Einleitung
Während der Online Publishers Conference in Palm Beach (Florida) im November 2004 fragte jemand nach E-Mail-Marketing: "Zu große Ähnlichkeit mit Spam oder Phishing", antworteten die Podiumsteilnehmer. Am selben Tag wollten wir einen Flug von Santa Fe nach Albuquerque (New Mexico) buchen. Aber die URL
Der Unterschied zwischen beiden ist nicht klar, wenn man sich im Netz befindet, aber er wird sehr deutlich, sobald man zum Flughafen kommt: Dort befinden sich die Schalter beider Gesellschaften direkt nebeneinander. Santa Fe Shuttle und Sandia Shuttle tragen gerade einen Rechtsstreit aus, in dem es um den Domainnamen geht.
Das Internet ist heute ein Ort des Identitätsdiebstahls, und daher verliert es für viele zunehmend an Attraktivität. Das liegt an der Flut von Spam
In diesem Zustand liegt eine gewisse Ironie, denn das Netz sollte eigentlich ein sichererer Ort sein als die reale Welt: Man muss nichts mit Fremden zu tun haben, wenn man es nicht will, und theoretisch sind alle Dinge auffindbar. Und es ist leichter, Fremde außen vor zu halten - wenn man das wünscht. Doch es ist gleichzeitig viel schwieriger, herauszufinden, mit wem man es jeweils wirklich zu tun hat. Das hat in unserer vertrauensseligen Welt zu einem sehr offenen Netz geführt, in dem sich Fremde tummeln. Doch wenn man die Prämissen verändert - nicht: jeder ist ein Fremder, sondern: Fremde werden ausgeschlossen -, kann man eine völlig andere Welt erschaffen: das zuverlässige Netz.
Was würde sich ändern? Systeme sollen künftig als geschlossene, nicht als offene beginnen. Jeder wird nur mit einem identifizierbaren, vertrauenswürdigen, zuverlässigen Gegenüber verkehren. Dieses Netz nenne ich peer-to-peer accountable, d.h., zwei miteinander verbundene Computer und ihre Nutzer agieren vertrauensvoll miteinander. Voraussetzung hierfür ist, dass es keiner staatlichen Regulierungen bedarf, um die geschlossene, sichere Welt des Internets als breiteren, aber von Regeln bestimmten öffentlichen Raum wieder zu eröffnen. Denn geographisch eingeschränkte Regierungen sind nur schlecht ausgestattet, um die Sicherheit in einem globalen Netz aufrechtzuerhalten; lokales, privates Handeln ist dazu viel besser geeignet. Das zuverlässige Netz berücksichtigt individuelle Vorlieben, es macht die Teilnehmer untereinander verantwortlich und nicht gegenüber Regierungsvorgaben, die nicht jedem gefallen mögen. Die Nutzer können wählen, unter welchem Regime sie "leben" möchten: Wer mehr Regulierung möchte, kann wählen, nur mit solchen Teilnehmern zu kommunizieren, die sich solchen Systemen unterwerfen möchten, während jene, die lügen und betrügen möchten, es mit solchen zu tun bekommen, die das ebenfalls tun.
Man kann beide Systeme anhand von verschiedenen Kriterien unterscheiden: an Reputationssystemen (brands) und vor allem anhand der Domainnamen, oder aber anhand von certified-mailer-Programmen, welche die Identität von E-Mail-Absendern verifizieren. Dabei können sich Regierungen hilfreich beteiligen, sowohl, indem sie den privaten Sektor zur Selbstregulierung bewegen, und sei es nur aus Furcht vor staatlichen Eingriffen, als auch, indem kriminelle Machenschaften im Netz strafverfolgt werden bzw. eine Wiedergutmachung eingetretener Schäden erwirkt wird, wo die Kräfte des Marktes versagen und Selbstregulierung diese Arbeit nicht erledigen kann.
Jede Art von Internet-Governance funktioniert besser, wenn sie peer to peer stattfindet oder auch nur gelegentlich zu erkennen und nicht zentralisiert ist. Mit angemessenen Informationen über ihre Gegenüber, verlässlichen Reputationssystemen sowie Schutztools und -diensten sind die Nutzer bestens ausgestattet, für sich selbst zu entscheiden oder diese Entscheidungen an bestimmte Instanzen zu delegieren, deren Zielen sie vertrauen und die wiederum verantwortlich (nach den Regeln des Wettbewerbs) gegenüber ihren Kunden handeln. Sie sind ebenfalls bestens ausgestattet, um Netzwerke kommunikativer Beziehungen zu knüpfen. Im zuverlässigen Netz geht es nicht nur darum, bestimmte Menschen auszuschließen, sondern vor allem darum, Menschen miteinander in Kontakt zu bringen.
Für dieses peer-to-peer-Paradies einer wirkungsvollen Internet-Governance benötigen wir vor allem zwei Dinge. Zum einen müssen Authentifizierungssysteme von Menschen und Institutionen gewährleisten, dass Reputation und die Regeln, nach denen sie sich verhalten, auf sichere Weise nur jenen Teilnehmenden zugeordnet werden, die sie sich auch verdient haben. Das erfordert bestimmte Tools und Dienste, die es Individuen und Organisationen ermöglichen, diese Informationen zu interpretieren. Nur mit einer solchen Infrastruktur der Authentifizierung ist es möglich, eine verlässliche Reputation der Teilnehmenden sowie Systeme der Verantwortlichkeit zu schaffen. Das bedeutet nicht, dass Anonymität im Netz künftig unmöglich sein soll - aber sie soll für jeden klar erkennbar sein, sodass sich Individuen entscheiden können, ob sie mit anonymen Nutzern überhaupt in Austausch treten möchten und ob und wann sie ihre eigene Identität offen legen möchten. (Dabei können durchaus auch anonyme Nutzer von solchen Empfehlungen profitieren, etwa wenn andere Individuen oder Organisationen für ein bestimmtes Verhalten des anonymen Teilnehmers beim Versenden von E-Mails, bei Bankgeschäften oder beim Posten von Beiträgen in Chatrooms bürgen.)
Zum anderen erweitert das zuverlässige Netz die Macht der Individuen, ihre eigene Wahl zu treffen, und zwar durch Software, Organisationen und Dienste, die dazu dienen, die Meinungen der Nutzer auszudrücken, ihre Marktmacht zu bündeln, ihre Reputation zu verbreiten und Verantwortlichkeit zu stärken. Hiermit sind Tools von Softwarehändlern gemeint, ebenso Reputationsdienste, die als Netzcommunities mit eigenen Regeln und Diensten das Verhalten ihrer Mitglieder beobachten und im Gegenzug bestimmte Privilegien zusichern. Diese Communities handeln im Auftrag der individuellen Teilnehmer, die sie gewählt haben, nicht etwa kollektiv im Auftrag aller Menschen, die in einem bestimmten geographischen Raum leben. In Extremfällen können diese Organisationen Individuen sogar dabei helfen, Ansprüche gegenüber Übeltätern geltend zu machen, oder sie können mit der Regierung zusammenarbeiten, um Betrug und andere Verbrechen zu verfolgen.
Das zuverlässige Netz ist eine Vision der Dezentralisierung. Viele Teilnehmer müssen zusammenwirken. Im Einzelnen geht es um Dienste, die es individuellen Nutzern ermöglichen, ihre Gegenüber sicher zu identifizieren und zur gleichen Zeit ihre eigene Identität zu schützen; es geht weniger um Biometrie, die es beispielsweise Unternehmen erlaubt, ihre Beschäftigten und ihre Kunden zu identifizieren. Im Mittelpunkt müssen Authentifizierungsstandards für den E-Mail-Verkehr, Domainauthentifizierungen, elektronische Signaturen, Reputationssysteme und die allgemeine Netzsicherheit stehen. Die technischen Möglichkeiten dazu sind längst vorhanden.
Insbesondere die Spam-Plage ist so schlimm geworden, dass sich einstige Konkurrenten längst zusammengetan haben. Spam ist ein gutes Beispiel für asymmetrischen Krieg - jede Einzellösung würde die Angriffe nur verstärken. Man benötigt stattdessen eine Art elektronisches Immunsystem, das kontinuierlich neue Antikörper entwickelt, um den neuen Bedrohungen begegnen zu können. Nur ein erster Schritt wäre die Authentifizierung, denn sie würde Mailempfängern (meist ein Internet-Serviceprovider oder ein Filter von Unternehmen) gestatten, spoofing zu unterbinden (das Benutzen einer falschen Absenderadresse einer Domain, die nicht verantwortlich für die Sendung ist).
Ferner wäre über eine pfadgestützte und eine signaturgestützte Authentifizierung von Domains nachzudenken. Erstere bezieht sich auf die Herkunft der E-Mail - meist auf die IP (internet protocol)-Adresse - und vergleicht sie mit einer Liste erlaubter IP-Adressen, die in den Namenssystemen der jeweiligen Domain aufgezeichnet sind. Die IP-Adresse ist nur sehr schwer zu fälschen, anders als der Domainname, von dem die Nachricht zu kommen scheint; hier genügt schon ein Abgleich mit der IP-Adresse (auch wenn weitergeleitete E-Mails das größte Problem darzustellen scheinen). Die Authentifizierung per Signatur schaut sich die Nachricht selbst an und sucht nach einer Unterschrift der Herkunftsdomain. Beide Methoden funktionieren ohne menschliche Intervention. Diese Authentifizierung ist der Schlüssel für jedes Reputationssystem. Derzeit ist sie an die Ebene der Domains gekoppelt, und in der Welt der E-Mails verfügen manche IP-Adressen bereits über eindeutige Reputationen (oft sind viele von ihnen mit einer einzigen Domain verbunden), während andere über Nacht wieder verschwinden.
Wie können wir das zuverlässige Netz schaffen? Vor allem müssen die Verkäufer von IT-Produkten versuchen, ihre Kunden zu viel größerer Vorsicht zu erziehen. Sie müssen Systeme verkaufen, die serienmäßig über Sicherheitseinstellungen verfügen, selbst wenn sie dadurch zunächst schwerer abzusetzen sind und die Zahl der Anrufe bei den Supporthotlines steigt. Die Kosten der Sicherheit müssen im Vordergrund stehen. Kann man den Kunden Sicherheit vor Spam und Viren als mehrwertsteigernd vermitteln? Es wird schwer, denn Verkäufer hassen es, Sicherheitslücken in ihren Produkten einzugestehen. Aber die Kosten der Unsicherheit sind auf lange Sicht viel höher.
Aber es geht nicht nur um die Händler. Die Serviceprovider, insbesondere die Kabelfirmen, verkaufen ihre Produkte und kümmern sich kaum um einen angemessenen Support. Sie beachten nicht, welche Art von anormalem Verkehr aus ihren Maschinen quellen kann. Ein großer Teil der Spammails wird über infizierte Rechner unschuldiger, schlimmer noch: sorgloser Nutzer versandt. Die Providergesellschaften sollten zumindest ansatzweise Verantwortung dafür verspüren, wie ihre Dienste letztlich genutzt werden. Wenn sie ihre Nutzer nicht besser kontrollieren und unterstützen, könnten sie unausweichlich auf schwarze Listen von peer-Netzwerken gelangen.
Die vielleicht wichtigste Gruppe bei der Durchsetzung des zuverlässigen Netzes sind die Registratoren von Domainnamen, denn erst sie ermöglichen eine Identität im Internet. Dieser Markt ist hart umkämpft.
Domainnamen sind der Hauptort zur Gewährung dauerhafter Identität im Internet, doch sie sind viel zu leicht erhältlich. Ursprünglich war der Domainname eine Form der Präsenz, eine Art, sich selbst auszudrücken, und ein Medium für die Freiheit der Rede und der Information. Aber das Internet ist zunehmend zu einem Medium zur Informationssammlung (und des Geldverdienens) geworden. Ein dezentraler Markt muss lokal reguliert werden; doch das Geschäft mit den Domainnamen scheint keinerlei Regulierung zu unterliegen, und es verläuft mit nur wenig Selbstzurückhaltung. Wie Jon Callas, Geschäftsführer der Verschlüsselungssoftwarefirma Pretty Good Privacy (PGP) formuliert: "Wie kommen Spammer an legale Domains? Natürlich durch die Registrierungsbehörden. Warum ziehen wir diese Personen nicht zur Rechenschaft? Ist es nicht offensichtlich, dass jemand nichts Gutes im Schilde führt, wenn er die Domainnamen 'drugs4u0000.biz' bis 'drugs4u9999.biz' erwirbt? Spammer lassen buchstäblich tausende von Wegwerfadressen pro Monat registrieren. Für die Domainhändler ist das ein gutes Geschäft. Sie profitieren von den Phishers. Sie sind ebenso ein Teil des Spam-/Betrugssystems, wie Geldwäscher ein Teil des Drogenkartells sind."
ICANN wollte eine staatliche Regulierung des Internets vermeiden, indem es auf peer-to-peer-Regulierung setzte und nicht etwa ganz auf Regulierung verzichten wollte. Aber obwohl die meisten es wohl gerne sähen, wenn der Markt bereinigt würde, möchte niemand den ersten Schritt tun. Weil der Domainname, den beispielsweise Juan's Noble Name Registrar verkauft, derselbe ist, den man von Alice's Deadbeat Domains erwerben kann, kann es sich Juan nicht erlauben, sich aus dem Geschäft zurückzuziehen, weil die Domainnamen, die er verkauft, nicht sein Eigentum sind. Sie enden auf ".com" oder ".biz", lassen aber nicht erkennen, wo sie erworben wurden.
Kurz gesagt, das heutige System der Domainnamenvergabe eignet sich nicht für die Vision des zuverlässigen Netzes. Auch die Hoffnung, dass neue top level domains wie ".biz" und ".info" differenziert und kontrolliert verkauft werden könnten, hat sich rasch zerschlagen. Es gibt eine größere Registrierungsagentur für die ".com" top level domain - VeriSign/Network Solutions -, die aber den Verkauf der Adressen nach wie vor Registratoren überlässt. Diese wiederum sind ebenfalls nicht verantwortlich: Niemand sucht sich eine Adresse oder vermeidet sie auf der Basis des Registrators, bei dem sie erworben wurde.
Das geradezu als historisch zu bezeichnende Problem liegt darin, dass Domainnamen prinzipiell allen verfügbar sein sollen. Aber vielleicht handelt es sich bei einem Domainnamen eher um ein Privileg als um ein Recht - oder zumindest um ein Recht, das auf ehrenwerte, verantwortliche Weise genutzt werden muss. Wie Mailingdienste müssen Registratoren über Mittel verfügen, um ein verlässliches Feedback über ihre Kunden zu erhalten. Und wie Mailingdienste sollten sie Kunden, deren Integrität nicht festgestellt werden kann oder in Zweifel steht, keine Dienste verkaufen, denn die Nutzer würden solche Websites nicht länger aufsuchen, ebenso wie sie Post verweigern, je nach Ruf des Mailingdienstes. Zur Zeit sind Registratoren nicht mit den Namen verbunden, die sie registrieren. Der Domainmarkt basiert auf der Voraussetzung, dass man dieselbe Domain über verschiedene Registratoren erwerben kann. Es gibt keinerlei Qualitätskontrolle.
Ob neue, differenzierte top level domains so etwas leisten können, ist fraglich. Aber wenn die Gemeinschaft der Domainhändler und Website- bzw. Web-Hosting-Anbieter nicht rasch von den Reputationssystemen lernt, die Mailingdienste zu nutzen beginnen, könnten sie sich bald viel drakonischeren Formen des Feedbacks gegenübersehen - der staatlichen Regulierung. Ein wirklicher, auf Reputation und Qualitätskontrolle beruhender Wettbewerb unter den top level domains wäre keine Patentlösung, aber er wäre ein notwendiger erster Schritt, um das Netz auszumisten. Andernfalls wird die Öffentlichkeit künftig das Internet insgesamt für die Handlungen der Übeltäter verantwortlich machen - und möglicherweise würden die Rufe nach einer staatlichen Regulierung des Internets lauter.
Übersetzung aus dem Englischen von Hans-Georg Golz, Bonn.
