Zusammenfassung

  • Am 30. September 2026 waren bei ARIN 9.673 Organisationen für RPKI registriert; ein Jahr zuvor waren es 7.612. Im Hosted-Dienst standen ungefähr 1.195 Organisationen weiterhin ohne ROA da.
  • Eine Anmeldung und ein Ressourcenzertifikat legen weder Ursprung-AS noch Präfix und maximale Präfixlänge fest. Erst die signierte ROA liefert diese Aussage; Veröffentlichung und Abgleich mit beobachteten Routen folgen.
  • ARIN nennt 94 Prozent RPKI-fähige zugeteilte IPv4-Blöcke und 59,4 Prozent RPKI-Valid bei den im Internet angekündigten registrierten Blöcken. Die Angaben haben verschiedene Grundgesamtheiten.

Wer nur die Anmeldekurve sieht, sieht den bequemsten Teil der Arbeit. In ARINs Routing Security Update zur ARIN 58 stieg die Zahl der für RPKI registrierten Organisationen von 7.612 im dritten Quartal 2025 über 8.140, 8.602 und 9.106 auf 9.673 im dritten Quartal 2026. Die Steigerung beträgt 27 Prozent binnen eines Jahres. Dieselbe Folie zeigt etwa 8.300 Organisationen im Hosted-Dienst mit ROAs und rund 1.195 ohne eine einzige. ARIN fasst die zweite Gruppe als ungefähr jede siebte Hosted-Organisation zusammen. Datenstand: 30. September 2026.

Es wäre verführerisch, aus beiden Seiten eine Gesamtrate zu rechnen. Dafür fehlt die gemeinsame Basis. Die 9.673 stehen für RPKI-Registrierungen; „jede siebte“ bezieht sich auf Hosted RPKI. Daneben gibt es bei ARIN Delegated RPKI und einen Dienst zur Repository-Veröffentlichung. Die gerundeten Hosted-Werte ergeben auch zusammen nicht exakt 9.673. Der Versuch, aus 1.195 geteilt durch 9.673 eine präzise Ausfallquote aller RPKI-Teilnehmer zu machen, würde eine Statistik erfinden. ARINs eigene Folie sagt etwas Konkreteres: Eine messbare Gruppe hat den Dienst betreten und noch keine signierte Ursprungserklärung hinterlegt.

Diese Erklärung ist das technische Arbeitsstück. Nach ARINs ROA-Dokumentation gibt eine Route Origin Authorization an, welche autonome Systemnummer ein bestimmtes IP-Präfix oder eine Gruppe von Präfixen als Ursprung ankündigen darf. Der Inhaber wählt Ursprung-AS, Präfix und maximale Länge. Aus dem letzten Feld folgt, welche spezifischeren Routen gedeckt sind. ARINs Best-Practice-Anleitung nennt den Fall eines /16-Aggregats, während tatsächlich /24-Routen angekündigt werden: Fehlt die passende Abdeckung, können diese Ankündigungen Invalid werden. Eine freigeschaltete Benutzeroberfläche trifft diese Entscheidung nicht.

Hosted RPKI nimmt dem Kunden den Betrieb von Zertifizierungsstelle und Repository ab. ARIN betreibt beides und veröffentlicht die Objekte. Die Übersicht der Bereitstellungsmodelle beschreibt auch Delegated RPKI, bei dem der Ressourceninhaber die kryptografische Kontrolle behält, und ARINs Veröffentlichungsdienst für Betreiber, die das Repository nicht selbst unterhalten möchten. Die Hosted-Variante erleichtert also den Maschinenraum. Sie kennt nicht automatisch den geplanten Ursprung jeder Kundenroute. Ein Zertifikat ohne ROA ist deshalb ein klarer Betriebszustand, selbst wenn die Kontoeinrichtung reibungslos verlief.

Für eine Führungsebene zählt, welche Quittung der Fortschrittsbericht vorlegt. Ein Vertrag kann die Ressourcen RPKI-fähig machen. Die Registrierung erschließt den Dienst. Das Zertifikat definiert den gedeckten Ressourcenbereich. Die ROA bezeichnet den erlaubten Ursprung. Das Repository stellt sie bereit. Ein Validator sieht die Signatur und vergleicht sie mit beobachteten BGP-Ankündigungen. Ein Netzbetreiber muss schließlich entscheiden, wie er das Ergebnis nutzt. Sieben Schritte, sieben mögliche Bruchstellen. Die 9.673 belegen einen Teil der Zugangsgeschichte. Die ungefähr 1.195 benennen eine Lücke vor Schritt vier.

Eine weitere ARIN-Folie demonstriert dieselbe Disziplin bei Prozentzahlen. 94 Prozent der von ARIN zugeteilten IPv4-Blöcke sind für RPKI geeignet, weil eine ARIN-Vereinbarung sie deckt. 59,4 Prozent der bei ARIN registrierten IPv4-Blöcke, die in Internet-Ankündigungen auftauchen, sind RPKI Valid. Im ersten Satz geht es um zugeteilte Blöcke, im zweiten um angekündigte. Die Grafik nennt 1.646 Millionen zugeteilte IPv4-Adressen, 1.548 Millionen unter Vereinbarung und 920 Millionen Valid. Wer von 94 einfach 59,4 abzieht, erhält keine Kennzahl für Organisationen ohne ROA. Er verrechnet zwei Mengen, die auf verschiedenen Stufen beginnen.

ARIN legt zu den rund 1.195 Hosted-Organisationen keine Tabelle mit Dauer des Null-ROA-Zustands, angekündigten Präfixen und Gründen vor. Mit einer solchen Tabelle ließen sich frische Registrierungen, Konten ohne zu autorisierende Route und stecken gebliebene Rollouts unterscheiden. Bis dahin bleibt die veröffentlichte Feststellung eindeutig: Der Dienst kann wachsen, während seine zentrale signierte Aussage bei einem Teil der Nutzer ausbleibt.

Die offizielle ARIN-58-Materialseite nennt Brad Gorman, Director of Customer Technical Services, als Vortragenden. Das Register selbst hat die beiden Zahlen nebeneinandergestellt. Betreiber können den eigenen Fall im öffentlichen Repository, im Validator und in den Routen prüfen. Vorstände sollten diese Belege verlangen, ehe sie die Anmeldekurve als Sicherheitsgewinn buchen. Die Karte für den Zugang ist noch keine Erlaubnis für den Weg.