Zusammenfassung

  • Ein AFRINIC Resource Member weist seinem eigenen Netz oder einem Kunden ein IPv4-Präfix der Größe /29 oder größer zu. Nach dem Vorschlag vom 22. September 2014 sollte damit eine Frist von sieben Geschäftstagen beginnen, innerhalb derer die Zuweisung dokumentiert und im WHOIS registriert werden musste.
  • Der Kundeneintrag sollte mehr sein als eine Adressnotiz: Er sollte erreichbare Kontakte für Betriebs- und Sicherheitsprobleme bereitstellen, die Nutzung knapper Adressen belegen und die Prüfung weiterer IPv4-Anträge transparenter machen. Dafür nannte der Vorschlag die Felder inetnum, netname, descr, country, admin-c, tech-c und org sowie weitere, durch eine AFRINIC-Richtlinie vorgeschriebene Angaben.
  • Eine fehlende oder verspätete Zeile kann eine konkrete Abweichung anzeigen. Sie rechtfertigt eine Beweisanfrage, eine Mitteilung, technische Hilfe und eine Berichtigungsfrist. Sie beweist aber weder Nichtnutzung noch Rechtswidrigkeit, Aufgabe, Betrug oder den Verlust von Rechten und verschafft einem privaten Register keine Straf- oder Einziehungsgewalt.
  • Der Vorschlag wurde am 26. September 2014 über die RPD-Liste verbreitet und ist im AFRINIC-Archiv als zurückgezogen gekennzeichnet. Zudem besteht ein ungelöster Kennungswiderspruch: Die RPD-Nachricht nennt AFPUB-2014-GEN-003-DRAFT-01, das Archiv AFPUB-2014-GEN-001-DRAFT-01.
  • Der sachgerechte Gegenentwurf ist eine strenge, aber begrenzte Kette aus Zeitstempel, genauer Abweichung, minimaler Beweisanforderung, Benachrichtigung eines befugten Kontakts, Korrekturmöglichkeit, technischer Quittung und dokumentierter Restunsicherheit. Ein Registereintrag bleibt Beweismittel; er wird nicht zum Urteil.

Der siebte Geschäftstag

Die praktische Lage ist alltäglich. Ein Netzbetreiber nimmt ein Präfix aus seinem Bestand und weist es einer eigenen Infrastruktur oder einem Kunden zu. Handelt es sich um ein /29 oder einen größeren Block, sollte nach dem Vorschlag sofort eine Uhr laufen. Spätestens sieben Geschäftstage nach der Zuweisung sollte im AFRINIC-WHOIS ein zutreffender Datensatz stehen. Weil ein /29 acht IPv4-Adressen umfasst, setzte die Regel nicht erst bei großen Kundennetzen an. Sie griff bereits in einen Bereich, in dem Bereitstellung, Kundendienst und Registerpflege zu wiederkehrenden Arbeitsabläufen werden.

Genau darin lag der praktische Wert des Entwurfs. Eine diffuse Erwartung, Registerdaten irgendwann zu aktualisieren, lässt sich weder zuverlässig erfüllen noch fair überprüfen. Ein Schwellenwert macht klar, welche Zuweisungen erfasst werden. Eine Frist macht klar, wann der Eintrag erwartet wird. Eine benannte Feldliste macht klar, welche Angaben die technische Öffentlichkeit und das Register benötigen. Für ein Mitglied hätte die Vorgabe bedeutet, die Zuweisung nicht erst bei einem späteren Antrag auf zusätzliche Adressen nachträglich zu rekonstruieren, sondern sie zeitnah mit dem laufenden Betrieb zu verknüpfen.

Der Vorschlag trug den Titel „Mandatory requirements for registering assignments and sub-allocations“. Als Einreichungsdatum ist der 22. September 2014 verzeichnet; als Autor wird Jean Robert Hountomey genannt. Die PDWG-Co-Vorsitzenden Seun Ojedeji und Adam Nelson verbreiteten den Text am 26. September auf der RPD-Liste als neuen Vorschlag. Diese Zirkulation war ein Verfahrensschritt, keine Zustimmung, keine Ratifikation und keine Vollmacht. Das ist besonders wichtig, weil der spätere Archivstatus eindeutig „Withdrawn“, also zurückgezogen, lautet.

Wann, durch wen und aus welchem Grund der Rückzug erfolgte, lässt sich aus der öffentlichen Überlieferung, auf die sich diese Analyse stützt, nicht bestimmen.

Auch die Dokumentenbezeichnung darf nicht geglättet werden. Die Mitteilung an die RPD-Liste führte AFPUB-2014-GEN-003-DRAFT-01. Das AFRINIC-Archiv zeigt dagegen AFPUB-2014-GEN-001-DRAFT-01. Beide Bezeichnungen gehören zum veröffentlichten Befund. Es gibt keine belastbare Grundlage, eine davon zur „richtigen“ Kennung zu erklären oder aus beiden nachträglich eine scheinbar einheitliche Fassung zu machen. Der Widerspruch ist klein im Vergleich zur materiellen Frage, aber institutionell lehrreich: Schon die Identität eines Entwurfs verlangt nachvollziehbare Registerpflege.

Welche Zeile entstehen sollte

Der Entwurf wollte bestehende Formulierungen verschärfen. Aus einer weniger zwingenden Erwartung in Abschnitt 8(b) sollte eine Muss-Regel werden; Zuteilungen und Zuweisungen sollten in einer AFRINIC-Datenbank registriert sein. Zusätzlich sollte ein Abschnitt 9.7 über die verpflichtende Registrierung von Zuweisungen in die IPv4-Zuteilungsrichtlinie aufgenommen werden. Das blieb vorgeschlagener Text. Der zurückgezogene Status erlaubt keine Darstellung, als sei Abschnitt 9.7 verbindlich geworden.

Für den einzelnen Zuweisungsdatensatz nannte der Entwurf eine präzise Gruppe von Attributen. inetnum sollte den betreffenden Adressbereich abbilden. netname und descr sollten den Netzbezug und die Beschreibung tragen. country sollte die vorgesehene Länderangabe enthalten. admin-c und tech-c sollten administrative und technische Ansprechpartner referenzieren. org sollte die Organisationsbeziehung abbilden. Hinzu kam jede weitere Pflichtangabe, die eine AFRINIC-Richtlinie verlangte. Die Aufzählung sollte also keine beliebige Datensammlung eröffnen, sondern den Datensatz an benannte Registerfunktionen binden.

Die Registrierung sollte sowohl Zuweisungen für das eigene Netz des Mitglieds als auch Zuweisungen an Kunden erfassen. Diese Gleichbehandlung war operativ plausibel: Für die Frage, welcher Teil eines größeren Bestands tatsächlich eingesetzt wird und welcher Kontakt bei einem Vorfall erreichbar ist, kann die interne oder externe Nutzung gleichermaßen relevant sein. Zugleich macht sie deutlich, wie tief die Vorgabe in die Provisionierung des Mitglieds eingegriffen hätte. Der Kundenvorgang wäre nicht mehr nur ein Vertrag oder eine Konfiguration im eigenen System gewesen.

Er hätte innerhalb einer festgelegten Zeit eine zweite, prüfbare Spur im öffentlichen Register oder in der vertraulichen Ergänzung erzeugen sollen.

Die vorgeschlagene Pflicht umfasste nicht nur das einmalige Anlegen. Die Angaben sollten fortlaufend richtig gehalten werden. Ein veralteter Ansprechpartner kann bei einem Routingproblem oder einem Missbrauchshinweis fast so unbrauchbar sein wie ein fehlender. Ebenso kann ein korrekt eingetragener, aber längst geänderter Nutzungszuschnitt eine falsche Vorstellung von der tatsächlichen Lage erzeugen. Registerqualität entsteht deshalb aus einer Folge von Erstellung, Änderung, Bestätigung und gegebenenfalls Berichtigung.

Der Vorschlag erkannte diesen laufenden Charakter, formulierte aber nicht die vollständige Verfahrensarchitektur, die eine faire Reaktion auf Abweichungen benötigt hätte.

Warum der Kundeneintrag zur Infrastruktur wurde

Der Entwurf nannte drei eng miteinander verbundene Zwecke. Erstens sollte eine Registrierung die Erreichbarkeit bei technischen und sicherheitsbezogenen Problemen verbessern. Wer eine Störung untersucht oder schädlichen Verkehr einem Netzbereich zuordnet, braucht einen belastbaren Ausgangspunkt für die Kontaktaufnahme. Ein WHOIS-Datensatz kann diese Suche beschleunigen. Er kann anzeigen, an wen ein Hinweis geschickt werden sollte und welches Netzobjekt zum beobachteten Präfix gehört.

Zweitens sollte der Datensatz die Nutzung belegen, wenn ein Mitglied zusätzliche IPv4-Adressen beantragt. Die spätere betriebliche Anleitung von AFRINIC beschreibt Kundenzuweisungen oder Infrastrukturzuweisungen als inetnum-Objekte und erläutert, dass gültig registrierte Zuweisungen bei der Prüfung einer Nutzung von ungefähr 80 Prozent vor einer zusätzlichen Zuteilung betrachtet werden. Das ist nur Kontext für die Funktion solcher Daten; es setzt den zurückgezogenen Vorschlag von 2014 nicht nachträglich in Kraft. Es zeigt jedoch, warum die Qualität einzelner Zeilen für die Verteilung knapper Ressourcen praktisch bedeutsam sein kann.

Drittens sollte die Registrierung die Prüfung weiterer Anträge transparenter machen. Ein Mitglied, das einen zusätzlichen Bestand benötigt, sollte seine bisherige Nutzung nicht allein behaupten müssen. Eine zeitnah gepflegte Reihe von Zuweisungsobjekten kann eine nachvollziehbare Evidenzspur bilden. Das Register kann so konsistente Angaben vergleichen, Rückfragen auf konkrete Präfixe beziehen und verhindern, dass eine Entscheidung ausschließlich auf einer spät zusammengestellten Selbstdarstellung beruht.

Diese Zwecke machen aus dem Kundeneintrag Compliance-Infrastruktur, aber nicht Rechtsgewalt. Die Zeile verbindet den betrieblichen Vorgang beim Mitglied mit der Koordinationsaufgabe des Registers. Sie ist für Fehlersuche, Sicherheitsreaktion, Sorgfaltsprüfung und Kontinuität wertvoll. Dennoch bleibt sie ein Informationsobjekt mit begrenzter Aussagekraft. Sie kann veraltet sein. Ein Kontaktpostfach kann unbeobachtet bleiben. Ein eingetragener Adressnutzer muss nicht der gegenwärtige Betreiber sein. Vertragliche Zwischenstufen oder ein nachgelagerter Kunde können im öffentlichen Bild fehlen.

Aus diesem Grund ist ein WHOIS-Eintrag nützliches Beweismaterial, aber kein sich selbst beweisendes Abbild von Eigentum, Betrieb, Verschulden oder Rechtmäßigkeit.

Privatsphäre ohne unsichtbare Nutzung

Der Vorschlag nahm den Einwand ernst, dass Kundendaten und Geschäftsbeziehungen sensibel sein können. Für Privatkundendienste verlangte er nicht, jeden Haushalt mit einer eigenen öffentlichen Zeile namentlich sichtbar zu machen. Stattdessen beschrieb er eine Registrierung nach den von Einrichtungen oder Kundendienstgebieten verwendeten Adressblöcken. netname und descr sollten den Wohnkundenzweck erkennen lassen. Damit wäre die Netzverwendung dokumentiert worden, ohne aus dem WHOIS ein Verzeichnis einzelner Haushalte zu machen.

Für andere vertrauliche Kundensituationen sah der Text eine weitere Abmilderung vor. Sensible Informationen konnten AFRINIC für eine Prüfung unter einer Vertraulichkeitsvereinbarung privat bereitgestellt werden. In den öffentlichen Feldern durften – mit Ausnahme von netname und descr – Angaben des Mitglieds wiederverwendet werden. Im Gegenzug sollte das Mitglied die Verantwortung für die Bearbeitung von Problemen im Zusammenhang mit dem Block tragen. Die technische Öffentlichkeit hätte damit einen erreichbaren Verantwortlichen gesehen, während die konkrete Geschäftsbeziehung nicht vollständig offengelegt werden musste.

Diese Konstruktion war ein ernsthafter Versuch, öffentliche Brauchbarkeit und Vertraulichkeit zusammenzuführen. Sie war jedoch kein vollständiges Datenschutz- oder Prüfregime. Der Text liefert weder eine ausgearbeitete Vertraulichkeitsvereinbarung noch einen Prüfablauf, Sicherheitsstandards für die privat gelieferten Daten oder eine abschließende Haftungsregel. Deshalb lässt sich nur die angebotene Struktur bewerten: private Offenlegung gegenüber AFRINIC für einen begrenzten Prüfzweck, reduzierte öffentliche Angaben und operative Verantwortlichkeit des Mitglieds.

Es wäre falsch, daraus eine tatsächlich erfolgte Offenlegung von Kundendaten oder einen konkreten Datenschutzvorfall abzuleiten.

Der Bruch zwischen Befund und Urteil

Bis zu diesem Punkt behandelt der Vorschlag ein echtes Koordinationsproblem. Dann wechselt seine Sprache die Ebene. Nicht registrierte Zuweisungen, Zuteilungen und Unterzuteilungen sollten als „invalid“ gelten. AFRINIC-Mitarbeiter sollten nach „approbation by the community“ „any process“ durchführen können, um damit verbundene Ressourcen zu „reclaim“. Diese wenigen Wörter tragen eine Wirkung, die der vorausgehende Datensatz nicht tragen kann.

Ein fehlender Eintrag beweist zunächst genau eine Sache: Im beobachteten Zeitpunkt fehlt im Register die erwartete Zeile. Vielleicht wurde die Zuweisung noch nicht eingetragen. Vielleicht wurde ein Update abgewiesen. Vielleicht stimmt ein Pflichtfeld nicht. Vielleicht liegt eine Abweichung zwischen dem eigenen Nachweis des Mitglieds und dem öffentlichen Objekt vor. All dies verlangt Aufklärung.

Keine dieser Möglichkeiten beweist für sich, dass die Zuweisung nicht stattgefunden hat, dass die Adressen nicht genutzt werden, dass jemand rechtswidrig handelte, dass ein Kunde etwas Unzulässiges tat, dass der Bestand aufgegeben wurde oder dass Rechte erloschen sind.

Das Wort „invalid“ kann innerhalb eines technischen Schemas bedeuten, dass ein Datensatz eine Validierungsregel nicht erfüllt. In Verbindung mit einem behaupteten Rückholmechanismus gewinnt es jedoch den Klang eines Rechtsurteils. Genau hier muss die Institution ihre Grenze kennen. AFRINIC ist ein privater technischer Buchhalter und Koordinator. Es ist kein souveräner Staat, keine Regierung, kein Gesetzgeber und keine Regulierungsbehörde. Es besitzt keine Polizei-, Anklage-, Straf-, Konfiskations- oder Rechtsprechungsgewalt.

Eine Mailingliste oder ein Gemeinschaftsverfahren kann die Zusammenarbeit über Registerregeln organisieren; es kann keine hoheitliche Zuständigkeit schaffen, die AFRINIC nicht durch anwendbares Recht übertragen wurde.

Der Vorschlag benannte für den beanspruchten Schritt weder den Inhalt einer Mitteilung noch eine Berichtigungsfrist, die Behandlung technischer Fehler, einen Beweismaßstab oder den zuständigen Entscheider. Er legte keine Pflicht zu schriftlichen Gründen, kein Rechtsmittel, keine unabhängige Überprüfung und kein begrenztes Verfahren für die behauptete Einziehung fest. Die Abwesenheit dieser Elemente im Entwurf beweist nicht, dass sie nirgendwo anders geregelt gewesen sein könnten. Sie zeigt aber, dass der vorliegende Text selbst den Sprung von der Registerabweichung zur Sanktion nicht verfahrensfest machte.

Vor allem konnte ein zurückgezogener Vorschlag diese Befugnisse nicht erzeugen. Es gibt keinen belastbaren Nachweis, dass der Text Konsens erreichte, ratifiziert oder umgesetzt wurde. Ebenso wenig ist ein konkretes Mitgliedsverfahren, eine Feststellung der Ungültigkeit, eine aufgehobene Zuweisung oder eine tatsächliche Einziehung aufgrund dieses Entwurfs belegt. Die Analyse richtet sich daher nicht gegen eine behauptete Person oder eine nachgewiesene Maßnahme. Sie prüft die institutionelle Logik der veröffentlichten Wörter: Eine Datenlücke ist ein Prüfhinweis, kein Schuldspruch.