Zusammenfassung

  • Im Entwurf des Protokolls der 195. Vorstandssitzung von RIPE NCC steht eine Reaktion auf den Entzug einer italienischen .org-Domain aus dem DNS nach einer US-Sanktionslistung: Der Geschäftsführer sprach sich für Notfallpläne aus, der Vorstand nahm das Risiko vorerst hin und wollte mögliche Schutzmaßnahmen prüfen.
  • RIPE NCC beschreibt in seinem Finanzbericht ein Verfahren mit Risikobewertung, Behandlungsplänen bei Überschreitung der Risikobereitschaft und halbjährlicher Berichterstattung an den Vorstand. Im öffentlichen Sitzungsabschnitt fehlen für diesen Fall Zuständigkeit, Maßnahme und Wiedervorlagetermin.

„Vorerst“ ist kein Termin

Vorstände können ein Problem anerkennen und zugleich elegant vertagen. Das Wort dafür lautet „vorerst“. Im Entwurf des Protokolls der 195. RIPE-NCC-Vorstandssitzung steht, was danach geschah: Ein Mitglied sprach die US-Einstufung eines italienischen Dienstanbieters und die Entfernung seiner .org-Domain aus dem DNS an. Der Geschäftsführer hielt Notfallpläne für nötig. Der Vorstand verständigte sich darauf, das Risiko vorerst zu akzeptieren und mögliche Sicherungen zu prüfen. Der Satz hat einen Anfang, aber im veröffentlichten Protokoll kein Ablaufdatum.

Die Sitzung fand am 14. und 15. September 2026 statt; am 29. September erschien das Protokoll mit dem Vermerk „Draft“. Die Sache steht unter Verschiedenes, ohne eigene Beschlussnummer. Der öffentliche Absatz nennt weder einen Verantwortlichen noch die Risikoklasse, eine erste Prüfung oder einen Termin zur erneuten Behandlung. Daraus folgt keine Aussage über sämtliche internen Arbeiten. Sichtbar ist immerhin, dass die Abhängigkeit vom Domainbetrieb eines anderen Akteurs im Vorstand angekommen ist.

Auslöser war ein dokumentierter Sanktionsschritt und ein separat berichteter technischer Schritt. Die OFAC-Mitteilung vom 26. August führt Autistici Inventati als neu gelistete Organisation auf und nennt www.autistici.org als Website. Timo Hilbrink berichtete in seinem ursprünglichen Beitrag an die RIPE-DNS-Arbeitsgruppe, dass der .org-Registerbetreiber zwei Tage später serverHold gesetzt habe. Laut ICANNs Erläuterung der EPP-Statuscodes setzt der Registerbetreiber diesen Status; die Domain wird damit nicht im DNS aktiviert. OFAC dokumentiert die Listung, aber keine unmittelbare Anweisung an den Registerbetreiber. Gerade die Trennung der Entscheidungen zeigt, wo eine Abhängigkeit entstehen kann.

Im Programm von RIPE 93 fragt Hilbrink nach der Gefahr für andere große generische Domains und nach Schadensbegrenzung. Sein Beitrag an die Mailingliste formuliert das Beispiel für RIPE NCC: Was wäre, wenn ripe.net selbst serverHold bekäme? Das ist ein Szenario. Die herangezogenen Unterlagen belegen weder eine US-Listung von RIPE NCC noch eine Sperre seiner Domain. Die Vorstandssitzung macht aus der Frage aber eine eigene Aufgabe des Risikomanagements.

Ein Risikoverfahren wartet auf seinen Einzelfall

RIPE NCCs Finanzbericht 2025 beschreibt eine jährliche oder häufigere unternehmensweite Bewertung und Risikoregister für die Abteilungen. Risiken außerhalb der beschlossenen Risikobereitschaft erhalten Behandlungspläne. Ein Governance-Ausschuss kontrolliert deren Fortschritt regelmäßig; der Vorstand erhält zweimal jährlich einen Bericht. Seit Dezember 2025 gilt für Betriebs- und Compliance-Risiken eine vorsichtige, für strategische Risiken eine ausgewogene Risikobereitschaft. Sanktionen und unterschiedliche Rechtsräume nennt der Bericht ausdrücklich als Belastungen für Verträge, Dienste und Kontinuität.

Eine Domainabhängigkeit kann in mehrere dieser Spalten fallen. Der September-Abschnitt verrät nicht, welcher Kategorie der Vorstand sie zugeordnet hat. Ebenso offen bleibt, ob das „Akzeptieren“ eine Bewertung innerhalb der Risikobereitschaft oder eine Zwischenentscheidung bis zur Behandlung meint. Die Begriffe im Jahresbericht sind präzise; der konkrete Vorgang ist im öffentlichen Protokoll noch nicht mit ihnen verbunden.

Ein Notfallplan könnte Dienste mit gleicher Domain erfassen, alternative Zugangswege testen, Mitteilungen an Mitglieder vorbereiten oder Wiederanlaufzeiten messen. Solche Schritte sind denkbare Kontrollen, keine belegten Zusagen aus dem Sitzungsprotokoll. Eine öffentliche Angabe zu Zuständigkeit, Prüfschritt und Monat der Wiedervorlage ließe sich machen, ohne Sicherheitsdetails offenzulegen.

Mitglieder-Sanktionsprüfungen sind ein anderer Vorgang. RIPE NCC berichtet über laufende Sorgfaltsprüfungen und automatisierte Kontrollen bei Mitgliedern und Lieferanten. Dort bedient die Organisation ihre eigene Schranke. Beim Domainstatus liegt der technische Hebel bei einem externen Register. Wer beides nur „Sanktionsrisiko“ nennt, übersieht den entscheidenden Unterschied in der Kontrolle.

Originalunterlagen