptadresse aufgehört hat aufzulösen.

Registrieren Sie außerdem einen Ersatznamen, bei einem anderen Registrar, unter der Rechtsordnung einer anderen Registry, gerichtet auf denselben Server. Das kostet ein paar Währungseinheiten im Jahr. Einen Namen unter Druck zu beschaffen — während der Hauptname gesperrt ist, Ihre Mail darüber läuft und Ihre Nutzer öffentlich Fragen stellen — ist ein völlig anderer und weit schlimmerer Nachmittag.

Bewahren Sie das Wiederherstellungspaket dort auf, wo der Vorfall es nicht erreichen kann: ein aktueller Export der Zone, die Registrar-Zugangsdaten und Wiederherstellungscodes außerhalb des Postfachs, das von der Domain abhängt, der Transfer-Autorisierungscode, und eine schriftliche Antwort auf die Frage „Wenn dieser Name um drei Uhr morgens verschwindet, was sagen wir dann, und wo sagen wir es?“ Ein Plan, der nur in Ihrem Kopf existiert, ist keiner.

Kennen Sie die Transferregeln im Voraus, denn sie sind die Randbedingung, die improvisierte Pläne zunichtemacht. Ein Name ist sechzig Tage nach der Registrierung und erneut nach einem Wechsel des Registranten gegen Transfer gesperrt, gemäß der Transferrichtlinie. „Wir verschieben es, falls es Ärger gibt“ steht Ihnen also in den ersten zwei Monaten nicht zur Verfügung, ebenso wenig unmittelbar nachdem Sie ihn gerade erst verschoben haben. Erledigen Sie den Umzug, solange nichts im Argen liegt.

Wenn dann tatsächlich etwas eintrifft, lesen Sie erst, was es wirklich ist, bevor Sie reagieren. Eine Beschwerde bei Ihrem Registrar ist keine Gerichtsverfügung und verdient oft eine kurze sachliche Antwort statt Schweigen. Eine Streitbeilegungsklage ist ein Verfahren mit einer Frist, das standardmäßig gegen Sie entschieden wird, wenn Sie es ignorieren. Ein Registry-Hold ist nichts, was Ihr Registrar wegdiskutieren kann. Der DMCA-Leitfaden behandelt, wie Mitteilungen durch Offshore-Infrastruktur fließen und welche wo Rechtskraft haben. Und bewahren Sie die Unterlagen auf: Der Nachweis, den Sie vielleicht vorlegen müssen, ist genau der, den zu löschen Sie versucht sein werden.

Wo passt der Host in all das hinein? Wir verkaufen die Maschine, nicht den Namen — es gibt hier kein Domain-Produkt, und dieser Leitfaden wäre schlechter, wenn es eines gäbe. Was die Hosting-Ebene beiträgt, ist, dass das, worauf Ihr sorgfältig gewählter Name zeigt, selbst in einer Rechtsordnung liegt, die Sie gewählt haben, ohne Identitätsprüfung bezahlt und in rund vierzig Sekunden von vier Standorten aus bereitgestellt wurde. Bringen Sie die Namensebene in Ordnung, passen die beiden Hälften endlich zusammen; bringen Sie sie nicht in Ordnung, ist der stärkste Server in Reykjavík über ein Formular auf einer Website auf der anderen Hemisphäre erreichbar.