Zusammenfassung

  • APNICs bestehende Richtlinie prüft, ob ein IRT-Kontakt erreichbar ist. Prop-171 fragt nach einem anderen Nachweis: Erreicht eine Meldung nach der Weitergabe von Ressourcen auch diejenigen, die sie untersuchen können?
  • Die APNIC 62 verwies den Vorschlag ohne Konsens zurück an die Mailingliste. Definition und Nachweis eines „zuverlässigen operativen Pfads“ sowie die Prüffunktion des Sekretariats bleiben offen.

Eine zugestellte Nachricht kann am falschen Ende landen

Eine E-Mail kann zugestellt und sogar bestätigt werden, obwohl der Empfänger keinen Zugang zum betroffenen Netz, keine Befugnis für eine Änderung und keinen festgelegten Weg zum Downstream-Betreiber hat. Im Register wirkt der Kontakt funktionsfähig. In der betrieblichen Verantwortungskette kann die Meldung dennoch steckenbleiben.

APNIC prop-171, „Operational Accountability for Abuse Contacts in Sub-Allocated Address Space“, setzt genau dort an. APNIC-127 verlangt ein Incident-Response-Team-Objekt (IRT) für jeden Ressourceneintrag und lässt den angegebenen Kontakt regelmäßig validieren. Eine Antwort auf die Validierung belegt die Erreichbarkeit einer Adresse. Sie belegt nicht, dass eine dort eingehende Meldung die Organisation erreicht, die den betroffenen Kunden, das Präfix, den Router oder den Dienst untersuchen kann.

Das Problem entsteht, wenn ein Inhaber Adressraum oder Konnektivität an eine andere Organisation weitergibt. Der Upstream-Anbieter kann den Registereintrag und eine zentrale Abuse-Stelle verwalten, während die Downstream-Organisation das Netz selbst betreibt. Dazwischen können weitere Vermittler liegen. Das öffentliche Register ist ein nützlicher Einstieg, zeigt aber nicht automatisch, was hinter dieser Schwelle geschieht.

Die Antragsteller führen operative Daten an und behaupten, ein erheblicher Anteil bestimmter APNIC-Meldungen über nicht antwortende oder nicht funktionsfähige IRT-Kontakte betreffe suballokierten Adressraum. Der Vorschlag nennt weder Fallzahlen noch Nenner, Zeitraum, Stichprobenmethode oder unabhängig überprüfbare Daten. Diese Aussage ist den Antragstellern zuzuschreiben. Sie ist keine quantifizierte Feststellung über die Region oder sämtliche Abuse-Meldungen.

Was der Vorschlag ändern würde – und was nicht

Der vorgeschlagene Grundsatz lautet: Nutzt eine Downstream-Organisation die Ressourcen, soll der Upstream-Inhaber einen zuverlässigen operativen Pfad vom registrierten Abuse-/IRT-Kontakt bis zu der Stelle sicherstellen, die Meldungen zu diesem Adressraum bearbeitet. Ein bestimmtes Organisationsmodell schreibt der Text nicht vor. Der Downstream-Betreiber kann den Kontakt selbst betreiben; ein zentraler Upstream-Schreibtisch kann den Kunden ermitteln und weiterleiten; ein anderer Aufbau kann ebenfalls funktionieren, sofern berechtigte Meldungen ohne unangemessene Verzögerung die zuständige Stelle erreichen.

Diese Offenheit ist sinnvoll. Hosting, Großhandel, Unternehmensnetze und Managed Services verteilen Zuständigkeiten unterschiedlich. Prop-171 verlangt auch nicht, sämtliche Kontakte von Downstream-Kunden öffentlich zu machen. Ein Sicherheitsteam kann auffindbar sein, ohne persönliche E-Mail-Adressen oder interne Eskalationspläne offenzulegen.

Der Text soll weder das bestehende Validierungsintervall ändern noch neue Audits oder Compliance-Mechanismen schaffen. APNIC würde nicht zur Abuse-Ermittlungsstelle, und das Sekretariat erhielte keine neuen Durchsetzungsbefugnisse. Doch diese Abgrenzungen beantworten nicht, wie der Pfad nachgewiesen wird. Wenn APNIC weder Meldungsinhalte prüft noch Betreiber auditiert, woran kann der Upstream-Inhaber Zuverlässigkeit festmachen? Ein kontrollierter Test vom Postfach bis zum Team, ein Eskalationsprotokoll, eine Empfangsbestätigung oder eine dokumentierte Zuständigkeitszuweisung wären mögliche Belege.

Sie unterscheiden sich bei Kosten, Datenschutz und dem Risiko bloß formaler Erfüllung. Ein Kontaktfeld zeigt den nächsten Schritt nicht.

Die Bewertung des Sekretariats benennt die Definitionslücke

Die Folgenabschätzung des Sekretariats sieht das Kernproblem nicht in einer Änderung des Whois-Schemas. Es fehlen eine Definition des „zuverlässigen operativen Pfads“ und ein Verfahren, ihn festzulegen oder zu prüfen. Auch eine Mindestgröße für eine Unterdelegation fehlt. In einem großen Unternehmen können viele kleine Netzsegmente unterschiedlichen Betreibern und Kontakten zugeordnet sein; für eine Adresse können mehrere Kontakte infrage kommen. Je kleinteiliger die Pflicht wird, desto genauer muss beschrieben sein, was der Upstream-Inhaber vorhält.

Die Bewertung hebt zwei Spannungen hervor. Erstens deckt die bestehende Richtlinie möglicherweise bereits manche Fälle ab: Ein Inhaber kann kundenspezifische IRT-Objekte einrichten oder sein eigenes IRT verwenden, wenn er weiterhin verantwortlich ist. Prop-125 belässt die Validierungsverantwortung beim Upstream-Inhaber, wenn ein Downstream-Kontakt ungültig ist oder nicht reagiert. Zweitens ist bisher nicht eindeutig geregelt, wer für den Schritt nach dem Eingang bei einem gültigen Kontakt zuständig ist.

Prop-171 soll diese Lücke schließen, könnte aber trotz des Ausschlusses neuer Durchsetzung als zusätzliche Erwartung an die Durchsetzung verstanden werden.

Das ist keine redaktionelle Nebensache, sondern bestimmt die Kontrollgrenze. Soll APNIC prüfen, ob eine Meldung einen handlungsfähigen Betreiber erreicht hat, könnte das Register Weiterleitungsprozesse, Downstream-Verantwortung und Verzögerungsbeschwerden bewerten müssen. Liegt die Verantwortung allein beim Upstream-Inhaber, muss die Richtlinie Belege und Folgen einer gescheiterten Übergabe nennen. Bearbeitet der Downstream-Betreiber die Meldung, sollte der Eintrag diese Zuständigkeit verständlich machen und zugleich eine Eskalation ermöglichen.

Kein Konsens heißt: Die Ausgestaltung bleibt offen

Auf der APNIC 62 erzielte die Policy SIG keinen Konsens zu prop-171 und verwies den Vorschlag zurück an die Mailingliste. Das war weder eine Annahme noch die Feststellung, das geschilderte Problem sei unbegründet. Auf der Einzelseite steht weiterhin „For Discussion at APNIC62 OPM“, während die allgemeine Vorschlagsseite das spätere Ergebnis aufführt. Diese alte Veranstaltungsangabe ist ein Pflegeunterschied; für den Status sind Ergebnisbericht und aktuelle Liste maßgeblich.

Ein überarbeiteter Text sollte vier Fragen trennen: Wer ist Inhaber des Ressourceneintrags? Wer betreibt das betroffene Netz? Wer nimmt die Meldung entgegen und leitet sie weiter? Welcher Nachweis zeigt, dass die Übergabe stattgefunden hat? Außerdem sollte erklärt werden, wie „ohne unangemessene Verzögerung“ angewendet wird. Nicht jeder Vorfall braucht dieselbe Frist, aber die Formulierung benötigt einen überprüfbaren Prozess.

Eingang ist nicht gleich Lösung. Ein Register kann Kontakte auffindbar halten und ihre Gültigkeit unterstützen. Es kann nicht entscheiden, ob eine Meldung zutrifft, ob die verlangte Maßnahme berechtigt ist oder was ein Team über seine Untersuchung offenlegen soll. Eine Übergabebestätigung sollte den Eingang bei der zuständigen Partei belegen, ohne APNIC zum Sachgericht zu machen oder Kundendaten offenzulegen.

APNIC-127 verlangt bereits überwachte Kontakte und eine Validierung alle sechs Monate. Das ist eine konkrete Grundlage. Prop-171 fragt, ob die Verantwortung, die einen Kontakt nützlich macht, auch den nächsten Übergabeschritt umfasst. Nach dem fehlenden Konsens auf APNIC 62 bleiben „erreichbar“ und „verantwortlich“ zwei verschiedene Aussagen.

Quellen

  • APNIC, prop-171-Seite und veröffentlichter Status. Seite
  • APNIC, prop-171 v001 und Folgenabschätzung des Sekretariats. Text
  • APNIC 62, offizieller Bericht. Bericht
  • APNIC Blog, Ergebnisse der Policy SIG auf APNIC 62, 25. September 2026. Artikel
  • APNIC-127, geltende Richtlinie. Richtlinien
  • APNIC, Eintrag zu prop-125. Seite
  • APNIC, aktuelle Übersicht der Vorschläge. Liste
  • APNIC, Verfahren zur Richtlinienentwicklung. Verfahren
  • Heng Lu, Note 65, „Running-Code Primacy“ (nur als redaktionelle Perspektive). Artikel