Monopol, Machtmissbrauch und eigennützige Ziele oder eine helfende Hand im Spammeer? Vertreter mehrerer Internetunternehmen unterhielten sich mit dem Technikjournalisten Lars Sobiraj, um über das kontroverse Projekt Spamhaus zu diskutieren. Eine angepasste Analyse findet sich im Folgenden.
Wer ist das Spamhaus-Projekt
Wenn man schnell im Netz recherchiert, erfährt man, dass Spamhaus eine internationale Non-Profit-Organisation ist, die 1998 gegründet wurde. Allerdings behauptet der ehemalige CIO (sprich: Sprecher) des Unternehmens, Richard Cox, dass Spamhaus eine britische Limited Company ist. Zum Zeitpunkt des Interviews mit Cox (2011) befand sich der Hauptsitz von Spamhaus in Genf. Allerdings sind alle Informationen über das Unternehmen widersprüchlich, inkonsistent und mysteriös.
Sven Olaf von Kamphuis (Sven Olaf von Kamphuis – im Folgenden SOvK), einer der Gründer von Cyberbunker, äußert sich äußerst negativ über Spamhaus. Seinen Aussagen zufolge ist Herr Cox seit über 20 Jahren nicht mehr aktiv, sofern diese Person überhaupt existiert. Das Projekt wird angeblich ausschließlich von Herrn Steven John Linford und seiner Frau Myra Peters kontrolliert. Darüber hinaus wundert sich SOvK, warum gemeinnützige Organisationen in der Regel keine Vertretungen auf den Seychellen oder Mauritius benötigen. Dem Mitbegründer von Cyberbunker ist auch unklar, warum viele Journalisten sich „in das Projekt verlieben“ – die Medienbranche ist in erheblichem Maße für die Probleme im Zusammenhang mit Spamhaus verantwortlich. Alle Informationen, die das Projekt an technische Fachzeitschriften übermittelt, werden üblicherweise ohne jegliche Überprüfungen veröffentlicht, fährt SOvK fort.
Twitter-Account des Spamhaus-Projekts, fast 4000 Follower
Richter und Henker in einer Person ohne jegliche rechtlichen Befugnisse dazu
Was sofort ins Auge springt: So bedeutend und sinnvoll die Funktion des Unternehmens auch erscheinen mag, das Projekt Spamhaus hat keine rechtlichen Grundlagen für seine Aktivitäten. Darüber hinaus wurde ihre Tätigkeit nie offiziell von dem Staat oder den zuständigen Behörden genehmigt: SOvK weist darauf hin, dass Spamhaus nicht einmal Mitglied von RIPE (Réseaux IP Européens – europäische Regulierungsbehörde für die Registrierung und Verteilung von Internetressourcen) ist. Dennoch entsteht im äußeren Umfeld der Eindruck, dass Spamhaus eine Art 'Internet-Polizei' ist, während, wie Kampuis betont, das Unternehmen selbst 'eine gewisse Aufmerksamkeit der Polizei benötigt'. Er sagt auch, dass die Veröffentlichung vieler Daten auf der Website von Spamhaus illegal ist und das Recht auf Datenschutz verletzt. Die Veröffentlichung aller Informationen über Spammer im Projekt sollte verboten werden. Das Problem, so SOvK, liegt in der Veröffentlichung persönlicher Daten im Register Bekannter Spam-Operationen (Register Of Known Spam Operations – ROKSO). Diese Daten sollten, wie andere persönliche Informationen, geschützt werden, ganz zu schweigen davon, dass der Inhalt der Spamhaus-Datenbanken nicht immer legal gesammelt werden konnte.
Die Position von Roskomnadzor zu Spamhaus in RusslandÜbrigens, zur Legalität der Aktivitäten des Projekts. Aus mit Erklärungen bezüglich Spamhaus von Roskomnadzor geht hervor, dass ihre Aktivitäten in der RF illegal sind:
Mit Ausnahme der Aufnahme der Website im Register aufgrund des Gesetzes über Informationen, einer gerichtlichen Entscheidung oder besonderer Vertragsbedingungen mit dem Abonnenten (Nutzer) von telematikanischen Kommunikationsdiensten gibt es keine weiteren Gründe für den Zugangseinschränkung zur Website (zum Netzwerk) (einschließlich auf Anfrage der Firma 'Spamhaus').
Sollte der Anbieter fälschlicherweise den Zugang zur Website (zum Netzwerk) des Abonnenten (Nutzers) von telematikanischen Kommunikationsdiensten einschränken, würden die Handlungen des Anbieters Anzeichen eines Vertragsbruchs mit dem Abonnenten enthalten.
So war es: Cyberbunker gegen die 'Internet-Polizei'
Im Jahr 2013 eskalierte der Konflikt zwischen dem Underground-Webhosting Cyberbunker und der Firma Spamhaus. Spamhaus, das damals in der Schweiz ansässig war, setzte Cyberbunker aufgrund der fragwürdigen Aktivitäten seiner Kunden auf seine schwarze Liste und machte dies öffentlich. Daraufhin kam es zu einem der größten DDoS-Angriffe in der Geschichte des Internets: Spamhaus.org wurde mit digitalem Müll mit einer Geschwindigkeit von 75 Gbit/s überflutet. Aufgrund des Umfangs soll der Angriff den globalen Webverkehr kurzfristig beeinträchtigt haben. Im April 2013 wurde der mutmaßliche Täter, SOvK, der zu diesem Zeitpunkt in Spanien lebte, von der örtlichen Polizei besucht. Computer, Speichermedien und Mobiltelefone des Mannes, den die Staatsanwaltschaft als Herrn K. bezeichnete, wurden beschlagnahmt.
Das Spamhaus-Projekt – Ein Buch mit sieben Siegeln
Unabhängig vom Fall Cyberbunker haben wir versucht herauszufinden, was das Spamhaus-Projekt tatsächlich darstellt, da dies aus den Informationen auf ihrer eigenen Website unklar ist. Bis heute gab es auf Anfragen, die an die Presseadresse gesendet wurden, seit Ende Januar 2020 keine Antworten. Herr Kampuis behauptet, dass Spamhaus die einzige zuvor erwähnte gemeinnützige Gesellschaft mit beschränkter Haftung hatte, die jedoch Anfang 2020 aus dem Handelsregister gelöscht wurde. Die anderen Firmen hatten keine gemeinnützigen Ziele. Der Upstream-Anbieter und Backbone-Betreiber SquareFlow klagte gegen Spamhaus. SquareFlow bietet Dienstleistungen an, die ähnlich wie Cogent, HE, GTT, LibertyGlobal und andere sind, und betreibt VPN-Dienste. Zwei Geschäftsführer der SquareFlow Group antworteten auf unsere Anfrage am 1. März 2020:
Wir können es uns nicht leisten, einen Kunden willkürlich abzuschalten, alle Dienstleistungen zu verweigern, nur weil Spamhaus sie für schlecht hält. Im Rahmen der Netzneutralität können wir nicht feststellen, ob der Datenverkehr schädlich ist oder nicht, ohne eine tiefgehende Analyse der Pakete durchzuführen, die jedoch ernsthafte Schäden an der Privatsphäre unserer Kunden und deren Nutzern verursachen würde. Wir richten uns nach dem Gesetz und nicht nach der Meinung eines Drittunternehmens, das dem gesamten Internet vorschreiben möchte, wer im Netz arbeiten darf und wer nicht. Derzeit haben wir weder Beweise noch gerichtliche Beschlüsse noch andere Gründe zu der Annahme, dass unsere Kunden an schädlichen Aktivitäten beteiligt sind.
Da wir nicht mit Spamhaus zusammengearbeitet haben, haben sie mehrere Versuche unternommen, den Ruf unseres Unternehmens sowie den unserer Anbieter und Partner zu schädigen. Unter keinen Umständen können wir oder unsere Kunden für Verdachtsmomente verantwortlich gemacht werden.
Bedrohen, warnen, gewaltsam trennen
Ihre Versuche, Einfluss auf ganze Netzwerke auszuüben, können zu Recht als Zwang betrachtet werden, der in allen EU-Ländern eine strafbare Handlung darstellt. Es gab mehrere Fälle, in denen Spamhaus ganze Netzwerke von Anbietern aufgrund eines einzigen Kunden auf die schwarze Liste gesetzt hat, wodurch sie gezwungen wurden, die Dienste unerwünschter Kunden einzustellen. Wir glauben, dass Datenschutz und Anonymität grundlegende Menschenrechte sind. Daher werden wir niemals blind den unbegründeten Forderungen von Spamhaus oder einer anderen Partei folgen, die versucht, ihre Bedingungen durchzusetzen. Aufgrund ihres Handelns haben wir begonnen, gegen ihre Geschäftspraktiken vorzugehen.
Wir unterstützen auch unsere Partner bei Gerichtsverfahren gegen Spamhaus, da Spamhaus weiterhin versucht, uns zu zwingen, die Dienste für bestimmte Kunden über Anfragen an unsere Partner und Anbieter einzustellen, und uns als Kriminelle für die Nichteinhaltung ihrer Anfragen bezeichnet, was offensichtlich Missbrauch von Macht darstellt. Wir vermuten, dass ihr Umzug nach Andorra mit ihrem kriminellen Verhalten zusammenhängt, das auf das britische Rechtssystem gestoßen ist.
Mit freundlichen Grüßen.
SquareFlow Gruppe — Öffentlichkeitsarbeit
Im Namen des Vorstands: Wim B., Florian B.
Umzug von Spamhaus nach Andorra
Das Spamhaus-Projekt ist jetzt in Andorra ansässig – einem kleinen Staat in den Pyrenäen, der laut Wikipedia vor allem für seine Skigebiete, Duty-Free-Shops und seinen Status als Steueroase bekannt ist. Es ist wichtig zu beachten, dass Andorra kein Teil der EU ist und die Beziehungen zwischen Andorra und der Europäischen Union nur durch Verträge geregelt sind.
Es war nicht einfach, Informationen über die neue Organisation, die mit Spamhaus verbunden ist, zu beschaffen, aber schließlich gelang es mir, die nötigen Daten beim EUIPO (Amt der Europäischen Union für geistiges Eigentum) zu finden. Laut den Daten des EUIPO gehört die Firma Spamhaus IP Holdings S.L.U. derzeit zur Inhaberin der Marke Nr. 005703401, das Datum der Markenregistrierung ist der 8. Februar 2007. Der Antrag auf Registrierung wurde von der Firma Boyes Turner LLP eingereicht.
Details zur Registrierung der Marke Spamhaus
Die Kontaktdaten sind aus verständlichen Gründen verborgen
Hinweis des ÜbersetzersEs ist wirklich schwierig, etwas über die rechtliche Seite von Spamhaus zu finden. Darüber hinaus weicht die öffentlich verfügbaren Informationen, die oberflächlich verfügbar sind, offen von der Wahrheit ab. Die einzige Information, die auf der Website von Spamhaus über den Standort des Unternehmens zu finden ist, betrifft die Marke – das Wort „Spamhaus“, das in der EU registriert ist.
ROKSO als Stolperstein
Offensichtlich war das Ziel des Spamhaus-Projekts, Spammer zu identifizieren. Wie bereits erwähnt, werden Informationen über Spammer in der ROKSO-Datenbank gespeichert. Da diese Datenbank jedoch öffentlich ist, stellt Spamhaus buchstäblich alle Verdächtigen an den Pranger. Man findet nicht nur eine Fülle von persönlichen Daten in der Datenbank, sondern es gibt auch unzensierte Berichte von Opfern. Und da Spamhaus außerhalb der EU ansässig ist, sind keine Konsequenzen für das Unternehmen im Rahmen der DSGVO zu erwarten.
In ROKSO wird buchstäblich jede verdächtige Aktivität erfasst, egal ob es sich um echten Spam oder einen einfachen Fehler handelt. Daher gibt es keinen Raum für die Vermutung der Unschuld. Es ist auch nicht möglich, schnell mit dem Unternehmen in Kontakt zu treten. Auf ihrer Website gibt es keine Telefonnummer, keine E-Mail-Adresse oder einfach ein Kontaktformular für den Support. Einige bruchstückhafte Informationen können durch eine sorgfältige Durchsicht der FAQ erhalten werden. Ich habe versucht, direkt mit dem Unternehmen Kontakt aufzunehmen: Von Ende Januar 2020 bis zur Veröffentlichung des Artikels [Anm.: 6. April desselben Jahres] wurde auf keine Anfrage geantwortet.
Kritik an der Spamhaus-Sperrliste (SBL) von dem VPN-Dienst nVPN
Der VPN-Anbieter nVpn kritisiert das Projekt aus anderen Gründen. Die Spamhaus Blacklist (SBL) ist eine ständig aktualisierte Datenbank von IP-Adressen. Spamhaus empfiehlt dringend, keine E-Mails von Adressen anzunehmen, die in dieser Datenbank enthalten sind. Das Unternehmen erklärt sogar, dass diese Datenbank in Echtzeit abgerufen werden kann. Auf der Spamhaus-Website im Abschnitt SBL heißt es, dass die Blacklist "Administratoren von Mailservern ermöglicht, eingehende Verbindungen von IP-Adressen zu identifizieren, zu markieren oder zu blockieren, die aus Sicht von Spamhaus mit dem Versand, der Veröffentlichung oder der Erstellung unerwünschter E-Mail-Massensendungen in Verbindung stehen." Es wird auch erwähnt, dass die SBL-Datenbank von einer speziellen Gruppe von Ermittlern und Kriminalisten aus 10 Ländern unterstützt wird, die rund um die Uhr arbeiten, um Probleme mit Spam zu verfolgen. Es wird jedoch nicht erklärt, wie genau die Definition, Überprüfung oder sogar Löschung von Einträgen im Unternehmen funktioniert.
nVpn hat ständig Probleme mit den Einträgen in der SBL, weshalb Hosting-Unternehmen drohen, ihre Verträge zu kündigen. Zum Beispiel teilte ein Vertreter eines albanischen Hosters dem Unternehmen im Januar 2019 mit, dass ihre VPN-Server aufgrund einer "möglichen Aufnahme in die SBL" abgeschaltet wurden.
Und das ist nicht der einzige Fall. "Natürlich passiert so etwas von Zeit zu Zeit. Manchmal wird der Server vorübergehend wegen Einträgen in der SBL abgeschaltet, oder die Unternehmen kündigen einfach den Vertrag vollständig. Am Anfang (wir fragen absichtlich) behaupten sie, dass es keine Probleme mit der SBL geben wird, aber sobald der gesamte IP-Bereich auf die Spamhaus-Blacklist gesetzt wird, ändert sich die Situation. Zum Beispiel haben wir auf diese Weise unseren Server in Niš, Serbien, verloren. Das ist erst vor ein paar Wochen passiert. Glücklicherweise hat uns das Unternehmen eine teilweise Rückerstattung für die Mietkosten des Servers gewährt, die mehrere Monate im Voraus bezahlt wurden. Spamhaus ist wirklich gefährlich für VPN-Dienste, aber wir müssen einfach damit leben.
Ein Vertreter von nVPN fährt fort:
Wir bieten einen VPN-Dienst ohne Registrierung an und gehören zu den wenigen, die den Kunden die Möglichkeit geben, bis zu acht Ports (TCP und UDP) zu öffnen. Es ist unvermeidlich, dass einige Kriminelle versuchen werden, diese Funktion für illegale Zwecke zu missbrauchen. Obwohl wir in unseren Nutzungsbedingungen ausdrücklich feststellen, dass eine solche Nutzung verboten ist, bedeutet das nicht, dass sich alle Kunden an die Regeln halten. Infolgedessen sind einige unserer Präfixe in EDROP gelangt. Aber unserer Meinung nach ist der Eintrag in EDROP nicht das Ende der Welt, auch wenn er einige Webseiten oder den einen oder anderen Streamingdienst blockiert.
Allerdings schafft das dennoch Probleme. Angenommen, wir haben irgendwo einen Server gemietet und ein eigenes /24-Netzwerk eingerichtet, um unter ASN eines Hosting-Anbieters oder unter unserem eigenen anzukündigen. Spamhaus kontaktiert unseren Host und fordert ihn auf, den Kunden, also uns, abzuschalten. Wenn der Anbieter ihren Anforderungen nicht nachkommt, weil er uns vertraut, beginnt Spamhaus, saubere Präfixe des Hosts in die SBL aufzunehmen, wodurch alle anderen Kunden des Hosts keine E-Mails mehr senden können. Dann bleibt der Firma nichts anderes übrig, als uns abzuschalten, um massive finanzielle Verluste zu vermeiden.
Beispiel für einen Ablehnungsbrief vom Host:
Hallo,
Leider können wir Sie nicht länger in unserem Netzwerk hosten, da Spamhaus alle unsere IP-Adressen aufgrund Ihrer Unterkunft bei uns auf die schwarze Liste gesetzt hat.
Ihr Server wird am letzten Tag der Anmietung ohne Möglichkeit zur Verlängerung abgeschaltet.
Bitte sichern Sie eine Kopie so schnell wie möglich und wechseln Sie zu einem anderen Anbieter.Mit freundlichen Grüßen,
Vikas S.
(Direktor / Gründer)
Skype: v **** vp *
Einstellung der Dienste und Beendigung der Zusammenarbeit
nVpn gibt an, dass es in den letzten Jahren viele Server aufgrund von Ablehnungen seitens der Hosts verloren hat. Schließlich wurde es schwierig, ein Unternehmen zu finden, das bereit ist, sie zu akzeptieren. nVpn hat Tarnkappe.info eine Mitteilung über die Einstellung der Zusammenarbeit und den Verzicht auf weitere Dienstleistungen vom 11. Juli 2019 vorgelegt. In einem Schreiben des Schweizer Hosting-Anbieters wird behauptet, dass das Projekt Spamhaus „strafrechtliches Zwang“ ausüben wird – das heißt, es zwingt den Anbieter, die Bereitstellung von Hosting für ein anderes Unternehmen unter Androhung von Rechtsstreitigkeiten einzustellen.
Ein Vertreter von nVpn kommentierte:
Manchmal zögert Spamhaus nicht, Kontakt zu Unternehmen aufzunehmen und sie zu drängen, unsere Präfixe nicht mehr zu routen. Aber nicht alle akzeptieren dies. Eine solche Firma entschloss sich, Spamhaus Ltd im Vereinigten Königreich zu verklagen, wo früher der offizielle Hauptsitz des Projekts war. Zu dieser Zeit durfte Spamhaus Ltd im Namen nicht verwendet werden.
Infolge der Streitigkeiten musste Spamhaus seinen Hauptsitz von Großbritannien nach Andorra verlegen.
Seitdem erhält nVpn weiterhin Mitteilungen von SBL, aber Spamhaus hat schließlich aufgehört, ihren Hosting-Anbietern zu drohen. Auch hat Spamhaus aufgehört, auf Anfragen des VPN-Dienstes zur Löschung von Einträgen aus dem SBL zu reagieren, was bedeutet, dass zahlreiche alte Einträge nicht mehr gelöscht werden und in der Datenbank verbleiben, selbst wenn sie nicht mehr relevant sind.
Der VPN-Anbieter erwähnt, dass Spamhaus in der Vergangenheit geholfen hat, das Volumen globaler Spam-Nachrichten zu verringern, was nützlich war. Doch im Laufe der Zeit hat sich das Projekt selbst ins Rampenlicht gedrängt, indem es persönliche Daten von aufgelisteten Personen veröffentlicht und Unternehmen, die Hosting anbieten, manipuliert hat.
Auf kritische Fragen gibt es immer noch keine Antworten.
Es gibt noch viele Fragen zu dem Spamhaus-Projekt, auf die niemand antworten möchte. Auf meine Anfrage vor drei Wochen an den amerikanischen Spamforscher und Journalisten Brian Krebs habe ich bislang keine Antwort erhalten. Vielleicht waren die Fragen zu kritisch, aber das bleibt unklar. Anfragen wurden auch an andere Unternehmen gesendet, aber fast niemand kennt die gesamte Geschichte von Spamhaus.
Über den Autor des Originalartikels
Lars „Ghandy“ Sobiraj
Lars Sobiraj begann seine Karriere 2000 als Autor für verschiedene Computerzeitschriften. Er ist Gründer von Tarnkappe.info. Seit 2014 spricht Ghandy, wie er sich auf der Bühne nennt, an verschiedenen Universitäten und Bildungseinrichtungen zu den Themen, wie das Internet funktioniert.
Vom Übersetzer
Die Aktivitäten von Spamhaus sind bereits wurde auf Habr beleuchtet, und zwar ausschließlich negativ. In Russland störte Spamhaus (und stört immer noch) sowohl private Unternehmen als auch große Hosting-Anbieter. 2010 kam ganz Lettland auf die schwarze Liste: Damals kam auf eine Beschwerde eines der größten Anbieter des Landes von Spamhaus die Antwort, dass Lettland eines der kleinsten Länder der Welt sei, was implizierte. Aus irgendeinem Grund datieren die letzten Beiträge zu Spamhaus auf 2012-2013, obwohl das Unternehmen bis heute aktiv ist; ich denke, diese ungerechte Vergessenheit sollte unterbrochen werden.
Quelle: habr.com
