Zusammenfassung

  • Ein sichtbarer WHOIS-Eintrag allein bewahrt nicht die Beweiskette. Gesichert werden müssen auch früherer Zustand, Änderungsvorgang, handelnde Person oder technische Identität, Autorisierung, Zeitstempel und Prüfunterlagen.
  • AFRINIC durfte seine eigenen Zuteilungs- und Datenbankvorgänge prüfen, weitere unbefugte Änderungen unterbinden, Beweise sichern, die Sache an die zuständige Polizei übergeben und nach hinreichender Prüfung eigene Registerfehler korrigieren.
  • Die Resolution 202002.550 dokumentierte eine unternehmensseitige Feststellung und eine polizeiliche Verweisung. Sie war weder ein Schuldspruch noch ein Nachweis dafür, wer welche behauptete Handlung begangen hatte.
  • Die entscheidende Reihenfolge lautet: Zustand einfrieren, Beweismittel nachvollziehbar übergeben, den streitigen Datensatz isolieren, Betroffene anhören, auf tragfähiger Grundlage berichtigen und die versagenden Kontrollen reparieren.
  • Eine Registerkorrektur ist Buchführung, keine Strafe. Polizei, Staatsanwaltschaft und zuständige Gerichte bleiben für Zwangsermittlung, Anklage, Verurteilung, Beschlagnahme und öffentlich-rechtliche Rechtsfolgen zuständig.

L3 — Beweise sichern, bevor der Registereintrag korrigiert wird

Stellen wir uns den Augenblick vor, in dem eine interne Prüferin drei Ansichten desselben Vorgangs nebeneinanderlegt. In der Zuteilungsakte steht ein bestimmter Empfänger. Die Freigabespur weist eine andere oder unvollständige Genehmigung aus. Im öffentlichen WHOIS erscheint ein dritter Zustand. Jetzt wäre es technisch leicht, den sichtbaren Datensatz zu überschreiben. Gerade das wäre jedoch der gefährlichste erste Schritt. Eine sofortige Korrektur könnte den Zeitstempel verändern, alte Feldwerte verdrängen, Protokolle rotieren lassen oder die Verbindung zwischen einer menschlichen Handlung und einem privilegierten Konto verwischen.

Was nach Datenpflege aussieht, kann damit genau die Spuren beschädigen, die eine unabhängige Untersuchung benötigt.

Der Endzustand einer Datenbank erzählt nicht, wie er entstanden ist. Eine kopierte WHOIS-Zeile zeigt weder, welche Werte zuvor galten, noch wer sie änderte, mit welcher Berechtigung dies geschah, ob eine zweite Person zustimmte oder welche Unterlagen als Grundlage dienten. Sie belegt auch nicht, ob eine Änderung über eine reguläre Anwendung, ein Administrationskonto, einen Import oder einen direkten Datenbankzugriff erfolgte. Deshalb beginnt verantwortliche Berichtigung nicht mit dem neuen Wert. Sie beginnt mit einem eingefrorenen Abbild des alten Zustands und der dazugehörigen Bewegungsgeschichte.

Zu einer brauchbaren Sicherung gehören mehrere getrennte Elemente. Erstens braucht es die ursprüngliche Zuteilungsakte in der Form, in der sie bei Entdeckung der Abweichung vorlag. Zweitens muss die Freigabekette erhalten bleiben: Antrag, Prüfung, Entscheidung, etwaige Ausnahmen und die Rollen der Beteiligten. Drittens sind Datenbankhistorie, Anwendungsprotokolle, Identitäts- und Zugriffsereignisse sowie belastbare Zeitangaben festzuhalten. Viertens gehören die Arbeitsunterlagen der internen Prüfung dazu, weil sie erklären, wie die Abweichung entdeckt, abgegrenzt und bewertet wurde.

Fünftens muss jede spätere Veränderung als spätere Veränderung erkennbar bleiben. Das korrigierte Register darf die historische Beweisansicht nicht ersetzen.

Diese Trennung schützt zwei Seiten zugleich. Sie gibt einer zuständigen Ermittlungsbehörde eine nachvollziehbare Spur, statt ihr lediglich die Schlussfolgerung des Unternehmens zu überreichen. Und sie schützt den betroffenen Inhaber oder Betreiber davor, dass eine interne Behauptung durch eine unsichtbare Datenbankänderung scheinbar zur unumstößlichen Tatsache wird. Wer einen Eintrag bestreitet, muss erkennen können, welcher Zustand beanstandet wurde, welches Material die Korrektur trug, wer entschied und welcher Überprüfungsweg offensteht. Beweissicherung ist daher kein ausschließlich strafrechtlicher Vorsorgeschritt.

Sie ist auch eine Bedingung fairer, anfechtbarer Registerführung.

Die Resolution 202002.550 ist in dieser Hinsicht knapp, aber institutionell bedeutsam. AFRINICs öffentliches Board-Register ordnet sie dem Februar 2020 zu; ein konkreter Tag der Resolution wird dort nicht genannt. Nach der Erklärung des Boards habe eine jüngste interne Prüfung erhebliche „malversation“ bei der Zuteilung von IP-Ressourcen aufgedeckt. Das ist die Wortwahl und Feststellung des Unternehmens. Sie ist keine Feststellung eines Gerichts und beweist weder die Schuld einer bestimmten Person noch den Abschluss einer Straftat.

Die Resolution hält außerdem fest, die Angelegenheit sei bereits dem Central CID der örtlichen Polizei zur Untersuchung gemeldet worden. Wegen einer möglichen internationalen Dimension beschloss AFRINIC nach eigener Darstellung, mit den einschlägigen ausländischen Strafverfolgungsbehörden zusammenzuarbeiten.

Der Wert dieser Veröffentlichung liegt nicht darin, dass das Board eine strafrechtliche Wahrheit verkündet hätte. Ihr Wert liegt in der sichtbaren Verbindung von vier Verantwortungsstufen. Eine interne Kontrolle hatte einen schwerwiegenden Widerspruch gemeldet. Das Unternehmen erkannte, dass eine externe öffentliche Untersuchung erforderlich war. Es kündigte Kooperation über die eigene Zuständigkeit hinaus an. Und spätere Erklärungen verbanden diesen Vorgang mit laufender Datenbereinigung und verstärkten Kontrollen. Die Resolution öffnete damit ein Fenster auf die Übergabestelle zwischen privater Buchführung und öffentlicher Ermittlung.

Die zeitliche Abfolge schärft diese Lesart. AFRINIC erklärte später, die Angelegenheit am 10. Dezember 2019 der Mauritius Police Force gemeldet zu haben. Im Februar 2020 erschien die Board-Resolution im öffentlichen Register. Am 21. Februar teilte AFRINIC mit, die Polizei von Mauritius habe eine Untersuchung eingeleitet und AFRINIC unterstütze diese. In derselben Mitteilung beschrieb das Unternehmen getrennt davon fortgesetzte interne Kontrollarbeiten, Aktivitäten zur Wiederherstellung von Ressourcen und eine laufende Aktualisierung des WHOIS.

Diese Nebeneinanderstellung ist wichtig: Polizeiliche Untersuchung und interne Registerpflege waren verbundene, aber nicht identische Arbeitsstränge.

Auch die Sprache der damaligen Mitteilungen muss an ihrer Quelle bleiben. Die Resolution verwendete nach AFRINICs Darstellung Begriffe wie „malversation“ und „fraud“. Die Februar-Mitteilung sprach rückblickend von einem „alleged theft“, also einer behaupteten beziehungsweise mutmaßlichen Entwendung. Im August schrieb AFRINIC, es habe Grund zu der Annahme gegeben, Ressourcen seien zweckwidrig zugeordnet worden, und die strafrechtliche Untersuchung dauere an. Keine dieser Unternehmensformulierungen darf in eine eigene Tatsachenbehauptung über Schuld umgewandelt werden.

Dass eine private Organisation einen Verdacht schildert und Beweismaterial übergibt, ist etwas anderes als eine polizeiliche Schlussfolgerung, eine Anklage oder ein Urteil.

Gerade wenn die öffentliche Sprache zugespitzt ist, muss der technische Ablauf nüchtern bleiben. Nach Entdeckung einer Abweichung wäre ein sinnvoller erster Kontrollschritt, Schreibrechte auf den betroffenen Datensatz zu begrenzen und relevante Protokolle vor automatischer Löschung oder Überschreibung zu bewahren. Das heißt nicht, den gesamten Registerdienst anzuhalten. Es heißt, die konkrete Änderungsspur zu stabilisieren. Kopien sollten überprüfbar sein; Zeitbezüge, Herkunft und verantwortliche Übergaben sollten dokumentiert werden.

Wo Systeme keinen unveränderlichen Verlauf liefern, muss zumindest festgehalten werden, wie ein Abbild erzeugt wurde, wer darauf Zugriff hatte und welche Grenzen seine Aussagekraft besitzt.

Danach folgt die Abgrenzung des Sachverhalts. Welche Zuteilungsakte gehört tatsächlich zu welchem Registerobjekt? Welche Änderung ist regulär belegt, welche nur technisch sichtbar, aber fachlich nicht autorisiert? Welche Felder sind für die laufende Registrierung relevant, welche bloß historisch? Gibt es verknüpfte Datensätze, deren Zustand durch eine Korrektur mittelbar beeinflusst würde? Diese Fragen sind keine Nebensache. Ohne eine solche Zuordnung kann eine scheinbar präzise Sicherung aus unverbundenen Dateien bestehen, während die entscheidende Verbindung zwischen Akte, Genehmigung und Registerzeile verloren geht.

Ein Beweispaket braucht deshalb nicht nur Dateien, sondern eine verständliche Join-Struktur. Es muss zeigen, wie Antrag, Bewertung, Freigabe, Umsetzung und veröffentlichter Zustand zusammengehören. Die interne Prüfarbeit kann diese Struktur herstellen, doch sie sollte Beobachtung und Schlussfolgerung trennen. „Dieser Eintrag wurde zu diesem Zeitpunkt über dieses Konto geändert“ ist eine protokollgestützte Beobachtung. „Die Änderung war nicht autorisiert“ verlangt den Vergleich mit einer gültigen Freigabeordnung.

„Eine bestimmte Person beging eine Straftat“ wäre eine weit darüber hinausgehende Schlussfolgerung, für die die öffentlichen Unterlagen gerade keine Grundlage liefern.

Die im August 2020 veröffentlichte Erklärung liefert späteren Kontext für diese Kontrolllogik. AFRINIC sagte, es habe Sorgfaltsprozesse befolgt, um hinreichende Beweise für laufende Fälle aufzubewahren. Das Unternehmen berichtete außerdem von einer umfassenden Prüfung bestehender WHOIS-Zuteilungen, Kontakt mit betroffenen Inhabern, der Rücknahme bestimmter Einträge und mehrstufiger Verifikation. Zugleich hieß es, die strafrechtliche Untersuchung sei weiterhin offen. Die Erklärung belegt damit die unternehmensseitige Darstellung von Sicherungs- und Korrekturarbeit.

Sie liefert jedoch weder ein vollständiges öffentliches Beweisinventar noch eine lückenlose Verwahrkette, einzelne Übergabequittungen oder einen endgültigen behördlichen Ausgang.

Diese Lücken sind analytisch entscheidend. Öffentlich zugänglich sind keine vollständigen Prüfungsunterlagen, keine Liste sämtlicher gesicherter Artefakte, keine Hashwerte, keine durchgehende Verwahrdokumentation und keine Polizeiakte. Wir wissen aus den offiziellen Mitteilungen, was AFRINIC erklärte und welche institutionellen Schritte es nach eigener Darstellung unternahm. Wir wissen nicht im Einzelnen, ob für jeden betroffenen Datensatz der ursprüngliche Zustand vollständig erhalten blieb, wie jeder Übergang protokolliert wurde oder welche Behörde welches Material wann bestätigte.

Sorgfältige Analyse muss diese Ungewissheit benennen, statt eine ideale Prozesskette rückwirkend als bewiesene Tatsache auszugeben.

Die richtige Folgerung lautet deshalb nicht, dass nichts geschehen sei, weil die Arbeitspapiere nicht öffentlich sind. Ebenso wenig darf man aus einer Board-Erklärung schließen, die Beweiskette sei vollständig oder eine behauptete Tat erwiesen. Die tragfähige Mitte ist konkreter: Der veröffentlichte Vorgang zeigt, warum AFRINIC eine belastbare Verbindung zwischen interner Feststellung und externer Untersuchung brauchte. Er zeigt zugleich, welche Nachweise in einer rechenschaftsfähigen Organisation vorhanden sein müssten, damit Mitglieder, Betroffene und zuständige öffentliche Stellen die Güte dieser Verbindung beurteilen können.

Die Reihenfolge „sichern vor korrigieren“ darf allerdings nicht zur Ausrede für endlose Untätigkeit werden. Ein unrichtiger oder manipulierter Eintrag kann weiter operative Erwartungen prägen. Betreiber, Kunden, Peering-Partner und Sicherheitsverantwortliche greifen auf Registrierungsdaten zurück, auch wenn diese Daten nicht das Netz selbst steuern. Verzögert AFRINIC eine notwendige Korrektur ohne Schutzmaßnahmen, bleibt ein zweifelhafter Zustand sichtbar und kann Entscheidungen verzerren.

Die Alternative zur übereilten Überschreibung ist daher nicht Passivität, sondern kontrollierte Isolierung: Beweisstand einfrieren, den Datensatz als streitig behandeln, schädliche weitere Änderungen verhindern und eine überprüfbare Entscheidung vorbereiten.

Eine solche Isolierung kann unterschiedliche Formen haben, je nach technischer Architektur und Rechtslage. Entscheidend ist nicht ein bestimmtes Etikett, sondern die Trennung von drei Zuständen: dem historisch vorgefundenen Eintrag, dem gegenwärtig für den Dienst verwendeten Zustand und der noch offenen Streitfrage. Werden diese Ebenen vermischt, sieht eine betroffene Partei möglicherweise nur die neue Fassung und kann die alte nicht mehr anfechten. Bleiben sie getrennt, kann der Registerdienst aktuell gehalten werden, ohne die Vergangenheit umzuschreiben oder die rechtliche Bewertung vorwegzunehmen.

Hier zeigt sich auch der Unterschied zwischen Korrektur und Wegnahme. AFRINIC verwaltet Einträge, prüft eigene Verfahrensunterlagen und kann auf ausreichender Grundlage einen Fehler in seinem Register berichtigen. Daraus folgt nicht, dass es durch den Datenbankzugriff strittiges Eigentum endgültig zuweisen oder entziehen darf. Der Registereintrag soll verifizierter rechtlicher und operativer Wirklichkeit folgen; er erschafft diese Wirklichkeit nicht aus eigener Hoheit. Wo die Berechtigung ernsthaft bestritten ist, muss die Korrektur begründet, begrenzt und überprüfbar bleiben.

Das ist keine Schwäche des Registers, sondern die notwendige Grenze seiner privaten Rolle.

Die Sicherungsschicht trägt somit den gesamten weiteren Vorgang. Ist sie schwach, wird auch die Übergabe schwach: Die Polizei erhält Behauptungen ohne belastbare Herkunft. Ist sie stark, aber die spätere Korrektur intransparent, entsteht ein anderes Problem: AFRINIC könnte dieselbe technische Kontrolle, die Beweise bewahrt, zur faktischen Vorentscheidung über umstrittene Ansprüche nutzen. Gute Governance besteht nicht in maximaler Macht, sondern in einer sauber verbundenen Kette, in der jede Institution nur den Teil ausführt, für den sie zuständig ist.