DNS-Diensteanbieter und TLD-Namenregister

Was sind DNS-Diensteanbieter und TLD-Namenregister?

DNS-Diensteanbieter bieten öffentlich verfügbare rekursive Namensauflösung für Internet-Endnutzer oder – außer Root-Namenservern – autoritative Auflösung für Dritte an; TLD-Namenregister verwalten und betreiben die Registrierung von Internet-Domain-Namen innerhalb einer bestimmten TLD, außer reinen Eigenzweckregistern.

Der Normwortlaut

Normtext: § 2 Nummer 8 BSIG definiert:

„DNS-Diensteanbieter“ eine natürliche oder juristische Person, die
a) für Internet-Endnutzer öffentlich verfügbare rekursive Dienste zur Auflösung von Domain-Namen anbietet oder
b) autoritative Dienste zur Auflösung von Domain-Namen zur Nutzung durch Dritte, mit Ausnahme von Root-Namenservern, anbietet;

§ 2 Nummer 42 BSIG definiert:

„Top Level Domain Name Registry“ eine natürliche oder juristische Person, die die Registrierung von Internet-Domain-Namen innerhalb einer spezifischen Top Level Domain (TLD) verwaltet und betreibt, einschließlich des Betriebs ihrer Namenserver, der Pflege ihrer Datenbanken und der Verteilung von TLD-Zonendateien über die Namenserver, unabhängig davon, ob der Betrieb durch die natürliche oder juristische Person selbst erfolgt oder ausgelagert wird; keine „Top Level Domain Name Registry“ sind Register, die TLD-Namen nur für eigene Zwecke verwenden;

Amtliche Fundstelle: § 2 Nummern 8 und 42 BSIG.

Welche Tätigkeiten lösen die Einordnung aus?

Rechtliche Auslegung: Entscheidend sind die tatsächlich angebotenen Funktionen. Bei DNS-Diensten genügt eine der beiden Alternativen: entweder öffentlich verfügbare Rekursion für Internet-Endnutzer oder autoritative Auflösung zur Nutzung durch Dritte. Die Root-Namenserver-Ausnahme gehört nur zur autoritativen Alternative. Für ein TLD-Namenregister müssen Verwaltung und Betrieb der Registrierung innerhalb einer bestimmten TLD vorliegen; auch ausgelagerte Betriebsfunktionen werden erfasst. Ein beliebiger Nameserverbetrieb oder das bloße Halten einer Domain genügt nicht.

Wie werden die Rollen nach dem BSIG eingestuft?

Definierte DNS-Diensteanbieter und Top Level Domain Name Registries gelten nach § 28 Absatz 1 Satz 1 Nummer 2 BSIG als besonders wichtige Einrichtungen. Dafür nennt diese Vorschrift keine Beschäftigten-, Umsatz- oder Bilanzschwelle. Ausgenommen sind Einrichtungen der Bundesverwaltung, sofern sie nicht gleichzeitig Betreiber kritischer Anlagen sind.

Wie sind Registry, Registrar und Domaininhaber abzugrenzen?

Eine TLD-Registry betreibt die Registrierung innerhalb einer bestimmten Top-Level-Domain. Ein Domain-Name-Registry-Dienstleister nach § 2 Nummer 9 BSIG ist dagegen ein Registrar oder eine im Namen von Registraren tätige Stelle; dazu gehören die dort genannten Anbieter und Wiederverkäufer von Datenschutz- oder Proxy-Registrierungsdiensten. Diese Rolle begründet weder automatisch die Eigenschaft als TLD-Registry noch als DNS-Diensteanbieter. Auch ein Domaininhaber wird nicht schon durch die Registrierung oder das Halten einer Domain zu einem dieser Anbieter. Register, die TLD-Namen nur für eigene Zwecke verwenden, sind ausdrücklich keine Top Level Domain Name Registry.

Welche Fristen und Schwellenwerte gelten?

Für die Einstufung nach § 28 Absatz 1 Nummer 2 BSIG besteht keine allgemeine Größen-, Umsatz- oder Bilanzschwelle. Die Angaben für die besondere Registrierung nach § 34 Absätze 1 und 2 BSIG sind spätestens drei Monate nach Eintritt der Eigenschaft zu übermitteln. Änderungen der übermittelten Angaben sind unverzüglich, spätestens innerhalb von drei Monaten nach Eintritt der Änderung mitzuteilen.

Zusätzlich gelten die Zugangsfristen aus § 50 BSIG nur für TLD-Registries und Domain-Name-Registry-Dienstleister, nicht für DNS-Diensteanbieter allein aufgrund ihrer DNS-Rolle: Auf den begründeten Antrag eines berechtigten Zugangsnachfragers, der ein berechtigtes Interesse darlegt, ist Zugang unverzüglich und spätestens 72 Stunden nach Antragseingang zu gewähren, sofern der beantragte Zugang für die Aufgabenerfüllung des Zugangsnachfragers erforderlich ist. Liegen die angefragten Informationen nicht vor, ist dies binnen 24 Stunden nach Antragseingang mitzuteilen.

Welche Bedeutung haben Hauptniederlassung und Vertretung?

Die Regeln des § 60 BSIG bestimmen die zentrale Aufsicht, nicht die Definition oder Grundeinstufung der Rollen. Für die Hauptniederlassung in der Europäischen Union ist vorrangig der Mitgliedstaat maßgeblich, in dem Entscheidungen über Cybersicherheitsrisikomanagementmaßnahmen vorwiegend getroffen werden. Liegt die Hauptniederlassung in Deutschland, ist das BSI unionsweit zentral zuständig. Hat die Einrichtung keine Niederlassung in der Europäischen Union, bietet dort aber Dienste an, muss sie einen Vertreter benennen; die Zuständigkeitsfolgen richten sich nach § 60 Absatz 3 BSIG.

Behördenpraxis: Eine über diesen Normtext hinausgehende Verwaltungspraxis ist in der Recherchegrundlage nicht belegt und wird hier nicht unterstellt.

Wie unterscheiden sich die technischen Rollen?

Technische Einordnung: Nach RFC 9499 beschafft ein rekursiver Resolver Antworten für Anfragende von anderen Servern. Ein autoritativer Server antwortet anhand der für eine Zone maßgeblichen Daten. Eine TLD liegt unmittelbar unter der Root-Zone; die Registry-Funktion für eine konkrete TLD ist daher nicht mit der Verwaltung der Root-Zone gleichzusetzen. Ein Betreiber oder Produkt kann technisch mehrere Rollen vereinen. Rechtlich muss dennoch jede Tätigkeit gesondert an den Merkmalen des § 2 Nummer 8 oder 42 BSIG geprüft werden.

Häufige Fehlannahmen

„Jeder Nameserverbetreiber ist DNS-Diensteanbieter.“ Nein. Erforderlich sind die gesetzlich bestimmten rekursiven oder autoritativen Dienste mit ihren jeweiligen Adressaten und Bedingungen.
„Root-Namenserver sind aus beiden DNS-Alternativen ausgenommen.“ Nein. Die ausdrückliche Ausnahme steht nur bei den autoritativen Diensten nach § 2 Nummer 8 Buchstabe b BSIG.
„Registrar und TLD-Registry sind dieselbe Rolle.“ Nein. Das BSIG definiert Domain-Name-Registry-Dienstleister und Top Level Domain Name Registries getrennt.
„Nur große Anbieter gelten als besonders wichtige Einrichtungen.“ Nein. § 28 Absatz 1 Nummer 2 BSIG nennt für diese beiden Rollen keine allgemeine Größen-, Umsatz- oder Bilanzschwelle.
„Die Pflichten zu Domain-Registrierungsdaten gelten für jeden DNS-Diensteanbieter.“ Nein. Die zusätzlichen Pflichten der §§ 49 und 50 BSIG richten sich an die dort genannten TLD-Registries und Domain-Name-Registry-Dienstleister.

Was die Geschäftsleitung tun sollte

Praxisempfehlung:

Alle rekursiven, autoritativen und TLD-bezogenen Funktionen einschließlich ausgelagerter Bestandteile getrennt inventarisieren und deren Nutzerkreis dokumentieren.
Die Einordnung nach § 2 Nummern 8, 9 und 42 sowie die Ausnahme für Einrichtungen der Bundesverwaltung nachvollziehbar festhalten und bei festgestellter Eigenschaft die Registrierung nach § 34 fristgerecht veranlassen.
Bei Einstufung als besonders wichtige Einrichtung die nach § 30 BSIG zu ergreifenden Maßnahmen umsetzen und überwachen sowie die regelmäßige Teilnahme der Geschäftsleitung an den in § 38 vorgesehenen Schulungen organisieren.
Für TLD-Registry-Funktionen Verantwortlichkeiten für Registrierungsdaten und die Verfahren nach §§ 49 und 50 festlegen; die 72- und 24-Stunden-Fristen in belastbaren Abläufen abbilden.
Hauptniederlassung, BSI-Zuständigkeit und gegebenenfalls die Pflicht zur Benennung eines Vertreters nach § 60 gesondert prüfen und dokumentieren.

Die ersten drei Punkte verbinden organisatorische Empfehlungen mit gesetzlichen Pflichten, sobald deren jeweilige Voraussetzungen erfüllt sind. Die zusätzlichen Daten- und Zugangsprozesse dürfen einem Unternehmen nicht allein wegen einer DNS-Diensteanbieterrolle zugerechnet werden.

Für die Geschäftsleitung

Die Reichweite entscheidet sich nach der tatsächlich ausgeübten DNS- oder TLD-Registry-Funktion, nicht nach der Unternehmensbezeichnung oder einer allgemeinen Größenschwelle. Festzustellen sind Rolle, Ausnahmen und gegebenenfalls die zentrale Zuständigkeit. Als Nachweis sollten Funktionsinventar, Einstufungsentscheidung, Registrierungsdatum, Änderungsprozesse, Umsetzung und Überwachung der Risikomanagementmaßnahmen sowie Schulungsteilnahmen dokumentiert werden. Für TLD-Registries kommen belastbare Nachweise zu Registrierungsdaten und Zugangsverfahren hinzu.