Movistar und O2 sperren legale Websites durch Cloudflare-Filter

Movistar und O2 sperren tausende legale Websites durch Filtern der Cloudflare-IP

Eine IP zu sperren, um eine Piratenwebsite abzuschalten, ist einfach. Das Problem entsteht, wenn diese IP von hunderten legalen Domains geteilt wird. Seit etwa einem Monat können Kunden von Movistar und O2 – sowie von DIGI, das das Netz von Telefónica mietet – nicht mehr auf Dutzende Seiten zugreifen, die nichts mit Fußball zu tun haben. Das Muster wiederholt sich: Alle nutzen Cloudflare als CDN oder DNS-Manager. Die gerichtliche Anordnung richtete sich gegen einen konkreten Domain. Das Ergebnis war eine Kaskade von Sperren, die Kanzleien, Ingenieure und Arbeits-Apps betrifft, die nur über VPN funktionieren.

Die unmittelbare Ursache ist eine geteilte IP. Cloudflare weist einer einzigen Adresse hunderte Domains zu. Wenn die Sperrung eines dieser Domains angeordnet wird, fallen alle anderen mit ihr verbundenen Seiten aus. Die tiefere Ursache ist unbequemer: Telefónica ist gleichzeitig Kläger und Beklagter, verkauft den Fußball und führt die Sperre durch. Es legt wenig Sorgfalt an, dies chirurgisch präzise zu tun.

Was ist Cloudflare und warum zieht seine Sperre tausende Websites in Mitleidenschaft?

Cloudflare ist keine Piratenwebsite. Es ist Infrastruktur. Es fungiert als Anti-Blockierungs-Schild und DNS-Manager für Millionen von Seiten: Shops, Medien, Banken, professionelle Dienstleister und sogar der sichere DNS-Dienst, den Firefox standardmäßig nutzt. Jede seiner IP-Adressen bedient mehrere hundert verschiedene Domains. Wenn ein Gerichtsurteil die Sperrung einer bestimmten IP anordnet, ist der Kollateralschaden mathematisch sicher: Die Piratenseite fällt aus, aber auch die zweihundert oder dreihundert dahinterliegenden Seiten.

Der Mechanismus ist nicht das klassische DNS-Filtering kleinerer Anbieter. Hier wird auf IP-Ebene gesperrt, was die Umgehung schwieriger macht und die Reichweite erhöht. Das Ergebnis: Der Movistar- oder O2-Kunde kann nicht auf Dienste zugreifen, die nichts mit Streaming zu tun haben, während Kunden anderer Anbieter problemlos arbeiten können. Diese Asymmetrie beweist, dass das Problem nicht technischer Natur ist, sondern auf fehlerhafte Ausführung zurückgeht.

Wer steckt hinter der Sperre: El futbol español, ein Richter und Telefónica

El futbol español hat die Anzeigen gegen illegale IPTV-Anbieter vorangetrieben. Die unter Javier Tebas geführte Organisation hat die Sperren öffentlich gefeiert und Google sowie Cloudflare laut einem Social-Media-Post als nächste Ziele genannt. Die Anordnung stammt von einem Richter, nicht von der Regierung, obwohl die Umsetzung bei den Netzbetreibern liegt. Telefónica befindet sich in einer unangenehmen Position: Es ist parteiischer Kläger, weil es den Fußball vermarktet, und zugleich verpflichtet, die Sperre umzusetzen.

Diese Doppelrolle erklärt, warum das Filtering nicht mit chirurgischer Präzision durchgeführt wurde. Einige argumentieren, der Betreiber setze lediglich das Gerichtsurteil um und schiebe die Verantwortung auf El futbol español. Andere weisen darauf hin, dass die vom Gesetz geforderte Verhältnismäßigkeit nicht eingehalten werde: Die halbe Cloudflare-Infrastruktur zu sperren, um eine Domain abzuschalten, sei unverhältnismäßig und beeinträchtige wesentliche Dienste für den Arbeitsalltag.

DIGI ist ebenfalls betroffen: Das gemietete Netz überträgt die Sperre

DIGI, das im Glasfaserausbau in vielen Gebieten eigene Netze betreibt, aber dort, wo sein Netz nicht reicht, das von Telefónica mietet, hat sich den Sperren angeschlossen. Seine Kunden melden dieselben Zugriffsprobleme auf Cloudflare-gehosteten Websites. Dieses Detail ist wichtig, da es die Theorie widerlegt, nur direkte Movistar-Kunden seien betroffen: Jeder Anbieter, der auf der Infrastruktur von Telefónica reitet, erbt das Filtering.

Die Liste der Betroffenen wächst. Professionelle mobile Apps, Download-Plattformen, Foren und Serien-Websites funktionieren nicht mehr über WLAN. Manche Dienste reagieren nur noch über VPN, was Latenz hinzufügt und die Bandbreite einschränkt. Ein SSH-Tunnel zu einem Cloud-Server ist zum üblichen Workaround für jene geworden, die nicht von kommerziellen VPNs abhängen wollen.

Die reale Rechnung: VPN, Latenz und Dienste, die VPNs blockieren

Die am häufigsten genutzte Lösung ist das Abschließen eines VPN-Abonnements. Das ist nicht kostenlos: Ein gutes kostet rund 100 Euro pro Jahr. Und es funktioniert nicht immer. Viele legitime Dienste blockieren VPN-IP-Adressen, um Missbrauch zu verhindern, sodass der Nutzer doppelt ausgesperrt wird. Bei Remote-Terminals macht sich die VPN-Latenz bemerkbar. Beim Übertragen großer Datenmengen sinkt die Geschwindigkeit.

Die vollständige Berechnung inklusive jährlicher VPN-Kosten, Leistungseinbußen und verlorener Zeit bei der Suche nach Alternativen ergibt eine Rechnung, die offiziell niemand beziffert hat. Bekannt ist jedoch, dass der Nutzer einen Betreiber bezahlt, damit ihm niemand „auf die Eier geht“, und dass das Gerichtsurteil den Kollateralschaden nicht abdeckt. Das Gesetz verlangt Verhältnismäßigkeit. Eine IP zu sperren, die von hunderten legalen Domains geteilt wird, ist es nicht.

Starlink und die Gefahr des Kundenabflusses

Die Alternative, die zunehmend diskutiert wird, ist Starlink. Das Satellitenkonstellation umfasst bereits über zehntausend Einheiten und versorgt laut Firmenangaben mehr als fünf Millionen Menschen in 125 Ländern. Die Antenne ist klein, richtet sich bei einigen Modellen automatisch aus und hängt nicht vom Telefónica-Netz ab. Wer sie bucht, entzieht sich dem Filtering des terrestrischen Betreibers.

Es ist keine billige Lösung für alle. Glasfaser bleibt dort, wo verfügbar, günstiger und schneller. Aber das Kernargument lautet anders: Wenn der Betreiber legale Websites sperrt, hat der Kunde einen Grund zu wechseln. Die Migration wird nicht über Nacht massenhaft erfolgen, aber jede schlecht ausgeführte Sperre liefert weitere Gründe.

Der Präzedenzfall: Wenn Filtering zur Zensur wird

In Großbritannien gibt es Betreiber, die bis zu 15 % der Websites zensieren, mit enormen Unterschieden zwischen den Firmen. Manche sperren bestimmte Seiten, andere wiederum andere. Dies hängt von Gerichtsanordnungen und Aufrufen ihrer Kollegen ab, zur Zensur einzuladen. Der spanische Präzedenzfall deutet in dieselbe Richtung: Erst wird eine IP gesperrt, dann werden VPNs blockiert, schließlich wird man vielleicht die Ausweisnummer zur Anmeldung verlangen.

Vergleiche mit China oder Russland kursieren bereits. Das ist keine Übertreibung aus der Stammtischecke: Die Technik ist identisch, nur der Maßstab unterscheidet sich. Der Unterschied ist, dass die Sperre hier nicht von einer Zensurbehörde kommt, sondern von einem Gerichtsurteil, das von einem Unternehmen umgesetzt wird, das auf demselben Markt konkurriert, den es schädigt. In Begriffen der Corporate Governance hat das einen Namen.

---

Es bleibt abzuwarten, ob die Gerichte den Umfang der Sperre korrigieren oder ob die Aktionäre von Telefónica aktiv werden. Das Gesetz verlangt Verhältnismäßigkeit, und der Kollateralschaden ist dokumentiert. Wenn sich nichts ändert, ist die Prognose einfach: Mehr VPN-Nutzung, mehr Starlink und mehr Kunden, die nach einem neuen Betreiber suchen. Der Ball liegt beim Justizapparat.