Ende August erhielt das Kunden-Support-Team von Cloudflare Beschwerden darüber, dass Websites in unserem Netzwerk in Österreich nicht erreichbar seien. Unser Team machte sich sofort an die Arbeit, um die Ursache für den nach außen hin als Internausfall in Österreich wirkenden Vorfall zu finden. Bald wurde uns jedoch klar, dass es sich um ein Problem mit lokalen österreichischen Internetanbietern handelte.
Aber die Serviceunterbrechung war nicht das Ergebnis eines technischen Problems. Wie wir später aus Medienberichten, erfuhren, war der Ausfall das Ergebnis eines Gerichtsbeschlusses. Ohne Cloudflare darüber zu informieren, hatte ein österreichisches Gericht österreichische Internet Service Provider (ISPs) angewiesen, 11 IP-Adressen von Cloudflare zu sperren.
Bei dem Versuch, 14 Websites zu sperren, die nach Ansicht der Urheberrechtsinhaber gegen das Urheberrecht verstoßen, wurden durch die gerichtlich angeordnete IP-Sperre Tausende von Websites für normale Internetnutzer in Österreich über einen Zeitraum von zwei Tagen unzugänglich gemacht. Was haben die Tausenden von anderen Websites falsch gemacht? Gar nichts. Sie waren ein vorübergehendes Opfer des Versäumnisses, Rechtsmittel und Systeme zu schaffen, die der tatsächlichen Architektur des Internets entsprechen.
Heute werden wir uns mit dem Thema IP-Sperren befassen: warum es sie gibt, was sie sind, was sie bewirken, wer davon betroffen ist und warum es so problematisch ist, Inhalte im Internet zu kontrollieren.
Große und kleine Kollateraleffekte
Das Verrückte daran ist, dass diese Art von Sperren regelmäßig und überall auf der Welt vorkommt. Aber solange diese Sperrung nicht das Ausmaß der Ereignisse in Österreich annimmt oder jemand beschließt, sie hervorzuheben, ist sie für die Außenwelt in der Regel unsichtbar. Selbst Cloudflare, das über ein umfassendes technisches Know-how und Verständnis für die Funktionsweise von Sperrungen verfügt, kann nicht automatisch erkennen, wann eine IP-Adresse gesperrt ist.
Für Internetnutzer ist die Situation noch undurchsichtiger. Sie wissen in der Regel nicht, warum sie keine Verbindung zu einer bestimmten Website herstellen können, woher das Verbindungsproblem kommt und wie es behoben werden kann. Sie wissen nur, dass sie nicht auf die Website zugreifen können, die sie eigentlich besuchen wollten. Und das kann es schwierig machen, zu dokumentieren, wenn Websites wegen der Sperrung von IP-Adressen unzugänglich geworden sind.
Auch Sperrmaßnahmen sind weit verbreitet. In ihrem Bericht „Freedom on the Net“ berichtete Freedom House kürzlich, dass 40 der 70 untersuchten Länder – die von Ländern wie Russland, Iran und Ägypten bis hin zu westlichen Demokratien wie dem Vereinigten Königreich und Deutschland reichen – in irgendeiner Form Websites gesperrt haben. Dabei geht der Bericht nicht genau auf die Art und Weise ein, wie diese Länder sperren. Klar ist allerdings: Viele von ihnen verwenden Formen der IP-Sperrung, die die gleichen potenziellen Auswirkungen einer teilweisen Abschaltung des Internets haben, wie wir sie in Österreich erlebt haben.
Es kann zwar schwierig sein, das Ausmaß des Kollateralschadens durch IP-Sperren zu bewerten. Es gibt jedoch Beispiele, in denen Organisationen versucht haben, diesen zu quantifizieren. In Verbindung mit einem Verfahren vor dem Europäischen Gerichtshof für Menschenrechte untersuchte das European Information Society Institute, eine in der Slowakei ansässige gemeinnützige Organisation, im Jahr 2017 das russische System zur Sperrung von Websites. Russland verwendete ausschließlich IP-Adressen, um Inhalte zu sperren. Das European Information Society Institute kam zu dem Schluss, dass die IP-Sperrung zu einer „kollateralen Sperrung von Websites in großem Umfang” führte, und stellte fest, dass bis zum 28. Juni 2017 „6.522.629 Internetressourcen in Russland gesperrt worden waren, von denen 6.335.850 – oder 97 % – kollateral, d. h. ohne rechtliche Rechtfertigung, gesperrt worden waren.“
Im Vereinigten Königreich hat die Non-Profit-Organisation Open Rights Group die Website Blocked.org.uk eingerichtet, um übermäßige Sperrungen zu verhindern. Die Website verfügt über ein Tool, mit dem Nutzer und Website-Besitzer über die übermäßigen Sperren berichten und die Internetanbieter auffordern können, die Sperren aufzuheben. Die Gruppe hat auch Hunderte von Einzelberichten über die Auswirkungen von Blockierungen auf diejenigen, deren Websites unrechtmäßig blockiert wurden, von Wohltätigkeitsorganisationen bis hin zu Kleinunternehmern. Auch wenn nicht immer klar ist, welche Blockierungsmethoden angewandt werden, zeigt die Tatsache, dass die Website überhaupt notwendig ist, das Ausmaß der übermäßigen Sperren. Stellen Sie sich einen Schneider, Uhrmacher oder Autohändler vor, der mit seiner Website für seine Dienstleistungen werben und potenziell neue Kunden gewinnen möchte. Das funktioniert nicht, wenn lokale Nutzer keinen Zugriff auf die Website haben.
Eine Reaktion könnte sein: „Nun, stellen Sie einfach sicher, dass es keine eingeschränkten Websites gibt, die sich eine Adresse mit nicht eingeschränkten Websites teilen“. Wie wir noch näher erläutern werden, wird dabei jedoch der große Unterschied zwischen der Anzahl der möglichen Domain-Namen und der Anzahl der verfügbaren IP-Adressen ignoriert. Dies widerspricht dabei den technischen Spezifikationen, die das Internet ermöglichen. Außerdem unterscheiden sich die Definitionen von „eingeschränkt“ (restricted) und „uneingeschränkt“ (unrestricted) von Land zu Land, von Kommune zu Kommune und von Organisation zu Organisation. Selbst wenn es möglich wäre, alle Beschränkungen zu kennen, ist es aufgrund der Gestaltung der Protokolle – des Internets selbst – schlichtweg nicht möglich, wenn nicht gar unmöglich, alle Auflagen der Behörden zu erfüllen.
Rechtliche und menschenrechtliche Bedenken
Die übermäßige Sperrung von Websites ist nicht nur ein Problem für die Nutzer, sondern hat auch rechtliche Folgen. Aufgrund der Auswirkungen, die sie auf normale Bürger haben können, die ihre Rechte online ausüben wollen, sind staatliche Stellen (sowohl Gerichte als auch Regulierungsbehörden) rechtlich verpflichtet, dafür zu sorgen, dass ihre Anordnungen notwendig und verhältnismäßig sind und nicht unnötig diejenigen treffen, die nicht zu dem Schaden beitragen.
Es wäre beispielsweise schwer vorstellbar, dass ein Gericht als Reaktion auf ein mutmaßliches Fehlverhalten blindlings einen Durchsuchungsbefehl oder eine Anordnung allein auf der Grundlage einer Straßenanschrift erlässt, ohne sich darum zu kümmern, ob es sich bei dieser Anschrift um ein Einfamilienhaus, ein Gebäude mit sechs Wohneinheiten oder ein Hochhaus mit Hunderten von Wohneinheiten handelt. Aber diese Art von Praktiken mit IP-Adressen scheinen weit verbreitet zu sein.
Im Jahr 2020 befasste sich der Europäische Gerichtshof für Menschenrechte (EGMR) – das Gericht, das die Umsetzung der Europäischen Menschenrechtskonvention des Europarats überwacht – mit einem Fall, bei dem es um eine Website ging, die in Russland gesperrt wurde, nicht weil sie von der russischen Regierung ins Visier genommen worden war, sondern weil sie eine IP-Adresse mit einer gesperrten Website teilte. Der Eigentümer der Website reichte Klage gegen die Sperrung ein. Der EGMR kam zu dem Schluss, dass die wahllose Sperrung unzulässig war, und entschied, dass die Sperrung des rechtmäßigen Inhalts der Website „einen willkürlichen Eingriff in die Rechte der Inhaber solcher Websites darstellt.” Mit anderen Worten, der EGMR entschied, dass es unzulässig ist, wenn eine Regierung Anordnungen erlässt, die zur Sperrung von nicht von der Sperrung erfassten Websites führen.
Herausforderungen im Bereich der Inhalte mit Hilfe der Internet-Infrastruktur lösen
Gewöhnliche Internetnutzer denken nicht viel darüber nach, wie die Inhalte, auf die sie online zugreifen wollen, an sie übertragen werden. Sie gehen davon aus, dass, wenn sie einen Domain-Namen in ihren Browser eingeben, der Inhalt automatisch angezeigt wird. Wenn dies nicht der Fall ist, gehen sie davon aus, dass die Website selbst Probleme hat, es sei denn, ihre gesamte Internetverbindung scheint gestört zu sein. Diese Grundannahmen lassen jedoch die Tatsache außer Acht, dass Verbindungen zu einer Website häufig dazu verwendet werden, den Zugang zu Online-Inhalten zu beschränken.
Warum blockieren Länder die Verbindung zu Websites? Vielleicht wollen sie ihren eigenen Bürgern den Zugang zu Inhalten verwehren, die sie für illegal halten – wie Online-Glücksspiele oder explizite Inhalte – und die anderswo in der Welt erlaubt sind. Vielleicht wollen sie verhindern, dass eine ausländische Nachrichtenquelle angezeigt wird, von der sie glauben, dass sie in erster Linie Desinformation betreibt. Oder sie wollen Urheberrechtsinhaber unterstützen, die den Zugang zu einer Website sperren wollen, um die Anzeige von Inhalten zu beschränken, die ihrer Meinung nach ihr geistiges Eigentum verletzen.
Eines ist klar: Zugangssperren sind nicht gleichbedeutend mit der Entfernung von Inhalten aus dem Internet. Es gibt eine Vielzahl rechtlicher Verpflichtungen und Befugnisse, die die tatsächliche Entfernung illegaler Inhalte ermöglichen sollen. In der Tat wird in vielen Ländern rechtlich davon ausgegangen, dass die Sperrung ein letztes Mittel ist, nachdem versucht wurde, die Inhalte an der Quelle zu entfernen.
Die Sperrung verhindert lediglich, dass bestimmte Betrachter – deren Internetzugang von dem Internetanbieter abhängt, der die Sperrung vornimmt – auf Websites zugreifen können. Die Website selbst bleibt online bestehen und ist für alle anderen zugänglich. Wenn die Inhalte jedoch von einem anderen Ort stammen und nicht einfach entfernt werden können, kann ein Land die Sperrung als beste oder einzige Lösung ansehen.
Wir sind uns der Bedenken bewusst, welche die Länder manchmal zur Umsetzung von Sperrmaßnahmen veranlassen. Grundsätzlich halten wir es jedoch für wichtig, dass die Nutzer wissen, wann die Websites, auf die sie zuzugreifen versuchen, gesperrt wurden, und, soweit möglich, wer sie gesperrt hat und warum. Und es ist von entscheidender Bedeutung, dass jegliche Beschränkung von Inhalten so begrenzt wie möglich sein sollte, um den Schaden zu begrenzen und die Rechte anderer nicht zu verletzen.
Eine rücksichtslose Sperre von IP-Adressen lässt diese Dinge nicht zu. Sie ist für Internetnutzer völlig undurchsichtig. Diese Maßnahme hat unbeabsichtigte, unvermeidbare Auswirkungen auf andere Inhalte. Und aufgrund der Struktur des Internets gibt es keine gute Möglichkeit, vor oder während einer IP-Sperre festzustellen, welche anderen Websites betroffen sein könnten.
Um zu verstehen, was in Österreich passiert ist und was in vielen anderen Ländern auf der ganzen Welt geschieht, die versuchen, Inhalte unverblümt anhand von IP-Adressen zu sperren, müssen wir verstehen, was hinter den Kulissen vor sich geht. Das bedeutet, dass wir uns in einige technische Details vertiefen müssen.
Identität ist mit Namen verbunden, niemals mit Adressen
Bevor wir überhaupt die technischen Aspekte der Sperrung beschreiben, ist es wichtig zu betonen, dass die erste und beste Option für den Umgang mit Inhalten an der Quelle liegt. Ein Website-Eigentümer oder Hosting-Provider hat die Möglichkeit, Inhalte auf granularer Ebene zu entfernen, ohne die gesamte Website abschalten zu müssen. Was die technische Seite betrifft, so kann ein Registrar oder eine Registrierungsstelle für Domain-Namen möglicherweise einen Domain-Namen und damit eine Website ganz aus dem Internet nehmen.
Aber wie sperrt man den Zugang zu einer Website, wenn der Eigentümer oder die Quelle der Inhalte aus welchen Gründen auch immer nicht in der Lage oder nicht willens ist, diese aus dem Internet zu entfernen? Es gibt nur drei mögliche Kontrollpunkte.
Der erste Weg führt über das Domain Name System (DNS), das Domain-Namen in IP-Adressen umwandelt, damit die Website gefunden werden kann. Anstatt eine gültige IP-Adresse für einen Domain-Namen auszugeben, könnte der DNS-Resolver lügen und mit einem Code, NXDOMAIN, antworten, was bedeutet, dass „es keinen solchen Namen gibt“. Ein besserer Ansatz wäre es, eine der ehrlichen Fehlernummern zu verwenden, die 2020 standardisiert wurden, einschließlich Fehler 15 für blockiert, Fehler 16 für zensiert, Fehler 17 für gefiltert oder Fehler 18 für verboten, obwohl diese derzeit nicht weit verbreitet sind.
Interessanterweise hängt die Genauigkeit und Wirksamkeit von DNS als Kontrollpunkt davon ab, ob der DNS-Resolver privat oder öffentlich ist. Private oder „interne“ DNS-Resolver werden von ISPs und Enterprise-Umgebungen für ihre eigenen bekannten Clients betrieben, was bedeutet, dass die Betreiber inhaltliche Beschränkungen präzise anwenden können. Im Gegensatz dazu ist dieses Maß an Präzision für offene oder öffentliche Resolver nicht verfügbar, nicht zuletzt, weil Routing und Adressierung global sind und sich auf der Internetkarte ständig ändern, ganz im Gegensatz zu Adressen und Routen auf einer festen Post- oder Straßenkarte. Private DNS-Resolver können beispielsweise den Zugang zu Websites in bestimmten geografischen Regionen zumindest mit einer gewissen Genauigkeit sperren. Öffentliche DNS-Resolver können dies hingegen nicht – was angesichts der unterschiedlichen (und uneinheitlichen) Regelungen für die Sperrung von Websites in der ganzen Welt von großer Bedeutung ist.
Der zweite Ansatz besteht darin, einzelne Verbindungsanfragen zu einem eingeschränkten Domain-Namen zu blockieren. Wenn ein Benutzer oder Kunde eine Website besuchen möchte, wird vom Client eine Verbindung zu einem Servernamen, d. h. dem Domain-Namen, hergestellt. Wenn ein Netzwerk- oder On-Path-Gerät in der Lage ist, den Servernamen zu beobachten, kann die Verbindung abgebrochen werden. Anders als bei DNS gibt es keinen Mechanismus, um dem Benutzer mitzuteilen, dass der Zugriff auf den Servernamen blockiert wurde oder warum.
Der dritte Ansatz besteht darin, den Zugang zu einer IP-Adresse zu sperren, unter der der Domain-Name gefunden werden kann. Dies ist in etwa so, als würde man die Zustellung aller Post an eine physische Adresse blockieren. Nehmen wir zum Beispiel an, dass es sich bei der Adresse um ein Hochhaus mit vielen nicht miteinander verbundenen und unabhängigen Bewohnern handelt. Die Unterbrechung der Postzustellung an die Adresse des Hochhauses verursacht einen Kollateralschaden, da sie sich unweigerlich auf alle Beteiligten an dieser Adresse auswirkt. IP-Adressen funktionieren auf die gleiche Weise.
Die IP-Adresse ist die einzige der drei Optionen, die nicht mit dem Domain-Namen verbunden ist. Der Domain-Name der Website ist für die Weiterleitung und Zustellung von Datenpaketen nicht erforderlich; er wird sogar völlig ignoriert. Eine Website kann auf jeder IP-Adresse oder sogar auf vielen IP-Adressen gleichzeitig verfügbar sein. Und die Menge der IP-Adressen, unter denen eine Website erreichbar ist, kann sich jederzeit ändern. Die Menge der IP-Adressen kann nicht endgültig durch eine Abfrage des DNS ermittelt werden, das seit 1995 in der Lage ist, jede gültige Adresse zu jeder Zeit und aus jedem Grund auszugeben.
Die Vorstellung, dass eine Adresse für eine Identität steht, steht im Widerspruch zum Design des Internets, da die Entkopplung von Adresse und Name tief in den Internetstandards und -protokollen verankert ist, wie im Folgenden erläutert wird.
Das Internet ist eine Reihe von Protokollen, nicht eine Politik oder Perspektive
Viele Menschen gehen immer noch fälschlicherweise davon aus, dass eine IP-Adresse für eine einzelne Website steht. Wir haben bereits darauf hingewiesen, dass die Assoziation zwischen Namen und Adressen verständlich ist, wenn man bedenkt, dass die ersten verbundenen Komponenten des Internets als ein Computer, eine Schnittstelle, eine Adresse und ein Name erschienen. Diese Eins-zu-eins-Zuordnung war ein Produkt des Ökosystems, in dem das Internetprotokoll eingesetzt wurde, und entsprach den Anforderungen der damaligen Zeit.
Trotz der Eins-zu-eins-Namensgebung in den Anfängen des Internets war es schon immer möglich, einem Server (oder „Host“) mehr als einen Namen zuzuweisen. So wurde (und wird) ein Server oft mit Namen konfiguriert, die sein Dienstangebot widerspiegeln, wie z. B. mail.example.com und www.example.com, die jedoch einen gemeinsamen grundlegenden Domain-Namen haben. Es gab nur wenige Gründe, völlig unterschiedliche Domain-Namen zu verwenden, bis die Notwendigkeit entstand, völlig unterschiedliche Websites auf einem einzigen Server unterzubringen. Diese Praxis wurde 1997 durch den Host-Header in HTTP/1.1 erleichtert, eine Funktion, die 2003 durch das SNI-Feld in einer TLS-Erweiterung beibehalten wurde.
Das Internet-Protokoll und das separate DNS-Protokoll haben mit diesen Veränderungen nicht nur Schritt gehalten, sondern sind im Wesentlichen unverändert geblieben. Sie sind der eigentliche Grund dafür, dass das Internet skalieren und sich weiterentwickeln konnte, denn es geht um Adressen, Erreichbarkeit und beliebige Beziehungen zwischen Namen und IP-Adressen.
Das Design von IP und DNS ist ebenfalls völlig unabhängig, was nur noch mehr unterstreicht, dass Namen und Adressen unabhängig voneinander sind. Betrachtet man die Gestaltungselemente der Protokolle genauer, so erkennt man, welche Fehleinschätzungen der Politik zu der heute üblichen Praxis geführt haben, den Zugang zu Inhalten durch die Sperrung von IP-Adressen zu kontrollieren.
IP ist für die Erreichbarkeit gedacht und für nichts anderes
Ähnlich wie große öffentliche Bauprojekte auf Bauvorschriften und bewährten Verfahren beruhen, basiert das Internet auf einer Reihe offener Standards und Spezifikationen, die auf Erfahrungen beruhen und durch internationalen Konsens vereinbart wurden. Die Internet-Standards, die Hardware und Anwendungen miteinander verbinden, werden von der Internet Engineering Task Force (IETF) in Form von „Requests for Comment“ oder RFCs veröffentlicht –– so benannt nicht, um Unvollständigkeit zu suggerieren, sondern um zu verdeutlichen, dass sich die Standards mit Wissen und Erfahrung weiterentwickeln können müssen. Die IETF und ihre RFCs sind in der Kommunikationsbranche fest verankert, so wurde beispielsweise der erste RFC 1 1969 veröffentlicht. Die Spezifikation des Internet-Protokolls (IP) erreichte 1981 den RFC-Status.
Neben den Normungsorganisationen wurde der Erfolg des Internets durch eine Kernidee begünstigt, die als End-to-End-Prinzip (e2e) bekannt ist und ebenfalls 1981 kodifiziert wurde, nachdem jahrelang auf der Grundlage von Versuch und Irrtum experimentiert wurde. Das End-to-End-Prinzip ist eine leistungsfähige Abstraktion, die zwar viele Formen annimmt, aber einen Kerngedanken der Internet-Protokoll-Spezifikation zum Ausdruck bringt: Die einzige Aufgabe des Netzwerks besteht darin, die Erreichbarkeit herzustellen, und jede andere mögliche Funktion ist mit Kosten oder Risiken verbunden.
Der Gedanke der „Erreichbarkeit“ im Internet-Protokoll ist auch in der Gestaltung der IP-Adressen selbst verankert. In der Spezifikation des Internet-Protokolls, RFC 791, wird im folgenden Auszug aus Abschnitt 2.3 ausdrücklich darauf hingewiesen, dass IP-Adressen nicht mit Namen, Schnittstellen oder anderen Dingen verbunden sind.
Addressing
A distinction is made between names, addresses, and routes [4]. A
name indicates what we seek. An address indicates where it is. A
route indicates how to get there. The internet protocol deals
primarily with addresses. It is the task of higher level (i.e.,
host-to-host or application) protocols to make the mapping from
names to addresses. The internet module maps internet addresses to
local net addresses. It is the task of lower level (i.e., local net
or gateways) procedures to make the mapping from local net addresses
to routes.
[ RFC 791, 1981 ]
Genauso wie Postadressen für Hochhäuser in der physischen Welt sind IP-Adressen nicht mehr als auf einem Stück Papier geschriebene Straßenadressen. Und genau wie bei einer Straßenadresse auf Papier kann man sich nie sicher sein, welche Personen oder Organisationen sich hinter einer IP-Adresse verbergen. In einem Netzwerk wie dem von Cloudflare steht eine einzige IP-Adresse für Tausende von Servern und kann sogar noch mehr Websites und Dienste enthalten – in einigen Fällen bis zu Millionen –, und zwar genau deshalb, weil das Internetprotokoll so konzipiert ist, dass es dies ermöglicht.
Eine interessante Frage: Könnten wir oder jeder Anbieter von Inhaltsdiensten sicherstellen, dass jede IP-Adresse nur einem einzigen Namen zugeordnet ist? Die Antwort ist ein eindeutiges nein, und auch hier liegt es an der Gestaltung des Protokolls – in diesem Fall des DNS.
Die Anzahl der Namen im DNS übersteigt stets die Anzahl der verfügbaren Adressen
Eine Eins-zu-eins-Beziehung zwischen Namen und Adressen ist bei den Internet-Spezifikationen aus den gleichen Gründen unmöglich, wie sie in der physischen Welt undurchführbar ist. Ignorieren Sie für einen Moment, dass Menschen und Organisationen ihre Adressen ändern können. Grundsätzlich übersteigt die Zahl der Menschen und Organisationen auf der Welt die Zahl der Postadressen. Wir wollen nicht nur, sondern müssen das Internet so gestalten, dass es mehr Namen als Adressen aufnehmen kann.
Der unterschiedliche Umfang von Namen und Adressen ist auch in den Spezifikationen kodifiziert. IPv4-Adressen bestehen aus 32 Bit, IPv6-Adressen aus 128 Bit. Die Größe eines Domain-Namens, der von DNS abgefragt werden kann, beträgt 253 Oktette oder 2.024 Bit (aus Abschnitt 2.3.4 in RFC 1035, veröffentlicht 1987). Die nachstehende Tabelle hilft, diese Unterschiede zu verdeutlichen:
Am 15. November 2022 gaben die Vereinten Nationen bekannt, dass die Erdbevölkerung die Grenze von acht Milliarden Menschen überschritten hat. Intuitiv wissen wir, dass es nicht annähernd so viele Postadressen geben kann. Die Differenz zwischen der Anzahl der möglichen Namen auf der Erde und auch im Internet muss die Anzahl der verfügbaren Adressen übersteigen.
Die Zahlen machen es deutlich
Halten wir also diese beiden relevanten Grundsätze über IP-Adressen und DNS-Namen in den internationalen Standards fest: IP-Adressen und Domain-Namen dienen unterschiedlichen Zwecken, und es gibt keine Eins-zu-eins-Beziehung zwischen den beiden. Wenden wir uns nun einem aktuellen Fall von Inhaltssperrung unter Verwendung von IP-Adressen zu, um die Gründe für die Problematik zu erkennen. Nehmen wir zum Beispiel den Vorfall mit der IP-Sperre in Österreich Ende August 2022. Ziel war es, den Zugang zu 14 Ziel-Domains zu beschränken, indem 11 IP-Adressen gesperrt wurden (Quelle: RTR.Telekom.Post via das Internet Archive) – die Diskrepanz zwischen diesen beiden Zahlen hätte ein Warnzeichen dafür sein sollen, dass die IP-Sperrung möglicherweise nicht die gewünschte Wirkung haben würde.
Analogien und internationale Standards mögen die Gründe dafür erklären, dass IP-Sperren vermieden werden sollten. Das Ausmaß des Problems wird jedoch deutlich, wenn man sich die Daten in der Größenordnung des Internets ansieht. Um die Tragweite von IP-Sperren besser zu verstehen und zu erklären, haben wir beschlossen, eine globale Übersicht über Domain-Namen und IP-Adressen zu erstellen (unser Dank geht an den Doktoranden Sudheesh Singanamalla für diese Arbeit). Im September 2022 haben wir die maßgeblichen Zonendateien für die Top-Level-Domains (TLDs) .com verwendet, .net, .info, und .org, zusammen mit Top-1M-Webseitenlisten, um insgesamt 255.315.270 einzigartige Namen zu finden. Anschließend haben wir DNS-Abfragen aus jeder der fünf Regionen durchgeführt und die ausgegebenen IP-Adressen aufgezeichnet. Die folgende Tabelle fasst unsere Ergebnisse zusammen:
Die obige Tabelle verdeutlicht, dass man nicht mehr als 10,7 Millionen Adressen benötigt, um 255.315.270 Namen aus allen Regionen der Welt zu erreichen. Sie zeigt auch, dass die Gesamtzahl der IP-Adressen für diese Namen aus allen Regionen etwa 16 Millionen beträgt – das Verhältnis von Namen zu IP-Adressen beträgt in Europa fast das 24-fache und weltweit das 16-fache.
Zu den obigen Zahlen gibt es noch ein interessantes Detail: Bei den IP-Adressen handelt es sich um die Gesamtzahl der IPv4- und IPv6-Adressen, was bedeutet, dass viel weniger Adressen benötigt werden, um alle 255 Millionen Websites zu erreichen.
Wir haben die Daten auch auf verschiedene Weise untersucht und haben dabei einige interessante Dinge festgestellt. Die folgende Abbildung zeigt zum Beispiel die kumulative Verteilung (Cumulative Distribution – CDF) des Anteils der Websites, die mit jeder zusätzlichen IP-Adresse besucht werden können. Auf der y-Achse steht der Anteil der Websites, die bei einer bestimmten Anzahl von IP-Adressen erreicht werden können. Auf der x-Achse sind die 16 Mio. IP-Adressen von den meisten Domains auf der linken Seite bis zu den wenigsten Domains auf der rechten Seite geordnet. Beachten Sie, dass jede IP-Adresse in dieser Gruppe eine Antwort von DNS ist und daher mindestens einen Domain-Namen haben muss. Die höchste Anzahl von Domains auf IP-Adressen in der Gruppe liegt jedoch im 8-stelligen Millionenbereich.
Die Betrachtung der CDF ergibt einige aufschlussreiche Erkenntnisse:
- Es werden weniger als 10 IP-Adressen benötigt, um 20 % der etwa 51 Millionen Domains in dieser Gruppe zu erreichen;
- 100 IPs reichen aus, um fast 50 % der Domains zu erreichen;
- 1000 IPs reichen aus, um 60 % der Domains zu erreichen;
- 10.000 IPs reichen aus, um 80 %, also etwa 204 Millionen Domains, zu erreichen.
Tatsächlich hatten von den insgesamt 16 Millionen Adressen weniger als die Hälfte, nämlich 7,1 Millionen (43,7
%), der Adressen im Datensatz einen Namen. In Bezug auf diesen „einen“ Namen müssen wir zusätzlich klarstellen, dass wir nicht feststellen können, ob es nur einen und keine anderen Namen unter diesen Adressen gab, weil es viel mehr Domain-Namen gibt als nur die, die in .com, .org, .info und .net enthalten sind – es könnte sehr wohl andere Namen unter diesen Adressen geben.
Es können nicht nur mehrere Domains unter einer einzigen IP-Adresse betrieben werden, sondern jede IP-Adresse kann sich im Laufe der Zeit für jede dieser Domains ändern. Wechselt man die IP-Adressen regelmäßig, kann dies für die Sicherheit, die Performance und die Zuverlässigkeit von Websites hilfreich sein. Ein gängiges Beispiel, das von vielen Betrieben verwendet wird, ist der Lastausgleich. Das bedeutet, dass DNS-Anfragen für dieselben Websites im Laufe der Zeit oder an verschiedenen Orten unterschiedliche IP-Adressen ergeben können. Dies ist ein weiterer Grund, warum die Sperrung auf der Grundlage von IP-Adressen auf Dauer nicht den beabsichtigten Zweck erfüllen wird.
Letztendlich gibt es keine zuverlässige Möglichkeit, die Anzahl der Domains einer IP-Adresse zu ermitteln, ohne alle Namen im DNS von jedem Ort der Welt aus und zu jedem Zeitpunkt zu überprüfen – ein völlig undurchführbares Unterfangen.
Jede Maßnahme an einer IP-Adresse muss nach den Definitionen der Protokolle, die das Internet regeln und befähigen, Kollateraleffekte mit sich bringen.
Mangelnde Transparenz bei IP-Sperren
Wenn wir also damit rechnen müssen, dass die Sperrung einer IP-Adresse Kollateralschäden nach sich zieht, und es allgemein anerkannt ist, dass es unangemessen oder sogar rechtlich unzulässig ist, IP-Adressen mit mehreren Domains zu sperren, warum geschieht es dann trotzdem? Das lässt sich nicht mit Sicherheit sagen. Darum können wir nur spekulieren. Manchmal spiegelt sich darin ein Mangel an technischem Verständnis für die möglichen Auswirkungen wider, insbesondere seitens von Instanzen wie Richtern, die keine Techniker sind. Manchmal ignorieren Regierungen einfach die Kollateralschäden – wie bei Internetsperren –, weil sie die Sperrung als in ihrem Interesse betrachten. Und wenn es Kollateralschäden gibt, sind diese für die Außenwelt in der Regel nicht offensichtlich, sodass von außen nur wenig Druck ausgeübt werden kann, um sie zu beheben.
Dieser Punkt sollte hervorgehoben werden. Wenn eine IP gesperrt ist, sieht ein Nutzer nur eine fehlgeschlagene Verbindung. Sie wissen nicht, warum die Verbindung fehlgeschlagen ist oder wer sie verursacht hat. Auf der anderen Seite weiß der Server, der im Namen der Website handelt, nicht einmal, dass er gesperrt wurde, bis er Beschwerden darüber erhält, dass die Website nicht verfügbar ist. Es gibt praktisch keine Transparenz oder Rechenschaftspflicht für die übermäßige Sperrung. Zudem kann es für den Inhaber einer Website schwierig, wenn nicht gar unmöglich sein, eine Sperrung anzufechten oder Rechtsmittel gegen eine unangemessene Sperrung einzulegen.
Einige Regierungen, darunter Österreich, veröffentlichen aktive Sperrlisten, was ein wichtiger Schritt in Richtung Transparenz ist. Aber aus all den Gründen, die wir erörtert haben, offenbart die Veröffentlichung einer IP-Adresse nicht alle Websites, die möglicherweise unbeabsichtigt gesperrt wurden. Und sie ermöglicht den Betroffenen nicht, gegen die übermäßige Sperrung vorzugehen. Noch einmal: In der physischen Welt ist es schwer vorstellbar, dass eine gerichtliche Anordnung für ein Hochhaus nicht an der Tür angeschlagen wird, aber im virtuellen Raum scheinen wir solche Anforderungen an ein ordnungsgemäßes Verfahren und eine Benachrichtigung oft zu übergehen.
Wir meinen, dass es wichtiger denn je ist, über die problematischen Folgen von IP-Sperren zu sprechen, da immer mehr Länder die Sperrung von Online-Inhalten vorantreiben. Leider verwenden die ISP häufig IP-Sperren, um diese Anforderungen umzusetzen. Es sind aber nicht nur kleine, sondern auch die ganz großen ISP, welche diese Praxis anwenden. Das ist auch verständlich, denn die IP-Sperrung ist mit dem geringsten Aufwand verbunden und kann auf den meisten Geräten sofort durchgesetzt werden.
Und da immer mehr Domains unter der gleichen Anzahl von IP-Adressen geführt werden, wird sich das Problem nur noch verschärfen.
Nächste Schritte
Was können wir also tun?
Wir glauben, dass der erste Schritt darin besteht, den Einsatz von IP-Sperren transparenter zu machen. Obwohl uns keine umfassende Möglichkeit bekannt ist, den durch IP-Sperren verursachten Kollateralschaden zu dokumentieren, glauben wir, dass es Schritte gibt, die wir unternehmen können, um die Öffentlichkeit für diese Praxis zu sensibilisieren. Wir arbeiten engagiert an neuen Initiativen, die diese Erkenntnisse publik machen, wie wir es mit dem Cloudflare Radar Outage Center getan haben.
Wir sind uns auch bewusst, dass es sich um ein Problem des gesamten Internets handelt, das daher Teil einer umfassenderen Anstrengung sein muss. Die hohe Wahrscheinlichkeit, dass die Sperrung nach IP-Adresse dazu führt, dass der Zugang zu einer ganzen Reihe nicht zusammenhängender (und nicht ins Visier genommener) Domains eingeschränkt wird, sollte für jeden ein Grund sein, diese nicht mehr einzusetzen. Deshalb arbeiten wir mit Partnern aus der Zivilgesellschaft und gleichgesinnten Unternehmen zusammen, um uns gegen die Sperrung von IP-Adressen als Mittel zur Bewältigung von Problemen mit Online-Inhalten auszusprechen und auf Kollateralschäden hinzuweisen, wenn es diese gibt.
Die Länder benötigen rechtliche Mechanismen, die es ermöglichen, Inhalte unter Wahrung der Rechte zu entfernen oder einzuschränken, um den Herausforderungen illegaler Online-Inhalte zu begegnen. Wir glauben, dass es fast immer der beste und notwendige erste Schritt ist, den Inhalt an der Quelle zu bekämpfen. Gesetze wie der neue Digital Services Act der EU oder der Digital Millennium Copyright Act bieten Instrumente, mit denen illegale Inhalte an der Quelle bekämpft werden können, wobei wichtige Grundsätze der Rechtsstaatlichkeit gewahrt bleiben. Die Regierungen sollten sich darauf konzentrieren, rechtliche Mechanismen so zu entwickeln und anzuwenden, dass die Rechte anderer Menschen so wenig wie möglich beeinträchtigt werden, im Einklang mit den Menschenrechtserwartungen.
Diese Anforderungen können durch die Sperrung von IP-Adressen schlichtweg nicht erfüllt werden.
Wir werden weiterhin nach neuen Wegen suchen, um über Netzwerkaktivitäten und -störungen zu sprechen, insbesondere wenn sie zu unnötigen Zugangsbeschränkungen führen. Besuchen Sie Cloudflare Radar, um weitere Einblicke in die aktuellen Onlineaktivitäten zu erhalten.