Ab Samstag ging nichts mehr. Wer am Wochenende die Website des Südtiroler Landtages aufrief, dem erschien folgende Meldung auf dem Bildschirm: “This domain has been suspended” – “diese Domain wurde vorübergehend gesperrt”. Doch nicht nur das: Auch die Landtags-Maildienste waren lahmgelegt. Die Hintergründe dieser Panne sind, gelinde gesagt, peinlich. Denn um sie zu verhindern hätte es gereicht, rechtzeitig auf eine E-Mail zu antworten. Was offensichtlich nicht passiert ist.

15 Tage Stille

“Sehr geehrte Kundin, sehr geehrter Kunde, wir möchten Sie darum bitten, die Korrektheit Ihrer dd24 Kontakt-E-Mail-Adresse zu bestätigen.” Mit dieser Aufforderung wendet sich das Unternehmen DomainDiscount24 an seine Kunden, wenn eine Überprüfung ansteht. DomainDiscount24 ist ein so genannter “Registrar”, ein internationaler Anbieter, der Hunderttausende Domains – die “Namen” von Websites – weltweit verwaltet. Registrar machen das im Auftrag von ICANN, der Internet Corporation for Assigned Names and Numbers, die seit 1998 die Vergabe von Namen und Adressen im Internet koordiniert. DomainDiscount24 verwaltet auch die Landtags-Domain “landtag-bz.org”, die seit 1999 registriert ist und vom Südtiroler Landtag betrieben wird.

Da der Registrar periodisch die digitale Erreichbarkeit des Domain-Kunden vor der ICANN nachweisen muss, werden in regelmäßigen Abständen – meist automatische – E-Mails an die hinterlegte Mailadresse des Domain-Besitzers verschickt. Dieser muss den in der E-Mail enthaltenen Link anklicken, um seine Erreichbarkeit nachzuweisen. In der Regel sind dafür 15 Tage Zeit. Reagiert der Domain-Inhaber nicht, folgen Erinnerungsmails am fünften, zehnten und dreizehnten Tag nach dem ersten Versuch. Am fünfzehnten Tag schließlich folgt eine E-Mail mit dem Hinweis, dass die Domain aufgrund fehlender Verifizierung ab sofort gesperrt wird. Und nach 16 Tagen ohne Reaktion vonseiten des Inhabers geschieht dies tatsächlich: Die Domain wird auf “Client Hold” gesetzt. Damit sind die Domain und all ihre Subdomains nicht mehr aktiv im Internet erreichbar.

Solche Verifizierungsprozesse werden auch in Gang gesetzt, wenn der Domain-Besitzer zum Beispiel Änderungen an den Domain-Daten vornimmt, etwa an der E-Mail-Adresse oder dem Organisationsnamen bzw. dem Vor- oder Nachnamen. Weitere Gründe für eine Verifizierungsaufforderung listet die ICANN auf ihrer Website auf.

So weit die theoretischen Hintergründe.

Doppelter Blackout

Weshalb die Überprüfung durch DomainDiscount24 im Falle der Landtags-Domain notwendig geworden ist, lässt sich von außen nicht feststellen. Doch aus welchem Grund auch immer die Verifizierungs-Mails versandt wurden – sie sind unbeantwortet geblieben. Und das gute zwei Wochen lang. Bis es am Samstag schließlich zum Blackout kam. Der sollte über 24 Stunden andauern – was ebenso fragwürdig ist wie die Tatsache, dass es überhaupt dazu kommen konnte. Denn ist die Domain einmal abgekappt, hätte es gereicht, die besagte Verifizierungsmail zu bestätigen – und die Seite wäre innerhalb einer Stunde wieder erreichbar gemacht worden.

Da aber auch das offensichtlich versäumt wurde – vermutlich, weil das Ganze an einem Wochenende passiert ist –, ist der Blackout nicht unbemerkt geblieben. Betroffen war übrigens nicht nur die Website des Landtages. Auch der Maildienst war unterbrochen. Sämtliche Mailadressen mit “@landtag-bz.org”, die neben den Landtagsabgeordneten und ihren Mitarbeitern auch die Angestellten des Hohen Hauses nutzen, waren von dem Ausfall betroffen.

Die Frage, die sich aufdrängt: Wer hat das Ganze verschusselt?

Who was it?

Über den WHOIS-Dienst der ICANN kann im Netz nachverfolgt werden, wer eine Domain registriert hat. Ebenso werden die entsprechenden Kontaktdaten aufgelistet. Zumindest war das bis vergangenes Jahr so.
Aufgrund der europäischen Datenschutz-Grundverordnung, die seit Mai 2018 in Kraft ist, werden die Daten auf der ICANN-Seite nicht mehr angezeigt. Wer allerdings Einsicht in die historischen WHOIS-Kontakte einnimmt, erfährt: Als administrativer Kontakt scheint im Falle der Landtags-Domain “info[at]landtag-bz.org” auf. Als technischer Kontakt ist “domainadmin[at]siag.it” eingetragen.

Sprich, die Mails mit der Aufforderung, die Kontaktdaten zu verifizieren, gingen an die Hauptadresse des Landtags, möglicherweise auch an die Südtirol Informatik AG SIAG. Warum aber wurde verabsäumt, rechtzeitig darauf zu antworten? “Es gibt in solchen Fällen mehrere Optionen”, erklärt der Informatiker und IT-Unternehmer Christoph Moar auf Nachfrage von salto.bz. “Es kann sein, dass die Mail nie angekommen ist, weil sie irgendein Spam-Filter abgefangen hat”, meint Moar. “Oder die Mail ist angekommen, aber in einem Postfach, das vielleicht nicht regelmäßig geprüft oder angeschaut wird. Oder aber die Mail ist angekommen, von einem Menschen gelesen worden, der aber nicht verstanden hat, worum es sich handelt – und vielleicht gedacht hat, das ist nur Spam.”

Wenn ein Klick genügt (hätte)

Auch einigen Landtagsabgeordneten ist die Panne am Wochenende nicht verborgen geblieben. “Wäre so etwas in einem privaten Betrieb passiert, wäre die Hölle los”, kommentiert einer, der am Wochenende selbst mit Problemen beim Versenden und Empfangen von E-Mails über die Landtags-Mailadresse zu kämpfen hatte. Hätte die Misere angedauert, hätte die peinliche Panne spätestens am Montag noch größere Ausmaße angenommen. “Ich mag mir nicht vorstellen, was es kostet, wenn der ganze Betrieb am Montag nicht arbeiten kann, weil keine Mails empfangen werden können und jede verschickte Mail nur mit Risiko überhaupt rausgeht oder nicht zugestellt werden kann, weil niemand Mails von Absendern erlaubt, die selbst ‘nicht erreichbar’ sind”, sagt ein weiterer Fachmann, mit dem salto.bz über das Blackout gesprochen hat.

Auf die Frage, was getan werden könnte, um bei der nächsten Verifizierung eine erneute Sperre zu verhindern, meint IT-Experte Christoph Moar: “Vielleicht könnte man anstelle der ganz großen Anbieter wie DomainDiscount24 einen finden, der sich mehr um institutionelle Kunden kümmert und beim Fehlen einer E-Mail-Verifikation gegebenenfalls auch zum Telefonhörer greift, um den Domain-Inhaber zu kontaktieren und zu fragen, was denn da los ist. Ich kann mir vorstellen, dass ein paar Südtiroler Betriebe für einen solchen ‘persönlicheren’ Dienst in Frage kommen könnten. Oder aber man hinterlegt eine E-Mailadresse, die wirklich gemonitored wird und wo auch ‘wichtige’ E-Mails eintreffen können und zeitnah bearbeitet werden.”

Der große Schreck ist dieses Mal jedenfalls ausgeblieben. Am späten Sonntag Vormittag war die Landtags-Website wieder online, sämtliche Dienste und Funktionen wieder erreichbar. Weil wohl jemand am Sonntag die berüchtigte Verifizierungs-Mail beantwortet – und den einen fehlenden Klick gesetzt hat. Ob dafür wohl Überstunden aufgeschrieben geworden sind?