US-Sanktionen bringen italienisches Internetkollektiv Autistici/Inventati zu Fall

Die angekündigte Schließung von Autistici/Inventati (A/I) zeigt, wie eine US-Sanktionsentscheidung innerhalb weniger Tage zur Infrastrukturkrise für eine Organisation in Europa werden kann. Nach der Einstufung vom 26. August verlor das italienische Technologiekollektiv zentrale Zugänge zu Zahlungssystemen, seiner Internetadresse und seinem Bankkonto. Betroffen sind nach Angaben zur Schließung rund 16.000 E-Mail-Postfächer, 1.500 Websites, 5.500 Mailinglisten und 10.000 Blogs. 1749

Was die US-Einstufung bedeutete

Das US-Außenministerium und das Finanzministerium stuften A/I als „Specially Designated Global Terrorist“ ein. Die Behörden werfen dem italienischen Kollektiv vor, digitale Infrastruktur für gewaltbereite Antifa-Zellen und andere militante Gruppen der extremen Linken betrieben zu haben. Das sind Vorwürfe der US-Regierung. Mit der Einstufung werden Vermögenswerte unter US-Gerichtsbarkeit blockiert; US-Personen und US-Unternehmen dürfen grundsätzlich keine Geschäfte mit der gelisteten Organisation tätigen. 491

Die Folgen blieben jedoch nicht auf Vermögen in den Vereinigten Staaten beschränkt. Anbieter, deren Dienste, Zahlungswege oder Finanzbeziehungen einen Bezug zum US-System haben, mussten ihr eigenes Sanktionsrisiko bewerten. Daraus entstand rasch eine Kettenreaktion.

Drei zentrale Ausfälle: Spenden, Domain, Bankkonto

Besonders entscheidend waren drei Infrastrukturpunkte:

• Spenden: Das PayPal-Konto von A/I wurde nach der Einstufung gesperrt. Damit brach ein wichtiger Kanal für Spenden weg. 2454
• Internetadresse: Die in den USA ansässige Public Interest Registry (PIR), Betreiberin der .org-Registry, setzte autistici.org auf den Status serverHold. Reuters berichtete, dass die Domain zwei Tage nach der Einstufung nicht mehr erreichbar war; auch A/I selbst verwies auf die Sperre auf Registry-Ebene. 1731
• Bankzugang: Die Banca Etica setzte die Kontobewegungen des Vereins nach der OFAC-Listung zunächst aus und stufte sein Risiko höher ein. Reuters berichtete später über die Schließung des Kontos. 2217

Der Domain-Ausfall ist dabei mehr als ein technisches Detail. Ein serverHold wirkt auf Ebene der Domain-Registry: Die Adresse kann im öffentlichen Domain Name System nicht mehr aufgelöst werden. Webseiten oder Mailserver können dadurch unerreichbar sein, obwohl ihre Hardware weiterhin außerhalb der USA läuft. Die Kontrolle über eine Registry kann somit ähnlich folgenreich sein wie die Kontrolle über die Server selbst. 1731

Warum A/I die Dienste einstellen will

A/I erklärte, nach dem Verlust seiner Domain und seines Bankkontos alle Dienste schließen zu wollen. Die Entscheidung betrifft ungefähr 16.000 Postfächer, 1.500 Websites, 5.500 Mailinglisten und 10.000 Blogs. 17

Es handelte sich damit nicht bloß um einen gewöhnlichen Hosting-Ausfall. Ohne zentrale Domain wird die öffentliche Erreichbarkeit ebenso wie die Verwaltung von Diensten erheblich erschwert. Ohne Spenden- und Bankzugang wird der laufende Betrieb finanziell kaum tragfähig.

Entscheidend war zudem das Risiko für Beteiligte und Dienstleister: Nach einer Sanktionslistung können Unternehmen Geschäftsbeziehungen vorsorglich beenden, statt eine mögliche Sanktionsbetroffenheit im Detail zu prüfen. Die Verfügbarkeit digitaler Dienste hing in diesem Fall daher nicht allein vom Standort der Server ab, sondern auch von den Regeln und der Risikobewertung jener Anbieter, die an kritischen Stellen der Infrastruktur sitzen.

Warum Digitalrechtsorganisationen einen Präzedenzfall sehen

European Digital Rights (EDRi) bezeichnete die Einstufung als Angriff auf unabhängige Internetinfrastruktur, sichere Kommunikation und Grundrechte. Die Organisation warnt vor der Wirkung einer einseitigen US-Maßnahme auf eine europäische Non-Profit-Organisation: Zentralisierte Dienste wie Domain-Registries, Zahlungsanbieter und Banken können eine solche Entscheidung faktisch über Ländergrenzen hinweg durchsetzen. 28

Das bedeutet nicht automatisch, dass jeder europäische Anbieter rechtlich verpflichtet wäre, einer US-Listung zu folgen. Der Fall zeigt aber, wie risikobasierte Compliance-Entscheidungen praktisch zum selben Ergebnis führen können. Für unabhängige Hosting-Projekte wird damit eine strukturelle Schwachstelle sichtbar: Dezentrale Server allein beseitigen nicht die Abhängigkeit von Domains, Finanzdienstleistern und anderen zentralen Vermittlern.

Kann die EU-Blocking-Verordnung helfen?

EDRi fordert eine Reaktion der EU und verweist auf die sogenannte Blocking-Verordnung, die Verordnung (EG) Nr. 2271/96. Sie soll EU-Bürgerinnen, EU-Bürger, Organisationen und Unternehmen gegen bestimmte extraterritoriale Gesetze und Maßnahmen aus Drittstaaten schützen. Für Rechtsakte, die in ihrem Anhang aufgeführt sind, kann sie die Befolgung ohne Genehmigung der Europäischen Kommission untersagen, die Anerkennung bestimmter ausländischer Entscheidungen in der EU begrenzen und Wege zum Ersatz bestimmter Schäden eröffnen. 3439

Die Verordnung setzt US-Sanktionen allerdings nicht pauschal außer Kraft. Ob sie greift, hängt davon ab, ob die betreffende ausländische Maßnahme im Anhang erfasst ist – und von den konkreten Umständen beim jeweiligen Anbieter und Geschäftsvorgang. Das vorliegende Material stützt EDRis politische Forderung nach Prüfung und Gegenmaßnahmen, belegt aber nicht, dass die Blocking-Verordnung eine Bank, Registry oder einen Zahlungsdienst automatisch zur weiteren Versorgung von A/I verpflichtet hätte. 3438

Die größere Lehre des Falls

Der Fall A/I macht sichtbar, über welche oft unterschätzten Abhängigkeiten Sanktionen eine digitale Organisation treffen können: über einen Zahlungsdienstleister, ein Bankkonto oder die Registry einer Top-Level-Domain. Für europäische Politik und Infrastrukturbetreiber stellt sich damit nicht nur die Frage, wo Daten und Server stehen. Ebenso wichtig ist, welche Institutionen eine Organisation per Entscheidung faktisch vom Netz nehmen oder finanziell handlungsunfähig machen können.