Braucht das Internet mehr Regulierung? Ex-Facebook-Mitarbeiterin und Whistleblowerin Frances Haugen empfiehlt es. Die russische Regierung strebt es an. Und auch die EU-Mitgliedsstaaten wollen die Sicherheit zentraler Elemente des Netzes direkt selbst kontrollieren. Noch läuft das Internet auf zentralen Infrastrukturen, die privat, von Vereinen oder von Organisationen verwaltet werden, die keine Gewinne anstreben. Sollte sich das ändern?
Göran Marby, Chef der Internet Corporation for Assigned Names and Numbers (Icann), zeigt sich alarmiert. Der Schwede, früher für die Telekomregulierung in seinem Heimatland zuständig, beobachtet einen "regelrechten Angriff" auf das Modell der Selbstregulierung. Bisher läuft es so: Wirtschaft und Zivilgesellschaft entwickeln, unterstützt von einem Regierungsbeirat - einer Art kleiner Internet-UN -, Regeln für die Vergabe und den Betrieb von Namenszonen (Top Level Domains) wie .com, .info oder .hamburg.
Das läuft nicht schlecht, auch wenn alle Teilnehmer stets etwas zu kritisieren haben. Zu langsam würden die Regeln entwickelt, kritisiert die Domainbranche. Zu viele betrügerische Domains gebe es in manchen Zonen, meckern die Strafverfolger. Die Vergabe der Adresszone .amazon an die Amazon-Niederlassung in Luxemburg verärgert die Amazonas-Anrainerstaaten.
Ist die Selbstverwaltung überholt?
Die Gegner der Selbstregulierung sehen grundsätzlichere Probleme: Die Wurzeln der heutigen Internet-Selbstverwaltung reichten zurück in die Zeit eines rein "akademischen Internets", heißt es aus Russland. Der Bedeutung des Internets, von dem mittlerweile öffentliche Dienste, Wirtschaft, ja der Alltag aller abhängig seien, würden die bisherigen Verfahren längst nicht mehr gerecht, so die Warnung. "Russland hat wiederholt und an verschiedener Stelle auf das völlige Fehlen belastbarer Garantien für die Entwicklung und Sicherheit des Internets hingewiesen", klagt Russland gegenüber der Internationalen Fernmeldeunion (ITU). "Derzeit gibt es keinen einzigen internationalen Rechtsakt, der die Integrität und Sicherheit der öffentlichen Kerninfrastruktur des Internets garantiert."
Andere ITU-Mitglieder haben es jedoch abgelehnt, die von Russland vorgeschlagene "Risikoanalyse" zu diskutieren, berichtet Tatiana Tropina, Dozentin für Cybersecurity Governance am Institute of Security and Global Affairs der Universität in Leiden. Für die Strafrechtlerin klingt das mit der "Attacke" zwar etwas alarmistisch. Ein Versuch, die Kontrolle über die Infrastruktur des Internets stärker in die Hände staatlicher Institutionen bringen, sei es aber schon, so Tropina, und auch nicht der erste.
Mit einem wichtigen Unterschied: Russland begründet sein Ansinnen mit einer Reihe sehr praktischer Probleme des Selbstverwaltungsmodells. Da ist etwa die US- und EU-Sanktionspolitik. Die verbietet oder erschwert zumindest die neutrale Versorgung bestimmter Länder mit Internetnamen oder -nummern. Die europäische Vergabestelle für IP-Adressen, RIPE NCC, muss zum Beispiel hinnehmen, dass von ihr mitversorgte Firmen in Iran wegen des eingeschränkten Bankverkehrs ihre Mitgliedsbeiträge nicht mehr bezahlen können.
Tropina hält dagegen: "Für dieses Problem ist es völlig egal, wo wir die Icann ansiedeln, ob in den USA, der Schweiz oder sonst wo, für jede global auftretende Nichtregierungsorganisation ist es unlösbar." "Es ist eine immanente Schwäche des Multi-Stakeholder-Modells", sagt Tropina, also der Selbstregulierung durch private Institutionen. Die einzige Alternative, und wohl auch die, die Russland anstrebt, wäre die Umwandlung in eine internationale Organisation, etwa innerhalb der UN. Doch damit würde man sich viele Nachteile einkaufen, sagt die Juristin. "Wie inklusiv wäre eine internationale Organisation? Wem würde sie Rechenschaft ablegen?", fragt sie kopfschüttelnd. Die stark technisch orientierte Selbstverwaltung des Netzes wurde zerstört, befürchtet sie.
Wer überwacht das Grundbuchamt im Netz?
Mit Sorge blicken die aktuellen Netzverwalter auf die internationalen Entwicklungen, weil nicht nur Russland für mehr Staat plädiert. Auch der europäische Gesetzgeber will die Sicherheit der zentralen Infrastruktur Internet nicht mehr allein den "Stakeholdern" überlassen. In die Entwürfe zur Novelle der Netzwerksicherheitsrichtlinie (NIS2) hat die EU-Kommission daher alle Betreiber von DNS-Infrastruktur aufgenommen. Auf viele kleine Betreiber von Namensdiensten käme dadurch ein großer Aufwand zu. DNS-Dienste ermöglichen, dass für Menschen verständliche Namen von Internetsites in die Codes übersetzt werden, mit denen Computer arbeiten.
Großen Widerstand rief in den Konsultationen zur NIS2 schließlich die EU-Forderung hervor, dass auch die Sicherheit der 13 zentralen Root-Server des DNS unter EU-Aufsicht zu stellen seien. Das dezentral aufgesetzte System der Root-Server hält die Datenbanken aller eingetragenen Namenszonen der Top Level Domains (TLDs) von .de bis .com vor. Die Root-Server beantworten Millionen Anfragen pro Sekunde.
Was die Idee einer Aufsicht über diese zentrale Infrastruktur so heikel macht? Nur zwei der dreizehn Root-Betreiber des globalen DNS befinden sich überhaupt in Europa, zehn sind in den USA, zwei davon beim Militär, einer bei der Nasa. Doch auch diese müssten sich der EU-Aufsicht unterwerfen, sofern sie "einen signifikanten Fußabdruck in der EU" haben, fordern die Mitgliedsländer. Die Nicht-EU-Root-Server-Betreiber erwägen, ihre Abdeckung in Europa zu verringern, um der EU-Aufsicht auszuweichen, sagt Olaf Kolkman, Technologie-Experte der Internet Society. Im Falle von Angriffen könnten EU-Bürger dadurch auf weniger Server ausweichen. Kolkman, versierter Entwickler im Bereich der Absicherung des DNS gegen Phishing, befürchtet daher eher negative Effekte. Nicht-europäische Anbieter der DNS-Wertschöpfungskette könnten EU-Bürger sogar von ihren Diensten ausschließen, so wie dies nach Einführung der Datenschutzgrundverordnung manche US-Zeitungsverlage gemacht haben, fürchtet die Internet Society.
"Als Gesellschaft müssen wir die Sicherheit und Verlässlichkeit der Infrastruktur sicherstellen, von der wir für kritische Dinge abhängig sind", erkennt Kolkman an. Das bedürfe ganz sicher eines kontinuierlichen Austauschs zwischen Politik und Technik. Regulierungsprojekte in vielen Ländern drohten allerdings längst Kerncharakteristika des Internets auszuhebeln. Wenn Eigenschaften wie einheitliche Adressierung, global akzeptiertes Basisprotokoll, Technologieneutralität und Zugangsoffenheit beschädigt werden, könnte die Fähigkeit zur Zusammenschaltung auf der Strecke bleiben. Man riskiere, das kaputt zu machen, was das Internet zum für alle funktionierenden Netz der Netze mache, so die Warnung.
Die Icann und andere für das Rückgrat des Internets zuständige Organisationen müssen noch stärker ins Gespräch mit Öffentlichkeit und Gesetzgeber kommen, bestätigt Tropina. Wichtig sei dabei auch die Unterscheidung zwischen den großen Plattformen und dem technischen Herz des Internets. "Facebook, Microsoft, Google und Apple sind nicht das Internet", unterstreicht sie und appelliert an die Gesetzgeber, klarer zu formulieren, welche Probleme durch geplante Regulierungsschritte angegangen werden sollen. "Große Ambitionen bei der Regulierung der komplexen Materie Internet", so meint sie, "müssen getragen sein von noch viel mehr Wissen über diese Komplexität."