Zusammenfassung

  • AFPUB-2018-GEN-001-DRAFT02, veröffentlicht am 20. November 2018, verlängerte die normativen Prüf- und Eskalationsfenster von zwei plus drei Geschäftstagen auf fünfzehn plus fünfzehn Tage und senkte die Mindestfrequenz turnusmäßiger Prüfungen von drei auf sechs Monate. Das war eine Änderung eines Vorschlags, kein Nachweis seiner Annahme oder Umsetzung.
  • Derselbe Draft 2 fügte als erste Folge einer nicht bestandenen Prüfung eine Sperre des Konto- beziehungsweise Ressourcenzugriffs ein, die erst nach erfolgreicher Neuvalidierung enden sollte. Eine weitergehende, ausdrücklich an widerrufsbezogene Verfahren anknüpfende Nachverfolgung blieb dahinter erhalten.
  • Der Text war intern nicht harmonisiert: Sein Beispiel arbeitete weiterhin mit einer zweitägigen Gültigkeit des Codes und drei weiteren Geschäftstagen, obwohl der normative Abschnitt nun fünfzehn plus fünfzehn Tage vorsah. Diese Differenz ist keine Kleinigkeit, weil sie die Vorhersehbarkeit von Frist und Rechtsfolge mindert.
  • AFRINICs eigene Mitarbeitenden verstanden die Sperre als Ausschluss von allen MyAFRINIC-Funktionen außer der Korrektur des Missbrauchspostfachs und warnten, dass damit auch Online-Abstimmungen unmöglich würden. Der Rechtsberater bezeichnete den Verlust des Stimmrechts wegen eines administrativen Kontaktfehlers als unverhältnismäßig, ohne ihn nach mauritischem Recht für illegal zu erklären.
  • Ein Register darf objektiv testen, ob eine veröffentlichte Adresse erreichbar ist, den Datenstand kennzeichnen und eine klare Korrektur ermöglichen. AFRINIC ist jedoch ein privater technischer Buchhalter und Koordinator, keine gesetzgebende, regulatorische, polizeiliche, strafende oder rechtsprechende Gewalt. Die Prüfung einer Adresse darf daher nicht zur Entscheidung über eine Beschwerde, zur Bestrafung eines Inhabers oder zur Gefährdung seiner Nummernressourcen werden.

L3 — Dreißig Tage in der Regel, fünf im Beispiel

Der institutionelle Widerspruch von Draft 2 zeigt sich schon in seiner Zeitarchitektur. Wer nur auf die verlängerten Fristen blickt, sieht einen milderen Entwurf. Wer nur auf die neue Kontosperre blickt, sieht einen härteren. Beides ist richtig, aber erst die Verbindung erklärt die Bedeutung der Änderung. Der Entwurf verlangsamte und verringerte die Prüfung auf der einen Seite, während er den ersten festgelegten Eingriff nach einem Fehlschlag auf der anderen Seite näher an die alltägliche Handlungsfähigkeit des Mitglieds rückte.

So entstand keine einfache Liberalisierung und auch keine einfache Verschärfung, sondern ein Tausch: mehr Zeit vor der Feststellung, dafür eine unmittelbarere und breitere Konsequenz nach ihr.

Der Ausgangspunkt war Draft 1. Dessen normativer Abschnitt 8.4 sah für die erste Validierung höchstens zwei Geschäftstage vor. Scheiterte sie, sollte der Vorgang an den LIR eskaliert werden; für diese zweite Stufe waren höchstens drei Geschäftstage vorgesehen. Abschnitt 8.5 verband die Prüfung mit drei Auslösern: der Erstellung oder Aktualisierung des Eintrags, einem regelmäßigen Turnus von mindestens einmal in drei Monaten und zusätzlichen Prüfungen, wann immer AFRINIC dies für angebracht hielt.

Bei fortbestehender Nichtkonformität verwies der Entwurf auf eine eingehendere Weiterverfolgung nach einschlägigen AFRINIC-Regeln und -Verfahren, besonders solchen zum Widerruf von Ressourcen.

Bereits die Datierung dieser ersten Fassung verlangt Sorgfalt. AFRINICs überlebende Angaben führen Draft 1 in der Detail- beziehungsweise Versionsdarstellung mit dem 12. August 2018, während der erhaltene Text der Revisionsgeschichte den 12. März 2018 nennt. Die hier verfügbaren Belege lösen diesen Unterschied nicht auf. Er darf deshalb weder geglättet noch durch eine scheinbar sichere Einzeldatierung ersetzt werden. Für die vorliegende Untersuchung ist der feste chronologische Anker ohnehin ein anderer: Draft 2 wurde am 20. November 2018 als AFPUB-2018-GEN-001-DRAFT02 veröffentlicht.

Die zweite Fassung änderte die normativen Uhren deutlich. Aus höchstens zwei Geschäftstagen für die erste Validierung wurden höchstens fünfzehn Tage. Aus höchstens drei Geschäftstagen für die anschließende Eskalation wurden ebenfalls höchstens fünfzehn Tage. Rechnet man beide nacheinander liegenden Obergrenzen als Ablauf, liegt zwischen Beginn und Ende der vorgesehenen Eskalationskette auf dem Papier nun ein möglicher Zeitraum von dreißig Tagen. Das ist allerdings keine Frist zur Beseitigung des behaupteten Missbrauchs. Es sind Validierungsfenster für die Frage, ob ein Kontaktkanal funktioniert und auf das Prüfverfahren reagiert.

Wer aus den fünfzehn Tagen eine inhaltliche Bearbeitungsfrist für Beschwerden macht, verwechselt den Zustand des Postfachs mit dem Ausgang eines Streitfalls.

Auch die Periodik wurde gelockert. Draft 1 verlangte eine Prüfung mindestens alle drei Monate; Draft 2 machte daraus mindestens einmal alle sechs Monate. Die Prüfungen bei Erstellung oder Aktualisierung blieben ebenso erhalten wie die Möglichkeit zusätzlicher Kontrollen, wann immer AFRINIC sie für angebracht hielt. Die Halbierung der Mindestfrequenz senkte damit zwar die regelmäßig anfallende Belastung. Sie beseitigte aber nicht die offene Möglichkeit anlassloser oder situationsbezogener zusätzlicher Tests. Der Text belegt keine selektive Anwendung gegen ein bestimmtes Mitglied.

Er zeigt nur, welche operative Beweglichkeit der Vorschlag einräumen wollte.

Hinzu kam eine ausdrücklichere Zeitdisposition. AFRINIC sollte sowohl die anfänglichen und eskalierten Fristen als auch die regelmäßige Frequenz verändern dürfen, sofern es der Gemeinschaft die Gründe erläuterte. Als Beispiel nannte Draft 2 einen langsameren Beginn: im ersten Jahr möglicherweise nur eine Prüfung, anschließend eine allmähliche Steigerung. Das kann als pragmatische Antwort auf technische Aufbauarbeit gelesen werden. Gleichzeitig bedeutet es, dass die für Mitglieder maßgebliche Belastung nicht vollständig aus den festen Zahlen des Entwurfs hervorging.

Die Begründungspflicht gegenüber der Gemeinschaft war eine Mitteilungsvoraussetzung, keine Übertragung staatlicher Normsetzungsmacht und auch kein Ersatz für präzise operative Regeln.

Diese Unterscheidung zählt, weil AFRINIC in diesem Zusammenhang zwei Rollen zusammenführte. Als technischer Betreiber konnte es beurteilen, wie schnell Prüfmails versandt, Rückläufe verarbeitet und WHOIS-Anpassungen gebaut werden konnten. Als Verfasser beziehungsweise Verwalter des vorgeschlagenen Verfahrens sollte es zugleich die Dauer und Häufigkeit verändern dürfen. Das technische Wissen rechtfertigt Flexibilität im Betrieb. Es rechtfertigt nicht, dass Folgen für Mitgliedsrechte unbestimmt werden.

Je weiter eine Sanktion über den fehlerhaften Kontakt hinausgreift, desto wichtiger wird eine Uhr, die ein Mitglied aus dem veröffentlichten Text zuverlässig ablesen kann.

Genau hier kollidierten Regel und Beispiel. Der normative Abschnitt 8.4 von Draft 2 sprach von fünfzehn Tagen für die anfängliche Prüfung und weiteren fünfzehn Tagen für die Eskalation. Das im selben Entwurf beibehaltene Beispiel erklärte dagegen weiterhin, der Validierungscode sei zwei Arbeitstage gültig; danach folgten drei weitere Geschäftstage, bevor der Kontakt dauerhaft als ungültig behandelt und erneut geprüft werde. Diese zwei plus drei Tage entsprachen der alten Architektur von Draft 1. Sie wurden bei der Überarbeitung nicht an die neue fünfzehn-plus-fünfzehn-Regel angepasst.

Man darf diese Diskrepanz nicht weginterpretieren. Das Beispiel war nicht die normative Vorschrift, doch Beispiele erklären Lesenden gerade, wie eine Vorschrift praktisch ablaufen soll. Wenn ein normativer Höchstrahmen dreißig Kalendertage nahelegt, während das Verfahrensbeispiel nach fünf Arbeits- beziehungsweise Geschäftstagen zur dauerhaften Ungültigkeit gelangt, kann ein Mitglied nicht sicher wissen, welche Uhr die tatsächliche Kommunikation, den Korrekturpunkt und die folgende Sperre bestimmt hätte. Die Belege sagen nicht, welche der beiden Varianten bei einer Umsetzung gegolten hätte.

Die redaktionelle Inkonsistenz selbst ist daher das Faktum.

Die sprachliche Feinheit der Zeitangaben verstärkt das Problem. Draft 1 nutzte Geschäftstage, sein Beispiel sprach teils von Arbeitstagen und weiteren Geschäftstagen. Draft 2 setzte im normativen Teil auf Tage, ließ im Beispiel aber die ältere Terminologie bestehen. Aus dem Material lässt sich keine verbindliche Auslegungsregel ableiten, die Wochenenden, Zeitzonen, Zustellungszeitpunkte oder den Beginn einer Eskalation endgültig klärt. Für einen bloßen Erinnerungsdienst wäre das unschön. Für ein Verfahren, das nach erfolgloser Prüfung den Zugriff auf ein Mitgliedskonto beschränken sollte, wird es zu einem Problem der Vorhersehbarkeit.

Die neue unmittelbare Folge stand in Draft 2 vor der weitergehenden Nachverfolgung. Bei anfänglicher Nichtkonformität sollte der Zugriff des Kontos auf seine Ressourcen blockiert werden; ausgenommen blieb die Möglichkeit, abuse-c beziehungsweise das Missbrauchspostfach zu korrigieren. Nach erfolgreicher Neuvalidierung sollte der Zugriff wiederhergestellt werden. Die vorgeschlagene Logik war damit ein geschlossener technischer Kreislauf: fehlgeschlagene Prüfung, eingeschränkter Zugang, Korrektur, erneute Prüfung, Wiederfreigabe. In seiner schmalsten Lesart ähnelt das einer erzwungenen Datenpflege.

Doch die Formulierung „Zugriff auf seine Ressourcen“ war nicht schmal genug. AFRINICs Mitarbeitende hielten sie in ihrer Bewertung vom 20. April 2019 selbst für unklar und fragten, welche Änderungen an Datenbanken tatsächlich gesperrt werden sollten. Nach ihrem Verständnis würde die Maßnahme sämtliche MyAFRINIC-Funktionen blockieren, mit Ausnahme der Aktualisierung des Missbrauchspostfachs. Das ist mehr als die Sperre eines einzelnen Formularfelds. Es betrifft die Oberfläche, über die ein Mitglied seine Beziehung zum Register verwaltet.

Die Mitarbeitenden machten zudem eine politisch-institutionelle Nebenfolge sichtbar: Wo AGMM- oder andere Wahlen über MyAFRINIC abgewickelt wurden, hätte die Kontosperre auch die Stimmabgabe verhindert. Ein Kontaktfehler wäre damit nicht nur als fehlerhafter Datensatz behandelt worden. Er hätte die Teilnahme an einer von AFRINIC organisierten Abstimmung unterbrochen. Der Rechtsberater von AFRINIC bewertete gerade diesen Verlust des Stimmrechts wegen des Versäumnisses, Kontaktdaten zu aktualisieren, als unverhältnismäßig und empfahl eine Überprüfung. Zugleich sagte er, die Folge sei nach mauritischem Recht nicht illegal.

Beide Teile dieser Bewertung gehören zusammen: nicht als rechtswidrig bezeichnet, aber als unverhältnismäßig kritisiert.

Das ist keine Feststellung darüber, dass 2018 oder 2019 tatsächlich ein Mitglied auf Grundlage von Draft 2 sein Stimmrecht verlor. Draft 2 war ein Vorschlag. Die Bewertung beschrieb erwartete Wirkungen der vorgeschlagenen Formulierung. Sie beweist weder Annahme noch Einsatz im Produktivbetrieb noch einen konkreten Schaden. Gerade weil kein Vollzugsfall behauptet werden kann, muss die Analyse auf der Konstruktion des Mechanismus bleiben: Eine Registerprüfung sollte eine Sperre auslösen, deren Reichweite nach interner Lesart auch einen sachfremden Mitgliedskanal erfasste.

Hinter dieser ersten Sperre blieb der härtere Ausläufer aus Draft 1 bestehen. Draft 2 verwies weiterhin auf eine eingehendere Weiterverfolgung nach maßgeblichen AFRINIC-Richtlinien und -Verfahren, insbesondere solchen mit Bezug zum Widerruf von Ressourcen. Die neue Kontobeschränkung ersetzte diesen Pfad also nicht. Sie wurde davor eingefügt. Damit entstand eine gestufte Folgenkette: zuerst die operative Sperre, dann bei fortdauernder Nichtkonformität die Möglichkeit weiterer, widerrufsorientierter Verfahren.

Abschnitt 8.6 erweiterte außerdem den Eskalationsrahmen. Er erfasste den Verdacht, jemand manipuliere oder umgehe die Validierung, ebenso wie fehlerhafte oder ausbleibende Antworten auf Missbrauchsfälle. Vorgesehen waren erneute Validierung, eine Vermittlung durch AFRINIC und möglicherweise die Anwendung einschlägiger Verfahren. Hier berühren sich zwei verschiedene Tatsachenfragen: Ist das veröffentlichte Postfach objektiv erreichbar? Und ist die Antwort auf eine konkrete Beschwerde inhaltlich richtig oder ausreichend? Die erste Frage lässt sich technisch begrenzt prüfen.

Die zweite verlangt Bewertung von Sachverhalt, Zuständigkeit, Recht, Beweisen und Abhilfe.

Draft 2 definierte keinen materiellen Maßstab für die Entscheidung, wann eine Antwort auf einen Missbrauchsfall „falsch“ sei. Ebenso wenig legte er eine Verfahrensordnung für streitige Behauptungen, Beweisaufnahme, Anhörung, Interessenkonflikte oder unabhängige Entscheidung fest. Das Material belegt deshalb keine rechtmäßige oder rechtswidrige Entscheidung in einem konkreten Fall.

Es zeigt eine vorgeschlagene Brücke: Von einer Kontaktvalidierung konnte der Weg über die Bewertung einer Reaktion zu weitergehenden Verfahren führen, ohne dass die inhaltliche Missbrauchsfrage in diesem Entwurf zu einem vollständigen adjudikativen System ausgebaut worden wäre.

Auch die technische Umsetzung war noch Zukunftsmusik. AFRINICs Mitarbeitende schätzten ungefähr sechs Monate Softwareentwicklung und Änderungen an WHOIS. Diese Schätzung hing von der Lösung ab, die letztlich ratifiziert würde. Eine Aufwandsschätzung ist weder ein Startdatum noch ein Deployment-Nachweis. Sie zeigt vielmehr, dass selbst AFRINIC den Vorschlag als technisch zu konkretisierendes Vorhaben behandelte, dessen endgültige Gestalt noch nicht feststand.

Die spätere Chronologie darf den Status von Draft 2 nicht nachträglich verändern. Die Vorschlagsübersicht führt Draft 7 vom 17. Mai 2021 als spätere Fassung, die schließlich ratifiziert wurde. AFRINIC datiert diese Ratifikation auf den 4. Februar 2026. Das war ein anderes Dokument in einem späteren Lebenszyklusstadium. Aus der Ratifikation von Draft 7 folgt weder, dass Draft 2 am 20. November 2018 angenommen war, noch dass dessen genaue Fristen oder Sperrlogik damals umgesetzt wurden. Veröffentlichung, Ratifikation und technische Implementierung sind drei getrennte Tatsachen.

Diese Trennung schützt die Analyse in beide Richtungen. Sie verhindert, dass Kritik an einem Vorschlag als Bericht über einen tatsächlich verhängten Entzug erscheint. Und sie verhindert, dass eine spätere Ratifikation benutzt wird, um jede frühere Designentscheidung rückwirkend als legitim oder betrieblich erprobt darzustellen. Offizielle AFRINIC-Unterlagen belegen, was AFRINIC veröffentlichte, wie seine Mitarbeitenden und sein Rechtsberater den Entwurf einschätzten und welche spätere Fassung ratifiziert wurde. Sie verleihen dem privaten Register keine staatliche Zuständigkeit und ersetzen keinen Nachweis der tatsächlichen Implementierung.

In der nüchternen Redline liegt damit die ganze Geschichte. Draft 1: zwei Geschäftstage, drei Geschäftstage, vierteljährlich, dann widerrufsorientierte Nachverfolgung. Draft 2: fünfzehn Tage, fünfzehn Tage, halbjährlich, mehr ausdrückliche Zeitflexibilität, eine neue Kontosperre mit Korrekturausnahme und Wiederfreigabe, danach weiterhin widerrufsorientierte Nachverfolgung. Im Beispiel blieb jedoch die alte Zwei-plus-drei-Uhr. In der Bewertung kamen die Folgen für sämtliche MyAFRINIC-Funktionen und das Stimmrecht hinzu. Keine dieser Linien darf in einer pauschalen Aussage wie „strengere Validierung“ verschwinden.

Gerade die Kombination aus längerer Schonfrist und breiterer Folge macht Draft 2 institutionell aufschlussreich. Zeitliche Milde kann eine sachlich unverhältnismäßige Maßnahme nicht heilen. Umgekehrt ist eine Kontosperre nicht automatisch gleichbedeutend mit Ressourcenwiderruf. Entscheidend sind die einzelnen Stufen, ihre Auslöser und ihre Reichweite. Wer sie getrennt betrachtet, erkennt, an welcher Stelle ein legitimer Datenqualitätszweck in eine Kontrolle über andere Rechte und Funktionen umzuschlagen drohte.