Zusammenfassung

  • RFC 9505 gliedert Zensur in prescription, identification und interference: Eine Sperrliste gehört zur Zielvorgabe, ein verworfenes Paket zum Eingriff.
  • Kontrollpunkte reichen von Gateways, ISPs und Institutionen über CDNs, Zertifikats- und Registerfunktionen bis zu Diensten, Plattformen und Endgeräten.
  • Verschlüsselung entzieht manche billige Erkennungssignale, kann Druck aber auf Metadaten, gröbere Sperren, Dienstanbieter oder Geräte verlagern.

Die Fehlermeldung ist das letzte Bild

Eine abweichende DNS-Antwort, ein unerwartetes RST, anhaltender Verlust oder extreme Verzögerung sind belastbare Beobachtungen. Allein benennen sie keinen Entscheider. Überlastung, Defekt und Fehlkonfiguration können ähnliche Spuren hinterlassen. Selbst ein absichtlicher Eingriff kann von einer anderen Organisation ausgeführt werden als jener, die ihn angeordnet hat.

RFC 9505 erschien 2023 als Informational RFC im IRTF-Stream. Das Dokument unterscheidet drei Elemente. Prescription bestimmt, welche Inhalte, Nutzer, Dienste oder Protokolle unterdrückt werden sollen. Identification ordnet konkreten Verkehr oder Kennungen dieser Vorgabe zu. Interference verhindert den Zugang oder beeinträchtigt die Verbindung. Knodel ist eine von sechs Autorinnen und Autoren des PEARG-Konsensdokuments; es ist kein IETF-Standard.

Die Dreiteilung begrenzt Aussagen. Ein Domainname in einer Liste belegt Auswahl, aber weder den Einsatz der Liste noch den Treffer einer bestimmten Anfrage oder einen Eingriff beim Nutzer. Reproduzierbare Resets können einen Eingriff an einem Messpunkt belegen, ohne Regel, Auftraggeber oder Motivation offenzulegen. Gerade die fehlenden Verknüpfungen gehören in den Befund.

Drei Akten statt eines Etiketts

Die Vorgabeakte fragt: Wer wählte das Ziel, mit welcher Befugnis, für welches Gebiet, ab wann, wie lange und mit welcher Korrekturmöglichkeit? Schlüsselwörter, Domains, Adressen, Bild-Hashes, Kontoklassen oder Heuristiken übersetzen eine allgemeine Anordnung in technische Ziele. Das kann geschehen, bevor ein Paket fließt.

Die Erkennungsakte fragt nach dem sichtbaren Merkmal. Auf Anwendungsebene können Hostname, URL, Header oder Inhalt dienen; auf Transportebene Port, Handshake-Merkmal oder Protokollfingerabdruck; auf Netzebene Adresse und Route. Deep Packet Inspection kann Ströme zusammensetzen. Sehen zu können ist trotzdem nicht dasselbe wie gehandelt zu haben.

Die Eingriffsakte beschreibt die Handlung: DNS-Manipulation, Drosselung, Paketverlust, RST-Injektion, feindliche Routenankündigung, Netzabschaltung, DDoS, Serverentfernung oder Zwang gegenüber einer Plattform. Maßnahmen mit unterschiedlicher Reichweite, Kostenstruktur und Nebenwirkung können dieselbe leere Seite erzeugen.

Ein binäres „gesperrt“ bleibt für die Erstbewertung brauchbar, solange es seinen Maßstab nennt. Es beschreibt einen Befund an Ort und Zeit. Aussagen über Vorschrift und Urheber brauchen zusätzliche Belege; andernfalls müssen sie als Schlussfolgerung markiert bleiben.

Kontrolle hat keinen einzigen Standort

RFC 9505 nennt Backbones und internationale Gateways, Zugangsanbieter, Institutionen, CDNs, Zertifizierungsstellen und Registerfunktionen, Anwendungsdienste, Inhaltsseiten und persönliche Geräte. Das Bild einer einzigen Filterbox im Pfad ist zu eng.

Ein Gateway kann Verkehr erkennen, während eine Plattform Inhalte ohne Netzspur entfernt. Druck kann an Namens- oder Vertrauensabhängigkeiten ansetzen. Ein Arbeitgeber filtert im lokalen Netz; Gerätesoftware verhindert den Zugriff, bevor der ISP Verkehr sieht. Vorgabe, Beobachtung und Ausführung können bei drei Akteuren liegen.

Mehrere gleichzeitig eingesetzte Verfahren bezeichnet der RFC als „censorship in depth“. DNS-, Adress- und Anwendungssperren können dasselbe Ziel treffen, auch parallele Systeme sind möglich. Das kostet mehr, macht aber die Umgehung einer einzelnen Schicht unzureichend. Verschwindet ein altes Symptom, ist deshalb auch eine Verlagerung zu prüfen.

Verschlüsselung verändert den Preis

Verschlüsselung schützt wirksam. HTTPS verbirgt Pfade und Inhalte vor passiven Zwischenstellen; geschützte Handshake-Felder können einen billig auswertbaren Domainhinweis entfernen. RFC 9505 nennt mehr Verschlüsselung eine wirksame Gegenmaßnahme gegen manche Verfahren.

Nicht gegen alle. Fehlt das feine Signal, kann ein Akteur ganze Adressen oder Protokollklassen sperren, mehr Fehlblockaden akzeptieren oder Dienst und Endgerät zum Handeln zwingen. Die Kontrollpunktkarte macht solche Optionen sichtbar, behauptet aber nicht, dass ein bestimmter Akteur sie zwangsläufig wählt.

RFC 7754 beschreibt den daraus entstehenden Zielkonflikt über Reichweite, Granularität, Wirksamkeit und Kollateralschäden. Präzise Filter können Unbeteiligte schonen, sind aber komplexer und leichter zu umgehen. Grobe Sperren sind billig und treffen legitime Kommunikation. Ob ein konkreter Fall rechtmäßig oder ethisch ist, entscheidet die technische Analyse nicht.

Bestandsaufnahme, nicht Urteil

RFC 9505 fasst vorhandene Literatur und damalige empirische Beispiele zusammen. Er bezeichnet sich als Momentaufnahme, fordert vergleichbar methodische Aktualisierungen und gibt keine normativen Empfehlungen für einzelne Protokolle. Die historischen Beispiele sind kein aktuelles Länderranking.

Die Zurückhaltung passt zu RFC 6973: Korrelation, Identifizierung und Systemkontext müssen in der Datenschutzanalyse getrennt bleiben. RFC 8890 hält die IAB-Position fest, bei Interessenkonflikten die Endnutzer in der Standardisierung zu bevorzugen. Beide geben Orientierung; keiner macht aus einem einzelnen Timeout einen Intentionsnachweis.

Knodels Beitrag mit ihren Mitautoren liegt in der überprüfbaren Reihenfolge der Fragen: Wer bestimmte das Ziel, welches Merkmal stellte die Zuordnung her, wer griff wo ein? Paketverlust ist ein Befund. Die vorgelagerte Macht wird erst sichtbar, wenn die drei Akten verbunden werden.

Quellen