Zusammenfassung

  • AFRINICs Jahresbericht 2025 weist für das vierte Quartal 2024 1.073 RPKI-Zertifikate, 11.216 ROAs, 11.540 IPv4-Präfixeinträge in ROAs und 816 IPv6-Präfixeinträge aus.
  • In keiner einzelnen Zeile der am 18. Oktober 2026 heruntergeladenen Tages-CSV stehen alle vier Werte zusammen. Die im Bericht genannten ROA- und IPv4-Zahlen erscheinen gemeinsam am 1. Januar 2025; Zertifikate und IPv6-Präfixe stehen gemeinsam am 31. Dezember 2024.
  • Die Zeile vom 31. Dezember 2025 stimmt mit allen vier Werten für das vierte Quartal 2025 im Bericht überein. Der aktuelle Export macht also den späteren Endpunkt nachvollziehbar, nicht aber die frühere Basis als einen einzelnen Tageszustand.
  • Mit den heutigen CSV-Werten steigt der Rückgang der ROA von 0,86 auf 2,21 Prozent; der Zuwachs der IPv4-Präfixeinträge sinkt von 84,6 auf 83,4 Prozent. Die Richtung bleibt in beiden Rechnungen gleich.
  • Ein genauer Stichtag samt Zeitzone, Messdefinitionen, Extraktionsverfahren und unveränderlicher Snapshot- oder Revisionskennung würde die Lücke schließen. Die Befunde zeigen ein Reproduzierbarkeitsproblem, nicht, welche Quelle falsch sein soll.

Analyse

Die RPKI-Tabelle in AFRINICs Jahresbericht 2025 wirkt leicht überprüfbar: vier Kennzahlen, zwei Quartalsenden und Prozentveränderungen. Sie umfasst ausgestellte Zertifikate, ROAs, von ROAs abgedeckte IPv4-Präfixe und IPv6-Präfixe. Für das vierte Quartal 2024 stehen dort 1.073, 11.216, 11.540 und 816; für das vierte Quartal 2025 lauten die Werte 1.254, 11.120, 21.307 und 916. Die öffentliche Tagesreihe bildet die zweite Gruppe am 31. Dezember 2025 in einer Zeile ab. Die vier Werte der ersten Gruppe finden sich an keinem einzelnen Tag gemeinsam.

Geprüft wurde die tägliche CSV, die AFRINICs RPKI-Portal zum Download anbietet. Ihre Spalten unterscheiden Zertifikate, ROAs, ASNs in ROAs, IPv4-Präfixe und abgedeckten IPv4-Adressraum sowie IPv6-Präfixe und deren Adressraum. Die am 18. Oktober 2026 geladene Datei endet mit dem 17. Oktober. Am 31. Dezember 2024 weist sie 1.073 Zertifikate und 816 IPv6-Präfixe aus, aber 11.371 ROAs und 11.620 IPv4-Präfixe. Am 1. Januar 2025 stehen dort 11.216 ROAs und 11.540 IPv4-Präfixe; die Zertifikatszahl bleibt bei 1.073, die IPv6-Präfixzahl beträgt jedoch 809. Die vier Ausgangswerte aus dem Bericht verteilen sich auf zwei benachbarte Beobachtungen.

Diese Verteilung erklärt noch nicht, wie sie zustande kam. „Viertes Quartal 2024“ könnte einen Snapshot zu einer bestimmten Uhrzeit bezeichnen, eine vor der Berichtserstellung gezogene Datenkopie oder eine andere, in der Tabelle nicht erläuterte Stichtagsregel. Der Bericht nennt weder Uhrzeit noch Zeitzone. Auch der CSV-Kopf und die Diagrammseite legen nicht offen, wann ein Tageswert erfasst wird und ob historische Zeilen später geändert werden. Bericht und heutiger Export könnten daher unterschiedliche Fragen beantworten; die geprüften Veröffentlichungen belegen diese Erklärung aber nicht.

Aus der fehlenden Rekonstruktion folgt weder ein Fehler des Berichts noch einer der CSV.

Für zwei Prozentwerte macht der Unterschied dennoch etwas aus. Nach der Berichtstabelle sinken die ROAs von 11.216 auf 11.120, also um 0,86 Prozent. Die IPv4-Präfixeinträge steigen von 11.540 auf 21.307, ein Plus von 84,64 Prozent. Vergleicht man stattdessen die beiden Jahresendzeilen der heutigen CSV, fallen die ROAs um 2,21 Prozent und die IPv4-Einträge wachsen um 83,36 Prozent. Der Nenner verändert die Größe der Bewegung, nicht ihre Richtung: weniger ROAs, deutlich mehr IPv4-Präfixeinträge.

Der Leser kann zwei berichtete Raten nicht mehr unabhängig aus dem verlinkten Verlauf nachrechnen; die übergeordnete Entwicklung wird dadurch nicht umgekehrt.

Auch die Einheiten verdienen eine saubere Trennung. Ein ROA ist eine signierte Autorisierung, die ein autonomes System mit einem oder mehreren IP-Präfixen verknüpft. Die Zahl der ROAs zählt Objekte, die Zahl der Präfixe in ROAs einzelne Einträge. Werden Autorisierungen aggregiert, kann die zweite Zahl steigen, während die erste sinkt. AFRINIC nennt dies selbst als mögliche Erklärung für 2025: Weniger ROAs bei mehr abgedeckten IPv4-Präfixen könnten auf effizientere oder stärker aggregierte Autorisierungen hindeuten. Keine dieser Gesamtzahlen zeigt, wie viele BGP-Routen bei der Origin-Validierung als Valid, Invalid oder NotFound gelten.

Diese Prüfung erfolgt je Route anhand der validierten ROAs, des angekündigten Präfixes und der Ursprungs-AS. Präfixsummen sind weder ein Maß für Filterentscheidungen noch für ROV-Einsatz oder Sicherheitswirkung.

Die Abhilfe ist klein: Jede Quartalstabelle sollte einen Datenbeleg erhalten, der Erfassungsdatum, genaue Uhrzeit und Zeitzone, Definition samt Einheit jedes Messwerts, Abfrage oder Extraktionsschritt, einen dauerhaften Datei- oder Snapshot-Identifier und die Revisionshistorie nennt. Ändert sich eine historische Zeile, sollten alter und neuer Wert sowie der Grund sichtbar bleiben. AFRINIC kann die veröffentlichte Tabelle bewahren und zugleich die Herkunft ihrer Zahlen dokumentieren, statt die Vergangenheit stillschweigend neu zu schreiben.

Die belastbare Lesart ist begrenzt und nützlich zugleich: Die Zertifikatszahl und die IPv4-Abdeckung steigen, die Zahl der ROAs sinkt leicht, und die Größe zweier Jahresveränderungen hängt vom gewählten Ausgangswert ab. Ein datierter, unveränderlicher Snapshot würde Mitgliedern, Forschern und Netzbetreibern erlauben, die Rechnung mit derselben Evidenz zu wiederholen. Heute lässt sich der Endpunkt für 2025 aus dem Export reproduzieren. Der aus vier Werten bestehende Ausgangspunkt für 2024 ist darin kein einzelner Tageszustand.

Quellen