RRB Nr. 48/2018
Anfrage Markus Schaaf, Zell, Hanspeter Hugentobler, Pfäffikon, und Mark Wisskirchen, Kloten, betreffend Welche Bedrohung geht von der Domain «zh.ch» aus?, Beantwortung
Rubrum
Auszug aus dem Protokoll des Regierungsrates des Kantons Zürich KR-Nr. 303/2017
Sitzung vom 31. Januar 2018
48. Anfrage (Welche Bedrohung geht von der Domain «zh.ch» aus?) Die Kantonsräte Markus Schaaf, Zell, Hanspeter Hugentobler, Pfäffikon, und Mark Anthony Wisskirchen, Kloten, haben am 13. November 2017 folgende Anfrage eingereicht: Der Kanton Zürich ist Besitzer der Maildomain «zh.ch». Seit Jahren hat er Gemeinden die Möglichkeit geboten, Subdomains wie beispielsweise «zell.zh.ch» registrieren zu lassen. Dieses Angebot wurde von den Gemeinden sehr geschätzt und auch rege genutzt. Nun hat der Kanton entschieden, dass aus Sicherheitsbedenken den Gemeinden keine Subdomains mehr zur Verfügung gestellt werden. Fachleute sind überrascht von diesem Entscheid, da der Domaininhaber – also der Kanton – alleine entscheidet, welche Subdomains er bewilligen will und welche nicht. In diesem Zusammenhang ersuchen wir den Regierungsrat um die Beantwortung nachfolgender Fragen:
Erwägungen
1. Der Kanton beansprucht künftig die Domain «zh.ch» exklusiv für sich. Er begründet diesen Entscheid mit dem Risiko, dass sich Private der Endung «zh.ch» bedienen könnten, um ihren offiziellen Charakter für kriminelle Zwecke zu missbrauchen. Konnten Private bisher eine Subdomain einrichten, ohne vom Kanton vorgängig die Erlaubnis zu erhalten?
2. Welche Stelle innerhalb der kantonalen Verwaltung hat bisher die Erteilung einer Subdomain genehmigt? Wie viele Personen waren in diesen Prozess involviert? Gibt es aufgrund der neuen Regelung personelle Einsparungen in der kantonalen Verwaltung?
3. Welche konkreten Bedrohungsszenarien haben den Regierungsrat dazu gebracht, die bisherige Regelung nicht mehr weiterzuführen?
4. Wie viele Fälle von missbräuchlicher Nutzung einer Subdomain «???. zh.ch» sind in den letzten fünf Jahren aufgetreten?
5. Wie viele Gemeinden sind von der Aufkündigung der bestehenden Regelung betroffen? Wurden die Gemeinden vorgängig zum Entscheid des Regierungsrates konsultiert?
Dispositiv
Auf Antrag der Finanzdirektion beschliesst der Regierungsrat:
I. Die Anfrage Markus Schaaf, Zell, Hanspeter Hugentobler, Pfäffikon, und Mark Anthony Wisskirchen, Kloten, wird wie folgt beantwortet: Der Name einer Webseite ist weltweit einmalig, eindeutig und nach einem einheitlichen Prinzip aufgebaut. Eine Domain (zusammenhängender Teilbereich des hierarchischen Namensystems) kann dabei beliebig in durch Punkte getrennte Subdomains unterteilt werden. Die Top-Level- Domain umfasst in der Regel das Länderkürzel (beispielsweise «ch»). Die Second-Level-Domain entspricht grundsätzlich dem Namen der Seite (beispielswiese «zh.ch»). Als Subdomain bezeichnet man eine Domain, die in der Hierarchie unterhalb einer anderen liegt. In der Regel sind damit meistens Domains in der dritten oder einer weiteren Ebene gemeint (z. B. name.zh.ch). Subdomains können bei unterschiedlichen Providern betrieben werden mit unterschiedlichen Zugriffsrechten. Dies ist beispielsweise bei den Subdomains der Gemeinden der Fall. Derzeit steht es den Verwendern der Subdomain «.zh.ch» frei, welchen Provider sie für den Versand ihrer E-Mails nutzen. Dieser Umstand und das damit verbundene Risiko des Missbrauchs der Domain führten letztlich dazu, dass das kantonale IT-Team beschloss, den Gebrauch der Domain «.zh.ch» einzuschränken. Zu Frage 1: Ohne das Einverständnis des Kantons ist es für Private nicht möglich, die Endung «zh.ch» zu nutzen bzw. eine eigene Subdomain einzurichten. Die Vergaben der meisten Subdomains, auch die der Gemeinden, erfolgten bereits in den 90er-Jahren. Zu Frage 2: Die organisatorische Vergabe einer Subdomain erfolgt durch die Staatskanzlei. Die Finanzdirektion ist für die technische Umsetzung verantwortlich. In den letzten Jahren hat keine Gemeinde eine Subdomain mehr beantragt. Der Aufwand für die Vergabe und Verwaltung der Subdomains ist klein, wobei normalerweise zwei Personen beteiligt sind. Beim Wechsel des IT-Dienstleisters der Gemeinde entstehen zusätzliche geringfügige Aufwände. Eine personelle Einsparung ergibt sich deshalb daraus nicht. Zu Frage 3: Ein Bedrohungsszenario besteht im Missbrauch beim Mailverkehr. Beispielsweise könnten Unmengen von Spam-Mails unter *.zh.ch versendet werden, die eine mögliche weltweite Sperrung der Maildomain @zh.ch zur Folge haben könnte. Zudem besteht keine inhaltliche Kontrolle darüber, was unter den Subdomains publiziert wird.
Zu Frage 4: Die kantonale Verwaltung hat derzeit keine Kenntnisse von einer missbräuchlichen Nutzung. Zu Frage 5: Derzeit sind 28 Gemeinden betroffen, 4 Gemeinden mit ihrem Webauftritt (zh.ch) und 24 Gemeinden mit der Mail-Adresse mit der Endung «zh.ch». Die Gemeinden wurden vorgängig über die Interessengemeinschaft der Zürcher Gemeinden für Information und Communications Technology darüber informiert. Diese hatte die Massnahme auch unterstützt. Auch wurden die Gemeinden 2017 von der Abraxas AG kontaktiert, um Ersatzlösungen zu erwirken. In der Folge haben die meisten Gemeinden die entsprechenden Umstellungen vollzogen.
II. Mitteilung an die Mitglieder des Kantonsrates und des Regierungsrates sowie an die Finanzdirektion.
Vor dem Regierungsrat Der Staatsschreiber: Husi