Cybersicherheit: EU-Parlament beschließt Aus für anonyme Domains

[chillman]

Eine zentrale Verifikationsstelle einrichten... Hier müssen denic, nic und co. einfach auf ein europäisches Konzept pochen...

Ja, das wäre ne tolle Sache, ich versuche das mal als Impuls in den Workshop der DENIC zu tragen (wenn es nicht schon seitens der DENIC vorgeschlagen wird).

Die DENIC ist auch schon länger an dem Thema dran. Sicherlich auch in Absprache mit anderen Registries. Es gibt jeweils rechtliche und technische und finanzielle Aspekte. Hoffen wir, dass am Ende eine gute Lösung möglich ist.

 

[igambling]

Bezüglich der Kosten für die Verifizierung denke ich das es auch deutlich günstiger geht als die genannten 10€. Es kommt halt drauf an wie Umfangreich die Verifizierung sein muss.

Wenn Selfie und Ausweisdokument reichen sollte das auch für unter 1€ zu realisieren sein. Es gibt genug Lösungen wo der Kunde die Verifizierung z.B. mit einer App Quasi selbst vornimmt. Eine Verifizierung über das Bankkonto des Kunden wäre sicherlich auch eine mögliche kostengünstige Option.

Was die Kosten halt in die Höhe treiben würde wäre wenn noch andere Dokumente eingereicht werden müssten wie z.B. Kontoauszüge und/oder eine Rechnungen einer Versorgers. Dann würde es wohl eher Richtung 10€ gehen.

Meine Vermutung ist das die DENIC das über die bei vielen verhasste Schufa lösen wird. Auch die bietet ja eine Identitätsprüfung an. Weiß da zufällig jemand wie hoch die Kosten da je Identitäts-Abfrage für Unternehmen bzw. in dem Fall eine Genossenschaft sind?

 

[domainspot]

Der Ansatz ist sicher gut und notwendig. Allerdings wird das nicht vor phishing und missbrauch schützen, wie man zb bei Telefonnummern sieht.
Ausserdem nutzen Scammer oft ungeschützte Webseiten von Privatpersonen oder Unternehmen für ihre Phishing-Landingpages, da nützt eine Verifizierung natürlich wenig.

 

[jdomain]

Bezüglich der Kosten für die Verifizierung denke ich das es auch deutlich günstiger geht als die genannten 10€. Es kommt halt drauf an wie Umfangreich die Verifizierung sein muss.

Wenn Selfie und Ausweisdokument reichen sollte das auch für unter 1€ zu realisieren sein. Es gibt genug Lösungen wo der Kunde die Verifizierung z.B. mit einer App Quasi selbst vornimmt. Eine Verifizierung über das Bankkonto des Kunden wäre sicherlich auch eine mögliche kostengünstige Option.

Was die Kosten halt in die Höhe treiben würde wäre wenn noch andere Dokumente eingereicht werden müssten wie z.B. Kontoauszüge und/oder eine Rechnungen einer Versorgers. Dann würde es wohl eher Richtung 10€ gehen.

Meine Vermutung ist das die DENIC das über die bei vielen verhasste Schufa lösen wird. Auch die bietet ja eine Identitätsprüfung an. Weiß da zufällig jemand wie hoch die Kosten da je Identitäts-Abfrage für Unternehmen bzw. in dem Fall eine Genossenschaft sind?

Sofort Ident (Verifizierung per Bankkonto) (https://documents.sofort.com/tarife/ident/) kostet zum Beispiel ab 2,50€ netto.

FinAPI GiroIdent (Verifizierung per Bankkonto + ggf. Schufa) (https://www.finapi.io/preise/) kostet je nach Menge und Ident-Variante ab 0,25€ bzw. ab 1€ bzw. ab 2€.

Bei der Schufa findet man öffentlich keine Preise, aber ich denke man kann sich daran orientieren, dass bei FinAPI in der "teuersten" Variante (ab 2€ netto) zwei Schufa-Checks (SCHUFA-KontonummernCheck plus IBAN sowie SCHUFA-IdentitätsCheck Premium mit Q-Bit) enthalten sind neben der Verifizierung per Bankkonto.

 

[123meins]

Die Frage ist wie man Inhabern aus Drittländern umgehen soll. Und ich rede von allen Ländern dieser Erde.
Und es geht nicht nur um Personen sondern auch um Firmen. Da wird es richtig knifflig.
Die Abzocker machen eh weiter mit ihren Fakeseiten.

Die Domaingebühren aber steigen für Alle um das Xfache. Die Denic wird weniger Wachstum oder sogar Minus haben, was die Kosten je Domain weiter erhöhen wird und zu weiteren Löschungen führen wird.
Dann sind wir wieder in den 90ern angelangt, wo es billiger war eine .com zu registrieren als eine .de.

Und dann jammern wir wieder rum, warum die fetten Digitalkonzerne alle nur in den USA angesiedelt sind...

Grüsse
123meins

 

[chillman]

Die Frage ist wie man Inhabern aus Drittländern umgehen soll. Und ich rede von allen Ländern dieser Erde.
Und es geht nicht nur um Personen sondern auch um Firmen. Da wird es richtig knifflig.

Ja, echt knifflig. Eine Verifizierung per Bankkonto reicht da nicht. Zumal es ja nach Registrierungsbedingungen der DENIC nicht erforderlich ist, ein IBAN-Bankkonto zu haben.

 

[igambling]

Die Frage ist wie man Inhabern aus Drittländern umgehen soll. Und ich rede von allen Ländern dieser Erde.
Und es geht nicht nur um Personen sondern auch um Firmen. Da wird es richtig knifflig...

Die Domaingebühren aber steigen für Alle um das Xfache. Die Denic wird weniger Wachstum oder sogar Minus haben, was die Kosten je Domain weiter erhöhen wird und zu weiteren Löschungen führen wird.

Natürlich wird es knifflige Fälle geben. Aber das ist die Minderheit. Umso wichtiger ist es das die Kosten eben nicht auf die Domain-Fees verteilt werden sondern eine separate Abrechnung des Verifizierungsprozess stattfindet.

Warum sollten Menschen oder Unternehmen die in Deutschland oder Europa leben und 1000+ Domains halten, pro Domain mehr zahlen nur weil sich z.B. auch Scheichs aus Saudi Arabien für einzelne Domains mit deutlich mehr finanziellem Aufwand Verifizieren lassen müssen. Das macht keinen Sinn.

Wenn die DENIC oder die Registrare versuchen die Kosten für diese Verifizierungen auf die Fees umzulegen dann werden natürlich viele Domains gelöscht werden.

Deshalb müssen die Kosten für die Verifizierung separat abgerechnet werden und die Fees komplett unberührt davon bleiben!

Die Löschungen die alleine Aufgrund der Verifizierungen stattfinden werden, sehe ich aus Domainer-Sicht Positiv für uns. Da wird dann ggf die ein oder andere Domain droppen die sonst nicht gedroppt wäre.

 

[chillman]

Warum sollten Menschen oder Unternehmen die in Deutschland oder Europa leben und 1000+ Domains halten, pro Domain mehr zahlen nur weil sich z.B. auch Scheichs aus Saudi Arabien für einzelne Domains mit deutlich mehr finanziellem Aufwand Verifizieren lassen müssen.

Ja, das wäre ungerecht aus Domainer-Sicht.

Was die DENIC betrifft, wird am Ende der Ansatz gewählt, für den die Mehrheit der Mitglieder auf der Generalversammlung ihre Stimme abgeben. Ist halt ein demokratischer Prozess einer Genossenschaft.

 

[123meins]

Ja, das wäre ungerecht aus Domainer-Sicht.

Was die DENIC betrifft, wird am Ende der Ansatz gewählt, für den die Mehrheit der Mitglieder auf der Generalversammlung ihre Stimme abgeben. Ist halt ein demokratischer Prozess einer Genossenschaft.

Nein. Es wird der Ansatz ausgewählt, der juristisch notwendig ist und die Denic am wenigsten belastet. Wir können als Mitglieder nur im Vorfeld dabei helfen alle Aspekte abzuwägen. Dafür auch der Termin im Dezember.

Das ist kein Thema was in einer GV abgestimmt werden kann.
Eine Gesosssenschaft ist ein Unternehmen und keine demokratische Volksvertretung.
Du überschätzt da die Möglichkeiten einer GV.
Weder RGP, Transit noch Dispute wurd je in einer GV beschlossen. Ebensowenig wie der Release der Kurzdomains oder die Konditionen für Abfragekontingente.

Grüsse
123meins

 

[chillman]

Du überschätzt da die Möglichkeiten einer GV.

Deine Darstellung stimmt natürlich, aber ein Vorstand und Aufsichtsrat wird die Mehrheitsverhältnisse berücksichtigen und nicht gegen die Mehrheit der Mietglieder entscheiden, wenn er die Wahl hat zu entscheiden.

 

[chillman]

Eine Gesosssenschaft ist ein Unternehmen und keine demokratische Volksvertretung.

Hat auch nie jemand behauptet. Die Genossenschaft vertritt die Interessen aller Mitglieder und das sind hier Provider. Dennoch ist es eine Art demokratischer Prozess, und das ist gut so.

 

[123meins]

Deine Darstellung stimmt natürlich, aber ein Vorstand und Aufsichtsrat wird die Mehrheitsverhältnisse berücksichtigen und nicht gegen die Mehrheit der Mietglieder entscheiden, wenn er die Wahl hat zu entscheiden.

Der Vorstand haftet und kann nur im Rahmen der rechtlichen Bedingungen handeln.
Also das, was Anwälte raten.
Die Mehrheitsvberhältnisse spielen da keine Rolle.
Kein Vorstand wird abgewählt weil er das richtige macht, um Schaden von der Denic abzuwenden.
Es müsste schon völlig klar sein, dass die Lösung gegen die Interessen der Mitglieder und DENIC ist und anders hätte aussehen können.
Das ist aber sehr theoretisch.

 

[chillman]

Die Mehrheitsvberhältnisse spielen da keine Rolle.

Danke für deine Klarstellung. Ich meinte ja, wenn der Vorstand die Wahl hätte zwischen Verfahren A und Verfahren B.

Hier die Frage, ob die Kosten auf alle umgelegt werden oder von jedem Einzelnen zu tragen wären. Das hat ja mit der rechtlichen Ausgestaltung des Verfahrens nichts zu tun.

 

[chillman]

Weder RGP, Transit noch Dispute wurd je in einer GV beschlossen. Ebensowenig wie der Release der Kurzdomains oder die Konditionen für Abfragekontingente.

Stimmt, weil es kein Mitglied eingebracht hat, oder sich im Vorfeld eine herrschende Meinung gebildet hat (Mehrheit).

Wir haben mit ELITEDOMAINS das Thema NSentries auf der Generalversammlung zur Abstimmung gebracht, haben nur keine Mehrheit bekommen. Das ist mit jedem Thema möglich, auch mit dem Thema der Verifikation, sofern es da mehrere Meinungen geben könnte, rein rechtlich.

 

[123meins]

Stimmt, weil es kein Mitglied eingebracht hat, oder sich im Vorfeld eine herrschende Meinung gebildet hat (Mehrheit).

Wir haben mit ELITEDOMAINS das Thema NSentries auf der Generalversammlung zur Abstimmung gebracht, haben nur keine Mehrheit bekommen. Das ist mit jedem Thema möglich, auch mit dem Thema der Verifikation, sofern es da mehrere Meinungen geben könnte, rein rechtlich.

Nein, es ist nicht mit jedem Thema möglich, den Vorstand zu etwas zu zwingen.
Die GV ist kein Parteitag.

 

[BMN]

Nach der Zustimmung des Parlaments muss auch der Rat das Gesetz formell genehmigen. Ich frage mich nur, wie lange so etwas dauern kann?

 

[chillman]

Nein, es ist nicht mit jedem Thema möglich, den Vorstand zu etwas zu zwingen.
Die GV ist kein Parteitag.

Ich rede auch nicht davon jemanden zu zwingen, sondern davon, jemanden mit der Meinung der Mehrheit zu überzeugen. Das ist doch was ganz anderes. Wenn die Mehrheit für X ist, welcher Vorstand votiert dann für Y?

Nur einer, der mit seinen Vorstandsposten fertig ist und und bald aufhört. (weil der Aufsichtsrat ihn nicht mehr haben möchte in Zukunft).

 

[Adomino]

Ich verstehe das Problem eigentlich nicht. Wenn es darum geht, dass Domains nicht mehr anonym registriert oder gehalten werden dürfen, warum verwendet man nicht einfach eine D-TRUST Signaturkarte oder in Österreich die A-TRUST Handysignatur (Bürgerkarte). Zumindest in Österreich verwenden fast alle nur mehr diese Signatur. Man kann damit auch in Österreich Volksbegehren online unterzeichnen und muss nicht mehr wie früher ein Identverfahren beim Bezirksamt durchführen.

D-Trust GmbH | qualifizierter Vertrauensdiensteanbieter

D-Trust GmbH, ein Unternehmen der Bundesdruckerei-Gruppe, ist ein zertifizierter Vertrauensdiensteanbieter. Das Unternehmen bietet Produkte nach eIDAS-Standard an.

www.d-trust.net

Ich reiche selber beim DPMA mittels einer D-TRUST Signaturkarte selbst geschriebene Schriftsätze ein und muss mich dann auch mit einer qualifizierten Signatur ausweisen. Es war etwas mühsam so eine Karte mit einem Lesegerät aus Auckland zu bekommen, aber selbst ich habe das bekommen. Das Lesegerät habe ich bei Amazon.de bekommen und wurde mir auch nach Auckland geschickt. Die Identifizierung erfolgte über das deutsche Konsulat in Auckland d.h. ich ging dort hin, die haben meinen Reisepass kontrolliert und ich habe dort das ausgefüllte D-TRUST Formular vor Ort unterzeichnen müssen. Dann habe ich das Formular hingeschickt und ich habe die D-TRUST Karte nach Auckland geschickt bekommen. Nun muss ich die nächste Jahre die die Karte gültig ist kein einziges Ident-Verfahren mehr durchführen.

Vom Ablauf ist das ganz einfach. ich stecke das Lesegerät an einen USB-Port an. Dann melde ich mich bei der DPMADirektPro Software (kostenlos downloadbar) an und muss einen 4 stelligen Code auf dem Lesegerät eintippen. Dann kann ich das Dokument auf den DPMA Server hinaufladen und muss dann nochmals mit einen 4 stelligen Code das Dokument qualifiziert signieren. Das alles ist EU-konform, obwohl ich es aus Auckland gemacht habe.

So schaut die D-TRUST Signaturkarte und mein Kartenlesegerät aus.






Das gleiche gilt für meine A-TRUST Handysignatur. Ich war vor 5 Jahren bei der Post in Wien und habe das beantragt. Die Postangestellte hat meinen Reisepass kontrolliert und ich habe dann die Handysignatur bekommen. So kann ich in Auckland problemlos mit der EU einheitlichen qualifizierten Signatur PDF-Dateien signieren. Die A-TRUST Signaturkarte verwende ich dafür um selbst beim BPatG Schriftsätze einreichen zu können. Dafür muss ich lediglich das PDF mit meiner Handysignatur qualifiziert signieren und kann dann dieses PDF problemlos und einfach beim BPatG einreichen.

Man kann die PDF-Signatur dann auch online kontrollieren ob wirklich ich dieses PDF unterzeichnet habe.

PDF-Signatur mit der Handy-Signatur : buergerkarte.at

Informationen zum Signieren von PDFs mittels Handy erhalten.

www.buergerkarte.at

Meinen Account bei InternetX könnte ich ja auch auf einmal zertifizieren lassen (Bulk-Signatur) bzw. wenn ich eine neue .at/.de Domain registrieren will, dies mit der D-TRUST oder A-TRUST qualifizierten Signatur signieren. Da hat die DENIC gar keinen Aufwand mehr, außer das die vielleicht ein paar weitere interne Felder bei jeder Domain hinzufügen müssen die dann von den Providern gefüttert werden. Warum man daraufhin die Gebühren erhöhen muss, verstehe ich nicht wirklich. Man könnte eine Übergangszeit von 1 oder 2 Jahr gewähren d.h. spätestens bei dem Renew muss man eben einmal für die Domain(s) sich zertifieren lassen.

Aber genauso gut könnte die DENIC das auch direkt über eine Webseite anbieten und ebenfalls eine Bulk-Signierung anbieten damit man nicht für tausende Domains jede einzelne Domain signieren muss. Oder es machen eben die Provider.

Und das schöne an der ganzen Sache ist, dass das ganze bereits EU-konform durch die eIDAS Verordnung ist. d.h. diese Anbieter dieser Karten müssen sich vorher erst selber einer Prüfung durchlaufen lassen damit diese dann diese Signaturkarten anbieten können.

eIDAS-Verordnung über elektronische Identifizierung und Vertrauensdienste

www.bsi.bund.de

Warum also was Neues erfinden, wenn es alles bereits seit Jahren gibt ?

 

[123meins]

Ich verstehe das Problem eigentlich nicht. Wenn es darum geht, dass Domains nicht mehr anonym registriert oder gehalten werden dürfen, warum verwendet man nicht einfach eine D-TRUST Signaturkarte oder in Österreich die A-TRUST Handysignatur (Bürgerkarte). Zumindest in Österreich verwenden fast alle nur mehr diese Signatur. Man kann damit auch in Österreich Volksbegehren online unterzeichnen und muss nicht mehr wie früher ein Identverfahren beim Bezirksamt durchführen.

Hm. Bin gespannt wie das dann in Uganda, USA oder China funktionieren soll.
Die versorgen wir auch alle damit?

 

[Adomino]

Uganda, USA und China haben alle eine deutsche Botschaft oder zumindest Konsulat. Es kann jeder Botschafter oder Konsul im Ausland ein Identverfahren oder eine Unterschriftenbeglaubigung für die Bestellung einer D-TRUST Karte durchführen.

Aber wie auch zuvor geschrieben, kann ein Identverfahren auch von dritten Firmen durchgeführt werden. Ich glaube bei BINANCE (Kryptowährungsbörse) habe ich das auch machen müssen. Da ruft man einfach mit einer Webcam dort an und die andere Person sagt, dass man seinen Ausweiß in die Kamera halten soll, mit der linken Hand winken soll etc. bis die andere Seite überzeugt ist, dass die Person die vor der Webcam sitzt die Person ist vom Reisepass. BINANCE macht das sogar kostenlos.