Die Schichten über Ihrem Server: Domain, CDN, Transit

Die Wahl, wo der Server steht, ist eine von drei Entscheidungen, und selten die, die den Ausgang bestimmt. Über dem Server liegt ein Name, betrieben von jemand anderem. Vor dem Server liegt, bei den meisten Seiten, ein Reverse-Proxy, wiederum betrieben von jemand anderem. Keiner von beiden ist an die Richtlinien Ihres Hosts gebunden, keiner von beiden unterliegt der Rechtsordnung Ihres Hosts, und beide können von einem Gericht zum Handeln verpflichtet werden, das über Ihren Host selbst überhaupt keine Reichweite hat. Das ist der Teil des Stacks, den Offshore-Hosting nicht abdeckt, und es lohnt sich, genau zu wissen, wo er endet.

Drei Schichten, drei verschiedene Eigentümer

Eine überhaupt erreichbare Seite hängt von mindestens drei getrennten Unternehmen ab, und sie fallen unabhängig voneinander aus.

Der Name. Ein Registrar hat ihn Ihnen verkauft; eine Registry betreibt die Endung, unter der er liegt. Zwei Unternehmen, meist zwei Länder, und das zweite hat nie von Ihnen gehört.

Die Front. Antwortet irgendetwas an Ihrer Stelle — ein CDN, ein Reverse-Proxy, ein Anycast-Edge —, terminiert es die Verbindungen Ihrer Besucher, bevor Ihr Server sie überhaupt sieht. Es kennt Ihre Origin-Adresse damit zwangsläufig, und es empfängt die Beschwerden.

Die Leitung und die Maschine. Ihr Host, seine Transit-Anbieter, das Rechenzentrum, der Adressbereich, in dem Ihr Server steht. Das ist die Schicht, nach der Menschen einkaufen gehen, und die einzige der drei, die eine Hosting-Rechtsordnung tatsächlich regelt.

Die Gewohnheit, die es abzulegen lohnt, ist, diese drei als einen einzigen Kauf zu betrachten. Es sind drei, und alle drei in eine Hand zu legen — oder in ein einziges Rechtssystem — ist der Weg, wie eine einzige Anordnung alles auf einmal lahmlegt.

Die Domain: der Registrar und die Registry darüber

Ihr Registrar ist der Laden. Die Registry ist der Großhändler, der die Endung betreibt, und sie ist die Schicht, die vor dem Kauf fast niemand prüft.

Was einen Registrar zum Handeln bewegt

Seit dem 5. April 2024 trifft akkreditierte Registrare eine vertragliche Pflicht, gegen das vorzugehen, was ICANN „DNS Abuse" nennt: Liegen ihnen verwertbare Belege vor, müssen sie unverzüglich angemessene Maßnahmen ergreifen, um den Namen zu stören. Die nützliche Hälfte dieser Regel ist ihre Definition. DNS Abuse bedeutet Malware, Botnetze, Phishing, Pharming und Spam, sofern Spam als Verbreitungsweg für eines der anderen dient. Website-Inhalte sind ausgenommen, und Urheberrecht ist ausgenommen — ausdrücklich.

Lesen Sie das als Schwelle, nicht als Beruhigung. Es sagt Ihnen, welche Form eine Beschwerde annehmen muss, bevor Ihr Registrar zum Handeln verpflichtet ist; es sagt Ihnen auch, dass alles, was außerhalb dieser Liste liegt, als Anordnung eines Gerichts oder einer Behörde eintreffen muss — langsamer, überprüfbar und anfechtbar. Beide Hälften lohnt es sich zu kennen, bevor Sie die Beschwerde bearbeiten, die Sie gleich erhalten werden.

Was die Registry tun kann, und wo sie steht

Eine Registry hat einen einzigen, absoluten Hebel: Sie kann Ihrem Namen einen Status setzen, der ihn aus der Zone entfernt. Der Name löst dann für niemanden mehr auf, nirgendwo, ganz gleich, was Ihr Registrar dazu meint und ganz gleich, wo Ihr Server steht. Nichts auf der Hosting-Schicht mildert das, weil nichts auf der Hosting-Schicht beteiligt ist.

Das ist nicht theoretisch. Im Juni 2026 erließ ein Bezirksgericht in Texas einen Pfändungsbeschluss, der Verisign, den Betreiber von .com, anwies, motherless.com auf Registry Hold zu setzen. Betreiber war ein luxemburgisches Unternehmen, das ein texanisches Urteil nach dem Alterskontrollgesetz des Bundesstaats ignoriert hatte; die Anordnung setzte eine Kaution von 9,14 Millionen US-Dollar als Bedingung, um den Namen zurückzubekommen. Die Seite war nicht in Texas gehostet, und das Unternehmen saß nicht in Texas. Der Name lag unter .com, und .com wird von einem US-amerikanischen Unternehmen unter US-amerikanischer Rechtsordnung betrieben. Das genügte.

Die verallgemeinerbare Lehre betrifft nicht diesen einen Fall. Sie lautet, dass die gewählte Endung eine Entscheidung über den Rechtsraum ist, genau wie das Land, in dem Ihr Server steht, und die meisten treffen sie aus Gewohnheit. Fragen Sie, wer die Endung betreibt, unter welchem Recht, und ob dieses Rechtssystem dafür bekannt ist, Registries Anordnungen zu erteilen. Entscheiden Sie dann, ob Sie dort Ihren einzigen Namen haben wollen.

Datenschutz beim Namen betrifft die Veröffentlichung, nicht das Wissen

Die Schwärzung bei WHOIS und RDAP hält den massenhaften Scraper und den beiläufigen Blick ab. Sie macht Ihren Registrar nicht unwissend: Die Akkreditierung verpflichtet ihn, Registrierungsdaten vorzuhalten, und er gibt sie im Rahmen eines rechtlichen Verfahrens heraus wie jeder andere auch. Ein Privacy-Dienst vor dem Eintrag ist eine Veröffentlichungseinstellung, kein Schutzschild — und ein Registrar, der Sie nie nach etwas gefragt hat, kann nicht herausgeben, was er nicht besitzt, was eine völlig andere Eigenschaft ist und die einzige, für die es sich zu zahlen lohnt.

Der Proxy davor: was er entfernt, was er weiterleitet

Ein CDN ist ein Caching-Vermittler. Es speichert Ihre Seite nicht dauerhaft, „die Datei entfernen" ist also meist keine Option, die es hat. Was es kann, ist, Sie nicht mehr zu proxen — was für eine Seite, die auf den Proxy angewiesen ist, um erreichbar zu bleiben und ihre Origin-Adresse zu verbergen, Entfernung und Offenlegung in einer einzigen Bewegung bedeutet.

Das interessantere Verhalten ist das alltägliche, und der größte Anbieter legt es offen dar. Erhält er eine Missbrauchsmeldung zu einer Seite, die er lediglich proxt, wird er Ihre Beschwerde an den Betreiber der Website und an den Hosting-Anbieter weiterleiten, und er wird dem Hosting-Anbieter die Origin-IP-Adresse des betroffenen Inhalts mitteilen. Beides ist wörtlich aus seiner eigenen Missbrauchsrichtlinie zitiert, und es ist das Gegenteil dessen, wofür Käufer glauben zu bezahlen.

Der Proxy ist also kein Puffer zwischen Ihnen und der Missbrauchsstelle Ihres Hosts. Er ist ein Bote. Er trägt die Beschwerde zu Ihrem Host und sagt ihm genau, welche Maschine er sich ansehen soll. Haben Sie Ihren Host danach gewählt, wie er mit Beschwerden umgeht, ist das in Ordnung — die Beschwerde kommt dort an, wo Sie sie hinwollten. Haben Sie einen Proxy in der Hoffnung gewählt, dass die Beschwerde dort enden würde, tut sie das nicht.

Dieselbe Dokumentation dieses Anbieters erlegt auch Ihnen eine Pflicht auf: eine aktiv verwaltete und überwachte Abuse-Kontaktadresse vorzuhalten und auf jede Benachrichtigung über eine Missbrauchsmeldung binnen vierundzwanzig Stunden zu reagieren. Wer nicht rechtzeitig antwortet, riskiert, dass der gemeldete Inhalt entfernt oder blockiert wird, und die Sperrung oder Kündigung des Kontos. Der Vermittler, der Ihren Inhalt nicht entfernen kann, hat sich trotzdem eine Entfernungsklausel geschrieben — und eine Uhr.

Eine Ausnahme zählt. Wo dasselbe Unternehmen auch hostet — sein Objektspeicher, seine Serverless-Plattform, seine Produkte für Medien und Seiten —, ist es für diese Inhalte ein Hosting-Anbieter, sagt das auch so, und entfernt Inhalte über ein Notice-and-Takedown-Verfahren mit Gegendarstellung, in der Form, die US-amerikanisches Recht vorschreibt. Zwei Produkte eines Anbieters, zwei völlig verschiedene Antworten. Wissen Sie, welches der beiden Sie tatsächlich nutzen.

Was ein CDN nicht verbirgt, und wie Origins gefunden werden

Viele setzen einen Proxy aus genau einem Grund vor ihren Server: um die Origin-Adresse aus dem öffentlichen Internet herauszuhalten. Es lohnt sich zu wissen, wie gut das in der Praxis funktioniert, und die ehrliche Antwort lautet: Es funktioniert, bis einer von fünf gewöhnlichen Fehlern es zunichtemacht. Keiner davon ist exotisch; die Proxy-Anbieter dokumentieren sie selbst.

Die Einträge, die Sie vor dem Umzug veröffentlicht haben. DNS ist öffentlich und wird archiviert. Fast jede Seite, die hinter einen Proxy gezogen ist, hat ihre Adresse von davor dauerhaft in irgendjemandes historischem Datensatz liegen. Die eigene Anleitung des Anbieters lautet, die Origin-Adresse nach dem Onboarding zu rotieren — haben Sie das nicht getan, war der Umzug kosmetisch.

Die Einträge, die Sie ungeproxt gelassen haben. Eine einzige Subdomain, die direkt auf die Maschine zeigt, genügt: mail, ftp, cpanel, dev, staging, vpn, der Monitoring-Host, den Sie einmal eingerichtet haben. Prüfen Sie jeden Eintrag in der Zone, nicht nur die, an deren Anlage Sie sich erinnern.

Mail, die die Maschine verlässt. Versendet der Origin-Server Mail, reist seine Adresse in den Kopfzeilen mit. Schicken Sie eine Nachricht an eine nicht existierende Adresse, und die Unzustellbarkeitsmeldung kommt mit dieser Adresse zurück. Mail gehört auf eine andere Maschine als die, die Sie geheim halten wollen.

Certificate Transparency. Jedes öffentlich vertrauenswürdige Zertifikat wird zusammen mit den Namen protokolliert, die es abdeckt. Die Protokolle liefern keine Adresse, aber sie liefern die vollständige Liste der Subdomains, die man ausprobieren kann — einschließlich derer, die Sie für privat hielten.

Flächendeckendes Scannen. Der gesamte Adressraum wird fortlaufend gescannt und danach indexiert, was auf eine Anfrage antwortet. Eine unverwechselbare Seite, die von einer nackten Adresse ausgeliefert wird, ist eine Datenbankabfrage, keine Ermittlung.

Die Abhilfen sind gut bekannt, und es lohnt sich, sie nach Wirksamkeit anzugehen und nicht nach Bequemlichkeit.

1. Ein rein ausgehender Tunnel. Der Origin-Server baut die Verbindung zum Edge auf und lauscht auf nichts. Es gibt keinen Port zu finden, sodass die Adresse selbst dann uninteressant bleibt, wenn sie durchsickert. Das ist die einzige Option auf dieser Liste, die nicht davon abhängt, eine Regel richtig zu setzen.
2. Mutual TLS vom Edge aus. Der Origin-Server antwortet nur einem Client, der das Zertifikat des Proxys vorweist. Die Adresse mag durchsickern; antworten wird sie trotzdem nicht. Stark, und es übersteht, dass die Adresse öffentlich wird.
3. Firewall auf die veröffentlichten Adressbereiche des Proxys. Besser als nichts und leicht einzurichten, aber die Bereiche ändern sich, und der eigene Vergleich des Anbieters weist diesen Ansatz selbst als anfällig für Spoofing aus. Behandeln Sie ihn als Untergrenze, nicht als Lösung.
4. Grundpflege. Rotieren Sie die Origin-Adresse, sobald Sie hinter dem Edge sind, verlagern Sie Mail von der Maschine, und prüfen Sie nach jeder Änderung die ungeproxten Einträge. Die meisten Offenlegungen sind eines dieser drei, kein raffinierter Angriff.

Ein Proxy verbirgt den Origin-Server vor einem Fremden mit Browser. Er verbirgt ihn nicht vor dem Proxy selbst — der ihn per Definition kennt und der sich verpflichtet hat, ihn beim Eingang einer Beschwerde Ihrem Hosting-Anbieter mitzuteilen.

Unter der Maschine: Transit, Prefix, Rechenzentrum

Unterhalb Ihres Servers gibt es noch eine weitere Gruppe von Beteiligten, und sie sind diejenigen, über die ein Host am wenigsten gern spricht.

Transit-Anbieter. Ihr Host kauft Konnektivität bei jemandem ein. Diese Carrier haben eigene Abuse-Abteilungen, eigene Verträge und eine eigene Risikobereitschaft, und ein Carrier, der Sie für Ärger hält, kann die Entscheidung für Ihren Host gleich mittreffen. Fragen Sie, wie viele Carrier es gibt — einer ist ein einzelner Richtlinienpunkt ebenso wie ein einzelner Ausfallpunkt — und stellen Sie die schärfere Frage: Akzeptiert Ihr Host stillschweigend Sperrlisten auf Carrier-Seite für Ihren Datenverkehr?

Der Prefix, den Sie teilen. Reputationssysteme arbeiten mit Adressbereichen, nicht mit Kunden. Sie erben Ihre Nachbarn, und Sie erben sie, ohne zu erfahren, wer sie sind. Das ist der konkrete Preis eines Anbieters, der sich als Zuflucht für so ziemlich alles bewirbt: Die Sperrlisten treffen den Bereich, und Ihre Mail und Ihre API-Aufrufe stecken mit darin.

Das Rechenzentrum und die Hardware. Gemietete Racks bedeuten einen Vermieter mit eigener Missbrauchsrichtlinie, unsichtbar über Ihrem Host, und jede Schicht über Ihrem Host ist eine weitere Partei, die Sie aus Gründen kündigen kann, die Sie nie zu sehen bekommen.

Da es der Sinn dieses Leitfadens ist, jede Schicht zur Rechenschaft ziehbar zu machen, hier diese in denselben Begriffen. Zwei Transit-Carrier, BGP-ausbalanciert, zwanzig Gigabit im Mix, nach Chișinău. Layer-3- und Layer-4-Filterung vorgelagert zu jedem Port, für alle, ohne dass etwas dazugekauft werden muss. Sperrlisten auf Carrier-Seite werden auf Kundendatenverkehr nicht akzeptiert: Muss etwas gesperrt werden, sagt das ein Gericht, und wir sagen es Ihnen. Die Hardware gehört dem Unternehmen, bei dem Sie kaufen, statt gemietet zu sein, in einem einzigen Land — die Einzelheiten stehen auf der Netzwerkseite und der Seite zum Rechenzentrum.

Und die Lücke, unverblümt gesagt: Wir verkaufen keine Domains, und wir betreiben nicht den Proxy, den Sie vor Ihren Server setzen. Diese beiden Schichten sind Ihre. Alles oben zu Registries und zu weitergeleiteten Beschwerden gilt für Sie genau so, wie es dasteht, und keine Hosting-Rechtsordnung — unsere eingeschlossen — ändert daran ein Wort.

Die drei Schichten in drei verschiedene Hände legen

Der ganze Leitfaden lässt sich auf eine Handvoll Entscheidungen zurückführen, und keine davon kostet etwas.

1. Drei Schichten, drei Anbieter, drei Rechtsfamilien. Name, Edge und Server in der Hand eines Unternehmens sind eine einzige Anordnung von null entfernt. In drei Händen lässt eine Anordnung gegen einen von ihnen die beiden anderen weiterarbeiten und verschafft Ihnen Zeit.
2. Stellen Sie jeder Schicht dieselben drei Fragen. Wozu können Sie gezwungen werden — weiterzuleiten, zu entfernen, herauszugeben? Sie versagen unabhängig voneinander, und ein Anbieter, der alle drei in einem Satz beantwortet, hat die Frage nicht verstanden.
3. Konfigurieren Sie so, als würde der Proxy weiterleiten — denn das tut er. Gehen Sie davon aus, dass jede Beschwerde mit Ihrer Origin-Adresse im Anhang bei Ihrem Host ankommt. Ist dieses Ergebnis ein Problem, liegt die Lösung auf der Hosting-Schicht oder in dem, was Sie veröffentlichen — nicht darin, einen weiteren Vermittler hinzuzufügen.
4. Schließen Sie den Origin-Server richtig ab. Rein ausgehender Tunnel oder Mutual TLS; Mail auf einer anderen Maschine; die Adresse nach dem Onboarding rotieren; ungeproxte Einträge prüfen. Vier Punkte, alle unspektakulär, und sie decken fast jede echte Offenlegung ab.
5. Behandeln Sie den Namen als Ihren einzigen Ausfallpunkt, und planen Sie dafür. Wissen Sie, welche Registry Ihre Endung betreibt und unter welchem Recht. Halten Sie einen zweiten Namen, unter einer anderen Endung, bei einem anderen Registrar, und wissen Sie im Voraus, wie Sie den Leuten mitteilen würden, ihn zu benutzen.

Nichts davon spricht gegen einen Proxy vor Ihrem Server, und nichts davon spricht gegen Offshore-Hosting — wir wären eine merkwürdige Quelle für beide Argumente. Es spricht dafür, dass die drei Schichten drei getrennte Käufe mit drei getrennten Ausfallarten sind, und dass diejenige, die die meisten am schärfsten prüfen, nicht diejenige ist, die sie am ehesten beendet. Wollen Sie die Schicht, die wir tatsächlich betreiben, am selben Maßstab gemessen sehen, finden Sie die vierteljährlichen Zahlen und die Seite für Strafverfolgungsbehörden, um das zu prüfen.

Geschrieben von den Ingenieuren, die die Plattform betreiben, und zuletzt überprüft heute. Wenn hier etwas falsch ist oder veraltet, sagen Sie es über das Kundenpanel — von dort stammt etwa die Hälfte davon.