Richtlinie zu Missbrauch und Sanktionen

Was diese Richtlinie regelt

GOpenCDR (Namen) und GOpenCNR (Adressen und das Netz) teilen sich ein Fallsystem, das in GOpenCSR betrieben wird. Eine Meldung zu einem Namen, einer Adresse oder einem Präfix oder einer ASN eröffnet dort einen Fall, und jeder Fall läuft gleich ab, gleich welches Produkt seinen Gegenstand hält: Der Inhaber wird informiert und handelt zuerst, und Tier 0 greift ein, wenn er es nicht tut. Diese Richtlinie beschreibt diesen Weg, die Sanktionen an seinem Ende und wie eine Entscheidung angefochten wird.

Was als Missbrauch gilt, bestimmen die Richtlinien zur zulässigen Nutzung: die von GOpenCSR für Konten und die gemeinsamen Dienste, die von GOpenCNR für Adressen und das Netz und die von GOpenCDR für Namen. Diese Richtlinie gilt zusammen mit ihnen und mit den Nutzungsbedingungen des jeweiligen Produkts. Eigene Arten von Missbrauch fügt sie nicht hinzu.

„Wir“ ist Gelhaus Solutions, das die drei Dienste betreibt und die Rolle Tier 0 innehat. „Inhaber“ ist die Person oder Organisation, die den Namen, den Adressraum oder die ASN hält, um die es in einer Meldung geht.

Wie Sie Missbrauch melden

• Per E-Mail an abuse@gplatform.org.
• Über das Meldeformular unter csr.gplatform.org. Es nimmt einen Namen, eine Adresse oder ein Präfix oder eine ASN entgegen und prüft, ob die Registries ihn führen, bevor es einen Fall eröffnet.
• Direkt an den Inhaber, über seine Missbrauchs-Weiterleitungsadresse. Jeder Inhaber hat eine; sie wird mit seinen Ressourcen veröffentlicht und lautet abuse+<handle>@relay.csr.gplatform.org. Die Weiterleitung stellt Ihre Nachricht zu, ohne Ihnen die eigene Adresse des Inhabers zu zeigen. Sie nimmt bis zu 20 Nachrichten pro Stunde von einem Absender und Belege bis 20 MB an und protokolliert für jede Zustellung die Absenderadresse und das Ergebnis; dieses Protokoll wird 12 Monate aufbewahrt.

Meldungen zu einem GOpenCDR-Namen können auch an die Adresse und über das Meldeformular gehen, die die Richtlinie zur zulässigen Nutzung von GOpenCDR nennt. Sie landen im selben Fallsystem.

Melden kann jede Person, mit oder ohne Konto. Melden Sie in gutem Glauben: Eine wissentlich falsche Meldung verstößt gegen die Richtlinie zur zulässigen Nutzung von GOpenCSR.

Was eine Meldung braucht

• Worum es geht: den Namen, die Adresse oder das Präfix oder die ASN. Für einen Namen oder eine Adresse, die keine der beiden Registries führt, sind wir nicht zuständig, und das sagen wir Ihnen.
• Was geschieht: die Art des Missbrauchs, was Sie beobachtet haben und wann, mit Uhrzeiten in UTC, soweit Sie sie haben.
• Was es belegt: Protokolle, Header, Bildschirmfotos oder Proben.
• Wie wir Sie erreichen: eine E-Mail-Adresse und die Angabe, ob der Inhaber Sie über die Weiterleitung kontaktieren darf. Das darf er nur mit Ihrem Einverständnis.

Wir bestätigen jede Meldung innerhalb von 24 Stunden, mit einer Fallnummer und einem Link, unter dem Sie den Fall verfolgen können.

Wer erfährt, wer Sie sind

Ihre Identität wird dem Inhaber nicht mitgeteilt, es sei denn, Sie stimmen zu oder das Gesetz verlangt es. Der Inhaber sieht, was gemeldet wurde, und die Belege. Über die Weiterleitung kann er Ihnen nur schreiben, wenn Sie das erlaubt haben.

Der Inhaber handelt zuerst

Jeder Fall beginnt beim Inhaber. Die Fallmitteilung geht an seine Missbrauchs-Weiterleitungsadresse und erscheint in seinem Konto, wo er antworten, eigene Belege einreichen und mitteilen kann, was er unternommen hat. Ein Inhaber sorgt dafür, dass seine Missbrauchs-Weiterleitungsadresse bei jemandem ankommt, der auf das Eingehende reagiert.

Der Inhaber hat 48 Stunden Zeit zu handeln, bei einem laufenden Angriff 12 Stunden: bei aktivem Phishing, ausgelieferter Schadsoftware, Scans oder einem Leak, der gerade andauert. Hat der Inhaber bis zum Ablauf dieser Frist nicht gehandelt, greift Tier 0 ein. Antwortet der Inhaber, prüft Tier 0 die Antwort und die Belege, bevor es einen Schritt unternimmt.

Namen

Für einen GOpenCDR-Namen folgt der Fall dem Weg der Richtlinie zur zulässigen Nutzung von GOpenCDR, innerhalb dieses Fallsystems und mit den Fristen jener Richtlinie: Der Betreiber der TLD des Namens handelt zuerst, und die Missbrauchsstelle der Root bei Tier 0 greift ein, wenn er es nicht tut; in einer TLD, die Gelhaus Solutions hostet, handelt sie am Namen selbst, gegenüber einer selbst betriebenen TLD eskaliert sie nach deren Vereinbarung für TLD-Betreiber.

Die Maßnahmen für Namen sind die von GOpenCDR: Ein Name kann gesperrt, gegen Änderungen gesichert, ausgesetzt oder gelöscht werden, wie es die GOpenCDR-Nutzungsbedingungen beschreiben. Wo eine Sperre den Schaden beendet, wird gesperrt statt gelöscht.

Die Sanktionsstufen für Adressen und das Netz

Greift Tier 0 in einem GOpenCNR-Fall ein, stehen ihm fünf Stufen in dieser Reihenfolge zur Verfügung:

1. Verwarnung. Der Inhaber wird im Fall verwarnt.
2. Herabgesetzte Max-Prefix-Grenze. Die Hubs nehmen vom Inhaber weniger Präfixe an als nach seiner üblichen Grenze.
3. Unterdrückung der Routen an den Hubs. Die Hubs transportieren die Routen des Inhabers nicht mehr.
4. Trennung von allen Knoten von Tier 0 (Depeering). Jeder Knoten, den Tier 0 betreibt, beendet seine Sitzungen mit dem Inhaber.
5. Rücknahme der Zuteilung. Der Adressraum des Inhabers wird zurückgenommen; mit zurückgenommenem Adressraum wird verfahren, wie es die GOpenCNR-Nutzungsbedingungen beschreiben.

Jede Stufe dauert mindestens 7 Tage, bevor die nächste folgt, damit ein Inhaber stets Zeit hat, Abhilfe zu schaffen. Schneller wirkt nur eine Notfallaussetzung, siehe unten. Jede Stufe ist eine Maßnahme im Fall: Der Inhaber erfährt, wann sie greift und warum. Jede Stufe ist eine Entscheidung von Tier 0, mit einem Passkey bestätigt und im Vier-Augen-Prinzip getroffen.

Ein Fall durchläuft die Stufen nur so weit, wie der Missbrauch es erfordert. Ist der Missbrauch beendet und seine Ursache behoben, wird der Fall abgeschlossen, und jede Maßnahme unterhalb der Rücknahme wird aufgehoben.

Namen und Adressen gemeinsam

Ein Inhaber kann Namen in GOpenCDR und Adressen in GOpenCNR halten. Wo der Missbrauch es erfordert, kann eine Sanktion die Namen und Adressen eines Inhabers gemeinsam erfassen: Eine Stufe im Netz kann mit einer Maßnahme an seinen Namen einhergehen und umgekehrt. Das entscheidet Tier 0 im Vier-Augen-Prinzip. Die Begründung weist darauf hin, und jede Maßnahme bleibt in dem Rahmen, den die Dokumente ihres Produkts für die betroffene Ressource vorsehen.

Notfallaussetzung

Wo ein Fall nicht auf den Inhaber oder die Sanktionsstufen warten kann, darf Tier 0 kraft seiner Notfallbefugnis sofort aussetzen, aber nur in den Fällen, in denen die allgemeinen Nutzungsbedingungen uns zuerst handeln lassen: Darstellungen sexuellen Missbrauchs von Kindern, eine Gefahr für Leib oder Leben, Schadsoftware oder Phishing, ein kompromittiertes Konto, ein Angriff auf unsere Systeme oder auf andere, ein Treffer auf einer Sanktionsliste und eine verbindliche Anordnung eines Gerichts oder einer Behörde. Für die Notfallbefugnis gelten diese Grenzen:

• Sie setzt nur aus oder verschärft. Sie lockert nie etwas.
• Sie gilt sofort, und der Inhaber erfährt es sofort. Die Begründung erreicht ihn spätestens mit dem Wirksamwerden der Aussetzung, es sei denn, das Gesetz verbietet die Mitteilung, und angehört wird er danach.
• Sie erlischt nach 90 Tagen, wenn sie nicht bekräftigt wird, und spätestens nach einem Jahr.
• Sie wird im Transparenzlog veröffentlicht, dauerhaft als Notfall gekennzeichnet und nachträglich überprüft.

Für Namen erlaubt die Richtlinie zur zulässigen Nutzung von GOpenCDR der Root, sofort zu handeln, wo Menschen unmittelbar gefährdet sind. Das ist dieselbe Befugnis mit denselben Grenzen, und auch sie wird nur in den oben genannten Fällen genutzt.

Was automatisch geschieht, und was ein Mensch entscheidet

Jede Entscheidung, einen Inhaber zu sanktionieren, trifft ein Mensch. Automatische Prüfungen, etwa ein Treffer auf einer Sperrliste, eine fehlgeschlagene Messung oder ein Hinweis des Routen-Collectors von GOpenCNR auf einen Hijack, einen Leak oder eine ungültige Route, finden Kandidaten für einen Fall und entscheiden nie allein.

Einiges geschieht automatisch, weil es aus einer Regel folgt und nicht aus einer Abwägung über jemanden:

• Ein geschlossenes Präfix, das leakt, wird vom Hub sofort getrennt. Leakt ein Mitglied geschlossene Routen, verwerfen die Hubs dessen geschlossene Routen und Sitzungen von sich aus, ohne dass jemand die Trennung bestätigen muss. Ein Fall wird eröffnet, und der Inhaber wird informiert.
• Routen, die die Registry nicht trägt, werden abgelehnt. Die Filter der Hubs werden aus der Registry erzeugt; eine Route ohne Routenobjekt oder eine, die die RPKI- oder ASPA-Prüfung nicht besteht, wird abgelehnt. Jede Ablehnung wird gezählt und dem Mitglied angezeigt.
• Eine instabile Sitzung wird angehalten: Sechs Flaps in 15 Minuten halten eine Sitzung für 15 Minuten an.
• Ein Treffer auf der Sanktionsliste löst Sperren aus, bis Tier 0 ihn ausräumt oder bestätigt, wie unten beschrieben: eine automatisierte Entscheidung, bei der eine Person jeden Treffer prüft.
• Die Schritte nach einer versäumten Bestätigung folgen zu den Terminen, die die GOpenCNR-Nutzungsbedingungen festlegen. Für Namen folgen die Schritte nach einer unbestätigten Adresse und der Rückzug eines Namens, der in der IANA-Root entsteht, den GOpenCDR-Nutzungsbedingungen.

Nichts davon ist eine Sanktionsstufe.

Stichproben von Verkehrsflüssen in einem Fall

Die Hubs von GOpenCNR führen Zähler, keine Aufzeichnungen über Verkehr. In einem offenen Fall, und nur dort, darf Tier 0 Stichproben vom Verkehr der gemeldeten Quelle nehmen, um festzustellen, was geschieht:

• höchstens 7 Tage lang und nie außerhalb eines offenen Falls;
• ein Paket von 1.000;
• erfasst werden Quelle, Ziel, Port und Größe, nie Inhalte;
• die Stichprobennahme wird im Fall protokolliert.

Die Stichproben werden gelöscht, wenn der Fall abgeschlossen wird. Was sie gezeigt haben, bleibt als Feststellung beim Fall. Wie sich das zum Fernmeldegeheimnis verhält, steht in GOpenCNR und das Fernmeldegeheimnis.

Inhalte

Tier 0 kontrolliert keine Inhalte, weder auf der DNS-Ebene noch auf der Netzebene. Es prüft und filtert nicht, was Mitglieder senden, bereitstellen oder veröffentlichen.

• Adressen und das Netz. Ein Inhaber ist für das verantwortlich, was er bereitstellt. Eine Meldung rechtswidriger Inhalte geht über das Fallsystem an den Inhaber, so wie sie jeden Hoster über seinen Upstream-Anbieter erreichen würde, und ein Inhaber, der eine begründete Meldung übergeht, kann sanktioniert werden, wie jeder Upstream-Anbieter gegen einen Hoster vorgehen würde.
• Namen. GOpenCDR urteilt auf der DNS-Ebene nicht über Inhalte, wie es seine Richtlinie zur zulässigen Nutzung sagt. Ein Name wird nicht wegen dessen eingeschränkt, was eine Website unter ihm sagt.
• Anordnungen. Wo ein Gericht oder eine zuständige Behörde uns anordnet, bei einem Namen, einer Adresse oder einem Präfix oder einer ASN zu handeln, handeln wir, wie es die Richtlinie zu Behördenanfragen beschreibt.

Darstellungen sexuellen Missbrauchs von Kindern zeigen wir immer an, bei der Polizei oder dem Bundeskriminalamt, mit dem, was wir dazu halten und was keine Verkehrsdaten der Telekommunikation sind. Verkehrsdaten geben wir nur heraus, wenn eine Anordnung auf gesetzlicher Grundlage es verlangt.

Treffer auf der Sanktionsliste

Eine Person wird mit dem bürgerlichen Namen und dem Land abgeglichen, die sie angibt, wenn sie erstmals Inhaber von Ressourcen wird, als Mitglied von GOpenCNR oder als Registrant bei GOpenCDR, eine Organisation mit ihrem verifizierten Namen und Land. Konten, die nichts halten, werden nicht abgeglichen. Den für den Abgleich angegebenen Namen und das Land sieht nur Tier 0. Der Abgleich erfolgt in diesem Moment und täglich um 03:00 UTC mit der konsolidierten Liste der finanziellen Sanktionen der EU und findet neben genauen auch ähnliche Treffer.

Ein Treffer löst automatisch Sperren aus: keine neuen Namen oder Adressen und keine Transfers an andere, während alles, was der Inhaber schon hat, weiter funktioniert. Ein Treffer, wenn jemand erstmals Inhaber wird, löst dieselben Sperren aus; dann kann nichts erhalten werden, bis der Treffer ausgeräumt ist.

Diese Sperren sind eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO. Sie ist zulässig, weil sie für die Erfüllung des Vertrags erforderlich und durch Unionsrecht, die Sanktionsverordnungen der EU, zugelassen ist (Art. 22 Abs. 2 lit. a und b DSGVO), und sie ist mit den Garantien des Art. 22 Abs. 3 DSGVO verbunden: Eine Person bei Tier 0 prüft jeden Treffer, und der Inhaber kann das Eingreifen einer Person erwirken, seinen Standpunkt darlegen und die Entscheidung anfechten.

Tier 0 räumt den Treffer anschließend entweder aus und hält den Grund fest, wonach derselbe Inhaber für denselben Listeneintrag nicht erneut markiert wird, solange sich der Eintrag nicht ändert, oder bestätigt ihn im Vier-Augen-Prinzip. Ein bestätigter Treffer sperrt die Namen und Adressen des Inhabers gemeinsam und wird zu einem Fall nach dieser Richtlinie.

Dass eine Prüfung läuft, wissen nur der Inhaber und Tier 0. Alle anderen sehen nur, dass der Inhaber gerade nicht hinzugefügt werden kann. Kein Ergebnis eines Abgleichs, das sich einem Inhaber zuordnen lässt, wird in das Transparenzlog geschrieben, und der Transparenzbericht enthält nur Zahlen.

Begründungen

Jede Maßnahme in einem Fall wird dem Inhaber spätestens mit ihrem Wirksamwerden mit einer Begründung mitgeteilt: was getan wurde und an welcher Ressource, warum, nach welcher Regel und aufgrund welcher Tatsachen, ob sie auf eine Meldung oder auf eigene Feststellungen von Tier 0 zurückgeht, ob sie automatisch nach einer Regel erfolgte, wie lange sie dauert und wie sie angefochten werden kann. Wo das Gesetz die Mitteilung verbietet, wird der Inhaber informiert, sobald es sie nicht mehr verbietet. Nur in den Fällen, die unter „Notfallaussetzung“ genannt sind, handelt Tier 0, bevor es den Inhaber anhört, und hört ihn danach an.

Anfechtung

Der Inhaber kann als betroffene Partei jede Entscheidung nach dieser Richtlinie innerhalb von sechs Monaten, nachdem er von ihr erfahren hat, anfechten: aus dem Fall in seinem Konto heraus, durch Antwort auf die Mitteilung oder per E-Mail an contact@gplatform.org.

• Wer entscheidet. Über die Anfechtung entscheidet der Registry-Rat des Produkts, dessen Ressource die Entscheidung betrifft: der Registry-Rat von GOpenCNR für Adressen und das Netz, der Registry-Rat von GOpenCDR für Namen. Eine Entscheidung, die Namen und Adressen gemeinsam erfasst hat, prüft jeder der beiden für seinen Teil. Die Person, die die Entscheidung getroffen hat, stimmt über die Anfechtung nicht mit ab.
• Konten und Beiträge. Eine Anfechtung gegen die Einschränkung eines Kontos oder die Entfernung eines Beitrags geht an den Registry-Rat des Produkts, in dem es geschah: des Produkts, in dessen Rat der Beitrag stand, oder in dem das Verhalten stattfand. Die Begründung nennt ihn.
• Solange Tier 0 die Sitze hält. Bis Menschen in den Registry-Rat eines Produkts gewählt sind, prüft Tier 0 die Anfechtung selbst und sagt das in seiner Antwort.
• In der Zwischenzeit bleibt eine Maßnahme bestehen, bis über die Anfechtung entschieden ist. Eine Notfallaussetzung erlischt trotzdem nach ihren eigenen Regeln.
• Die Antwort ist begründet, und jede Anfechtung und ihr Ergebnis werden im Transparenzbericht gezählt.
• Der Rechtsweg steht Ihnen offen, unabhängig vom Ergebnis, vor, während und nach einer Anfechtung.

Für einen Namen ist dies der Weg, auf dem die in den GOpenCDR-Nutzungsbedingungen beschriebene Anfechtung geprüft wird.

Wer in einem Fall genannt wird

Ein Fall nennt den Inhaber, die betroffenen Ressourcen und die Personen von Tier 0, die darin handeln. Ein Inhaber, der auf Einladung beigetreten ist, hat die Fürsprache eines Mitglieds oder von Tier 0. In den 12 Monaten nach seinem Beitritt wird in jedem Fall gegen ihn genannt, wer die Fürsprache gegeben hat, damit Fürsprachen verantwortet bleiben. Die Fürsprache ist keine Bürgschaft: Die Nennung macht nicht für das haftbar, was der Inhaber tut.

Die Aufzeichnung

• Jede Maßnahme in einem Fall wird im Transparenzlog festgehalten, dem einen Log für GOpenCDR, GOpenCNR und GOpenCSR, außer dem Ergebnis eines Abgleichs mit der Sanktionsliste, das dort nie eingetragen wird. Es enthält Kennungen und Hashes, nie eine E-Mail-Adresse, den Namen einer Person oder die IP-Adresse, von der sich jemand verbunden hat, und ein Eintrag darin kann nicht entfernt werden.
• Jede Meldung, jeder Fall, jede Maßnahme, jede Notfallaussetzung und jede Anfechtung werden gezählt, im gemeinsamen Transparenzbericht der drei Dienste, der alle sechs Monate nach der Richtlinie zu Transparenzberichten erscheint.
• Ein Fall wird 12 Monate nach seinem Abschluss aufbewahrt und dann gelöscht. Stichproben von Verkehrsflüssen werden mit dem Abschluss des Falls gelöscht. Was wir in einem Fall verarbeiten und warum, steht im GOpenCSR-Datenschutzhinweis.

Kontaktstellen

Missbrauchsmeldungen gehen an abuse@gplatform.org. Für alles andere, auch für Fragen zu einem Fall, an dem Sie beteiligt sind, schreiben Sie an contact@gplatform.org; das ist auch die zentrale Kontaktstelle für Behörden und für Nutzer nach Art. 11 und 12 des Digital Services Act, auf Deutsch oder Englisch.

Änderungen

Diese Richtlinie ändert sich nach dem Verfahren, das die allgemeinen Nutzungsbedingungen festlegen: Eine wesentliche Änderung wird Ihnen mindestens sechs Wochen vor ihrem Inkrafttreten an Ihre Adresse angekündigt. Jede Fassung wird im Dokumentenarchiv aufbewahrt.