Op dit moment zijn er 6,1 miljoen Nederlandse domeinnamen geregistreerd. De volledige lijst met namen is geheim. Toch hebben wij er 4,7 miljoen kunnen achterhalen, dat is 75% van het totaal. Bij 3,2 miljoen zijn er registratiegegevens te zien. Daarmee zijn ze te koppelen aan organisaties op Basisbeveiliging. In een avond koppelden wij ruim 25.000 domeinen, waaronder meer dan 4000 van gemeenten. De gevonden overheidsdomeinen staan nog niet in de publieke overheidsregisters.
Alle gekoppelde domeinen worden deze week toegevoegd aan basisbeveiliging. Het proces van koppelen en toevoegen wordt nog een paar keer herhaald in de komende weken, dus het aantal nieuwe domeinen zal verder toenemen.
In dit artikel staat hoe wij domeinen hebben gevonden, welke informatie erover is verzameld, op welke manier is gekoppeld en worden tot slot opmerkelijke resultaten getoond. Een tipje van de sluier: Het bedrijf KPN heeft een immense uitdaging: zij krijgt er ineens 1800 domeinen bij. Van al hun nieuwe domeinen hebben wij een mooie en kunstzinnige bureaubladachtergrond gemaakt.
75% van alle .NL domeinen bekend
De Nederlandse domeinnamen worden beheerd door de Stichting Internet Domeinregistratie Nederland (SIDN). Dit zijn alle domeinen die eindigen op .nl. Iedereen kan online opvragen wie de eigenaar is van een domein, maar aan het gebruik van deze bevraging en de antwoorden zitten allerlei voorwaarden. Daardoor mocht basisbeveiliging deze informatie tot nu toe mondjesmaat gebruiken. Op basis van de data uit de eerder verkregen toestemming vonden wij dat 8% van de overheidssites geen duidelijke eigenaar heeft.
Sinds kort hebben wij toestemming gekregen om vaker gegevens bij SIDN op te vragen met als doel het aantal domeinen op Basisbeveiliging aan te vullen. Wij moeten daarvoor zelf domeinen vinden en daarvan gegevens opvragen. Het SIDN beheert 6,1 miljoen domeinen en publiceert daarvan geen volledige lijst. Landen als Zweden en Zwitserland doen dat wel. Een commerciële domeinbewaker heeft onlangs via de rechter geprobeerd de volledige lijst te krijgen, wat ook in beroep is afgewezen. De AIVD wil dat het beheer van deze lijst in Nederland blijft. Voor specifieke onderzoeks- en veiligheidsdoeleinden deelt het SIDN de volledige lijst onder geheimhouding, daar valt Basisbeveiliging (nog) niet onder.
Daarom hebben wij uit allerlei bronnen mogelijk bestaande domeinen verzameld. Bijvoorbeeld uit het certificatenarchief. In dit archief staan alle websites waarmee een versleutelde verbinding kan worden gemaakt via https://. De oorsprong van dit archief was de kraak van Diginotar in 2011. Er zijn ook lijsten gekocht bij commerciële partijen die hierin handelen. Diverse dataverzamelaars in ons netwerk hebben ook hun lijsten gedeeld. Tenslotte zijn er allerlei domeinen gegokt. Dit leverde een lijst van ongeveer 6,8 miljoen mogelijke domeinnamen.
Van ieder van deze 6,8 miljoen namen zijn gegevens opgehaald bij het SIDN. Het bleek dat 2,1 miljoen domeinen niet meer bestonden of onjuist waren. Uiteindelijk kwamen wij uit op 4,7 miljoen actieve domeinen. Dat is net meer dan 75% van alle .nl domeinen. De opgevraagde gegevens daarvan zijn niet altijd even bruikbaar.
Bij 1,1 miljoen actieve domeinen wordt niet gepubliceerd wie de houder is. Dat is afgeschermd of simpelweg niet ingevuld. Ook zorgen anonieme registraties voor onduidelijkheid. Het SIDN verbiedt anonieme registratie sinds 1 oktober 2023 maar de handhaving hierop is onbekend. Uiteindelijk zijn er dus 3,2 miljoen domeinnamen waarmee de gegevens op Basisbeveiliging kunnen worden verrijkt.
| Aantal domeinen | Aantal bruikbare domeinen in zicht | |
| Aantal uitgegeven domeinen | 6,1 miljoen | |
| Aantal domeinen niet gevonden | – 1,4 miljoen = | 4,7 miljoen |
| Aantal domeinen zonder registrant | – 1,2 miljoen = | 3,5 miljoen |
| Anonieme registraties | – 0,1 miljoen = | 3,2 miljoen |
Prijs schieten in 3,2 miljoen domeinen
Nu is de vraag: welk domein is van wie? Basisbeveiliging wil een volledig en actueel beeld bieden van online veiligheid van alle belangrijke organisaties in Nederland. De gevonden domeinen moeten dus op een of andere manier worden gekoppeld aan Basisbeveiliging.
De eerste koppeling die wij hebben gelegd is op basis van registrant. Domeinhouders zijn verplicht om dit veld correct in te vullen. Onze doelgroepen zullen dat in de meeste gevallen hebben gedaan. Hoewel het mogelijk is om opzettelijk verkeerde registratiegegevens in te vullen zien wij dat nog niet gebeuren. Wij verwachten dit wel. In dergelijke gevallen kan SIDN de registratie opheffen en zullen wij het domein weghalen.
Het informatieveld registrant bevat soms verouderde informatie, bijvoorbeeld een opgeheven gemeente. Ook worden er gebruikelijke meerdere alternatieve spellingen gebruikt per organisatie. Zo zijn 39 domeinen van ABN AMRO geregistreerd met twee spaties tussen ABN en AMRO. Netbeheerder TenneT registreert onder “TenneT TSO B.V.” en “TenneT Holding B.V.”, en zo voort.
Het koppelen van deze informatie was het onderwerp van de pizza sessie van februari. Op één avond zijn er bijna 2000 koppelingen gelegd door vier vrijwilligers. Daardoor zijn er 26.582 domeinnamen toegekend aan organisaties. Dat is een verdrievoudiging van het aantal hoofddomeinen in Basisbeveiliging op dit moment.
Het merendeel van de nieuwe domeinen zijn zogenaamde doorverwijzingen en parkeerdomeinen. Hierop staan geen volwaardige websites of andere online diensten. Als er helemaal niets op is te vinden verschijnt het domein ook niet op basisbeveiliging.
In de tabel hieronder is te zien hoeveel nieuwe hoofddomeinen worden toegevoegd per sector. Om de tabel niet te lang te maken zijn er tien regels te zien. Er zijn ook domeinen gekoppeld aan provincies, veiligheidsregio’s, GGD’s, waterschappen en natuurlijk onszelf. Onder de tabel staat een schermafbeelding van het eindresultaat uit het koppelsysteem dat is gebruikt tijdens de pizza sessie.
Dit artikel gaat verder onder de tabel en afbeelding.
| Sector | Kaart | Bekende hoofddomeinen | Nieuwe hoofddomeinen | Stijging |
|---|---|---|---|---|
| Overheid | Gemeente | 1.396 | 4.304 | x 4,1 |
| Overig | Cybersecurity | 237 | 3.911 | x 17,5 |
| Overheid | Rijksoverheid | 4.691 | 3.539 | x 1,9 |
| Onderwijs | Universiteit | 33 | 3.064 | x 93,8 |
| Vitaal | Internet Service Provider | 98 | 2.885 | x 29,4 |
| Overig | Politieke Partijen | 39 | 2.425 | x 63,2 |
| Vitaal | Energie | 210 | 1.586 | x 8.6 |
| Onderwijs | Hoger Beroepsonderwijs | 69 | 1.531 | x 23,2 |
| Vitaal | Banken (NL) | 47 | 1.123 | x 24,9 |
| Zorg | Ziekenhuizen | 9.233 | 998 | x 2,1 |
Highlights
Ter leerling ende vermaeck een aantal highlights uit de enorme hoeveelheid aan nieuwe domeinnamen.
1800 nieuwe domeinen van KPN
Onder de naam “Koninklijke KPN N.V. ” (met extra spatie) vonden we 1707 nieuwe domeinen. Dat zijn niet alleen alle merknamen zoals Telfort en Xs4all, maar ook allerlei concepten en reclamecampagnes. Een favoriet is goedemoggel.nl uit de legendarische reclamecampagne over makkelijk mobiel e-mailen.
Het aantal domeinen en bijbehorende concepten is immens. Om dat punt te maken is er een bureaubladachtergrond gemaakt waarin de meeste nieuwe domeinen zijn te zien. Probeer deze niet allemaal te lezen of te begrijpen, tenzij het doel hoofdpijn en burn-out is. Ontdek in plaats daarvan iedere dag weer een nieuw domein, ruim vier jaar lang.
235 nieuwe domeinen bij ABN-AMRO
Een van de winnaars van de certificatenregen 2024 was ABN-AMRO. Dé Bank werd destijds beoordeeld op 1 hoofddomein en alle 150 onderliggende domeinen. Hier komen 235 hoofddomeinen bij. Verreweg de meeste hiervan zijn parkeerdomeinen met verkeerde spellingen van de bedrijfsnaam, verouderde merknamen en dergelijke.
Maar er zijn ook volwaardige website te vinden. Bijvoorbeeld van de kunstcollectie op heritageabnamro.nl, de jongerenorganisatie youngabnamro.nl en natuurlijk de hoofdsites van overige merken die eigendom zijn van ABN zoals Tikkie, Moneyou, New10, Circl, Defam, Alfam, Florius en dergelijke.
De lichtelijk stigmatiserende website van de personeelsvereniging, bankhard.nl, wordt niet meegenomen. Personeelsverenigingen zien wij niet als onderdeel van een organisatie, tenzij de organisatie hiervoor het domein heeft vastgelegd.
3192 domeinen op naam van de Rijksoverheid
De rijksoverheid publiceert een websiteregister met daarin al hun actieve en informatieve websites, dus niet alle domeinen. Onder de naam “Rijksoverheid” vonden wij 3192 extra domeinen die niet in dit register staan. Het gaat dan bijna altijd om parkeerdomeinen en doorverwijzingen.
Een paar voorbeelden: de domeinen van prinsjesdag zijn tot 2050 alvast vastgelegd. Een aantal domeinen die met 14 beginnen, waarschijnlijk vanwege het netnummer 14, zijn bij voorbaat gereserveerd. Verouderde campagnes en organisatieonderdelen hebben vaak nog een domein. Ook zijn er enkele typfouten vastgelegd om te beschermen tegen fraude. Allerlei ministers hebben doorverwijzingen naar rijksoverheid.nl en ga zo maar door.
De domeinen van de Rijksoverheid verdelen wij gebruikelijk onder de juiste organisatieonderdelen, maar dat is in dit geval veel werk. Daarom wordt er op korte termijn een aparte organisatie en lijst gemaakt waarin deze domeinen worden geplaatst. Hiervan worden eventueel werkende domeinen zo spoedig mogelijk verhuisd naar de juiste ministeries en andere organisaties.
32.000 domeinen van thuisbezorgd buiten beschouwing gelaten
De organisatie met verreweg de meeste domeinen is Thuisbezorgd. Onder Thuisbezorgd.nl staan 15.000 domeinen en Takeaway.com heeft er meer dan 17.000. Thuisbezorgd heeft als strategie om op alle aangesloten restaurants te voorzien van een minisite waarop de naam, het merk, de gegevens en de menukaart van het aangesloten restaurant worden gebruikt. Dit domein is geen eigendom van het restaurant en valt onder de verantwoordelijkheid van Takeaway.com.
Basisbeveiliging meet Takeaway.com omdat zij een grote betalingsverwerker is. Wij vinden de meerwaarde van het testen van alle minisite-domeinen niet opwegen tegen de lasten die het veroorzaakt. De minisites zorgen effectief voor meer betalingen en inkomsten maar lopen allemaal via hetzelfde betaalplatform en dezelfde online infrastructuur.
140 Typfouten bij Gooise Meren
Gemeente Gooise Meren heeft 140 typefouten van haar naam geregistreerd. Deze scoren allemaal 100% op internet.nl en wijzen door naar de website gooisemeren.nl. Doordat deze domeinen goed werken zorgt de gemeente ervoor dat mensen de verkeerde spelling van de gemeente aanleren. Het aantal typfouten dat iemand kan maken is exponentieel, dus hoe men op deze lijst is uitgekomen is een raadsel. Probeer ze maar eens allemaal uit te spreken. Dit zijn ze van A tot Z:
3cooisemeren.nl, eooisemeren.nl, fooisemeren.nl, gaaisemeren.nl, geeisemeren.nl, gfooisemeren.nl, ggoisemeren.nl, ggooisemeren.nl, ghooisemeren.nl, giiisemeren.nl, gioisemeren.nl, g00isemeren.nl, gkoisemeren.nl, gmoisemeren.nl, gnoisemeren.nl, gogisemeren.nl, goiisemeren.nl, goioisemeren.nl, goiosemeren.nl, goisemeren.nl, go0isemeren.nl, gokisemeren.nl, gomisemeren.nl, gonisemeren.nl, gooasemeren.nl, gooayesemeren.nl, gooesemeren.nl, gooeyesemeren.nl, goohsemeren.nl, gooi3emeren.nl, gooiaemeren.nl, gooicemeren.nl, gooidemeren.nl, gooiemeren.nl, gooiesmeren.nl, gooiisemeren.nl, gooiosemeren.nl, gooiqemeren.nl, gooiremeren.nl, gooisaemeren.nl, gooisamaran.nl, gooisameren.nl, gooisdemeren.nl, gooisdmeren.nl, gooise-eren.nl, gooiseeeren.nl, gooiseemeren.nl, gooiseemren.nl, gooiseeren.nl, gooiseieren.nl, gooiseleren.nl, gooisemairn.nl, gooisemaren.nl, gooisemdren.nl, gooiseme2en.nl, gooisemearn.nl, gooisemeben.nl, gooisemeeen.nl, gooisemeen.nl, gooisemeeren.nl, gooisemeern.nl, gooisemepen.nl, gooisemeran.nl, gooisemerdn.nl, gooisemere.nl, gooisemereb.nl, gooisemereen.nl, gooisemeref.nl, gooisemerej.nl, gooisemerel.nl, gooisemerem.nl, gooisemerenb.nl, gooisemerenm.nl, gooisemerenn.nl, gooisemerens.nl, gooisemereo.nl, gooisemerern.nl, gooisemerewn.nl, gooisemergn.nl, gooisemermn.nl, gooisemern.nl, gooisemerne.nl, gooisemerren.nl, gooisemerrn.nl, gooisemerten.nl, gooisemerun.nl, gooisemerwn.nl, gooisemesen.nl, gooisemeten.nl, gooisemeven.nl, gooisemewren.nl, gooisemezen.nl, gooisemgren.nl, gooisemheirn.nl, gooisemmeren.nl, gooisemmren.nl, gooisemneren.nl, gooisemreen.nl, gooisemren.nl, gooisemrren.nl, gooisemuren.nl, gooisemwren.nl, gooiseneren.nl, gooiseoeren.nl, gooisermeren.nl, gooiserneren.nl, gooisewmeren.nl, gooisgmeren.nl, gooisimirin.nl, gooismeeren.nl, gooismeren.nl, gooismmeren.nl, gooisomoron.nl, gooisrmeren.nl, gooissemeren.nl, gooisumeren.nl, gooisumurun.nl, gooiswmeren.nl, gooiusemeren.nl, gooiwemeren.nl, gooksemeren.nl, goolsemeren.nl, goomsemeren.nl, goooisemeren.nl, gooosemeren.nl, goopisemeren.nl, goosemeren.nl, goosiemeren.nl, goousemeren.nl, gooysemeren.nl, gopisemeren.nl, gopoisemeren.nl, gpoisemeren.nl, gppisemeren.nl, guuisemeren.nl, hooisemeren.nl, ogoisemeren.nl, oooisemeren.nl, wooisemeren.nl, wwwgooisemeren.nl
Over basisbeveiliging
Alle metingen in dit artikel zijn te vinden op de website basisbeveiliging.nl. Deze metingen worden voortdurend bijgewerkt voor een up-to-date beeld van de online veiligheid van Nederland. Zo is te zien wanneer organisaties verbeteringen doorvoeren of terugvallen. Alle metingen zijn openbaar en bruikbaar onder een vrije licentie.
Basisbeveiliging.nl is een initiatief van de Internet Cleanup Foundation. Wij zetten ons in voor een veilig online Nederland door middel van onderzoek en open data. Organisaties die ons werk waardevol vinden en hier gebruik van maken vragen we op enige vorm bij te dragen, bijvoorbeeld door de stichting te ondersteunen met deelnemerschap.
Is de nieuwe informatie onjuist? Het kan natuurlijk zijn dat een domeinnaam lang geleden van de hand is gedaan of dat er om een andere reden een verkeerde eigenaar bij het domein staat. In dat geval raden we aan om contact op te nemen met de helpdesk. Dan worden de onjuiste domein verplaatst of verwijderd. De helpdesk is bereikbaar via info@internetcleanup.foundation
