Verschiedene Quellen zeigen ein Sinken des Spams nach Anwendung der Datenschutzgrundverordnung

90 Tage nach Anwendung der Datenschutzgrundverordnung (DSGVO) mehren sich Artikel, die auf Grundlage vorhandener Daten darüber spekulieren, welche Auswirkungen die DSGVO auf die Sicherheit im Internet hat. Alle konstatieren, dass es weniger Spam gibt und weniger spamrelevante Domains registriert wurden.

Spamhaus, eine Nonprofit-Organisation, die Spam und Internetbedrohungen verfolgt, um die dafür Verantwortlichen und die Quellen zu identifizieren, teilt in einem Artikel mit, dass seit Einführung der DSGVO und der damit einhergehenden verminderten WHOIS-Angaben tatsächlich das Spamaufkommen zurückgegangen sei. Aus Sicht von Spamhaus bedeutet dies aber nicht, dass der Rückgang an Spam auf die DSGVO und die fehlenden WHOIS-Daten zurückzuführen sei. Zahlreiche andere Gründe könnten für einen – vermeintlichen – Spam-Rückgang verantwortlich sein:

• so könnten ordentliche Unternehmen wegen der DSGVO eMail-Listen gelöscht haben, um den Anforderungen der DSGVO Genüge zu tun
• aufgrund der Verringerung von WHOIS-Daten könnte die Identifizierung von üblen Domains zurückgegangen sein mit der Folge, dass Anti-Spam-Systeme weniger eMails als Spam beurteilen
• es könnten aber auch die üblichen Schwankungen des Spamaufkommens sein, die schon immer hohe Amplituden aufwiesen weiter gäbe es zahlreiche Möglichkeiten, die nicht auf die DSGVO zurückzuführen sind, etwa dass ein wichtiger Spammer kürzlich verhaftet worden sei und dessen Spambots nicht aktiv sind
• außerdem seien kriminelle Organisationen eben auch Unternehmen, die auf ihr »return of investment« schauen und deshalb zur Zeit mehr Wert auf wenige, aber erfolgreiche Phishingszenarien bauen als Milliarden von eMails zu versenden.

Es gäbe derzeit keine belastbaren Hinweise, dass das geringe Spamaufkommen unmittelbar auf die DSGVO zurückzuführen ist, resümiert Spamhaus. Wie auch immer, so Spamhaus, die wahren Effekte der Anonymisierung des WHOIS wegen der DSGVO werde noch einige Zeit auf sich warten lassen. Die eigentliche Crux der DSGVO liege darin, dass fehlende WHOIS-Informationen es Organisationen wie Spamhaus erschweren, Cyberkriminelle und unschuldige Menschen effektiv auseinanderzudividieren.

Mit diesem Thema beschäftigt sich auch Redner und Berater John Levine, der Bezug auf einen Artikel von recordedfuture.com (90 Days of GDPR: Minimal Impact on Spam and Domain Registration) nimmt, in dem dessen Autoren proklamieren, dass Spam und Domain-Registrierung von spamrelevanten Endungen wie .men, .fun und anderen seit Anwendung der DSGVO zurückgegangen sind. Für Levine ist die Herangehensweise, Domains und Spam in Zusammenhang zu bringen, schon falsch. Das Ziel von Spam ist nach seiner Einschätzung, Empfänger von Spammails zu etwas zu bewegen, zum Beispiel einen Link anzuklicken, der sie auf eine Seite weiterleitet, auf der sich Phishingware oder Malware befindet. Spammer nutzen Botnetze und IP-Raum, den sie übernommen haben. Spam-Domains sind solche, auf die Spammer die Mail-Empfänger führen wollen. Dazu brauchen sie jedoch nicht zwingend die Domain selbst: in der Regel nutzen sie Domains Dritter, deren Webspace sie gehackt haben. Um Spam zu versenden, braucht es letztlich keine Domains. Mehr Domains bringen Spammern keine Vorteile. Der Rückgang von Registrierungen unter Spamdomains wie .men und .fun ist aus Levines Sicht eher darauf zurückzuführen, dass Werbeangebote, bei denen man solche Domains zu Cent-Preisen registrieren kann, nicht mehr laufen und die Registrierungsperiode solcher Werbeaktionen abgelaufen ist. Die eigentliche Frage zur DSGVO hätten die Autoren nicht gestellt: Wirkt sich die DSGVO negativ aus, weil sie die Entdeckung, das Blockieren und die Rechtsverfolgung erschwert? Aus Sicht von Sicherheitsberatern, zu denen Levine Kontakt hat, behindern fehlende Informationen im WHOIS deren Arbeit. Eine Anforderung von Daten bei Registraren schaffe Hilfe im Einzelfall; aber wenn es um zehntausende Domains geht, seien solche Anfragen nicht umsetzbar und die Daten im WHOIS fehlen. Levine schließt – wie im Grunde alle aktuellen Artikel zum Thema – mit den Worten, dass wir noch nicht die entsprechenden Daten haben, um beurteilen zu können, welche Folgen die DSGVO für die Internetsicherheit mit sich bringt. Aber sicher lasse sich sagen, dass die vorliegenden Daten nicht für die Behauptung ausreichen, die DSGVO habe keinen Effekt.