Wenn ein Zulieferer entscheidet, wer erreichbar ist - Netzneutralität? Ja, aber :(

Seit dem 12. September ist eine meiner Seiten in wenigstens zwei Ländern gesperrt. Nicht abgestraft, nicht deindexiert, nicht langsam, schlicht nicht erreichbar. Wer sie aufruft, bekommt eine Warnseite, die ihm sagt, das Ziel sei gefährlich.

Ich schreibe das hier auf, weil der Fall eine Risikoklasse sichtbar macht, die in unserer Branche praktisch nicht auf dem Schirm ist. Und weil ich überlege, ob man daran etwas ändern kann, dazu am Ende mehr.

Was passiert ist

Betroffen ist alkoholiker-forum.de, eine gemeinnützige Selbsthilfe-Community für Alkoholabhängige und deren Angehörige. Am 12. September meldeten die ersten Nutzer, dass die Seite im Netz von o2 blockiert wird. Kurz darauf kamen dieselben Meldungen aus Österreich, dort aus dem Netz von A1.

Der Zustand der Seite: sauber. Google Safe Browsing meldet nichts. VirusTotal meldet nichts. urlscan.io und Norton Safe Web melden nichts. Die Google Search Console zeigt keine Sicherheitsprobleme. Ein vollständiger Audit am selben Tag blieb ohne Befund, die täglichen Malwarescans ebenfalls. Es gibt keinen Hinweis darauf, dass irgendetwas an der Seite kompromittiert wäre.

Eine Benachrichtigung habe ich nie bekommen. Ich habe es erfahren, weil Nutzer es im Forum gemeldet haben.

Warum zwei Länder gleichzeitig

Das ist der interessante Teil. Der o2 Onlineschutz und A1 Net Protect sind keine zwei unabhängigen Systeme. Beide laufen auf derselben Plattform, Whalebone Aura, entwickelt von einem tschechischen Anbieter in Brno. o2 kam über den Wayra-Innovationshub dazu, A1 über den A1 Start Up Campus; inzwischen ist die A1-Gruppe in mehreren Ländern darauf umgestellt.

Technisch ist das ein DNS-Filter. Jede Adresse, die ein Nutzer im Netz aufruft, wird gegen eine zentrale Reputationsdatenbank geprüft. Steht die Domain dort als gefährlich, liefert das Netz statt der Seite eine Warnung aus.

Damit ist klar, was hier vorliegt: kein Konfigurationsfehler bei einem Provider, sondern ein einzelner Eintrag in einer Datenbank, die von Dutzenden Telkos in mehreren Ländern gemeinsam genutzt wird. Derselbe Anbieter führt außerdem das DNS4EU-Konsortium der EU-Kommission an.

Ein falscher Eintrag, und eine Domain ist für Millionen Anschlüsse gleichzeitig weg.

Warum das ein SEO-Thema ist

Weil keines unserer Werkzeuge das sieht.

Rank-Tracker prüfen aus Rechenzentren, nicht aus Mobilfunknetzen. Die Search Console kennt Googles Sicht, nicht die eines DNS-Filters. Uptime-Monitoring schlägt nicht an, weil der Server tadellos läuft. Analytics zeigt keinen Fehler, sondern einfach weniger Nutzer, und weniger Nutzer erklären wir uns reflexhaft mit Rankings, Saisonalität oder einem Core Update.

Eine Domain kann in einem der größten Netze des Landes praktisch nicht existieren, während das komplette Standard-Monitoring grün bleibt. Ich habe es nur erfahren, weil meine Nutzer ein Forum haben, in dem sie sich beschweren können. Ein Shop ohne Community hätte wochenlang gerätselt, warum die Conversion auf Mobil einbricht.

Das ist keine theoretische Lücke. Das ist ein blinder Fleck in der Art, wie wir alle Sichtbarkeit messen.

Zur Netzneutralität, die ehrliche Einordnung

Der erste Impuls ist, das als Netzneutralitätsverstoß zu framen. Ich halte das für falsch, und ich sage lieber gleich warum, bevor es jemand anders tut.

Die Verordnung (EU) 2015/2120 verpflichtet Provider zur Gleichbehandlung des Datenverkehrs. Die BEREC-Leitlinien sehen dabei Filter, die der Endnutzer selbst wählt und jederzeit abschalten kann, ausdrücklich als zulässig an, die Entscheidung liegt beim Kunden, nicht beim Netzbetreiber. Der o2‑Onlineschutz ist eine buchbare Option für 2,49 € im Monat, monatlich kündbar. Damit fällt er in genau diese Kategorie.

Wer mit "Netzneutralität" aufschlägt, bekommt diesen Absatz als Antwort und hat das Gespräch verloren.

Das eigentliche Problem: es gibt kein Verfahren

Der Punkt, an dem die Sache tatsächlich angreifbar ist, ist ein anderer.

Ich habe als Betreiber zu keinem der Beteiligten ein Vertragsverhältnis. Nicht zu O₂, nicht zu A1, nicht zum Anbieter der Datenbank. Ich bin der Dritte, über den entschieden wird. Und für diesen Dritten existiert kein geordnetes Verfahren:

• keine Benachrichtigung, wenn die eigene Domain eingestuft wird
• keine Begründung, keine Angabe der Kategorie
• kein öffentlich dokumentierter Einspruchsweg mit Bearbeitungsfrist
• keine Auskunft, wie lange eine Prüfung dauert oder wer sie durchführt
• keine Information darüber, in wie vielen Netzen die Einstufung wirkt

Es gibt eine Meldeadresse. Die ist nicht offensichtlich, man muss sie suchen, und was danach passiert, ist für den Betroffenen eine Blackbox.

Zum Vergleich: Google Safe Browsing benachrichtigt über die Search Console, nennt die Kategorie, bietet einen Antrag auf Überprüfung und kommuniziert Bearbeitungszeiten. Kein perfektes System, aber ein System. Genau das fehlt hier, und zwar bei einer Infrastruktur, die Reichweite in mehreren EU-Ländern gleichzeitig steuert und die über DNS4EU zusätzlich öffentlich gefördert wird.

Eine private Reputationsdatenbank entscheidet faktisch über Erreichbarkeit. Das ist legitim, solange sie funktioniert. Was fehlt, ist der Weg für den Fall, dass sie es nicht tut.

Was mich an diesem konkreten Fall besonders stört

Die betroffene Seite ist ein Suchthilfe-Angebot. Ein erheblicher Teil der Nutzer kommt dort in dem Moment an, in dem sie sich zum ersten Mal überhaupt Hilfe suchen, oft nachts, oft anonym, oft nach langem Zögern.

Diese Menschen bekommen eine Warnseite, die ihnen sagt, das Angebot sei gefährlich. Ein Teil von ihnen wird es nicht noch einmal versuchen.

Bei einem Shop wäre das ein Umsatzproblem. Hier ist es etwas anderes.

Was ich vorhabe, und wo ihr helfen könnt

Ich bin dabei, den Fall über die regulären Wege zu klären: Meldung an den Datenbankanbieter, parallel an beide Provider mit der Bitte, die Domain über ihr Admin-Portal als Fehleinstufung zu melden. Das wird vermutlich irgendwann funktionieren.

Interessanter ist die Frage dahinter: Wie viele solcher Fälle gibt es, von denen niemand erfährt?

Konkret bitte ich um zwei Dinge.

Erstens: Prüft eure eigenen Domains. Für o2 gibt es eine Testseite unter test-o2onlineschutz.de, für A1 unter dns-test.a1.at. Damit seht ihr, ob der Filter auf einer Verbindung aktiv ist. Den eigentlichen Test macht ihr, indem ihr jemanden mit einem Anschluss im jeweiligen Netz eure Domain aufrufen lasst. Wenn ihr Kunden in Branchen betreut, die bei Filtern erfahrungsgemäß anecken, Gesundheit, Sucht, Recht, Glücksspiel, Erotik, Waffen, alles mit Nutzer-Uploads, würde ich das nicht auf später verschieben.

Zweitens: Meldet mir eure Fälle. Wenn ihr schon einmal eine Sperre in einem Providernetz hattet, interessiert mich: Domain, betroffenes Netz, Zeitraum, Wortlaut der Warnseite, ob und wie schnell ihr sie wieder loswurdet. Gern hier im Thread oder per PN, auf Wunsch anonymisiert.

Wenn dabei genug zusammenkommt, wird daraus etwas, das man vorlegen kann. Adressaten gäbe es genug: die Bundesnetzagentur führt Beschwerdemöglichkeiten für Endnutzer, in Österreich ist die RTR zuständig, und beim DNS4EU-Konsortium liegt eine öffentlich geförderte Verantwortung für Verfahrensfragen.

Die Forderung wäre bescheiden und deshalb durchsetzbar: ein dokumentierter, öffentlich auffindbarer Meldeweg für Domaininhaber, mit Benachrichtigung, Begründung und einer verbindlichen Bearbeitungsfrist. Nicht das Ende der Filter. Nur ein Verfahren.

Wer mitziehen will, meldet sich. Wer das für übertrieben hält, auch, dann diskutieren wir das aus.

Nachtrag folgt, sobald sich beim Status etwas ändert.

Nachtrag: Die Forderungen und die Frage, ob sie überhaupt neu sind

Der Ausgangsbeitrag beschreibt den Fall. Hier geht es um das, was daraus folgen soll.

Ich habe mich entschieden, das nicht still abzuarbeiten. Die Sperre wird irgendwann fallen, dafür brauche ich keine Öffentlichkeit. Was bleibt, ist der Zustand dahinter, und der betrifft jeden hier, der eine Domain betreut.

Die drei Forderungen

1. Korrektur mit Wirkung dort, wo der Fehler sitzt.

Eine Fehleinstufung muss zentral in der Klassifikationsdatenbank behoben werden, nicht als Einzelfreischaltung bei einem Netzbetreiber. Wenn ein Eintrag in dreißig Netzen wirkt, muss seine Korrektur ebenfalls in dreißig Netzen wirken. Alles andere verlagert die Arbeit auf den Geschädigten, der dann bei jedem Anbieter einzeln vorstellig werden darf.

2. Benachrichtigung und Begründung.

Wer eine Domain als gefährlich einstuft, informiert den Inhaber und nennt den Grund. Die Kontaktdaten stehen im Zweifel in der Whois oder im Impressum. Ohne diese Pflicht ist es eine Sperre im Verborgenen, von der der Betroffene bestenfalls zufällig erfährt. Ich habe von meiner nur erfahren, weil sich Nutzer beschwert haben.

3. Ein dokumentiertes Prüfverfahren mit Frist.

Öffentlich auffindbar, ohne Registrierung erreichbar, mit einer verbindlichen Bearbeitungszeit und einer nachvollziehbaren Entscheidung. Google Safe Browsing macht das seit über fünfzehn Jahren: Benachrichtigung über die Search Console, Antrag auf Überprüfung, kommunizierte Bearbeitungsdauer. Es ist kein technisches Problem. Es ist eine Entscheidung, die bisher niemand treffen musste.

Bewusst nicht gefordert: die Abschaffung von Sicherheitsfiltern. Schutz vor Phishing und Schadsoftware ist ein reales Anliegen, und die Zahlen, mit denen die Anbieter werben, sind vermutlich echt. Es geht ausschließlich um das Verfahren für den Fall, dass die Einstufung falsch ist.

Was ich vorhabe

Ich werde versuchen, das durchzusetzen, und ich mache den Weg hier öffentlich mit:

• Meldung und Nachfassen beim Betreiber der Datenbank, mit dokumentierten Fristen
• Anfrage bei der Bundesnetzagentur zu Zuständigkeit und Verfahren — Vorgang läuft, die erste Antwort war ein Textbaustein aus dem Verbraucherschutz, ich habe um Abgabe an das Fachreferat gebeten
• Anschreiben an die Netzbetreiber mit der Aufforderung, die Fehleinstufung über ihren eigenen Zugang zu melden
• Einbindung der Fachverbände, in meinem Fall der Suchthilfe, weil dort die Betroffenheit fachlich bewertet werden kann
• Parlamentarischer Weg, sobald genug Fälle beisammen sind — eine schriftliche Frage im Bundestag erzeugt eine zitierbare Antwort der Bundesregierung
• Und, der Punkt, um den es mir hier besonders geht: eine juristische Prüfung

Die eigentliche Frage: Ist das nicht längst Pflicht?

Bevor man eine neue Regel fordert, sollte man wissen, ob es sie schon gibt. Ich lasse deshalb prüfen, ob die drei Punkte oben tatsächlich Forderungen sind, oder ob sie geltendes Recht sind, das nur niemand durchsetzt. Das ist ein erheblicher Unterschied für die Verhandlungsposition.

Was dabei aus meiner Sicht zu prüfen ist, ausdrücklich als Laienliste und nicht als Rechtsauffassung:

Die Verantwortung des Netzbetreibers. Die Transparenzpflichten aus Art. 4 der Verordnung (EU) 2015/2120 und aus dem Telekommunikationsgesetz treffen den Anbieter, der den Dienst verkauft, nicht dessen Zulieferer. Wer einen Filter einkauft und weiterverkauft, dürfte sich der Verantwortung nicht durch Auslagerung entziehen können. Die Frage ist nur: Diese Pflichten richten sich an den Endkunden. Gilt etwas Vergleichbares gegenüber dem gesperrten Dritten?

Der Digital Services Act. Zugangsanbieter sind als reine Durchleitungsdienste vom DSA erfasst, und Art. 14 verlangt Transparenz über Beschränkungen. Die eigentlichen Beschwerdemechanismen, Melde- und Abhilfeverfahren, internes Beschwerdemanagement, gelten aber nur für Hostingdienste und Online-Plattformen. Ob daraus für Zugangsanbieter irgendetwas folgt, ist genau die Lücke, die mich interessiert.

§ 824 BGB. Kreditgefährdung durch unwahre Tatsachenbehauptung. Die Aussage „diese Seite ist gefährlich" ist eine Tatsachenbehauptung, keine Meinung, und sie ist im konkreten Fall nachweislich unwahr. In Verbindung mit § 1004 BGB analog wäre das der Ansatzpunkt für einen Unterlassungsanspruch. Für ein gewerbliches Angebot dürfte das der konkreteste Hebel sein.

Eingriff in den eingerichteten und ausgeübten Gewerbebetrieb, § 823 Abs. 1 BGB. Bei betrieblich genutzten Domains naheliegend, bei gemeinnützigen Angeboten schwieriger zu begründen.

Die Bedingungen der EU-Förderung. Derselbe Anbieter führt das von der EU-Kommission geförderte DNS4EU-Konsortium an. Ob an diese Förderung Anforderungen an Transparenz und Beschwerdeverfahren geknüpft sind, halte ich für eine sehr lohnende Frage.

Sollte sich herausstellen, dass Punkt 2 und 3 im Kern bereits geltendes Recht sind, ändert das alles. Dann geht es nicht mehr darum, jemanden zu etwas zu bewegen, sondern darum, eine bestehende Pflicht einzufordern, und dafür gibt es Adressaten und Verfahren.

Wo ich Hilfe brauche

Juristen im Forum: Wenn ihr euch mit TK-Recht, DSA oder Äußerungsrecht auskennt und Lust habt, die Liste oben zu zerlegen, gern hier im Thread. Auch und gerade, wenn ihr die Ansätze für aussichtslos haltet. Es ist besser, das jetzt zu erfahren als in einem Schreiben an eine Behörde.

Alle anderen: Fälle. Domain, Netz, Zeitraum, Wortlaut der Warnseite, ob und wie schnell ihr sie wieder losgeworden seid. Gern anonymisiert. Ein Fall ist ein Pech, fünf sind ein Muster, und ein Muster ist das Einzige, womit man an einer Behörde oder in einem Abgeordnetenbüro etwas bewegt.

Wenn ihr Kunden in Branchen betreut, die bei Filtern erfahrungsgemäß anecken, (Gesundheit, Sucht, Recht, Glücksspiel, alles mit Nutzer-Uploads), da würde ich einen Anschluss im o2- und im A1-Netz zum Standardtest machen. Es dauert zehn Sekunden pro Domain und ist derzeit die einzige Möglichkeit, so etwas überhaupt zu bemerken.

Ich halte den Thread aktuell, auch wenn nichts passiert. Gerade dann.

Art. 15 DSGVO greift da meiner Meinung nach nicht.

Aber es würde mich schon brennend interessieren, ob da wer Buckliges gemeldet hat.

Hinweis: Die Sperre kam an einem WE, da nehme ich mindestens 200 Netto die Stunde. Das Geld ist mir dabei egal. Es sind einfach die Nerven und wirklich dieser ganze Bums mit Prüfung, Sichtung und externem Einbinden von Ressourcen. Das kostet einfach Kraft und Nerven.

Auch die Bundesnetzagentur hat sich schon bei mir gemeldet. Es ist nun in "Bearbeitung", mal sehen was da herauskommt. Ich schrieb denen auch, dass ich kein Kunde von diesem Verein bin, mit der Bitte um Klärung, welche Stelle jetzt verantwortlich ist für diesen Fall. Da bin ich wirklich sehr gespannt, was da und woanders auch, herauskommt.

Ich denke, die Sache ist doch eigentlich sehr wichtig. Leider kann man denen eben nicht mit der sogenannten Netzneutralität kommen. Denn der Kunde bezahlt sogar dafür, das er "geschützt" wird. Trotzdem gibt es da KEINE Regeln, keine Clearingstelle usw.

Selbst ich bin bei Europol und BKA als direkter Ansprechpartner schnell zu erreichen, da es einfach Pflicht ist für mich.

Da habe ich auch Fristen, in denen ich reagieren muss.

Moin moin,

gestern ging die Pressemitteilung raus, heute liegt der erste Fall auf dem Tisch, bei dem es ein Kundenprojekt erwischt hat. Damit ist das kein Einzelfall mehr, den ich nebenher abarbeite. Hier der Stand, in verständlich.

Was da eigentlich passiert

Wenn jemand eine Adresse in den Browser tippt, muss die erst in eine Nummer übersetzt werden, dafür gibt es das DNS, quasi die Telefonauskunft des Internets. Viele Provider verkaufen ihren Kunden inzwischen einen Schutzdienst, der genau an dieser Stelle dazwischengeht: Vor der Auskunft wird die Adresse gegen eine Liste gefährlicher Seiten geprüft. Treffer bedeutet keine Auskunft, sondern eine Warnseite.

Diese Liste führen die Provider nicht selbst. Sie kaufen sie ein, im aktuellen Fall bei Whalebone, einem Anbieter aus Brno in Tschechien. Dieselbe Datenbank steckt hinter dem o2 Onlineschutz in Deutschland und hinter A1 Net Protect in Österreich, und sie wird von etlichen weiteren europäischen Netzbetreibern genutzt.

Das heißt konkret: Die Sperre passiert im Netz des Providers, nicht auf dem Server. Die Seite läuft, das Zertifikat ist gültig, die Auslieferung funktioniert, sie kommt nur bei bestimmten Anschlüssen nicht an. Ich habe darauf keinen Zugriff. Niemand außerhalb des Datenbankbetreibers hat das.

Bitte erst prüfen, dann melden

Bevor wir etwas dem DNS-Filter zuschreiben, sollten wir es wissen. Drei Schritte, dauert zusammen keine fünf Minuten:

1. Betroffenes Netz feststellen. Mobilfunk oder Festnetz? Welcher Anbieter? Das ist die wichtigste Angabe überhaupt.
2. Gegenprobe im selben Netz. Auf dem betroffenen Gerät im Browser verschlüsseltes DNS einschalten (Firefox: Einstellungen → Datenschutz & Sicherheit → DNS über HTTPS; Chrome: Einstellungen → Datenschutz und Sicherheit → Sicherheit → Sicheres DNS) und die Seite erneut aufrufen. Geht sie jetzt, war es der Netzfilter. Geht sie weiterhin nicht, liegt es woanders, dann bitte ganz normal ein Ticket, das ist dann unser Bier.
3. Warnseite festhalten. Vollbild-Screenshot inklusive der Kategorie und einer eventuellen Referenznummer am Seitenende. Genau dieser Text sagt, ob es eine Sicherheits- oder eine Inhaltskategorie ist. Das ist der entscheidende Unterschied.

Was ihr euren Kunden sofort sagen könnt

Die Seite ist nicht gehackt, die Daten sind sicher, es gibt kein Sicherheitsproblem, die Einstufung ist schlicht falsch. Wer trotzdem sofort drankommen muss, schaltet verschlüsseltes DNS im Browser ein (siehe oben) oder trägt am Handy systemweit ein privates DNS ein: Android unter Einstellungen → Netzwerk & Internet → Privates DNS, Hostname one.one.one.one. Beim iPhone geht das nur über die kostenlose App "1.1.1.1" von Cloudflare.

Dabei bitte dazusagen, dass damit der Schutzfilter des Providers insgesamt umgangen wird. Wer den bewusst gebucht hat, kann die Domain stattdessen im Kundenkonto des Providers auf die Zulassungsliste setzen.

Was ich von euch brauche

Der Aktenordner wächst, und er soll etwas taugen. Damit ich belegen kann, dass das ein länderübergreifendes Problem ist, brauche ich Meldungen in immer derselben Form. Bitte genau diese Felder, gern per PN oder direkt an mich:

• Domain (gern anonymisiert, wenn der Kunde das möchte, dann bitte Branche angeben)
• Land
• Provider / ISP des betroffenen Anschlusses
• Anschlussart: Mobilfunk oder Festnetz
• Datum und Uhrzeit des Vorfalls
• Wortlaut der Warnseite, möglichst als Screenshot
• Gegenprobe gemacht? Ging es mit verschlüsseltem DNS?
• Seit wann besteht das Problem, und besteht es noch?

Den Provider bitte immer dazuschreiben. Ohne diese Angabe ist eine Meldung für den Nachweis wertlos, weil sich damit nichts einer Datenbank oder einem Netz zuordnen lässt.

Und bitte nur das schicken, was für den Nachweis nötig ist, keine Kundendaten, keine Zugänge, keine Logs mit personenbezogenen Inhalten. Ich gebe die Sammlung in aggregierter Form weiter, nicht mit Kundennamen.

Woher das Ganze kommt

Angefangen hat es bei einem Selbsthilfeforum für Alkoholkranke, bei dem ich ehrenamtlich Administrator bin. Der komplette Verlauf mit allen Prüfberichten steht hier öffentlich:

https://alkoholiker-forum.de/forum/thread/4…2-onlineschutz/

Die technische Einordnung und meine Forderungen habe ich hier aufgeschrieben, lest die bitte, gerade wenn ihr sie für übertrieben haltet. Widerspruch ist mir da lieber als Zustimmung.

Wie es weitergeht

Der Stand ist unverändert: keine Freigabe, keine inhaltliche Rückmeldung, kein Verfahren, über das man den Stand abfragen könnte. Ich muss deshalb davon ausgehen, dass so etwas wiederkehrt, und dass es weitere Projekte trifft, von denen wir schlicht nichts erfahren, weil eine solche Sperre von außen unsichtbar ist.

Die Bundesnetzagentur bearbeitet einen Vorgang, ist aber erkennbar nicht der alleinige Adressat: Der Datenbankbetreiber sitzt in Tschechien, die Wirkung reicht über Ländergrenzen, und für Website-Betreiber als Drittbetroffene gibt es dort bislang kein Verfahren. Ich bereite deshalb die nächste Stufe vor, die Regulierungsbehörden der weiteren betroffenen Länder, die europäische Ebene und die Fachverbände der jeweils betroffenen Branchen.

Dafür brauche ich Fälle. Ein Fall ist Pech, fünf sind ein Muster, und nur ein Muster bewegt auf dieser Ebene etwas.

Danke fürs Mitsammeln.

Moin CatCat,

so einfach ist das leider nicht. Wenn es denn so einfach wäre. Denn der Kunde hat diesen Dienst gebucht.

Aber ich bin immer noch dran.

Your petition will now be processed by the European Parliament. Please be advised that this may take some time as the process consists of several phases. In most cases, the Secretariat of the Committee on Petitions will produce a summary of your petition, which will be translated into all the official languages of the European Union. This summary will appear on the Petitions Portal as soon as the Committee has reached a decision on the admissibility of your petition. You will be notified of this decision in writing.

Wenn’s auf EU‑Ebene sein soll: Ich habe es mir nicht ausgesucht.

Ich habe da etwas anders argumentiert, als du. Obwohl ich auch richtig stinkig bin.

1. PETENT UND BETROFFENHEIT

Petent ist der Alkoholiker-Forum.de e.V., eingetragen
beim Amtsgericht Stendal unter VR 6316, mit Sitz in Bertingen,
Deutschland. Vertreten durch Alexander Müller, Vorsitzender.

Der Verein betreibt unter der Domain alkoholiker-forum.de ein
gemeinnuetziges Online-Selbsthilfeangebot fuer alkoholabhaengige
Menschen, deren Angehoerige und Co-Abhaengige. Das Angebot besteht seit
2004, ist kostenfrei und anonym nutzbar und hat 7000 registrierte
Mitglieder.

Der Petent ist unmittelbar betroffen: Die eigene Domain ist seit dem
12. September 2026 in den Netzen von Telekommunikationsanbietern in zwei
Mitgliedstaaten nicht mehr erreichbar. Der Petent hat die Fehleinstufung
gemeldet und keinen Weg gefunden, eine Ueberpruefung zu verlangen.

2. SACHVERHALT

Am 12. September 2026 meldeten Nutzerinnen und Nutzer, dass das Forum im
Netz von o2 Telefonica Deutschland nicht mehr aufrufbar ist. Statt der
Seite wird eine Warnseite ausgeliefert, die das Angebot als unsicher
kennzeichnet. Kurz darauf gingen gleichlautende Meldungen aus dem Netz
der A1 Telekom Austria ein.

Ein Sicherheitsproblem liegt nicht vor. Die unabhaengigen Pruefdienste
Google Safe Browsing, VirusTotal, urlscan.io und Norton Safe Web weisen
die Domain uebereinstimmend als unauffaellig aus. Ein vollstaendiger
Sicherheitsaudit am 12. September 2026 sowie taeglich laufende
automatisierte Malwarescans blieben ohne Befund. Die Google Search
Console meldet keine Sicherheitsprobleme. Entsprechende Nachweise liegen
als Anlage bei.

Eine Benachrichtigung ueber die Einstufung hat der Petent zu keinem
Zeitpunkt erhalten. Er erfuhr von der Sperre ausschliesslich dadurch,
dass sich Nutzerinnen und Nutzer im Forum beschwerten. Eine Begruendung
wurde nicht mitgeteilt. Ein Datum oder ein Anlass der Einstufung ist
nicht bekannt.

3. TECHNISCHER HINTERGRUND

Die Sperre erfolgt nicht auf dem Server des Petenten, sondern im Netz der
jeweiligen Zugangsanbieter. Beide Anbieter betreiben einen den Kunden
angebotenen Schutzdienst, der bei der Aufloesung von Domainnamen (DNS)
eingreift: Vor der Beantwortung der Anfrage wird die Domain gegen eine
Liste als gefaehrlich eingestufter Adressen geprueft. Bei einem Treffer
wird die Aufloesung unterbunden und eine Warnseite ausgeliefert.

Diese Liste fuehren die Zugangsanbieter nicht selbst. Sie beziehen sie
von einem Drittunternehmen. Im vorliegenden Fall handelt es sich um die
Plattform des Unternehmens Whalebone s.r.o. mit Sitz in Brno,
Tschechische Republik, die sowohl dem Dienst des deutschen als auch dem
des oesterreichischen Anbieters zugrunde liegt. Nach Angaben des
Unternehmens wird dieselbe Klassifikationsdatenbank von zahlreichen
weiteren Telekommunikationsanbietern in mehreren Laendern genutzt.

Die Sperre in Deutschland und in Oesterreich beruht daher nicht auf zwei
unabhaengigen Entscheidungen zweier Unternehmen, sondern auf einem
einzigen Eintrag in einer zentral gefuehrten Datenbank.

4. GRENZUEBERSCHREITENDE WIRKUNG

Daraus folgt der Kern des Anliegens: Eine einzelne fehlerhafte Einstufung
kann ein Angebot gleichzeitig in mehreren Mitgliedstaaten unerreichbar
machen. Die Wirkung ist nicht auf den Mitgliedstaat begrenzt, in dem der
Betreiber ansaessig ist, und auch nicht auf den, in dem das
klassifizierende Unternehmen sitzt.

Hinzu kommt, dass eine solche Sperre von aussen unsichtbar ist. Sie wirkt
ausschliesslich in den Netzen der jeweiligen Anbieter. Server, Zertifikat
und Auslieferung funktionieren einwandfrei; uebliche technische
Ueberwachungswerkzeuge zeigen keinen Fehler. Betreiber ohne aktive
Nutzergemeinschaft erfahren von einer Sperre ihres eigenen Angebots unter
Umstaenden ueberhaupt nicht.

Der Petent hat zwischenzeitlich Kenntnis von weiteren betroffenen
Websites erhalten, die inhaltlich keinerlei Bezug zum Thema Sucht haben.

5. DIE LUECKE: KEIN VERFAHREN FUER DRITTBETROFFENE

Der Petent steht zu keinem der Beteiligten in einem Vertragsverhaeltnis:
weder zu den Zugangsanbietern noch zum Betreiber der
Klassifikationsdatenbank. Er ist Dritter, ueber den entschieden wird.

Fuer diese Konstellation existiert kein erkennbares Verfahren:

- keine Benachrichtigung des Betreibers bei einer Einstufung
- keine Mitteilung des Grundes oder der zugrunde liegenden Kategorie
- kein oeffentlich auffindbarer, ohne Registrierung erreichbarer
  Meldeweg
- keine verbindliche Frist fuer eine Ueberpruefung
- keine Auskunft darueber, in wie vielen Netzen eine Einstufung wirkt
- keine nachvollziehbare Entscheidung und keine Moeglichkeit des
  Widerspruchs

Der Petent musste mehrere Stunden recherchieren, um ueberhaupt
festzustellen, welches Unternehmen die Liste fuehrt und an welche Adresse
eine Meldung zu richten ist. Kleinere Einrichtungen, Beratungsstellen
oder ehrenamtlich betriebene Angebote duerften diese Recherche
regelmaessig nicht leisten koennen.

Zum Vergleich: Der Dienst Google Safe Browsing benachrichtigt betroffene
Betreiber, nennt die Kategorie, bietet ein Antragsverfahren zur
Ueberpruefung und kommuniziert Bearbeitungszeiten. Ein vergleichbares
Verfahren ist technisch ohne Weiteres moeglich.

Die Transparenzpflichten aus Artikel 4 der Verordnung (EU) 2015/2120
wirken ausschliesslich gegenueber den Endkunden der Zugangsanbieter. Die
Melde-, Abhilfe- und Beschwerdeverfahren der Verordnung (EU) 2022/2065
(Digital Services Act) gelten fuer Hostingdiensteanbieter und
Online-Plattformen, nicht fuer Anbieter reiner Durchleitungsdienste. Fuer
den in seiner Erreichbarkeit betroffenen Website-Betreiber ist damit nach
Kenntnis des Petenten kein unionsrechtliches Verfahren vorgesehen.

6. WAS AUSDRUECKLICH NICHT GELTEND GEMACHT WIRD

Der Petent macht keinen Verstoss gegen die Vorschriften zum Zugang zum
offenen Internet geltend. Die betroffenen Dienste werden von den
Endkunden gebucht, sind kostenpflichtig und jederzeit kuendbar. Vom
Endnutzer gewaehlte und abschaltbare Filter sind nach den Leitlinien des
GEREK zu Artikel 3 der Verordnung (EU) 2015/2120 grundsaetzlich zulaessig.

Der Petent stellt ebenso wenig in Frage, dass Schutz vor Betrug und
Schadsoftware ein berechtigtes und wichtiges Anliegen ist.

Das Anliegen betrifft ausschliesslich die Kehrseite: das vollstaendige
Fehlen eines Verfahrens fuer den Fall, dass eine Einstufung unzutreffend
ist, und die grenzueberschreitende Wirkung eines einzelnen Fehlers.

7. BISHER UNTERNOMMENE SCHRITTE

- 12.09.2026: Feststellung der Sperre, vollstaendige Sicherheitspruefung
  ohne Befund
- 13.09.2026: Meldung der Fehleinstufung an den Betreiber der
  Klassifikationsdatenbank unter Beifuegung saemtlicher Pruefberichte
- 13.09.2026: Anfrage an die Bundesnetzagentur, Bundesrepublik
  Deutschland, zu Zustaendigkeit und Verfahren
- 14.09.2026: Eingangsbestaetigung der Bundesnetzagentur, Vorgangsnummer
  2026-09-14-0053. Die Antwort betraf ausschliesslich Fragen des
  Endkundenschutzes und ging auf das Anliegen nicht ein. Der Petent hat
  um Abgabe an das fuer die Ueberwachung des offenen Internetzugangs
  zustaendige Fachreferat gebeten.
- 14.09.2026: Information der zustaendigen Stellen im Bereich der
  Suchthilfe

Zum Zeitpunkt der Einreichung besteht die Sperre unveraendert fort. Eine
inhaltliche Rueckmeldung liegt von keiner Seite vor.

8. ANLIEGEN AN DAS EUROPAEISCHE PARLAMENT

Der Petent bittet das Europaeische Parlament,

a) die Europaeische Kommission um eine Stellungnahme zu ersuchen, ob das
geltende Unionsrecht Betreibern von Websites, deren Erreichbarkeit durch
netzseitige Filter von Zugangsanbietern unterbunden wird, einen Anspruch
auf Benachrichtigung, Begruendung und Ueberpruefung vermittelt, und
gegebenenfalls welchen;

b) zu pruefen, ob eine Regelungsluecke besteht, soweit die
Transparenzpflichten der Verordnung (EU) 2015/2120 ausschliesslich
gegenueber Endkunden und die Verfahrensrechte der Verordnung (EU)
2022/2065 nicht gegenueber Anbietern reiner Durchleitungsdienste wirken;

c) darauf hinzuwirken, dass fuer netzseitige Sperrungen auf Grundlage
zentral gefuehrter Klassifikationsdatenbanken verbindliche Mindest-
standards gelten: Benachrichtigung des Betreibers, Angabe des Grundes,
ein oeffentlich auffindbares Ueberpruefungsverfahren mit verbindlicher
Frist sowie eine Korrektur, die in allen betroffenen Netzen zugleich
wirkt;

d) zu klaeren, ob und in welchem Umfang an die Foerderung des von der
Europaeischen Kommission unterstuetzten Konsortiums DNS4EU Anforderungen
an Transparenz und an Beschwerdeverfahren fuer Betroffene geknuepft sind.

9. ANLAGEN

- Bildschirmfotos der Warnseiten aus beiden Netzen
- Pruefberichte der unabhaengigen Dienste
- Eingangsbestaetigung der Bundesnetzagentur vom 14.09.2026
- Schriftwechsel mit dem Betreiber der Klassifikationsdatenbank

Zitat von catcat

Gibt es irgendwo ne Auflistung, wieviele ISP in wie vielen Ländern die mit falschen Daten versorgen und sich dafür bezahlen lassen?

Leider habe ich dazu noch nichts gefunden. Ist wohl allerdings sehr verbreitet.

Zitat von catcat

Was nützt, ist eine Klage gegen Whalebone. Und zwar sofort. Geht bei jedem deutschen Amtsgericht.

Wegen was?

Das ist juristisch das Problem. Ich habe auch daran gedacht. Allerdings ist dies ein kostenpflichtiger Dienst. Die Leute bezahlen dafür, dass du gesperrt wirst.

Es geht mir um Transparenz und siehe meine Forderungen der Petition. Das ist ein viel stärkerer Hebel.

Morgen früh bin ich vorerst verhindert, kümmere mich allerdings weiterhin darum. Mein Arsenal ist noch nicht erschöpft, gibt noch weitere Wege. Ich setzte da bisher auf die abgestufte "Erwiderung". Da sich wirklich NULL bewegt, du siehst das in dieser Chronologie, werden weitere Maßnahmen ergriffen. Allerdings mit Augenmaß und abgestuft, täglich weiter eskalieren lassen, bis man eben doch gehört wird.

Das wirklich Frustrierende ist halt, dass sich bisher wirklich gar nix geändert hat. Alle Maßnahmen sind bisher verpufft. Wir sind bisher zu unwichtig, das wird mit jeder Eskalationsstufe "wichtiger". Aber ohne Strategie geht’s halt nicht.

Wer setzt Whalebone Aura ein?

Die Frage kam auf: Hier die öffentlich dokumentierten Einsätze. Quellen sind Pressemitteilungen des Herstellers, GSMA und Fachpresse, keine bestätigten Sperren, sondern Anbieter, die die Plattform im Einsatz haben.

Deutschsprachiger Raum

Telefónica Deutschland und A1 Telekom Austria sind bei uns die relevanten. Produktnamen: o2 Onlineschutz beziehungsweise A1 Net Protect. Dazu O2 Czech Republic.

A1-Gruppe, inzwischen komplett

Mit dem Start von A1 Protekt in Slowenien war A1 Slowenien der letzte Markt der Gruppe, der einen auf Whalebone Aura basierenden Sicherheitsdienst anbietet. Damit führt inzwischen jeder Markt der Gruppe den Dienst im Portfolio. Konkret also zusätzlich Kroatien, Nordmazedonien, Bulgarien und Serbien.

Weiteres Europa

Elisa in Estland mit Netivalvur und GO auf Malta mit Go Secure Net. Dazu One Montenegro (SigurOne) und m:tel Montenegro (Siguran Net), Telekom Srbija, mtel.ba, LMT in Lettland, Bité, Nuuday in Dänemark, Telekom Slovenije sowie die Gruppen Telia, Tele2 und United Group. Im jüngsten Quartal kamen außerdem IPKO im Kosovo und Partner in den Niederlanden, Portugal, Hongkong und auf den Philippinen dazu, die ihre Dienste teils noch nicht öffentlich angekündigt haben.

Außerhalb Europas

MTN Nigeria, MTN Ghana und ZET-MOBILE in Tadschikistan, dazu Tele2 Kasachstan mit der Marke Altel (Amulet), Dhiraagu auf den Malediven (NetProtect) und Smart Axiata in Kambodscha, obendrein Roke Telkom in Uganda, Vietnamobile und Claro.

Was das für unsere Sammlung heißt

Die Liste ist der Prüfplan, nicht das Ergebnis. Wer Zugang zu einem dieser Netze hat, beruflich, privat, über Kunden oder Bekannte im Ausland, kann in zehn Sekunden testen, ob eine betroffene Domain dort erreichbar ist. Genau diese Tests brauche ich.

Und sie zeigt die Dimension: Wir reden nicht über zwei Provider, die sich vertan haben. Wir reden über eine Klassifikationsdatenbank, die in einem guten Dutzend europäischer Länder und darüber hinaus über Erreichbarkeit entscheidet. Das ist der Grund, warum ich das nicht als Einzelfall behandle.

Deswegen muss sich da unbedingt auch mein Ansatz lohnen. Die Forderungen habe ich schon benannt.

Zitat von catcat

Strafbewehrte Unterlassungserklärung

Die haben noch nicht mal ein Fax