Zusammenfassung

  • Prop-171 würde den Upstream-Inhaber verpflichten, vom registrierten Kontakt einen verlässlichen Betriebsweg zu der Downstream-Stelle zu unterhalten, die einen Bericht untersuchen und lösen kann.
  • Prop-172 würde Missbrauch durch IP-Adressen definieren und dem Ressourceninhaber die Erstentscheidung geben. Gleichzeitig verneint der Text eine Entscheidungsbefugnis von APNIC, behält aber Rechenschaft für Reaktion und Bearbeitung bei.
  • Kommentare vom 16. und 21. August stellen Rechtsraum, fehlende Kategorien sowie Folgen- und Rechtsanalyse infrage. Zustellung ist objektiv prüfbar; ein strittiges Urteil braucht eigene Befugnis, Beweisschwelle, Abhilfe und Kontrolle.

Die öffentliche Adresse ist nur der Anfang

Eine Abuse-Mailbox kann gültig sein und dennoch beim falschen Schreibtisch enden. Der Empfänger kennt womöglich den Kunden nicht, besitzt die relevanten Protokolle nicht und kann den betroffenen Dienst nicht steuern.

Genau diese Lücke beschreibt prop-171, die am 9. August an die Policy SIG ging. Die regelmäßige IRT-Prüfung belegt Erreichbarkeit. Bei mehrstufiger Suballokation belegt sie nicht, dass der Bericht vom Upstream über Wiederverkäufer oder Hosting-Anbieter bis zum tatsächlichen Betreiber gelangt.

Der registrierte Upstream-Inhaber soll deshalb einen zuverlässigen Weg zur handlungsfähigen Downstream-Stelle sichern. Diese kann den öffentlichen Kontakt selbst betreiben. Eine zentrale Upstream-Funktion kann Fälle zuordnen und weiterleiten. Auch ein anderes wirksames Modell wäre zulässig. Der Entwurf verlangt weder die Offenlegung aller Kunden noch eine Betriebsarchitektur oder ein neues Audit- und Compliance-System.

Damit setzt er hinter RFC 2142 an. Der RFC machte ABUSE@domain zu einer bekannten Eingangstür. Prop-171 fragt, ob der Vorgang nach dem Eintritt weiterkommt.

Empfangsbestätigung, Ticketnummer, Weiterleitungsprotokoll, Eskalation und Korrekturfrist sind begrenzte Betriebsnachweise. Ob ein Bericht legitimate, eine Verzögerung undue oder eine Reaktion ausreichend war, ist eine andere Frage. Sobald Leitlinien das Ergebnis bewerten, prüfen sie nicht mehr nur den Weg.

Die zweite Vorlage will Verhalten einordnen

Prop-172 schlägt eine Definition von Internetmissbrauch durch IP-Adressen vor. Erfasst werden sollen Malware, DDoS, vorsätzlicher oder grob fahrlässiger Routingmissbrauch, Ressourcenbetrug sowie Infrastruktur für Phishing, Betrug, Täuschung und Identitätsnachahmung.

Gutgläubige Fehler, die rasch behoben werden, sind ausgenommen. Handelt ein Dritter rechtswidrig und reagiert der Inhaber nach Hinweis unverzüglich, soll dies nicht automatisch Missbrauch des Inhabers sein. Eine einzelne verspätete oder unvollkommene Antwort genügt ebenfalls nicht.

Der Entwurf bezeichnet sich als Begriffsschritt, nicht als neues Sanktionssystem. Er schafft nach eigener Darstellung keine neue Pflicht, Melderegel oder Compliance-Methode. Der Inhaber entscheidet zuerst, wenn der Melder eine legitime Grundlage und der Inhaber praktische Handlungsmöglichkeit hat. Gutgläubiges Handeln auf einen belegten Hinweis soll geschützt sein.

Bei der Zuständigkeit bleibt der Kreis offen. APNIC habe keine Befugnis, Missbrauch zu entscheiden, heißt es. Zugleich behalte APNIC die Verantwortung, Ressourceninhaber für Reaktion und Bearbeitung zur Rechenschaft zu ziehen.

Beide Aussagen passen zusammen, solange Rechenschaft nur korrekte Daten, Empfang und Weiterleitung bedeutet. Wer dagegen feststellt, ein Inhaber habe Missbrauch nicht behandelt, muss Behauptung, Beweis, Handlungsmöglichkeit, Antwort und anwendbares Recht beurteilen. Man kann die Antwort nicht bewerten und zugleich behaupten, die Frage nie entschieden zu haben.

Nach der Erstentscheidung fehlt die Instanz

Zuerst muss jemand den Hinweis prüfen. Abuse-Desks erhalten fehlerhafte Zuordnungen, unbrauchbare Automatikmeldungen, gefährliche Anhänge, Belästigung und nicht reproduzierbare Vorwürfe. Wenn Ablehnung später Folgen haben kann, brauchen legitimate basis und substantiated notice nachvollziehbare Kriterien.

Dann wird das Verhalten eingeordnet. Die Erstentscheidung beim Inhaber liegt nahe, weil er oder sein Kunde Logs und Kontext besitzt. Wird seine Antwort später sanktioniert, kann er jedoch nicht einzige Letztinstanz bleiben.

Schließlich braucht der Streit eine Prüfung. Wenn APNIC nicht entscheidet, wer tut es? Gerichte haben öffentliche Befugnis, aber Inhaber, Kunde, Melder, Opfer und Systeme können in verschiedenen Staaten liegen. Verträge verteilen Pflichten zwischen ihren Parteien. Sekretariatsleitlinien können Ticketwege erklären, aber keine materiell nicht erteilte Zuständigkeit erzeugen.

Vor jeder Folge fehlen daher Entscheider, Beweisschwelle, Rechtsraum, Reaktionsmaßstab, Heilungsfrist, verhältnismäßige Maßnahme, Aussetzung und Beschwerde oder unabhängige Prüfung. Prop-172 verweist neue Pflichten auf spätere Vorschläge. Leitlinien dürfen diese Reihenfolge nicht umgehen.

Die Liste diskutiert bereits die Grenze

Am 16. August unterstützte Jonathan Brewer die Richtung, forderte aber die Streichung von unlawful, weil Rechtmäßigkeit von der Jurisdiktion abhängt. Er schlug zudem versuchten Schaden, bösartige Scans, Eindringen und Exploitation vor.

Terry Sweetser warnte ebenfalls vor Geopolitik und Scope Creep. Er fragte, ob die Ankündigung eigener Präfixe ohne signierte ROAs plötzlich Missbrauch wäre, obwohl sie sich grundlegend von Ankündigungen ohne Zuweisung oder LOA unterscheidet. Der zitierte RFC 4732 räumt ein, dass ein subtiler DoS-Angriff prinzipiell nicht von einem legitimen Besucheransturm unterscheidbar sein kann.

Am 21. August verlangte Jordi Palet für prop-171 die Folgenanalyse des Sekretariats. Bei richtiger Umsetzung der bisherigen Regeln, argumentierte er, sei die fortdauernde Verantwortung des ursprünglichen Inhabers bereits naheliegend. In seiner Stellungnahme zu prop-172 forderte er eine Rechtsanalyse, fragte nach der Tragfähigkeit vor australischen oder anderen Gerichten und nannte Spam, Scans und Einbruchsversuche als Lücken.

Das ist kein Beleg für eine Ablehnung. Es zeigt, dass die Debatte bereits zwischen Technik und Recht, Schaden und Versuch, geschlossener Liste und offenen Beispielen sowie bestehender und neuer Pflicht verläuft.

Die dünne Regel bleibt nützlich

Der unabhängige RIR-Vorschlagsindex führt beide Texte weiter als Themen für APNIC 62. Die TWNIC-Ankündigung setzt die Sitzung auf den 10. September, 09:30–13:00 UTC+05:30, und eine lokale Diskussion auf den 25. August. Am 21. August ist nichts beschlossen.

Eine Registrierungsstelle kann einen korrekten Rollenkontakt verlangen, Zustellung testen, ihn dem richtigen Ressourcenobjekt zuordnen und veraltete Daten mit Hinweis und Heilungsfrist korrigieren. Sie kann eine Downstream-Verantwortungskette abbilden, ohne alle Kunden zu veröffentlichen.

Lu Heng nennt dies in The Policy Mirror die dünne Regel. Dick wird sie, wenn die Registry Inhalt, Geschwindigkeit, rechtliche Angemessenheit oder Ergebnis einer Reaktion bewertet und diese Beurteilung mit Registrierungsdiensten oder anerkannter Ressourcenkontrolle verbindet. Die Registry darf die Tür veröffentlichen, aber nicht das Gebäude dahinter überwachen.

Auch What Is APNIC? von NRS trennt Delegation und Durchsetzung: Ein APNIC-Verweis in Whois zeigt die Zuordnungskette, nicht den Ursprung des schädlichen Verkehrs; APNIC hat keine Befugnis, Netzmissbrauch zu verhindern.

Prop-171 kann in der dünnen Schicht bleiben, wenn sie den Ticketweg misst. Prop-172 kann als folgenloses Vokabular nützen. Das Risiko liegt in einer administrativen Verbindung über weit ausgelegte Wörter wie respond, address und accountable.

Was der Septembertermin auseinanderhalten muss

Bei prop-171 sind Tatsachen prüfbar: Empfang, Ticket, korrekter Downstream, Bounce-Korrektur und zeitgebundene Eskalation. Die Folgenanalyse muss NIRs, Upstreams, Wiederverkäufer, Hoster und kleine Netze getrennt betrachten.

Bei prop-172 muss zuerst der Charakter geklärt werden. Ist der Text Glossar, Auslegung einer bestehenden Pflicht oder Grundlage späterer Folgen? Wer prüft die Erstentscheidung? Welches Recht bestimmt unlawful? Wie werden Forschungsscans, Fehler, bestrittene Routingereignisse und lückenhafte Beweise behandelt? Welche Registry-Dienste sind ausgeschlossen?

Die Nachricht ist nicht, dass APNIC eine neue Macht erhalten hat. Zwei Entwürfe auf einer Tagesordnung haben vor der Sitzung eine fehlende Verbindung sichtbar gemacht. Beschwerden sollen ankommen und echter Schaden soll bearbeitet werden. Ein Kontaktfeld kann aus einem Streit aber kein legitimiertes Urteil machen.

Quellen