Zusammenfassung

  • Am 20. Januar 2021 um 16:57:35 UTC zeigte ein nachgespieltes Routing-Update 11.0.0.0/8 unter AS8003; am 15. März schrieb John Curran, in der Nachricht als Präsident und CEO von ARIN ausgewiesen, auf derselben öffentlichen Liste: „The number resources remain assigned to the DoD“.
  • Am 7. September 2021 um 17:05 UTC wechselten 764 von 765 Präfixen zu AS749 als Origin; Transit blieb Hurricane Electric, der Traceroute endete am selben Router in Ashburn. Das ist ein Origin-Wechsel, kein Verschwinden der Adressen, und die eingetragene Halterin blieb dieselbe.

Am 20. Januar 2021 um 16:57:35 UTC schob ein einziges Routing-Update 11.0.0.0/8 in die globale Routing-Tabelle, mit einem AS-Pfad, der auf 6939 8003 endet. Zwei unabhängige Reproduktionen fixieren diesen Moment: die technische Darstellung von Stephane Bortzmeyer dekodiert ein RouteViews-Update, und die Analyse von Kentik spielt jenes Update nach, das sie als eines der frühesten von AS8003 bezeichnet – Pfad 1299 6939 6939 8003. Keine der beiden beansprucht die weltweit erste Sekunde; beide sprechen von ihrem eigenen Beobachtungsfenster.

Die Größenordnung war bald nicht mehr zu übersehen. Kentik nennt für Ende Januar 2021 rund 56 Millionen originierte Adressen und für Mitte April 175 Millionen eindeutige Adressen. Das sind Messwerte des Herausgebers in seinem Zuschnitt, keine Zählung dieser Redaktion – aber sie erklären, warum ein stillgelegter Adressblock die Betriebsgemeinschaft aufstehen ließ.

Die öffentliche Frage kam am 11. März 2021. Der Netzbetreiber Siyuan Miao schrieb auf der NANOG-Liste, dass 7.0.0.0/8, 11.0.0.0/8, 22.0.0.0/8 und kleinere Präfixe unter AS8003 angekündigt würden, gekennzeichnet als GRSCORP, und fragte, ob diese Ankündigungen autorisiert seien. Fünfzig Tage liegen zwischen diesem Beitrag und dem ersten nachgespielten Update.

Vier Tage später sprach die Registrierung selbst. Auf derselben öffentlichen Liste am 15. März 2021 schrieb John Curran, in der Nachricht als Präsident und CEO von ARIN ausgewiesen: „The number resources remain assigned to the DoD“. Und er erklärte den Mechanismus: Routen für einen Adressblock anzukündigen, überträgt keine Nummernressourcen, und eine solche Ankündigung kann eine gewöhnliche Dienstleistung sein, die ein Betreiber seinem Kunden erbringt.

„Damals“ und „heute“ in einer Lesart zu vermischen, erzeugt einen Fehler. Am 26. April 2021 trägt der von Bortzmeyer nachgespielte WHOIS-Text die Zeile Organization: DoD Network Information Center (DNIC), direct allocation, Registrierungsdatum 1984-01-19, Aktualisierung 2007-08-22. Die heutige ARIN-Lesart ist eine andere: 11.0.0.0/8 (NET-11-0-0-0-1, Netzwerkname DODIIS) ist eine direkte Zuteilung an United States Department of Defense (DoD), Organisationskennung USDDD, Registrierung 1984-01-19, Datensatzaktualisierung 2025-08-27.

Die acht Blöcke verweisen heute auf dieselbe Halterin: 7.0.0.0/8 (NET-7-0-0-0-1, DISANET7, 1997-11-24, Aktualisierung 2025-09-05), 22.0.0.0/8 (NET-22-0-0-0-1, DNIC-SNET-022, 1989-06-26), 21.0.0.0/8 (NET-21-0-0-0-1, DNIC-SNET-021, 1991-07-01), 26.0.0.0/8 (NET-26-0-0-0-1, DISANET26, 1995-05-01), 28.0.0.0/8 (NET-28-0-0-0-1, DNIC-NET-028, 1996-03-11), 30.0.0.0/8 (NET-30-0-0-0-1, DNIC-NET-030, 1991-07-01) und 33.0.0.0/8 (NET-33-0-0-0-1, DISN-IP-LEGACY, 1991-01-01).

Die Chronologie auf der Routing-Seite stammt aus anderer Hand. Geoff Hustons Jahresrückblick im APNIC-Blog führt AS8003 als auf Global Resource Systems registriert – die Verzeichniskarte dieser Redaktion behandelt genau diese Entität, deren operative Rolle nicht bestätigt ist – und datiert die Ankündigungen von 11.0.0.0/8 und 22.0.0.0/8 auf den 20. Januar 2021, die von 33.0.0.0/8 auf den 7. April und die von 21.0.0.0/8, 26.0.0.0/8, 28.0.0.0/8 und 30.0.0.0/8 zwischen dem 19. und 20. April.

Dann die Wende. Am 7. September 2021 um 17:05 UTC wechselten alle bis dahin von AS8003 angekündigten 765 Präfixe bis auf eines zu AS749 als Origin, und dieselbe Analyse ordnet AS749 dem Verteidigungsministerium zu. Die beobachteten Pfade änderten sich von 6939 8003 auf 6939 749, Hurricane Electric blieb auf diesen Wegen der ausschließliche Transit, und der Traceroute endete weiterhin am selben Router in Ashburn. Das Urteil des Autors ist trocken: Origin-Ersatz, kein Verschwinden der Adressen.

Vom ersten nachgespielten Update am 20. Januar bis zum Massenwechsel am 7. September sind es 230 Tage; vom öffentlichen Beitrag am 11. März bis zu demselben Wechsel 180 Tage. In diesen 230 Tagen verzeichnet nichts, was diese Redaktion gelesen hat, einen Halterwechsel – und der Wechsel im September brachte ebenfalls keinen.

Das ist der Befund vollständig, und das ist seine Grenze: Ein Präfix beweist, wer es in einem Moment angekündigt hat; der Registrierungseintrag trägt, wer für die Halterung dieses Blocks einsteht. Beides zu verwechseln heißt, die Betriebsschicht als Eigentumsschicht zu behandeln. Ein Origin-Wechsel genügt, und Filter, Reputationslisten und Asset-Inventare, die auf der falschen Schicht gebaut wurden, verlieren ihren Grund.

Was diese Einordnung ändern würde, ist konkret: ein Export der ARIN-Registrierungshistorie aus 2021, der alle angekündigten Präfixe abdeckt; ein Übertragungsdokument, das einen Halterwechsel zeigt; oder ein Dokument von Global Resource Systems, das erklärt, welche Rolle das Unternehmen an Adressen des Verteidigungsministeriums trägt. Bis eines dieser drei auftaucht, ist der Eintrag, der sich nicht bewegt hat, das Argument.

Auch die Lücken gehören benannt. Diese Redaktion hat keinen historischen ARIN-Export aus 2021 beschafft, der alle angekündigten Präfixe abdeckt; das Registrierungsdokument zu AS8003 auf ASN-Ebene wurde nicht in Originalform gelesen; die Zeitangaben stützen sich auf veröffentlichte Messanalysen, nicht auf eine hier neu erhobene Routing-Historie; ein rohes MRT-Archiv wurde nicht dekodiert. Der Zeitpunkt des 7. September ist der Massenwechsel des Origins unter ausdrücklichem Ausschluss eines Präfixes und kein belegter Abzugszeitpunkt jeder einzelnen AS8003-Route.

DNIC und USDDD sind Beobachtungen zu verschiedenen Zeitpunkten desselben Blocks und dürfen nicht zu einem Datensatz verklebt werden. Und keine Unternehmensunterlage, Website oder öffentliche Erklärung von Global Resource Systems wurde gelesen.