Datenschutz

Verantwortlicher

Verantwortlich im Sinne des Art. 4 Nr. 7 DSGVO ist der im Impressum genannte Anbieter.

1. Aufruf dieser Website

Beim Abruf einer Seite werden die technisch unvermeidbaren Verbindungsdaten verarbeitet: IP-Adresse, Zeitpunkt der Anfrage, angeforderter Pfad, Statuscode, übertragene Datenmenge und die vom Browser gesendete Kennung (User-Agent).

Zweck ist die Auslieferung der Seite und die Betriebssicherheit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Diese Protokolle werden nach [Speicherdauer festlegen, z. B. 7 Tagen] gelöscht.

2. Der Sandbox-Betrieb

Der eigentliche Dienst besteht aus Netzwerkdiensten, die verwundbar aussehen, aber nichts enthalten und nichts ausführen. Sie werden auf Ports betrieben, für die es keine legitime Nutzung gibt. Wer sich mit ihnen verbindet, tut das nicht versehentlich.

Diese Dienste laufen nicht auf dem Rechner, der diese Seite ausliefert, sondern auf mehreren eigens dafür betriebenen Systemen. Sie übermitteln ihre Aufzeichnungen an diese Stelle, wo sie zusammengeführt und ausgewertet werden. Verantwortlich für die gesamte Verarbeitung bleibt der im Impressum genannte Anbieter.

Bei jedem Verbindungsversuch werden erfasst:

• IP-Adresse und Quellport der Gegenstelle
• Zeitpunkt und Dauer der Verbindung
• angesprochener Dienst und Zielport
• die von der Gegenstelle aktiv übermittelten Daten — etwa verwendete Benutzernamen und Passwörter, angeforderte Pfade, gesendete Kommandos und die Kennung der eingesetzten Software

Diese Daten entstehen nicht durch Beobachtung, sondern dadurch, dass die Gegenstelle sie von sich aus sendet. Es werden keine Verbindungen aufgebaut, keine Systeme abgefragt und keine Daten von dritter Seite hinzugekauft. Ergänzt werden die Aufzeichnungen lediglich um öffentlich verfügbare Netzinformationen: Land, Netzbetreiber und Netzbereich (ASN) der Adresse.

Zweck ist die Erkennung und Abwehr automatisierter Angriffe sowie die Erstellung von Sperrlisten, mit denen sich auch andere Betreiber schützen können.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in der Sicherheit von Netz und Systemen; Erwägungsgrund 49 der DSGVO nennt genau diesen Zweck ausdrücklich. In der Abwägung überwiegt dieses Interesse: Die Verarbeitung betrifft ausschließlich Adressen, die unaufgefordert Zugriffsversuche auf Dienste unternommen haben, deren einziger Zweck das Aufzeichnen solcher Versuche ist. Ein schutzwürdiges Interesse daran, unbemerkt fremde Systeme abzutasten, besteht nicht. Erfasst wird nur, was die Gegenstelle selbst sendet, und nur so lange, wie es für den Zweck nötig ist.

3. Veröffentlichung der Listen

Adressen, die die Aufnahmeschwelle überschreiten, werden zusammen mit Land, Netzbetreiber und Netzbereich veröffentlicht und sind damit für jedermann abrufbar. Das ist eine Übermittlung an einen unbestimmten Empfängerkreis, und sie wird hier ausdrücklich benannt statt umschrieben.

Nicht veröffentlicht werden die Inhalte der übermittelten Daten — also keine verwendeten Zugangsdaten, keine Nutzlasten, keine vollständigen Verbindungsmitschnitte. Veröffentlicht wird die Adresse und ihre Einordnung, nicht das, was über sie geschickt wurde.

Eine Adresse wird nicht beim ersten Kontakt aufgenommen. Voraussetzung sind wiederholte Zugriffsversuche über einen Zeitraum hinweg. Bleibt eine Adresse anschließend unauffällig, entfällt der Eintrag von selbst.

4. Speicherdauer

• Einzelne Aufzeichnungen aus dem Sandbox-Betrieb: [festlegen, z. B. 90 Tage]
• Zusammengefasste Auswertungen ohne Einzelvorgänge: [festlegen, z. B. 12 Monate]
• Eintrag in einer veröffentlichten Liste: entfällt nach [festlegen, z. B. 30 Tagen] ohne neue Auffälligkeit

5. Empfänger und Auftragsverarbeiter

Der Betrieb erfolgt auf Servern von [Hoster mit Anschrift] auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO. Eine Übermittlung in Drittländer findet nicht statt, abgesehen von der unter Punkt 3 beschriebenen Veröffentlichung, die weltweit abrufbar ist.

6. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20 DSGVO). Außerdem können Sie sich bei einer Aufsichtsbehörde beschweren (Art. 77 DSGVO); zuständig ist die Behörde Ihres gewöhnlichen Aufenthaltsorts oder [für uns zuständige Aufsichtsbehörde].

Widerspruchsrecht nach Art. 21 DSGVO. Da die Verarbeitung auf ein berechtigtes Interesse gestützt ist, können Sie ihr aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die betroffenen Daten dann nicht weiter, es sei denn, es lassen sich zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen.

Zur Auskunft: Eine IP-Adresse allein sagt uns nicht, wer Sie sind — wir können und wollen sie keiner Person zuordnen. Für eine Auskunft nach Art. 15 DSGVO benötigen wir deshalb einen Nachweis, dass Ihnen die Adresse zum fraglichen Zeitpunkt zugeteilt war (Art. 11 Abs. 2 DSGVO). Ohne diesen Nachweis können wir eine Auskunft nicht erteilen, ohne die Daten möglicherweise einer falschen Person offenzulegen.

7. Eine Adresse streichen lassen

Der praktische Weg ist meist schneller als der formelle. Wenn Sie eine Adresse zu Unrecht gelistet sehen — etwa nach einem Providerwechsel, bei einer geteilten Adresse oder nach der Bereinigung eines befallenen Systems — schreiben Sie an abuse@badbot.icu und nennen Sie die Adresse.

Wir prüfen die zugehörigen Aufzeichnungen und entfernen den Eintrag, sofern keine fortdauernden Zugriffsversuche vorliegen. Eine Antwort erfolgt an die anfragende Adresse; weitere Angaben zu Ihrer Person sind dafür nicht erforderlich.