Adrian Perrig und der Versuch, das Inter-Domain-Routing auf verifizierbaren Pfaden neu aufzubauen

Exekutivzusammenfassung

• Adrian Perrig ist Professor für Informatik an der ETH Zürich, Leiter der Network Security Group, der maßgebliche Architekt hinter SCION, Mitbegründer von Anapaya Systems und Vorsitzender des Beirats der SCION Association. Diese Rollen reichen von Forschung über kommerzielle Übersetzung bis hin zur Ökosystem-Governance, machen ihn jedoch nicht zu einem Betreiber von Telekommunikationsnetzen oder zum Verantwortlichen für SCION-Deployments.
• SCION ordnet das Inter-Domain-Routing rund um Isolation Domains, kryptografisch geschützte Pfadinformationen und pfadbewusstes Forwarding neu. Ziel ist nicht die Eliminierung von Ausfällen. Ziel ist es, Vertrauensgrenzen, Routenentscheidungen und Ausfallisolation expliziter zu machen als im konventionellen BGP-zentrierten Internet.
• Der stärkste Hinweis auf operative Relevanz stammt aus Schweizer Einsätzen, insbesondere dem Secure Swiss Finance Network und verwandten Einsätzen in kritischer Infrastruktur. Öffentliche Quellen dokumentieren reale Produktionsbeteiligung, während globale Verkehrsvolumina, kommerzielle Umsätze, Vertragsdetails und umfassende Langzeit-Leistungsdaten nicht verfügbar sind.
• Perrigs Einfluss hängt von kollektiver Adoption ab. Forschende können eine Architektur entwerfen, ein Unternehmen kann sie produktisieren, und eine Assoziation kann die Teilnehmer koordinieren, doch Netzwerkbetreiber, Kunden, Regulierer sowie Ausstattungs- und Softwareanbieter entscheiden darüber, ob das Design zu dauerhafter Infrastruktur wird.

Ein Profil, das durch ein Architekturproblem definiert ist

Adrian Perrig wird am besten durch das Problem verstanden, an dem er gearbeitet hat, nicht über eine klassische akademische Biografie. Das öffentliche Internet routet Datenverkehr zwischen Tausenden unabhängig betriebener Netze. Diese Unabhängigkeit ist Quelle für Resilienz und Wettbewerb, bedeutet aber auch, dass keine zentrale Instanz jeden Pfad vorschreiben, jede unsichere Praxis entfernen oder einen sauberen Ersatz für bereits in Routern, Betriebsprozessen und kommerziellen Beziehungen verankerte Protokolle erzwingen kann.

Das Border Gateway Protocol bleibt die praktische Grundlage für Inter-Domain-Erreichbarkeit. Es verteilt Route-Ankündigungen und ermöglicht autonomen Systemen die Anwendung lokaler Richtlinien. Es wurde jedoch nicht mit den vollständigen Sicherheitsanforderungen entwickelt, die später an ihm gestellt wurden. Route Leaks, fehlerhafte Origin-Ankündigungen, schwach authentifizierte Informationen und eine langsame, ungleichmäßige Einführung von Schutzmechanismen sind zu dauerhaften operativen Problemen geworden. Das Problem ist nicht, dass BGP nicht funktioniert. Es funktioniert in außergewöhnlichem Maßstab.

Das Problem ist, dass sein Erfolg zu Trägheiten führt und sein Vertrauensmodell wichtige Eigenschaften an Betriebsgepflogenheiten, Filterung und Reaktion nach dem Ereignis delegiert.

Perrigs Arbeit fragt, ob eine andere Architektur diese Eigenschaften explizit machen kann. SCION – Skalierbarkeit, Kontrolle und Isolation in Netzen der nächsten Generation – geht nicht von der Prämisse aus, dass das bestehende System unbegrenzt ohne strukturelle Kompromisse gepatcht werden kann. Es startet mit einem klareren Entwurfsrahmen: Teilen des globalen Netzes in verwaltungstechnisch sinnvolle Vertrauensregionen, Authentifizierung der Kontrollinformationen zur Pfadkonstruktion, Verlagerung von Pfadentscheidungen näher zu Endpunkten und Datenabsendern und Einhegung einzelner Ausfälle innerhalb begrenzter Domänen.

Diese Ambition erklärt sowohl Perrigs Bedeutung als auch die Grenzen eines personenbezogenen Narrativs. Er half, die Architektur zu begründen und zu leiten, doch eine Architektur wird erst dann Infrastruktur, wenn Institutionen beschließen, sie zu deployen, sich mit ihr zu verbinden, sie zu betreiben und deren Kosten zu tragen. Das Profil muss daher wiederholt zwischen individueller Beitrag und kollektiver Umsetzung wechseln.

Von EPFL und Carnegie Mellon zur Sicherheitsforschung

Perrigs akademische Laufbahn umfasst EPFL und die Carnegie Mellon University. Der vorliegende Forschungsdatensatz dokumentiert einen Bachelor-Abschluss an der EPFL, gefolgt von Master- und Doktorarbeit an der Carnegie Mellon University. Anschließend war er von 2002 bis 2012 in der Fakultät der Carnegie Mellon University tätig, bevor er 2013 an die ETH Zürich wechselte. Diese Daten markieren einen Werdegang von Sicherheitsforschung in den USA zu einem langfristigen institutionellen Standort in der Schweiz.

Die Carnegie-Mellon-Phase ist relevant, weil SCION nicht im intellektuellen Vakuum entstand. Perrigs breiteres Werk umfasst Netzsicherheit, Authentifizierung, sichere Protokolldesigns und Systeme, die unter adversarial conditions funktionieren. Diese Herkunft ist in SCIONs Kernentscheidungen erkennbar. SCION behandelt Pfadkonstruktion als Sicherheitsproblem genauso wie als Konnektivitätsproblem. Es nimmt an, dass Kontrollinformationen kryptografisch abgesichert werden müssen. Es erkennt an, dass ein System nutzbar bleiben muss, auch wenn manche Organisationen, Verbindungen oder Komponenten ausfallen oder falsch agieren.

Akademische Sicherheitsforschung demonstriert Mechanismen oft unter kontrollierten Bedingungen. Inter-Domain-Routing stellt einen härteren Test. Ein vorgeschlagener Mechanismus muss mit Geschäftsbeziehungen, Hardware-Zyklen, regulatorischen Vorgaben, Betriebsgewohnheiten und einer installierten Basis koexistieren, die kein Labor ersetzen kann. Perrigs spätere Karriere lässt sich als Versuch lesen, diese Lücke zu schließen: zunächst durch ein Forschungsprogramm, dann durch ein Unternehmen, das Produkte und Support liefern kann, und schließlich durch eine Assoziation, die Verantwortung über ein Labor oder einen Anbieter hinaus verteilen soll.

Es wäre eine Übertreibung zu behaupten, dass seine Ausbildung oder frühen Funktionen SCION vorgegeben hätten. Die öffentliche Akte weist nicht alle internen Designdiskussionen oder Motive offen. Die belastbare Schlussfolgerung ist enger: seine Sicherheitsforschung und akademische Führung gaben ihm die technische und organisatorische Plattform, auf der über viele Jahre ein Neuentwurf im Inter-Domain-Architekturansatz verfolgt werden konnte.

ETH Zürich als institutionelles Zuhause von SCION

Perrig trat 2013 der ETH Zürich bei und leitet die Network Security Group. ETH bietet mehr als einen Professorentitel. Es schafft einen institutionellen Rahmen, in dem Protokolldesign, formale Analyse, Implementierung, Messung, Ausbildung von Studierenden und Industriekooperation zusammenlaufen. Infrastrukturforschung mit langfristigem Zeithorizont überlebt selten allein über Papers; sie benötigt Teams, Testumgebungen, Finanzierung, Softwarewartung und Kontinuität über mehrere Forschergenerationen.

Die Beziehung zwischen Perrig und der ETH muss dennoch proportioniert bleiben. Universitäten sind kollektive Institutionen. SCION hat Kolleginnen und Kollegen, Forschende, Ingenieure, Studierende sowie externe Partner beteiligt. Die veröffentlichte Architektur und Software sind das Ergebnis dieser Gemeinschaft, selbst dort, wo Perrigs Führung dokumentiert und direkt ist. Die Urheberschaft für Initiierung und Steuerung des Programms rechtfertigt nicht, jedem Mechanismus oder jeder Implementierungsentscheidung eine persönliche Zuschreibung vorzunehmen.

Auch die Lage der ETH wirkte auf das Einsatzumfeld. In der Schweiz gibt es dichte Finanz-, Behörden-, Forschungs- und Telekommunikationsstrukturen mit starken Anreizen, Sicherheit und Resilienz kritisch zu prüfen. Das bedeutet nicht, dass das Land automatisch eine neue Routing-Architektur annimmt. Es bedeutet, dass es erkennbare Sektoren gibt, in denen Pfadkontrolle, Jurisdiktionsbewusstsein, Verfügbarkeit und explizite Vertrauensbeziehungen rechtfertigen, dass experimentiert und produktiv investiert wird.

Das stärkste Bild von Perrigs Rolle ist deshalb institutionell und nicht heroisch. Er hat ein Forschungsprogramm aufgebaut und fortgeführt, das von Papers über Prototypen, operative Partnerschaften bis zur kommerziellen Formierung reicht. Diese Kontinuität ist ungewöhnlich. Viele Neuentwürfe bleiben als Ideen einflussreich, entwickeln aber kein Deployment-Ökosystem. SCIONs Schweizer operativer Fußabdruck bedeutet, dass dieses Projekt diese Grenze überschritten hat, obwohl seine globale Reichweite weiterhin begrenzt und nicht vollständig gemessen ist.

Warum die Haltbarkeit von BGP die Notwendigkeit einer Neuansatz-Alternative erklärt

BGP-Schwachstellen werden häufig so aufgelistet, als ob ein Ersatz einfach werden müsste. Das Gegenteil ist der Fall. Die Tragfähigkeit von BGP zeigt, wie tief ein Protokoll in die Infrastruktur eingewachsen kann. Betreiber kennen die Ausfallmodi, Anbieter implementieren es, Monitoring-Systeme interpretieren es, Interconnection-Vereinbarungen hängen davon ab, und das Personal ist ausgebildet, es zu steuern. Ein neues Design muss nicht nur technische Schwächen, sondern ein enormes Reservoir praktischer Erfahrung überwinden.

SCIONs Neukonstruktion ist damit zugleich Stärke und Umsetzungsaufwand. Mit einem Neuanfang kann Sicherheit und Pfadbewusstsein in den Entwurf integriert werden, statt sie nachträglich aufzusetzen. Es kann Vertrauensdomänen bewusst definieren. Es kann kryptografische Verifikation in den normalen Kontrollfluss integrieren. Es kann Absendern erlauben, zwischen autorisierten Pfaden zu wählen, statt jede Entscheidung in Zwischennetzen zu verbergen. Doch jede Abweichung vom etablierten Vorgehen erzeugt zusätzliche Transitionsarbeit.

Dieser Zielkonflikt ist zentral für Perrigs Infrastruktur-Relevanz. Er schlägt nicht nur ein stärkeres kryptografisches Primitive vor. Er schlägt eine andere Verteilung der Verantwortung vor. Im konventionellen Modell ist die Inter-Domain-Pfadwahl weitgehend das Ergebnis von Routing-Ankündigungen und Richtlinien entlang des Netzwerkpfades. In SCION werden Steuerungsinformationen genutzt, um autorisierte Pfadsegmente zu konstruieren, und der resultierende Forwarding-Pfad wird im Paketheader transportiert. Endsysteme oder unterstützende Dienste können zwischen verfügbaren Pfaden auswählen.

Dieser Wandel schafft neue Möglichkeiten, aber auch neue Pflichten. Anwendungen und Netzwerkbetreiber benötigen Richtlinien für die Pfadauswahl. Implementierungen müssen Pfadinformationen verarbeiten und validieren. Administratoren müssen die Governance von Isolation Domains verstehen. Monitoring muss nicht nur die Erreichbarkeit erklären, sondern auch, warum ein autorisierter Pfad gegenüber einem anderen gewählt wurde. Perrigs Beitrag ist relevant, weil er diese Verantwortlichkeiten sichtbar macht, statt „sicheres Routing“ als einzelne Schaltfunktion zu behandeln.

Isolation Domains machen Vertrauensgrenzen explizit

Ein prägendes Konzept von SCION ist die Isolation Domain, üblicherweise abgekürzt als ISD. Eine ISD bündelt autonome Systeme um einen gemeinsamen Vertrauensrahmen und eine Kernstruktur, die Kontrollflächenfunktionen tragen kann. Ziel ist nicht, das Internet in voneinander getrennte nationale oder betriebliche Inseln zu teilen. Vielmehr soll die Vertrauensbasis explizit gemacht und manche Kontrollflächen-Ausfälle oder Kompromittierungen in einen definierten Geltungsbereich eingegrenzt werden.

Das ist ein anderer Ausgangspunkt als eine global einheitliche Vertrauensannahme. Organisationen operieren bereits in unterschiedlichen Rechtsordnungen, Geschäftsmodellen und Sicherheitsanforderungen. Konventionelles Routing verbirgt diese Unterschiede häufig hinter einer einzigen Erreichbarkeitsschicht. SCION bildet sie architekturbezogen ab. Eine ISD kann die vertrauensrelevanten Wurzeln und Richtlinien ihrer Teilnehmer veröffentlichen, während Inter-ISD-Kommunikation den Verkehr über diese Grenzen hinweg erlaubt.

Das Design hat klare Anziehungskraft für kritische Infrastruktur. Ein Finanznetz, eine staatliche Umgebung oder eine regulierte Industrie braucht nicht nur Erreichbarkeit, sondern Wissen darüber, welche Domains ein Pfad durchläuft, welche Organisationen an der Vertrauenskette teilnehmen und ob alternative Routen verfügbar sind. Isolation Domains können dieses Denken unterstützen, ohne dass geografische oder institutionelle Grenzen absolut gesetzt werden.

Der Begriff hat aber auch ein Governance-Risiko. Eine Vertrauensdomäne kann gut oder schlecht verwaltet werden. Ihre Mitgliedsregeln können transparent oder ausschließend sein. Lokale Kontrolle kann Verantwortlichkeit stärken, aber auch Fragmentierung erzeugen, wenn Schnittstellen, Richtlinien oder Vertrauensbeziehungen nicht kompatibel sind. SCION beseitigt Governance nicht; es verlagert und formalisiert Teile davon.

Perrigs Beitrag liegt darin, diese Governance-Realität als Protokolleingabe zu behandeln. Die Architektur geht nicht davon aus, dass Vertrauen auf eine einzige universelle Organisation reduzierbar ist. Gleichzeitig benötigt sie genügend gemeinsame Struktur, damit unabhängig verwaltete Domains interoperabel bleiben. Diese Balance — lokales Vertrauen bei globaler Kommunikation — ist ein zentraler Anspruch des Projekts und ein Feld, das langfristig weiter getestet werden muss.

Kryptografische Pfadkonstruktion verändert die Sicherheitsgrundlage

SCIONs Kontrollebene konstruiert Pfadsegmente und schützt sie mit kryptografischen Verfahren. In groben Zügen veröffentlichen Netzwerke Informationen, die die Zusammensetzung autorisierter Pfade ermöglichen. Die Datenebene trägt anschließend Pfadinformationen in Paketen, sodass Router gemäß der gewählten Route weiterleiten können, ohne bei jedem Hop denselben globalen Routenlookup wie im klassischen BGP/IP-Forwarding durchzuführen.

Die Kryptografie ist deshalb wichtig, weil sie unautorisierte Pfadmanipulation erschwert und Teilnehmern ermöglicht zu prüfen, dass Pfadinformationen im erwarteten Kontrollrahmen erzeugt wurden. „Kryptografisch abgesichert“ darf jedoch nicht als „fehlersicher“ missverstanden werden. Schlüssel können fehlerhaft verwaltet werden, Software kann Defekte enthalten, Administratoren können Richtlinien falsch konfigurieren, und legitime Netze können weiterhin Ausfälle oder Staus erleben. Sicherheitsgrenzen sind durch Implementierung und Betrieb begrenzt.

Die stärkere Aussage ist: SCION erhöht die Kosten bestimmter Angriffe und Fehler, indem es ändert, was gefälscht oder kompromittiert werden muss. Es gibt Endpunkten und Betreibern außerdem mehr Information über verfügbare Pfade. Das kann die Abhängigkeit von intransparenten Routenweitergaben reduzieren und Durchsetzung von Richtlinien gezielter machen.

Für Perrig ist dies eine Fortführung sicherheitswissenschaftlichen Denkens. Ein Protokoll sollte nicht allein darauf vertrauen, dass alle Teilnehmer korrekt handeln. Es sollte wichtigen Zustand verifizierbar machen und den Schaden begrenzen, den ein kompromittiertes Element anrichten kann. SCIONs Isolation und Pfadvalidierung setzen genau diesen Grundsatz auf Inter-Domain-Ebene um.

Die Architektur braucht dennoch physische Router, Glasfaser, Zugangsnetze, Strom, Softwareverteilung und Fachkompetenz. Kryptografisch geschützte Steuerdaten können keinen Verkehr über eine kaputte Leitung tragen, keine Kapazität bei größeren Störungen liefern und keine kommerziellen Streitfälle lösen. Die öffentliche Rhetorik eines „sicheren Internets“ sollte daher in eine präzisere Aussage übersetzt werden: SCION zielt auf stärkere Zusicherung für autorisierte Pfade und Vertrauensgrenzen, während physische und institutionelle Realitäten der Netze unverändert bestehen bleiben.

Pfadbewusstsein verlagert Entscheidungen zu den Endpunkten

Pfadbewusstes Networking ist eine weitere zentrale SCION-Idee. Statt einem Sender nur ein Ziel zu präsentieren und die Zwischenrouting-Prozesse den Pfad unsichtbar wählen zu lassen, kann die Architektur mehrere autorisierte Pfade offenlegen. Ein Sender, ein Host-Service oder ein Netzwerk-Richtliniensystem kann dann nach Latenz, Pfaddisjunktheit, Jurisdiktion, Kosten, Präferenz des Anbieters oder anderen Beschränkungen auswählen.

Das bedeutet nicht, dass jeder Endnutzer manuell eine Route wählen muss. Das sollte die Mehrheit nicht tun. Pfadbewusstsein schafft eine Steuerungsebene, auf der Software, Unternehmen und Dienstanbieter Policy ausdrücken können. Eine kritische Anwendung könnte zwei disjunkte Pfade bevorzugen und zwischen ihnen failovern. Ein regulierter Dienst könnte eine bestimmte Jurisdiktion vermeiden. Eine latenzkritische Last könnte kurzzeitig einen kurzen Pfad bevorzugen, bis Stau einen anderen routinemäßig sinnvoller macht.

Die Verschiebung verändert Machtbeziehungen. Netzwerke entscheiden weiterhin, welche Pfadsegmente sie bewerben und zu welchen kommerziellen Konditionen. Endpunkte erhalten eine deutlich sichtbarere Wahl zwischen diesen autorisierten Optionen. Anwendungs- und Plattformbetreiber können Einfluss gewinnen, weil sie Pfadauswahl in die Service-Logik integrieren können. Regulierer könnten versuchen, zulässige Pfadrichtlinien für sensible Sektoren festzulegen. Die Architektur verteilt Kontrolle anders; sie beseitigt Kontrolle nicht.

Perrigs Arbeit ist insbesondere relevant, weil Internetinfrastruktur zunehmend nicht nur nach Durchschnittserreichbarkeit bewertet wird, sondern nach Herkunftsnachweis und Abhängigkeiten. Cloud-Dienste, Zahlungsnetze, Gesundheitssysteme und industrielle Steuerungssysteme müssen Konzentrationen und gemeinsame Ausfallpfade verstehen. Pfadbewusstsein kann Alternativen sichtbar machen, die konventionelles Routing der Anwendungsschicht nicht klar vermittelt.

Der Wert hängt von vertrauenswürdigen Informationen und brauchbaren Werkzeugen ab. Zu viele Auswahlmöglichkeiten ohne verlässliche Messdaten können den Betrieb erschweren. Richtlinien können in Konflikt geraten. Ein Pfad, der aus Jurisdiktionssicht attraktiv wirkt, kann schlechter performen. Ein auf Disjunktheit ausgelegter Pfad kann gemeinsame physische Infrastruktur nutzen. Die Architektur ermöglicht explizitere Entscheidungen, aber physische und organisationale Abhängigkeitsbelege bleiben weiterhin essenziell.

Mehrwegeoptionen verbessern die Resilienz nur bei echter Vielfalt

SCION wird häufig mit Resilienz assoziiert, weil es mehrere Wege sichtbar macht und schnelles Umschalten unterstützt. Der Mechanismus ist plausibel: Wenn Endpunkte mehrere autorisierte Routen kennen, können sie bei Degradation eines Pfads ausweichen. Das kann die Abhängigkeit von langsamer globaler Rekonvergenz reduzieren und kritischen Diensten direktere Wiederherstellungsoptionen geben.

Der praktische Nutzen hängt von echter Vielfalt ab. Zwei logische Pfade können unterschiedliche autonome Systeme durchlaufen und dennoch dieselbe Glasfasertrasse, dieselbe Stromumschaltstation, dasselbe Rechenzentrumsstandort oder denselben Upstream-Anbieter teilen. Kryptografische Pfadinformation kann nicht allein jede physische gemeinsame Ursache aufdecken. Betreiber benötigen Topologiewissen, Vertragsinformationen und Messungen, um zu prüfen, ob Alternativen tatsächlich unabhängig sind.

Resilienz hängt auch von Vorbereitung ab. Eine Ersatzroute, die nie Produktionsverkehr trug, kann im Bedarfsfall versagen. Die Kapazität kann unzureichend sein. Sicherheitsrichtlinien können den Primärpfad zulassen, aber die Alternative blockieren. Monitoring erkennt partielle Degradation möglicherweise nicht schnell genug. SCION kann Failover kontrollierbarer machen, doch operative Disziplin bleibt entscheidend.

Diese Unterscheidung schützt die Analyse vor Marketingsprache. „Resilient“ sollte nicht als dauerhafte Eigenschaft des Protokolls verstanden werden. Es ist ein Ergebnis aus Architektur, vielfältiger Infrastruktur, getesteten Richtlinien und kompetentem Betrieb. Perrigs Entwurf kann die Optionen für Betreiber verbessern; er kann nicht garantieren, dass diese Optionen gekauft, konfiguriert oder erhalten werden.

Das Gleiche gilt für Angriffswiderstand. Pfadkontrolle kann bei bestimmten Denial-of-Service-Szenarien Umwege ermöglichen, und Isolation kann manche Kontrollflächen-Ausfälle begrenzen. Ein ausreichend großer Angriff kann dennoch Links oder Endpunkte erschöpfen. Ein kompromittierter autorisierter Teilnehmer kann weiterhin innerhalb seines Bereichs Schaden verursachen. Der Beitrag ist eine strukturierte Verteidigungs- und Wiederherstellungsoberfläche, nicht Immunität.

SCION trennt Routing-Architektur von physischem Eigentum

Perrig betreibt nicht die Telekommunikationsnetze, über die SCION-Verkehr läuft. Die Architektur hängt von Trägern, Internetdienstanbietern, Unternehmensnetzen, Rechenzentren und Austauschinfrastrukturen ab, die weiterhin in eigener Hand und eigener Verantwortung stehen. Diese Grenze ist wichtig, weil öffentliche Debatten das Entwerfen eines Routing-Systems manchmal mit dem Betrieb des zugrunde liegenden Netzes verwechseln.

Eine Architektur kann Paketformate, Vertrauensbeziehungen, Kontrollnachrichten und Pfadauswahl definieren. Sie kann aber nicht erzwingen, dass ein Betreiber Software installiert, Kapazität bereitstellt oder sich mit einem anderen Teilnehmer verbindet. Anapaya kann Produkte und Support verkaufen. Die SCION Association kann Spezifikationen und Community-Arbeit koordinieren. ETH kann forschen und publizieren. Keiner dieser Akteure kann globales Netzwerkvermögen allein umkehren oder erzwingen.

Diese geschichtete Abhängigkeit ist ein Grund, warum Schweizer Einsätze relevant sind. Sie zeigen Organisationen, die die Architektur in eine reale Betriebsumgebung überführen. Der Evidenzstand ist stärker als ein Laborprototyp, aber enger als eine universelle Adoption. Er zeigt, dass das System mit Produktionsanforderungen integrierbar ist, nicht dass jede Klasse von Netzen das Übergangsproblem gelöst hat.

Die Trennung von Architektur und Eigentum beeinflusst auch Verantwortlichkeit. Wenn ein SCION-Dienst ausfällt, kann die Ursache in Software, lokaler Konfiguration, einer zugrunde liegenden Leitung, einem Anbietervertrag oder einer Anwendungspolitik liegen. Betreiber benötigen klare Verantwortungsgrenzen. Eine neue Kontrollebene sollte nicht zur Ausrede werden, Ausfälle hinter einem mehrschichtigen Stacksystem zu verschleiern.

Perrigs Einfluss ist daher architektonisch und institutionell. Er hat den Entwurf geprägt und Organisationen geschaffen, die ihn unterstützen. Operative Autorität bleibt verteilt auf diejenigen, die das System einführen und betreiben. Das ist keine Schwäche des Profils; es ist die normale Bedingung interdomänenbasierter Infrastruktur.

Anapaya Systems übersetzte Forschung in ein kommerzielles Betriebsmodell

Anapaya Systems wurde 2017 gegründet. Öffentliche Unterlagen nennen Perrig als Mitbegründer neben weiteren ETH-gebundenen Gründern, darunter David Basin, Peter Müller und Samuel Hitz. Zweck des Unternehmens ist es, SCION-Konzepte und -Software in Produkte, Integrationsdienstleistungen und Support zu überführen, die Organisationen beschaffen und betreiben können.

Kommerzialisierung verändert die Arbeitsweise. Eine Forschungsimplementierung kann eine Architektur demonstrieren. Ein Produktanbieter im Betrieb muss Releases, Sicherheitsupdates, Dokumentation, Kundenanforderungen, Interoperabilität, Support-Verpflichtungen und Haftungsfragen managen. Er muss in bestehende Netze passen statt einen blanken Raum zu unterstellen. Er muss klar regeln, wer jede Komponente betreibt und was geschieht, wenn Abhängigkeiten ausfallen.

Perrigs Rolle als Mitbegründer verknüpft ihn direkt mit dieser Übergangsphase, doch das Unternehmen ist keine Fortsetzung einer Einzelperson. Exekutive, Ingenieure, Investoren, Kunden und Partner prägen Produktentscheidungen. Öffentliche Quellen legen nicht jede Vertragsbedingung, Umsatzkennzahl oder interne Verteilungsregel offen. Es wäre daher falsch, Perrig als Person als jemanden zu schildern, der Anapayas Betrieb oder kommerzielle Ergebnisse persönlich kontrolliert.

Anapaya bringt zudem Anreize ein, die sich von der Wissenschaft unterscheiden. Ein Unternehmen braucht Umsatz und wiederholbare Deployments. Es kann Features priorisieren, die Kunden erwerben, Sektoren mit hohen Sicherheitsanforderungen auswählen und Partnerschaften nutzen, die die Adoption beschleunigen. Diese Anreize können die Umsetzungsqualität stärken, aber auch Bedenken über Anbieterabhängigkeit oder proprietäre Konzentration um eine Architektur schaffen, die als geteilte Infrastruktur positioniert wird.

Die langfristige Prüfung lautet, ob kommerzielle Produktivierung und offene Ökosystementwicklung einander verstärken. Kunden benötigen verlässliche Lieferanten. Das größere System benötigt Interoperabilität und die Fähigkeit, nicht in einen einzelnen Anbieter verstrickt zu werden. Perrigs Karriere ist wichtig, weil er an der Grenze zwischen technischer Architektur und Marktstruktur steht.

Die Produktschicht ist nicht identisch mit dem Protokoll

SCION als Architektur, Open-Source-Code und Communitiespezifikation ist von den kommerziellen Produkten von Anapaya zu unterscheiden. Das Protokoll definiert interoperables Verhalten und Sicherheitsmechanismen. Ein Anbieter verpackt diese Mechanismen zu ausrollbaren Komponenten, Managementsystemen, Supportangeboten und operativen Workflows.

Diese Unterscheidung ist in der Internetinfrastruktur vertraut, wird bei Profiltexten aber häufig verwischt. TCP ist kein Betriebssystemanbieter. BGP ist kein Routerhersteller. In gleicher Weise sollte SCION nicht auf Anapaya reduziert werden, obwohl Anapaya ein bedeutender Weg ist, über den Organisationen produktive Einsatzfähigkeit erhalten.

Diese Unterscheidung schafft Anforderungen an Governance. Teilnehmende müssen wissen, welche Teile des Stacks offen spezifiziert sind, welche Implementierungen verfügbar sind und wie Kompatibilität getestet wird und ob Daten oder Konfigurationen zwischen Anbietern transferierbar sind. Ein gesundes Ökosystem kann kommerzielle Anbieter einschließen, ohne einen einzelnen Anbieter zur einzigen Gültigkeitsquelle werden zu lassen.

Perrigs Position umfasst beide Seiten. Als akademischer Architekt interessiert er sich an der Integrität und Weiterentwicklung des Designs. Als Mitbegründer half er ein Unternehmen aufzubauen, dessen Erfolg von Adoption abhängt. Diese Rollen sind vereinbar, aber nicht identisch. Die Analyse sollte das potenzielle Spannungsfeld zwischen Interessen anerkennen statt entweder reinen Gemeinwohl- oder rein kommerziellen Motiven unterstellt zu werden.

Die SCION Association ist eine Reaktion auf diese Spannung. Durch eine separate Mitglieds- und Governance-Institution kann das Ökosystem über ein einzelnes Unternehmen oder Labor hinaus koordiniert werden. Ob diese Trennung ausreicht, hängt von Beteiligung, Entscheidungsregeln, Implementierungsvielfalt und der praktischen Fähigkeit der Mitglieder ab, die Richtung mitzubestimmen.

Das Secure Swiss Finance Network liefert den klarsten Produktionsfall

Das Secure Swiss Finance Network, gemeinhin als SSFN bezeichnet, ist das deutlichste öffentlich dokumentierte Beispiel für SCIONs operative Relevanz. SIX, Betreiber zentraler Schweizer Finanzmarktinfrastruktur, entwickelte das Netzwerk mit Telekommunikations- und Technologiepartnern zur geschützten Kommunikation für Finanzinstitute und angebundene Dienstleister. Öffentliche Ankündigungen benennen SCION als architektonische Grundlage.

Die Bedeutung liegt nicht darin, dass der Finanzsektor das öffentliche Internet verlassen hat. SSFN ist eine spezialisierte Netzumgebung für Teilnehmer, die kontrollierten Zugang, Pfadsicherung und Resilienz benötigen. Es zeigt, wie ein Routing-Architekturansatz zunächst in begrenzten Communities mit hohem Nutzen von stärkerem Vertrauen und Routing-Policy eingeführt werden kann, wenn die Umstellungskosten gerechtfertigt sind.

SIX berichtete, dass der Produktionsbetrieb so weit fortgeschritten war, dass das frühere Finance IPNet abgewickelt wurde und die Umstellung 2024 abgeschlossen sei. Spätere öffentliche Unterlagen nannten über hundert angeschlossene Teilnehmer und eine Nutzung über den Finanzbereich hinaus in Bereichen wie Bildung, Gesundheit, Energie und Zahlungen. Diese Zahlen belegen ein reales Ökosystem, klären aber nicht Verkehrsvolumina, Service-Level-Performance oder den Anteil der Kommunikation je Sektor über SCION.

Der SSFN-Fall zeigt auch kollektive Zuschreibung. Perrigs Architektur ist grundlegend, doch SIX, Swisscom, Sunrise, SWITCH, Anapaya, beteiligte Institutionen und ihre technischen Teams führten die Deployments durch. Regulierer und Sektoranforderungen prägten die Nachfrage. Ein Personenprofil sollte Perrig mit der Architektur verbinden, ohne ein gemeinschaftliches Programm in eine Einzelpersönlichkeit zu verwandeln.

Für globale Beobachter liefert der Fall einen begrenzten Nachweis: SCION kann produktionstaugliche Dienste über mehrere Organisationen stützen. Er beweist nicht, dass das gleiche Modell den BGP-Ersatz für allgemeinen Internetzugang bedeutet. Die Bedingungen eines kontrollierten kritischen Infrastrukturnetzes unterscheiden sich vom offenen globalen Routing-System.

Wahrnehmung in kritischer Infrastruktur

Finanzen, Energie, Gesundheit und öffentliche Dienste haben Gründe, SCION anders zu bewerten als ein Consumer-Breitbandanbieter. Sie können stärkere Kontinuitätsanforderungen, Regulierungsprüfung, Vertragsverpflichtungen und Sensitivität gegenüber den Jurisdiktionen oder Betreibern haben, durch die Datenströme geleitet werden. Ein pfadbewusstes System kann diese Bedenken in explizite technische Richtlinien übersetzen.

Das macht Adoption nicht automatisch. In kritischen Infrastrukturen herrscht ausgrenzend oft Zurückhaltung, weil Ausfälle hohe Kosten verursachen. Es braucht Beschaffungsnachweise, Anbietersupport, Integrationstests und lange Wartungshorizonte. Eine neue Routing-Architektur muss nicht nur Sicherheit, sondern Betriebsfähigkeit belegen. Personal benötigt Schulung. Incident-Response-Teams benötigen Transparenz. Bestehende Anwendungen und Sicherheitskontrollen müssen weiter funktionieren.

Die Schweizer Erfahrung legt nahe, dass Adoption über eine Gemeinschaft mit gemeinsamen Anforderungen und einer koordinierenden Institution erfolgen kann. Dieses Modell dürfte realistischer sein als die Annahme, dass unverbundene Netze unabhängig wechseln. Es schafft ein abgegrenztes Wertversprechen und einen Governance-Kontext, in dem Vertrauenswurzeln, Mitgliedschaft und Serviceerwartungen vereinbart werden können.

Dasselbe Modell kann Konzentration erzeugen. Wenn eine koordinierende Organisation, ein Anbieter oder ein Telekommunikationspartner unentbehrlich wird, ersetzt das System möglicherweise eine Abhängigkeit durch eine andere. Kritische Nutzer brauchen getestete Ausstiegswege, alternative Anbieter und Klarheit darüber, wer Vertrauens- oder Routing-Richtlinien ändern darf.

Perrigs Architektur stellt Werkzeuge für explizite Kontrolle bereit, doch Governance entscheidet, wie diese genutzt werden. Der langfristige Wert von SCION hängt davon ab, ob Einsätze die versprochene Wahlfreiheit und Ausfallisolation erhalten oder ob operative Macht um kleine Gruppen intermediärer Akteure konzentriert wird.

Die SCION Association markiert den Wechsel vom Projekt zum Ökosystem

Die SCION Association wurde 2023 als Organisation gegründet, die der Weiterentwicklung und Adoption der Architektur gewidmet ist. Öffentliche Unterlagen nennen Perrig in einer beratenden Rolle und identifizieren ihn als Vorsitzenden des Advisory Board. Die Association vereint Mitglieder aus Forschung, Industrie und operativen Gemeinschaften.

Die Gründung einer Association ist ein bedeutender institutioneller Schritt. Forschungsprojekte können durch eine Principal Investigator-Struktur geleitet werden. Unternehmen durch Unternehmensführung. Gemeinsame Infrastruktur braucht ein Forum, in dem Teilnehmende Spezifikationen, Software, Veranstaltungen, Deployment-Praktiken und Repräsentation koordinieren, ohne vorauszusetzen, dass ein Gründer die dauerhafte Entscheidungsrolle behält.

Das Bestehen der Association beweist nicht automatisch dezentrale Governance. Relevant sind Fragen zu Mitgliedervielfalt, Stimm- und Entscheidungsrechten, technischen Änderungsprozessen, Konformität von Implementierungen und dem Verhältnis zwischen Anbietern, Betreibern und akademischen Institutionen. Beratender Status kann intellektuelle Kontinuität stiften, operative Legitimation hängt jedoch von breiter Beteiligung ab.

Perrigs Vorsitz im Advisory Board macht seinen Einfluss sichtbar. Er ist jedoch kein Alleininstrument für Mitglieder oder Deployments. Beratung kann Prioritäten und Interpretation prägen, während Gremien, Personal, Arbeitsgruppen und teilnehmende Organisationen ihre eigenen Verantwortungen behalten.

Der Schritt vom Projekt zur Association entspricht einem Muster in der Internetinfrastruktur. Dauerhafte Systeme entwickeln Institutionen rund um Code und Standards, weil Wartung, Identität, Vertrauen und Streitbeilegung nicht allein durch Software zu leisten sind. Die Association ist damit Teil der SCION-Infrastruktur, nicht nur ein Kommunikationsorgan.

Governance ist ein Bestandteil der Architektur, kein externer Zusatz

SCIONs Isolation Domains machen Governance auf der technischen Ebene sichtbar. Jemand muss entscheiden, welche Entitäten zu einer Domain gehören, welche Vertrauenswurzeln akzeptiert werden, wie Richtlinien geändert werden und wie Teilnehmer auf Kompromittierungen reagieren. Die Architektur entfernt nicht diese Entscheidungen. Sie schafft eine Struktur, in der diese lokal getroffen und explizit repräsentiert werden können.

Das hat Vorteile. Eine Domain kann Verantwortung mit den Organisationen synchronisieren, die von ihren Entscheidungen betroffen sind. Sie kann Vertrauen aktualisieren, ohne eine universelle Zustimmung zu erwarten. Sie kann Anforderungen passend zu einem Sektor oder einer Jurisdiktion setzen. Lokale Fehler bedeuten nicht automatisch eine Neuvalidierung überall.

Es erzeugt aber auch Risiken. Mitgliedschaft kann zu einem Gatekeeping-Instrument werden. Vertrauensregeln können intransparent bleiben. Domains können divergieren und Interoperabilitätskosten erhöhen. Mächtige Teilnehmer können Policy über ihre formelle Rolle hinaus beeinflussen. Technische Nutzer können wenig Stimme haben, wenn die Governance von Anbietern oder institutionellen Sponsoren dominiert wird.

Perrigs öffentliche Arbeit betont Sicherheit und Pfadkontrolle, doch die Erfolgsbedingungen dieser Eigenschaften hängen von der Governance-Qualität ab. Eine kryptografisch verifizierbare Entscheidung kann weiterhin eine schlechte Richtlinie bestätigen. Die Verifikation zeigt, dass eine Regel angewendet oder eine Aussage autorisiert wurde; sie belegt nicht automatisch deren Legitimität.

Diese Unterscheidung passt zur zentralen Analyseidee von Lu Heng: technische Gültigkeit und institutionelle Autorität dürfen nicht verwechselt werden. Hengs Sichtweise ist ein analytischer Rahmen, keine unabhängige Evidenz zu SCION. Sorgfältig angewendet hilft er zu erkennen, wo der reale Test liegt. SCION sollte nicht nur danach beurteilt werden, ob Pakete und Pfade validieren, sondern ob Teilnehmende transparente, anfechtbare und portable Wege behalten, um die Institutionen zu wählen, denen sie vertrauen.

Souveränität kann Wahl bedeuten, ohne Isolation zu erzwingen

SCION wird häufig im Zusammenhang mit digitaler Souveränität diskutiert. Der Begriff kann irreführend sein, weil er für nationale Kontrolle, Datenlokalisierung, Beschaffungsunabhängigkeit und Resilienz gegenüber ausländiger Abhängigkeit verwendet wird. SCIONs Pfad- und Vertrauensmodell kann einige dieser Ziele unterstützen, legt aber keine einheitliche politische Interpretation fest.

Eine Regierung oder regulierte Branche kann Pfadrichtlinien nutzen, um Routen über bestimmte Jurisdiktionen oder vertrauenswürdige Anbieter zu bevorzugen. Eine Isolation Domain kann ein nationales oder sektorales Vertrauensrahmenwerk abbilden. Diese Möglichkeiten können unbekannte Zwischenhändler stärker sichtbar machen und Abhängigkeit greifbarer machen.

Dasselbe kann genutzt werden, um Konnektivität einzuschränken oder politischen Kontrolle zu verstärken. Die Architektur entscheidet nicht, ob Souveränität Benutzer, Institutionen oder staatliche Autorität schützt. Governance und Recht bestimmen die Anwendung. Ein Profil sollte deshalb nicht behaupten, Souveränität sei automatisch ein positiver technischer Ausgang.

Die tragbarere Erkenntnis ist Optionenzunahme. Teilnehmende können Routen- und Vertrauenspräferenzen formulieren, ohne dass die gesamte Welt eine einzige Politik übernehmen muss. Inter-Domain-Kommunikation kann weiterhin zwischen unterschiedlichen lokalen Frameworks bestehen. Das ist Souveränität als begrenzte Wahl statt universeller Ausschluss.

Ob dieses Gleichgewicht langfristig trägt, bleibt offen. Wenn Domains umfangreiche bilaterale Vertrauensverhandlungen erfordern, kann die Komplexität steigen. Wenn ein kleiner Kern von Domänen zu Gateways für den Großteil des Verkehrs wird, kann Kontrolle rezentralisieren. Wenn Schnittstellen stabil bleiben und Mitgliedschaften plural bleiben, kann die Architektur Vielfalt unterstützen ohne Fragmentierung.

Perrigs Relevanz liegt darin, dass er ein konkretes Design geliefert hat, an dem diese Fragen geprüft werden können. Die Debatte verlagert sich dadurch von abstrakten Forderungen nach einem „souveränen Internet“ zu operativen Entscheidungen über Pfadrichtlinien, Vertrauenswurzeln und Inter-Domain-Kompatibilität.

Übergangskosten sind Teil des realen Sicherheitsmodells

Ein sicheres Design, das sich nicht deployen lässt, hat geringen Infrastrukturwert. SCION muss mit dem konventionellen Internet koexistieren, weil Betreiber das globale Routing nicht in einem koordinierten Ereignis ersetzen können. Gateways, Overlay-Konzepte, dienstspezifische Netze und inkrementelle Einführung werden deshalb Teil des Übergangsmodells.

Koexistenz erzeugt Komplexität. Betreiber müssen möglicherweise sowohl SCION- als auch IP/BGP-Pfade vorhalten. Fehlersuche erstreckt sich über mehrere Steuerebenen. Sicherheitsteams müssen verstehen, wo Verkehr zwischen Architekturen übergeht. Anwendungsentwickler benötigen möglicherweise Bibliotheken oder Dienste, die pfadbewusste Funktionen nutzen und zugleich Fallbacks beibehalten.

Diese Kosten können eigene Sicherheitsrisiken erzeugen. Doppelsysteme vergrößern die Konfigurationsoberfläche. Ein Gateway kann Bottleneck oder Angriffsziel werden. Inkonsistente Richtlinien können dazu führen, dass ein schwächerer Fallback unerwartet genutzt wird. Das Personal kennt oft den etablierten Stack besser als das neue System.

Die wirtschaftliche Belastung ist ungleich verteilt. Ein großes Finanzinstitut kann Integration und Tests finanzieren. Ein kleines Netz oft nicht. Anbieter und Shared-Service-Provider können Kosten reduzieren, aber damit Expertise und operative Abhängigkeit konzentrieren. Adoption reflektiert deshalb Organisationsfähigkeit ebenso wie technische Qualität.

Perrigs Arbeit ist ausreichend weit fortgeschritten, dass diese Übergangsfragen nicht mehr hypothetisch sind. Die Schweizer Einsätze liefern Hinweise, wie begrenzte Gemeinschaften den Übergang durchführen. Der Mangel an umfassenden globalen Metriken bedeutet, dass die Gesamtkostenkurve weiterhin unbekannt bleibt. Entscheidungsträger sollten Einsatzbelege als spezifisch lesen statt sie automatisch auf alle Netze zu übertragen.

Open-Source-Implementierung und gemeinsame Spezifikationen sind für den Ausstieg wichtig

Eine pfadbewusste Architektur kann Wahl versprechen und dennoch schwer zu verlassen werden, wenn Software, Managementschnittstellen oder operatives Wissen konzentriert sind. Open Specifications und Open-Source-Komponenten sind daher keine Nebenwirkungen. Sie sind Teil der langfristigen Steuerungsstruktur.

Teilnehmende benötigen die Fähigkeit, Protokollverhalten zu prüfen, unabhängige Implementierungen zu testen und Konfigurationen oder Richtlinien zu wechseln, ohne den gesamten Dienst neu aufzubauen. Anbieter benötigen stabile Schnittstellen, auf denen sie konkurrieren können. Forschende benötigen Zugriff, um Sicherheitsannahmen zu bewerten. Betreiber benötigen Werkzeuge, die nicht verschwinden, wenn ein Unternehmen seine Ausrichtung ändert.

Open Source garantiert keine praktische Unabhängigkeit. Ein Codebestand kann offen sein, aber zu komplex für die meisten Organisationen. Ein Anbieter kann den Großteil der Expertise beschäftigen. Zertifizierungs- oder Supportanforderungen können dennoch Lock-in erzeugen. Das geeignete Maß ist nicht die Lizenzform allein, sondern die Existenz glaubwürdiger Alternativen und geteilter Kompetenz.

Die SCION Association kann über Dokumentation, Konformitätsprüfung und Gemeinschaftsentwicklung dazu beitragen. Universitäten können Ingenieure ausbilden und Ideen testen. Kommerzielle Anbieter können verlässlichen Support liefern. Ein gesundes Ökosystem braucht all das, statt irgendeinen einzelnen Bereich als ausreichend zu betrachten.

Auch hier lohnt ein genauer Blick auf Perrigs Mehrfachrollen. Seine akademischen, unternehmerischen und associationbezogenen Beziehungen können Koordination verbessern, aber auch die Agenda-Setzung konzentrieren. Die angemessene Reaktion ist nicht, seinen Beitrag abzulehnen. Sie ist, Entscheidungsprozesse transparent zu machen und sicherzustellen, dass die Architekturversprechen zur Pfadauswahl auch institutionelle Wahlmöglichkeiten bieten.

Standardisierung ist kein Einzelereignis

SCION hat sich durch akademische Veröffentlichungen, Umsetzung, operative Zusammenarbeit und gemeinschaftliche Spezifikationen entwickelt. Der Weg zur breiteren Standardisierung unterscheidet sich von einem Protokoll, das in einer etablierten Standardsprache beginnt und sich direkt in Richtung RFC bewegt. Dieser Unterschied kann Experimente beschleunigen, wirft aber Fragen auf, wie unabhängige Prüfung und Interoperabilität organisiert sind.

Eine Spezifikation wird zu geteilter Infrastruktur, wenn unterschiedliche Organisationen sie konsistent implementieren, Sicherheitsannahmen überprüft werden und Änderungen vorhersehbar gesteuert werden. Veröffentlichung ist notwendig, aber nicht ausreichend. Test-Suites, Deployment-Erfahrung, Sicherheitsreaktion und Versionskompatibilität schaffen im Zeitverlauf die echte Standardbildung.

Perrigs Verhältnis zur weiteren Internet-Standards-Community ist daher kontextgebunden. SCION adressiert dieselbe Inter-Domain-Umgebung wie IETF-Protokolle, aber die institutionelle Entwicklung hat sich auf ETH, Anapaya, Deployment-Partner und die SCION Association konzentriert. Die Verknüpfung mit einem IETF-Eintrag spiegelt das breitere Protokollekosystem wider, nicht die Aussage, dass die IETF SCION steuert oder besitzt.

Die zentrale Beobachtungsfrage lautet, ob SCIONs technische und Governance-Prozesse für Organisationen außerhalb des Gründungsnetzwerks lesbar werden. Unabhängige Implementierungen, öffentliche Änderungsprotokolle und Beteiligung durch diverse Betreiber würden Vertrauen stärken. Eine Abhängigkeit von einer engen Gruppe würde die Behauptung, die Architektur könne allgemeine Alternative sein, begrenzen.

Standardisierung schließt auch Zurückhaltung ein. Nicht jedes deploymentspezifische Feature sollte in das gemeinsame Protokoll einfließen. Ein stabiler Mindeststandard kann Interoperabilität wahren und gleichzeitig lokale Policy- und Produktinnovation darüber hinaus erlauben. Dieser Grundsatz greift den minimalen Anfangsansatz und lokale Zukunftsentscheidungen auf, wie ihn Lu Heng analytisch betont, ohne daraus eigenständige Belege zu SCION abzuleiten.

Forschungsevidenz ist stärker als globale Wirkungsbeweise

SCION ist als Architektur ausführlich dokumentiert. Papers und Projektmaterial erläutern Isolation Domains, Pfadkonstruktion, kryptografische Verfahren und Weiterleitung. Öffentliche Deployment-Ankündigungen belegen, dass Organisationen die Lösung produktiv einsetzen. Das sind sinnvolle Beweisformen.

Ebenso wichtig ist, was fehlt. Öffentliche Quellen liefern keine vollständige Messung globaler SCION-Verkehre, keine belastbare Zahl an autonomen Systemen, die es tragen, keine konkreten durch Produkte verursachten Umsätze, keine detaillierten Vertragskonditionen oder unabhängigen Langzeitvergleiche in diversen Netzen. Auch Schweizer Angaben beschreiben eher Teilnehmer als Verkehrsvolumen oder Kritikalität jedes Dienstes.

Diese Lücke entwertet das Projekt nicht. Infrastrukturadaption ist oft geschäftlich sensibel und schwer zu messen. Sie bedeutet aber, dass Schlussfolgerungen geboten begrenzt bleiben: „In kritischer Infrastruktur eingesetzt“ ist belegt. „BGP weltweit ersetzt“ ist nicht. „Für stärkere Pfadsicherheit entworfen“ ist belegt. „Eliminiert Routing-Angriffe“ ist es nicht.

Diese Unterscheidung ist besonders wichtig für ein Gründungsprofil. Architekturvisionen können zu euphorischer Sprache führen. BTWs evidenzgeleitete Methode verlangt die Trennung von Designfähigkeit, Anbieterbehauptung, Produktionseinsatz und unabhängig gemessener Wirkung.

Perrigs belastbarster Beitrag ist nicht die globale Umstellung. Er ist, eine technisch kohärente Alternative so lange tragfähig gemacht zu haben, dass sie von der Forschung in mehrorganisatorische Produktion überführt wurde. Das ist bereits erheblich. Die nächste Phase braucht Evidenz zu Reichweite, Vielfalt, operativen Kosten und Governance-Leistung.

Sicherheitsbewertung muss Implementierung und Betrieb umfassen

Eine sichere Architektur kann über gewöhnliche Technik scheitern. Fehler in der Speicherverwaltung, Schlüsselmanagement-Schwächen, unsichere Update-Systeme, schwache Zugriffssteuerung und Monitoring-Lücken können Protokolleigenschaften unterlaufen. SCIONs kryptografisches Design reduziert manche Fehlerklassen, entbindet aber nicht von dieser Realität.

Produktive Nutzer benötigen Offenlegung von Schwachstellen, Patch-Verteilung, Abhängigkeitsmanagement und Störungskoordination. Sie müssen wissen, ob eine Schwachstelle ein bestimmtes Anbieterprodukt, eine Open-Source-Komponente oder das Protokoll selbst trifft. Sie benötigen Ausstiegspläne, die nicht stillschweigend die beabsichtigte Sicherheitsrichtlinie aufgeben.

Die Association und das Anbieterökosystem tragen daher eine fortlaufende Verpflichtung. Forschungspublikation erläutert das Modell. Operative Sicherheit erfordert Wartung. Die Geschwindigkeit und Transparenz in der Reaktion auf künftige Defekte wird ein stärkerer Test als allgemeine Aussagen über Secure-by-Design.

Perrigs akademische Autorität kann helfen, eine strenge Kultur zu etablieren, aber Autorität ersetzt nicht unabhängige Prüfung. Externe Forschende, konkurrierende Implementierungen und produktive Betreiber können Annahmen aufdecken, die einem Gründungsteam entgehen. Ein reifes Ökosystem fördert diese Prüfung.

Die Sicherheitsargumentation ist daher rekursiv. SCION versucht, die Abhängigkeit von unüberprüfter Routing-Information zu reduzieren. Seine Nutzer sollten nicht ausnahmslos auf unüberprüfte Sicherheitsaussagen der Architektur-Verfechter vertrauen. Evidenz, Tests und operative Transparenz bleiben auf jeder Ebene erforderlich.

Route-Choice-Optimierung zeigt, dass das Programm sich weiterentwickelt

Öffentliche ETH-Materialien von 2026 beschreiben fortgesetzte Arbeiten zur Route-Choice-Optimierung im Rahmen eines European-Research-Council-Projekts. Diese Entwicklung ist wichtig, weil Pfadbewusstsein ein neues Optimierungsproblem schafft. Sobald mehrere Pfade sichtbar sind, muss das System entscheiden, welcher Pfad beste Performance, Sicherheit, Kosten und Richtlinien erfüllt.

Diese Arbeit zeigt, dass SCION kein starres Protokoll ist, auf dem man nur auf Adoption wartet. Das Forschungsprogramm prüft weiter, wie Anwendungen und Netze die Steuerfläche nutzen können. Das ist eine Stärke, da operative Erfahrung die Evolution begleiten sollte. Es ist auch eine Governance-Herausforderung, weil Änderungen Kompatibilität wahren und vermeiden müssen, dass anspruchsvolle Plattformen gegenüber kleineren Teilnehmern unfaire Vorteile erhalten.

Route-Optimierung kann Leistung und Resilienz verbessern, aber die Zielfunktion ist entscheidend. Eine Plattform mit Latenzfokus kann Verkehr auf einen Anbieter konzentrieren. Ein Unternehmen mit Kostenschwerpunkt kann Vielfalt reduzieren. Ein Regulator mit Jurisdiktionsziel kann Laufwege verlängern. Eine Sicherheitsrichtlinie kann mit Servicequalität kollidieren.

Der Wert der Pfadbewusstheit besteht genau darin, dass diese Trade-offs ausdrückbar werden. Das Risiko ist, dass sie in proprietären Auswahlsystemen verborgen bleiben. Betreiber und Nutzer brauchen ausreichend Transparenz, um zu verstehen, warum Verkehr umgeleitet wurde und welche Restriktionen galten.

Perrigs fortgesetzte wissenschaftliche Rolle hält ihn bei diesen zweiten Generationsthemen einbezogen. Sein Einfluss endet nicht beim ursprünglichen Architekturentwurf. Er erstreckt sich auf den Umgang mit der neuen Kontrollfläche. Wie zuvor hängen operative Ergebnisse von Teams und Institutionen über ihn hinaus.

Perrigs Kontrollbereich ist breit, aber indirekt

Perrig hat direkte Autorität innerhalb seiner Arbeitsgruppe und dokumentierte Leitung über das SCION-Forschungsprogramm. Als Mitbegründer half er, Anapaya aufzubauen. Als Vorsitzender des Advisory Board kann er die strategische und technische Diskussion in der Association beeinflussen. Das sind substanzielle Rollen.

Er betreibt jedoch nicht die Carrier, Banken, Krankenhäuser, Energieunternehmen oder öffentlichen Netze, die SCION nutzen könnten. Er legt nicht deren Beschaffungsstrategie oder Routing-Konfiguration fest. Er kann nicht erzwingen, dass Anbieter die Architektur implementieren oder Kunden Verträge verlängern. Er verwaltet weder DNS-Root, Internet Exchanges noch Cloud-Plattformen, nur weil SCION mit diesen Ebenen interagiert.

Sein Wirkungspfad ist daher sequentiell. Forschung definiert eine Architektur. Software und kommerzielle Produkte machen sie deploybar. Partner integrieren sie in physische Netze und Dienste. Eine Association koordiniert gemeinsame Entwicklung. Betreiber entscheiden über Einsatz und Nutzung. Regulierer und Kunden prägen das Anreizfeld.

Einfluss kann am Anfang dieser Kette stark, am Ende schwächer sein. Perrig kann das Problem rahmen und Mechanismen vorschlagen. Er kann keine Marktgröße und operative Qualität garantieren. Diese Unterscheidung sollte in jeder Darstellung seiner Rolle erhalten bleiben.

Die begrenzte Darstellung ist nützlicher als ein heroisches Narrativ. Sie zeigt, wo Entscheidungsträger seine Wirkung beobachten können: Forschungsprioritäten, Architekturänderungen, Anapayas Produktrichtung, Association-Governance und die Sektoren, die Deployment wählen. Sie zeigt aber auch, wo Evidenz von anderen stammen muss: Verkehrs- und Ausfallregister, Kundenresultate und unabhängige Sicherheitsbewertung.

Der Infrastruktur-Auswirkungsmechanismus

Perrigs Infrastrukturwirkung kann in sieben verbundenen Stufen beschrieben werden. Erstens schafft Sicherheitsforschung eine Grundlage für das Behandeln von Routing-Information und Vertrauen als verifizierbaren Zustand. Zweitens machte das SCION-Programm diese Prinzipien in eine kohärente Inter-Domain-Architektur. Drittens bot ETH Kontinuität, Forschungsfähigkeit und Implementierungsarbeit. Viertens machte Anapaya die Architektur zu Produkten und Services, die Organisationen beschaffen können. Fünftens liefern Schweizer Finanz- und kritische Infrastruktur-Einsätze operativen Nachweis.

Sechstens schuf die SCION Association eine Institution im Ökosystem. Siebtens formen laufende Forschung und Einsatzrückkopplung weiterhin Pfadauswahl und Governance.

Jede Stufe verändert die Art der zuständigen Autorität. Akademische Autorschaft ist intellektuell. Unternehmensgründung fügt Exekutiv- und kommerzielle Verantwortung hinzu. Produktive Bereitstellung bringt vertragliche und operative Rechenschaft ein. Assoziationsarbeit bringt kollektive Governance. Keine kann die andere ersetzen.

Die Kette erklärt auch, warum Attribution kollektiv bleiben muss. Perrig ist die zentrale verbindende Figur, doch das Ergebnis hängt von Co-Autoren, Mitgründern, Ingenieuren, Betreibern, Finanzinstitutionen, Telekommunikationsanbietern, Behörden und Nutzern ab. Der Wert der Architektur entsteht aus deren Interaktion.

Dieser Mechanismus ist kein Beweis für unvermeidliche Skalierung. Er ist eine Karte dafür, wie Skalierung entstehen kann. Wenn Produkte zuverlässig bleiben, Governance weiter öffnet, Betreiber Nutzen sehen und unabhängige Implementierungen wachsen, kann SCIONs Einfluss ausbauen. Wenn Kosten hoch bleiben, Expertise konzentriert oder allgemeine Netze wenig Vorteil sehen, bleibt SCION eine spezialisierte kritische-Infrastrukturlösung.

SCION im Vergleich zu inkrementellen Routing-Sicherheitsverbesserungen

SCION sollte nicht so bewertet werden, als wäre die einzige Alternative ein ungeschütztes BGP. Im bestehenden Internet wurden inkrementelle Schutzmaßnahmen entwickelt, darunter RPKI-basierte Origin-Authentifizierung, Filterung, Monitoring und aufkommende Verfahren zur Validierung zusätzlicher Teile des AS-Pfads. Diese Mechanismen verbessern Sicherheit, ohne das Grundschema der Inter-Domain-Architektur zu ersetzen, und profitieren von Kompatibilität mit bestehenden Routern und Betriebsbeziehungen, obwohl ihre Einführung unvollständig bleibt und jeder Mechanismus nur Teile des Problems abdeckt.

Der Vergleich klärt SCIONs Ansatz. RPKI-basierte Origin-Validierung kann helfen, zu prüfen, ob ein Prefix von der legitimen Ressourceneinheit angekündigt wurde. Sie exponiert normalerweise weder mehrere End-to-End-Pfade für Anwendungen noch paketgetragene Forwarding-Pfade noch organisiert sie Vertrauen durch SCION-ähnliche Isolation Domains. Filterung und Monitoring können Risiken senken, beruhen aber auf Betreiberaktionen und erkennen Probleme oft erst nach einer Verbreitung der Ankündigung. SCION integriert ein anderes Vertrauens- und Pfadmodell von Beginn an.

Diese architektonische Integration kann stärkere und kohärentere Eigenschaften liefern, erhöht aber die Schwelle der Umstellung. Ein Betreiber kann Origin-Validierung in eine bestehende BGP-Umgebung einfügen, ohne alle Kunden und Gegenparteien in eine neue Paketarchitektur zu bringen. Der Beitritt zu einem SCION-Ökosystem erfordert neue Kontroll- und Forwarding-Fähigkeiten, Policy-Integration und Beziehungen zu anderen SCION-Teilnehmern. Die relevante Frage lautet daher nicht, ob SCION „besser“ ist im Abstrakten, sondern ob zusätzlicher Kontroll- und Zusicherungsgewinn den organisatorischen Aufwand für einen bestimmten Dienst rechtfertigt.

Kritische Netze können dies bejahen, da Unsicherheit dort teuer ist. Breitbandzugänge mit allgemeiner Nutzungsorientierung können inkrementale Schutzmechanismen bevorzugen, weil Verbreitung und Kompatibilität dominieren. Beide Ansätze können koexistieren; ein Anstieg von RPKI widerlegt SCION nicht, und spezialisierte SCION-Einsätze machen inkrementelle BGP-Sicherheit nicht obsolet. Beide adressieren überlappende, aber nicht identische Risikoebenen im Routing.

Perrigs Beitrag wird klarer, wenn dieser Vergleich bestehen bleibt. Er schlug nicht lediglich einen weiteren Filter für das bestehende System vor. Er leitete den Versuch zur Umgestaltung von Pfad-, Vertrauens- und Weiterleitungsdarstellung. Das macht SCION strategisch bedeutsam, auch wenn seine langfristige Rolle möglicherweise komplementär und nicht universell bleibt.

Warum BTW Adrian Perrig beobachtet

BTW beobachtet Perrig, weil seine Karriere einen seltenen Blick auf Infrastrukturwandel über vier Ebenen bietet: Forschung, Protokollarchitektur, kommerzielle Übersetzung und Ökosystem-Governance. Er ist nicht nur ein Professor, der ein sauberes Neuentwurfsdesign veröffentlicht hat, und auch nicht nur ein Mitbegründer, der Sicherheitsprodukte verkauft. Er ist eine Person, an der der Versuch geprüft werden kann, eine alternative Inter-Domain-Architektur dauerhaft zu machen.

SCION ist für digitale Infrastruktur relevant, weil es Annahmen im konventionellen Routing herausfordert. Es macht Vertrauensgrenzen explizit, macht Pfadauswahl sichtbar und versucht, Ausfälle einzugrenzen. Das sind keine abstrakten Merkmale, wenn Regierungen und kritische Branchen Neuordnungen bei Jurisdiktion, Konzentration und Resilienz prüfen.

Die Architektur macht aber auch die Grenzen technischer Lösungen sichtbar. Vertrauensdomänen benötigen legitime Governance. Mehrere Pfade benötigen reale physische Vielfalt. Kryptografische Zusicherungen benötigen sichere Implementierungen. Kommerzielle Bereitstellung benötigt Ausstiegsoptionen. Ein System, das Abhängigkeit reduzieren will, kann neue Abhängigkeiten schaffen, wenn sein Ökosystem zu eng wird.

Perrig sollte deshalb weder als Erfinder gesehen werden, der das Internet ersetzen wird, noch als akademischer Fachmann, dessen Arbeit losgelöst vom Betrieb bleibt. Die Evidenz stützt eine differenzierte Zwischenposition: Er hat eine Architektur von Forschung zu begrenzter Produktion geführt, und die Institutionen rundum prüfen nun, ob stärkere Pfadkontrolle skaliert, ohne Offenheit und pluralistische Kontrolle zu opfern.

Hauptbelege und offene Fragen

Die zentrale Evidenzbasis dieses Profils besteht aus ETH-Zürich-Fakultäts- und Projektunterlagen, der Firmengeschichte von Anapaya, Publikationen der SCION Association, SIX-Ankündigungen zu SSFN und dem bereitgestellten fachspezifischen Forschungsdatensatz. Diese Quellen legen Rollen, Daten, Architekturkonzepte und dokumentierte Einsätze fest.

Sie liefern keine vollständige Einsicht in kommerzielle Verträge, Umsätze, Verkehrsvolumina, Kundenkonfigurationen, Störungsprotokolle oder interne Entscheidungsrechte bei Anapaya und der Association. Unternehmens- und Associationserklärungen sind Belege für offizielle Positionen, nicht für alle Leistungsansprüche.

Die offenen Fragen sind operativ: Wie viele unabhängige Netze nutzen SCION für maßgeblichen produktiven Verkehr? Wie vielfältig sind Implementierungen und Lieferanten? Wie schnell können Domänen nach Vertrauens- oder Softwarekompromittierung wiederherstellen? Wie hoch sind die Kosten der Koexistenz über ein Jahrzehnt? Bleiben Pfadauswahlentscheidungen für Kunden transparent? Können Teilnehmer Anbieter oder Governance-Domänen ohne disruptive Migration wechseln?

Diese Fragen kennzeichnen die nächste Phase der Geschichte. Perrigs Architektur ist über die Theorie hinausgegangen, doch ihre globale Rolle ist weiterhin offen.