Zusammenfassung

  • Die Umfragen zu LACNIC 42 und LACNIC 43 zeigen: 48 beziehungsweise 80 Prozent der Personen, die das zweite Befragungsmodul beantworteten, gaben an, am Labor für sichere Routen und Herkunftsvalidierung teilgenommen zu haben. Die Berichte nennen die Zahl der Antworten auf genau diese Frage nicht neben den Prozentwerten.
  • Für LACNIC 46 ist vorgesehen, BGP-Ankündigungen zunächst manuell zu prüfen und anschließend RPKI-Automatisierung und Filter vorzustellen. Das ist ein geplantes Training, kein Nachweis für einen Abschluss oder eine Änderung in einem Produktivnetz.

Analyse

Ein Prozentwert mit enger Grundgesamtheit

Im Zufriedenheitsbericht zu LACNIC 42 steht das Labor für sichere Routen und Herkunftsvalidierung in der Gesamtspalte bei 48 Prozent. Im Bericht zu LACNIC 43 sind es 80 Prozent; dort heißt es, das Labor habe unter den untersuchten Gruppen die meisten Teilnehmenden der angebotenen Tutorials angezogen. In beiden Fällen bezieht sich die Frage auf Personen, die das zweite Befragungsmodul beantwortet haben. Insgesamt nennen die Berichte 373 beziehungsweise 504 Fälle, doch die genaue Zahl der Antworten auf diese Tutorialfrage steht nicht neben der Grafik.

Die Werte messen daher die selbst berichtete Teilnahme innerhalb einer Teilgruppe. Sie sind weder der Anteil aller Registrierten noch der Netzbetreiber in der Region oder der Produktivnetze, die Routen mit RPKI filtern. Auch bilden 48 und 80 Prozent keine zweijährige Einführungskurve. Die Veranstaltungen hatten unterschiedliche Stichproben und Programme, und die Umfragen verfolgen weder dieselben Personen noch dieselben Netze. Belastbar ist nur die engere Aussage: Unter den Antwortenden des betreffenden Moduls war die Teilnahme am Labor verbreitet.

Eine Kontrollkette ist noch kein Einführungsnachweis

Im April 2025 beschrieb LACNIC das Labor von LACNIC 43 als simulierte Umgebung, in der Teilnehmende RPKI-Validatoren konfigurieren, Filterrichtlinien anwenden und verbundene Abläufe mit Ansible automatisieren konnten. Die Vorschau auf die Agenda im Oktober 2026 beschreibt eine verwandte Übung in anderer Reihenfolge: erst BGP-Ankündigungen manuell beobachten, dann Automatisierungswerkzeuge für die RPKI-Konfiguration und Filter zur möglichen Angriffsminderung kennenlernen. Die Veranstaltungs-API führt die Sitzung am Montag, dem 19. Oktober, während LACNIC 46. Zum Recherchezeitpunkt hat die Veranstaltung noch nicht stattgefunden.

Die Reihenfolge ist relevant, denn Routingsicherheit ist kein einzelner Schalter. Ein Betreiber beobachtet eine Ankündigung, vergleicht ihren Ursprung mit validierten Präfixautorisierungen und entscheidet, wie die lokale Richtlinie mit dem Ergebnis umgeht. RFC 6811 unterscheidet die Zustände Valid, Invalid und NotFound für die Herkunftsvalidierung. Die Validierung installiert nicht selbstständig einen Filter. Sie bestätigt auch nicht jedes autonome System auf einem Pfad und verhindert nicht alle Route-Leaks. Die Wirkung hängt davon ab, welche Routerrichtlinie in welchem Betriebskontext greift.

Ein virtuelles Labor kann diese Kette vermitteln, ohne ein laufendes Netz einem Experiment auszusetzen. Es kann erwartete und beobachtete Zustände vergleichen, eine Richtlinie testen und prüfen, ob ein automatisierter Schritt die vorgesehene Konfiguration verändert. Doch eine angekündigte Sitzung, eine erfolgreiche Simulation und eine dauerhaft betriebene Kontrolle sind verschiedene Ergebnisse. Die öffentliche Vorschau beschreibt nur das erste.

Welche Verbindung öffentlich fehlt

Die Zufriedenheitsumfragen fragen, welche Tutorials besucht wurden. Sie geben Hinweise auf Reichweite und erklärtes Interesse. Die veröffentlichten Tabellen zeigen jedoch nicht, ob jede Person alle Laborschritte abgeschlossen, das Gelernte behalten, später eine Kontrolle im eigenen Netz eingeführt oder eine Produktionsänderung unabhängig überprüfen lassen hat.

Aus dieser Lücke folgt nicht, dass LACNIC intern nichts bewertet, das Labor gescheitert ist oder niemand etwas umgesetzt hat. Sie beschreibt nur die hier geprüfte öffentliche Dokumentation. Ohne sichtbaren Nenner und Nachmessung lassen sich Interesse und Abschluss nicht trennen, ebenso wenig Abschluss und Einführung. Auch eine spätere RPKI- oder BGP-Beobachtung würde für sich genommen nicht beweisen, dass das Training die Änderung ausgelöst hat.

Ein Ergebnisnachweis kann vier Stufen trennen

Der nächste öffentliche Nachweis muss nicht umfangreich sein. Für die Übung könnte LACNIC die Versionen des Labors und seiner Werkzeuge, die Testankündigungen und erwarteten Validierungszustände, die verlangten Richtlinien- und Filteraktionen sowie die Zahlen abgeschlossener Schritte, Fehler und getesteter Rücksetzungen veröffentlichen. Jede Zahl braucht ihren eigenen Nenner. Dann bedeutet „Teilnehmende richteten einen Filter in der Simulation ein“ genau dies und nicht, dass Netze in der Region ihn übernommen haben.

Eine getrennte, freiwillige Nachbefragung könnte ermitteln, ob jemand eine Kontrolle für ein laufendes Netz angepasst hat, wann dies geschah und welche Belege die Antwort stützen. Der Bericht sollte die Zahl der kontaktierten Personen, Antworten und Grenzen der Selbstselektion nennen. Vertrauliche Konfigurationen müssen nicht erhoben werden; eine öffentlich sichtbare Routenänderung sollte keiner bestimmten Person zugeschrieben werden. Öffentliche Beobachtungen zeigen, was ein Netz ankündigt, nicht warum es geändert wurde.

Eine solche Bewertung wäre aussagekräftiger als die Teilnahmezahl allein und ließe die Zuständigkeiten klar. LACNIC kann die eigene Übung dokumentieren. Jeder Betreiber behält die Kontrolle über seine Produktivkonfiguration. Ein besserer Nachweis würde zeigen, was das Labor lehrt und wofür sich Teilnehmende entscheiden, ohne zu behaupten, ein Kurs könne eine ganze Region absichern.

LACNIC 46 bietet die Gelegenheit, diese Unterscheidung vor Beginn der Sitzung zu verankern. Der geplante Übergang von manueller Prüfung zu Automatisierung ist konkret genug, um als Test dokumentiert zu werden. Die nächste öffentliche Zahl sollte sagen, ob der Test abgeschlossen wurde, wo Fehler auftraten und ob jemand später freiwillig eine betriebliche Nutzung meldete. Ein voller Raum ist kein Sicherheitsergebnis.

Quellen