Es erstaunt mich immer wieder, mit welcher Naivität Politiker, in diesem Fall (mal wieder) die der deutschen Regierung, über internetrechtliche Belange diskutieren, ohne auch nur zu Wissen, von was man da eigentlich redet. Das Thema ist zwar nun schon etwas älter, die Diskussion aber läuft und läuft… Reden wir heute mal wieder über das beliebte Zugangserschwernisgesetz. Frau Von der Leyen und die Teile der Regierung, die sie damit überzeugen konnte, möchten damit das Besuchen von – zunächst ausschließlich – kinderpornographischen Seiten unmöglich machen. Auf den ersten Blick scheint diese Initiative recht sinnvoll, denn wenn die Nachfrage fehlt, stirbt der Markt für solche Inhalte (um es mal sehr trocken auszudrücken). Eine Kleinigkeit hat Frau Von der Leyen dennoch vergessen: Die Inhalte sind noch da, und im Internet sind – man höre und staune – auch Fachleute unterwegs. Fachleute, die wissen, wie man solche Sperren, wie sie von der Regierung beschlossen wurden, innerhalb von Sekunden unwirksam machen kann.
Beleuchten wir kurz die Funktionsweise dieser Sperre: Bei jedem Zugriff auf eine Internetseite schickt der Browser zunächst einen DNS-Request an den im PC eingestellten DNS-Server, meist den des Providers (z. B. Telekom). Dieser Server prüft nun, ob der zu dem angeforderten Namen (z. B. matthias-lohr.net) auch eine IP kennt. Wenn ja, liefert er diese zurück, wenn nein fragt er den nächst “höheren” Server (bei einer .de-Domain die Nameserver der DENIC) “wer kennt denn die IP zu dieser Domain?”. Dieses Fragespielchen geht solange, bis der erste angefragte DNS-Server die Antwort kennt, diese speichert (falls noch mehr Anfragen zu dieser Domain kommen) und das Ergebnis an den Kunden zurückliefert. Die Telekom und alle anderen Internetzugangsprovider werden im Rahmen der Internet-Sperren dazu verpflichtet, bestimmte Domains, die im Zusammenhang mit Kinderpornographie bekannt geworden sind, immer auf eine feste IP umzuleiten, die nicht mehr dem Original-Ziel entspricht. Auf dem damit angefragten Server hat Frau Von der Leyen ein Stoppschild mit Apellen an die Menschlichkeit hinterlassen, welches sich der Internetbenutzer nun ansehen darf.
Wie schon oft und reichlich diskutiert, kann der Benutzer aber in seinem Betriebssystem selbst wählen, welche DNS-Server er benutzt. Beispielsweise kann man, statt die IP der heimischen FritzBox, einfach die DNS-Server von Google eintragen (8.8.4.4, 8.8.8.8). Schon ist man nicht mehr auf DNS-Server, die der deutschen Gerichtsbarkeit unterliegen, angewiesen, und merkt von den Websperren nichts.
Nun ist aber DNS dafür bekannt, dass es relativ leicht zu beeinflussen und die Daten darin zu fälschen sind (siehe Heise-Meldung). Um DNS ein klein wenig sicherer zu machen, wurde das DNSSEC-Protokoll entwickelt, welches es ermöglichst, gefälschte DNS-Antworten zu erkennen und ggf. auf andere Server auszuweichen, von denen man eine korrekte Antwort erhalten hat. Zur Zeit beraten die Betreiber der root-Zone, sowie auch die DENIC, wie der Betrieb mit DNSSEC aussehen kann und stellen entsprechende Testszenarien zusammen.
Der interessante Punkt ist nun folgender: Die Eingriffe der Provider in das DNS-System sehen für jeden Rechner, der DNSSEC versteht und überprüft, nun wie Fälschungen aus. Ein gut konfigurierter Rechner meldet also seinem Benutzer, dass jemand versucht, offensichtlich falsche Daten zuzustellen bzw. ignoriert der Rechner diese sogar und fragt direkt andere Nameserver. Der Effekt dabei ist, dass die IP mit dem schönen Stoppschild nie zum Kunden kommt, sie ist ja eine Fälschung. Also wird auch niemand das Stoppschild sehen, sondern nach ein wenig Arbeit (nämlich der Konfiguration anderer Nameserver) die Original-Inhalte.
(Für diejenigen, die wissen, wie DNSSEC funktioniert) Natürlich ist es möglich, in der einer gesperrten Domain übergeordneten Zone einen eigenen DS-Schlüssel hinterlegen zu lassen, mit dem sich die Echtheit der gefälschten Daten beweisen lassen würde (welch ein Satz…), allerdings untersteht nur ungefähr eine TLD der deutschen Regierung, weswegen diese Lösung ausschließlich für die de-Zone anwendbar wäre. Eine weitere Alternative wäre die komplette Filterung des innerdeutschen Datenverkehrs, um die Nutzung von nicht erlaubten DNS-Servern aufzuspüren. Allerdings wandere ich vorher nach China aus!
Nach soviel destruktiver Kritik noch ein wenig Konstruktives: Mir ist kein Staat bekannt, der Kinderpornographie befürwortet. Daher sollte es in einer internationalen Initiative doch eigentlich möglich sein, ein Informations-Netzwerk aufzubauen, in dem Regierungen sich untereinander informieren, wenn Sie in einem nicht unter ihrer Kontrolle stehenden Internet-Bereich einen Server aufgespürt haben, der kinderpornographische oder sonstige verwerfliche Inhalte enthält. Damit wäre dann auch die Löschung – die meines Erachtens ohnehin vorgenommen werden sollte, allerdings nicht ohne Anordnung eines Richters – von Seiten möglich und die Welt ein klein wenig schöner…
.