Zusammenfassung

  • Der öffentliche SOC-3-Bericht über die Registry Assignment and Maintenance Systems der IANA bestätigt die Darstellung der ICANN-Leitung zur Wirksamkeit der Kontrollen in allen wesentlichen Belangen. Er umfasst Sicherheit, Verfügbarkeit und Verarbeitungsintegrität vom 1. Dezember 2024 bis 30. November 2025. Die ICANN teilte zusätzlich mit, dass die vertrauliche SOC-2-Prüfung im November 2025 eine Ausnahme feststellte und sie umgehend Abhilfe einleitete.
  • Das detaillierte SOC 2 erhalten zuständige vertragliche Aufsichtsstellen; das SOC 3 ist öffentlich. Die öffentlich zugänglichen Unterlagen benennen weder die betroffene Kontrolle noch eine unabhängige Nachprüfung. Der Auditrahmen beginnt beim Antrag auf eine Kennung und endet mit dem veröffentlichten, genehmigten Registereintrag. Die Regeln für die Genehmigung entstehen außerhalb dieses Rahmens.

Das Kleingedruckte hinter dem guten Urteil

Der zwölfseitige öffentliche Bericht gibt der ICANN eine starke Aussage an die Hand. Nach Auffassung des unabhängigen Prüfers ist die Erklärung der Leitung zu den Kontrollen der Registry Assignment and Maintenance Systems, kurz RAMS, in allen wesentlichen Belangen zutreffend dargestellt. Das Urteil trägt das Datum 12. Mai 2026. Es betrifft einen vollen Prüfzeitraum vom 1. Dezember 2024 bis zum 30. November 2025. Sicherheit, Verfügbarkeit und Verarbeitungsintegrität bilden die drei Kriterien.

Die ICANN-Mitteilung vom 1. Juni 2026 fügt eine Information hinzu, die im offenen Dokument nicht aufgelöst wird. Das zugehörige SOC-2-Audit von RAMS habe im November 2025 eine Ausnahme festgestellt. Nach der Feststellung durch die Prüfer habe die ICANN sofort Schritte zur Behebung unternommen. Sie nennt weder die betroffene Kontrolle noch den konkreten Test. Auch eine betroffene Transaktion oder ein Vorfall wird nicht bezeichnet.

Beide Aussagen haben Platz. Ein Urteil über die Darstellung der Kontrollen in allen wesentlichen Belangen ist kein Verzeichnis sämtlicher Einzeltests. Eine Ausnahme in einem Einzeltest widerlegt ihrerseits nicht automatisch das Gesamturteil. Die unbequeme Stelle liegt dazwischen: Die ICANN hat einen prüfbaren Befund selbst öffentlich erwähnt, aber dessen Gegenstand nicht öffentlich gemacht. Wer heute eine bestimmte fehlerhafte Registrierung behauptet, verlässt die Quelle. Wer die Ausnahme aus der Erzählung streicht, ebenso.

Die Audit-Seite der IANA beschreibt den Verteiler. Das vertrauliche SOC 2 wird an einschlägige Aufsichtsstellen nach dem Vertrag zwischen PTI und ICANN, der Vereinbarung zwischen ICANN und IETF sowie der Dienstvereinbarung der ICANN mit den fünf regionalen Internetregistern gegeben. Das SOC 3 ist für die Allgemeinheit bestimmt. Damit entscheidet der Zugang zum Bericht auch darüber, wer den Befund im Detail prüfen und eine belastbare Antwort zur Behebung verlangen kann.

Was im Prüfkreis liegt

RAMS ist kein Synonym für jede Entscheidung über Internetkennungen. Der Bericht beschreibt das Root Zone Management System und den Request Tracker, mit denen die IANA Anträge für Domainnamen, Nummernressourcen und Protokollparameter bearbeitet. Der geprüfte Weg beginnt, wenn ein Antrag auf Zuweisung oder Zuteilung eingeht. Er endet, wenn die genehmigte Änderung im öffentlichen Register erscheint. Dazwischen stehen Annahme, Bearbeitung, Freigabe, Zugriff auf Systeme, Änderungen an der Technik und Veröffentlichung.

Diese Kette ist für Nutzer praktisch. Ein genehmigter Protokollparameter muss korrekt in der passenden Liste landen. Eine Nummernzuweisung an ein regionales Register muss mit der entsprechenden Berechtigung und Dienstregel abgewickelt werden. Eine Änderung der Root-Zone verlangt technische und verfahrensmäßige Prüfungen, bevor ein öffentlicher Eintrag wechselt. Der Prüfbericht beurteilt die Kontrollen, die diese Arbeit tragen. Er verspricht keine Einzelgarantie für jeden heutigen Datensatz.

Vor dem Antrag steht die Macht, die Regel zu bestimmen. Das öffentliche SOC 3 hält ausdrücklich fest, dass PTI die von zuständigen Gemeinschaften entwickelten Richtlinien umsetzt und sie nicht selbst setzt. ICANN unterstützt Verfahren für Domainnamen und Nummernressourcen; beim IETF entstehen Protokollspezifikationen und Anweisungen zu Parametern. Ein sauberer Bearbeitungsprozess kann eine umstrittene Richtlinie präzise ausführen. Ob diese Richtlinie legitim beschlossen wurde, beantworten ihre eigenen Beratungs- und Beschlussunterlagen. Ein Betriebsaudit kann diesen politischen Nachweis nicht stellvertretend liefern.

Der Bericht zieht noch eine zweite Grenze. Er beschreibt Rechenzentrums- und Managed-Service-Leistungen Dritter und erwartet dort ergänzende Kontrollen. Die Kontrollen der Zulieferer wurden im vorliegenden Audit ausdrücklich nicht geprüft. Wer Gewissheit über die gesamte technische Lieferkette sucht, braucht dafür weitere Belege. Das genaue Lesen des Prüfgegenstands verhindert, dass ein gutes Ergebnis für RAMS plötzlich als Prüfung jedes Auftragnehmers ausgegeben wird.

Ein offenes Fenster mit Milchglas

Die Öffentlichkeit erhält diesen Bericht erst seit kurzer Zeit. Im Juni 2025 kündigte die ICANN erstmals ein öffentliches SOC 3 für RAMS zusätzlich zum bestehenden SOC 2 an. Für die Periode 2025 liegt nun das zweite solche öffentliche Dokument vor. Das ist ein Fortschritt in überprüfbarer Information: Ein Leser kann den Prüfzeitraum, die Kriterien, die Systemgrenze und den Wortlaut des Urteils selbst ansehen.

Die Mitteilung über die Ausnahme zeigt zugleich, was durch das Fenster nicht zu erkennen ist. Ein Monat und eine Zusage sofortiger Abhilfe sind vorhanden. Die Kontrollfamilie, die tatsächliche Änderung und das Ergebnis eines erneuten Tests fehlen in den geprüften öffentlichen Unterlagen. Eine knappe Veröffentlichung dieser drei Punkte würde den Fall öffentlich abschließbar machen, ohne interne Zugangsdaten oder den gesamten SOC-2-Bericht offenzulegen.

Die Leistungsseite der IANA stellt Monatsdaten zu Dienstniveaus und zum Betrieb von Root-Zone, Nummern und Parametern bereit. Für eine konkrete verspätete oder falsch abgewickelte Anfrage wären solche Aufzeichnungen ein Ausgangspunkt. Sie nennen nicht den SOC-2-Test mit der Ausnahme. Ein Dienstindikator und ein Kontrollbefund sind zwei verschiedene Belegarten.

In derselben ICANN-Mitteilung steht eine griffige Zahl: Die separate Prüfung der Root-KSK-Kontrollen sei zum sechzehnten Mal hintereinander ohne Ausnahme abgeschlossen worden. Sie betrifft ein anderes System und ein anderes Audit. Wer diese makellose Reihe neben den RAMS-Befund stellt, muss die Trennlinie stehen lassen. Sonst wird ein Ergebnis von einer Maschine zur Entlastung einer anderen benutzt.