Zusammenfassung

  • Der Entwurf bestimmt Meldeberechtigte, Nachweise, 14 kumulierte Tage in einem 30-Tage-Fenster, eine formelle Benachrichtigung und sieben Arbeitstage für Abhilfe.
  • Er befindet sich noch in der Diskussion. Die konkreten Zwischenmaßnahmen sollen erst in einem separaten RIPE-Dokument festgelegt werden.

Ein Verfahren ist nicht vollständig, wenn es nur präzise beschreibt, wie ein Fall beginnt.

RIPE NCC veröffentlichte den Vorschlag 2026-02 am 13. Oktober 2026; zuständig ist die RIPE-Sicherheitsarbeitsgruppe. Er richtet sich gegen anhaltende bösartige Aktivitäten auf Infrastrukturebene: DDoS-Kommando- und Kontrollstrukturen, systematische Malware-Verteilung, Phishing-Hosting-Netze und automatisierte Spam-Botnet-Infrastruktur. Wohn- und dynamische Anschlussbereiche sind ausgenommen. Der Entwurf unterscheidet solche systemischen Strukturen von einem einzelnen kompromittierten Endgerät. Die Diskussion läuft bis zum 11. November. Es handelt sich nicht um eine bereits geltende Richtlinie. (Vorschlag 2026-02; aktuelle Vorschläge)

Eine Beschwerde oder ein einmaliger Listeneintrag soll nicht genügen. Ein betroffener Netzbetreiber oder ein nationales CERT könnte ein Support-Ticket bei RIPE NCC eröffnen. Beizufügen wären automatisierte Telemetriedaten aus einer zugelassenen Infrastrukturliste sowie Zeitstempel oder kryptografisch signierte Belege für einen anhaltenden Eintrag. Der vorgeschlagene Auslöser: Eine IP-Adresse in einem von RIPE NCC zugeteilten oder vergebenen Block steht innerhalb eines rollierenden 30-Tage-Zeitraums insgesamt 14 Tage auf einer zugelassenen Liste.

Die Sicherheitsarbeitsgruppe soll Bedrohungskategorien jährlich prüfen und das Listenregister im Konsens führen. Die Listen müssten objektive automatisierte Messdaten verwenden, ein öffentliches Archiv führen und Wohn- sowie dynamische Anschlussbereiche ausschließen.

So soll aus einem unsicheren Signal eine nachvollziehbare Verwaltungsschwelle werden. Doch für die Berechnung braucht es weitere Regeln. Wie lassen sich Messwerte unterschiedlicher Netze vergleichen? Beginnt der Zähler neu, wenn ein Eintrag entfernt und später wieder aufgenommen wird? Wie zählen Tage ohne Messung? Zeitstempel und Archiv erleichtern die Rekonstruktion, entscheiden aber nicht, welches Gewicht widersprüchliche Belege erhalten.

Die Benachrichtigung ist genauer geregelt. RIPE NCC würde eine formelle Abhilfemitteilung mit nachverfolgter elektronischer Zustellung und Lesebestätigung an die rechtlichen, administrativen und abrechnungsbezogenen Kontakte aus dem unterzeichneten Standard-Servicevertrag senden. Sind mehrere LIR-Konten desselben Mitglieds betroffen, erhielten alle zugehörigen Kontakte eine Kopie. Ab bestätigter Zustellung hätte der Inhaber sieben Arbeitstage Zeit: Die betroffenen Präfixe müssten von den zugelassenen Listen verschwinden oder der Inhaber müsste eine überprüfte administrative Maßnahme zu ihrer Isolierung ergreifen.

Die Frist beginnt damit nicht zwingend bei der ersten Beobachtung. Ihr Start hängt vom bestätigten Zugang bei den benannten Kontakten ab. Betreiber müssen diese Angaben aktuell halten und die Mitteilung intern schnell eskalieren. RIPE NCC müsste im Vorgang zwischen fehlgeschlagener Zustellung und einer zugestellten, aber unbeantworteten Nachricht unterscheiden. Ohne Beleg dazu, wer wann informiert wurde und welche Nachweise die Frist auslösten, lässt sich eine spätere Beschränkung kaum prüfen.

Am wenigsten bestimmt ist der nächste Schritt: „verhältnismäßige administrative Zwischenmaßnahmen“, zugeschnitten auf die Registerarchitektur des Inhabers. Der Entwurf sieht einen öffentlichen Status „nicht konform“ in der RIPE Database vor. Zuteilungen sollen bestehen bleiben, benachbarte nachgelagerte Netze nicht sofort getrennt werden. Welche Maßnahmen zulässig wären, steht aber nicht im Vorschlag. Dessen Begründung sagt selbst, dass die praktische Wirksamkeit von starken, klar definierten und in einem separaten RIPE-Dokument festgeschriebenen Beschränkungen abhängt.

Diese Abhängigkeit ist zentral. Die Schwelle sagt nicht, welche Funktion beschränkt werden darf, wie die Maßnahme auf die betroffenen Ressourcen begrenzt wird oder wie benachbarte Kunden geschützt werden. „Verhältnismäßig“ ist ein Maßstab, aber ohne begrenzten Maßnahmenkatalog und Auswahlregel noch keine reproduzierbare Entscheidung. Zwischenmaßnahmen sind zudem von bestehenden Verfahren für Sperrung, Löschung oder Vertragsbeendigung zu trennen. RIPE-732 ist der veröffentlichte Standard-Servicevertrag; RIPE-858 behandelt LIR-Schließung und die Löschung von Ressourcen. Der Vorschlag behauptet nicht, eines der Dokumente zu ersetzen. (RIPE-732; RIPE-858)

Der Weg zurück ist auf dem Papier eindeutiger. RIPE NCC soll die Beschränkung und den öffentlichen Status binnen eines Arbeitstags aufheben, sobald die Abhilfe bestätigt ist. Als Test nennt der Entwurf die Entfernung von der zugelassenen Liste oder – bei RPKI – das Löschen des betreffenden ROA. Für die Wiederherstellung müsste das Personal keinen Datenverkehr bewerten. Das begrenzt subjektive Einschätzungen, macht aber Liste und Register am Anfang und Ende des Verfahrens ausschlaggebend.

Ein veralteter Eintrag, ein umstrittenes Löschen oder eine falsch zugeordnete ROA könnten Registerstatus und tatsächlichen Netzzustand auseinanderlaufen lassen.

Die geltende Regel für Abuse-Kontakte zeigt den Unterschied. RIPE-705 verlangt ein abuse-c-Attribut und mindestens jährliche Validierung des Postfachs; bei fehlerhaften Angaben ist eine Nachverfolgung vorgesehen. Das prüft die Erreichbarkeit eines Kontaktkanals, nicht den Auslöser, die Beschränkungen oder die Wiederherstellung aus dem neuen Entwurf. (RIPE-705)

In der Diskussion sollte deshalb der gesamte Vorgang geprüft werden, nicht nur die Zahl von 14 Tagen innerhalb von 30. Ein Inhaber sollte Beobachtungen, Listenversion, Berechnung, Zustellnachweis, Abhilfe, gewählte Maßnahme und Aufhebungskriterium einsehen können. Nötig sind außerdem ein Weg zur Korrektur falscher Einträge, ein Verfahren für widersprüchliche Daten und ein zeitgestempelter Wiederherstellungsbeleg. Diese Sicherungen nehmen die Entscheidung über eine Annahme nicht vorweg. Sie machen sie nachvollziehbar, falls die Community zustimmt.

Die institutionelle Frage lautet nicht nur, ob RIPE NCC auf Missbrauchssignale reagieren soll. Es geht darum, ob ein gemeinschaftlich definierter Hinweis in vertraglich gebundene administrative Folgen übersetzt werden soll – und wo deren Grenzen liegen. Der Auslöser kann präzise, die Maßnahme trotzdem ermessensabhängig sein. Vorschlag 2026-02 legt diese Asymmetrie vor einer Annahme offen. Die Diskussion kann noch einen überprüfbaren Maßnahmenkatalog und einen ebenso prüfbaren Rückweg schaffen. Verfahrensquellen: RIPE Policy Development Process (RIPE-781) und offizielles Archiv der Vorschlagsankündigungen.