Zusammenfassung

  • Die unabhängig gespiegelte AfPIF-Seite von AFRINIC kündigte in Kigali 30-minütige Termine für BPKI, 2FA, WHOIS- und Registerkorrekturen, RPKI, Designated Representative und offene Tickets an.
  • Der Abgleich eines Menschen mit einem Ausweis belegt weder seine Vertretungsmacht für eine Organisation noch die Erlaubnis zur konkreten Handlung oder den Zustand nach einer Back-End-Änderung.
  • Ein privater Übergabebeleg sollte Fall, Person, Rolle, Handlung, Entscheidung, Vorher-/Nachher-Zustand, Benachrichtigung und Korrekturweg verbinden. Öffentlich genügen aggregierte Prozesszahlen.

Der Konferenztermin wurde zum Arbeitsschritt

Das AfPIF 2026 fand vom 17. bis 20. August im Kigali Marriott Hotel statt. AFRINIC bot Termine über Brella, vorab vereinbarte Gespräche per E-Mail und Besuche ohne Anmeldung an. Für Abwesende sollte ein Ferntermin möglich sein.

Die Themen reichten unmittelbar in den Registerbetrieb: RPKI und ROAs einrichten, WHOIS- und sonstige Registerdaten abgleichen, IPv6 planen, eine Mitgliedschaft beginnen, den Designated Representative bestätigen oder ein bestehendes Ticket voranbringen. Nach der Ankündigung arbeiteten die Ingenieure an den Ressourcen des Mitglieds und nutzten dabei ihren direkten Zugang zum Register-Back-End.

Bei BPKI und 2FA sollte die persönliche Prüfung mehrtägige Korrespondenz verkürzen. Dafür nannte AFRINIC Organisations-handle, registrierte E-Mail-Adresse, gegebenenfalls einen amtlichen Ausweis, Angaben zum Vertreter, Ticketnummern und Hinweise auf veraltete Datensätze.

Die Dienstleistung ist sinnvoll. Sie macht aber aus mehreren Nachweisen keinen einzigen Vorgang.

Vier Aussagen statt eines Häkchens

Zunächst wird die anwesende Person mit den vorgelegten Nachweisen verbunden. Danach ist ihre Rolle für die Organisation festzustellen. Als Drittes muss diese Rolle die konkrete beantragte Handlung erlauben. Erst die vierte Aussage betrifft das System: Befugtes Personal genehmigte, lehnte ab oder vertagte und erzeugte einen bestimmten Konto- oder Registerzustand.

Ein echter Pass beantwortet nur die erste Frage. Er macht seinen Inhaber nicht zum Bevollmächtigten für alle Firmenhandlungen. Auch ein technischer Kontakt oder Designated Representative verfügt nicht automatisch über jede Änderungsbefugnis. Ein zulässiger Antrag kann eine zweite Freigabe benötigen; eine interne Kontoänderung muss nicht zwingend ein öffentliches WHOIS-Objekt verändern.

Auch der direkte Back-End-Zugang gehört dem Personal, nicht dem Besucher. Der Termin liefert Antrag und Belege. Der verbindliche Zustand entsteht weiterhin im kontrollierten System.

Ein externer Maßstab trennt Identität und Funktion

NIST SP 800-63A ist für AFRINIC kein geltendes Recht. Als Strukturhilfe ist der Standard dennoch nützlich: Identitätsauflösung, Prüfung der Echtheit, Verifikation der Person und Bindung eines Authentikators an ein Konto sind getrennte Phasen. Zudem kann ein Mensch in einem Kontext selbst und in einem anderen als Unternehmensvertreter auftreten.

Für ein Register ist das zentral. Dieselbe Person kann Portalnutzer, Zahlungs-, Technik- oder Unternehmenskontakt, benannter Vertreter oder externer Berater sein. Die Person bleibt dieselbe; Rolle und zulässige Handlung ändern sich.

Die NIST-Hinweise zu Teilnehmerkonten verlangen Aufzeichnungen über Prüfschritte, Art und Aussteller der Nachweise sowie die verwendeten Methoden. Änderungen wesentlicher Attribute sollen validiert, dem Teilnehmer gemeldet und durch einen Weg zur Meldung unbefugter Zugriffe ergänzt werden. Diese Beweislogik lässt sich nutzen, ohne das US-Regelwerk zu übernehmen.

Die Quittung kann vollständig und trotzdem privat sein

Der Beleg für das Mitglied benennt Fallnummer, Organisations-handle, Objektklasse und beanspruchte Rolle. Statt einer Ausweiskopie genügt die Kategorie des Nachweises samt ausstellender Quelle, ergänzt um Methode, Zeitpunkt und Funktionsrolle des Mitarbeiters. Die beantragte Handlung und ihre Befugnisgrundlage müssen wörtlich bestimmbar sein.

Anschließend folgen geschützter Fingerabdruck des Ausgangszustands, Freigabe und gegebenenfalls Vier-Augen-Schritt, Schreibstatus und Zeit, Verweis auf den Zielzustand sowie Ergebnis der Benachrichtigung an einen bereits validierten Kanal. Bei Vertagung nennt der Beleg fehlende Tatsache, Verantwortlichen und nächsten Termin. Korrektur, Kompromittierungsmeldung, mögliche Rücknahme und Aufbewahrungsklasse der Personendaten schließen ihn ab.

Für die Öffentlichkeit reicht eine Statistik nach Leistungsart: Gespräche, abgeschlossene Identitätsprüfungen, Kontobindungen, Registeränderungen, vertagte Vorgänge und zugestellte Meldungen. Das Schema und die Ausnahmearten können offenliegen, ohne Personen, Ressourcen oder Ticketinhalte sichtbar zu machen.

Die geprüften Quellen belegen weder einen tatsächlichen Nutzer noch eine ausgeführte Änderung. Sie belegen auch nicht, dass AFRINIC keine internen Protokolle führt. Die Seite beschrieb ein Angebot. Die Quittung ist daher ein vorausschauender Kontrollvorschlag, keine Fehlerfeststellung.

Registergenauigkeit ist der enge Auftrag

Heng Lus Bill of Rights of Uniqueness Coordination verlangt, dass Registerdaten die betriebliche, rechtliche und wirtschaftliche Wirklichkeit abbilden. Die gemeinsame Schicht soll sich auf Eindeutigkeit, Kontrollnachweis, Genauigkeit, Sicherheitsaussagen, Übertragungsdaten, Prüfbarkeit und Ersatzwege beschränken.

Einen veralteten Kontakt zu berichtigen oder den legitimen Authentikator mit dem richtigen Konto zu verbinden, erfüllt diese enge Aufgabe. Die Prüfung eines Sachverhalts darf nicht zur allgemeinen Kontrolle des Mitgliedsgeschäfts werden. Der Übergabebeleg fixiert den geprüften Fakt, die anerkannte Rolle, die erlaubte Handlung und das Ergebnis.

AFRINIC hat den Eingang zum Registerbetrieb nach Kigali verlegt, nicht die Quelle der Autorität. Diese bleibt bei einer kontrollierten Entscheidung und einem nachvollziehbaren Zustandswechsel. Ein privater Beleg für das Mitglied und aggregierte Daten für die Öffentlichkeit verbinden Kundennähe mit Verantwortung.

Quellen

  • Unabhängig gehosteter Textspiegel der AFRINIC-Seite zu AfPIF 2026
  • AfPIF, Website des Forums 2026 in Kigali
  • NIST, Digital Identity Guidelines: Enrollment and Identity Proofing und Subscriber Accounts
  • Heng Lu, The Bill of Rights of Uniqueness Coordination