Zusammenfassung

  • AFRINICs Regeltext und die zugehörige Mitarbeiterbewertung beschreiben eine mehrstufige Kette: Kontaktregistrierung, technische Validierung, ein erstes Zeitfenster von höchstens 15 Tagen, Kontaktaufnahme über weitere LIR-Kontakte mit einem zweiten Zeitfenster von höchstens 15 Tagen, erneute Prüfung nach einem Meldersignal, eine gesondert zu begründende Feststellung anhaltender Regelabweichung und erst danach eine mögliche Verbindung zu Pflichten aus dem Registration Service Agreement.
  • Die Mitarbeiterformulierung behält ausdrücklich den Möglichkeitscharakter von „may entail“: Anhaltende Nichteinhaltung kann eine Kündigung des RSA nach sich ziehen. Sie bewirkt weder automatisch eine Kündigung noch belegt sie eine bereits ausgesprochene Kündigung oder eine bereits vollzogene Ressourcenrevokation.
  • Die zwei 15-Tage-Phasen des Kontaktverfahrens ersetzen nicht die eigenständige RSA-Sequenz. Der öffentlich wiedergegebene Vertrag verlangt eine schriftliche Kündigungsabsicht, eine Einladung zur Stellungnahme oder Heilung, 30 Tage für den Einwand des Mitglieds und eine anschließende Würdigung durch AFRINIC, bevor eine Kündigung überhaupt in Betracht kommt.
  • Nach dem Wortlaut des RSA wären Ressourcenrevokation und Einstellung von Diensten Folgen einer wirksam vollzogenen Vertragsbeendigung. Das ist eine vertraglich beschriebene Gefährdung, keine souveräne Beschlagnahmebefugnis und kein Nachweis, dass unter D7 ein solcher Fall eingetreten ist. Über Durchsetzbarkeit, Verfahrensfairness, Zuständigkeit und Rechtsschutz entscheiden im konkreten Streit Gerichte oder zuständige Regulierungsstellen, nicht das Register selbst.

Am 4. Februar 2026 veröffentlichte AFRINIC die Darstellung, ein als Board auftretendes Gremium habe AFPUB-2018-GEN-001-DRAFT07 ratifiziert. Im Zentrum dieser Analyse steht weder die Ratifizierung als solche noch die erstmalige Pflicht, einen Missbrauchskontakt einzutragen. Entscheidend ist ein engerer, folgenreicher Übergang: Wie kann die Beobachtung eines nicht erreichbaren oder nach Auffassung eines Melders unzureichend reagierenden Postfachs durch mehrere institutionelle Kategorien wandern, bis daraus das Risiko einer Kündigung des Registration Service Agreement, kurz RSA, entsteht?

Die Akteure sind leicht zu benennen, ihre Befugnisse aber keineswegs austauschbar. Ein Ressourcenhalter pflegt einen Kontaktdatensatz. Eine Person oder Funktionsrolle betreibt das dort angegebene Postfach. Ein externer Melder kann ein Problem anzeigen. AFRINIC-Mitarbeiter können einen technischen Test auslösen, weitere Ansprechpartner kontaktieren, Informationen erbitten und einen Sachverhalt bewerten. Ein nach AFRINICs Darstellung zuständiger Unternehmensakteur könnte eine Kündigungsabsicht aussprechen. Ein Gericht oder eine zuständige Regulierungsstelle kann in einem konkreten Konflikt über Rechtsfragen und Abhilfe entscheiden.

Gefährlich wird die Konstruktion dort, wo diese Rollen in der Praxis wie ein einziger Entscheider erscheinen.

Der unmittelbare Einsatz ist größer als die Funktionsfähigkeit einer E-Mail-Adresse. Eine Nummernressource kann in Routing, Kundenzugängen, Sicherheitskonfigurationen, Reverse DNS, Finanzierungen und langfristigen Geschäftsbeziehungen verankert sein. Wird ein Kontaktmangel ohne saubere Übergänge als Vertragsbruch behandelt und eine Vertragsbeendigung wiederum mit Ressourcenfolgen verbunden, kann ein kleines Datenqualitätsproblem in eine existenzielle betriebliche Unsicherheit übergehen. Genau deshalb muss jede Nahtstelle sichtbar bleiben. Eine Fehlermeldung ist kein Urteil.

Eine fehlgeschlagene Validierung ist keine Feststellung von Fehlverhalten. Eine Feststellung von Regelabweichung ist noch keine begründete Anwendung einer konkreten RSA-Klausel. Eine Kündigungsabsicht ist keine Kündigung. Und eine Registerentscheidung ist keine souveräne Verfügung über Eigentum oder Strafbarkeit.

Der eigentliche Gegenstand ist die Kette, nicht ihr erster Baustein

D7 beginnt mit einer nachvollziehbaren Registerfunktion. Für die Ressourcendatensätze aut-num, inetnum und inet6num soll ein abuse-c-Verweis vorhanden sein; bei untergeordneten Objekten kann ein Kontakt vererbt werden. Der Verweis soll zu einem Personen- oder Rollenobjekt führen, das mindestens ein gültiges, überwachtes und aktiv verwaltetes Missbrauchspostfach enthält. Dieses soll über die öffentlichen Registerwege auffindbar sein. Ein verlässlicher Adressbucheintrag hilft Betreibern und Betroffenen, Berichte an die richtige Stelle zu lenken.

Diese Pflicht ist lediglich der Ausgangspunkt. Eine gesonderte Untersuchung behandelt die Pflichtregistrierung und AFRINICs Ratifizierungsdarstellung vom 4. Februar 2026. Ebenso werden die drei betroffenen Objektklassen, die öffentliche Zugänglichkeit und die mindestens halbjährliche Prüfkadenz an anderer Stelle als eigene Fragen untersucht. Hier zählen diese Elemente nur, soweit sie die erste Stufe einer möglichen RSA-Eskalation bilden.

Auch das für 2026 erörterte Policy Compliance Dashboard bleibt außerhalb dieses Gegenstands. Es ist eine eigenständige, politikübergreifende Überwachungsidee mit eigenen Status- und Automatisierungsfragen. Aus ihm darf keine Definition von „anhaltend“, kein Beweis einer D7-Umsetzung und keine bereits bestehende Sanktionspraxis in diese Analyse importiert werden. D7 muss aus seinem eigenen Text, der zugehörigen Mitarbeiterbewertung und dem davon getrennten RSA gelesen werden.

Diese Trennung verhindert zwei entgegengesetzte Fehler. Der erste wäre, eine erreichbare Kontaktadresse für bedeutungslos zu erklären, nur weil eine zu weit reichende Folge angehängt werden könnte. Der zweite wäre, aus der Legitimität der Kontaktpflege abzuleiten, jede spätere Vertrags- oder Ressourcenfolge sei ebenfalls legitim. Beides folgt nicht. Der dünne Registerkern ist nützlich: den richtigen Inhaber und einen erreichbaren operativen Kontakt korrekt verzeichnen. Der strafende Sprung ist nicht erforderlich, um Eindeutigkeit, Datenrichtigkeit oder die Zustellbarkeit einer Nachricht zu erhalten.

Stufe eins: Was der Datensatz aussagt – und was nicht

Ein abuse-c-Eintrag sagt zunächst, wohin ein Bericht geschickt werden kann. Selbst wenn die Adresse technisch erreichbar ist, beweist sie nicht, dass die angeschriebene Stelle jede nachgelagerte Nutzung kontrolliert, jeden Kundenvertrag kennt oder für jedes Verhalten aus einem zugeordneten Netz rechtlich verantwortlich ist. Bei einem Transitprovider, Hostinganbieter, Unternehmensnetz oder Wiederverkäufer können Verantwortlichkeiten verschieden verteilt sein. Eine Funktionsadresse kann Berichte entgegennehmen, ohne dass ihr Betreiber die Befugnis hat, jede verlangte Maßnahme sofort umzusetzen.

Auch die drei Eigenschaften „gültig“, „überwacht“ und „aktiv verwaltet“ sind voneinander zu trennen. Gültigkeit kann auf technische Zustellbarkeit zielen. Überwachung kann bedeuten, dass eingehende Nachrichten wahrgenommen werden. Aktive Verwaltung kann Prozesse für Sichtung, Priorisierung und Weiterleitung verlangen. Keine dieser Eigenschaften beantwortet von selbst, ob ein konkreter Bericht wahr ist, hinreichende Belege enthält, in die Zuständigkeit des Empfängers fällt oder eine bestimmte Reaktion rechtlich gebietet.

Genau hier liegt die erste Schutzlinie. Das Register darf einen Kontaktdatensatz auf objektiv prüfbare Richtigkeit testen. Es darf aber nicht aus der Existenz oder Reaktion eines Postfachs eine universelle Zuständigkeit für Spam, Schadsoftware, Phishing, Urheberrechtsstreit, Betrugsvorwürfe, Belästigung, Scanverkehr oder andere sehr unterschiedliche Sachverhalte ableiten. Diese Kategorien folgen verschiedenen Tatsachen, Verträgen und Rechtsordnungen. Ein Adressbuch wird nicht dadurch zum Gericht, dass viele Arten von Beschwerden an dieselbe Adresse geschickt werden.

Stufe zwei: Der Validierungsanlass bleibt ein Verwaltungsakt

Der veröffentlichte D7-Text sieht Validierung bei der Erstellung eines Eintrags, bei seiner Aktualisierung, regelmäßig mindestens alle sechs Monate und außerdem dann vor, wenn AFRINIC eine Prüfung für angezeigt hält. Das beschreibt mögliche Auslöser. Es belegt nicht, dass ein endgültiges Verfahren technisch ausgerollt wurde. Öffentlich ungeklärt bleiben unter anderem ein Wirksamkeitsdatum, die konkrete Versandtechnik, Absenderdomänen, Schutz gegen nachgeahmte Prüfnachrichten und die Beweisanforderungen für die Zustellung.

Eine Validierungsaufforderung ist ein Verwaltungsakt innerhalb eines privaten Registerverhältnisses. Ihr Ergebnis kann anzeigen, dass eine Nachricht zurückgewiesen wurde, dass eine Bestätigung ausblieb oder dass ein technisches Verfahren einen erwarteten Zustand nicht sah. Das Ergebnis ist nicht automatisch eine Entscheidung über Missbrauch, Bösgläubigkeit, Absicht oder Verantwortung. Zwischen einer temporären Störung, einem Spamfilter, Greylisting, einem DNS-Fehler, Personalwechsel, einer Fusion, einer Sicherheitsrichtlinie und bewusst falschen Kontaktdaten liegen erhebliche Unterschiede.

Ohne veröffentlichte Fehlerklassifikation kann das Wort „fehlgeschlagen“ mehr verbergen als erklären. Wurde die Nachricht technisch unzustellbar? Wurde sie zugestellt, aber nicht innerhalb einer nicht näher bestimmten Frist bestätigt? Scheiterte ein Link an einer Unternehmenssicherheitsregel? Fehlte eine Antwort in einem erwarteten Format? Gab es eine substanzielle Antwort, die der Melder als unzureichend empfand? Jede Variante erzeugt ein anderes Beweisbild. Wer sie zu einem einzigen roten Status verdichtet, macht eine Messung größer als ihre Aussagekraft.

Stufe drei: Das erste 15-Tage-Fenster ist Kontaktpflege, kein Vertragsurteil

Die Mitarbeiterinterpretation beschreibt zunächst eine Validierungsperiode von höchstens 15 Tagen. Diese Zahl ist eine Obergrenze für eine Kontaktphase. Sie ist keine automatisch laufende materiell-rechtliche Ausschlussfrist. Aus dem zugänglichen Material geht nicht hervor, wann die Uhr beginnt, welcher Zustellnachweis maßgeblich ist, wie Wochenenden oder eine nachgewiesene Störung behandelt werden, ob die Frist ausgesetzt oder verlängert werden kann und wie ein Wechsel der zuständigen Person berücksichtigt wird.

Das ist mehr als verfahrenstechnische Feinmechanik. Eine Frist ist nur so fair und verlässlich wie ihr Auslöser. Beginnt sie mit dem Versand, der Annahme durch den Mailserver, dem Zugang beim zuständigen Unternehmensbereich oder der Kenntnis eines autorisierten Kontakts? Wenn die erste Nachricht selbst am geprüften Postfach scheitert, muss klar sein, welche anderen Kanäle den Inhaber erreichen. Andernfalls könnte der technische Defekt, den das Verfahren beheben soll, zugleich verhindern, dass der Betroffene von der Heilungsmöglichkeit erfährt.

Innerhalb dieser ersten Phase ist die angemessene institutionelle Reaktion einfach: den beobachteten Zustand mitteilen, die verwendete Testmethode erklären, eine Korrektur ermöglichen und alle Registerfunktionen offenhalten, die für die Korrektur benötigt werden. Eine bestätigte Änderung der Kontaktadresse kann das konkrete Datenqualitätsproblem lösen. Dafür ist weder eine Deutung des zugrunde liegenden Missbrauchsberichts noch eine Entscheidung über Vertragsbeendigung notwendig.

Stufe vier: Das zweite 15-Tage-Fenster ist kein Ersatz für das RSA

Bleibt die erste Validierung nach der Mitarbeiterdarstellung erfolglos, soll AFRINIC weitere LIR-Kontakte ansprechen und ein neues Validierungsfenster von höchstens 15 Tagen eröffnen. Diese Eskalation ist ein sinnvoller Versuch, eine möglicherweise veraltete Funktionsadresse über andere registrierte Ansprechpartner zu korrigieren. Sie trägt gerade deshalb den Charakter von Kontakt und Heilung.

Die beiden Fenster dürfen jedoch nicht mechanisch addiert und als 30-tägiges Kündigungsverfahren ausgegeben werden. Die gleiche Zahl erzeugt keine rechtliche Gleichheit. Die ersten beiden Abschnitte gehören zu einer Kontaktvalidierung unter D7. Die gesonderte 30-Tage-Periode des RSA beginnt an einem anderen Punkt, setzt eine schriftliche Kündigungsabsicht und eine Einladung zur Stellungnahme oder Abhilfe voraus und dient dazu, Gründe gegen die Kündigung vorzutragen. Aus zwei technischen Kontaktphasen entsteht nicht durch Addition ein Vertragsverfahren.

Auch im zweiten Fenster bleiben wichtige Fragen offen. Welche weiteren LIR-Kontakte werden angesprochen, in welcher Rangfolge und über welchen Kanal? Gilt der Zugang bei irgendeinem eingetragenen Kontakt als Zugang beim rechtlich zuständigen Unternehmensvertreter? Welche Befugnis muss die antwortende Person nachweisen? Kann der Inhaber die zugrunde liegende Messung bestreiten? Welche Korrektur wird als rechtzeitig anerkannt? Es gibt keinen belastbaren Grund, diese Lücken durch Vermutungen zugunsten einer automatischen Eskalation zu füllen.

Stufe fünf: Der Melder liefert ein Signal, keine Feststellung

D7 sieht vor, dass Berichte über nicht antwortende, selektiv antwortende oder anderweitig als regelwidrig bezeichnete Missbrauchspostfächer eine erneute Validierung und eine mögliche Vermittlung durch AFRINIC auslösen können. Das ist ein wichtiger operativer Eingangskanal. Wer eine unzustellbare Adresse entdeckt, soll das Register auf einen möglicherweise falschen Datensatz hinweisen können.

Die Qualität dieses Signals kann stark variieren. Eine harte Unzustellbarkeitsmeldung ist etwas anderes als fehlende Empfangsbestätigung. Eine aus Sicht des Melders langsame Reaktion ist etwas anderes als selektive Bearbeitung. Eine Ablehnung unvollständiger oder nicht verwertbarer Angaben ist etwas anderes als das Ignorieren eines belegten Problems. Ein Streit über die Substanz einer Beschwerde ist etwas anderes als falsche Kontaktdaten. Und die bloße Behauptung eines Melders ist noch kein Nachweis dafür, dass der Empfänger bösgläubig, betrügerisch oder vertragsbrüchig gehandelt hat.

Das Verfahren muss daher eine asymmetrische Anreizlage erkennen. Einen Bericht einzureichen kann billig sein; die Prüfung, Zuordnung und Abhilfe kann für den Betreiber aufwendig sein. Automatisierte, doppelte, unvollständige oder sogar feindselig motivierte Einsendungen dürfen das Register nicht in einen Verstärker fremder Behauptungen verwandeln. Umgekehrt kann ein wiederholt unzustellbares Postfach ein echtes Datenqualitätsproblem anzeigen. Der richtige Schluss lautet deshalb weder „jeder Bericht ist wahr“ noch „jeder Bericht ist bedeutungslos“. Der Bericht ist ein Anlass für eine begrenzte, überprüfbare Revalidierung.

AFRINIC kann in dieser Phase den Übermittlungsweg prüfen, den Inhaber informieren und eine objektive Korrektur unterstützen. Es darf aber nicht so handeln, als habe der Melder ihm polizeiliche, regulatorische oder richterliche Zuständigkeit übertragen. Ein Privater kann Informationen liefern; er kann keine Hoheitsgewalt erzeugen.

Stufe sechs: „Anhaltend“ braucht eine eigene Tatsachenbasis

Der entscheidende Begriff der Mitarbeiterbewertung ist nicht einfach Nichteinhaltung, sondern anhaltende Nichteinhaltung. Dieser Zusatz soll die Schwelle zwischen einem behebbaren Kontaktproblem und einer möglichen Vertragsfolge markieren. Im öffentlich geprüften Material ist jedoch nicht abschließend festgelegt, wie viele Fehlschläge, welcher Zeitraum, welches Beweismaß und welches Verhalten diese Schwelle bilden.

Eine sachgerechte Feststellung müsste wenigstens unterscheiden zwischen technischer Unzustellbarkeit, vorübergehender Nichterreichbarkeit, fehlender formaler Bestätigung, unzureichender Reaktionsgeschwindigkeit, inhaltlicher Ablehnung eines Berichts, fehlender Befugnis des Postfachbetreibers, bewusst falschen Daten und gezielter Täuschung eines Validierungstests. Auch die Möglichkeit und Zumutbarkeit der Heilung spielt eine Rolle.

Wer nachweislich keine verwertbare Mitteilung erhielt oder wegen verweigerten Zugangs den Datensatz nicht korrigieren konnte, befindet sich in einer anderen Lage als jemand, der wiederholte klare Hinweise erhält und eine einfache Berichtigung bewusst unterlässt.

Die Feststellung darf daher nicht das unbemerkte Nebenprodukt eines Zählers sein. Es braucht einen benannten Entscheider, nachvollziehbare Tatsachen, eine dokumentierte Begründung und die Möglichkeit, Messfehler oder eine bereits erfolgte Korrektur vorzubringen. Der derzeit sichtbare öffentliche Stand schließt nicht, wer diese Entscheidung trifft, ob eine unabhängige Überprüfung vorgesehen ist und welche Beweisregel gilt.

Diese Lücke ist nicht durch das gesondert diskutierte Compliance-Dashboard zu schließen. Dessen Kategorien oder Zeitlogik gehören nicht automatisch zu D7. Eine spätere Oberfläche kann keine fehlende materielle Definition rückwirkend erzeugen. Entscheidend bleibt, was für dieses Kontaktverfahren gültig beschlossen, wirksam eingeführt, dem Mitglied mitgeteilt und in einem konkreten Fall bewiesen wäre.

Stufe sieben: Die Mitarbeiterformulierung ist eine Möglichkeit, kein Automatismus

Bei AFRINIC-33 hielten Mitarbeiter sinngemäß fest, Regelabweichung werde als Verletzung einer RSA-Bestimmung angesehen und das Mitglied zur Abhilfe angehalten; anhaltende Nichteinhaltung „may entail“ die Revokation des RSA gemäß der einschlägigen Klausel. Der englische Modalgehalt ist entscheidend. „May entail“ bezeichnet eine mögliche Folge. Er bedeutet nicht „führt automatisch zu“, nicht „muss nach sich ziehen“ und nicht „ist bereits eingetreten“.

Auch die Urheberschaft der Aussage zählt. Es handelt sich um AFRINICs Mitarbeiterbewertung der rechtlichen Auswirkung. Der D7-Text selbst verzichtet auf einen eigenen ausformulierten Sanktionskatalog und verweist darauf, dass Folgen allgemein im RSA geregelt seien. Damit liegen zwei Instrumente vor: eine Regel über Kontaktdaten und Validierung einerseits, ein Vertragswerk mit Kooperations-, Regelbefolgungs- und Kündigungsbestimmungen andererseits. Die Mitarbeiterbewertung beschreibt eine denkbare Brücke. Sie beweist nicht, dass die Brücke bei jedem fehlgeschlagenen Test trägt.

Für einen konkreten Fall wären mehrere Fragen offen. Welche genaue RSA-Bestimmung soll verletzt sein? War die Kontaktpflicht zum maßgeblichen Zeitpunkt wirksam eingeführt und in das Verhältnis einbezogen? Welche Tatsache belegt die Abweichung? Wurde der Inhaber verlässlich informiert? Hatte er eine reale Heilungsmöglichkeit? War ein zusätzliches Informations- oder Kooperationsersuchen angemessen? Wer besaß die gesellschaftsrechtliche Befugnis, die nächste Stufe auszulösen? Diese Fragen sind keine Ausflüchte. Sie sind die Übergänge, die aus einer Behauptung erst eine begründete Vertragsposition machen würden.

Stufe acht: Klausel 4(b) verlangt ein angemessenes Ersuchen

Der öffentlich wiedergegebene englische RSA-Text verpflichtet das Mitglied in Klausel 4(b), Informationen, Unterstützung und Zusammenarbeit bereitzustellen, die AFRINIC für die Erbringung seiner Dienste angemessen verlangt, unter anderem bei einer Überprüfung der Ressourcennutzung. Für die Nichtbefolgung eines solchen Ersuchens nennt der Vertrag mögliche Folgen: Dienste können widerrufen oder zurückgehalten werden, künftige Zuteilungen können betroffen sein, eine LIR-Schließung und die Vertragsbeendigung können folgen.

Der zentrale Filter ist das angemessene Ersuchen. Ein gebouncter Validierungsversuch ist nicht textgleich mit der Weigerung, eine angemessene Informationsanfrage zu beantworten. Ein Melder, der keine inhaltlich zufriedenstellende Reaktion erhält, weist nicht automatisch nach, dass AFRINIC selbst ein hinreichend bestimmtes Ersuchen gestellt hat. Und ein Mitglied, das einen nicht verwertbaren oder sicherheitsgefährdenden Kommunikationsweg ablehnt, verweigert nicht zwingend jede angemessene Zusammenarbeit.

Eine belastbare Brücke müsste deshalb mindestens zeigen, was AFRINIC verlangte, warum es zur Registerdienstleistung erforderlich und angemessen war, wer das Ersuchen erhielt, welche Frist und Korrekturmöglichkeit bestand, wie das Mitglied reagierte und warum die Reaktion nicht genügte. Erst dann lässt sich prüfen, ob der konkrete Tatbestand der Klausel überhaupt angesprochen ist. Die allgemeine Existenz der Klausel ersetzt diese Tatsachen nicht.

Stufe neun: Klausel 4(c) ist allgemein, nicht selbstvollziehend

Klausel 4(c) enthält die allgemeine Verpflichtung, Dienste für den beantragten Zweck und im Einklang mit AFRINIC-Regeln, dem Mandat der Organisation und anwendbarem Recht zu nutzen. Diese Formulierung kann AFRINICs Mitarbeiter zu der Auffassung geführt haben, D7-Abweichung liege im RSA-Bereich. Doch eine allgemeine Regelbefolgungsklausel beantwortet nicht automatisch, welche Abweichung vorliegt, welche Abhilfe verhältnismäßig ist und ob eine Beendigung gerechtfertigt wäre.

Der genaue Vertrag des betroffenen Inhabers bleibt ebenfalls bedeutsam. AFRINICs Vereinbarungsseite bezeichnet die englische Fassung als einzige rechtlich verbindliche veröffentlichte Sprachfassung. Welche Version ein bestimmtes Mitglied tatsächlich abgeschlossen hat und wie sie im Einzelfall wirkt, müsste anhand des konkreten Verhältnisses geprüft werden. Für ältere Inhaber ohne dieselbe Vertragslage ist die Anwendung im öffentlichen Material offen.

Vor allem schafft eine private Vertragsklausel keine souveräne Strafgewalt. Sie kann Rechte und Pflichten zwischen Parteien ordnen, soweit sie wirksam ist. Sie macht AFRINIC weder zum Gesetzgeber noch zur Polizei, zur Regulierungsbehörde oder zum Gericht. Wenn eine Vertragsfolge im Streit steht, bleibt sie eine privatrechtliche Position, die einer zuständigen staatlichen Instanz vorgelegt werden kann. Der Registerführer erbt nicht die Hoheit eines Gerichts, nur weil ein Gericht seinen Vertrag später prüfen könnte.

Stufe zehn: Die 30-Tage-Sequenz ist ein neuer Verfahrensabschnitt

Klausel 11(d) des veröffentlichten RSA beschreibt eine schriftliche Mitteilung der Absicht, den Vertrag zu kündigen. Das Mitglied soll aufgefordert werden, Gründe gegen die Kündigung darzulegen oder Abhilfemaßnahmen zu ergreifen. Ihm stehen 30 Tage zur Verfügung, um seine Einwände mitzuteilen. Danach soll AFRINIC die Antwort beziehungsweise die ergriffene Abhilfe würdigen.

Diese Abfolge ist nicht dekorativ. Sie trennt die Feststellung eines behaupteten Vertragsproblems von der Entscheidung, das Vertragsverhältnis zu beenden. Eine brauchbare Kündigungsanzeige müsste den behaupteten Sachverhalt, die herangezogene Bestimmung und die erwartete Heilung so konkret mitteilen, dass das Mitglied sinnvoll antworten kann. Die Würdigung am Ende muss erkennen lassen, ob die Antwort, eine technische Korrektur oder eine andere Abhilfe berücksichtigt wurde.

Weder die erste noch die zweite 15-Tage-Phase nimmt diese Schritte vorweg. Selbst wenn beide Kontaktfenster vollständig und erfolglos durchlaufen wären – wofür hier kein konkreter Fall behauptet wird –, bliebe die RSA-Mitteilung ein eigener Akt. Ebenso bliebe zu zeigen, welcher gültig befugte AFRINIC-Akteur die Kündigungsabsicht aussprechen darf. Angesichts der gegenwärtigen Governance-Lage kann die bloße Funktionsbezeichnung eines Organs keine abschließende Autoritätsprüfung ersetzen.

Die 30 Tage schützen nicht nur Zeit, sondern institutionelle Rollen. Das Mitglied erhält eine Gelegenheit, Tatsachen, Zustellung, technische Fehler, Zuständigkeit, Heilung und Vertragsauslegung anzusprechen. AFRINIC muss anschließend als Vertragspartner reagieren. Falls der Streit fortbesteht, können Gerichte oder zuständige Stellen angerufen werden. Wer die 30 Tage in die Kontaktvalidierung hineinliest, löscht gerade den Puffer, den der Vertrag zwischen Beobachtung und Kündigung setzt.

Stufe elf: Erst Kündigung, dann die im Vertrag beschriebene Ressourcenfolge

Der RSA-Text sagt, dass Kündigung oder Ablauf des Vertrags zur sofortigen Revokation zugeteilter oder zugewiesener Nummernressourcen und zur Einstellung von Diensten ohne Haftung nach der betreffenden Bestimmung führen. Das ist die schärfste Stelle der Kette. Sie erklärt, warum die vorherigen Übergänge keine Formalien sind. Wenn der Registerstatus eines produktiv eingesetzten Adressbestands an eine Vertragsbeendigung gekoppelt wird, können die möglichen Auswirkungen Routing, Kundenkontinuität, Sicherheitsdienste, Reverse DNS, Erlöse, Finanzierung und den Aufwand einer Umnummerierung berühren.

Doch auch hier muss die Grammatik stimmen. Die Ressourcenfolge wird als Folge einer Kündigung oder eines Ablaufs beschrieben. Sie darf nicht rückwärts in die Kontaktvalidierung gezogen werden. Das Scheitern eines Tests revokiert keine Ressource. Das Ende eines 15-Tage-Fensters kündigt keinen Vertrag. Eine Mitarbeiterbewertung vollzieht keine Kündigung. Eine Kündigungsabsicht ist noch keine Beendigung. Und der Vertragstext belegt keinen unter D7 bereits vollzogenen Fall.

Der öffentlich geprüfte Stand identifiziert bis zum 10. August 2026 kein Mitglied, dessen RSA oder Nummernressourcen allein wegen anhaltender D7-Kontaktabweichung gekündigt beziehungsweise revokiert wurden. Diese Aussage ist eng begrenzt: In den geprüften öffentlichen Unterlagen wurde kein solcher Fall gefunden. Daraus folgt nicht, dass keine private Nachricht existieren kann. Es folgt nur, dass ein tatsächlicher Vollzug nicht behauptet werden darf.

Ebenso ist „Revokation“ im RSA nicht mit souveräner Enteignung gleichzusetzen. AFRINIC kann in seinen Systemen Anerkennung oder Dienste beeinflussen und eine vertragliche Rechtsposition vertreten. Es besitzt jedoch keine souveräne Quelle, um Vermögen als Strafe einzuziehen oder Rechtsverstöße endgültig festzustellen. Operative Abhängigkeit vom Register kann große praktische Macht erzeugen. Sie verwandelt Abhängigkeit aber nicht in Hoheit.

Die letzte Stufe gehört Gericht und Regulierungsstelle

In einem konkreten Streit können mauritische Gerichte oder andere zuständige Regulierungsstellen Fragen der Durchsetzbarkeit, gesellschaftsrechtlichen Befugnis, Verfahrensfairness, Vertragsreichweite, einstweiligen Sicherung und des anwendbaren Rechts entscheiden. Diese staatliche Entscheidungsgewalt ist nicht an AFRINIC delegiert. Die Organisation bleibt eine private, mitgliederbasierte Registerstelle und Vertragspartei.

Das ist die kontrollierende Grenze der gesamten Kette: AFRINIC führt das Buch. Es kann objektive Kontaktdaten pflegen, technische Zustellbarkeit prüfen, Mitteilungen versenden, Korrekturen unterstützen und seine vertragliche Position darlegen. Es darf sich nicht zum souveränen Straf- oder Enteignungsträger erheben. Ein Melder erzeugt keine Verurteilung, ein Prüfstatus keinen Rechtsbruch, eine Regel keinen staatlichen Titel und ein Vertrag keine Hoheitsgewalt.

Diese Grenze leugnet nicht, dass Gerichte, Regulierer, Strafverfolgungsbehörden, Betreiber oder Vertragspartner aufgrund anderer Rechtsgrundlagen handeln können. Sie ordnet nur die Zuständigkeiten. Wenn ein Bericht eine Straftat, einen zivilrechtlichen Anspruch oder eine regulatorische Pflicht betrifft, muss die dafür zuständige Institution nach dem einschlägigen Standard entscheiden. Das Nummernregister kann den Kontaktweg ermöglichen; es ist nicht die universelle Entscheidungsinstanz für das Internet.

Die Prozessgeschichte schließt die materiellen Fragen nicht

Der zeitliche Verlauf zeigt, wie lange der Text existiert, nicht dass jede spätere Folge geklärt wäre. Die veröffentlichte englische RSA-Fassung trägt das Datum 27. November 2017. Die erste Fassung der Abuse Contact Policy Update trat am 12. August 2018 in den AFRINIC-Prozess ein. D7 wurde am 17. Mai 2021 mit Klarstellungen und einer aktualisierten Mitarbeiterbewertung eingereicht. Bei AFRINIC-33 am 2. Juni 2021 wurden Pflichtkontakt, Validierung und die mögliche RSA-Folge erörtert.

Von Juni 2021 bis Januar 2022 durchlief der Vorschlag Last Call und eine verlängerte Last-Call-Phase. Am 14. Januar 2022 verkündeten die Ko-Vorsitzenden der Policy Development Working Group Konsens. Eine spätere Anfechtung richtete sich gegen diese Feststellung. Der Appeal Committee behandelte sie am 13. Juli 2022 als unzulässig, weil ein vorheriger Lösungsversuch nicht nachgewiesen war, und hielt ausdrücklich fest, dass eine Entscheidung in der Sache nicht nötig sei. Die Meilensteinübersicht nennt den 9. August 2022 als Ende der zweiten Einspruchsphase.

Die Unzulässigkeitsentscheidung ist keine materielle Bestätigung der Kontaktvalidierung, der RSA-Brücke oder einer Revokationsfolge. Sie zeigt, wie die konkrete Anfechtung verfahrensrechtlich endete. Sie beweist weder, dass ein Mitglied später eine unabhängige Sachprüfung einer Kontaktfeststellung erhalten würde, noch dass der Appeal Committee das richtige Forum für eine Kündigung oder Ressourcenfolge wäre. Der öffentlich sichtbare RSA-Rechtsbehelf ist auf einen Einspruch von einem zuteilenden Register zu einem übergeordneten Register zugeschnitten; seine Passung für eine AFRINIC-interne D7-Feststellung bleibt ungeklärt.

AFRINICs aktuelle Übersichten bezeichnen D7 als am 4. Februar 2026 ratifiziert. Präzise formuliert ist dies AFRINICs Behauptung über einen Akt eines als Board auftretenden Gremiums. Die Veröffentlichung beweist, dass AFRINIC diesen Status bekanntgegeben hat. Sie ist kein Souveränitätsnachweis, keine endgültige Entscheidung über die gesellschaftsrechtliche Befugnis des betreffenden Gremiums und keine pauschale Ermächtigung zu Vertrags- oder Ressourcenmaßnahmen.

Ratifizierung, Einführung und Vollzug sind drei verschiedene Tatsachen

Eine Statusseite kann einen Vorschlag als ratifiziert bezeichnen. Daraus folgt nicht automatisch, wann eine produktive Umsetzung beginnt, welches Handbuch gilt, welche Systeme geändert wurden oder wie Mitglieder benachrichtigt wurden. Gerade bei einem Verfahren, das Fristen und potenziell schwere Folgerungen verbinden kann, müssen Einführung und Vollzug eigenständig belegt werden.

Bis zum Stichtag fehlen in den geprüften öffentlichen Unterlagen ein eindeutiges Wirksamkeitsdatum, die endgültige Validierungsanleitung, Nachrichtenmuster, Zustellregeln, Schutz gegen Phishing, eine Definition des gültigen und aktiv verwalteten Postfachs sowie Regeln für Fristbeginn, Unterbrechung, Verlängerung und außergewöhnliche Störungen. Ebenso fehlen veröffentlichte Zahlen zu erfassten Objekten, bestandenen und fehlgeschlagenen Tests, Fehlalarmen, Heilungen, Eskalationen und wiederholten Fehlschlägen.

Auf der Entscheidungsebene bleiben weitere Lücken: Wer stellt „anhaltend“ fest? Welche Belege und welcher Standard gelten? Welche RSA-Klausel würde für welche Art von Kontaktproblem herangezogen? Welcher gültige Unternehmensakteur genehmigt Untersuchung, Kündigungsabsicht, Kündigung und eine nachfolgende Registermaßnahme? Gibt es eine unabhängige Sachprüfung? Bleiben WHOIS- beziehungsweise RDAP-Daten, RPKI, Reverse DNS und Aktualisierungszugang während eines Streits erhalten? Wie werden ältere Inhaber mit anderer Vertragslage behandelt?

Diese Ungewissheiten dürfen weder dramatisiert noch wegerklärt werden. Sie zeigen, welche Tatsachen vor einer belastbaren Beurteilung eines realen Falls benötigt würden. Sie rechtfertigen keine Behauptung, D7 sei eingeführt, verletzt oder bereits angewandt worden. Umgekehrt macht die fehlende öffentliche Ausgestaltung die im RSA beschriebene Gefährdung nicht belanglos. Sie erhöht den Wert klarer institutioneller Trennlinien, bevor ein konkreter Konflikt entsteht.

Die stärkste Begründung für eine Eskalation

Die stärkste Gegenposition beginnt bei einem realen Problem. Ein öffentlicher Missbrauchskontakt ist nur dann nützlich, wenn er erreichbar und tatsächlich betreut ist. Ein nicht reagierendes Postfach kann Kosten auf Betroffene, Netzbetreiber und Sicherheitsstellen verlagern. Ein Mitglied hat sich vertraglich zur Befolgung von AFRINIC-Regeln und zu angemessener Zusammenarbeit verpflichtet.

Wenn es zwei klar mitgeteilte Kontaktgelegenheiten verstreichen lässt, weitere Ansprechpartner nicht reagieren und ein bestimmtes, zumutbares Ersuchen unbeantwortet bleibt, kann eine institutionelle Eskalation vernünftiger wirken als fallweise, inkonsistente Handarbeit.

Diese Argumentation verdient eine vollständige Antwort, keine Karikatur. Einheitliche Prüfungen können Willkür reduzieren. Mehrere Kontaktkanäle können Fehlalarme abfangen. Eine Aufforderung zur Heilung kann besser sein als sofortige Sanktion. Eine verlässliche Adresse kann Missbrauchsbearbeitung beschleunigen. Der Vertrag enthält bereits Kooperations-, Regelbefolgungs- und Kündigungssprache; D7 erfindet diese Klauseln nicht.

Aber die legitime Begründung trägt nur bis zur Datenqualität und zu einem nachweisbaren, angemessenen Kooperationsersuchen. Wiederholtes Kontaktversagen erzeugt keine doppelte Nummernvergabe, zerstört nicht die Eindeutigkeit des Registers und beweist keinen zugrunde liegenden Missbrauch. Es beweist auch nicht ohne Weiteres, dass eine Kündigung die richtige oder verhältnismäßige Vertragsfolge wäre. Je weiter die Maßnahme von der Korrektur des Postfachs zur Beeinträchtigung einer produktiv genutzten Ressource wandert, desto stärker müssen Beweis, Befugnis, Anhörung und unabhängige Kontrolle werden.

Der Registerführer hat einen angemessenen Werkzeugkasten: Status als ungeprüft oder nicht erreichbar markieren, alle bekannten Kontakte informieren, Korrekturzugang offenhalten, Unterstützung anbieten, Testdetails protokollieren und bei konkretem Verdacht Informationen an die zuständigen Stellen weiterleiten. Die Abschaltung der Anerkennung einer Nummernressource ist kein notwendiges Mittel der Adressbuchpflege. Wo eine Kontaktregel nur durch die Drohung mit einer live wirksamen Ressourcenfolge durchsetzbar erscheint, überschreitet das Mittel die Funktion, die den Eingriff ursprünglich rechtfertigte.

Das wirtschaftliche Wirkungsgefälle

Die praktische Macht eines Registers entsteht aus Abhängigkeiten. WHOIS- und RDAP-Einträge, Reverse DNS, RPKI-bezogene Dienste, Übertragungsfähigkeit und die Anerkennung des Inhabers können für den Betrieb wichtig sein. Wenn der RSA-Wortlaut an die Vertragsbeendigung eine unmittelbare Ressourcenfolge knüpft, trägt der Betreiber ein erhebliches Randrisiko – auch wenn nie ein Fall eintritt. Unklarheit allein kann Entscheidungen über Finanzierung, Kundenverträge, Investitionen und Notfallplanung beeinflussen.

Die Lasten wären asymmetrisch. Das Register verwaltet den Datensatz und trifft eine Entscheidung in seinem System. Der Betreiber müsste dagegen möglicherweise Kunden informieren, Routen und Filter anpassen, Sicherheitskonfigurationen ändern, Dienste umnummerieren, Verträge neu ordnen oder einstweiligen Rechtsschutz suchen. Kunden, Kreditgeber und Gegenparteien können Auswirkungen tragen, obwohl sie weder das Postfach betrieben noch am Verfahren teilgenommen haben. Der öffentlich sichtbare Vertrag begrenzt zugleich die Abhilfeseite und lässt die Passung des beschriebenen Einspruchswegs für diesen Sachverhalt offen.

Es wäre unbelegt, diese Lasten für einen D7-Fall zu beziffern oder einen tatsächlichen Schaden zu behaupten. Der Mechanismus ist dennoch erkennbar: Eine binäre Registermaßnahme kann viele technische und wirtschaftliche Abhängigkeiten berühren, während der auslösende Kontaktfehler eng und grundsätzlich heilbar ist. Diese Diskrepanz zwischen kleinem Messgegenstand und großer möglicher Folge ist der Kern des Risikos.

Das Register ist gerade deshalb kein gewöhnlicher E-Mail-Validator. Seine Datenbankposition kann Marktteilnehmer dazu bewegen, seine Entscheidungen weit über den unmittelbaren Vertrag hinaus zu beachten. Aus solcher faktischen Wirkung folgt aber keine souveräne Zuständigkeit. Im Gegenteil: Je höher die praktische Abhängigkeit, desto enger müssen Aufgabe, Nachweis und Abhilfe begrenzt werden.

Ein dünnes Register kann Kontaktierbarkeit sichern

Die Alternative zu der Eskalationskette ist nicht Regellosigkeit. Ein eng begrenztes Verfahren kann einen Missbrauchskontakt verlangen, objektive Zustellbarkeit prüfen, den Validierungsstatus verzeichnen, bei Fehlern alle bekannten Ansprechpartner informieren und ausreichende Zeit sowie Unterstützung für die Berichtigung gewähren. Es kann zwischen temporärer Störung, hartem Bounce, fehlender Bestätigung, inhaltlichem Streit und bewusst falschen Daten unterscheiden.

Die verhältnismäßige Folge eines Kontaktfehlers ist zunächst ein Kontaktstatus. Das Register kann sichtbar machen, dass die Adresse zu einem bestimmten Zeitpunkt nicht bestätigt wurde. Es kann einen Korrekturhinweis anbringen und die erneute Prüfung nach der Berichtigung dokumentieren. Es kann einen konkreten Betrugsverdacht oder eine rechtlich relevante Angelegenheit an eine zuständige Stelle weitergeben. Dabei muss es alle Dienste erhalten, die der Inhaber zur Korrektur benötigt.

Eine feste Revokationssperre sollte verhindern, dass Kontaktversagen allein zu Deregistrierung, Beeinträchtigung der Inhaberanerkennung, Entfernung von Reverse DNS, Unterbrechung von RPKI-bezogenen Diensten oder Übertragungssperren führt. Irreversible oder betriebsgefährdende Schritte kommen nur bei eigenständig tragfähigen Gründen in Betracht, etwa einer bindenden gerichtlichen Anordnung, unabhängig festgestelltem Registerbetrug, einem unauflösbaren Doppelanspruch, ausdrücklicher Aufgabe oder einer eng begrenzten Sicherheitsnotlage mit rascher unabhängiger Kontrolle.

Diese Architektur schwächt die Kontaktpflicht nicht. Sie macht sie präziser. Betreiber wissen, was geprüft wird; Melder wissen, was ihr Signal auslösen kann; AFRINIC-Mitarbeiter wissen, wo ihre Rolle endet; Gerichte und zuständige Stellen behalten die Entscheidung über hoheitliche Rechtsfolgen. Das Register wird verlässlicher, weil niemand Datenpflege als verdeckte Vermögenskontrolle fürchten muss.

Das öffentliche Ergebnis

D7 enthält einen legitimen administrativen Kern und eine Ausweitung über die Registerfunktion hinaus. Der legitime Kern ist die Pflege eines erreichbaren Missbrauchskontakts und die objektive Prüfung der Registerrichtigkeit. Die Ausweitung beginnt dort, wo ein Kontaktstatus ohne offen gelegte Zwischenschritte in eine Feststellung anhaltender Regelabweichung, dann in einen RSA-Verstoß und schließlich in die Gefährdung der Ressourcenanerkennung übergeht.

Die Dokumente beschreiben eine mögliche Kette, keinen automatisch ablaufenden Mechanismus.

Jeder Übergang verlangt einen eigenen Tatbestand und einen zuständigen Akteur: Kontaktregistrierung; technische Validierung; erstes 15-Tage-Fenster; weitere LIR-Kontakte; zweites 15-Tage-Fenster; Meldersignal und Revalidierung; begründete Feststellung von anhaltender Nichteinhaltung; ein angemessenes Informations- oder Kooperationsersuchen; Zuordnung zu einer konkreten RSA-Pflicht; schriftliche Kündigungsabsicht; Gelegenheit zu Einwand oder Heilung; 30-tägige Antwort; Würdigung; Kündigung; erst danach die im RSA beschriebene Ressourcenfolge; und über allem die Hoheit von Gericht oder zuständiger Regulierungsstelle.

Der Stand der öffentlichen Belege erlaubt nicht zu sagen, D7 sei produktiv eingeführt, ein bestimmtes Mitglied habe dagegen verstoßen, AFRINIC habe deswegen gekündigt oder Ressourcen revokiert. Er erlaubt sehr wohl, die institutionelle Konstruktion zu beurteilen. Kontaktierbarkeit gehört zur Buchführung. Bestrafung und Vermögensentzug gehören zu einer Hoheit, die AFRINIC nicht besitzt. Das Register darf das Buch berichtigen. Es darf den Eintrag nicht als Hebel verwenden, um aus einem heilbaren Postfachproblem eine souveräne Verfügung über den zugrunde liegenden Vermögenswert zu machen.