Antifraud 2.0: Pflichten der Hosting-Anbieter bezüglich VPN

"Antifraud 2.0": Wie Hosting-Provider zu Regulierern des VPN-Traffics werden

Änderungen am Gesetzentwurf „Antifraud 2.0“, der derzeit in der zweiten Lesung in der Staatsduma steht, legen Hosting-Providern direkte Pflichten auf, Kunden zu blockieren, die VPNs nutzen, um auf verbotene Inhalte zuzugreifen. Dadurch wandeln sie ihre Rolle von neutralen technischen Vermittlern zu aktiven Vollzugsbeamten im Kontrollsystem um und schaffen neue Risiken für IT-Infrastruktur und internationale Projekte.

Pflichten von Hosting-Providern: Vom Vermittler zum Regulator

Hosting-Provider, die VPS, virtuelle Maschinen und Speicherplatz anbieten, fungierten bisher als neutrale technische Vermittler. Ihre Haftung beschränkte sich darauf, Anweisungen von Roskomnadzor nach Erhalt von Verstößensmeldungen zu befolgen. Die neuen Änderungen verändern dieses Paradigma grundlegend: Hosting-Betreiber müssen Kunden eigenständig gegen RKN-Blacklists prüfen und bei Erkennung des Zugriffs auf verbotene Ressourcen blockieren.

Zu den wichtigsten Änderungen gehören:

• Pflicht zur Überprüfung der IP-Adressen von Kunden anhand der Roskomnadzor-Register
• Anforderung an laufende Traffic-Überwachung auf Anzeichen von Blockumgehungen
• Automatische Vertragsauflösung bei Erkennung von Verstößen, ohne vorherige Ankündigung

Diese Maßnahmen zwingen Hoster zum Einsatz von Deep-Packet-Inspection-(DPI)-Systemen und zur Integration in staatliche Register. Die meisten russischen Provider fehlen die notwendigen technischen Möglichkeiten, was die Betriebskosten in die Höhe treibt. Experten schätzen, dass die Preise für einfache VPS bis 2026 um 20–35 % steigen könnten.

Technische Umsetzung der Kontrolle: Einschränkungen und Schwachstellen

Methodische Leitlinien, die im April 2026 an Unternehmen verteilt wurden, skizzieren ein Dreistufen-System zur Erkennung von VPN-Aktivitäten:

• Analyse der IP-Adressen: Abgleich mit russischen IP-Datenbanken und RKN-Blacklists. Nicht übereinstimmendes Land oder Vorhandensein in Verstößerregistern löst die nächste Stufe aus.
• Mobile Geräte: Scannen installierter Apps auf VPN-Clients. Das Ministerium für Digitale Entwicklung betont die technische Unmöglichkeit einer vollständigen iOS-Überwachung aufgrund des App-Sandboxings.
• Desktop-Systeme: Analyse von Netzwerkverbindungen, wobei Traffic von Routern, virtuellen Maschinen oder Split-Tunneling unentdeckbar bleibt.

Die kritische Schwäche des Systems ist seine hohe Falsch-Positiv-Rate. Interne Dokumente des Ministeriums für Digitale Entwicklung bestätigen, dass es technisch unmöglich ist, Corporate-VPNs (z. B. für internen CRM-Zugriff) von Blockumgehungs-Tools zu unterscheiden. Dienste wie Sber und Ozon blockieren bereits massenhaft Nutzer aus Belarus und Kasachstan wegen nicht lokalisierter IPs. Regulatoren warnen, dass langfristige Überwachung wirtschaftlich unpraktikabel ist aufgrund hoher Ressourcenanforderungen auf Kundenseite.

Wirtschaftlicher Filter: Verengung internationaler Kanäle

Neben den Änderungen am „Antifraud 2.0“-Gesetzentwurf haben Telekommunikationsbetreiber ein Moratorium für die Erweiterung internationaler Verbindungen ohne Genehmigung des Ministeriums für Digitale Entwicklung unterzeichnet. RBC berichtet, dass ~20 Unternehmen (einschließlich MTS und Beeline) neue Routen nach Europa pausiert haben. Regulatoren bezeichnen dies als „wirtschaftlichen Filter“ – künstliche Begrenzung der Bandbreite, um die Nachfrage nach ausländischen Inhalten einzudämmen.

Der Ansatz beruht auf zwei Annahmen:

• Überlastung bestehender Kanäle macht VPNs unwirtschaftlich
• Erhöhung der Kosten für internationalen Traffic (nach dem 15-GB-Cap) reduziert die Nutzung

Technische Analysen zeigen, dass eine Bandbreitenkürzung um 30–40 % den VPN-Traffic nicht eindämmt, legitime internationale Dienste aber verschlechtert. Auf hybride Cloud angewiesene SaaS-Unternehmen und Entwickler, die auf ausländische Repositories angewiesen sind, leiden am stärksten. Das Fehlen eines Enddatums für das Moratorium schafft langfristige Unsicherheit für das IT-Geschäft.

Folgen für IT-Infrastruktur und Entwickler

Die Auswirkungen der Änderungen gehen über VPN-Provider hinaus. Unternehmensumgebungen, die VPNs für sicheren internen Zugriff nutzen (Fernarbeit, Integration ausländischer Partner), stoßen auf große Hürden. Hosting-Provider müssen „verdächtige“ Verbindungen blockieren, verfügen aber über keine Prüfungen auf Tunnel-Legitimität und riskieren:

• Automatische Abschaltungen von Produktionsservern durch Fehlalarme
• Verlust der IT-Akkreditierung bei unvollständiger Blockierung „illegalen“ Traffics
• Abwanderung global ausgerichteter Startups aus Russland

Geodistribuierten Projekten droht besondere Gefahr: RF-EU-Cloud-Dienste, internationale Marktplätze, grenzüberschreitendes Fintech. Sie müssen russische und EU-Vorschriften (GDPR) balancieren, was neue Compliance ohne vollständige Architekturumstellungen unmöglich macht.

Wichtige Erkenntnisse

• Hosting-Provider verlieren Neutralität: In die regulatorische Vollstreckung hineingezogen, ohne Tools für präzise Identifizierung von Verstößen
• Wirtschaftlicher Filter gefährdet legitime Projekte: Kanalverengungen treffen VPNs und auf globale Infrastruktur angewiesene Unternehmenssysteme gleichermaßen
• Betriebskostenexplosion: DPI-Einführung und Registerintegration treiben Hosting-Preise um 20–35 % in die Höhe
• Risiken für Datenlecks: Unüberprüfte Auto-Blocks könnten kritische Systeme lahmlegen (Finanztransaktionen, Gesundheitswesen)

Die technischen Grenzen des Systems machen es gegen entschlossene Blockumgehungen wirkungslos, errichten aber enorme Hürden für legales Geschäft. Internationale Betreiber sollten ihre Infrastruktur angesichts zunehmender regulatorischer Drücke nunmehr überdenken.

— Editorial Team