Erläuternder Bericht

Ein effektives Vorgehen gegen Phishing hängt im Wesentlichen davon ab, wie schnell die

entsprechende Bedrohung entschärft werden kann, d.h. je länger eine Phishing-Attacke dauern kann, desto grösser ist die Gefahr, dass die Phisher an schützenswerte Daten der Benutzerinnen und Benutzer des Internets gelangen können.

SWITCH ist als Registerbetreiberin der „.ch“ in der Lage, gegen Phishing-Attacken durch die

Blockierung der Benutzung oder den Widerruf der Zuteilung eines Domain-Namens unmittelbar vorgehen zu können. Wie im Halbjahresbericht 2007/II der Melde- und Analysestelle

Informationssicherung MELANI erwähnt, besteht zwischen SWITCH und der Koordinationsstelle zur Bekämpfung der Internetkriminalität KOBIK bereits eine Zusammenarbeitsvereinbarung, welche ein Vorgehen in dieser Hinsicht ermöglicht. KOBIK informiert nämlich SWITCH, wenn der Verdacht besteht, dass ein bestimmter Domain-Name nur für Phishing genutzt wird. SWITCH blockiert dann aufgrund dieser Meldung den betreffenden Domain-Namen. Dank dieser Praxis ist ein deutlicher Rückgang der Phishing-Fälle über die „.ch“-Domain zu verzeichnen.

SWITCH beruft sich bei einer Blockierung nach der Meldung von KOBIK auf die Möglichkeit, eine Zuteilung eines Domain-Namens widerrufen zu können, wenn die offensichtliche Gefahr besteht, dass sich die Registerbetreiberin wegen der Zuteilung oder Aufrechterhaltung der Zuteilung des Domain-Namens selber rechtlich verantwortlich machen könnte. In diesem Fall erfolgt der Widerruf in

Absprache mit dem BAKOM (vgl. Ziff. 6.3 Bst. e der Technischen und administrativen Vorschriften [TAV] betreffend die Zuteilung und Verwaltung der Domain-Namen der zweiten Ebene, die der

Internet-Domain „.ch“ untergeordnet sind, SR 784.101.113/2.13).

Es ist sinnvoll und nötig, durch eine neue Bestimmung in der AEFV diese Kooperation mit KOBIK betreffend Phishing festzulegen und auf alle vom BAKOM anerkannten Stellen zu erweitern; diese anerkannten Stellen werden in der oben erwähnten TAV aufgelistet. Der neue Art. 14f^bissoll

ausserdem sicherstellen, dass SWITCH nicht nur dann unmittelbar reagieren kann, wenn die Gefahr besteht, dass SWITCH sich selber rechtlich verantwortlich machen könnte, sondern dass auch zum Schutze Dritter umgehend die nötigen Massnahmen vorgenommen werden können. Dies umso mehr, als Dritte im Allgemeinen kaum die Möglichkeit haben, eine Phishing-Attacke zu erkennen.

Zusätzlich soll Art. 14f^bissicherstellen, dass die Verbreitung von schädlicher Software (Malware) von SWITCH möglichst schnell unterbunden werden kann (Abs. 1 Bst. a Ziff. 2). Solche Software dient oft dazu, die Systeme ahnungsloser Benutzerinnen und Benutzer unter Kontrolle der Kriminellen zu bringen. Auch hier ist entscheidend, dass Gegenmassnahmen möglichst schnell getroffen werden können, besteht doch die Gefahr, dass sich mit zunehmender Dauer immer mehr Systeme infizieren. Diese infizierten Systeme (sog. „Botnet“) werden dann oft wiederum missbraucht, um z.B. Phishing-Mails zu versenden.

SWITCH soll aber durch den Art. 14f^biskeine Pflicht auferlegt werden, die Zuteilung oder den

Verwendungszweck eines Domain-Namens auf die Rechtskonformität überprüfen zu müssen (so die aktuelle Regelung; vgl. insbesondere Art. 14f Abs. 1 und 2 AEFV). Dies wäre nur schon aufgrund der Tatsache, dass es sich bei der Zuteilung und Verwaltung von Domain-Namen um ein Massengeschäft handelt, eine für SWITCH kaum zu lösende Aufgabe. Die Qualifikation einer Handlung als

rechtswidrig, z.B. aus straf- oder urheberrechtlicher Sicht, obliegt denn auch grundsätzlich nicht SWITCH. Die Bedingung, dass ein Antrag von einer in der Bekämpfung der Cyberkriminalität vom BAKOM anerkannten Stelle kommen bzw. diese einen entsprechenden Verdacht von SWITCH

bestätigen muss, soll gewährleisten, dass die Beurteilung gerade nicht durch SWITCH erfolgt bzw. die Einschätzungen von SWITCH immer zuerst bestätigt werden müssen (Abs. 1 und 2). Bezüglich des Internets hat SWITCH nämlich keine richterliche Funktion und sollte eine solche auch nie

übernehmen. In diesem Zusammenhang rechtfertigt es sich, die Eingriffsmöglichkeiten nach Art. 14f^bis auf Phishing-Fälle und auf die Verbreitung von Malware zu beschränken. Bei diesen Fällen von Cyberkriminalität ist nämlich die Feststellung widerrechtlicher Aktivitäten meist relativ einfach und sicher.