Wie IS-Propaganda derzeit vor allem über österreichische Domains verbreitet wird

Der Kampf gegen die IS-Terrormiliz findet an vielen Fronten statt. Spätestens seit dem islamistischen Anschlag gegen das Magazin Charlie Hebdo hat auch das Hackerkollektiv Anonymous den Dschihadisten den Krieg erklärt und sich zum Ziel gesetzt, die Terrormiliz auf dem Internet-Schlachtfeld zu vernichten.

Unter der Parole #OpISIS war man hier zuletzt auch besonders erfolgreich. So wurde die Seite der IS-Nachrichtenagentur "Amaq" vor zwei Wochen mit einer Malware infiziert und so unschädlich gemacht. Diese war nur einen Tag zuvor registriert worden. Unsere Tech-Plattform Motherboard hatte darüber berichtet.

Ein interessantes Detail dabei: Bei der angegriffenen Website handelte es sich um eine österreichische ".at"-Domain. Nach VICE-Recherchen waren es in den letzten Wochen und Monaten sogar überwiegend österreichische Domains – zahlenmäßig etwa ein Dutzend –, die als Sprachrohr der IS-Agentur fungierten.

Aktivisten beschwerten sich darüber, dass die Websites zu lange online bleiben und bei Löschung sofort die nächste .at-Seite aufpoppen würde. Als zentrale Vergabestelle der Domains ist hierzulande die nic.at Gmbh mit Sitz in Salzburg verantwortlich.

Once again #Amaq #Amaqagency are using #Salzburg #Austria TLD to host #ISIS propaganda. Please kick these #daeshbags out of Europe!!
— End of Daesh (@end_of_daesh) 23. März 2017

"Uns ist das Problem seit etwa Mitte Jänner bekannt", heißt es seitens des Unternehmens gegenüber VICE. "Aktivisten haben uns damals über eine solche Domain informiert. Die erstgenannte Seite war da wohl schon zwei bis drei Monate aktiv." In weiterer Folge wären dann auch die österreichischen Behörden, genauso wie ein ausländischer Geheimdienst, an die Salzburger Vergabestelle herangetreten.

"Wir haben dann eine Vorgangsweise entwickelt, in der wir schneller aktiv werden können." Zum einen seien die Seiten mit offensichtlich falschen Daten registriert worden, was einen Vertragsbruch bedeute. Im Zweifelsfall wende man sich ansonsten an die österreichischen Behörden, die dann per Erlass anordnen, die betroffenen Seiten stillzulegen. Aus dem Innenministerium wird VICE bestätigt, dass der Verfassungsschutz in der Sache der at-Domains ermittelt.

Nic.at betont, dass man nur Vergabestelle sei und höchstens die Domain an sich im Wortlaut prüfen könne. Man verweist auf den externen Registrar, beziehungsweise den zuständigen Host-Provider. Die Liste der Firmen, mit denen Nic.at hier zusammenarbeitet, beläuft sich auf über 400 nationale und internationale Unternehmen.

Nach VICE-Informationen handelt es sich bei dem Provider, über den die Websites angemeldet wurden, um ein amerikanisches Unternehmen. Bezahlt wurde der Dienst offensichtlich mittels Bitcoin. Das ist durchaus bemerkenswert: Noch vor einem Jahr berichtete Europol, dass es bisher keine Beweise für Zahlungen der IS-Terrormiliz mittels Bitcoin gebe.

In der Medienstrategie des sogenannten IS nimmt "Amaq" eine stillere, aber umso entscheidendere Rolle ein. Im Stil einer echten, staatlichen Nachrichtenagentur bemüht sich die Terrororganisation hier um einen eher nüchternen, "sachlicheren" Ton und versucht Meldungen etwa mit Infografiken, zu Bodycounts oder den Opferzahlen von Anschlägen zu unterlegen. Außerdem werden in der Regel Bekennerschreiben über die "Amaq"-Nachrichtenagentur ausgespielt. Zuletzt etwa nach den Anschlägen von London und Ägypten.

"'Amaq' intensiviert seinen Web-Auftritt etwa seit einem guten Jahr. Am Anfang hielten sich die Seiten oft Monate, in letzter Zeit dann eher nur mehr Wochen oder Tage", meint der amerikanische Medienberater Raphael Gluck, der auch im Bereich Terroraktivitäten im Netz forscht, gegenüber VICE. "Die meisten Domains der IS-Nachrichtenagentur Amaq stammten in letzter Zeit in erster Linie aus Gabun und Österreich." Ansonsten war zuletzt eine Domain aus Äquatorialguinea in dem Zusammenhang aktiv.

Nachdem die vorerst letzte österreichische Domain deaktiviert wurde, hat sich "Amaq" bereits eine Woche später auf einer neuen Domain eingenistet. Diese endet nun mit dem Kürzel ".xyz". "Es ist wie bei realen Anschlägen", meint Gluck: "Wenn Paris nach einem Attentat in Alarmbereitschaft ist, sucht man sich eben ein neues Ziel."

Noch kurz vor Fertigstellung dieses Artikels tauchte dann abermals eine neue .at-Domain auf, die ebenfalls mit IS-Propaganda bespielt wird. Diesmal handelt es sich um die sogenannte "Al Bayan-Radiostation" der Terrormiliz. Die Salzburger Vergabestelle wurde informiert und wird mit dem üblichen Prozedere reagieren.

Thomas auf Twitter: @t_moonshine