Wenn die ganze Sperre auf DNS-Basis funktioniert, könnte es schon sein, dass man einfach für die DNS-Anfrage, die der HTTP-Client zum Auflösen des Zielhostnamens absetzt, eine IP des BKA zurückbekommt -- das wäre zumindest eine sehr einfache Lösung und in der Tat lokal detektierbar.

Am besten wäre es vielleicht, sein Netzwerk einfach so zu konfigurieren, dass jede DNS-Anfrage an eine ganze bunte internationale Auswahl von Namensservern weitergeleitet wird, wenn die Adresse noch nicht im lokalen Cache liegt. Wenn man dann von mehreren Servern unterschiedliche IPs zurückbekommt, kann man sich selbst ein Warnschild ohne weitere Nebenwirkungen einblenden ;-)