Wenn ein Zulieferer entscheidet, wer erreichbar ist - Netzneutralität? Ja, aber :(

Seit dem 12. September ist eine meiner Seiten in wenigstens zwei Ländern gesperrt. Nicht abgestraft, nicht deindexiert, nicht langsam, schlicht nicht erreichbar. Wer sie aufruft, bekommt eine Warnseite, die ihm sagt, das Ziel sei gefährlich.

Ich schreibe das hier auf, weil der Fall eine Risikoklasse sichtbar macht, die in unserer Branche praktisch nicht auf dem Schirm ist. Und weil ich überlege, ob man daran etwas ändern kann, dazu am Ende mehr.

Was passiert ist

Betroffen ist alkoholiker-forum.de, eine gemeinnützige Selbsthilfe-Community für Alkoholabhängige und deren Angehörige. Am 12. September meldeten die ersten Nutzer, dass die Seite im Netz von o2 blockiert wird. Kurz darauf kamen dieselben Meldungen aus Österreich, dort aus dem Netz von A1.

Der Zustand der Seite: sauber. Google Safe Browsing meldet nichts. VirusTotal meldet nichts. urlscan.io und Norton Safe Web melden nichts. Die Google Search Console zeigt keine Sicherheitsprobleme. Ein vollständiger Audit am selben Tag blieb ohne Befund, die täglichen Malwarescans ebenfalls. Es gibt keinen Hinweis darauf, dass irgendetwas an der Seite kompromittiert wäre.

Eine Benachrichtigung habe ich nie bekommen. Ich habe es erfahren, weil Nutzer es im Forum gemeldet haben.

Warum zwei Länder gleichzeitig

Das ist der interessante Teil. Der o2 Onlineschutz und A1 Net Protect sind keine zwei unabhängigen Systeme. Beide laufen auf derselben Plattform, Whalebone Aura, entwickelt von einem tschechischen Anbieter in Brno. o2 kam über den Wayra-Innovationshub dazu, A1 über den A1 Start Up Campus; inzwischen ist die A1-Gruppe in mehreren Ländern darauf umgestellt.

Technisch ist das ein DNS-Filter. Jede Adresse, die ein Nutzer im Netz aufruft, wird gegen eine zentrale Reputationsdatenbank geprüft. Steht die Domain dort als gefährlich, liefert das Netz statt der Seite eine Warnung aus.

Damit ist klar, was hier vorliegt: kein Konfigurationsfehler bei einem Provider, sondern ein einzelner Eintrag in einer Datenbank, die von Dutzenden Telkos in mehreren Ländern gemeinsam genutzt wird. Derselbe Anbieter führt außerdem das DNS4EU-Konsortium der EU-Kommission an.

Ein falscher Eintrag, und eine Domain ist für Millionen Anschlüsse gleichzeitig weg.

Warum das ein SEO-Thema ist

Weil keines unserer Werkzeuge das sieht.

Rank-Tracker prüfen aus Rechenzentren, nicht aus Mobilfunknetzen. Die Search Console kennt Googles Sicht, nicht die eines DNS-Filters. Uptime-Monitoring schlägt nicht an, weil der Server tadellos läuft. Analytics zeigt keinen Fehler, sondern einfach weniger Nutzer, und weniger Nutzer erklären wir uns reflexhaft mit Rankings, Saisonalität oder einem Core Update.

Eine Domain kann in einem der größten Netze des Landes praktisch nicht existieren, während das komplette Standard-Monitoring grün bleibt. Ich habe es nur erfahren, weil meine Nutzer ein Forum haben, in dem sie sich beschweren können. Ein Shop ohne Community hätte wochenlang gerätselt, warum die Conversion auf Mobil einbricht.

Das ist keine theoretische Lücke. Das ist ein blinder Fleck in der Art, wie wir alle Sichtbarkeit messen.

Zur Netzneutralität, die ehrliche Einordnung

Der erste Impuls ist, das als Netzneutralitätsverstoß zu framen. Ich halte das für falsch, und ich sage lieber gleich warum, bevor es jemand anders tut.

Die Verordnung (EU) 2015/2120 verpflichtet Provider zur Gleichbehandlung des Datenverkehrs. Die BEREC-Leitlinien sehen dabei Filter, die der Endnutzer selbst wählt und jederzeit abschalten kann, ausdrücklich als zulässig an, die Entscheidung liegt beim Kunden, nicht beim Netzbetreiber. Der o2‑Onlineschutz ist eine buchbare Option für 2,49 € im Monat, monatlich kündbar. Damit fällt er in genau diese Kategorie.

Wer mit "Netzneutralität" aufschlägt, bekommt diesen Absatz als Antwort und hat das Gespräch verloren.

Das eigentliche Problem: es gibt kein Verfahren

Der Punkt, an dem die Sache tatsächlich angreifbar ist, ist ein anderer.

Ich habe als Betreiber zu keinem der Beteiligten ein Vertragsverhältnis. Nicht zu O₂, nicht zu A1, nicht zum Anbieter der Datenbank. Ich bin der Dritte, über den entschieden wird. Und für diesen Dritten existiert kein geordnetes Verfahren:

• keine Benachrichtigung, wenn die eigene Domain eingestuft wird
• keine Begründung, keine Angabe der Kategorie
• kein öffentlich dokumentierter Einspruchsweg mit Bearbeitungsfrist
• keine Auskunft, wie lange eine Prüfung dauert oder wer sie durchführt
• keine Information darüber, in wie vielen Netzen die Einstufung wirkt

Es gibt eine Meldeadresse. Die ist nicht offensichtlich, man muss sie suchen, und was danach passiert, ist für den Betroffenen eine Blackbox.

Zum Vergleich: Google Safe Browsing benachrichtigt über die Search Console, nennt die Kategorie, bietet einen Antrag auf Überprüfung und kommuniziert Bearbeitungszeiten. Kein perfektes System, aber ein System. Genau das fehlt hier, und zwar bei einer Infrastruktur, die Reichweite in mehreren EU-Ländern gleichzeitig steuert und die über DNS4EU zusätzlich öffentlich gefördert wird.

Eine private Reputationsdatenbank entscheidet faktisch über Erreichbarkeit. Das ist legitim, solange sie funktioniert. Was fehlt, ist der Weg für den Fall, dass sie es nicht tut.

Was mich an diesem konkreten Fall besonders stört

Die betroffene Seite ist ein Suchthilfe-Angebot. Ein erheblicher Teil der Nutzer kommt dort in dem Moment an, in dem sie sich zum ersten Mal überhaupt Hilfe suchen, oft nachts, oft anonym, oft nach langem Zögern.

Diese Menschen bekommen eine Warnseite, die ihnen sagt, das Angebot sei gefährlich. Ein Teil von ihnen wird es nicht noch einmal versuchen.

Bei einem Shop wäre das ein Umsatzproblem. Hier ist es etwas anderes.

Was ich vorhabe, und wo ihr helfen könnt

Ich bin dabei, den Fall über die regulären Wege zu klären: Meldung an den Datenbankanbieter, parallel an beide Provider mit der Bitte, die Domain über ihr Admin-Portal als Fehleinstufung zu melden. Das wird vermutlich irgendwann funktionieren.

Interessanter ist die Frage dahinter: Wie viele solcher Fälle gibt es, von denen niemand erfährt?

Konkret bitte ich um zwei Dinge.

Erstens: Prüft eure eigenen Domains. Für o2 gibt es eine Testseite unter test-o2onlineschutz.de, für A1 unter dns-test.a1.at. Damit seht ihr, ob der Filter auf einer Verbindung aktiv ist. Den eigentlichen Test macht ihr, indem ihr jemanden mit einem Anschluss im jeweiligen Netz eure Domain aufrufen lasst. Wenn ihr Kunden in Branchen betreut, die bei Filtern erfahrungsgemäß anecken, Gesundheit, Sucht, Recht, Glücksspiel, Erotik, Waffen, alles mit Nutzer-Uploads, würde ich das nicht auf später verschieben.

Zweitens: Meldet mir eure Fälle. Wenn ihr schon einmal eine Sperre in einem Providernetz hattet, interessiert mich: Domain, betroffenes Netz, Zeitraum, Wortlaut der Warnseite, ob und wie schnell ihr sie wieder loswurdet. Gern hier im Thread oder per PN, auf Wunsch anonymisiert.

Wenn dabei genug zusammenkommt, wird daraus etwas, das man vorlegen kann. Adressaten gäbe es genug: die Bundesnetzagentur führt Beschwerdemöglichkeiten für Endnutzer, in Österreich ist die RTR zuständig, und beim DNS4EU-Konsortium liegt eine öffentlich geförderte Verantwortung für Verfahrensfragen.

Die Forderung wäre bescheiden und deshalb durchsetzbar: ein dokumentierter, öffentlich auffindbarer Meldeweg für Domaininhaber, mit Benachrichtigung, Begründung und einer verbindlichen Bearbeitungsfrist. Nicht das Ende der Filter. Nur ein Verfahren.

Wer mitziehen will, meldet sich. Wer das für übertrieben hält, auch, dann diskutieren wir das aus.

Nachtrag folgt, sobald sich beim Status etwas ändert.

Nachtrag: Die Forderungen und die Frage, ob sie überhaupt neu sind

Der Ausgangsbeitrag beschreibt den Fall. Hier geht es um das, was daraus folgen soll.

Ich habe mich entschieden, das nicht still abzuarbeiten. Die Sperre wird irgendwann fallen, dafür brauche ich keine Öffentlichkeit. Was bleibt, ist der Zustand dahinter, und der betrifft jeden hier, der eine Domain betreut.

Die drei Forderungen

1. Korrektur mit Wirkung dort, wo der Fehler sitzt.

Eine Fehleinstufung muss zentral in der Klassifikationsdatenbank behoben werden, nicht als Einzelfreischaltung bei einem Netzbetreiber. Wenn ein Eintrag in dreißig Netzen wirkt, muss seine Korrektur ebenfalls in dreißig Netzen wirken. Alles andere verlagert die Arbeit auf den Geschädigten, der dann bei jedem Anbieter einzeln vorstellig werden darf.

2. Benachrichtigung und Begründung.

Wer eine Domain als gefährlich einstuft, informiert den Inhaber und nennt den Grund. Die Kontaktdaten stehen im Zweifel in der Whois oder im Impressum. Ohne diese Pflicht ist es eine Sperre im Verborgenen, von der der Betroffene bestenfalls zufällig erfährt. Ich habe von meiner nur erfahren, weil sich Nutzer beschwert haben.

3. Ein dokumentiertes Prüfverfahren mit Frist.

Öffentlich auffindbar, ohne Registrierung erreichbar, mit einer verbindlichen Bearbeitungszeit und einer nachvollziehbaren Entscheidung. Google Safe Browsing macht das seit über fünfzehn Jahren: Benachrichtigung über die Search Console, Antrag auf Überprüfung, kommunizierte Bearbeitungsdauer. Es ist kein technisches Problem. Es ist eine Entscheidung, die bisher niemand treffen musste.

Bewusst nicht gefordert: die Abschaffung von Sicherheitsfiltern. Schutz vor Phishing und Schadsoftware ist ein reales Anliegen, und die Zahlen, mit denen die Anbieter werben, sind vermutlich echt. Es geht ausschließlich um das Verfahren für den Fall, dass die Einstufung falsch ist.

Was ich vorhabe

Ich werde versuchen, das durchzusetzen, und ich mache den Weg hier öffentlich mit:

• Meldung und Nachfassen beim Betreiber der Datenbank, mit dokumentierten Fristen
• Anfrage bei der Bundesnetzagentur zu Zuständigkeit und Verfahren — Vorgang läuft, die erste Antwort war ein Textbaustein aus dem Verbraucherschutz, ich habe um Abgabe an das Fachreferat gebeten
• Anschreiben an die Netzbetreiber mit der Aufforderung, die Fehleinstufung über ihren eigenen Zugang zu melden
• Einbindung der Fachverbände, in meinem Fall der Suchthilfe, weil dort die Betroffenheit fachlich bewertet werden kann
• Parlamentarischer Weg, sobald genug Fälle beisammen sind — eine schriftliche Frage im Bundestag erzeugt eine zitierbare Antwort der Bundesregierung
• Und, der Punkt, um den es mir hier besonders geht: eine juristische Prüfung

Die eigentliche Frage: Ist das nicht längst Pflicht?

Bevor man eine neue Regel fordert, sollte man wissen, ob es sie schon gibt. Ich lasse deshalb prüfen, ob die drei Punkte oben tatsächlich Forderungen sind, oder ob sie geltendes Recht sind, das nur niemand durchsetzt. Das ist ein erheblicher Unterschied für die Verhandlungsposition.

Was dabei aus meiner Sicht zu prüfen ist, ausdrücklich als Laienliste und nicht als Rechtsauffassung:

Die Verantwortung des Netzbetreibers. Die Transparenzpflichten aus Art. 4 der Verordnung (EU) 2015/2120 und aus dem Telekommunikationsgesetz treffen den Anbieter, der den Dienst verkauft, nicht dessen Zulieferer. Wer einen Filter einkauft und weiterverkauft, dürfte sich der Verantwortung nicht durch Auslagerung entziehen können. Die Frage ist nur: Diese Pflichten richten sich an den Endkunden. Gilt etwas Vergleichbares gegenüber dem gesperrten Dritten?

Der Digital Services Act. Zugangsanbieter sind als reine Durchleitungsdienste vom DSA erfasst, und Art. 14 verlangt Transparenz über Beschränkungen. Die eigentlichen Beschwerdemechanismen, Melde- und Abhilfeverfahren, internes Beschwerdemanagement, gelten aber nur für Hostingdienste und Online-Plattformen. Ob daraus für Zugangsanbieter irgendetwas folgt, ist genau die Lücke, die mich interessiert.

§ 824 BGB. Kreditgefährdung durch unwahre Tatsachenbehauptung. Die Aussage „diese Seite ist gefährlich" ist eine Tatsachenbehauptung, keine Meinung, und sie ist im konkreten Fall nachweislich unwahr. In Verbindung mit § 1004 BGB analog wäre das der Ansatzpunkt für einen Unterlassungsanspruch. Für ein gewerbliches Angebot dürfte das der konkreteste Hebel sein.

Eingriff in den eingerichteten und ausgeübten Gewerbebetrieb, § 823 Abs. 1 BGB. Bei betrieblich genutzten Domains naheliegend, bei gemeinnützigen Angeboten schwieriger zu begründen.

Die Bedingungen der EU-Förderung. Derselbe Anbieter führt das von der EU-Kommission geförderte DNS4EU-Konsortium an. Ob an diese Förderung Anforderungen an Transparenz und Beschwerdeverfahren geknüpft sind, halte ich für eine sehr lohnende Frage.

Sollte sich herausstellen, dass Punkt 2 und 3 im Kern bereits geltendes Recht sind, ändert das alles. Dann geht es nicht mehr darum, jemanden zu etwas zu bewegen, sondern darum, eine bestehende Pflicht einzufordern, und dafür gibt es Adressaten und Verfahren.

Wo ich Hilfe brauche

Juristen im Forum: Wenn ihr euch mit TK-Recht, DSA oder Äußerungsrecht auskennt und Lust habt, die Liste oben zu zerlegen, gern hier im Thread. Auch und gerade, wenn ihr die Ansätze für aussichtslos haltet. Es ist besser, das jetzt zu erfahren als in einem Schreiben an eine Behörde.

Alle anderen: Fälle. Domain, Netz, Zeitraum, Wortlaut der Warnseite, ob und wie schnell ihr sie wieder losgeworden seid. Gern anonymisiert. Ein Fall ist ein Pech, fünf sind ein Muster, und ein Muster ist das Einzige, womit man an einer Behörde oder in einem Abgeordnetenbüro etwas bewegt.

Wenn ihr Kunden in Branchen betreut, die bei Filtern erfahrungsgemäß anecken, (Gesundheit, Sucht, Recht, Glücksspiel, alles mit Nutzer-Uploads), da würde ich einen Anschluss im o2- und im A1-Netz zum Standardtest machen. Es dauert zehn Sekunden pro Domain und ist derzeit die einzige Möglichkeit, so etwas überhaupt zu bemerken.

Ich halte den Thread aktuell, auch wenn nichts passiert. Gerade dann.

Art. 15 DSGVO greift da meiner Meinung nach nicht.

Aber es würde mich schon brennend interessieren, ob da wer Buckliges gemeldet hat.

Hinweis: Die Sperre kam an einem WE, da nehme ich mindestens 200 Netto die Stunde. Das Geld ist mir dabei egal. Es sind einfach die Nerven und wirklich dieser ganze Bums mit Prüfung, Sichtung und externem Einbinden von Ressourcen. Das kostet einfach Kraft und Nerven.

Auch die Bundesnetzagentur hat sich schon bei mir gemeldet. Es ist nun in "Bearbeitung", mal sehen was da herauskommt. Ich schrieb denen auch, dass ich kein Kunde von diesem Verein bin, mit der Bitte um Klärung, welche Stelle jetzt verantwortlich ist für diesen Fall. Da bin ich wirklich sehr gespannt, was da und woanders auch, herauskommt.

Ich denke, die Sache ist doch eigentlich sehr wichtig. Leider kann man denen eben nicht mit der sogenannten Netzneutralität kommen. Denn der Kunde bezahlt sogar dafür, das er "geschützt" wird. Trotzdem gibt es da KEINE Regeln, keine Clearingstelle usw.

Selbst ich bin bei Europol und BKA als direkter Ansprechpartner schnell zu erreichen, da es einfach Pflicht ist für mich.

Da habe ich auch Fristen, in denen ich reagieren muss.