Zusammenfassung

  • AFRINIC erklärt, sein Board habe am 4. Februar 2026 den Abuse Contact Policy Update Draft 7 ratifiziert. Es handelt sich um einen eigenen Beschluss neben der am selben Tag verabschiedeten Transferregel.
  • Draft 7 macht abuse-c verpflichtend und verlangt ein gültiges, überwachtes, aktiv betreutes Postfach. Die Regel betrifft auch das Antwortverhalten: menschliche Intervention, Empfang von Belegen und kein erzwungenes Formular.
  • AFRINIC darf bei Anlage und Änderung, mindestens halbjährlich sowie immer dann prüfen, wenn es dies für angebracht hält. Meldungen über fehlende, falsche oder selektive Antworten können eine erneute Prüfung auslösen.
  • Die veröffentlichte Mitarbeiterbewertung bindet Support an Konformität und nennt bei anhaltender Nichtbefolgung einen möglichen Widerruf des RSA. Dieser Bericht findet keinen Beleg für eine tatsächlich auf Draft 7 gestützte Kündigung.
  • Ein erreichbarer Kontakt ist sinnvolle Registerhygiene. Problematisch ist der Sprung von einem heilbaren Datenfehler zu Vertrags- und Kontinuitätsrisiken ohne veröffentlichten unabhängigen Prüfmechanismus.

Die folgenreichste Zeile steht nicht in der Werbebotschaft

Auf der Ratifikationsseite klingt die Maßnahme überschaubar. Alle Ressourceninhaber sollen eine funktionierende Abuse-Adresse pflegen. Dadurch würden Datenqualität, Reaktionszeit, Internet-Hygiene und Cybersicherheit verbessert, bei nur geringem laufendem Aufwand für die Mitglieder.

Das sind die von AFRINIC genannten Vorteile. Ob sie tatsächlich eintreten, lässt sich aus den erfassten Unterlagen nicht messen. Entscheidend ist ohnehin eine andere Passage: Die integrierte Folgenabschätzung erklärt, anhaltende Nichtbefolgung könne zum Widerruf des Registration Service Agreement führen.

Damit geht es nicht mehr nur um ein Verzeichnisfeld. Der RSA bildet die vertragliche Grundlage der Beziehung zwischen Registry und Resource Member. Sein Ende kann Anerkennung, Pflege und Kontinuität der registrierten Ressourcen berühren.

Der Bericht belegt nicht, dass AFRINIC bereits einen RSA wegen Draft 7 widerrufen, Ressourcen entzogen oder Support gesperrt hat. Auch eine vollständige Implementierung ist nicht belegt; der Vorschlag überlässt Zeitplan und phasenweise Einführung den betrieblichen Prioritäten. Nachrichtlich relevant ist die Befugniskette, die nun in einem ratifizierten Regelwerk steht.

Wo Verzeichnisarbeit endet

Ein Abuse-Kontakt löst ein reales Koordinationsproblem. Wer Phishing, Malware, Scans oder Spam aus einem Netz feststellt, braucht eine verantwortliche Stelle. Veraltete Kontakte verlagern Kosten auf Banken, Upstreams, Sicherheitsforscher und unbeteiligte Nachbarn eines Adressblocks.

Draft 7 verlangt deshalb, dass von AFRINIC vergebene oder zugewiesene inetnum-, inet6num- und aut-num-Objekte auf einen abuse-c zeigen. Mindestens ein Postfach muss gültig, überwacht und aktiv geführt sein. Es soll über WHOIS, APIs und künftige Verfahren uneingeschränkt erreichbar sein.

Bis hierhin handelt es sich um eine schmale Registerfunktion: Kontaktdaten veröffentlichen und technische Erreichbarkeit prüfen. Doch die Regel geht weiter. Nachrichten müssen ein Eingreifen des Empfängers erfordern. Meldende dürfen nicht auf ein Formular gezwungen werden. Logs, Beispiele und Header müssen empfangen werden können. Die Validierung soll bestätigen, dass der Inhaber die Regel gelesen hat, das Postfach überwacht, Maßnahmen ergreift und auf Meldungen antwortet.

Ob eine E-Mail zugestellt wird, ist objektiv prüfbar. Ob eine Antwort richtig oder ausreichend war, hängt von Beweisen, Kundenbeziehungen, Rechtsordnung, Datenschutz und tatsächlicher Kontrolle über den Verursacher ab. Eine Registry wird damit vom Datenprüfer zum Bewerter operativen Verhaltens.

Ein Widerspruch im Regeltext

Der Vorschlag sagt ausdrücklich, er definiere „Abuse“ nicht. Diese Definition liege außerhalb des AFRINIC-Bereichs; verschiedene Beteiligte und lokale Vorschriften könnten zu verschiedenen Ergebnissen kommen.

Gleichzeitig können Dritte AFRINIC melden, dass ein Postfach nicht antwortet, nur auf Nachrichten der Registry reagiert, bestimmte Inhalte bevorzugt oder auf einen Fall falsch beziehungsweise gar nicht geantwortet habe. Solche Meldungen lösen eine Revalidierung aus.

Aus diesem Widerspruch folgt kein nachgewiesener Missbrauch durch Mitarbeiter. Es gibt in diesem Faktenpaket weder einen beschuldigten Sachbearbeiter noch ein identifiziertes Mitglied, das zu Unrecht sanktioniert worden wäre. Belegt ist nur die institutionelle Spannung: AFRINIC will den zugrunde liegenden Abuse-Begriff nicht bestimmen, behält aber einen Zugang zur Bewertung der Reaktion darauf.

Ein authentifiziertes Formular kann etwa ein Sicherheitsinstrument sein. Ein Transitprovider kann nicht zwangsläufig den Server eines Endkunden abschalten. Eine Antwort kann aus Datenschutzgründen knapp bleiben. Ohne klare Sachstandards wird „falsche Antwort“ zu einer auslegungsbedürftigen Kategorie.

Die Registry setzt Prüfung und Takt

Validiert wird bei Anlage, bei Änderung, regelmäßig nicht seltener als alle sechs Monate und außerdem, wann immer AFRINIC es für passend hält. Die erste Frist beträgt höchstens 15 Tage. Scheitert sie, werden andere LIR-Kontakte angesprochen und eine weitere Frist von höchstens 15 Tagen beginnt.

AFRINIC darf diese Fristen und die Häufigkeit jährlich verändern, sofern es die Gründe mitteilt. Ein gewisser Spielraum ist bei einer großen Migration verständlich. Die historische Bewertung zeigte eine geringe Abdeckung: 28 von 1.857 Resource Members nutzten den früheren Mechanismus. Durch MNT-IRT geschützt waren 232 von 139.268 inetnum-, 33 von 31.230 inet6num- und 32 von 1.915 aut-num-Objekten.

Das sind alte Basiswerte, keine aktuellen Zahlen. Sie belegen Arbeitsaufwand, nicht bösen Willen der übrigen Mitglieder. Geringe Nutzung kann an ungeeigneten Werkzeugen, Altdaten, Kosten oder fehlenden Anreizen liegen.

Die Formulierung „whenever AFRINIC sees fit“ enthält dagegen keinen maximalen Turnus, keine Beweisschwelle und keine externe Genehmigung für wiederholte zielgerichtete Prüfungen. Dieselbe Institution entwirft den Test, startet ihn und bewertet das Ergebnis. Bei einem kaum ersetzbaren Registerdienst entsteht daraus strukturelle Macht.

Von der Revalidierung zum Vertrag

Der Vorschlag selbst überlässt die Konsequenzen dem RSA. Die Mitarbeiterbewertung fügt zwei Stufen hinzu.

Erstens sollen Supportleistungen einschließlich Helpdesk und Resource Applications nur konformen Mitgliedern offenstehen. Zweitens gilt Nichtbefolgung als RSA-Verstoß; das Mitglied soll zur Heilung aufgefordert werden, bei anhaltender Nichtbefolgung kann der RSA widerrufen werden.

Das Wort „kann“ ist wichtig. Es beschreibt keine Automatik. Auch die Aufforderung zur Abhilfe ist ausdrücklich vorgesehen. Trotzdem verbindet die Architektur einen behebbaren Kontaktmangel mit einem existenziellen Vertragsinstrument.

NRS argumentiert, AFRINIC besitze solche praktische Registry-Macht bei einer Haftung, die bis auf 100 US-Dollar sinken könne. LARUS stellt in seiner öffentlichen Vertragsanalyse ebenfalls Kündigungs- und Ressourcenfolgen dem begrenzten Risiko der Registry gegenüber. Das sind zugeschriebene Positionen beider Organisationen, keine gerichtlichen Feststellungen zu Draft 7.

Gerade deshalb sollte die öffentliche Regel beantworten, was während einer Auseinandersetzung weiterläuft: MyAFRINIC, Helpdesk, WHOIS/RDAP, Reverse DNS, RPKI und gewöhnliche Datenpflege. Ebenso fehlen im erfassten Material ein unabhängiger Entscheider und ein automatischer Aufschub vor irreversiblen Schritten.

Einsprüche scheiterten vor der Sachprüfung

AFRINIC beschreibt Draft 7 als offenen, gemeinschaftlich entwickelten Konsens. Zwei Einspruchsentscheidungen setzen dieser Formel eine Grenze.

2021 wurde ein Einspruch als unzulässig verworfen, unter anderem weil der Streit nicht zuvor mit den PDWG-Vorsitzenden oder der Arbeitsgruppe erörtert worden sei. 2022 kam ein weiteres Gremium ebenfalls zur Unzulässigkeit, weil der vorangegangene Lösungsversuch nicht nachgewiesen war. Beide Berichte erklärten ausdrücklich, sie müssten sich nicht mit der Sache befassen.

Die Eingabe von 2022 behauptete, Abuse sei je nach Rechtsraum verschieden, der vorhandene Mechanismus reiche aus, Antwortpflichten erzeugten Kosten und AFRINIC überschreite eine buchhalterische Rolle. Das sind Argumente der Einreicher, keine bewiesenen Tatsachen. Die Verfahrensentscheidungen widerlegten sie jedoch ebenfalls nicht in der Sache.

Eine abgeschlossene interne Prozedur ist daher nicht gleichbedeutend mit einer materiellen Prüfung von Reichweite und Verhältnismäßigkeit.

Der Beschluss fiel in einer offenen Autoritätslage

Die aktive AFRINIC-Seite sagt, das Board habe die Regel nach Wiederherstellung funktionsfähiger Governance-Strukturen ratifiziert. Das beweist die Handlung und die institutionelle Selbstbeschreibung.

AFRINIC erklärte am 12. März zugleich, die im September 2025 gewählten Direktoren hätten ihre Aufgaben wieder aufgenommen, der gerichtlich bestellte Receiver warte weiterhin auf seine formale Entlassung und Verfahren zielten auf die Ungültigkeit der Ernennungen. Dieser Artikel entscheidet diese Verfahren nicht und erklärt das Board nicht für rechtswidrig.

Fest steht in engerer Form: Eine Regel mit möglicher Vertragswirkung wurde in einem Autoritätsumfeld beschlossen, das nach AFRINICs eigener Darstellung noch nicht vollständig gerichtlich abgeschlossen war. Je größer die Folge, desto stärker müssen Mandat, Schutzmechanismen und Haftung dokumentiert sein.

Begriffe wie Community, Stewardship, Stabilität oder Cybersicherheit sind Beschreibungen institutioneller Ziele. Sie ersetzen keine überprüfbare Ermächtigung und keinen wirksamen Rechtsbehelf.

Eine erreichbare Adresse ohne Kündigungsautomatik

Eine engere Regel könnte Zustellbarkeit objektiv testen, mehrere Kontakte und sichere Formulare zulassen und feste Auslöser nennen: Anlage, Änderung, bestätigter Bounce, glaubhafte Nichtexistenz und ein jährlicher Zyklus. Nach einem Fehlschlag sollten alle Administrativkontakte informiert, mindestens 30 Tage zur Heilung und ein zweiter Test gewährt werden. Fehlalarme und Heilungszeiten gehören in eine öffentliche Statistik.

Währenddessen müssen die Dienste erhalten bleiben, mit denen das Problem behoben wird. Ein Kontaktfehler kann als Datenqualitätswarnung erscheinen. Er darf allein weder Betrug noch Aufgabe noch Verlust der Ressourcenposition beweisen.

Kündigung oder Ressourcenentzug sollten einen eigenständigen schweren Grund verlangen: nachgewiesenen Registerbetrug, Doppelanspruch, ausdrückliche Aufgabe, bindende Gerichtsentscheidung oder einen engen Sicherheitsnotfall. Hinzu kommen schriftliche Gründe, unabhängige Prüfung und eine Kontinuitätssperre gegen voreilige Vollziehung.

Draft 7 besitzt einen sinnvollen Kern und einen weitreichenden vertraglichen Nachsatz. Weder illegale Handlung noch realer Entzug sind belegt. Belegt ist, dass AFRINIC diesen Weg ratifiziert hat. Die Sicherung gehört an den Anfang des Weges, nicht hinter seinen ersten Schaden.

Eine vertiefte Analyse zu Hinweis, Heilung, Aufschub und Rechtsbehelf bietet die separate BTW-Recherche: AFRINIC-Entscheidungen unter Verfahren und Rechtsbehelf.

Quellen