Zusammenfassung

  • Das RIPE-NCC validiert abuse-c-Kontakte jährlich auf Zustellbarkeit; ob die gemeldeten Vorfälle gelesen und bearbeitet werden, wird nicht geprüft.
  • Unabhängige Messungen beziffern die Nichtantwortquote von abuse-c-Empfängern auf 85,9 bis 92,8 Prozent.
  • Ein 2019-04-Politikantrag zur Verpflichtung auf konkrete Bearbeitung wurde zurückgezogen; damit blieb das System im Status quo.

Der Mechanismus: Validierung ohne Inhalt

In der RIPE-Region bestimmt das Attribut abuse-c in der Datenbank, wer Missbrauchsmeldungen über Netzressourcen erhält. Die jährliche Ressourcenüberprüfung prüft, ob E-Mails an diese Adresse zugestellt werden können — ein Bounce genügt zur Beanstandung. Ob die eingehenden Meldungen tatsächlich gelesen, eingestuft und bearbeitet werden, liegt außerhalb jeder Verifikation. Das erzeugt eine Kluft zwischen dem, was das System formal sicherstellt (Erreichbarkeit), und dem, was Betroffene von einem Missbrauchskontakt erwarten (Reaktion).

Die Messungen: Wie viele Meldungen bleiben unbeantwortet

Unabhängige akademische und Sicherheitsgemeinde-Messungen geben eine Größenordnung: In longitudinalen Studien antworteten zwischen 85,9 und 92,8 Prozent der angeschriebenen abuse-c-Kontakte nicht. Die Untersuchung der ICIR (USENIX Security 2016, https://www.icir.org/vern/papers/sec16-vuln-notifications.pdf) und die Studie von Cetin und Kollegen (WEIS 2017, https://mkorczynski.com/WEIS2017Cetin.pdf) dokumentieren, dass 85,9 bis 92,8 Prozent der Kontakte ohne Antwort blieben. Die Studien unterscheiden sich in Methodik und Regionenauswahl, sind sich aber in der Größenordnung einig: Die funktionale Verantwortung, die abuse-c auf dem Papier trägt, wird in der Mehrzahl der Fälle nicht eingelöst.

Die Politikgeschichte: Der zurückgezogene Antrag 2019-04

Der Politikantrag 2019-04 (https://www.ripe.net/community/policies/proposals/2019-04/) schlug vor, dass die abuse-mailbox tatsächlich Nachrichten empfangen muss. Der Antrag wurde am 8. September 2020 mangels Konsens zurückgezogen (https://www.ripe.net/community/policies/archived-policy-proposals/); die Kosteneinwände von Nick Hilliard und Erik Bais sind in der Diskussion der Anti-Abuse-WG dokumentiert (https://www.ripe.net/community/policies/proposals/2019-04/), frühere Politikverfahren im Archiv (https://www.ripe.net/community/policies/archived-policy-proposals/). Damit blieb es beim Zustellungscheck als einziger verpflichtender Kontrolle.

Was die RIPE-Dokumente selbst sagen

Das NCC beschreibt auf seiner Missbrauchs-Supportseite (https://www.ripe.net/about-us/support/abuse/), dass Missbrauchsmeldungen an die abuse-c-Adresse des Betreibers gerichtet werden und das NCC einen Betreiber nicht zur Antwort zwingen kann. Die Anforderungen an das Attribut sind auf der abuse-c-Informationsseite dokumentiert (https://www.ripe.net/manage-ips-and-asns/resource-management/abuse-c-information/). RIPE-563 (https://www.ripe.net/publications/docs/ripe-563/) führte das Pflichtattribut ein; die Umsetzung als RIPE-705 (https://www.ripe.net/publications/docs/ripe-705/) beruht auf dem Politikantrag 2017-02 (https://www.ripe.net/community/policies/proposals/2017-02/). Der Implementierungsfortschritt ist im RIPE-Labs-Update dokumentiert (https://labs.ripe.net/author/angela_dallara/abuse-c-validation-update-on-progress-and-some-numbers/), die Zahlen zum Rollout in der RIPE-79-Präsentation (https://ripe79.ripe.net/presentations/102-2017-02-Implementation-Summary_final.pdf). Der Annual Report bildet die institutionelle Ebene ab (https://www.ripe.net/about-us/press-centre/annual-reports), RIPE-855 dokumentiert das Verfahren (https://www.ripe.net/media/documents/ripe-855.pdf), und RIPE-858 das Schließungs- und Deregistrierungsverfahren (https://www.ripe.net/publications/docs/ripe-858/).

Einordnung und Unsicherheit

Die Messungen stammen aus verschiedenen Zeiträumen und Stichproben; die Nichtantwortquote von 85,9 bis 92,8 Prozent ist kein RIPE-spezifischer Verstoß, sondern ein Befund über die Nutzung des Systems. Das NCC selbst hat nie eine eigene systematische Antwortquote veröffentlicht. Wer die Zahlen als Basis für politische Entscheidungen nutzt, sollte daher zwischen nachgewiesener Zustellbarkeit (durch das NCC geprüft) und nachgewiesener Bearbeitung (nirgends geprüft) unterscheiden.