Die Routen verschwanden, doch manche ägyptischen Pakete kamen noch hinaus

Zusammenfassung

• Am 27. Januar 2011 brach die globale Sichtbarkeit ägyptischer Routen stufenweise ein; eine andere Messung erfasste weiterhin einzelne Pakete mit ägyptischen Quelladressen.
• Diese Pakete belegen weder, dass gewöhnliche Nutzer öffentliche Dienste erreichen konnten, noch dass Verbindungen in beide Richtungen funktionierten.

Drei Messverfahren, drei Fragen

„Internetabschaltung“ klingt nach einem Schalter: eben noch verbunden, dann getrennt. Die Messungen aus Ägypten im Januar 2011 zeichnen ein weniger eindeutiges Bild. Die Forschenden beobachteten Routen, die im globalen Routing-System angekündigt wurden, Pakete an einem Netzwerkteleskop und Antworten auf aktive Probes. Jedes Verfahren erfasste eine andere Ebene der Konnektivität. Die Befunde ergänzen sich, sind aber nicht austauschbar.

Um 20:00 UTC am 27. Januar umfasste die Ausgangsmessung der Studie 2.928 sichtbare, in Ägypten gestartete IPv4-Präfixe. Um 20:24:11 verschwanden zunächst 15. Der große Einschnitt folgte später: Ab 22:12:26 verschwanden innerhalb von etwa 20 Minuten rund 2.500 Präfixe. Um 23:30 waren in dieser Messung nur noch 176 sichtbar. Der Rückgang war drastisch, doch gezählt wurden Routen – keine Menschen, erreichbaren Websites oder aktiven Haushaltsanschlüsse.

Ein Präfix, das aus den globalen Routing-Tabellen verschwindet, ist von Netzen, die diese Tabellen nutzen, schwer erreichbar. Sein Rückzug sagt jedoch nicht, ob ein Gerät vor Ort noch physisch verbunden war, über einen anderen Weg nach außen senden konnte oder eine bestimmte Anwendung funktionierte. Umgekehrt zeigt eine weiterhin angekündigte Route einen Pfad in der Kontrollebene; sie garantiert nicht, dass Pakete ihr Ziel erreichen.

Das Teleskop sah, was übrig blieb

Eine zweite Datenquelle war das Netzwerkteleskop der University of California, San Diego. Es beobachtet Pakete, die an ungenutzten Adressraum gerichtet sind. Der Messpunkt arbeitet passiv: Er fordert ägyptische Nutzer nicht zu Verbindungen auf und bildet ihre normalen Sitzungen nicht repräsentativ ab. Während der Unterbrechung sank der Verkehr mit ägyptischen Quelladressen stark, verschwand aber nicht vollständig.

Der Befund ist gerade deshalb nützlich, weil er leicht überinterpretiert wird. Ein Paket mit ägyptischer Quelladresse am Teleskop bedeutet, dass mindestens ein Paket von einer Quelle mit dieser Adresse einen Pfad genommen hat. Möglich sind ein weiterhin sichtbares Präfix, ein verbliebener Ausgangspfad trotz fehlender eingehender Erreichbarkeit oder unerwünschter Verkehr wie Scans. Die Beobachtung verrät weder Absender und Absicht noch Anwendung oder Empfang einer Antwort. Sie beweist nicht, dass jemand in Ägypten eine Nachrichtenseite öffnen, E-Mails senden oder ein Gespräch führen konnte.

Kontroll- und Datenebene können auseinanderlaufen. Ein Netz kann die Ankündigung eines Präfixes an die Welt einstellen und dennoch einige Pakete nach außen senden. Fehlt eine akzeptierte Rückroute, bleibt dieselbe Quelle von außen unerreichbar. Beobachteter ausgehender Verkehr und fehlende eingehende Erreichbarkeit widersprechen sich also nicht. „Einige Pakete kamen hinaus“ beschreibt eine begrenzte Beobachtung, nicht die allgemeine Verfügbarkeit des Internets.

Aktive Messungen machten die Lücke sichtbar

Die Forschenden nutzten außerdem CAIDA Ark, ein System für aktive Messungen an Adressbereichen. Während der Unterbrechung erhielten etwa 1 % der Messungen an ägyptische IPv4-Präfixe eine Antwort; an normalen Tagen waren es rund 16–17 %. Der starke Rückgang stützt den Befund, dass die Erreichbarkeit von diesen Messpunkten aus massiv abnahm. Er ist dennoch keine Quote für den Nutzerzugang: Die ausgewählten Adressen, antwortfähige Geräte und der Pfad jedes Probes beeinflussen das Ergebnis.

Zusammen ergeben die drei Datenströme mehr als jede einzelne Grafik. BGP zeigt, dass die meisten ägyptischen Präfixe aus der globalen Sicht verschwanden. Aktive Messungen zeigen, dass Antworten selten wurden. Das Teleskop zeigt, dass einzelne Pakete mit ägyptischen Quelladressen weiterhin einen externen Beobachter erreichten. Belegt ist eine umfassende, schwere Unterbrechung mit verbleibender Netzwerkaktivität. Eine einzige Prozentzahl der Ägypter, die noch „online“ waren, lässt sich daraus nicht ableiten.

Am 2. Februar kehrten Routen in den Messungen zurück; gegen 09:56 UTC waren wieder mehr als 2.500 Präfixe sichtbar. Das markiert eine Änderung der angekündigten Erreichbarkeit. Es datiert nicht automatisch die Wiederherstellung jedes Anbieters, jeder Anwendung oder jedes Kundenanschlusses.

Was der Routendatensatz nicht beantworten kann

Eine Routenchronologie ist kein Protokoll einer Anordnung. Um Betreiber nicht zu gefährden, anonymisierten die Forschenden die autonomen Systeme bewusst. Außerdem warnen sie, dass die Reihenfolge der Rückzüge die interne Abfolge von Entscheidungen nicht erkennen lässt. Eine Zeitreihe dokumentiert den von außen beobachteten Netzzustand, nicht interne Beratungen, Rechtsbefugnisse oder Anweisungen zwischen Beteiligten.

Bei einem politischen Ereignis ist diese Grenze wichtig. Die Routendaten belegen, dass sich die Erreichbarkeit in kurzer Zeit großflächig veränderte. Sie identifizieren nicht eigenständig die Entscheider jedes Netzes und erklären nicht jede Ausnahme. Wer aus einer Grafik Verantwortung ableitet, verlangt von den Messungen Aussagen, die sie nicht tragen.

Eine hilfreiche Analogie aus dem Internetdesign trennt einen veröffentlichten oder abgestimmten Zustand von dem Code und den Geräten, die Beteiligte tatsächlich betreiben. Heng Lus Note 64 formuliert diese Unterscheidung als Gestaltungsprinzip: Eine veröffentlichte Regel beweist nicht ihre Umsetzung. Hier hilft die Analogie nur, die Messebenen auseinanderzuhalten. Die Ägypten-Befunde stammen aus der Studie von 2011; die Note erklärt nicht, warum sich die Routen änderten.

Der Vorfall lässt sich deshalb weder treffend als „Ägypten war vollständig offline“ noch als „Pakete beweisen, dass das Internet weiterlief“ zusammenfassen. Die erste Aussage blendet verbliebene Routen und Pakete aus; die zweite macht aus einem schmalen Rest allgemeine Zugänglichkeit. Präziser ist eine gestufte Beschreibung: Die globale Routensicht brach ein, aktive Antworten wurden selten, ein Teil des ausgehenden Verkehrs blieb sichtbar, und die verfügbaren Messungen legen weder die interne Entscheidungskette noch die Erfahrung jedes Nutzers offen.