Zusammenfassung

  • Resolution 202006.558 belegt eine Genehmigung: Ein Gesamtbetrag von USD 71,217 sollte aus den beiden benannten Budgets MyAFRINIC und Infrastruktur in das RPKI-Projektbudget verlagert werden. Der Registereintrag nennt keine Aufteilung dieses Gesamtbetrags auf die beiden Quellen.
  • Eine Budgetentscheidung ist noch kein technisches Ergebnis. Zwischen Genehmigung und Routensicherheitswirkung liegen eigenständige Schritte: Buchung, Ausgabe, Beschaffung oder Personaleinsatz, Umsetzung, Abnahme, Betriebsaufnahme, Nutzung und Messung.
  • Die stärkste wohlwollende Erklärung ist plausibel: Ein dringender oder erweiterter RPKI-Bedarf könnte freie Mittel sinnvoller genutzt haben, ohne die Gesamtausgaben zu erhöhen. Belastbar würde diese Erklärung erst durch einen knappen, nachvollziehbaren Änderungsnachweis.
  • AFRINIC handelt hier als privater, mitgliedergetragener technischer Buchführer und Koordinator. Die Verwaltung von Budgets, Registerdaten und Zertifikatsdiensten verleiht weder Hoheitsgewalt noch regulatorische, polizeiliche oder richterliche Befugnisse.

L3 — Die USD-71,217-Entscheidung und die fehlende Quellenaufteilung

Die Entscheidung lässt sich in einem Satz beschreiben, aber nicht in einem Satz bewerten. Im Juni 2020 verzeichnete AFRINICs offizielles Vorstandsregister die Resolution 202006.558. Der Vorstand genehmigte, einen einzigen Gesamtbetrag von USD 71,217 aus den Budgets für MyAFRINIC und Infrastruktur in das Budget des RPKI-Projekts umzuschichten. Damit ist ein institutioneller Akt festgehalten: Der Vorstand setzte innerhalb mehrerer interner Prioritäten zusätzliche Budgetbefugnis zugunsten von RPKI ein. Gerade weil Betrag, Ziel und Herkunftsbudgets benannt sind, kann man nach dem weiteren Weg der Entscheidung fragen.

Der Registersatz selbst beantwortet diese Fragen aber nicht.

Der erste notwendige Unterschied ist der zwischen Genauigkeit und Vollständigkeit. USD 71,217 ist ein genauer Gesamtbetrag. Diese Genauigkeit verführt dazu, in ihm mehr Information zu sehen, als er enthält. Sie verrät nicht, welcher Anteil aus MyAFRINIC und welcher aus Infrastruktur kommen sollte. Sie liefert auch keinen Nenner, aus dem sich die relative Belastung eines der beiden Arbeitsbereiche errechnen ließe. Wer den vollen Betrag einem einzigen Herkunftsbudget zurechnet, verdoppelt nicht nur die Gewissheit, sondern verändert die dokumentierte Entscheidung. Wer eine hälftige oder sonstige Aufteilung annimmt, erfindet eine Zahl.

Und wer ohne die ursprünglichen Budgets Prozentsätze bildet, erzeugt Scheingenauigkeit.

Auch die Bedeutung des Wortes „Budget“ muss eng bleiben. Eine genehmigte Umschichtung ist zunächst eine Änderung der Ermächtigung, Mittel für bestimmte Zwecke einsetzen zu dürfen. Sie ist nicht ohne Weiteres eine Zahlung. Sie ist kein Beleg dafür, dass USD 71,217 bereits ausgegeben, vertraglich gebunden oder in Vermögenswerte verwandelt wurden. Ebenso wenig belegt sie, dass im Gegenzug bei MyAFRINIC oder Infrastruktur bereits Rechnungen storniert, Stellen gestrichen, Arbeiten verschoben oder Leistungsziele aufgegeben wurden.

Die Resolution zeigt die gewollte Richtung des Portfolios; sie zeigt nicht den späteren Kontoverlauf und nicht die tatsächliche Arbeit.

Diese Trennung ist keine pedantische Buchhaltungsübung. Sie schützt vor zwei entgegengesetzten Fehlschlüssen. Der eine lautet: Geld für RPKI sei automatisch ein Sicherheitsgewinn. Der andere lautet: Geld aus zwei bestehenden Budgets sei automatisch ein Schaden für deren Dienste. Beides überspringt die Ereignisse, die eine Absicht erst in eine Wirkung verwandeln. Eine Priorität kann gut begründet und dennoch nicht umgesetzt werden. Sie kann umgesetzt werden, ohne den gewünschten Nutzen zu erreichen. Sie kann auf der Zielseite Nutzen bringen, ohne auf der Herkunftsseite einen spürbaren Nachteil zu verursachen.

Oder sie kann die verfügbaren Möglichkeiten verändern, während die tatsächlichen Folgen anders ausfallen als geplant. Der Registereintrag entscheidet keine dieser Varianten.

Eine Entscheidung über Möglichkeiten, noch nicht über Resultate

Ökonomisch verändert eine Budgetumschichtung zuerst die Optionen einer Organisation. Wenn sie wie genehmigt vollzogen wurde, stand dem RPKI-Projekt gegenüber dem vorherigen internen Plan mehr Budgetbefugnis zur Verfügung. Zugleich war unter den beiden benannten Herkunftsbudgets zusammen entsprechend weniger Budgetbefugnis verfügbar. Das ist die unmittelbare Portfoliowirkung. Sie betrifft Reihenfolge, Spielraum und die Fähigkeit, auf spätere Anforderungen zu reagieren. Sie ist realer als eine bloße Absicht, aber immer noch etwas anderes als ein gebautes System oder ein beeinträchtigter Dienst.

Optionen haben Wert, auch wenn sie nicht ausgeübt werden. Ein freier Budgetbetrag kann es ermöglichen, einen Vertrag abzuschließen, Fachpersonal einzusetzen, Software zu entwickeln oder technische Infrastruktur zu beschaffen. Entzieht man einem Arbeitsbereich einen Teil dieser Befugnis, sinkt sein Handlungsspielraum gegenüber dem früheren Plan. Ob daraus tatsächliche Opportunitätskosten entstehen, hängt jedoch davon ab, was mit diesem Spielraum sonst geschehen wäre. Waren die Mittel ungebunden? Gab es bereits zugesagte Vorhaben? Wurden Leistungen neu geplant, anders finanziert oder ohne Änderung fortgesetzt?

Die vorliegende Aufzeichnung enthält darauf keine Antwort.

Deshalb darf die Umschichtung nicht als Beleg für eine Verzögerung von MyAFRINIC oder für eine Verschlechterung der Infrastruktur behandelt werden. Es ist möglich, dass beide Budgets über ungebundene Kapazität verfügten. Es ist ebenso möglich, dass ein bereits erwarteter Bedarf neu priorisiert werden musste. Welche Möglichkeit zutraf, ist nicht dokumentiert. Dass Unterlagen zu Verpflichtungen, Restmitteln oder revidierten Zeitplänen hier nicht vorliegen, beweist zudem nicht, dass AFRINIC solche Unterlagen nie geführt hat. Es bezeichnet die Grenze dessen, was sich aus dem öffentlich bezeichneten Entscheidungsakt ableiten lässt.

Auf der Zielseite gilt dieselbe Zurückhaltung. RPKI kann nützliche Nachweise über die zulässige Herkunft von Routen bereitstellen. Eine Zertifikatsinfrastruktur kann Ressourceninhabern ermöglichen, autorisierte Ursprünge zu erklären, und validierenden Netzen zusätzliche Information für ihre eigene Routingpolitik geben. Doch ein höheres Projektbudget erzeugt noch kein Zertifikat, keine funktionsfähige Veröffentlichung, keine verlässliche Verfügbarkeit und keine Akzeptanzentscheidung eines Netzbetreibers.

Der Betrag sagt nichts darüber, ob ein Ressourceninhaber eine entsprechende Autorisierung erzeugte oder ob ein Netz sie bei der Routenannahme auswertete.

Genau hier hilft der von BTW behandelte Vergleich mit der übergeordneten Zertifizierungsstelle. Er macht sichtbar, dass RPKI nicht nur aus einem abstrakten Sicherheitsbegriff besteht, sondern aus technischen Abhängigkeiten und Kontrollpunkten innerhalb einer Zertifikatshierarchie. Diese Perspektive erklärt, warum Investitionen in RPKI bedeutsam sein können. Sie beweist jedoch nicht, dass die Resolution 202006.558 eine bestimmte technische Komponente finanzierte, dass eine Komponente geliefert wurde oder dass auch nur eine Route anders behandelt wurde.

Der Vergleich beleuchtet den möglichen Wirkungsraum; der amtliche Registereintrag bleibt der Beleg für die konkrete Budgetgenehmigung.

Die stärkste wohlwollende Lesart

Eine faire Analyse beginnt nicht mit Verdacht, sondern mit der besten plausiblen Erklärung. Im Jahr 2020 könnte ein zuvor nicht budgetierter oder größer gewordener RPKI-Bedarf dringlich erschienen sein. MyAFRINIC und Infrastruktur könnten über Mittel verfügt haben, die noch nicht gebunden waren oder im Verhältnis einen geringeren unmittelbaren Grenznutzen versprachen. Eine interne Verschiebung hätte dann erlaubt, eine sinnvolle Sicherheitsfähigkeit schneller voranzubringen, ohne das Gesamtausgabenniveau zu erhöhen.

Für eine private technische Organisation wäre eine solche Anpassungsfähigkeit kein Makel, sondern Teil verantwortlicher Steuerung.

Diese Erklärung verdient ernsthafte Berücksichtigung, weil starre Budgets ebenfalls Kosten verursachen können. Ein Jahresplan wird vor dem vollständigen Wissen über spätere technische Anforderungen beschlossen. Wenn sich eine wichtige Sicherheitsanforderung konkretisiert, kann es vernünftig sein, auf Veränderungen zu reagieren, statt an einer veralteten Verteilung festzuhalten. RPKI betrifft einen Bereich, in dem der Nutzen nicht allein beim Betreiber eines einzelnen Systems liegt, sondern durch die Verbindung von Zertifizierung, Veröffentlichung, Validierung und Netzpolitik entsteht.

Ein rechtzeitig finanzierter Baustein kann daher einen hohen möglichen Wert besitzen.

Doch die wohlwollende Erklärung ist eine Hypothese, kein nachträglicher Befund. Der Registereintrag enthält weder den dringenden Bedarf noch die Alternativen, den Projektumfang, die freien Beträge oder den erwarteten Nutzen. Er sagt nicht, ob das Gesamtbudget gleich blieb, weil auch dafür die vollständige Vorher-nachher-Sicht fehlt; er belegt nur die genehmigte interne Verlagerung. Er zeigt keine Beschaffung, keinen Personaleinsatz und keinen Zeitplan. Wer die stärkste gute Erklärung akzeptiert, sollte deshalb gerade an ihrem Nachweis interessiert sein.

Eine vernünftige Entscheidung wird überzeugender, wenn ihre Voraussetzungen, ihr Vollzug und ihre Ergebnisse miteinander verbunden werden können.

Die angemessene Frage lautet folglich nicht: „War RPKI wichtig?“ Der mögliche Sicherheitswert von RPKI und die Qualität dieses konkreten Budgetvorgangs sind zwei verschiedene Gegenstände. Auch ein wichtiges Ziel verlangt eine nachvollziehbare Mittelverwendung. Und eine unvollständig sichtbare Mittelverwendung widerlegt nicht die Wichtigkeit des Ziels. Die passende Frage lautet vielmehr: Welche klar abgegrenzte RPKI-Leistung sollte mit der zusätzlichen Budgetbefugnis ermöglicht werden, und welche Belege verbinden die Genehmigung mit dieser Leistung, ihrer Nutzung und einer späteren Wirkung?

Die Kette, die der Betrag nicht ersetzt

Am Anfang der Kette steht der genehmigte Ausgangsplan. Ohne die ursprünglichen Beträge für MyAFRINIC, Infrastruktur und RPKI lässt sich nicht erkennen, wie stark die Gewichtung verändert wurde. Danach kommt die exakte Aufteilung des Gesamtbetrags auf die beiden Quellen. Erst diese Aufteilung zeigt, welcher Arbeitsbereich welche Budgetbefugnis abgab. Es folgt die Prüfung, ob die entnommenen Beträge frei von bestehenden Verpflichtungen waren. Diese Information trennt eine Verlagerung ungenutzten Spielraums von einer Entscheidung, die bereits geplante Arbeit neu ordnet.

Anschließend wäre der formale Vollzug zu betrachten. Eine Genehmigung kann in einer Buchungsanweisung, einer Änderung von Kostenstellen oder einer anderen internen Finanzmaßnahme umgesetzt werden. Dafür braucht es einen Wirksamkeitstag und eine abstimmbare Buchung. Ohne diesen Schritt ist nicht belegt, dass die genehmigte Verteilung in der Finanzführung tatsächlich galt. Und selbst eine ausgeführte Buchung ist erst die Eröffnung eines Ausgabespielraums; sie sagt noch nicht, ob und wann konkrete Kosten entstanden.

Darauf folgt die Seite der Lieferung. Ein RPKI-Projekt benötigt einen verantwortlichen Eigentümer im organisatorischen Sinn, einen abgegrenzten Umfang und eine Entscheidung darüber, ob Arbeit eingekauft, intern geleistet oder personell anders organisiert wird. Meilensteine übersetzen den Umfang in überprüfbare Zwischenstände. Abnahmekriterien legen fest, woran AFRINIC eine erbrachte Leistung erkennt. Erst mit einem dokumentierten Abnahmevorgang lässt sich die Frage beantworten, ob aus Kosten oder Arbeitszeit ein vereinbartes Ergebnis entstand. Keine dieser Stationen ist im kurzen Resolutionseintrag enthalten.

Selbst eine abgenommene technische Leistung beendet die Kette nicht. Ein System kann fertiggestellt, aber noch nicht produktiv geschaltet sein. Es kann produktiv sein, aber kaum genutzt werden. Ressourceninhaber können Zertifikate oder Autorisierungen unterschiedlich annehmen; validierende Netze behalten ihre eigene technische und betriebliche Entscheidung darüber, welche Daten sie berücksichtigen und wie sie mit Ergebnissen umgehen. Betriebsaufnahme, Verfügbarkeit, Nutzung und netzseitige Auswertung sind daher getrennte Beobachtungspunkte. Ein RPKI-Budget ist weder eine Nutzungsquote noch ein Beleg für veränderte Routingentscheidungen.

Am Ende stehen gemessene technische und betriebliche Folgen. Dazu könnten, je nach tatsächlichem Projektumfang, geeignete Dienstindikatoren, Nutzungsmaße oder nachvollziehbare Beobachtungen der Validierung gehören. Welche Maße angemessen wären, hängt von der finanzierten Leistung ab; genau deshalb darf man sie nicht aus dem Wort RPKI ableiten. Erst wenn Umfang und Ziel bekannt sind, kann eine Kennzahl zeigen, ob eine Lieferung ihren vorgesehenen Zweck erfüllte. Selbst dann müsste sorgfältig zwischen gemeinsamem zeitlichem Auftreten und verursachter Wirkung unterschieden werden.

Die Herkunftsseite hat eine parallele Kette. Nach der Verlagerung müssten MyAFRINIC und Infrastruktur neu geplant worden sein, sofern die Änderung ihre verfügbaren Budgets berührte. Ein revidierter Ausgangsplan würde zeigen, welche Leistungen, Termine oder Reserven weiterhin vorgesehen waren. Der spätere Ist-Stand könnte anschließend erkennen lassen, ob Unterschiede eintraten. Ohne diese beiden Schritte bleibt die Opportunitätskostenfrage offen. Weniger Budgetbefugnis gegenüber einem früheren Plan ist feststellbar, wenn der Vollzug belegt ist; eine konkrete Leistungseinbuße ist es nicht.

So gelesen, ist Resolution 202006.558 weder ein Sicherheitszeugnis noch eine Schadensmeldung. Sie ist ein prüfbarer Knotenpunkt in einer längeren Entscheidungskette. Ihr Wert liegt darin, dass sie Betrag, Richtung und beteiligte Budgets nennt. Ihre Grenze liegt darin, dass sie die nachfolgenden Stationen nicht zusammenführt. Verantwortliche Rechenschaft verlangt nicht, aus dieser Grenze einen Vorwurf zu formen. Sie verlangt, die fehlenden Verbindungen als Fragen zu benennen und keine Antwort vorzutäuschen.