Zusammenfassung

  • Das Forschungspaket ordnet 18 öffentliche Quellen den Register-, Routing-, Autorisierungs-, Topologie- und Messungsebenen rund um AS210860 zu. Die dynamischen Antworten wurden in diesem Lauf jedoch nicht live abgerufen.
  • Eine RIPE-Aut-num-, Route- oder Maintainer-Angabe wäre ein administratives Registersignal. Sie würde für sich genommen weder rechtliches Eigentum noch aktive Betriebsführung oder die Fähigkeit belegen, die nächste Routingänderung zu veranlassen.
  • BGP kann zeitgebundene Sichtbarkeit und Origin-Verhalten zeigen; RPKI kann eine zeitgebundene Origin-Autorisierung oder einen Validierungszustand zeigen. Keine dieser Ebenen identifiziert allein die Person oder Organisation, die Router steuert oder eine Änderung zurücknehmen kann.
  • Die derzeitige Evidenz verbindet die DFINFRA-Identität nicht mit einer zurechenbaren Fähigkeit, das beobachtete Routing- oder Autorisierungsverhalten zu verursachen, aufrechtzuerhalten, zu verändern oder zurückzunehmen.

DFINFRA und AS210860 liegen an einer typischen Beweisgrenze der Internetinfrastruktur. Ein öffentlicher Datensatz kann zeigen, dass eine Organisation, ein Name oder ein Kontakt mit einer autonomen Systemnummer verbunden ist. Daraus folgt aber nicht automatisch, wer das Netz betreibt, wer eine BGP-Ankündigung auslösen kann oder wer für eine Änderung verantwortlich wäre.

Das ist keine bloße semantische Vorsicht. Verschiedene technische Systeme beschreiben verschiedene Kontrollschichten. Das Register beschreibt administrative Zuordnungen. IRR-Daten beschreiben deklarierte Routingobjekte und Maintainer-Beziehungen. RPKI beschreibt eine kryptografisch signierte Autorisierung für einen Origin unter bestimmten Bedingungen. BGP-Messungen beschreiben, was von Messpunkten aus sichtbar war. PeeringDB, CAIDA AS Rank und RIPE Atlas können Angaben zu Interconnection, abgeleiteten Beziehungen und Messbarkeit liefern. Keine einzelne Quelle verschmilzt diese Schichten zu einem Beweis über den handelnden Akteur.

Das Forschungspaket benennt 18 öffentliche Quellen für AS210860: RIPE-Stat-Daten zu angekündigten Präfixen, Routingstatus, Routinghistorie, BGP-Updates, Looking Glass, Nachbar-ASNs und Routingkonsistenz; RIPE-Datenbankabfragen zu Aut-num-, Route- und Route6-Objekten; historische Whois- und RDAP-Daten; RPKI-Daten von Cloudflare; BGP.Tools und BGP.he.net; PeeringDB; CAIDA AS Rank sowie RIPE-Atlas-Probes für IPv4 und IPv6. Die Quellen sind für eine mehrschichtige Prüfung geeignet, aber ihre dynamischen Antworten wurden in diesem Lauf nicht live abgerufen.

Für das Register ist die korrekte Formulierung daher „gelistet“, „öffentlich zugeordnet“ oder „administrativ verzeichnet“. Eine Aut-num-, Route- oder Maintainer-Aufzeichnung kann einen administrativen Sachverhalt stützen. Sie beweist nicht von selbst, dass DFINFRA die Router betreibt, die wirtschaftliche Eigentümerin des Netzes ist oder die nächste Änderung an einem Route-Objekt beziehungsweise einer BGP-Ankündigung genehmigen kann.

Für BGP gilt eine andere Grenze. Eine Beobachtung kann zeigen, dass ein Präfix zu einem bestimmten Zeitpunkt von einem ASN originisiert oder aus bestimmten Messperspektiven sichtbar war. Sie kann auch Änderungen, Rückzüge, Nachbarn oder Routingkonsistenz beschreiben. Sie sagt aber nicht allein, wer die Konfiguration eingespielt, die Anweisung erteilt oder eine Rücknahme durchgeführt hat. Routingbeobachtung ist deshalb nicht dasselbe wie Identitäts- oder Eigentumsnachweis.

RPKI verschiebt die Aussage ebenfalls nicht vollständig. Ein passender ROA- oder Validierungszustand kann zeigen, dass ein Origin für ein Präfix und eine maximale Präfixlänge zu einem beobachteten Zeitpunkt autorisiert oder validiert war. Das ist eine wichtige Sicherheitseigenschaft. Es zeigt jedoch nicht, wer die Router bedient, wer den ASN kontrolliert oder wer die Autorisierung ändern kann. Autorisierung ist eine technische Bedingung für Routing; sie ist kein vollständiger Nachweis über den Betreiber.

Auch Interconnection- und Messdaten müssen als eigene Evidenztypen behandelt werden. PeeringDB kann selbst gemeldete Angaben zur Verbindung liefern. CAIDA AS Rank kann Beziehungen inferieren. RIPE Atlas kann Messsichtbarkeit zeigen. Solche Daten können die technische Umgebung einordnen und Hypothesen prüfen. Die Werte wurden in diesem Forschungslauf jedoch nicht verifiziert. Deshalb dürfen sie nicht als aktuelle, bestätigte Topologie oder als Beleg für DFINFRAs operative Rolle ausgegeben werden.

Die entscheidende offene Frage lautet nicht: „Taucht DFINFRA irgendwo neben AS210860 auf?“ Diese Verbindung ist als öffentliches Register- oder Zuordnungssignal der Ausgangspunkt der Untersuchung. Die entscheidende Frage lautet: Lässt sich eine zeitgebundene, über mehrere Schichten konsistente Beweiskette herstellen, die DFINFRA mit beobachtetem Routing, einem Autorisierungszustand und einer zurechenbaren Fähigkeit verbindet, eine Routingänderung zu verursachen oder rückgängig zu machen?

Nach dem vorliegenden Paket lautet die Antwort noch nicht ja. Es fehlen aktuelle, verifizierte Präfixe, Präfixzahlen, RPKI-Zustände, Maintainer, Route-Objekte, benachbarte ASNs, Einrichtungen, Austauschpunkte und Änderungszeitpunkte. Ebenso fehlt ein Akteursnachweis dafür, wer eine Routing- oder Autorisierungsänderung beantragt, genehmigt, ausgeführt oder zurückgenommen hat. Es gibt keine rechtlichen oder vertraglichen Unterlagen, die Eigentum belegen. Aus Schweigen, Abweichungen oder unvollständigen Datensätzen darf kein alternativer Kontrolleur abgeleitet werden.

Eine spätere Prüfung müsste daher zunächst eine dokumentierte Baseline herstellen. Dazu gehören die zu einem bestimmten Zeitpunkt sichtbaren Präfixe und Origin-Beziehungen, die zugehörigen IRR-Objekte und Maintainer, die einschlägigen ROAs und Validierungszustände sowie unabhängige Messpunkte. Erst wenn sich danach eine wesentliche Änderung beobachten lässt und zusätzlich unabhängig verifiziert werden kann, dass DFINFRA diese Änderung initiiert, genehmigt oder rückgängig machen konnte, würde die Evidenz über eine bloße Zuordnung hinausgehen.

Die praktische Konsequenz ist begrenzt, aber wichtig: Öffentliche Verzeichnisse können eine Recherche anstoßen, sollten aber nicht als vollständige Betriebs- oder Eigentumskarte gelesen werden. Für Entscheidungen über Abhängigkeit, Resilienz, Sicherheitsverantwortung oder Lieferantenrisiko muss die Ebene der zurechenbaren Handlungsmacht ausdrücklich nachgewiesen werden.

Quellen und Evidenzgrenzen

Das Forschungspaket führt folgende öffentliche Quellen für die Prüfung von AS210860 auf. Die dynamischen Antworten wurden in diesem Lauf nicht live abgerufen:

Der öffentliche Directory-Eintrag zu DFINFRA ist in diesem Artikel als DFINFRA verknüpft. Diese Verknüpfung ist ein Recherchebezug und kein zusätzlicher Beleg für Eigentum oder operative Kontrolle.