Zusammenfassung

  • ARIN meldete zum 30. September 2026 9.673 RPKI-Organisationen, 27 Prozent mehr als im Vorjahr; ungefähr jeder siebte Hosted-Teilnehmer hatte noch kein ROA erstellt.
  • Die Anmeldung öffnet den Dienst. Ein signiertes ROA nennt Ursprungs-AS, Präfix und maximale Präfixlänge; Abdeckung und Validierung folgen erst danach.

Der Zugang ist eingerichtet. Die Freigabe noch nicht.

Ein Dashboard kann „registriert“ anzeigen, obwohl das Internet noch keinen Auftrag erhalten hat, welches AS welches Präfix ankündigen darf. Genau diese Lücke steckt in ARINs glänzender Wachstumszahl.

Auf der ARIN 58 meldete das Register 9.673 RPKI-Organisationen zum 30. September und ein Jahreswachstum von 27 Prozent. Direkt danach kam der Satz, der neben die Überschrift gehört: Rund jede siebte Organisation mit Hosted RPKI hatte kein einziges Route Origin Authorization erstellt. Die Anmeldezahlen steigen; ein erheblicher Teil der Hosted-Gruppe hat den Schritt zu einer konkreten Aussage über eine Route noch nicht gemacht.

Die Reihe wächst seit Jahren. ARINs Jahresbericht 2025 zählte zum 31. Dezember 8.140 registrierte Organisationen, 98 Prozent davon nutzten Hosted RPKI. Im Jahr 2025 kamen 1.839 Registrierungen hinzu – mehr als in jedem Jahr der Reihe von 2021 bis 2024. Im April 2026 meldete ARIN 57 insgesamt 8.403 Organisationen und rund 15 Prozent registrierte Organisationen ohne ROA. Ende September waren es 9.673.

Das misst die Zahl der Organisationen am Eingang des Dienstes. Es zeigt nicht, welcher Anteil der angekündigten Ressourcen ein ROA besitzt, das zum tatsächlich verwendeten Ursprung passt. Zudem verwenden die Zusammenfassungen von April und Oktober unterschiedliche Nenner: „registrierte Organisationen“ im April, „Hosted-RPKI-Organisationen“ im Oktober. ARIN nennt für die Oktoberquote weder Zähler noch exakten Nenner. Aus „ungefähr jede siebte“ lässt sich keine präzise Personenzahl ableiten; die beiden Stichtage belegen auch keinen Rückgang der Quote.

Ein ROA ist eine Routenanweisung, kein Anmeldeabzeichen

RPKI beginnt mit einem Ressourcenzertifikat. Im Hosted-Modell betreibt ARIN die Zertifizierungsstelle; die Organisation hinterlegt ihre Routing-Angaben in ARIN Online. Das ROA enthält drei Angaben: Ursprungs-AS, IP-Präfix und maximale Präfixlänge. Es autorisiert dieses AS, den Block innerhalb dieser Grenzen zu annoncieren.

Die Registrierung erledigt diese Arbeit nicht. Sie bringt die Organisation ins Dashboard und ermöglicht den Zertifikatsantrag. Danach muss jemand die Präfixe bestimmen, ein oder mehrere Ursprungs-AS auswählen, die maximale Länge setzen, die Angaben prüfen und das ROA absenden. ARIN veröffentlicht sein Repository alle fünf Minuten. Laut ARIN-FAQ dauert es üblicherweise 30 bis 60 Minuten, bis ein neu erzeugtes ROA Routingentscheidungen im restlichen System beeinflusst.

Hosted nimmt den Teil ab, der im Betrieb besonders schwer wiegt: ARIN betreibt Zertifizierungsstelle und Repository. Die Auswahl des Routenursprungs übernimmt ARIN nicht. Welche AS-Nummer welches Präfix ankündigen soll, weiß das Netzwerk selbst. Ein Hosted-Konto ohne ROA ist deshalb eine Anmeldung ohne veröffentlichte Herkunftserklärung.

Danach kommen die Validatoren ins Spiel. Ein Relying Party ruft das Repository ab und prüft die Objekte. Netze können diese Ergebnisse in ihre Routingentscheidungen einbeziehen. Das öffentliche System verarbeitet signierte Objekte, keine Zahl von Portal-Konten.

Auch der Nenner hat eine Topologie

„Jede siebte Organisation“ ist ein guter Warnhinweis, beantwortet aber keine Betriebsfrage. Wie viele Adressen liegen hinter diesen Konten? Wie viele ihrer Präfixe werden angekündigt? Wie viele Ressourcen hängen von einem Upstream-Anbieter ab?

ARINs Teilnahmebedingungen machen den Unterschied konkret. Hosted RPKI richtet sich an direkte Ressourceninhaber. Nachgelagerte Organisationen können ihnen neu zugewiesene oder weiterverteilte Ressourcen nicht einfach in ihr eigenes Zertifikat aufnehmen; der Upstream muss die ROAs für sie einreichen. Eine Organisationszählung verrät also nicht, ob ein Konto ohne ROA einen angekündigten Block besitzt, ungenutzte Ressourcen hält oder auf die Freigabe durch seinen Anbieter wartet.

ARIN veröffentlicht bereits Kennzahlen, die näher am Ergebnis liegen. Im April 2026 meldete die Organisation, dass ROAs 50 Prozent der RPKI-berechtigten IPv4-Blöcke in der Region abdeckten; 54 Prozent der bei ARIN registrierten IPv4-Blöcke, die in Internet-Ankündigungen sichtbar waren, waren RPKI Valid. Das sind Antworten auf zwei verschiedene Fragen: Abdeckung berechtigter Ressourcen und Validierung beobachteter Ankündigungen. Eine Anmeldezahl kann beide nicht vertreten.

Ein brauchbares Adoptions-Dashboard würde die Schritte nach dem Konto abbilden: Zertifikat erstellt, erstes ROA angelegt, berechtigtes Präfix abgedeckt, angekündigtes Präfix wie erwartet validiert. Jede Stufe hat ihren Nenner und zeigt, wo die Arbeit stockt.

Die Adoption beginnt nach dem Begrüßungsbildschirm

ARIN bezeichnet RPKI als freiwilligen Dienst. Zugleich berichtet das FAQ, dass immer mehr Anbieter ROAs verlangen, bevor sie Geschäftsvereinbarungen abschließen. Die Organisation entscheidet weiterhin über die Teilnahme; die Geschäftsbeziehung kann den Zeitplan setzen.

Mit dem ersten ROA ist die Pflege nicht erledigt. Präfixe ändern sich, Netze fügen Ursprünge hinzu und Ressourcen werden übertragen. Bei einer Übertragung entfernt ARIN laut eigener Dokumentation die übertragenen Ressourcen und ihre ROAs aus dem bisherigen Zertifikat. Hosted-Zertifikate werden automatisch erneuert; ROAs ebenfalls, alle 90 Tage. Eine Verlängerung hält eine bestehende Autorisierung am Leben. Sie errät nicht, dass ein neues Präfix freigegeben oder ein geänderter Ursprung eingetragen werden muss.

Die aussagekräftigste Adoptionskennzahl ist daher nicht die Zahl der Konten. Sie ist der Anteil angekündigter, berechtigter Ressourcen, deren aktuelle ROAs zu dem vom Betreiber vorgesehenen Ursprung und zur Präfixlänge passen. Dazu gehören Nenner, Beobachtungsdatum und der Umgang mit nachgelagerten Zuweisungen. Sonst zählt „Adoption“ die Besucher am Eingang, nicht die erledigte Arbeit im Gebäude.

ARIN hat den ersten Schritt einfach genug gemacht, um fast zehntausend Organisationen zu gewinnen. Die eigenen Zahlen legen nun die nächste Produktfrage offen: Wie viele Konten erreichen das erste ROA, und welchen Anteil des angekündigten Adressraums decken diese Freigaben ab? Die Antwort würde aus einem Anmelderekord eine Betriebskennzahl machen – und dem nächsten RPKI-Bericht eine bessere Zahl zum Feiern geben.

Primärquellen: ARIN 58, Rückblick auf Tag zwei · ARIN 57, Rückblick auf Tag zwei · ARIN-Jahresbericht 2025 · ARIN-Leitfaden zu Hosted RPKI · ARIN-Leitfaden zu ROAs · ARIN-FAQ zu RPKI · ARIN-Informationen zu RPKI.