Zusammenfassung

  • Resolution 202101.596 belegt, dass der Vorstand von AFRINIC am 20. Januar 2021 die Veröffentlichung des AFRINIC WHOIS Database Accuracy Report genehmigte. Der Bericht macht die von AFRINIC beschriebene Prüfpopulation, die herangezogenen Belegklassen, Ausnahmen, Bearbeitungsstände und vorgesehenen Kontrollen öffentlich überprüfbar; er ist jedoch eine rückblickende institutionelle Eigendarstellung und kein unabhängiges Urteil.
  • AFRINIC berichtete über die Prüfung von 2.824 IPv4-Präfixen, die zwischen 2005 und 2019 an Resource Members delegiert worden waren. Neun Datensätzen fehlte eine Ticketnummer; von 2.815 Datensätzen mit Ticketverweisen enthielten 2.800 einen bewerteten Ressourcenantrag, während Unstimmigkeiten bei 15 Präfixen mit einem früheren Übertragungsprojekt zwischen Registern zusammenhingen. Diese Zahlen sind berichtete Befunde, keine für diesen Beitrag unabhängig wiederholte Untersuchung.
  • Veröffentlichung ist nicht Zertifizierung. Ein genauer WHOIS- oder RDAP-Datensatz unterstützt Kontaktaufnahme, Incident Response, Sorgfaltsprüfung, Transfervertrauen, Sicherheitsbehauptungen, Kapitalplanung und Kontinuität. Er kann aber nicht selbst beweisen, wer die zugrunde liegende Berechtigung rechtmäßig geschaffen hat, und er verleiht einem privaten technischen Buchführer keine souveräne, gesetzgeberische, regulatorische, polizeiliche, strafverfolgende, bestrafende, konfiskatorische oder öffentlich-rechtlich rechtsprechende Gewalt.
  • Der angemessene nächste Schritt wäre ein versionierter Genauigkeitsbeleg: klar definierte Population und Stichtag, abgeglichene Systeme und Belegklassen, Ausnahmetypen nach Zahl und Adressvolumen, Kontrollverantwortliche und Zeitpunkte des Wirksamwerdens, offene und streitige Fälle, Umfang unabhängiger Prüfung, Korrekturverlauf sowie ein geschützter Anfechtungsweg für Betroffene.

L3 — Der Tag, an dem das Register prüfbar wurde

Ein Beschluss mit engem, konkretem Inhalt

Resolution 202101.596 ist zunächst ein Verwaltungsakt innerhalb einer privaten technischen Organisation. Der Eintrag im Vorstandsregister hält fest, dass AFRINICs Vorstand am 20. Januar 2021 die Veröffentlichung des AFRINIC WHOIS Database Accuracy Report genehmigte. Nicht mehr und nicht weniger folgt unmittelbar aus diesem Beschluss. Er sagt nicht, dass der Vorstand die gesamte Untersuchung unabhängig wiederholt hätte. Er entscheidet keinen Streit um die rechtmäßige Verwahrung einzelner Ressourcen. Er weist niemandem strafrechtliche Verantwortung zu. Und er verwandelt die im Bericht beschriebenen Befunde nicht in Urteile eines Gerichts.

Die institutionelle Bedeutung entsteht aus einer bescheideneren Bewegung: Eine Reihe interner Aussagen über Datenqualität, Aktenlage, Abweichungen und Kontrollen wurde in den öffentlichen Raum gestellt, wo andere sie lesen, vergleichen, hinterfragen und später erneut prüfen können.

Diese Präzision ist wichtig, weil Transparenzakte häufig durch zwei gegensätzliche Übertreibungen entwertet werden. Die erste tut so, als habe die Veröffentlichung nichts bewirkt, solange nicht jede Akte und jedes Arbeitsdokument offengelegt wird. Die zweite behandelt schon die freiwillige Offenlegung als Beweis dafür, dass die offenlegende Institution sich selbst vollständig rehabilitiert habe. Beides verfehlt den Gegenstand. Veröffentlichung ist materiell besser als Schweigen, weil sie überprüfbare Behauptungen schafft.

Sie ist dennoch kein Ersatz für unabhängige Gewährleistung, weil Herausgeber, geprüfte Funktion und berichtende Stimme institutionell verbunden bleiben. Genau in dieser Zwischenzone liegt der Wert des Beschlusses.

WHOIS war in dieser Lage nicht bloß eine öffentliche Tabelle. Ein Eintrag konnte von Betreibern und Außenstehenden als administratives Indiz genutzt werden: für Kontaktangaben, eine Zuordnung im Register, einen Änderungsverlauf oder die Frage, welche Organisation in den öffentlich sichtbaren Daten mit einem Nummernblock verbunden war. Das macht Datenrichtigkeit zu einer echten Pflicht. Ein falscher, unvollständiger oder nicht nachvollziehbar geänderter Eintrag kann die praktische Orientierung erschweren. Aber das sichtbare Ergebnis kann seine eigene Entstehungsgeschichte nicht beglaubigen.

Es zeigt, was das Register behauptet; es beweist nicht allein, dass jede vorangegangene Berechtigung, jede Änderung und jede Entscheidung rechtmäßig zustande kam. Die Veröffentlichung eines Genauigkeitsberichts musste deshalb beide Ebenen auseinanderhalten: die Qualität der Buchführung und die Autoritätsfrage hinter dem Buch.

Die Population, die AFRINIC nach eigener Darstellung prüfte

Der Bericht setzte eine bemerkenswert konkrete Zahl an den Anfang seiner rückblickenden Untersuchung. AFRINIC gab an, Datensätze zu 2.824 IPv4-Präfixen geprüft zu haben, die von 2005 bis 2019 an Resource Members delegiert worden waren. Diese Zahl bezeichnet eine Population, keine Aussage über das gesamte denkbare Universum institutioneller Vorgänge. Sie ist nützlich, weil sie den Prüfgegenstand eingrenzt: Statt allgemein von „der Datenbank“ zu sprechen, benannte AFRINIC einen Bestand von Präfixdatensätzen in einem bestimmten Delegationszeitraum.

Für Leserinnen und Leser wird damit zumindest erkennbar, worauf sich die anschließend genannten Anteile und Ausnahmen beziehen sollen.

Innerhalb dieser Population berichtete AFRINIC, bei neun Präfixen keinen Ticketverweis gefunden zu haben. Die neun Fälle wurden mit Fiber-Grid-Zuteilungen aus den Jahren 2012–2013 in Verbindung gebracht. Diese Feststellung besitzt institutionelles Gewicht, weil eine Ticketnummer als Brücke zwischen öffentlichem Eintrag und dem internen Vorgang dienen kann, der ihn erklären soll. Fehlt diese Brücke, ist nicht automatisch bewiesen, dass es keinerlei Unterlagen gab oder dass eine bestimmte Person unrechtmäßig gehandelt hat.

Belegt ist lediglich die von AFRINIC veröffentlichte Feststellung, dass in der untersuchten Verbindung der Datensätze zu Ticketnummern neun solche Referenzen fehlten und welchem Zuteilungskontext AFRINIC sie zuordnete.

Für die übrigen 2.815 geprüften Datensätze mit Ticketverweisen berichtete AFRINIC eine weitere Abstufung. 2.800 hätten einen bewerteten Ressourcenantrag enthalten. Bei 15 Präfixen seien Unstimmigkeiten festgestellt worden; diese hätten Präfixe betroffen, die im Rahmen eines früheren Projekts zur Übertragung von Registrierungen aus anderen Registern importiert worden waren. Auch hier kommt es auf die Grammatik des Befunds an. Der Bericht beschreibt, was AFRINIC in den von ihm untersuchten Akten vorfand und wie es die Abweichungen klassifizierte.

Dieser Beitrag hat weder die 2.824 Datensätze noch die zugrunde liegenden Akten eigenständig rekonstruiert. Die Zahlen dürfen daher weder als bloße Meinung abgetan noch als unabhängig reproduzierte Wahrheit ausgegeben werden. Sie sind konkrete, dem Urheber zurechenbare Aussagen, die durch Veröffentlichung überprüfbar wurden.

Die Größenverhältnisse laden zu einer schnellen beruhigenden Lesart ein: Eine große Mehrheit der ticketgestützten Datensätze enthielt nach AFRINICs Darstellung einen bewerteten Antrag; nur ein kleinerer Teil fiel als fehlende Referenz oder Unstimmigkeit auf. Doch reine Fallzahlen können die institutionelle Bedeutung nicht allein beschreiben. Ein Präfix ist nicht notwendigerweise so groß wie ein anderes. Ein einziger fehlerhafter oder streitiger Vorgang kann ein erhebliches Adressvolumen betreffen, während viele ordnungsgemäße Vorgänge kleinere Volumina umfassen können.

Deshalb muss eine aussagekräftige Rechenschaft sowohl die Anzahl der Fälle als auch die betroffenen Adressmengen sichtbar machen, ohne aus unterschiedlichen Kategorien eine einzige dramatische Summe zu konstruieren.

Welche Belege zusammengeführt wurden

AFRINIC beschrieb die Untersuchung nicht als bloßen Blick auf die aktuelle WHOIS-Ansicht. Nach dem Bericht wurden interne Ressourcenakten, WHOIS-Protokolle und Änderungshistorien, delegierte Statistiken, Tickets, Mitgliedschafts- und Ressourcenanträge, Reverse DNS, das Internet Routing Registry, externe historische Aufzeichnungen, öffentliche Berichte und Hinweise von Whistleblowern herangezogen. Diese Vielfalt ist konzeptionell angemessen: Wenn die Frage lautet, ob ein Registereintrag die administrative Geschichte zuverlässig abbildet, reicht ein Vergleich des Eintrags mit sich selbst nicht. Mehrere Spuren müssen zueinander passen.

Ein Ticket sollte auf einen nachvollziehbaren Antrag verweisen; eine Änderungshistorie sollte den Weg zum aktuellen Stand zeigen; delegierte Statistiken und andere Registeransichten sollten Abweichungen sichtbar machen; externe historische Quellen können Widersprüche anzeigen.

Gerade diese Breite zeigt zugleich die Grenze eines öffentlichen Abschlussberichts. Die Nennung einer Belegklasse sagt noch nicht, welche konkrete Unterlage in welchem Einzelfall ausschlaggebend war, wie Konflikte zwischen Quellen aufgelöst wurden oder ob die vollständige Population mit identischen Maßstäben behandelt wurde. Whistleblowerinformationen können wichtige Hinweise liefern, müssen aber aus Gründen des Schutzes der Hinweisgebenden und möglicher Untersuchungen besonders vorsichtig verarbeitet werden. Externe historische Aufzeichnungen können Vergleichspunkte bieten, sind aber nicht schon deshalb unfehlbar.

Interne Akten können detailliert sein, bleiben jedoch Teil derselben Institution. Der veröffentlichte Bericht machte also den methodischen Horizont sichtbar, nicht sämtliche Arbeitsschritte reproduzierbar.

Trotzdem war diese Nennung ein Fortschritt gegenüber einer bloßen Versicherung, die Datenbank sei nun „korrekt“. Sie erlaubt sinnvolle Nachfragen. Wurden alle bezeichneten Systeme auf denselben Stichtag bezogen? Welche Quelle hatte Vorrang, wenn Ticket, WHOIS-Historie und delegierte Statistik auseinanderliefen? Welche Ausnahmen wurden als Datenfehler, welche als offener Streit und welche als ungeklärte Verwahrung behandelt? Wurde eine nachträgliche Korrektur versioniert? Der Bericht beantwortet nicht durch seine bloße Existenz jede dieser Fragen. Er schafft jedoch ein Vokabular, an dem eine spätere Prüfung ansetzen kann.

Fünf Statusangaben, die nicht zu einer Zahl verschmolzen werden dürfen

Für November 2020 veröffentlichte AFRINIC mehrere adressgewichtete Bearbeitungsstände. Der Bericht nannte 1.060.864 Pool-Adressen als zurückgewonnen und unter Quarantäne gestellt. Weitere 1.310.720 Pool-Adressen befanden sich demnach noch in Prüfung. Bei Legacy-Adressen seien unbelegte Änderungen für 467.968 Adressen rückgängig gemacht worden. 394.496 Legacy-Adressen seien auf Wunsch von Holdinggesellschaften konsolidiert worden. Und 936.704 Legacy-Adressen hätten sich im Streit befunden, während die Verwahrung noch bestimmt werden sollte.

Diese Werte dürfen nicht addiert und als ein einheitlicher Bestand „wiederhergestellter“, „betroffener“ oder „problematischer“ Adressen präsentiert werden. Die Statusbeschreibungen sind verschieden. „Zurückgewonnen und unter Quarantäne“ bezeichnet etwas anderes als „noch in Prüfung“. Eine rückgängig gemachte unbelegte Änderung ist nicht dasselbe wie eine Konsolidierung auf Wunsch einer Holdinggesellschaft. Ein Streit über die Verwahrung ist weder automatisch abgeschlossen noch gleichbedeutend mit einer endgültigen rechtlichen Entscheidung.

Ohne eine ausdrückliche Definition, dass die Gruppen wechselseitig ausschließend und addierbar sind, wäre jede Gesamtsumme eine neue Behauptung, die der Bericht so nicht trägt.

Gerade die getrennte Darstellung ist analytisch ergiebig. Sie zeigt, dass Genauigkeit kein binärer Schalter ist. Ein Register kann einen Eintrag als korrigiert markieren, einen anderen unter Quarantäne halten, einen dritten weiter prüfen und einen vierten wegen eines ungelösten Verwahrungsstreits offenlassen. Für Betreiber, betroffene Organisationen und Prüfer haben diese Zustände unterschiedliche Bedeutungen.

Ein versionierter öffentlicher Genauigkeitsbeleg müsste deshalb nicht nur Fallzahlen nennen, sondern die Definition jeder Kategorie, ihren Stichtag, die betroffene Adressmenge, mögliche Übergänge zwischen Zuständen und den Stand späterer Korrekturen. Nur dann lässt sich erkennen, ob ein alter Wert fortgilt, ersetzt wurde oder eine offene Frage beschreibt.

Die Adressvolumina erinnern außerdem daran, dass eine kleine Zahl von Fällen große technische Reichweite haben kann. Daraus folgt kein im vorliegenden Zusammenhang belegter Ausfall, Preisverlust oder misslungener Transfer. Es folgt nur, dass die materielle Betrachtung neben Datensatzanzahlen auch die Menge der betroffenen Nummernressourcen berücksichtigen sollte. LARUS hat den allgemeinen Übertragungsweg aus Betreiberperspektive beschrieben: Unklare oder undurchsichtige Registerdaten können Planungs-, Sicherheits-, Incident-Response- und Kontinuitätslasten erhöhen. Resolution 202101.596 wird dadurch nicht zur Ursache eines konkreten Schadens.

Der Zusammenhang erklärt vielmehr, warum ein scheinbar administrativer Genauigkeitsbericht für Infrastrukturbetreiber mehr ist als Ablagepflege.

Die von AFRINIC beschriebenen Kontrollen

AFRINIC stellte die Untersuchung nicht nur als rückblickende Bestandsaufnahme dar, sondern nannte auch Kontrollen, die eingeführt oder verstärkt worden seien. Dazu gehörten Automatisierung, vorgesehene Prüfungen und Nachvollziehbarkeit im Änderungsmanagement, eine abschließende Prüfung von Ressourcen- und Mitgliedschaftsanträgen durch ranghöhere Mitarbeitende, eine im Juni 2019 eingeführte Betrugs- und Korruptionsrichtlinie sowie eine 2020 eingerichtete unabhängige Whistleblowing-Plattform.

Der Bericht erwähnte außerdem strengere Verifikation bei Änderungen an Legacy-Einträgen, tägliche Abgleiche zwischen MyAFRINIC und WHOIS, Vergleiche mit delegierten Statistiken, PGP-Authentifizierung, rollenbezogene Zugriffsqualifikationen und eine Eskalation für Änderungen außerhalb gewöhnlicher Berechtigungen.

Jede dieser Maßnahmen adressiert eine erkennbare Kontrollfläche. Automatisierung kann bestimmte manuelle Abweichungen reduzieren, wenn Regeln, Ausnahmen und Protokollierung sauber bestimmt sind. Änderungsnachvollziehbarkeit kann sichtbar machen, wer wann welche administrative Behauptung geändert hat. Eine ranghöhere Endprüfung kann das Vier-Augen-Prinzip stärken. Abgleiche zwischen Systemen können Unterschiede ans Licht bringen, während Authentifizierung und rollenbezogene Zugriffe begrenzen sollen, wer Änderungen anstoßen darf. Eine geschützte Hinweisplattform kann Informationen erreichbar machen, die formale Kontrollen nicht erfassen.

Doch aus der Aufzählung folgt nicht, dass jede Maßnahme vorher vollständig fehlte, an einem gemeinsamen Datum vollständig wirksam wurde oder nach der Veröffentlichung ohne Ausnahme funktionierte. Der vorliegende öffentliche Bestand enthält keine unabhängig reproduzierte Vorher-nachher-Kontrollmatrix und kein externes Prüfungsurteil, das Vollständigkeit und Wirksamkeit sämtlicher Maßnahmen bestätigt. Auch wäre es unzulässig, aus einer nicht veröffentlichten Unterlage zu folgern, sie habe nicht existiert.

Die saubere Aussage lautet daher: AFRINIC beschrieb diese Kontrollen als angenommen oder verstärkt; ihre genaue Umsetzung, ihr Wirksamkeitsbeginn und ihre spätere Betriebsqualität bedürften einer davon getrennten Prüfung.

Diese Unterscheidung schützt den Bericht vor zwei ungerechten Lesarten. Man muss nicht behaupten, die Kontrollen seien wertlos, nur weil ihre Wirksamkeit hier nicht unabhängig belegt ist. Ebenso wenig darf man ihre bloße Nennung als Beweis nehmen, das institutionelle Problem sei abschließend gelöst. Eine Kontrolle ist zunächst eine Gestaltung: eine Regel, ein Verantwortungsbereich, eine technische oder organisatorische Schranke. Ob sie in der Praxis greift, zeigt sich durch Testfälle, Ausnahmen, Protokolle, Korrekturen und unabhängige Nachprüfung. Veröffentlichung eröffnet die Nachfrage nach diesen Dingen; sie ersetzt sie nicht.

Was der öffentliche Akt tatsächlich veränderte

Vor dem Beschluss waren die von AFRINIC beschriebenen Untersuchungsergebnisse institutionelles Wissen. Mit der genehmigten Veröffentlichung wurden sie zu öffentlichen Behauptungen mit Datum, Population, Methodenspuren, Zahlen und benannten Kontrollen. Darin liegt die reale Veränderung. Außenstehende konnten nun feststellen, was AFRINIC über die 2.824 Präfixe sagte, welche neun Datensätze ohne Ticketnummer genannt wurden, wie die 2.815 ticketgestützten Vorgänge weiter aufgeteilt wurden und welche adressgewichteten Statusgruppen der Bericht für November 2020 auswies.

Sie konnten außerdem erkennen, welche Arten von Unterlagen AFRINIC nach eigener Darstellung konsultiert und welche Schutzmaßnahmen es benannt hatte.

Der Beschluss veränderte dagegen nicht die Rechtsnatur des Registers. AFRINIC blieb ein privater technischer Buchführer und Koordinator. Seine nützliche Aufgabe besteht darin, Eindeutigkeit zu unterstützen, Registrierungs- und Kontaktdaten verlässlich zu halten, autorisierte Änderungen nachvollziehbar zu machen, kompatible öffentliche Verzeichnisdienste bereitzustellen und betriebliche Kontinuität zu schützen.

Weder ein Vorstandsentscheid noch ein sauber wirkender Datensatz noch ein hoher Genauigkeitsanteil kann aus dieser Aufgabe Souveränität, Gesetzgebung, Regulierung, Polizei, Strafverfolgung, Bestrafung, Konfiskation oder öffentlich-rechtliche Rechtsprechung erzeugen.

NRS ordnet AFRINIC in einen privaten Register- und Mitgliedschaftsrahmen ein und begründet die Notwendigkeit rechenschaftspflichtiger Koordination. NRS führte jedoch nicht die Untersuchung von 2021 durch und verabschiedete nicht Resolution 202101.596. Diese Rollenverteilung ist mehr als eine Zitierfrage. Die Ereignistatsachen gehören zu AFRINICs Vorstandsregister und Bericht; die institutionelle Einordnung darf von einer unabhängigen Perspektive auf private Koordination profitieren.

Beides muss nebeneinanderstehen, damit weder analytische Kritik als Ereignisbeweis ausgegeben noch die institutionelle Eigenbeschreibung zur einzigen Deutung ihrer eigenen Reichweite wird.

Die frühere BTW-Analyse zu WHOIS/RDAP als öffentlichem Register hilft ebenfalls, die Art des Belegs zu bestimmen: Ein öffentlicher Eintrag ist eine überprüfbare administrative Behauptung. Die frühere BTW-Arbeit zu den Zuteilungsakten liefert Kontext zu Befunden, Methoden und Zahlen, doch die vorliegende Untersuchung baut keine Chronologie der Jahre 2005–2019 nach. Sie folgt weder einem Insiderzugriff noch einer Vorstands-Wissenslinie, entwirft kein Frühwarnsystem der internen Prüfung und entscheidet keine Ressourcenrückgewinnung. Ihr Gegenstand bleibt der eine Veröffentlichungsschritt vom 20.

Januar 2021 und die Frage, was ein solcher Schritt über prüfbare Buchführung aussagen kann.

Damit steht am Ende dieser ersten Ebene ein nüchterner Befund. Resolution 202101.596 war ein sinnvoller Offenlegungsakt. Sie machte konkrete Aussagen über eine zentrale Registerfunktion sichtbar und anfechtbar. Der Bericht bot mehr als eine pauschale Versicherung: Er nannte Population, Ausnahmen, Belegarten, Adressvolumina, Statusgruppen und Kontrollen. Seine Stärke liegt genau in dieser Konkretheit. Seine Grenze liegt darin, dass die geprüfte Institution ihre eigene rückblickende Untersuchung veröffentlichte. Die Öffentlichkeit erhielt einen prüfbaren Ausgangspunkt, nicht das letzte Wort.