Zusammenfassung

  • AFRINIC teilte mit, dass der von der Organisation als amtierend dargestellte Vorstand am 4. Februar 2026 die Fassung 7 der Abuse Contact Policy Update ratifiziert habe. Damit soll abuse-c für inetnum-, inet6num- und aut-num-Einträge verpflichtend werden; die Kontaktadresse soll öffentlich, überwacht, aktiv verwaltet und wiederholt überprüft werden. Die amtlichen Veröffentlichungen belegen diese Mitteilung und den Wortlaut der vorgesehenen Regel, nicht aber eine umfassende Legitimität des Vorstands, eine bereits erfolgte technische Einführung oder einen nachgewiesenen Rückgang von Missbrauch.
  • Der tragfähige Kern ist schmal: AFRINIC darf als Registerbuchhalter einen zutreffenden Kontakt verlangen, ihn erfassen, veröffentlichen, korrigieren und seine objektive technische Erreichbarkeit prüfen. Daraus entsteht weder Souveränität noch Polizei-, Straf- oder Vollstreckungsmacht. Anforderungen an Reaktionsweise, inhaltliche Bearbeitung oder angeblich angemessene Ergebnisse überschreiten die Datenpflege; Meldungen Dritter sind Prüfhinweise, keine Urteile. Offen bleiben unter anderem Wirksamkeitsdatum, Umsetzungsanweisung, Prüfverfahren, Fehlalarmquote, Korrekturleistung, aktuelle Abdeckung und ein unabhängiger Überprüfungsweg.

Die Ratifizierung ist ein Ereignis, kein Wirksamkeitsbeweis

Am 4. Februar 2026, so die offizielle Darstellung AFRINICs, ratifizierte der Vorstand die als AFPUB-2018-GEN-001-DRAFT07 bezeichnete siebte Fassung der Abuse Contact Policy Update. Eine Übersicht der Organisation nennt dieses Datum ausdrücklich. Der aktuelle Vorschlagsindex führt die Fassung als ratifiziert, und ein Newsletter vom Februar bestätigt die Bekanntgabe. Ein späteres Kommuniqué ordnet sie einer Vorstandshandlung nach der Wiedereinsetzung der Policy Development Working Group zu. Damit ist zuverlässig belegt, was AFRINIC öffentlich als eigenen institutionellen Akt berichtet hat.

Diese Beleglage trägt jedoch nur eine präzise Aussage. Sie beweist nicht unabhängig, dass jede Frage zur Zusammensetzung oder weitergehenden Legitimität des als amtierend dargestellten Vorstands geklärt ist. Sie ersetzt auch weder einen gesonderten Beschluss mit Abstimmungsergebnis und Quorum noch Sitzungsprotokolle oder ein unterzeichnetes Ratifizierungsinstrument. Im bis zum 10. August 2026 geprüften öffentlichen Bestand wurden solche Unterlagen nicht ausfindig gemacht.

Ebenso wenig fand sich dort eine gesonderte Mitteilung zum Wirksamkeitsdatum oder eine betriebliche Anweisung, die erklären würde, wann und wie die neue Pflicht tatsächlich in die Registerdienste überführt wurde.

Das ist keine Haarspalterei. Eine Regel kann beschlossen sein, ohne dass die dafür nötigen Eingabemasken, Prüfprogramme, Benachrichtigungen und Korrekturwege schon eingesetzt werden. Und eine technische Funktion kann eingesetzt sein, ohne dass sie die behauptete Wirkung erzielt. Drei Zustände müssen deshalb auseinandergehalten werden: Ratifizierung, Umsetzung und gemessene Wirksamkeit. Für den ersten gibt es eine offizielle Bekanntgabe und einen veröffentlichten Text. Für den zweiten fehlen entscheidende öffentliche Betriebsnachweise. Für den dritten fehlen aktuelle Messwerte.

Wer alle drei Zustände unter dem Wort „ratifiziert“ zusammenzieht, verwandelt einen belegten institutionellen Akt in eine unbelegte Erfolgsmeldung.

Auch die Satzung hilft nur innerhalb dieser Grenze. Ihr Artikel 11.3 beschreibt öffentliche Policy-Sitzungen, die Verständigung im regionalen Entwicklungsprozess und eine anschließende Ratifizierung durch den Vorstand. Artikel 11.4 enthält daneben einen eigenen Weg für notwendige und dringende Annahmen durch den Vorstand. AFRINIC stellt den Schritt vom 4. Februar als Ratifizierung von Vorschlägen mit dokumentiertem Konsens dar, nicht als dringliche Annahme nach dem zweiten Weg. Diese Bestimmungen beschreiben die innere Unternehmensmechanik. Sie verleihen weder staatliche Gewalt noch eine allgemeine Aufsichtsbefugnis über Netzbetreiber.

Was abuse-c im Register verändern soll

Der ratifizierte Text macht abuse-c zu einem verpflichtenden Attribut, auf das inetnum-, inet6num- und aut-num-Einträge für von AFRINIC vergebene oder zugewiesene Ressourcen verweisen sollen. Für untergeordnete Einträge kann, wo es passt, die Kontaktangabe eines übergeordneten Eintrags geerbt werden. Nach AFRINICs Zusammenfassung erfasst die Pflicht Mitglieder mit IPv4-, IPv6- oder ASN-Ressourcen, Inhaber historisch zugeteilter Ressourcen und neue Antragsteller. Schon diese Aufzählung zeigt, dass es sich nicht nur um eine neue Zeile auf künftigen Antragsformularen handelt.

Bestehende Einträge, unterschiedliche Rollen und vererbte Zuständigkeiten müssen in eine konsistente Datenbeziehung gebracht werden.

Die abuse-c-Angabe verweist auf eine Person oder Rolle mit mindestens einem gültigen, überwachten und aktiv verwalteten Postfach für Missbrauchs- und Sicherheitsmeldungen. Die Adresse soll ohne Beschränkung über WHOIS, Programmierschnittstellen und künftige Veröffentlichungstechniken verfügbar sein. Eingehende Nachrichten sollen ein Eingreifen des Empfängers erfordern. Der Meldende darf nach dem Text nicht dazu gezwungen werden, zunächst ein Formular auszufüllen; das Postfach muss Hinweise samt Protokollen, Beispielen oder Kopfzeilen aufnehmen können. Das geht erkennbar über das Vorhandensein einer syntaktisch korrekten Adresse hinaus.

Der frühere Ansatz setzte auf ein besonderes IRT-Objekt. Seine Verknüpfung mit Ressourceneinträgen blieb freiwillig und wurde nach den historischen Angaben nur selten genutzt. Die Mitarbeiteranalyse führte 139.268 inetnum-Einträge an, von denen 232 durch MNT-IRT geschützt waren, also rund 0,1666 Prozent. Bei 31.230 inet6num-Einträgen waren es 33 oder etwa 0,1057 Prozent; bei 1.915 aut-num-Einträgen 32 oder ungefähr 1,6710 Prozent. Außerdem wurden 28 von 1.857 Ressourcenmitgliedern genannt, rund 1,5078 Prozent. Von 42 bestehenden IRT-Objekten seien 27 referenziert gewesen, etwa 64,2857 Prozent.

Diese Zahlen liefern einen starken Grund, die Freiwilligkeit infrage zu stellen. Sie sind aber historische Ausgangswerte aus der Folgenabschätzung, keine Messung für 2026. Das Verhältnis referenzierter IRT-Objekte sagt nicht, wie viele Mitglieder zuverlässig erreichbar waren. Eine Objektquote ist keine Mitgliederquote, und ein Verweis ist noch keine Antwort. Ebenso wenig beweist geringe Nutzung bösen Willen. Sie kann aus komplizierten Verfahren, unklarer Rollenverteilung, fehlender Kenntnis, veralteten Daten oder schlicht daraus folgen, dass die freiwillige Konstruktion keinen hinreichenden betrieblichen Anreiz bot.

Bei einer öffentlichen Sitzung im Jahr 2021 wurde außerdem von 1.738 Ressourcenmitgliedern mit autonomen Systemnummern gesprochen, die nach damaliger Erwartung abuse-c-Kontakte angeben müssten. Diese Zahl darf nicht von den 1.857 Mitgliedern einer anderen Erhebung abgezogen oder als aktueller Bestand behandelt werden. Datenzeitpunkt, Gruppendefinition und Aussagezweck unterscheiden sich. Der Wert zeigt eine erwartete Größenordnung der damaligen Umstellung, nicht die heutige Erfüllungsquote.

Warum der schmale Kern überzeugt

Das stärkste Argument für die Pflicht beginnt mit einem gewöhnlichen Sicherheitsproblem. Viele Meldungen beginnen bei einer IP-Adresse. Wer einen Angriff, Spam, eine kompromittierte Maschine oder eine andere technische Auffälligkeit beobachtet, muss erst herausfinden, an wen sich ein belastbarer Hinweis richten lässt. Fehlt ein standardisierter, aktueller Kontakt, entstehen Suchkosten, Irrläufer und Verzögerungen. Beschwerden landen bei allgemeinen Verwaltungsstellen, veralteten Personen oder Postfächern, die niemand mehr betreut.

AFRINIC selbst kann dadurch zum Ausweichadressaten für Vorgänge werden, die eigentlich ein Betreiber untersuchen müsste.

Ein verbindlicher Kontakt kann diese Reibung verringern. Wer Nummernressourcen nutzt und seine Zuordnungsdaten im regionalen Register pflegen lässt, kann vernünftigerweise dazu angehalten werden, einen funktionsfähigen Kommunikationsweg zu hinterlegen. Das ist keine Anerkennung staatlicher Gewalt, sondern elementare Registerhygiene. Ebenso sachgerecht ist eine objektive Prüfung, ob das veröffentlichte Postfach technisch erreichbar ist. Eine nicht zustellbare Adresse ist eine falsche oder jedenfalls unbrauchbare Registerangabe.

Der Registerbuchhalter muss einen solchen Fehler erkennen, den eingetragenen Inhaber informieren und eine Korrektur ermöglichen dürfen.

Dieses Gegenargument gegen jede pauschale Kritik verdient sein volles Gewicht. Die geringe historische Nutzung des freiwilligen Mechanismus lässt vermuten, dass bloßes Ermuntern den Informationsmangel nicht behoben hat. Eine verlässliche Kontaktspalte stützt Sicherheitsstellen, andere Betreiber und betroffene Nutzer. Sie kann auch den Ressourceninhabern selbst helfen, weil ernsthafte Hinweise schneller an die richtige betriebliche Rolle gelangen. Wer jede Pflicht als Machtmissbrauch bezeichnete, würde den Unterschied zwischen genauer Buchführung und Verhaltensherrschaft verwischen.

Doch gerade weil der Nutzen real ist, muss der legitime Kern sauber vom überschießenden Teil getrennt werden. Die plausible Pflicht lautet: Hinterlege einen rollengerechten Kontakt, halte ihn aktuell und ermögliche die Zustellung üblicher Hinweise. Sie lautet nicht: Unterwirf den Betrieb hinter diesem Kontakt einer inhaltlichen Aufsicht des Registers. Eine Adresse belegt einen Kommunikationsweg. Sie belegt nicht, wer einen bestimmten Datenverkehr ausgelöst hat, welches Recht anzuwenden ist, ob ein Vorwurf zutrifft oder welche Abhilfemaßnahme angemessen wäre.

Die Prüfoberfläche reicht über Zustellbarkeit hinaus

Der Text sieht Prüfungen bei der erstmaligen Anlage, bei jeder Änderung, regelmäßig mindestens einmal in sechs Monaten und darüber hinaus immer dann vor, wenn AFRINIC es für angezeigt hält. Scheitert die erste Prüfung, soll der Vorgang an weitere Kontakte des lokalen Internetregisters weitergereicht werden. Für die erste Phase ist ein Zeitraum von höchstens 15 Tagen genannt, für die weitere Phase nochmals höchstens 15 Tage. Daraus darf keine automatisch garantierte rechtliche Heilungsfrist von 30 Tagen gemacht werden. Der Text lässt zeitliche Anpassungen mit mitgeteilten Gründen, einen langsamen Anlauf und eine gestufte Einführung zu.

Ob und wie diese Flexibilität praktisch genutzt wird, ist nicht öffentlich geschlossen.

Mindestens zwei planmäßige Prüfungen in zwölf Monaten wären die rechnerische Folge einer unverändert umgesetzten Sechsmonatsregel. Aber auch das ist weder eine belegte Zahl tatsächlicher Prüfungen noch eine Obergrenze. Die Klausel für Prüfungen nach AFRINICs Ermessen kann zusätzliche Vorgänge auslösen. Ohne veröffentlichten Auslöserkatalog, Frequenzgrenze, Wiederholungslogik und Begründungspflicht bleibt unklar, ob gleiche Fälle gleich behandelt würden.

Hinzu kommt eine externe Meldeschwelle. Dritte können nach dem Text ein unzugängliches, selektiv reagierendes oder anderweitig beanstandetes Postfach melden und damit eine erneute Prüfung anstoßen. Das kann nützlich sein, wenn eine Adresse in einer automatischen Prüfung erreichbar wirkt, im Alltag aber systematisch keine Nachrichten annimmt. Es öffnet jedoch zugleich eine Angriffsfläche. Konkurrenten, automatisierte Absender oder verärgerte Meldende könnten wiederholte Prüfungen provozieren. Eine Behauptung über fehlende Reaktion ist zunächst nur ein Eingangssignal.

Sie darf ohne nachvollziehbare Prüfung, Benachrichtigung und Korrekturmöglichkeit nicht zu einer negativen Feststellung über den Betreiber werden.

Entscheidend ist, was genau gemessen wird. Eine technische Zustellprüfung kann feststellen, ob eine Domain aufgelöst wird, ein Mailserver antwortet oder eine Nachricht nicht als unzustellbar zurückkommt. Schon dabei können vorübergehende Störungen, Greylisting, Spamfilter, Sicherheitsgateways, Anbieterfehler oder Personalwechsel Fehlalarme erzeugen. Noch weniger beweist die bloße Zustellung, ob ein Mensch die Nachricht gesehen, verstanden, priorisiert oder inhaltlich angemessen bearbeitet hat. Diese Zustände dürfen nicht in einem einzigen Merkmal „gültig“ oder „ungültig“ verschwinden.

Der Regeltext verlangt aber einen überwachten, aktiv verwalteten Kommunikationsweg und berührt die Frage, ob Berichte eine Reaktion erhalten. Er untersagt, den Meldenden auf ein Formular zu verweisen, und macht Vorgaben zur Aufnahme ergänzender Belege. Damit bewegt er sich von der technischen Erreichbarkeit zur inneren Organisation des Empfängers. Ein Register kann prüfen, ob seine Kontaktangabe stimmt. Es kann nicht aus eigener Zuständigkeit festlegen, wie ein Netzbetreiber jede Meldung untersucht, welche Beweise ausreichen, wie Kundenverhältnisse einzubeziehen sind oder welche Antwort unter unterschiedlichen Rechtsordnungen geschuldet ist.

NRS ordnet eine aktuelle Missbrauchskontaktadresse als ein Kontrollelement in eine breitere Prüfung von Nummernressourcen ein und trennt dabei formelle Regel, Vertrag, Verfahren, Anleitung und Vorschlag. Diese Trennung ist praktisch wichtig: Ein Feld im Register hat eine andere Beweisqualität als eine vertragliche Pflicht oder eine gesetzliche Ermittlungsbefugnis.

Von NRS bereitgestellte Betreiberunterlagen zeigen zugleich eine klare betriebliche Position: Ausreichend detaillierte und überprüfbare Meldungen können bearbeitet werden, ohne dass daraus eine rechtmäßige Pflicht entsteht, alle Nutzerhandlungen zu überwachen oder Inhalte über Rechtsordnungen hinweg zu kontrollieren. Erreichbarkeit und Universalpolizei sind keine benachbarten Stufen derselben Kompetenz.

Die Registerbuchhaltung hat eine feste Grenze

AFRINIC führt Zuordnungs- und Kontaktdaten für Internetnummern. In dieser Rolle darf es verlangen, dass ein Eintrag den zuständigen Inhaber oder Kontakt richtig abbildet. Es darf Angaben aufnehmen, veröffentlichen und auf erkennbare Fehler testen. Es darf eine zurückgewiesene Nachricht als Grund behandeln, die Daten mit dem eingetragenen Inhaber zu überprüfen. Es darf Korrekturen dokumentieren und auf dem aktuellen Stand halten. Diese Tätigkeiten dienen der Wahrheit des Registers.

Aus derselben Rolle entsteht jedoch keine Souveränität. AFRINIC ist kein Staat, kein Gericht und keine Strafverfolgungsbehörde. Es besitzt nicht deshalb Polizei-, Straf- oder Vollstreckungsmacht, weil sein Datenbestand für den Netzbetrieb wichtig ist oder weil ein interner Prozess eine Regel ratifiziert hat. Offene Beteiligung, ein Konsensaufruf oder ein Vorstandsbeschluss können die Bedingungen eines Registerdienstes strukturieren. Sie verwandeln die Organisation nicht in den Gesetzgeber für jedes Unternehmen, jeden Kunden oder jeden Datenverkehr, der mit einer Nummernressource verbunden ist.

Heng Lus maßgebliche Analyse fasst diese Grenze als Unterschied zwischen dünner und dicker Regel. Dünn ist die Anforderung, einen erreichbaren Kontakt in einem zutreffenden Verzeichnis zu führen und objektive Datenfehler korrigieren zu lassen. Dick wird die Regel, wenn das Register Reaktionsverhalten bewertet, unbestimmte Prüfungen nach eigenem Ermessen auslöst oder aus einer Kontaktstörung eine Befugnis über den Betrieb ableitet. Der Buchhalter hält fest, was außerhalb seiner Bücher besteht; er erschafft nicht durch einen Eintrag die rechtliche oder betriebliche Wirklichkeit, die der Eintrag beschreibt.

Diese Einordnung ist nicht bloß eine gleichgewichtige Gegenstimme zu AFRINICs Darstellung. Sie ist der tragende Maßstab für die Zuständigkeitsanalyse: knappe, betriebskritische Registermacht muss an Verantwortung, Prüfbarkeit, Haftung und Ausweichmöglichkeiten gebunden bleiben. Wo diese Gegengewichte fehlen, kann eine Verwaltungsentscheidung Folgen erzeugen, die weit über den sachlichen Fehler hinausreichen. Die Bedeutung des Registers vergrößert dann nicht die Befugnis des Registerführers, sondern die Pflicht zu Zurückhaltung und Korrekturfähigkeit.

Auch AFRINICs eigene Unterlagen müssen entsprechend gelesen werden. Sie belegen, welche Texte veröffentlicht, welche Sitzungen protokolliert, welche Handlungen gemeldet und welche Aussagen von Organen gemacht wurden. Sie beweisen nicht von selbst, dass der Vorstand in jeder weitergehenden Hinsicht unanfechtbar legitim war, dass alle betroffenen Betreiber vertreten waren oder dass jede inhaltliche Einwendung beantwortet wurde. Ein amtliches Dokument einer Institution ist eine Quelle ersten Ranges für das Handeln und Sprechen dieser Institution. Es ist keine unabhängige Entscheidung über die Reichweite ihrer Macht.

Ein langer Weg, dessen Streit nicht in der Verfahrensakte verschwand

Der Hintergrund reicht bis 2011 zurück. Damals ratifizierte der Vorstand eine frühere Kontaktregel, die ein besonderes IRT-Objekt zur Veröffentlichung von Missbrauchskontakten vorsah. Die Verknüpfung dieses Objekts mit Ressourceneinträgen blieb freiwillig. Am 12. August 2018 begann die Vorschlagslinie, aus der später Fassung 7 hervorging. Bei AFRINIC-30 am 19. Juni 2019 wurden verpflichtende Kontakte, Prüfungen und der Übergang vom IRT-Ansatz diskutiert.

Die Protokolle von AFRINIC-31 im November 2019 hielten bereits die beiden 15-Tage-Phasen, die Weiterleitung an andere Kontakte und einen sechsmonatigen Prüfzyklus fest; zugleich standen die möglichen Folgen von Pflichtverletzungen im Raum.

Fassung 7 wurde am 17. Mai 2021 eingereicht. Zu ihren Veränderungen gehörte die Möglichkeit einer gestuften Einführung. Im selben Jahr meldete der Entwicklungsprozess Konsens. Ein Rechtsbehelf wandte sich gegen diese Bestätigung und hielt Einwände fest, darunter Doppelungen, einen nicht definierten Missbrauchsbegriff, die Gefahr einer Betreiberpolizei, Reaktionszwang, Belastung und Reichweite. Die Eingabe belegt, dass diese Einwände erhoben wurden. Sie ist für sich genommen weder ein Urteil über die Ungültigkeit der Regel noch der Beweis, dass jeder Einwand zutrifft.

Am 29. November 2021 legte der zuständige Ausschuss den Rechtsbehelf als unzulässig beiseite. Als Gründe nannte er unter anderem, dass die Sache nicht zuerst mit den Vorsitzenden oder der Arbeitsgruppe erörtert worden sei und Unterstützer nicht an den entsprechenden Diskussionen teilgenommen hätten. Der Ausschuss erklärte ausdrücklich, eine Befassung mit der Sache selbst sei nicht nötig. Ein weiterer Rechtsbehelf richtete sich 2022 gegen die Konsensfeststellung nach einer verlängerten Schlussphase. Auch ihn legte der Ausschuss am 13.

Juli 2022 beiseite, weil ein vorheriger Lösungsversuch mit den Vorsitzenden oder der Arbeitsgruppe nicht gezeigt worden sei. Wiederum sah er keinen Grund, in die Sache einzusteigen.

Damit endeten die bekannten Wege prozessual, nicht inhaltlich. Man darf daraus weder ableiten, der Konsens sei ungültig, noch behaupten, die Einwendungen seien geprüft und verworfen worden. Verfahrensabschluss und Sachentscheidung sind zwei verschiedene Tatsachen. AFRINICs spätere Formulierung von dokumentiertem Konsens ist eine institutionelle Aussage über den eigenen Prozess. Sie löscht nicht den Nachweis, dass Streit über Reichweite und Betreiberaufsicht bestand und nicht in einer Sachentscheidung des Ausschusses beantwortet wurde.

Vier Jahre später meldete AFRINIC die Ratifizierung. Die zeitliche Distanz macht Transparenz nicht weniger, sondern mehr wichtig. Wenn zwischen letzter dokumentierter Rechtsbehelfsentscheidung und Ratifizierung mehrere Jahre liegen, sollten die Öffentlichkeit und die betroffenen Ressourceninhaber erkennen können, welcher Text dem Vorstand vorlag, ob er unverändert war, welches Organ mit welchem Quorum entschied und ab wann die Pflichten gelten. Im geprüften öffentlichen Bestand bleiben genau diese Verbindungsstücke offen.

Von der Regel zum Betrieb: eine Wirkungskette mit mehreren Bruchstellen

Die beabsichtigte Wirkung beginnt positiv. Ein zutreffender abuse-c-Verweis führt eine Meldung schneller zur zuständigen Rolle. Eine schnellere Zustellung kann Such- und Koordinationskosten senken. Ein Betreiber erhält eher verwertbare Hinweise, kann einen betroffenen Kunden oder ein kompromittiertes System identifizieren und nach eigenen Verträgen sowie anwendbarem Recht handeln. AFRINICs allgemeine Postfächer werden entlastet, wenn Hinweise nicht mehr dorthin fehlgeleitet werden.

Damit diese Kette trägt, muss jedoch jedes Glied stimmen. Zunächst muss der richtige Ressourceneintrag gefunden werden. Dann muss dessen Kontakt die tatsächliche Betriebsrolle abbilden. Bei Unterzuweisungen, Vermietung, Delegation oder ausgelagerten Sicherheitsdiensten kann der erste Name im Register nicht jede Aktivität kontrollieren. Eine vererbte Elternangabe kann besser sein als gar kein Kontakt, aber sie kann einen Bericht auch an eine Stelle lenken, die nur eine übergeordnete Zuteilung verwaltet. Der Empfänger muss schließlich genug konkrete Informationen erhalten, um einen Vorgang zuzuordnen.

Eine pauschale Behauptung ohne Zeitpunkt, Ziel, Protokolldaten oder Beispiele schafft trotz erreichbarer Adresse keine bearbeitbare Grundlage.

Danach beginnt die betriebliche Entscheidung, für die AFRINIC nicht die allgemeine Zuständigkeit besitzt. Der Betreiber beurteilt Belege, Kundenbeziehung, technische Ursache, Sicherheitsrisiko und Rechtslage. Eine legitime Meldung kann schnelle Maßnahmen rechtfertigen; eine unvollständige oder manipulierte Meldung kann Rückfragen verlangen. Manche Fälle betreffen einen nachgelagerten Kunden, manche einen fremden Angreifer, manche eine Fehlzuordnung. Das Kontaktfeld darf diese Unterschiede nicht in die Vermutung verwandeln, der eingetragene Inhaber sei für jedes Paket verantwortlich.

Die negative Wirkungskette beginnt oft unscheinbar. Ein Mitarbeiter scheidet aus, ein Mailanbieter hat eine Störung, ein Filter verschärft seine Regeln oder eine Prüfmail ähnelt Phishing. Die Nachricht erreicht das Team nicht. Ein automatischer Test setzt einen Fehlerstatus. Weitere Kontakte erhalten vielleicht ebenfalls nichts, weil sie dieselbe Domain oder denselben Anbieter nutzen. Ohne schnelle Korrektur kann ein vorübergehender Kommunikationsfehler wie dauerhafte Vernachlässigung aussehen.

Sobald andere Stellen diesem Status vertrauen, entstehen zusätzliche Kosten: Supportfälle, Verzögerungen bei Verwaltungsvorgängen, Reputationsfragen oder Unsicherheit in Transaktionen.

LARUS ordnet solche Registerfehler in eine Kette aus Vermögenswert, Geschäftskontinuität und Kundenabhängigkeit ein. Die Analyse beweist keinen konkreten Schaden aus dieser abuse-c-Regel und beziffert hier auch keinen Verlust. Sie zeigt aber den Übertragungsmechanismus: Weil Nummernressourcen betriebswichtig sind, kann ein kleiner Verwaltungsfehler außerhalb des Registers größere Wirkungen entfalten. Das spricht für objektive Tests und schnelle Umkehrbarkeit, nicht für weitreichendes Ermessen.

Unbeschränkte Veröffentlichung bringt ebenfalls ein Doppelgesicht mit sich. Sie verringert die Suchkosten ehrlicher Meldender, erhöht aber die Angriffsfläche für Spam, Phishing, Belästigung und gezielt gestaltete Prüfantworten. Rollenkonten sind daher besser als unnötig veröffentlichte persönliche Adressen. Datenminimierung, getrennte Kontaktrollen und eine Sicherheitsbeschreibung der Prüfmail sind keine Hindernisse der Erreichbarkeit. Sie sind Voraussetzungen dafür, dass die Pflicht nicht selbst neue Risiken erzeugt.

Für kleine Betreiber fallen die relativen Kosten besonders ins Gewicht. Menschliche Überwachung, Spamfilterpflege, Triage über mehrere Rechtsordnungen, Kundenzuordnung, Beweissicherung und wiederkehrende Prüfungen verursachen feste und variable Aufwände. Große Organisationen können Bereitschaftspläne und spezialisierte Teams unterhalten; kleine Unternehmen verteilen dieselben Aufgaben auf wenige Personen. Die Mitarbeiteranalyse erwartete Änderungen an WHOIS, MyAFRINIC, Regeln für Vergabe und Aktualisierung, Formularen für Unterzuweisungen und Zuweisungen, Prüfwerkzeugen sowie dem Number Resource Management Portal.

Gleichzeitig bezeichnete sie die finanziellen Auswirkungen als nicht vorhanden. Belegt ist damit die damalige Bewertung, nicht Kostenfreiheit. Die aufgezählten Änderungen sprechen gerade dafür, Betriebs- und Personalkosten zu messen.

Was eine belastbare Umsetzung öffentlich zeigen müsste

Der erste fehlende Baustein ist ein klares Wirksamkeitsdatum. Mitglieder, Inhaber historischer Ressourcen und Antragsteller müssen wissen, ab wann welche Handlung erwartet wird. Eine gestufte Einführung braucht nachvollziehbare Gruppen, Fristen und Benachrichtigungen. Der Hinweis auf einen langsamen Start schafft Flexibilität, darf aber nicht dazu führen, dass zwei vergleichbare Inhaber ohne erklärbaren Grund unterschiedlich behandelt werden.

Der zweite Baustein ist eine technische Prüfbeschreibung. Sie müsste offenlegen, welche Absenderidentität verwendet wird, ob signierte oder anderweitig überprüfbare Nachrichten zum Einsatz kommen, welche Antworthandlung erwartet wird, wie viele Wiederholungen stattfinden und wie Greylisting, Abwesenheitsmeldungen, Spamfilter oder kurzfristige Störungen behandelt werden. Eine Prüfung, die nur einen Link anklicken lässt, misst etwas anderes als eine Zustellprüfung. Ein System, das eine menschliche Antwort bewertet, misst wiederum etwas anderes als beide. Ohne getrennte Kategorien kann ein einziges Ergebnis nicht seriös interpretiert werden.

Der dritte Baustein ist ein Korrekturrecht, das praktisch funktioniert. Der betroffene Inhaber braucht eine verständliche Nachricht, die den geprüften Eintrag, Zeitstempel, Ergebnis, verwendete Methode und nächste Schritte nennt. Er muss eine Adresse korrigieren können, ohne gerade an der fehlerhaften Adresse festzuhängen. Mehrere autorisierte Kontakte, eine gesicherte Ersatzkommunikation und ein sichtbarer Änderungsverlauf begrenzen dieses Henne-Ei-Problem. Vorübergehende Fehler sollten nach erfolgreicher Korrektur verschwinden, ohne als dauerhafter Makel weiterzuwirken.

Der vierte Baustein ist eine Überprüfung, die vom ursprünglichen automatischen Ergebnis unterscheidbar ist. Wenn ein Ressourceninhaber nachweist, dass ein Test falsch ausfiel, muss jemand die technischen Belege prüfen und den Status berichtigen können. Die bekannten Rechtsbehelfe aus den Jahren 2021 und 2022 betrafen den Regelsetzungsprozess; sie sind kein belegter betrieblicher Weg für einen falsch bewerteten Kontakt. Ein Verfahren zur Korrektur von Daten ist auch kein Ersatz für eine unabhängige Prüfung strittiger Entscheidungen. Beides muss benannt werden.

Der fünfte Baustein ist öffentliche Messung. Sinnvoll wären aktuelle Abdeckung nach Eintragsklasse, Anteil technisch erreichbarer Kontakte, Korrekturzeit, Anzahl vorübergehender Fehler, wiederholte Tests, aufgehobene Markierungen und Ergebnisse nach Einführungsgruppe. Die Daten sollten nicht den Inhalt vertraulicher Missbrauchsmeldungen veröffentlichen. Sie sollten vielmehr zeigen, ob das Register genauer wird. Eine Statistik eingegangener Beschwerden misst Aktivität, nicht Richtigkeit; eine hohe Antwortquote misst möglicherweise Reaktionsdisziplin, aber nicht die Rechtmäßigkeit oder Qualität der Ergebnisse.

Solange diese Elemente fehlen, ist Zurückhaltung die korrekte Schlussfolgerung. Der öffentliche Bestand beweist nicht, dass AFRINIC nichts umgesetzt hat. Private, entfernte, nicht auffindbare oder später veröffentlichte Unterlagen können existieren. Er trägt aber ebenso wenig die Behauptung, die vorgesehenen Funktionen seien vollständig, sicher und wirksam in Betrieb. Die offene Lage muss offen bleiben.

Gegenfakten: Welche Gestaltung welches Problem löst

Ein Vergleich mehrerer möglicher Zustände verdeutlicht, dass die Wahl nicht zwischen völliger Freiwilligkeit und grenzenloser Aufsicht liegt. Im alten freiwilligen IRT-Modell existierte zwar ein besonderes Kontaktobjekt, doch die historischen Zahlen zeigen eine sehr geringe Verknüpfung mit Ressourceneinträgen. Das Modell vermied Zwang, lieferte aber kein ausreichend vollständiges Verzeichnis. Als alleinige Alternative ist es deshalb schwach.

Eine dünne verpflichtende Regel wäre wirksamer: Jeder relevante Eintrag verweist auf ein Rollenpostfach, das übliche Hinweise empfangen kann. AFRINIC prüft bei Anlage und Änderung, nach einem objektiven Rückläufer sowie in einem vorhersehbaren, beispielsweise jährlichen Zyklus. Ein Fehler führt zu Benachrichtigung, Berichtigung und höchstens einer klar bezeichneten Datenqualitätsmarkierung. Dieses Modell bewahrt den Nutzen niedriger Suchkosten und verlässt die Buchhalterfunktion nicht.

Ein rollenbewusstes Modell könnte zusätzlich zwischen Ressourceninhaber, tatsächlichem Netzbetreiber, nachgelagertem Kunden und bevollmächtigtem Sicherheitsdienst unterscheiden, soweit die Realität dies erfordert. Es würde mehrere Kontakte und Eskalationswege erlauben, ohne aus dem erstgenannten Registereintrag eine Haftungsannahme zu machen. Gerade bei Unterzuweisungen und Delegationen wäre das näher an der betrieblichen Wirklichkeit als eine einzige Adresse, die für alles stehen soll.

Eine objektive Prüfung mit öffentlicher Messung würde Fehlertypen, Wiederholungen, Korrekturzeiten und aufgehobene Feststellungen ausweisen. Sie könnte zeigen, ob Pflicht und Prüfung die Datenqualität tatsächlich verbessern. Ein solches Modell trennt die Frage „Kann dieser Kontakt Nachrichten empfangen?“ von „Hat der Betreiber einen Vorwurf angemessen behandelt?“. Nur die erste Frage gehört zur eigenen Erkenntnis- und Zuständigkeitsoberfläche des Registers.

Das riskanteste Gegenbild ist eine dicke Regel ohne öffentliche Betriebsbeschreibung. Dort bewertet AFRINIC Überwachung und Reaktionsverhalten, prüft nach offenem Ermessen und lässt externe Beschwerden ohne erkennbare Beweisschwelle in einen negativen Status einfließen. In diesem Zustand werden Fehlalarme, strategische Meldungen und unklare Rollen nicht nur Datenprobleme, sondern Druckmittel. Der Unterschied liegt nicht im guten oder schlechten Motiv einzelner Mitarbeiter. Er liegt in der Gestaltung der Entscheidungsrechte.

Eine begrenzte, aber klare Bewertung

Die Ratifizierung vom 4. Februar 2026 hat einen echten Missstand aufgegriffen. Ein regionales Nummernregister, dessen öffentliche Kontaktangaben häufig fehlen oder veralten, erfüllt seine Informationsfunktion nur unvollständig. Eine verpflichtende abuse-c-Angabe kann die Wege legitimer Sicherheitsmeldungen verkürzen. AFRINIC darf diese Angabe verlangen, erfassen, veröffentlichen, berichtigen und ihre objektive Erreichbarkeit testen. Es darf dabei Datenfehler markieren und den eingetragenen Inhaber zur Korrektur auffordern.

Der ratifizierte Text bleibt jedoch nicht zuverlässig an dieser Linie. Sobald menschliche Überwachung, Reaktionsweise, Formularverbote, extern behauptete Selektivität und Prüfungen nach eigenem Ermessen zusammengeführt werden, droht aus Datenpflege eine Bewertung des Netzbetriebs zu werden. Dafür liefert die Rolle als Registerbuchhalter keine Souveränität und keine Polizei-, Straf- oder Vollstreckungsmacht. Ein Kontakt ist kein Schuldeingeständnis. Eine Beschwerde ist kein Urteil. Eine erfolgreiche Zustellung ist kein Beweis guter Bearbeitung; eine ausgebliebene Antwort ist kein Beweis von Missbrauch.

Die amtlichen AFRINIC-Unterlagen schließen den Wortlaut, die Prozessgeschichte und die institutionelle Mitteilung über die Ratifizierung weitgehend. Sie schließen nicht die getrennte Vorstandsakte, das Wirksamkeitsdatum, die technische Einführung, aktuelle Abdeckung, Fehlalarmquote, Berichtigungsleistung oder einen unabhängigen Prüfweg. Auch das prozessuale Ende der beiden bekannten Rechtsbehelfe ist keine Sachentscheidung. Diese Lücken sind keine Einladung zu Spekulation, sondern die derzeit wichtigste Erkenntnis über die praktische Reichweite des Akts.

Eine vertretbare Einführung müsste deshalb den dünnen Kern ausdrücklich schützen: klare Kontaktrollen, objektive und sichere Zustelltests, vorhersehbare Zeitpunkte, begrenzte Auslöser, nachvollziehbare Wiederholungen, schnelle Korrektur, unabhängige Überprüfung und öffentliche Datenqualitätsmessung. Jede weitergehende Beurteilung des Umgangs mit Missbrauchsmeldungen bleibt bei Betreibern, Kunden, Vertragspartnern, Gerichten, Strafverfolgungsstellen und dem jeweils anwendbaren öffentlichen Recht. Die Wahrheit des Registers ist wichtig. Gerade deshalb darf sie nicht mit Herrschaft über das Netz verwechselt werden.