Zusammenfassung

  • Das IAB plant für den 11. und 12. Oktober in Prag einen Workshop auf Einladung, der Einführungserfahrungen, Hindernisse und offene Fragen zur Postquanten-Authentisierung dokumentieren soll.
  • Der Aufruf setzt eine klare Zuständigkeitsgrenze: Das Treffen soll Ansätze weder vergleichen und empfehlen noch zusammenführen, keine Algorithmen auswählen oder standardisieren und keine IETF- oder IRTF-Gruppen anweisen.
  • Der Evidenzbestand wird dennoch durch die Gewichtung von Positionspapieren, direkte Einladungen, Teilnahmeentscheidungen und Vertraulichkeit geprägt. Diese Werkzeuge sind legitim, müssen im Bericht aber erkennbar bleiben.
  • Ein Register von der Evidenz bis zur Aussage könnte Teilnehmererfahrung, Synthese der Veranstalter, IAB-Rat und spätere IETF-Arbeit trennen, ohne geschützte Betriebsdetails offenzulegen.

Die wichtigste Befugnis ist die bewusst nicht ausgeübte

Am 21. August lud das Internet Architecture Board Implementierer, Betreiber und Protokollentwickler zu einem Treffen in Prag ein. Der Workshop soll am 11. und 12. Oktober 2026 zusammen mit der OpenSSL-Konferenz stattfinden. Sein technischer Ausgangspunkt: Der Einsatz von Postquanten-Schlüsselaustausch ist weiter fortgeschritten als die Postquanten-Authentisierung.

Authentisierung betrifft Zertifikate, Public-Key-Infrastrukturen, Identitätstoken, Hardwaresicherheitsmodule, Trusted Platform Modules, sichere Elemente sowie Software- und Firmware-Signaturen. Die Hindernisse liegen deshalb nicht nur in Spezifikationen. Produktzyklen, Geräte, Beschaffung, Prüfverfahren und sehr lange Verifikationszeiträume gehören ebenfalls dazu.

Trotz dieser Breite soll der Workshop keinen Ansatz zum Sieger erklären. Er ist nicht dazu bestimmt, Verfahren zu vergleichen, eines zu empfehlen oder eine Konvergenz herbeizuführen. Algorithmen werden weder ausgewählt noch standardisiert. Gesammelt werden Erfahrungen, Schwierigkeiten und ungeklärte Fragen.

Dieser negative Auftrag schützt den Erkenntnisgewinn. Eine Organisation kann erläutern, woran eine Einführung scheitert, ohne daraus sofort einen Wettbewerb der Lösungen zu machen. Gefährlich würde es, wenn die Annahme eines Papiers später als technische Billigung vermarktet oder eine redaktionelle Zusammenfassung als Konsens ausgegeben würde.

Der Bericht soll im IAB Stream erscheinen. Zugleich erklärt der Aufruf, dass der Workshop weder IETF-Arbeitsgruppen noch IRTF-Forschungsgruppen lenken soll. Die Veranstalter können einen Ort für Anschlussarbeiten vorschlagen. Das Treffen liefert also Material für ein mögliches Verfahren; es ersetzt dessen Entscheidungen nicht.

Zum Stichtag 31. August endet die Einreichungsfrist erst am 4. September. Einladungen werden laufend verschickt, alle Ergebnisse sollen bis 14. September vorliegen. Eine endgültige Teilnehmerliste, Tagesordnung, Mitschrift, ein Bericht oder IAB-Rat existieren noch nicht. Zu prüfen ist vorerst das angekündigte Verfahren.

Auswahl schafft einen Ausschnitt, keine Repräsentation

Die Teilnahme erfolgt auf Einladung und grundsätzlich vor Ort. Fernteilnahme kann das Programmkomitee nach eigenem Ermessen zulassen. Gewünscht sind ein- bis zweiseitige Positionspapiere über konkrete Einführungserfahrungen. Eine Interessensbekundung genügt ebenfalls, doch Papiere sollen bei der Gestaltung der Tagesordnung stärker gewichtet werden.

Eine Einreichung garantiert keinen Vortrag. Sie ist Material für den Sitzungsplan, und nicht jedes Papier wird vorgestellt. Das Komitee kann wichtige Personen auch ohne Papier einladen. Relevante Beiträge von Menschen, die nicht teilnehmen, sind willkommen und können veröffentlicht werden.

Diese Auswahlregeln belegen keine Verzerrung. Ein kleiner Fachworkshop braucht Kuratierung. Betreiber mit entscheidendem Wissen haben den Aufruf womöglich nicht gesehen, können nicht reisen oder dürfen einen sensiblen Fall nicht kurzfristig veröffentlichen. Direkte Einladungen können eine Lücke schließen.

Das Ergebnis bleibt dennoch eine konstruierte Stichprobe, keine Vollerhebung der Einführungspraxis. Der Bericht könnte aggregierte Zahlen zu Papieren, Interessensbekundungen, Direkteinladungen, Anwesenden, abwesenden Beitragenden und Fernteilnehmenden nennen. Er könnte beschreiben, welche Branchen und Einsatzumgebungen gesucht wurden und welche schwach vertreten blieben.

Ein solcher Beleg macht den Raum nicht zum Vertreter des Internets. Er zeigt dem Leser, durch welches Fenster die Beobachtungen entstanden sind.

Öffentlich, nicht zugeordnet und geschützt sind verschiedene Zustände

Angenommene Positionspapiere sollen normalerweise veröffentlicht werden. Autoren können jedoch um Zurückhaltung des Papiers oder eine Nutzung ohne Namensnennung bitten. Gespräche dürfen unter der Chatham-House-Regel stattfinden. Öffentliche Aufzeichnungen oder Protokolle sind nicht geplant. Gemeinsame Notizen sollen als öffentliche Referenz für den Bericht erhalten bleiben, mit Ausnahme geschützter Teile.

Diese Flexibilität kann die Substanz verbessern. Ein Betreiber beschreibt eine Hardwaregrenze, eine fehlgeschlagene Zertifikatsmigration oder eine Beschaffungssperre vielleicht nur dann, wenn Kunde, Produkt oder Vorfall nicht erkennbar werden. Zwingende Namensnennung bei jedem Fakt würde eher öffentlichkeitsfähige als besonders lehrreiche Fälle auswählen.

Vertraulichkeit verändert aber die Nachprüfbarkeit. Ein öffentliches Papier kann gelesen und zitiert werden. Nicht zugeordnetes Material kann eine Beobachtung stützen, ohne denselben Herkunftsnachweis zu bieten. Ein geschütztes Gespräch kann ein echtes Muster aufzeigen, dessen Umfang Außenstehende nicht prüfen können. Öffentliche Notizen können planmäßig unvollständig sein.

Die Lösung ist nicht, geschützte Evidenz zu verwerfen. Ihr Zustand muss erhalten bleiben. Drei voneinander unabhängige öffentliche Einführungsberichte sind etwas anderes als eine einzelne geschützte Wortmeldung. Beides kann wichtig sein, darf aber nicht gleich belastbar aussehen.

Ein Herkunftsbeleg für jede wesentliche Aussage

Zu jedem wichtigen Hindernis und jeder offenen Frage könnte der Bericht einen kompakten Herkunftseintrag führen. Er nennt zunächst die Evidenzklasse: öffentliches Papier, öffentliche Notiz, Präsentation, eingeladene Wortmeldung, geschütztes Gespräch oder externe Quelle. Danach folgt der Zugangsweg: eingereichtes Papier, Interessensbekundung, Einladung des Komitees oder Beitrag ohne Teilnahme.

Der Eintrag hält fest, ob das Material öffentlich, zurückgehalten, nicht zugeordnet oder geschützt ist. Die Bestätigung kann als Einzelquelle, unabhängig erhärtet, umstritten oder ungeklärt ausgewiesen werden. Unsicherheit und Gegenbelege stehen neben der konkreten Aussage, die das Material trägt.

Entscheidend ist zuletzt der Autoritätsstatus: Teilnehmermeinung, Workshop-Beobachtung, Synthese der Veranstalter, IAB-Rat, vorgeschlagene Anschlussfrage oder Ergebnis späterer IETF-Arbeit. Ohne diese Kennzeichnung können nützliche Kategorien stillschweigend ineinander übergehen.

Das Register ist ein Vorschlag von Daniel Kade, keine bereits beschlossene IAB-Vorgabe. Eine Tabelle im Anhang reicht aus. Sensible Identitäten müssen nicht erscheinen: „eine Einführungsklasse im regulierten Umfeld, durch ein öffentliches Papier unabhängig gestützt, identifizierende Details zurückgehalten“ vermittelt Schutz und Beweiskraft zugleich.

Eine im Raum oft geteilte Beobachtung ist noch kein IETF-Konsens. Eine Synthese der Redakteure wird nicht automatisch zur Position des IAB. Ein Rat des IAB legt den Text oder Ausgang einer Arbeitsgruppe nicht fest. Ein vorgeschlagenes Folgeforum nimmt dessen Ergebnis nicht vorweg.

Der Auftrag des IAB ist wirksam und begrenzt

RFC 2850 gibt dem IAB Verantwortung für architektonische Aufsicht und langfristige Planung. Einladungsworkshops zur vertieften Prüfung architektonischer Fragen sind ausdrücklich vorgesehen. Der daraus entstehende Bericht kann die IETF-Gemeinschaft und die IESG beraten.

Der Auftrag wirkt in beide Richtungen. Der Workshop ist kein folgenloses Privatgespräch. Ein Bericht im IAB Stream kann Aufmerksamkeit bündeln, Fragen rahmen und Prioritäten beeinflussen. Gerade deshalb darf Beratung nicht mit einem Standardisierungsverfahren verwechselt werden.

RFC 9969 bietet einen aktuellen Vergleich. Der Bericht zum AI-CONTROL-Workshop ordnet die dargestellten Positionen den Teilnehmenden zu und nicht zwingend dem IAB. Er erklärt außerdem, dass er Präsentationen und Notizen folgt, ohne Konsens erfassen zu wollen. Der Anhang unterscheidet öffentliche Papiere, zurückgehaltene Angaben und Gespräche unter der Chatham-House-Regel.

Der Postquanten-Bericht muss dieses Dokument nicht nachbauen. Er braucht dieselbe Zustandsdisziplin. Ein Workshop-Bericht ist ein informatives Dokument über eine ausgewählte Untersuchung. Befasst sich später eine IETF-Gruppe mit einem Vorschlag, bilden ihr Auftrag, ihre Annahmeentscheidungen, die Bearbeitung von Einwänden, Implementierungserfahrung und ihr eigener Konsensnachweis die maßgebliche Kette.

Heng Lu trennt den Stakeholder vom Prinzipal. Teilnahme kann Evidenz, Sachkenntnis, Warnungen, Einwände und technische Disziplin liefern. Problematisch wird sie, wenn Anwesenheit zur Herrschaft über Abwesende aufgebläht wird. Für diesen Workshop heißt das nicht, Experten zu misstrauen. Es heißt, eine Einladung nicht mit einem Mandat zu verwechseln.

Quellen

  1. IAB — Aufruf für den Workshop zur beschleunigten Einführung von Postquanten-Authentisierung
  2. IETF — Post-Quantum Authentication: Up Next
  3. RFC 2850 — Charta des Internet Architecture Board
  4. RFC 8980 — Bericht des IAB-Workshops zu COVID-19-Netzauswirkungen
  5. RFC 9969 — Bericht des IAB-Workshops AI-CONTROL
  6. Heng Lu — The Multi-Stakeholder Mirage