IETF-W3C

Der HTTP/2-Angriff Rapid Reset machte sichtbar, wie eine einzelne Protokollsemantik über Implementierungen, Anbieter und Betreiber hinweg zu einem verteilten Verantwortungsproblem werden kann. Die Offenlegung konnte den Mechanismus erklären und koordinierte Gegenmaßnahmen auslösen. Sie konnte aber nicht allein beweisen, dass jedes betroffene System repariert oder geschützt war.

Die Bezeichnung „IETF-W3C“ verweist auf eine dokumentierte Beziehung zwischen zwei Internet-Institutionen. Sie belegt jedoch weder eine gemeinsame juristische Einheit noch eine einheitliche administrative Kontrolle. Entscheidend ist deshalb, welches Instrument eine konkrete Befugnis verleiht, welches Gremium sie ausübt und welcher Anfechtungsweg tatsächlich eröffnet ist.

Die IETF-Reparatur schloss eine konkrete kryptografische Lücke. Sie beweist jedoch nicht, dass jede Bibliothek, jedes Gerät und jeder interne Dienstpfad die unsichere Altlogik tatsächlich aufgegeben hat.

Die Bezeichnung „IETF-W3C“ klingt nach einer gemeinsamen Institution. Tatsächlich verbergen sich dahinter zwei unterschiedliche Ordnungssysteme: Bei der IETF wird technische Autorität durch einen gemeinschaftlichen Standardisierungsprozess mit festgelegten Einwänden und Berufungen ausgeübt; beim W3C werden technische Entscheidungen durch das Process Document strukturiert, während Mitgliedschaft und institutionelle Pflichten zusätzlich auf Vereinbarungen und rechtlichen Dokumenten beruhen. Entscheidend ist daher nicht nur, wer einen Standard veröffentlicht, sondern welches Instrument die jeweilige Befugnis verleiht und wer ihre Ausübung überprüfen kann.

IETF-Standards betreiben keine Netze. Sie legen jedoch die Zustandsmaschinen, Sicherheitsabhängigkeiten und Wiederherstellungsmechanismen fest, auf denen Netzbetreiber, Implementierer und Messsysteme ihre Kontinuitätsentscheidungen aufbauen.

Anonyme Befragungen leben davon, dass eine deutliche Antwort nicht zum Wegweiser auf ihren Urheber wird. W3C verspricht dies für seine neue Mitglieder- und Community-Umfrage. Beide Fragebögen laden am Ende trotzdem dazu ein, für ein späteres Gespräch eine E-Mail-Adresse einzutragen. Öffentlich belegt ist weder eine Verknüpfung noch ein Vorfall. Sichtbar fehlt vielmehr die Regel, an der sich prüfen ließe, dass Kontakt und Antwort getrennt bleiben.

Die neue WebAuthn-Level-3-Empfehlung des W3C verweist auf einen festen Testbericht mit vier Browser-Spalten. Im Übergangsdossier steht ergänzend, ein Teil der Chrome-Implementierung unterscheide sich von Edge. Der Hinweis verhindert eine vorschnelle Gleichsetzung, verrät aber nicht, bei welcher Funktion, Schicht oder Testgruppe die Unabhängigkeit liegt.

Die am 11. August aktualisierte Empfehlung *ARIA in HTML* verweist auf einen Implementierungsbericht mit dem sichtbaren Stand 22. März 2026. Die öffentliche Versionsgeschichte belegt dagegen einen Umbau mit 437 geänderten Zeilen am 20. Mai und eine weitere Anpassung am 27. Mai. Ein Datenstichtag im März und eine Dokumentrevision im Mai schließen einander nicht aus. Sie brauchen nur getrennte Bezeichnungen.

Beim gemeinsamen Workshop von W3C und GS1 zum elektronischen Handel für Menschen und KI-Agenten treffen mehrere junge Protokolle aufeinander. Schon die öffentlichen Veranstaltungsseiten zeigen ein kleines Problem mit großer Haltbarkeit: ACP bezeichnet zwei verschiedene öffentliche Artefakte. Bevor aus Vorträgen Schlussfolgerungen oder mögliche Folgearbeiten werden, sollte jede Protokollnennung Objekt, Version und zuständige Entscheidungsstelle eindeutig verbinden.

Wenn zwei voneinander unabhängige Stellen denselben Test ausführen und denselben Wert erhalten, wird das Verfahren überprüfbar. Die neue Agent Conformance and Benchmarking Community Group des W3C nennt genau das als Erfolgskriterium. Doch die Übereinstimmung belegt zunächst nur Wiederholbarkeit. Sie beantwortet weder, ob die richtige Eigenschaft gemessen wird, noch wer einen Grenzwert festlegen und das Ergebnis gegenüber anderen verbindlich verwenden darf.

Die neue WebTransport-Charta räumt einer Idee einen Arbeitsraum ein, ohne ihr schon den Status eines Standardsprodukts zu verleihen. Peer-to-Peer darf untersucht und inkubiert werden; als eigener normativer Liefergegenstand erscheint es nicht. Diese Zurückhaltung ist kein redaktionelles Versehen, sondern die derzeit wichtigste Information über den Stand des Vorhabens.

Ein automatisch erzeugtes Ticket kann Arbeit zustellen, aber keine Verantwortung begründen. Genau diese Grenze steht hinter einem offenen Vorschlag im W3C: APA möchte doppelte Benachrichtigungen zu Charta-Prüfungen vermeiden, weil die Gruppe die zentrale Strategy-Warteschlange bereits beobachtet. Privacy nutzt dagegen die lokalen Kopien. Ein tragfähiger Umbau muss deshalb unterschiedliche Arbeitswege zulassen und trotzdem einen gemeinsamen, überprüfbaren Prüfstatus sichern.

Der W3C-Aufruf für einen Mini-Workshop zu Data Governance & Ownership bei der TPAC 2026 fragt, was nicht funktioniert und welche Rolle Webstandards künftig spielen könnten. Zugleich enthält er eine weniger auffällige Befugnis: Bei thematischen Überschneidungen dürfen Organisatoren um eine erneute Einreichung bei AI and Society, Age Assurance oder als eigenständigen Breakout bitten. Das kann ein überfülltes Programm verbessern. Es verändert aber auch Publikum, Beweisumfeld und den Weg in das angekündigte W3C-Papier. Diese Route sollte nachvollziehbar bleiben, ohne daraus einen Standardisierungsbeschluss zu machen.

Die vom W3C als aktuell ausgewiesene Charta der Accessibility Guidelines Working Group nennt den 28. August 2026 als Enddatum. Vier Kalendertage später hält ein Protokollentwurf die Annahme weiterer WCAG-3-Änderungen fest; anschließend sollte das geprüfte Dokument für einen Call for Consensus eingefroren werden. Daraus folgt weder, dass die Gruppe ohne Befugnis handelte, noch, dass es keine Verlängerung gab. Belegt ist nur eine öffentlich sichtbare Anschlusslücke: In den geprüften Quellen fehlt der Verweis, der das angezeigte Mandatsintervall mit der fortgesetzten Arbeit verbindet.

Im öffentlichen W3C-Vorgang zur Neucharta der Linked Web Storage Working Group steht bei substanziellen Änderungen: keine. Derselbe Vorgang nennt den ersten Zeitplan aggressiv optimistisch und verschiebt die Erwartung auf Candidate Recommendation Ende 2026 oder Anfang 2027 mit anschließender Wartung. Im unveränderlichen Entwurf vom 5. August ist daraus noch keine eindeutige Regel geworden. Fünf Termine sind Platzhalter, der Reifeabschnitt verlangt eine Auswahl, und neben einem fiktiven Web-Dokument steht ein FooML-Zeitplan. Die Ausarbeitung läuft noch. Deshalb geht es nicht um einen Regelbruch, sondern um die Schwelle zwischen gleichbleibendem Gegenstand und prüfungsreifem Mandatstext.

Am Ende derselben Woche standen zwei scheinbar gegensätzliche Sätze in der öffentlichen Akte. WHATWG startete einen Peripheral-APIs-Workstream mit fünf Spezifikationen, weil es keine Einsprüche gegen den W3C-Aufruf sah; Intels Bedenken wurden im Merge-Vermerk ausdrücklich anerkannt. W3C erklärte danach, Bedenken seien erhoben worden und deshalb bestehe kein Konsens über die Streichung. Die Gremien entschieden über unterschiedliche Gegenstände. Gerade deshalb hätte die Übersetzung zwischen `concern` und `objection` als Teil der verknüpften Entscheidung dokumentiert werden müssen.

Das Wort „vorläufig“ ist in der Charta der W3C Math Working Group keine redaktionelle Kleinigkeit. Es hält jede Sitzungsresolution offen, bis ein einwöchiger Konsensaufruf auch den nicht Anwesenden Gelegenheit zur Reaktion gegeben hat. Am Ende genügt laut Charta das Ausbleiben von Einwänden. Der maßgebliche W3C Process verlangt zugleich substanzielle Unterstützung und bezeichnet Schweigen als Enthaltung. Ein belastbarer Beschlussnachweis muss diese Ebenen zusammenführen.

Ein Reasoner kann aus zwei Beziehungen eine dritte erzeugen, ohne den institutionellen Streit dahinter zu kennen. Genau das ermöglicht der neue W3C-Entwurf The Profiles Vocabulary: Konformität mit einem Profil kann bis zu der Spezifikation weitergeleitet werden, die dieses Profil konkretisiert. Die First Public Working Draft vom 20. August macht zugleich sichtbar, warum das Ergebnis noch keinen Blankoscheck verdient. Das Axiom ist at risk, die Communities bestimmen die Bedeutung, das datierte Turtle-Artefakt enthält die Regel nicht und der Nachweis pro Vokabularelement ist noch nicht ausgefüllt.

„Zehn Prozent zufällig geprüft“ klingt nach einer Aussage über die Abdeckung. In WCAG-EM 2.0 ist es eine Aussage über das Verhältnis zweier Stichproben: Der zufällig ausgewählte Satz soll zehn Prozent des zuvor fachlich zusammengestellten strukturierten Satzes umfassen. Nicht zehn Prozent aller Seiten, Ansichten oder Zustände des Produkts. Ohne diesen Nenner kann ein Kontrollschritt gegen Auswahlblindheit zu einem Leistungsversprechen werden, das die Methodik ausdrücklich nicht trägt.

Die Rechnung ist vollständig nachvollziehbar. Gerade deshalb lässt sich ihr politischer Gehalt so leicht übersehen. Drei Einschätzungen zu Menschen, Planet und Wohlstand sowie ein Zeithorizont werden in der neuen W3C-Gruppennotiz bepunktet und addiert. Am 6. August wurde „Measurement“ zu „Ratings“ — eine treffende Begrenzung des Erkenntnisanspruchs. Doch die Summe behandelt die vier Urteile weiterhin wie eine einzige Vergleichsgröße.

Die offene Änderung an der Charta der Web Machine Learning Working Group ergänzt nicht bloß ein Vorhaben mit KI-Bezug. Sie würde JavaScript-Werkzeuge für Browser-Agenten und deklarative Annotationen an HTML-Formularen in den Arbeitsauftrag der Gruppe aufnehmen. Gleichzeitig bleibt die namentliche Koordinationsliste der Charta unverändert. Im Strategy-Vorgang werden Prüfungen durch HTML-, ARIA-, Architektur-, Sicherheits- und Datenschutzakteure verlangt, und öffentliche Beiträge belegen, dass solche Prüfungen stattfinden. Was fehlt, ist daher keine Beteiligung, sondern eine zurechenbare Zuordnung von Plattformschicht, Rolle, Kommunikationsweg und ausstehender Entscheidung.

Eine noch offene Korrektur an der nächsten WebRTC-Charta des W3C trennt drei Entscheidungen, die der öffentliche Entwurf in einem Satz zusammengezogen hatte: WebRTC Identity kann mangels Implementiererinteresse eingestellt werden, SFrame kann sich mit einigen Anwendungsfällen überschneiden, und trotzdem können Identitäts- und Isolationsmerkmale ohne Nachfolger bleiben. Der auf die Sicherheitsprüfung antwortende Co-Chair bestätigt, dass die Technologien kein Ersatz füreinander sind und dass die Working Group für diese Eigenschaften kein Nachfolgeergebnis hat. Gefordert ist daher keine pauschale Rettung des alten Entwurfs, sondern eine nachvollziehbare Zuordnung jeder Eigenschaft.

W3C eröffnete am 19. August die Überarbeitung einer neuen Charta für die Security Interest Group. Der Entwurf zieht eine klare Grenze: Die Gruppe berät, prüft und veröffentlicht Arbeiten in ihrem Zuständigkeitsbereich; Vorhaben für den Recommendation Track gehen an eine zuständige Working Group oder zunächst in eine Inkubationsgruppe. Dennoch nennen die Abschnitte zu Teilnahme und Kommunikation weiterhin Implementierer, Spezifikationsredakteure, Testverantwortliche und öffentliche Spezifikationsentwürfe, ohne diese Rollen einer Dokumentklasse zuzuordnen. Das ist ein behebbarer Entwurfsfehler, kein Beleg für eine bereits erfolgte Kompetenzüberschreitung.

Das W3C hat die Web Performance Working Group bis August 2028 neu mandatiert. Die Charta unterscheidet dabei zwei oft vermischte Signale: Interessenbekundungen mehrerer Implementierer können die Aufnahme einer Funktion in die weitere Standardarbeit rechtfertigen; zwei unabhängige, durch offene Tests belegte Implementierungen sind eine spätere Aussage über Interoperabilität. Ein gemeinsames Wort wie „Unterstützung“ darf diese Differenz nicht beseitigen.

Institutionelle Texte veralten oft nicht an ihren Grundsätzen, sondern an ihren Zustandsverben. Am 4. August veröffentlichte das Advisory Board des W3C fünf Vorschläge für eine stärkere Verbindung von Menschenrechten und technischer Arbeit. Einer davon behandelte eine Threats and Harms Community Group als mögliche Neugründung. Laut dem öffentlichen W3C-Gruppenregister war genau diese Gruppe bereits am 29. Juli gestartet. Der kleine Zeitversatz zeigt ein großes Dokumentationsproblem: Ein Vorschlag braucht einen Ort, an dem aus „könnte“ nachweisbar „gestartet“ wird.

Der WebAppSec-Entwurf enthält bei fast allen normativen Ergebnissen keine Zielzeit. Sechzehn Einträge nennen den erwarteten Abschluss ausdrücklich unbestimmt; der siebzehnte verweist auf WHATWG Fetch, aber ebenfalls ohne Datum. Daraus folgt weder Verzug noch Scheitern. Sichtbar wird vielmehr der Unterschied zwischen einem Mandat, das Zuständigkeit abgrenzt, und einer Betriebsübersicht, die für jede Arbeit die nächste Entscheidung, Abhängigkeit und Überprüfung ausweist.

Für die Web Speech API wird öffentlich ein neues institutionelles Zuhause erwogen. Der Eintrag zur Neuvergabe des Mandats nennt die Übernahme eine wesentliche Erweiterung; der Entwurf, der diese Befugnis verleihen müsste, hält Sprachsynthese und Spracherkennung weiterhin außerhalb des direkten Arbeitsbereichs. Das ist weder Ablehnung noch beschlossene Übernahme, sondern ein Übergang, dessen Zustände sichtbar bleiben müssen.

„Unterstützt WebDriver“ klingt nach einer überprüfbaren Aussage. Im vorgeschlagenen Auftrag der Browser Testing and Tools Working Group soll WebDriver jedoch dauerhaft beweglich bleiben: Candidate Recommendation mit Snapshots, laufende Aktualisierung, kein geplanter Schritt zur Recommendation. Das kann zu mehreren Browser-Codebasen passen. Es verlangt aber eine präzisere Beweisform. Ohne unveränderliche Spezifikation, Teststand und Software-Build benennt die Aussage nur eine Familie, nicht das geprüfte Verhalten.