Zusammenfassung

  • ARIN erklärte am 5. August, seine Datenbank enthalte rund 17.000 Legacy-Netze; etwa die Hälfte habe keinen Point of Contact oder nur einen POC, den ARIN nicht verifizieren konnte.
  • Laut demselben Beitrag verfügen 11 Prozent über einen aktuell validierten Kontakt, weitere 20 Prozent über unvollständige Kontaktangaben. Als Vergleich dienen Organisationen mit Ressourcen unter ARIN-Vertrag, deren Validierungsquote bei 76 Prozent liege.
  • Damit ist kein Widerspruch bewiesen. Offen bleiben aber Stichtag, exakte Gruppengrößen, Überschneidungen der Statusklassen und der Wechsel zwischen Netz-, Organisations- und POC-Ebene.
  • Eine versionierte Aggregattabelle könnte diese Lücke schließen, ohne personenbezogene Whois-Daten offenzulegen.

Eine Sicherheitsbotschaft mit unvollständigem Zahlenbeleg

Im Beitrag vom 5. August beschreibt ARIN veraltete Registrierungsdaten nicht als bloßes Verwaltungsärgernis. Ein scheinbar verlassenes Registerobjekt kann Nachahmer anziehen. Wer eine Organisation überzeugend imitiert, könnte versuchen, Org ID und POC-Datensätze zu übernehmen und anschließend Provider zur Routeinrichtung zu bewegen.

ARIN verknüpft diese Gefahr mit einer Größenordnung. In der Datenbank befänden sich ungefähr 17.000 Legacy-Netze. Etwa die Hälfte habe keinen POC oder einen Kontakt, den ARIN nicht überprüfen konnte. Nur 11 Prozent verfügten über einen derzeit validierten Kontakteintrag; weitere 20 Prozent hätten einen Eintrag mit unvollständigen Informationen.

Danach wechselt die Vergleichsgruppe. Von den Organisationen, deren Ressourcen einem ARIN-Vertrag unterliegen, hätten 76 Prozent einen validierten Kontakt; unvollständige Angaben gebe es dort nicht. ARIN sagt ausdrücklich, nicht der Vertragstext selbst mache den Unterschied. Entscheidend sei, dass jemand die Daten prüft und pflegt. Auch Legacy-Inhaber könnten ihre Angaben ohne Vertragsabschluss aktualisieren.

Diese Handlungsaufforderung ist nachvollziehbar. Nicht nachvollziehbar im wörtlichen Sinn ist die Berechnung. Der Beitrag enthält weder einen genauen Datenstichtag noch die absolute Größe der Gruppen, eine Rundungsregel oder eine vollständige Verteilung der Statuswerte.

Drei Zähleinheiten stehen nebeneinander

Die 17.000 beziehen sich auf Netze. Die 76 Prozent beziehen sich auf Organisationen. Die jährliche Validierung bezieht sich auf POC-Datensätze.

Eine Organisation kann mehrere Netze halten. Ein Netz kann direkte Ressourcenkontakte sowie indirekte Kontakte über seine Organisation haben. Ein Funktions-POC kann mehreren Datensätzen zugeordnet sein. Die POC-Anleitung unterscheidet Admin, Tech, NOC und Abuse und zeigt damit, dass ein Netz nicht einfach genau einen Kontakt besitzt.

ARINs Data Accuracy Improvement Program definiert wiederum Organisationszustände. Complete verlangt ausgefüllte Pflichtfelder und mindestens einen POC mit erforderlichen Daten. Correct setzt eine geprüfte Organisation und mindestens einen validierten POC voraus. Current verlangt, dass beides innerhalb der vergangenen fünf Jahre bestätigt wurde.

Der Blog sagt nicht, ob seine 11 Prozent diese zusammengesetzte Definition verwenden. Ebenso fehlt die Zahl der Netze, die den Organisationen der Vertragsgruppe zugeordnet sind. Eine intern saubere Methodik ist möglich; öffentlich fehlt ihre Übersetzung.

Ob man Netze mit mindestens einem gültigen direkten oder indirekten POC zählt oder den Anteil gültiger POC-Datensätze bestimmt, sind verschiedene Fragen. Beide Ergebnisse können korrekt sein und trotzdem nicht vergleichbar.

Aus 11 plus 20 entsteht keine Klasse für den Rest

Die Formulierung weitere 20 Prozent spricht dafür, dass unvollständige Kontakte nicht zu den 11 Prozent validierten Kontakten gehören. Legte man den ungefähren Bestand von 17.000 zugrunde, entspräche dies etwa 3.400 und 1.870 Netzen. Das sind Rechenbeispiele, keine von ARIN veröffentlichten absoluten Zahlen.

Zusammen ergeben die beiden Gruppen 31 Prozent. Für die übrigen 69 Prozent liefert der Beitrag keine abschließende Klassifikation.

Die vorherige Aussage bündelt kein POC und nicht verifizierbarer POC in etwa der Hälfte. Sie erklärt nicht, ob unvollständige Einträge ebenfalls in dieser Hälfte liegen, ob Datensätze während der 60-Tage-Frist separat gezählt werden oder wie ein Organisations-POC auf Ressourcenebene wirkt.

Deshalb wäre die Behauptung falsch, 89 Prozent der Legacy-Netze hätten einen ungültigen POC. Nicht aktuell validiert, unvollständig, nicht verifizierbar, ungültig und nicht vorhanden sind verschiedene Zustände. Auch etwa die Hälfte ist keine exakte Zahl von 8.500.

Feststellen lässt sich nur: Die veröffentlichten Klassen schließen die Population nicht. Daraus folgt noch kein Rechenfehler.

Die NRPM-Folge ist klar und begrenzt

Nach der aktuellen NRPM 3.6 überprüft ARIN jährlich Admin-, Tech-, NOC- und Abuse-POCs auf Organisations- und Ressourcenebene. Nach der Benachrichtigung bleiben bis zu 60 Tage, um vollständige und richtige Angaben zu bestätigen oder zu korrigieren.

Ein ungültiger POC darf in ARIN Online nur Zahlungen und Kontaktaktualisierungen bearbeiten. Eine Organisation ohne gültigen POC erhält weitere Funktionen erst zurück, wenn mindestens ein Admin- oder Tech-Kontakt validiert oder korrigiert wurde. Für eine Reallocation oder detaillierte Reassignment muss die empfangende Organisation bereits einen validierten POC besitzen.

Diese Beschränkungen betreffen Konto- und Nachweisfunktionen. Sie machen die Nummernressource nicht ungültig, widerrufen sie nicht und erklären sie nicht für aufgegeben. Der POC-Status beweist allein weder den Betreiber noch wirtschaftliche Kontrolle oder Transferbefugnis.

Auch der Hinweis auf Entführungsversuche ist eine Risikobeschreibung, keine Schadensstatistik. Nicht jeder unverifizierte Eintrag wurde angegriffen, und ein jährlicher Bestätigungsklick ersetzt keine vollständige Prüfung der Verfügungsgewalt.

Der kontrollierte Bericht ist keine öffentliche Zeitreihe

ARIN dokumentiert einen Bericht über Ressourcen ohne gültige POCs. Er enthält Netze und ASNs ohne direkt oder über die Organisation zugeordneten Kontakt sowie Ressourcen, deren zugehörige POCs sämtlich ungültig sind.

Damit zeigt ARIN, dass direkte und indirekte Beziehungen auswertbar sind. Der Bericht umfasst jedoch Netze und ASNs gemeinsam, während der Blog von Legacy-Netzen spricht. Der Zugang setzt einen genehmigten Antrag unter der Bulk-Whois-Richtlinie voraus; eine Weiterverteilung ist untersagt.

Für die fehlende öffentliche Quittung braucht niemand E-Mail-Adressen, Telefonnummern oder einzelne Präfixe. Genügen würden Stichtag, genaue Population, Zähleinheit, direkte oder geerbte Kontakte, Statusdefinitionen, Überschneidungsregel, Zähler, Nenner, Rundung und Änderungshistorie.

Eine Methodennotiz sollte außerdem erklären, ob diese Population mit dem kontrollierten Bericht und den Complete/Correct/Current-Metriken übereinstimmt. Falls nicht, ist die erklärte Nichtvergleichbarkeit selbst wertvolle Information.

Ein schlankes Register braucht präzise Grenzen

ARIN muss nicht jede Gesellschafts- und Eigentumsbeziehung hinter einem Präfix untersuchen. Seine engere Aufgabe besteht darin, einen eindeutigen und nutzbaren Registereintrag zu führen, berechtigte Korrekturen zu ermöglichen und die Beweiskraft eines Status nicht zu überdehnen.

Eine Aggregattabelle stärkt genau diese Rolle. Legacy-Inhaber erkennen, ob ein Kontakt fehlt, unvollständig ist oder nur nicht geantwortet hat. Betreiber unterscheiden Abwesenheit von Validierungsfehlern. Forschende messen Fortschritt ohne Personendaten. ARIN kann Methoden ändern, ohne den alten Ausgangspunkt zu löschen.

Der August-Beitrag hat das Problem sichtbar gemacht. Eine kleine, versionierte Zahlenquittung würde aus der Warnung eine dauerhaft prüfbare institutionelle Aussage machen.

Quellen