Website anonym hosten: die neun Dinge, die Sie identifizieren

Anonymität ist eine Eigenschaft der Kette, nicht des Anbieters

Wer wissen will, wer Ihre Website betreibt, beginnt nicht damit, Ihren Host vorzuladen. Er beginnt mit einem Browser, denn acht der neun Glieder in der Kette veröffentlichen etwas, und die meisten Websites scheitern an einem davon, lange bevor ein Anwalt ins Spiel kommt.

Dies ist geschrieben von dem einen Glied, das mit Belegen über sich selbst sprechen kann: Was hier erfasst wird, ist als Verzeichnis veröffentlicht, statt als Wert beschrieben zu werden. Die anderen acht gehören nicht uns — vier gehören anderen Unternehmen und vier gehören Ihnen — und genau deshalb lohnt es sich, über sie zu lesen.

Die neun Glieder, und wer jedes davon hält

Jede Zeile unten ist eine Stelle, an der ein Name, eine Adresse oder eine Zahlung zur Ruhe kommen kann. Die dritte Spalte ist die, auf die es ankommt: Bei acht der neun lautet die Antwort nicht Ihr Host.

Glied	Was es preisgeben kann	Gehalten von
Das Hosting-Konto	Ausweisdokumente, eine Rechnungsadresse, eine Karte, eine IP-Historie	Ihr Host
Die Domain-Registrierung	Der Registrant hinter dem Privacy-Dienst, und die Zahlung, mit der der Name gekauft wurde	Ihr Registrar
Autoritatives DNS	Jeder Hostname, den Sie je irgendwohin verwiesen haben, festgehalten in passive-DNS-Archiven	Ihr DNS-Anbieter
Das TLS-Zertifikat	Jeder Name darauf, dauerhaft in ein öffentliches Protokoll geschrieben	Ihre Zertifizierungsstelle
Der Proxy oder das CDN	Ein Konto, eine Zahlungsmethode, und der Ursprung, auf den es zeigt	Ihr CDN
Die Ursprungsadresse	Der Server, den der Proxy eigentlich verbergen sollte	Meistens Sie
Ausgehende Mail	Ein echter Hostname, ein PTR-Eintrag, und Header, die Sie nicht selbst geschrieben haben	Sie
Was Sie veröffentlichen	Kameradaten, Dokumentautoren, Commit-Adressen, Analytics-Tags	Sie
Die Gewohnheiten, die Sie wiederholen	Ein Benutzername, eine Adresse, eine Anmeldung von zu Hause, eine Zahlung mit einem Namen darauf	Sie

Die Namensschicht, und die Protokolle, die niemand löschen kann

Drei der neun liegen zwischen einem Namen und einer Maschine, und sie sind die drei, die Aufzeichnungen führen, an die Sie nicht herankommen. Sie sind auch die drei, bei denen sich die meisten Menschen irren, weil sich alle drei eher wie Technik anfühlen als wie eine Preisgabe.

Die Registrierung, und was Privatsphäre nicht abdeckt

Ein Server ist eine Maschine in einem Rack. Eine Domain ist ein Vertrag, und ein Vertrag hat einen Vertragspartner, der von irgendjemandem bezahlt wurde. Privacy-Dienste ersetzen Ihre Angaben im öffentlichen Register durch eine Weiterleitungsadresse; sie entfernen sie nicht beim Registrar, der weiterhin einen Namen, eine Adresse und eine Zahlungsmethode vorhält und der einem Gericht in seiner eigenen Jurisdiktion antwortet, nicht in Ihrer.

Sie ändern auch nichts an der Vergangenheit. Historische Registrierungsdaten werden seit zwei Jahrzehnten kommerziell archiviert, sodass eine Domain, die offen registriert und vier Jahre später privat geschaltet wurde, eine Domain ist, deren Eigentümer aktenkundig ist. Privatsphäre einzuschalten ändert nur die Gegenwart.

Certificate Transparency, das dauerhaft angelegt ist

Jedes Zertifikat, das eine öffentlich vertrauenswürdige Zertifizierungsstelle ausstellt, wird in ein öffentliches Protokoll geschrieben, das nur wächst. Das ist beabsichtigt, und es ist gut so: So wird ein fälschlich ausgestelltes Zertifikat für Ihre Domain sichtbar, statt geheim zu bleiben. Der Nebeneffekt ist, dass jeder Hostname, den Sie je auf ein Zertifikat gesetzt haben, für jeden durchsuchbar ist, für immer, und sich nicht zurückziehen lässt.

Das ist, wie staging-, vpn- und old-project-Subdomains gefunden werden — nicht durch Raten, sondern durch das Lesen eines öffentlichen Protokolls, das zum Lesen gebaut wurde. Ein Wildcard-Zertifikat veröffentlicht einen Namen anstelle einer Liste, was das Nächste an einer Abhilfe ist, das es gibt.

Passive DNS, das sich merkt, wo die Website früher lag

Resolver und Scanner zeichnen auf, welcher Name mit welcher Adresse geantwortet hat und wann, und verkaufen die Historie. Ein Eintrag, den Sie vor einem Jahr gelöscht haben, ist immer noch ein Beleg für die Maschine, auf die er zeigte — weshalb eine Website erst hinter einen Proxy zu stellen, nachdem sie offen im Netz live war, die Zukunft schützt und nicht die Vergangenheit.

Die Ursprungsadresse sickert am Proxy vorbei

Ein CDN vor einem Server verbirgt den Ursprung vor einem beiläufigen Besucher und vor niemandem sonst, denn die Adresse ist meist irgendwo veröffentlicht, das der Proxy nicht kontrolliert. Dies sind die sechs Wege, in der Reihenfolge, in der sie tatsächlich genutzt werden:

DNS-Einträge von vor der Existenz des Proxys, die immer noch in einem passive-DNS-Archiv liegen.
Eine Subdomain, die niemand über den Proxy geleitet hat: mail, dev, webmail, direct, cpanel.
Der Mail-Pfad — ein MX-Eintrag, ein SPF-Eintrag, oder ein Received:-Header, der die Maschine nennt, die die Nachricht gesendet hat.
Ein Zertifikat, das auf dem Ursprung selbst ausgestellt und protokolliert wurde, bevor der Proxy konfiguriert war.
Alles, was die Anwendung ausgehend sendet: ein Webhook, eine Passwort-Reset-Mail, ein Bild, das von einer URL abgerufen wird, die ein Fremder angegeben hat.
Internetweite Scanner, die jede Adresse auf jedem Port indexieren und es jedem erlauben, nach einer Maschine zu suchen, deren Zertifikat, Antwort-Header oder Favicon zu Ihrem passen.

Der letzte Punkt ist der Grund, warum ein Proxy allein eine halbe Maßnahme ist. Was ihn zu einer echten Grenze macht, ist, dass der Ursprung jede Verbindung ablehnt, die nicht aus den veröffentlichten Bereichen des Proxys kommt — eine Firewall-Regel statt eines Produkts, und der kürzeste Absatz auf dieser Seite mit der größten Wirkung.

Was Sie veröffentlichen, enthält mehr, als Sie geschrieben haben

Der Inhalt ist der Teil, den Sie vollständig kontrollieren, und genau dort scheitern erste Versuche meist, weil die Metadaten von Werkzeugen dort hineingelangen und nicht von Ihnen.

Fotografien. Kameramodell, Seriennummer, Bearbeitungssoftware, und oft die Koordinaten, an denen der Auslöser gedrückt wurde.
Dokumente. Ein PDF trägt ein Autor-Feld und eine Producer-Angabe; eine Office-Datei trägt einen Autor, ein Unternehmen und einen Versionsverlauf.
Repositories. Jeder Commit ist mit einem Namen und einer E-Mail-Adresse versehen, und ein öffentliches Repository veröffentlicht sie alle, für jeden Commit, dauerhaft.
Build-Ausgabe. Source Maps, Abhängigkeitsmanifeste und Stack Traces nennen Pfade, Benutzernamen und interne Hostnamen.
Die Plattform selbst. Eine Standardinstallation legt bereitwillig eine Autorenliste, eine Login-Seite, eine Versionsangabe und einen Feed offen, den zu veröffentlichen Sie nie verlangt haben.
Analytics- und Werbe-Tags. Derselbe Messwert-Identifikator auf zwei Websites ist der billigstmögliche Beweis, dass eine Person beide betreibt, und öffentliche Tools führen diesen Abgleich in großem Maßstab durch.

Die Gewohnheiten, die alles andere zunichtemachen

Jede Vorkehrung oben kann von derselben Person zunichtegemacht werden, indem sie etwas ganz Gewöhnliches tut, und die Liste ändert sich nicht: eine Adresse, die aus einem anderen Leben wiederverwendet wird, ein Benutzername, der auffindbar ist, ein Passwort, das in einem Datenleck aufgetaucht ist, eine administrative Anmeldung von einem heimischen Anschluss, und Geld, das sich zu einem Konto zurückverfolgen lässt, das mit einem Reisepass eröffnet wurde.

Das Letzte ist der Grund, warum wie Sie bezahlen mindestens so wichtig ist wie die Frage, ob das Anmeldeformular nach einem Namen fragte. Ein Host, der keine Identitätsaufzeichnung führt, aber von einem Exchange-Konto auf Ihren Namen bezahlt wird, hat die Kette trotzdem erzeugt — sie liegt lediglich in der Datenbank von jemand anderem.

Und das älteste davon, das kein Host bepreisen und keine Konfiguration schützen kann: es jemandem zu erzählen. Anonymität, die davon abhängt, dass eine andere Person sie bewahrt, ist ein Zeitplan und keine Eigenschaft.

Was ein Host tun kann, und wo es aufhört

Genau zu sein beim Umfang ist mehr wert als eine Behauptung. Was auf dieser Seite geschieht, ist eine Frage der Aufzeichnung, nicht der Absicht:

Kein Ausweisdokument wird bei der Anmeldung oder zu irgendeinem späteren Zeitpunkt erfasst, bei keiner Ausgabenhöhe. Das vollständige Verzeichnis dessen, was vorgehalten wird, steht in der Datenschutz- und Protokollierungsrichtlinie.
Die Abwicklung erfolgt ausschließlich On-Chain, sodass kein Kartenprozessor hinter dem Konto sitzt und eine eigene Aufzeichnung über Sie führt.
Zugriffsprotokolle werden von einem 24-Stunden-Timer gelöscht, und es gibt weder Netflow noch IP-Historie noch einen Gerätefingerabdruck, der danach noch eine Adresse mit einem Konto verknüpfen könnte.
Was eine gültige Anordnung tatsächlich erbringt, steht im Voraus im Leitfaden für Strafverfolgungsbehörden, und die Zahl der eingegangenen Anordnungen steht im Transparenzbericht.

Und der Teil, der nicht in unserer Macht liegt zu geben: Kein Host kann einen Registrar dazu bringen, Sie zu vergessen, einen Namen aus einem Transparenzprotokoll entfernen, einen DNS-Eintrag aus dem Jahr 2021 wieder unveröffentlichen, das Autorenfeld aus einem von Ihnen hochgeladenen Dokument entfernen, oder Sie davon abhalten, sich von zu Hause aus anzumelden. Acht der neun Glieder liegen außerhalb des Vertrags, und das ist der Grund, warum dies ein Leitfaden ist und keine Verkaufsseite.

Ein zehnminütiges Audit, in der Reihenfolge der Durchführung

Nichts davon unten erfordert ein Werkzeug, das Sie kaufen müssen, und jeder Schritt sagt Ihnen etwas, das der vorherige nicht sagte.

Schlagen Sie die Domain in einem historischen Registrierungsarchiv nach, nicht nur im aktuellen Datensatz — und schlagen Sie jede andere Domain nach, die mit derselben Adresse registriert wurde.
Durchsuchen Sie ein Certificate-Transparency-Protokoll nach Ihrer Domain und lesen Sie jeden zurückgegebenen Hostnamen. Entscheiden Sie für jeden Einzelnen, ob Sie ihn wirklich veröffentlichen wollten.
Fragen Sie Passive DNS für die Domain ab, und listen Sie jede Adresse auf, zu der sie in ihrem bisherigen Bestehen aufgelöst wurde.
Lösen Sie jede Subdomain auf, die diese beiden Schritte gefunden haben, und prüfen Sie, ob eine davon auf dem echten Ursprung antwortet.
Schicken Sie sich selbst eine Mail von der Seite, und lesen Sie die vollständigen Header, einschließlich jeder Received:-Zeile.
Durchsuchen Sie einen internetweiten Scanner nach der Ursprungsadresse, und noch einmal nach dem Fingerabdruck Ihres Zertifikats.
Laden Sie drei Dateien herunter, die Sie veröffentlicht haben — ein Bild, ein Dokument, ein Archiv — und lesen Sie deren Metadaten.
Falls ein Repository öffentlich ist, listen Sie die unterschiedlichen Autorenadressen in seiner Historie auf.
Suchen Sie Ihren Benutzernamen und Ihre Konto-Adresse als exakte Begriffe in Anführungszeichen, auf einer Suchmaschine, bei der Sie nicht angemeldet sind.
Schreiben Sie auf, was Sie gefunden haben, und beheben Sie dann, was sich noch beheben lässt. Transparenzprotokolle und Passive DNS stehen nicht auf dieser Liste, weshalb sie Schritt zwei und drei sind und nicht Schritt neun und zehn.

Drei Dinge, die sich nicht lohnen

Die Registrierung fälschen. Es ist die eine Gegenmaßnahme mit einer veröffentlichten Strafe: Ungenaue Registrierungsdaten sind für einen Registrar Grund genug, die Domain zu sperren, und das geschieht auf eine Beschwerde hin, nicht auf einen Gerichtsbeschluss.
Eine öffentliche Website nur über Tor ausliefern. Ein Onion-Dienst ist die richtige Antwort, wenn Ihr Publikum für Sie einen Browser installiert, und die falsche, wenn Ihr Publikum alle sind, denn er nimmt die Reichweite, die die Website überhaupt erst schützenswert machte.
“Anonymes” Hosting kaufen, das Karten akzeptiert. Der Zahlungsdienstleister zwingt dem Händler eine Identifizierung auf, und der Händler reicht sie irgendwann weiter. Diese Argumentation ist im Leitfaden zu was no-KYC tatsächlich bedeutet dargelegt.

Fragen, die tatsächlich gestellt werden

Kann eine Website vollständig anonym sein?

Sie kann anonym genug sein, dass es mehr kostet, sie mit einer Person zu verbinden, als diese Verbindung wert ist — das ist die einzige Form der Frage, auf die es eine Antwort gibt. Alle neun Glieder müssen gleichzeitig halten, und die acht, die nicht Ihr Host sind, sind diejenigen, die zuerst nachgeben.

Verbirgt WHOIS-Privatsphäre, wem eine Domain gehört?

Sie verbirgt die Details vor dem öffentlichen Register und vor niemandem, der einen rechtlichen Weg zum Registrar hat, der weiterhin einen Namen, eine Adresse und eine Zahlungsmethode vorhält. Sie ändert auch nichts am historischen Datensatz, der kommerziell archiviert wird und alles behält, was veröffentlicht wurde, bevor die Privatsphäre eingeschaltet wurde.

Verbirgt ein CDN die echte IP-Adresse meines Servers?

Nur solange nichts anderes sie veröffentlicht. Alte DNS-Einträge, eine nicht über den Proxy geleitete Subdomain, der Mail-Pfad, ein auf dem Ursprung ausgestelltes Zertifikat und ausgehende Anfragen der Anwendung verraten sie alle, und internetweite Scanner indexieren sie unabhängig davon. Ein Proxy wird an dem Punkt zu einer Grenze, an dem der Ursprung jede Verbindung ablehnt, die nicht von ihm kommt.

Ist anonymes Website-Hosting legal?

Ja. Es gibt keine allgemeine Pflicht für einen Hosting-Anbieter, seine Kunden zu identifizieren — die in diesem Markt üblichen Identitätsprüfungen kommen von Kartenprozessoren, nicht vom Gesetz, und hier gibt es keine Karten. Nicht rechtmäßig ist Inhalt, der das Recht dort bricht, wo der Server steht, und keine Hosting-Vereinbarung ändert daran etwas.

Was ist der häufigste Fehler?

Mit Geld zu bezahlen, an dem ein Name hängt. Das Konto kann völlig dokumentenfrei sein, und die Verbindung besteht trotzdem, einen Schritt entfernt, in den Kundendaten eines Exchanges. Welches Asset das vermeidet, behandelt der Leitfaden zu Bezahlen eines Servers in Krypto.

Wenn mein Host nie nach meinem Namen gefragt hat, kann er mich trotzdem identifizieren?

Er kann nur vorlegen, was er vorhält, und das ist hier eine E-Mail-Adresse, die Sie gewählt haben, ein Passwort-Hash und ein Verzeichnis von Beträgen — mit Zugriffsprotokollen, die nach 24 Stunden gelöscht werden, und ohne Netflow in irgendeiner Auflösung. Das ist die gesamte Liste, und sie ist als Teil der Datenschutz- und Protokollierungsrichtlinie veröffentlicht, statt hier nur behauptet zu werden.

Jeder Preis auf diesem Anwesen ist vollständig veröffentlicht, an einem Ort. Den gesamten Katalog ansehen