ICANN-Drohung gegen AFRINIC: Fehlende Ersatzregel

Zusammenfassung

Die Schreiben der ICANN vom Juni und Juli 2025 an den gerichtlichen Verwalter von AFRINIC warnten, dass eine Konformitätsprüfung erforderlich sein könnte, verknüpften Wahlunregelmäßigkeiten und Bedenken zu Aufzeichnungen mit den ICP-2-Verpflichtungen und forderten belegte Antworten. Es war eine Anerkennungswarnung, kein vollständiger Ersatzplan.
Die fehlende Regel betrifft nicht nur, wer ein Notdienstbetreiber sein kann. Sie definiert, wie Registerdienste, Mitgliederautorität, Aufzeichnungen, RPKI-Material, inverses DNS, Transfers, Abrechnung, vertrauliche Daten, Streitigkeiten und gerichtliche Auflagen während eines Notfalls übertragen werden, ohne gewöhnliche Ressourceninhaber zu schädigen.
Eine Ersatzregel sollte definierte Auslöser, die Zustimmung des Betreibers, den Dienstumfang, die Hinterlegung von Daten, Portabilitätstests, eine öffentliche Bekanntmachung, den Beitrag der Gemeinschaft, Zeitlimits, Rückübertragung, eine unabhängige Überprüfung und einen Nachbericht erfordern, bevor eine Anerkennungsdrohung in eine Dienstübertragung umgewandelt werden kann.

Eine Drohung ohne Annahmestelle

Der wichtigste Satz nach dem Scheitern eines Registers ist nicht „Das Register wird geprüft". Es ist „Hier wird der Dienst morgen funktionieren". Eine Region kann einen Vorstandskonflikt, einen Rechtsstreit, eine verschobene Wahl oder sogar einen vorläufigen Verwalter überleben, wenn die Registrierungsdaten, die Support-Dienste, das inverse DNS, das RPKI, die öffentlichen Abfrageaufzeichnungen, Transfers, die Abrechnung und die Mitgliederkommunikation stabil bleiben. Sie wird fragil, wenn die Anerkennungsprüfung erwähnt wird, ohne dass eine sichtbare Annahmestelle für den öffentlichen Dienst vorhanden ist.

AFRINIC hat diese Unterscheidung unvermeidlich gemacht. Im Juni 2025 steckte das afrikanische regionale Register bereits seit Jahren in einer rechtlichen und Governance-Krise. Die Gerichte von Mauritius hatten einen gerichtlichen Verwalter bestellt. Dem Register fehlte die ordentliche Governance durch einen Vorstand. Eine Wahl zur Wiederherstellung des Vorstands wurde aufgrund von Vorwürfen zu Stimmrechten und Vollmachten ausgesetzt und dann annulliert. Daraufhin schrieb die ICANN an den bestellten Verwalter und teilte AFRINIC mit, dass eine Konformitätsprüfung erforderlich sein könnte.

Die Warnung war nicht trivial. In der Korrespondenz vom25. Juni 2025verknüpfte die ICANN die Vorwürfe mit den ICP-2-Verpflichtungen, stellte dreizehn detaillierte Fragen, forderte eine belegte Antwort innerhalb eines Tages, verlangte die Aufbewahrung von Aufzeichnungen und erklärte, dass die Situation ernste Fragen zur Fähigkeit von AFRINIC aufwerfen könnte, weiterhin als eine Einheit zu handeln, die in der Lage ist, Nummernressourcen verantwortungsvoll zu verwalten. In der Korrespondenz vom3. Juli 2025erklärte die ICANN, dass die Annullierung der Wahl viele ihrer Fragen nicht beantwortete, und behielt sich erneut alle Rechte vor, eine Prüfung einzuleiten.

Diese Korrespondenz hatte ein legitimes Kontinuitätsmotiv. Ein regionales Register ist kein gewöhnlicher privater Verein. Es unterhält eine öffentliche Abhängigkeitsoberfläche für Adress- und autonome Systemregistrierungen. Wenn ein Wahlprozess beeinträchtigt ist oder Aufzeichnungen nicht aufbewahrt werden, können die Schäden weit über die Personen hinausgehen, die vor Gericht streiten. Die ICANN hatte Recht, Fragen zur Mitgliederunterstützung, Gleichbehandlung, Unparteilichkeit, Unabhängigkeit und zu Sicherungen von Aufzeichnungen zu stellen.

Aber die Warnung offenbarte auch die fehlende Ersatzregel. Wenn die ICANN von der Warnung zu einer formellen Prüfung übergegangen wäre, und wenn diese Prüfung eine wesentliche Nichteinhaltung ergeben hätte, was genau würde dann passieren? Würde AFRINIC sofort die Anerkennung verlieren? Würde ein anderer RIR nur die technischen Dienste betreiben? Würde der Verwalter im Amt bleiben? Würden die Mitglieder weiterhin an AFRINIC zahlen? Würden Transfers fortgesetzt? Würden RPKI-Zertifikate gültig bleiben? Würden inverse DNS-Änderungen bearbeitet? Würden vertrauliche Aufzeichnungen an einen temporären Betreiber kopiert?

Würden nationale gerichtliche Anordnungen diesen Betreiber binden? Hätten Ressourceninhaber eine Möglichkeit, eine fehlerhafte Übertragung ihrer Dateien anzufechten?

Die öffentliche Antwort war nicht klar genug. Die Medienberichterstattung damals erfasste das Risiko. The Register berichtete am 26. Juni 2025, dass der ICANN-Brief vor einer möglichen Konformitätsprüfung warnte und dass, wenn AFRINIC diese Prüfung nicht bestünde, die ICANN einen anderen RIR bitten könnte, als Notregister für Afrika einzuspringen. Dieser Satz ist eine mächtige Idee. Es ist auch kein Verfahren. Eine glaubwürdige Ersatzregel kann keine journalistische Erklärung einer möglichen Notfallunterstützung sein. Sie muss ein Dokument sein, das Betreiber ausführen und das Mitglieder testen können.

Das Problem ist nicht, dass ein Notfallersatz unmöglich sein sollte. Das Problem ist, dass er schwierig, eng und vordefiniert sein sollte. Ein temporärer Betreiber kann den Dienst aufrechterhalten, wenn die bestehende rechtliche Einheit dies nicht kann. Derselbe temporäre Betreiber kann eine Legitimitätskrise erzeugen, wenn die Auswahl, Zustimmung, Datenübertragung, Umfang, Zeitlimit und Rückübertragung vage sind. In einer Region, die bereits misstrauisch gegenüber externer Macht ist, kann „ein anderer RIR wird einspringen" weniger wie Kontinuität und mehr wie Verdrängung wirken, es sei denn, die Regel ist explizit.

Die Annahmestelle muss daher identifiziert werden, bevor die Drohung ausgesprochen wird. Nicht unbedingt, indem man im Voraus einen dauerhaften Nachfolger benennt, sondern indem man definiert, welche Art von Einheit dienen kann, wer zustimmen muss, welche Dienste sie betreiben kann, welche Daten sie erhalten kann, was sie nicht entscheiden darf, wie lange sie handeln kann und wie die betroffene Gemeinschaft gehört wird. Die Anerkennungsprüfung ohne Ersatzregel ist die Hälfte einer Brücke über einen tiefen Fluss.

Die Wahlkrise hat die Kontinuität zu einer praktischen Frage gemacht

Die Krise der AFRINIC-Vorstandswahl war nicht nur eine interne Vereinsangelegenheit. Der Vorstand eines regionalen Registers kontrolliert Budgets, die Ernennung von Führungskräften, die Aufsicht, die rechtliche Haltung, die Mitgliederverantwortung und das Vertrauensumfeld um technische Dienste. Eine angefochtene Wahl kann daher zu einem Problem des Registerdienstes werden, selbst wenn die Datenbankserver weiterhin antworten.

Die Wahlfrage im Juni 2025 hatte mehrere Facetten. Die ICANN beschrieb Berichte, wonach Mitglieder Schwierigkeiten bei der Registrierung hatten. Sie beschrieb einen Unterschied zwischen den üblichen Vollmachtsgrenzen und persönlichen Stimmrechten. Sie gab Berichte weiter, wonach einige Vollmachten betrügerisch erlangt oder ohne Genehmigung eingereicht worden waren. Sie fragte, ob die Listen der stimmberechtigten Mitglieder extern weitergegeben worden waren und ob ein Dritter berechtigt worden war, das AFRINIC-Logo in Kommunikationen zur Kandidatenunterstützung zu verwenden.

Sie fragte auch nach dem Stand der Aufbewahrung von Aufzeichnungen und Sicherungen der Registrierungsdaten und Mitgliederunterlagen.

Diese Fragen zeigen, warum Wahlintegrität und Dienstkontinuität miteinander verbunden sind. Eine gefälschte Vollmacht ist nicht dasselbe wie eine korrupte Ressourcenübertragung, aber beide hängen von der Fähigkeit der Institution ab, zu erkennen, wer ein Mitglied binden kann. Eine offengelegte Mitgliederliste ist nicht dasselbe wie eine Datenbankkorruption, aber sie deutet auf eine Kontrollschwäche bei vertraulichen oder sensiblen Mitgliederinformationen hin. Eine unklare Untersuchung ist nicht dasselbe wie ein Dienstausfall, aber sie schwächt das Vertrauen, dass zukünftige Entscheidungen unparteiisch und dokumentiert sein werden.

Gleichzeitig hat die Verbindung Grenzen. Eine schlechte Wahl bedeutet nicht automatisch, dass jede Adressregistrierung unzuverlässig ist. Eine annullierte Wahl erfordert nicht automatisch ein neues Register. Eine schlechte Kommunikation des Verwalters bedeutet nicht notwendigerweise, dass der Support keine routinemäßigen Tickets bearbeiten kann. Eine vorübergehende Vakanz im Vorstand rechtfertigt nicht notwendigerweise die Übertragung vertraulicher Akten an eine andere Organisation. Die Ersatzregel muss diese Unterscheidungen respektieren.

Hier scheitern viele Argumente in einer Krise. Eine Seite sagt, dass Kontinuität erfordert, den bestehenden Betreiber in Ruhe zu lassen, weil jede externe Intervention die Dienste destabilisieren könnte. Die andere Seite sagt, dass das Governance-Versagen beweist, dass der bestehende Betreiber ersetzt werden muss. Keine der Antworten ist präzise genug. Kontinuität erfordert eine Kartierung der Dienste. Welche Dienste funktionieren? Welche Dienste sind gefährdet? Welche Entscheidungen sind durch das Governance-Versagen kontaminiert? Welche Aufzeichnungen benötigen eine unabhängige Aufbewahrung? Welche Mitgliederrechte müssen überprüft werden?

Welche Änderungen können sicher fortgesetzt werden? Welche Änderungen müssen ausgesetzt werden?

Für AFRINIC würde eine Dienstkartierung öffentliche Registrierungsdaten, nicht öffentliche Konto- und Mitgliederunterlagen, inverse DNS-Delegationen, den Status der Ressourcenzertifizierung, ausstehende Transfers, Abrechnung, Mitgliederkommunikation, unternehmensrechtliche Autoritätsunterlagen, Richtlinienaufzeichnungen, Support-Warteschlangen, gerichtliche Anordnungen, Lieferantenverträge, Bankzugang und Anmeldedaten umfassen.

Sie würde auch die Abhängigkeiten umfassen, die andere Akteure nutzen, um sich auf AFRINICs Aufzeichnungen zu stützen: Cloud-Integration, Routing-Filter, Due Diligence, öffentliche Beschaffung und rechtliche Gutachten bei Adresstransaktionen.

Die NRO hat die Kontinuität bei der Bestellung des Verwalters anerkannt. IhreErklärung vom 14. September 2023begrüßte den Verwalter als einen Weg zu einer funktionierenden Governance und erklärte, dass die Ernennung dazu beitragen würde, sicherzustellen, dass die Mitglieder weiterhin Registerdienste erhalten. Das war der richtige Rahmen: Dienste aufrechterhalten, während die Governance wiederhergestellt wird. Aber eine verlängerte Krise verwandelt die vorübergehende Aufrechterhaltung in eine schwierigere Frage. Wenn die Aufrechterhaltung selbst scheitert, wer übernimmt dann nur die Teile, die fortgesetzt werden müssen?

Die Regel muss in der Lage sein, zu antworten, ohne jeden Fehler als Ersatz zu dramatisieren. Sie sollte mit der Diensttriage beginnen, nicht mit der institutionellen Verurteilung.

Der Notdienst ist keine Nachfolge-Governance

Ein Notdienstbetreiber ist keine neue regionale Regierung. Er sollte ein temporärer Dienstleister mit eng begrenzter Autorität sein. Er kann einen Support betreiben, Aufzeichnungen aktuell halten, definierte routinemäßige Änderungen bearbeiten, die Kontinuität von inversem DNS und RPKI aufrechterhalten, Daten sicher aufbewahren und über Dienstkennzahlen berichten. Er sollte keine regionale Politik umschreiben, Mitgliederrechte umstrukturieren, private Ressourcenstreitigkeiten beilegen, bei Wahlen Partei ergreifen oder zur dauerhaften Dienstinstitution werden.

Das NRO-Governance-Dokument für RIRs Version 2 tendiert zu dieser Unterscheidung. Es definiert einen Notdienstbetreiber als eine qualifizierte Einheit, die ausgewählt wird, um vorübergehend RIR-Dienste bereitzustellen. Es besagt, dass die Notfallkontinuität ausgelöst werden kann, wenn ein RIR nicht in der Lage ist, alle oder einen Teil seiner Dienste angemessen bereitzustellen.

Es erfordert die einstimmige Zustimmung aller anderen RIRs und der ICANN, eine Diskussion mit dem betroffenen RIR und seiner Gemeinschaft, soweit möglich, die schnelle Veröffentlichung der Begründung und des Umfangs, die Beteiligung der Gemeinschaft, die Zusammenarbeit bei der Übergabe, das Recht des betroffenen RIRs, die Dienste wieder zu übernehmen, sobald die Fähigkeit wiederhergestellt und überprüft ist, und eine anfängliche Grenze von neunzig Tagen, die gemäß demselben Abschnitt verlängerbar ist.

Dieser Rahmen ist nützlich, weil er die Vorstellung ablehnt, dass Ersatz nur eine institutionelle Übernahme ist. Er behandelt den Notdienst als temporär, abgegrenzt und überprüfbar. Er erfordert auch eine Nachbesprechung, einschließlich eines öffentlichen Berichts über die Umstände, die erbrachten Dienste, die Dauer, den Rückführungsprozess, die Leistung des Betreibers, Rückmeldungen und Verbesserungen.

Die Details bleiben entscheidend. Der temporäre Betrieb erfordert immer noch Anmeldedaten, Aufzeichnungen, Personalwissen, Verfahren, Datenschutzgrenzen, Befugnis zur Beantwortung von Anfragen, Service-Level-Erwartungen und Konfliktregeln. Wenn diese nicht vorbereitet sind, kann ein Notdienstbetreiber technisch bereit, aber praktisch blind sein.

Er hat möglicherweise keine aktuelle Kopie der Mitgliederautoritätsakten, keinen validierten Status ausstehender Transfers, keine sichere Möglichkeit, Ressourcenzertifizierungselemente zu signieren oder zu ändern, kein Wissen über Konten, die gerichtlichen Beschränkungen unterliegen, und keine Möglichkeit zu überprüfen, wer ihm Anweisungen geben kann.

Der Notdienstbetreiber benötigt auch ein Nicht-Governance-Mandat. Er sollte in der Lage sein, eine routinemäßige Kontaktaktualisierung zu bearbeiten, wenn die Autorität des Mitglieds überprüft ist. Er sollte nicht entscheiden, ob ein angefochtener Vorstandskandidat rechtmäßig ausgeschlossen wurde. Er sollte in der Lage sein, den Status einer ausstehenden Übertragung zu bewahren. Er sollte nicht über die kommerziellen Verdienste der Übertragung entscheiden, wenn das bestehende Register keine Entscheidung getroffen hatte. Er sollte in der Lage sein, inverse DNS-Delegationen am Leben zu erhalten.

Er sollte keine neue regionale inverse DNS-Politik auferlegen. Er sollte in der Lage sein, eine Statusseite zu veröffentlichen. Er sollte nicht für eine Governance-Fraktion werben.

Die AFRINIC-Krise ist genau der Fall, in dem diese Grenze wichtig wäre. Wenn ein anderer RIR gebeten würde, Notdienste bereitzustellen, würden afrikanische Mitglieder vernünftigerweise fragen, ob dieser RIR nur die utilitaristische Funktion aufrechterhält oder die regionale Autorität absorbiert. Die Gerichte von Mauritius würden fragen, ob der temporäre Betreiber lokale Anordnungen respektiert. Andere RIRs würden fragen, ob sie eine Haftung für angefochtene Aufzeichnungen übernehmen. Ressourceninhaber würden fragen, ob ihre vertraulichen Aufzeichnungen verschoben wurden und auf welcher rechtlichen Grundlage.

Die Regel sollte festlegen, dass der Notdienst keine Nachfolge-Governance ist. Die Frage der Nachfolge-Governance kann später bei Anerkennungsverlust auftreten, aber sie sollte nicht heimlich in eine neunzigtägige Dienstbrücke eingeführt werden. Diese Brücke sollte die Lichter anlassen, Beweise bewahren, irreversible Schäden verhindern und Zeit für eine rechtliche Wiederherstellung oder eine separat gerechtfertigte Transition gewinnen.

Die Zustimmung des Betreibers kann nicht vorausgesetzt werden

Der Satz „ein anderer RIR könnte einspringen" verbirgt ein schwieriges Zustimmungsproblem. Ein regionales Register ist keine Ersatz-Cloud-Instanz. Es ist eine rechtliche Einheit mit eigenem Vorstand, eigenen Mitgliedern, Gesetzen, Risikobereitschaft, Personalkapazität, Budget, Versicherungen, Datenschutzverpflichtungen und regionaler Verantwortung. Ihn zu bitten, während einer Krise Dienste für eine andere Region zu betreiben, wirft operative und politische Risiken auf.

Der Betreiber muss informiert zustimmen. Er muss den Dienstumfang, die zu erhaltenden Aufzeichnungen, die rechtlichen Auflagen, die Finanzierung, die Entschädigung, die Vertraulichkeitsverpflichtungen, die technischen Aufgaben, die sprachlichen Anforderungen, die Zeitlimits, die Berichtspflichten und die Ausstiegsbedingungen verstehen. Er muss wissen, ob er nur technische Kontinuität bieten oder mitgliederorientierte Entscheidungen treffen soll. Er muss wissen, ob seine eigenen Mitglieder die Kosten tragen. Er muss wissen, ob die betroffene Region seine Handlungen anfechten kann.

Die Zustimmung der anderen RIRs zählt auch kollektiv. Der NRO-Entwurf erfordert die einstimmige Zustimmung aller anderen RIRs und der ICANN für die Notfallkontinuität. Das ist eine starke Sicherung. Sie reduziert das Risiko, dass ein externer Akteur einen bevorzugten Betreiber installieren kann. Sie zwingt das System auch dazu, sich vor einer Handlung mit der Kapazität und Legitimität auseinanderzusetzen.

Aber Einstimmigkeit hat ihren Preis. Bei einem schnellen Ausfall kann es langsam sein, eine einstimmige Zustimmung zu erhalten. In einem politisch aufgeladenen Fall kann ein RIR aufgrund von Haftung oder Reputation zögern. Die Regel sollte daher zwischen Vorbereitung und Aktivierung unterscheiden. Die Vorbereitung kann im Voraus erfolgen: Dienstinventar, Erwartungen an die Hinterlegung, Standard-Vertraulichkeitsbedingungen, Qualifikationen temporärer Betreiber, Finanzierungsformeln, Kommunikationsvorlagen, rechtliche Checklisten und Tests.

Die Aktivierung kann dann enger und schneller sein, weil die Akteure die Bedingungen nicht unter Druck erfinden.

Die Zustimmung des betroffenen Registers ist komplizierter. Wenn das Register angemessen kooperieren kann, sollte die Notfallunterstützung mit ihm und seiner Gemeinschaft diskutiert werden. Wenn das Register aufgrund von Governance-Lähmung, gerichtlicher Beschränkung oder bösem Willen nicht kooperieren kann, kann die Regel einen Weg ohne vollständige Zustimmung des bestehenden Betreibers erfordern. Aber dieser Weg sollte außergewöhnlich sein und erklärt werden.

Er sollte identifizieren, warum eine Kooperation nicht vernünftigerweise möglich war, auf welcher rechtlichen Grundlage die begrenzte Übergabe erlaubt ist, und wie das betroffene Register die Dienste wieder übernehmen kann, sobald die Fähigkeit wiederhergestellt ist.

Die Zustimmung der Mitglieder ist ebenfalls nicht monolithisch. Die Mitglieder der betroffenen Region sprechen nicht mit einer Stimme. Einige mögen den bestehenden Betreiber fürchten, einige mögen externe Kontrolle fürchten, einige mögen eine schnelle Wiederherstellung des Dienstes wünschen, einige mögen Prozessparteien sein, und viele brauchen einfach nur routinemäßige Stabilität. Eine Regel, die einen vollständigen regionalen Konsens erfordert, würde eine Notfallaktion unmöglich machen. Eine Regel, die die Ansichten der Mitglieder ignoriert, würde an Legitimität mangeln.

Die beste Antwort ist eine strukturierte Beteiligung: eine Ankündigung, kurze Feedback-Fenster, wo möglich, geschützte Kanäle für Beweise, eine veröffentlichte Zusammenfassung der Bedenken und eine Nachbesprechung.

Bei AFRINIC wären die Zustimmung des Betreibers und die Legitimität der Mitglieder besonders sensibel, weil die Krise bereits Vorwürfe zu Stimmrechten, Vollmachten und Mitgliederlisten beinhaltete. Jeder Notdienstbetreiber sollte es vermeiden, sich auf dieselben angefochtenen Autoritätsakten zu stützen, ohne Überprüfung. Er bräuchte auch einen Kommunikationsplan, der Mitglieder direkt über die aufbewahrten Kontaktdaten erreicht, während die Vertraulichkeit geschützt wird.

Zustimmung ist daher keine zeremonielle Unterschrift. Sie ist der Unterschied zwischen Dienstkontinuität und angefochtener Besetzung. Die Ersatzregel sollte sie als Infrastruktur behandeln.

Die Portabilität der Aufzeichnungen ist der zentrale Vermögenswert

Das Wichtigste, das sich in einem Registernotfall bewegt, ist nicht die Marke, das Büro oder die Vorstandsprotokolle. Es ist der aktuelle Stand der Aufzeichnungen. Wenn die Aufzeichnungen unvollständig, veraltet, angefochten, nicht portabel oder rechtlich unzugänglich sind, kann kein Notdienstbetreiber einen glaubwürdigen Dienst erbringen. Er erbt einen Nebel.

Die Portabilität der Aufzeichnungen hat mehrere Schichten. Die öffentliche Schicht umfasst die von Verzeichnisdiensten sichtbaren Registrierungseinträge, Ressourcenzuweisungen und -zuteilungen, Kontaktrollen, routingbezogene Referenzen und inverse DNS-Delegationen. Die geschützte Schicht umfasst Kontoinformationen, Autoritätsnachweise, Mitgliederakten, Abrechnungsaufzeichnungen, Rechtsdokumente, Identitätsprüfungen, nicht öffentliche Kontakte, ausstehende Tickets, Übertragungsnachweise, Streitakten und gerichtliche Auflagen.

Die technische Vertrauensschicht umfasst Ressourcenzertifizierungsmaterial, Repository-Status, Signiervereinbarungen, inverse Zonendetails und Betriebsanmeldedaten. Die Governance-Schicht umfasst den Mitgliederstatus, die Abstimmungsautorität, Vorstands- und Ausschussaufzeichnungen, Richtliniendokumente und den Entscheidungsverlauf.

Jede Schicht hat ein anderes Portabilitätsproblem. Öffentliche Daten können kopiert werden, sagen aber möglicherweise nicht, wer Änderungen anordnen kann. Geschützte Daten können erforderlich sein, müssen aber unter Beachtung von Datenschutz- und Vertraulichkeitsregeln behandelt werden. Technisches Vertrauensmaterial erfordert möglicherweise eine sorgfältige Schlüssel- und Repository-Verwaltung; eine nachlässige Bewegung kann die Validierung brechen oder doppelte Autorität schaffen. Governance-Aufzeichnungen können angefochten sein; sie ohne Annotation zu verschieben, kann eine angefochtene Autorität in eine akzeptierte Tatsache verwandeln.

Der ICP-2-Text von 2001 erkannte bereits die Führung von Aufzeichnungen als wesentlich an. Er forderte angemessene Aufzeichnungen der Registeraktivitäten und die Archivierung von Informationen, die von LIRs bei der Zuweisung von Adressraum gesammelt wurden, und beschrieb diese Daten als notwendig für die zukünftige Bewertung und Nachvollziehbarkeit verantwortungsvoller neutraler Operationen. Diese Anforderung wurde nicht als vollständige Portabilitätsregel verfasst, aber sie weist auf die zentrale Wahrheit hin: Die Registerkontinuität hängt von Aufzeichnungen ab, die geprüft werden können.

Der ICANN-Brief von 2025 an AFRINIC forderte den Verwalter auf, den Stand der Aufbewahrung von Aufzeichnungen und Sicherungen der Registrierungsdaten und Mitgliederunterlagen zu bestätigen. Diese Frage steht im Mittelpunkt jeder Ersatzregel. Wenn Sicherungen nur innerhalb der notleidenden Institution aufbewahrt werden, kann eine Notfallkontinuität unmöglich sein. Wenn Sicherungen existieren, aber rechtlich nicht genutzt werden können, ist die Kontinuität theoretisch. Wenn Sicherungen aktuell sind, aber Autoritätsnachweise fehlen, können routinemäßige Abfragen fortgesetzt werden, während Mitgliederaktionen gefährlich werden.

Die Portabilität sollte vor der Krise getestet werden. Ein Register sollte in der Lage sein, ein Dienstinventar und einen aktuellen verschlüsselten Hinterlegungssatz unter klaren Kontrollen zu erstellen. Der Hinterlegungssatz sollte kein öffentlicher Daten-Dump sein. Er sollte ausreichend strukturiert sein, damit ein Notdienstbetreiber aktuelle öffentliche Aufzeichnungen, ausstehende Änderungen, Autoritätsakten, Vertraulichkeitskategorien, technisches Vertrauensmaterial, inversen DNS-Status, Support-Tickets und Streitigkeiten identifizieren kann. Er sollte auf Wiederherstellung in einer kontrollierten Umgebung getestet werden.

Der Test ist nicht dasselbe wie die Nutzung. Ein Notdienstbetreiber benötigt im Normalbetrieb keinen Zugriff auf vertrauliche Aufzeichnungen. Aber ein unabhängiger Prüfer kann überprüfen, ob die Hinterlegung existiert, aktuell ist, die Zugriffskontrollen funktionsfähig sind und eine Wiederherstellung möglich wäre, wenn der Auslöser eintritt. Der Bericht kann Erfolgs-, Fehler- und Ausnahmekategorien veröffentlichen, ohne Mitgliedergeheimnisse preiszugeben.

AFRINIC hat gezeigt, warum dies nicht abstrakt ist. Eine Krise um Abstimmungsautorität, möglichen Listen- und Aufzeichnungssicherungszugriff wirft sofort die Frage auf, ob der Stand der Aufzeichnungen ausreichend zuverlässig ist, um verschoben zu werden. Eine Ersatzregel muss sagen, wie angefochtene Aufzeichnungen übertragen werden: mit Annotation, Einfrieren, unabhängiger Validierung oder Ausschluss von Routineaktionen bis zur Klärung. Sie muss verhindern, dass eine Übertragung eine unsichere Autorität in einen sauberen Betriebszustand weißwäscht.

Die Portabilität der Aufzeichnungen ist daher der zentrale Vermögenswert des Ersatzes. Ohne sie ist der Notdienstbetreiber nur ein Name. Mit ihr wird der Ersatz zu einem disziplinierten Akt der Bewahrung und nicht zu einem politischen Akt.

Der Datenstand muss vor der Autorität reisen

Die Autorität sollte dem Datenstand folgen, nicht vorausgehen. In einem Registernotfall sollte das System zuerst den zu bewahrenden Dienststand definieren und dann entscheiden, welcher Betreiber ihn rechtlich und technisch bewahren kann. Wenn die Autorität zuerst verschoben wird, kann der neue Betreiber gezwungen sein, Entscheidungen zu treffen, ohne zu wissen, was er kontrolliert.

Eine Migrationsakte sollte eine aktuelle Dienstkartierung enthalten. Sie sollte öffentliche Registerdienste, nicht öffentliche Mitglieder- und Ressourceninhaberakten, technische Vertrauensdienste, inverse DNS-Verantwortlichkeiten, ausstehende Anfragen, laufende Streitigkeiten, gerichtliche Anordnungen, Personal- und Lieferantenabhängigkeiten, Anmeldedaten, Überwachung, Sicherungsstatus und Kommunikationskanäle auflisten. Für jede Kategorie sollte angegeben werden, ob der Dienst nicht betroffen, gefährdet, eingefroren, eingeschränkt, angefochten oder nicht verfügbar ist.

Die Akte sollte auch die Transaktionszustände identifizieren. Ausstehende Transfers sind besonders sensibel. Ein Transfer kann beantragt, in Prüfung, auf Nachweise wartend, genehmigt aber nicht abgeschlossen, angefochten, durch eine gerichtliche Anordnung blockiert oder aus Gebührengründen verzögert sein. Wenn diese Zustände verloren gehen, können Käufer und Verkäufer mit doppelten Einreichungen, widersprüchlichen Zusagen oder Prioritätsverlust konfrontiert sein. Ein temporärer Betreiber sollte den Zustand nicht aus E-Mail-Fragmenten ableiten müssen.

RPKI und inverses DNS benötigen ihre eigenen Übergangsakten. Für die Ressourcenzertifizierung muss der Betreiber die Zertifizierungsstellenbeziehungen, Veröffentlichungspunkte, Repository-Status, ROAs, Validierungserwartungen und Notfall-Widerrufsgrenzen kennen. Für inverses DNS muss der Betreiber die übergeordneten Zonendelegationen, DS-Einträge, falls vorhanden, den Nameserver-Status und ausstehende Änderungen kennen. Diese Dienste können die Routing-Sicherheit, die E-Mail-Reputation, die Netzwerkdiagnose und die Cloud-Integration beeinflussen. Sie können nicht allein durch allgemeine Unternehmenssprache übertragen werden.

Abrechnung und Mitgliederstatus zählen ebenfalls. Wenn Mitglieder weiterhin zahlen müssen, um den Dienst zu erhalten, müssen sie wissen, an wen sie zahlen und wie Zahlungen gutgeschrieben werden. Wenn der gute Status eines Mitglieds angefochten ist, weil Bankkonten eingefroren oder Rechnungen verzögert wurden, sollte ein temporärer Betreiber diese Unsicherheit nicht ohne Prüfung in einen Verlust von Stimmrechten oder Dienst umwandeln.

Die Migrationsakte sollte den rechtlichen Kontext bewahren. Nationale gerichtliche Anordnungen können Vermögenswerte, Governance-Entscheidungen, Kommunikationen oder Handlungen an Ressourcen beschränken. Der Notdienstbetreiber muss wissen, welche Anordnungen existieren und wie sie den Dienst betreffen. Er sollte nicht annehmen, dass eine ICANN- oder NRO-Entscheidung lokales Recht aufhebt. Eine lokale Anordnung sollte auch nicht so interpretiert werden, dass sie die globale Dienstkontinuität zerstört, wenn eine engere Einhaltung möglich ist.

Die Regel sollte einen Einfrierpunkt definieren. Zum Zeitpunkt des Beginns der Notfallkontinuität können gewöhnliche Änderungen eine kurze kontrollierte Pause erfordern, während der Stand abgeglichen wird. Die Pause sollte kurz und veröffentlicht sein. Notfalländerungen, die einen Dienstverlust verhindern, sollten weiterhin möglich sein. Sobald der Stand bestätigt ist, sollten routinemäßige risikoarme Dienste unter dem begrenzten Mandat des temporären Betreibers wieder aufgenommen werden.

Deshalb kann die Ersatzregel nicht nur rechtlich sein. Sie ist operativ. Sie ist ein Verfahren zur Verschiebung eines lebenden Registrierungssystems, ohne die Gegenwart zu verlieren. Die Regel sollte wie eine Notfallübung getestet werden. Wenn die Akteure den aktuellen Stand in einem Test nicht rekonstruieren können, können sie Kontinuität in einer Krise nicht versprechen.

Die Mitglieder brauchen ein Migrationsverfahren, keinen Slogan

Für Mitglieder und Ressourceninhaber übersetzt sich der Ersatz in eine Reihe praktischer Fragen. Wo melde ich mich an? Wer kann unterschreiben? Zählt meine Rechnung? Kann ich einen Missbrauchskontakt aktualisieren? Kann ich eine inverse DNS-Delegation ändern? Ist mein RPKI-Status gültig? Kann eine ausstehende Übertragung abgeschlossen werden? Werden meine vertraulichen Dokumente verschoben? Welches Gesetz schützt meine Daten? Was passiert, wenn das alte Register und der temporäre Betreiber unterschiedliche Antworten geben?

Eine Ersatzregel sollte diese Fragen im Voraus beantworten. Die öffentliche Bekanntmachung sollte den Notdienstbetreiber, die Startzeit, den Dienstumfang, nicht betroffene Dienste, ausgesetzte Dienste, Notfallkontakte, die Methode der Mitgliederauthentifizierung, eine Zusammenfassung des Datenschutzes, die Kennzeichnung von Streitigkeiten, die Abrechnung, die voraussichtliche Dauer und den Rechtsweg angeben. Sie sollte allgemeine Behauptungen institutioneller Rettung vermeiden und sich auf die Dienstkontinuität konzentrieren.

Die Authentifizierung verdient besondere Aufmerksamkeit. Wenn die Krise eine angefochtene Mitgliederautorität beinhaltet, kann sich der temporäre Betreiber nicht blind auf bestehende Portalbemutzer oder Vollmachten verlassen. Er sollte eine mehrschichtige Verifizierungsmethode verwenden: aktuelle Registeraufzeichnungen, zuvor verifizierte Kontakte, Unternehmensautoritätsnachweise, falls erforderlich, Multi-Kontakt-Bestätigung für risikoreiche Änderungen und Streitindikatoren, wenn die Autorität angefochten ist. Öffentliche risikoarme Korrekturen können leichtere Nachweise erfordern.

Risikoreiche Transfers oder Änderungen des technischen Vertrauens erfordern stärkere Nachweise.

Das Verfahren sollte bestehende Rechte bewahren, ohne sie zu erweitern. Ein Ressourceninhaber sollte kein Transferrecht erhalten, nur weil die Notfallkontinuität beginnt. Er sollte auch keinen anerkannten Dienst verlieren, nur weil die Governance geprüft wird. Der temporäre Betreiber sollte den Status quo der Aufzeichnungen aufrechterhalten, es sei denn, eine definierte und verifizierte Änderung ist erlaubt. Dieser Status quo sollte die Kennzeichnung von Streitigkeiten umfassen, wenn die Aufzeichnung angefochten ist.

Die Kommunikation sollte direkt und bei Bedarf mehrsprachig sein. Eine Krise in der AFRINIC-Region umfasst viele Länder, Rechtssysteme und Betreibergemeinschaften. Englisch mag die offizielle Sprache des Registersystems für die Hauptprüfung bleiben, aber die mitgliederorientierte Kontinuität erfordert klare und zugängliche Bekanntmachungen. Die Regel sollte Mindestkommunikationskanäle definieren: Website-Ankündigung, direkte E-Mail an verifizierte Kontakte, öffentliche Statusseite, Support-Anweisungen und regelmäßige Berichte.

Die Mitglieder benötigen auch eine Möglichkeit, Beweise einzureichen. Wenn der Kontaktdatensatz eines Mitglieds fehlerhaft ist, eine ausstehende Anfrage fehlt, eine Vollmacht gefälscht ist, ein Transferstatus falsch aufgezeichnet ist oder eine gerichtliche Anordnung seine Ressourcen betrifft, benötigt der temporäre Betreiber einen Triage-Weg. Der Weg sollte schnell, dokumentiert und auf Kontinuitätstatsachen beschränkt sein. Er sollte nicht zu einem allgemeinen Forum für politische Argumente werden.

Das Verfahren sollte auch das Personal schützen. In vielen Registerkrisen hält das Personal die Dienste am Laufen, während Vorstände, Gerichte und öffentliche Fraktionen streiten. Ein temporärer Betreiber benötigt möglicherweise die Zusammenarbeit des bestehenden Personals, aber dieses könnte mit widersprüchlichen Anweisungen konfrontiert sein. Die Regel sollte festlegen, wie das Personal Kontinuitätsinformationen bereitstellen, Aufzeichnungen aufbewahren und persönliche Exposition vermeiden kann.

Sie sollte einzelne Mitarbeiter nicht zwingen, sich ohne rechtliche Klarheit zwischen nationalen Anordnungen und globalen Kontinuitätserwartungen zu entscheiden.

Ein Slogan sagt „ein anderer RIR könnte einspringen". Ein Migrationsverfahren sagt, wie jedes Mitglied den Montagmorgen erlebt. Letzteres ist für die Kontinuität notwendig.

Was die ICANN legitimerweise verlangen kann

Die legitime Forderung der ICANN in einer AFRINIC-ähnlichen Krise ist der Nachweis von Dienstfähigkeit, Neutralität und Kontinuität. Sie kann fragen, ob Aufzeichnungen aufbewahrt werden, ob Mitglieder gleich behandelt werden, ob die Governance wiederhergestellt werden kann, ob unzulässiger Einfluss eingedämmt wird, ob die grundlegenden Dienste funktionieren, ob Sicherungen aktuell sind, ob das Personal handlungsbefugt ist und ob die Gemeinschaft der Region wahrheitsgemäße Informationen erhält. Diese Anfragen entsprechen der Funktion, die die ICANN bei der Koordination des anerkannten RIR-Systems ausübt.

Die ICANN sollte keine politische Loyalität, ein bevorzugtes Wahlergebnis, die Niederlage eines bestimmten Prozessparteien oder eine in Los Angeles ausgewählte politische Position verlangen. Sie sollte die Anerkennung nicht nutzen, um eine Region zu bestrafen, die mit einem globalen Akteur nicht einverstanden ist. Sie sollte eine Sorge um den Einfluss eines Mitglieds nicht in die Befugnis umwandeln, jede Satzungsänderung zu genehmigen. Die Grenze ist das Dienstrisiko und die anerkannte Pflicht.

Der Brief vom Juni 2025 war am stärksten, wo er konkrete Pflichten nannte: Gemeinschaftsunterstützung, Gleichbehandlung, Unparteilichkeit, Unabhängigkeit, offene Mitgliedschaft, Führung von Aufzeichnungen und Sicherungen. Er war anfälliger, wo er Bedenken über Einflüsse äußerte, die die AFRINIC-Politik zu Positionen bringen könnten, die der globalen Koordination zuwiderlaufen. Dies kann eine legitime Sorge sein, wenn der Einfluss den unparteiischen Dienst oder das Nummerierungssystem gefährdet. Es erfordert eine präzise Beweisaufstellung, um den Eindruck einer Politikpolizei zu vermeiden.

Eine Ersatzregel hilft der ICANN, bessere Forderungen zu formulieren. Anstatt unter Druck allgemeine Fragen zu stellen, kann die ICANN jede Anfrage mit einem bekannten Auslöser und einer Dienstkonsequenz verknüpfen.

„Den Stand der Aufzeichnungssicherungen bereitstellen, weil die Notfallkontinuität eine verifizierte Portabilität der Aufzeichnungen erfordert." „Die Ergebnisse der Untersuchung der Mitgliederautorität bereitstellen, weil routinemäßige Governance und risikoreiche Mitgliederaktionen von verifizierter Autorität abhängen." „Dienstkennzahlen bereitstellen, weil die formelle Prüfung den Nachweis der Betriebsfähigkeit erfordert." Das macht die Anfrage weniger politisch und rechenschaftspflichtiger.

Die ICANN kann auch die Aufbewahrung verlangen. Die Vernichtung oder Veränderung von Wahlunterlagen, Ressourcenaufzeichnungen, Autoritätsnachweisen, Sicherungen, Ticketprotokollen oder technischem Vertrauensmaterial würde die Prüfung und Kontinuität gefährden. Eine Aufbewahrungsverfügung ist gerechtfertigt, wenn glaubhafte Krisenbeweise auftauchen. Die Verfügung sollte die Kategorien, die Verwahrer, die Aufbewahrungsmethode und die Vertraulichkeit angeben.

Die ICANN kann Transparenz vom Verwalter oder Leitungsorgan verlangen, weil öffentliches Vertrauen Teil der Dienstlegitimität des RIR ist. Aber Transparenz muss kalibriert sein. Einige Untersuchungsdetails, personenbezogene Daten, Anmeldedaten und vertrauliche Mitgliederakten können nicht veröffentlicht werden. Die Forderung sollte sich auf einen öffentlichen Statusbericht beziehen, nicht auf eine rücksichtslose Offenlegung.

Schließlich kann die ICANN einen Abhilfeplan verlangen. Wenn das betroffene Register die Governance wiederherstellen, die Mitgliederautorität überprüfen, Aufzeichnungen aufbewahren, Dienste reparieren und sich einer Prüfung unterziehen kann, sollte der Ersatz unnötig bleiben. Die Regel sollte die Abhilfe zum bevorzugten Ergebnis machen. Ersatz ist kein Sieg. Er ist eine Antwort auf ein kontrolliertes Versagen.

Was eine Ersatzregel sagen sollte

Die Ersatzregel sollte mit Auslösern beginnen. Notfallkontinuität sollte nur verfügbar sein, wenn ein RIR nicht in der Lage ist, alle oder einen definierten Teil seiner Dienste angemessen bereitzustellen, oder wenn die fortgesetzte Bereitstellung ein erhebliches Risiko für Aufzeichnungen, Neutralität oder Dienstintegrität darstellt, das nicht durch engere Maßnahmen gelöst werden kann. Der formelle Anerkennungsverlust sollte eine separate und höhere Schwelle erfordern.

Sie sollte berechtigte Betreiber definieren. Ein Betreiber sollte ein qualifizierter RIR oder eine andere genehmigte Einheit mit technischer Fähigkeit, rechtlicher Kapazität, Datenschutzkontrollen, finanzieller Leistungsfähigkeit, Unabhängigkeit vom Streit, Konfliktoffenlegungen, Diensterfahrung und Zustimmung zum temporären Mandat sein. Das Leitungsorgan des Betreibers selbst sollte die Rolle gemäß seinen eigenen Regeln genehmigen.

Sie sollte Zustimmung und Genehmigung definieren. Notbetrieb sollte die Zustimmung der ICANN und der anderen RIRs, eine Diskussion mit dem betroffenen RIR und seiner Gemeinschaft, soweit möglich, und veröffentlichte Gründe erfordern, wenn eine vollständige Diskussion nicht möglich ist. Die dauerhafte Nachfolge oder der Anerkennungsverlust sollte den separaten Vorschlagsweg und veröffentlichte Empfehlungen erfordern.

Sie sollte den Dienstumfang definieren. Die Bekanntmachung sollte die Dienste auflisten, die der Betreiber erbringen wird: öffentliche Abfrage, Support, Kontaktaktualisierungen, Transferabwicklung, inverses DNS, Ressourcenzertifizierung, Abrechnung, Kommunikation, Aufbewahrung von Aufzeichnungen, politische Unterstützung oder nur eine Teilmenge. Alles, was nicht aufgeführt ist, bleibt außerhalb des temporären Mandats.

Sie sollte die Datenbewegung definieren. Das betroffene Register sollte regelmäßig einen aktuellen und wiederherstellbaren Satz erforderlicher Aufzeichnungen unter unabhängigen Kontrollen hinterlegen. Der Zugriff sollte durch ein Ereignis ausgelöst, protokolliert, durch Vertraulichkeit eingeschränkt und nach der Nutzung überprüft werden. Angefochtene Aufzeichnungen sollten mit Annotation verschoben werden, anstatt stillschweigend normalisiert zu werden.

Sie sollte die Mitgliederauthentifizierung definieren. Routinemäßige risikoarme Anfragen, risikoreiche Ressourcenänderungen, Transferanweisungen, Abrechnungsstreitigkeiten und Abstimmungsautorität erfordern jeweils unterschiedliche Nachweise. Eine Krise mit Vollmachten sollte keine Vollmachten als alleinigen Autoritätsweg ohne Überprüfung verwenden.

Sie sollte die Kontinuität des technischen Vertrauens definieren. RPKI, inverses DNS und Verzeichnisdienste erfordern spezifische Übergabeschritte, einschließlich Einfrierpunkten, Validierungsprüfungen, Repository-Status, Delegationsstatus, Notfallkontakten, Aufbewahrung alter Dienste und Rückgabekriterien.

Sie sollte Zeitlimits und Verlängerung definieren. Der anfängliche Zeitraum von neunzig Tagen aus dem NRO-Entwurf ist eine nützliche Basis, aber die Verlängerung sollte aktualisierte Gründe, Leistungsnachweise, Rückmeldungen der Gemeinschaft und einen Rückführungs- oder Eskalationsplan erfordern.

Sie sollte die Überprüfung definieren. Das betroffene Register, die betroffenen Ressourceninhaber und der temporäre Betreiber sollten Mittel haben, um Umfang, Fehler, Überschreitungen oder gefährliche Anweisungen anzufechten. Die Überprüfung muss schnell genug sein, um während des Notfalls nützlich zu sein.

Sie sollte die Rückübertragung definieren. Das betroffene RIR sollte die Dienste wieder übernehmen, sobald die Betriebsfähigkeit wiederhergestellt und überprüft ist. Die Rückübertragung sollte eine Standabstimmung, ein Audit, eine Mitteilung an die Mitglieder, technische Überprüfungen, einen Nachbericht und Lehren für den nächsten Notfall umfassen.

Die Regel sollte detailliert genug sein, um ausführbar zu sein, aber eng genug, um die gewöhnliche Registerautonomie nicht zu zentralisieren. Das ist die Balance, die AFRINIC hervorgehoben hat.

Die gewöhnliche Abhängigkeit braucht ihren eigenen Schutz

Der am wenigsten sichtbare Kreis in einer Anerkennungskrise ist oft der wichtigste: der gewöhnliche Ressourceninhaber, der den Streit nicht verursacht hat. Ein kleiner Internetdienstanbieter, ein Universitätsnetzwerk, ein regionaler Austauschpunkt, ein Content-Hoster, eine Bank, ein Krankenhaus, ein Forschungsnetzwerk oder eine öffentliche Einrichtung mag keine Rolle in einem Vorstandskampf spielen und keinen Appetit auf ein globales institutionelles Argument haben.

Er ist dennoch auf das Register angewiesen, um genaue Aufzeichnungen, erreichbare Kontakte, inverse DNS-Änderungen, Ressourcenzertifizierungsstatus, Missbrauchskontaktdaten, Kontostand und den Nachweis zu erhalten, dass seine Nummernressourcen weiterhin rechtmäßig gehalten werden.

Diese gewöhnliche Abhängigkeit ist der Grund, warum der Ersatz nicht nur für Vorstände, Verwalter, Gerichte und globale Koordinierungsgremien konzipiert werden kann. Die Regel muss diejenigen schützen, die das Registerversagen als Unterbrechung, Unsicherheit und Transaktionsrisiko erleben.

Wenn die einzige öffentliche Botschaft ist, dass die ICANN die Anerkennung prüfen kann und ein anderer Betreiber einspringen kann, bleiben die Mitglieder im Unklaren, ob ihre täglichen Dienste unterbrochen werden, ob ihre bestehenden Anmeldedaten gültig bleiben, ob eine bereits in Prüfung befindliche Übertragung geehrt wird, ob vertrauliche Dokumente kopiert werden und ob routinemäßige Änderungen zu Beweisen in einem politischen Konflikt werden.

Das Problem der Abhängigkeit ist praktisch. Netzbetreiber nutzen die Registeraufzeichnungen, um Routen zu filtern, Kunden zu bewerten, Missbrauch zu untersuchen, ihre Ressourcenrechte gegenüber Lieferanten nachzuweisen, Beschaffungsfragen zu beantworten, Kontinuität gegenüber Banken und Versicherern nachzuweisen und Due Diligence bei Transaktionen zu erfüllen. Selbst wenn die Pakete weiterfließen, kann eine Legitimitätskrise des Registers Dritte zögern lassen. Ein Cloud-Anbieter kann klarere Ressourcennachweise verlangen. Ein Käufer kann eine Übertragung verzögern. Ein Kreditgeber kann Adressvermögenswerte abschreiben.

Ein öffentlicher Käufer kann die Ressourcenkontrolle eines Lieferanten in Frage stellen. Ein Sicherheitsteam kann veraltete Registeraufzeichnungen als Risikosignal betrachten. Diese Effekte sind keine spektakulären Ausfälle, aber es sind reale Kosten.

Eine Ersatzregel sollte daher einen Abhängigkeitsschild definieren. Während des Notbetriebs sollte kein Ressourceninhaber den anerkannten Dienst, den Kontostand oder die routinemäßigen Rechte verlieren, nur weil die Anerkennung geprüft wird. Der temporäre Betreiber sollte den letzten verifizierten Stand der Ressourcen bewahren, angefochtene Aufzeichnungen gegebenenfalls kennzeichnen und routinemäßige risikoarme Dienste so bald wie möglich nach einer kurzen Abgleichspause wieder aufnehmen.

Risikoreiche Änderungen können stärkere Nachweise erfordern, aber die gewöhnliche Abhängigkeit sollte nicht auf unbestimmte Zeit eingefroren werden, weil eine Wahlakte angefochten ist.

Der Schild sollte auch sagen, was gültig bleibt. Bestehende öffentliche Registrierungseinträge sollten öffentlich zugänglich bleiben, es sei denn, ein bestimmter Eintrag ist bekanntermaßen gefährlich. Der bestehende Stand der Ressourcenzertifizierung sollte während der Übergangsprüfungen bewahrt werden. Bestehende inverse DNS-Delegationen sollten aktiv bleiben, es sei denn, es gibt einen Sicherheits- oder rechtlichen Grund, sie zu ändern. Bestehende Tickets sollten ihren Platz in der Warteschlange mit sichtbarem Status behalten. Bestehende Rechnungen und Zahlungen sollten abgeglichen und nicht verworfen werden.

Bestehende vertrauliche Einreichungen sollten nach den Verpflichtungen des temporären Betreibers vertraulich bleiben.

Dieser Ansatz schützt beide Seiten des Legitimitätsarguments. Er verhindert, dass ein scheiternder Betreiber Mitglieder als Geiseln nimmt, indem er sagt, dass jede externe Unterstützung den Dienst zerstören würde. Er verhindert auch, dass ein externer Akteur die Dienstkontinuität als Vorwand nutzt, um Mitgliederrechte neu zu ordnen. Die Basis ist die Bewahrung. Änderung erfordert einen definierten Grund, einen definierten Autoritätsweg und eine Aufzeichnung, die überprüft werden kann.

Der Abhängigkeitsschild sollte eine Aussetzung von Strafmaßnahmen beinhalten. Während der anfänglichen Notfallperiode sollte der temporäre Betreiber keine Ressourcen sperren, Mitgliedschaften kündigen, Verlängerungen ablehnen, eine Übertragung abschließen oder den Status eines Mitglieds aufgrund von Aufzeichnungen ändern, die von der Krise betroffen sind, es sei denn, die sofortige Sicherheit, die Einhaltung einer gerichtlichen Anordnung oder offensichtlicher Betrug erfordern Maßnahmen.

Gebühren können weiterhin erhoben werden, und routinemäßige Verpflichtungen können weiterhin aufrechterhalten werden, aber der Betreiber sollte administrative Verwirrung nicht in einen Rechtsverlust umwandeln.

Die Kennzeichnung von Streitigkeiten ist besser als stillschweigende Normalisierung. Wenn zwei Parteien die Autorität über dasselbe Mitgliedskonto beanspruchen, sollte der temporäre Betreiber das Konto als streitig kennzeichnen, risikoarme Kontinuitätsdienste zulassen, wenn es sicher ist, und stärkere Nachweise für risikoreiche Änderungen verlangen. Wenn eine Transferakte unvollständig ist, weil eine gerichtliche Anordnung oder ein Personalzugriffsproblem die Prüfung unterbrochen hat, sollte die Akte mit ihrem beschriebenen Status aufbewahrt werden.

Wenn eine Vollmacht in Zweifel gezogen wird, sollte sie nicht standardmäßig akzeptiert oder abgelehnt werden, nur weil sie sich im Aufzeichnungssatz befand. Sie sollte gemäß der Notfall-Authentifizierungsregel überprüft werden.

Derselbe Schutz sollte für Daten gelten. Die Mitglieder sollten wissen, welche Kategorien ihrer Informationen vom Notdienstbetreiber eingesehen werden können, warum der Zugriff erforderlich ist, welche Vertraulichkeitsverpflichtungen gelten, wo die Daten gespeichert werden, wie der Zugriff protokolliert wird, wann die Daten zurückgegeben oder gelöscht werden und wie ein Mitglied einen Fehler melden kann. Dies ist keine optionale rechtliche Hygiene. In einer Region mit mehreren Ländern ist das Vertrauen in die Datenverarbeitung Teil des Vertrauens in den Ersatz selbst.

Die gewöhnliche Abhängigkeit benötigt auch öffentliche Kennzahlen. Ein temporärer Betreiber sollte über Ticketvolumina, Dienstverfügbarkeit, Bearbeitungszeit für Routineanfragen, Kategorien ausgesetzter Dienste, Anzahl von Streitigkeiten, Stand des technischen Vertrauens und erwartete Rückführungsmeilensteine berichten. Der Bericht sollte keine sensiblen Mitgliederakten offenlegen. Er sollte den Mitgliedern genügend Informationen geben, um zu entscheiden, ob die Brücke funktioniert. Schweigen erzeugt Gerüchte, und Gerüchte erhöhen die Transaktionskosten.

Die AFRINIC-Krise zeigt, warum dieser Schutz zentral ist. Die Ressourceninhaber in der Region brauchten keine theoretische Debatte über die Anerkennungsautorität. Sie brauchten, dass das Register funktioniert, dass die Aufzeichnungen glaubwürdig bleiben und dass jeder externe Kontinuitätsplan die regionalen Rechte respektiert. Eine Ersatzregel, die die gewöhnliche Abhängigkeit ignoriert, wird nicht nach ihrer institutionellen Theorie beurteilt, sondern danach, ob die Mitglieder ihre Netzwerke am Montagmorgen immer noch betreiben können.

Das Risiko, nichts zu tun

Das Risiko besteht nicht nur darin, dass ein scheiterndes Register der Region schaden kann. Das Risiko besteht darin, dass eine undefinierte Rettungsmacht der Region schaden kann, indem sie zu helfen versucht. Eine vage Drohung kann die Transaktionskosten erhöhen, Fraktionen vertiefen, Gerichte alarmieren, Investitionen einfrieren, opportunistische Klagen ermutigen und jedes gewöhnliche Mitglied dazu bringen, sich zu fragen, ob sein Dienst kurz vor einer Änderung steht. Ein vager Notdienstbetreiber kann Daten-, Haftungs- und Legitimitätsprobleme schaffen, die die Krise überdauern.

Nichts zu tun schützt auch bestehende Betreiber zu sehr. Wenn keine Ersatzregel existiert, kann ein Register in der Krise argumentieren, dass jeder Umzug zu gefährlich wäre. Es kann das Fehlen eines Plans als Schutzschild gegen Prüfungen nutzen. Das schafft moralisches Risiko. Je schlechter der Kontinuitätsplan, desto unverzichtbarer erscheint der bestehende Betreiber. Eine kritische Institution sollte nicht immun werden, weil ein Ersatz schwierig wäre.

Die richtige Antwort ist nicht aggressive Intervention. Es ist Vorbereitung. Das System sollte den Ersatz weniger attraktiv, aber möglich machen. Weniger attraktiv, weil Abhilfe, Prüfung und enge Sicherungen die meisten Probleme vor einer Transition lösen sollten. Möglicher, weil Aufzeichnungen, Dienstkartierungen und Betreiberregeln existieren sollten, wenn der öffentliche Dienst wirklich nicht fortgesetzt werden kann.

Die AFRINIC-Krise hat bereits die Kosten einer späten Planung gezeigt. Die Briefe, Gerichtseinreichungen, Medienberichte, Mitgliedervorwürfe und Notfallkonzepte kamen, während die Dienste noch laufen mussten. Das ist der schlechteste Zeitpunkt, um zu entscheiden, wer Aufzeichnungen halten kann, wer Mitglieder authentifizieren kann, wer für den Betreiber zahlt, wer ein Transfer-Ticket beantwortet oder wie die Dienste zum bestehenden Betreiber zurückgeführt werden.

Die ICANN und die RIRs sollten die AFRINIC-Warnung als Planungsdeadline betrachten. Die Anerkennungsprüfung hat jetzt einen sichtbaren Präzedenzfall. Der nächste Schritt sollte eine Ersatzregel sein, die die Mitglieder lesen können, bevor sie sie brauchen. Die Regel sollte operativ genug für Ingenieure, rechtlich genug für Gerichte, abgegrenzt genug für regionale Autonomie und öffentlich genug für die Märkte sein.

Das Ziel ist nicht, den Anerkennungsverlust zu erleichtern. Es ist, die Kontinuität glaubwürdig zu machen. Wenn ein Register wiederhergestellt werden kann, stellen Sie es mit Beweisen wieder her. Wenn ein temporärer Betreiber erforderlich ist, begrenzen Sie ihn. Wenn Aufzeichnungen verschoben werden müssen, verschieben Sie sie mit Kennzeichnung und Vertraulichkeit. Wenn die Autorität wechseln muss, veröffentlichen Sie die Gründe und Prüfungsrechte. Wenn der bestehende Betreiber zurückkehrt, machen Sie es ordentlich. Wenn er es nicht kann, verwenden Sie einen separaten und begründeten Nachfolgeweg.

Die ICANN-Drohung gegen AFRINIC war daher eine Warnung für das gesamte System, nicht nur für einen Verwalter. Die Anerkennungsschicht braucht jetzt die fehlende Regel darunter. Solange diese Regel nicht existiert, wird jede Prüfdrohung eine zweite unnötige Drohung tragen: nicht nur, dass der bestehende Betreiber scheitern kann, sondern dass noch niemand den sicheren Weg geschrieben hat, den Dienst zu ersetzen, ohne die Rechte der Region zu ersetzen.

Die ICANN-Drohung gegen AFRINIC und das Fehlen einer Ersatzregel