Nick Feamster lehrt das Netz, sich zu erklären – und deckt die Grenzen der Messung auf

Zusammenfassung

• Nick Feamster ist Professor an der University of Chicago, Netzwerkmessungsforscher, Institutionenbauer und Mitbegründer von NetMicroscope. Sein Fokus liegt darauf, verborgenes Internetverhalten in eine rechenschaftspflichtige Entscheidungsgrundlage zu verwandeln.
• Seine Arbeit an rcc deckte in 17 autonomen Systemen über 1.000 zuvor nicht erkannte Fehler auf; die Routing Control Platform half, ein später mit SDN verbundenes netzwerkweites Kontrollmodell zu etablieren.
• Projekte zu Spam, Breitband, Zensur und Smart Homes zeigen die Grenzen der Messung auf: Reputationsurteile können falsch positive Ergebnisse liefern, Fernsonden schaffen Risiken, und Metadaten verschlüsselten Verkehrs können weiterhin Verhalten offenbaren.
• Seine aktuelle Forschung zum maschinellen Lernen fragt, ob Schlussfolgerungen in Produktionsumgebungen effizient, prüfbar und sicher sein können; sein Kernbeitrag sind kollaborative Systeme, die bei der Nutzung von Evidenz Unsicherheit bewahren statt beseitigen.

Rcc: Kombinierte Konfigurationen vor der Bereitstellung prüfen

Das 2005 erschienene PaperDetecting BGP Configuration Faults with Static Analysisvon Feamster und Hari Balakrishnan stellt den Router Configuration Checker rcc vor. Das Paper unterteilt persistente Fehler in zwei Klassen. Routen-Gültigkeitsfehler (route validity faults) treten auf, wenn die Control Plane eine Route auswählt, der keine tatsächlich verfügbare Data-Plane-Pfad entspricht. Routen-Sichtbarkeitsfehler (path visibility faults) liegen vor, wenn ein verfügbarer Pfad existiert, der Router, der ihn benötigt, ihn aber nicht gelernt hat. Diese Klassifizierung verknüpft Konfigurationsbefehle mit für Betreiber erkennbaren Ergebnissen.

rcc analysiert die Konfigurationen mehrerer Router und prüft netzwerkweite Bedingungen. Das Paper berichtet über die Analyse von 17 autonomen Systemen, wobei mehr als 1.000 zuvor unentdeckte Fehler gefunden wurden; es wurde über 65 Mal von Betreibern heruntergeladen. Dies sind historische, von den Autoren berichtete Daten, die weder belegen, dass rcc zu einem universellen Industrieprodukt wurde, noch, wie viele Netze es später weiterverwendeten; sie zeigen jedoch, dass das Projekt tatsächlich mit realen Konfigurationen konfrontiert war und Betreiber außerhalb des Labors der Autoren erreichte.

Der operative Nutzen ergibt sich aus der Art der Evidenz. Der Checker kann vor einem Ausfall anzeigen, welche Kombination von Konfigurationen eine Invariante verletzt. Dies unterscheidet sich von einem Dashboard, das erst nach einer Dienstverschlechterung Paketverluste meldet. Der Ingenieur erhält eine Kette von Schlussfolgerungen – von der Regel zur Fehlerklasse –, die für Überprüfungen, Tests und teamübergreifende Diskussionen genutzt werden kann.

Die Grenzen sind ebenso wichtig. rcc kann nur Eigenschaften prüfen, die von den Entwicklern kodiert wurden und vom Parser unterstützt werden. Es kann undokumentierte geschäftliche Absichten nicht erkennen, keine Freiheit von Herstellerfehlern oder physischen Ausfällen garantieren und auch nicht den Zustand „Konfiguration sauber“ in einen Beweis umwandeln, dass „niemals transiente Probleme auftreten“. Ein Netz kann alle vorhandenen Checks bestehen und trotzdem eine nie formulierte Anforderung verletzen.

Somit etabliert rcc die durch den gesamten Artikel ziehende Dualität von Ambition und Zurückhaltung: Die Ambition, Infrastrukturverhalten berechenbar zu machen, bevor Schaden entsteht; die Zurückhaltung, anzuerkennen, dass Korrektheit stets relativ zu den beobachteten Eingaben und deklarierten Eigenschaften ist. Moderne KI für den Netzbetrieb steht vor derselben Herausforderung – nur dass die Grenzen noch schwerer zu erkennen sind, wenn Modelle flüssige Erklärungen statt expliziter Invarianten liefern.

Das Internet weiß oft, was es tut, aber nicht, warum

Ein Datenpaket erreicht sein Ziel oder auch nicht. Ein Videoanruf stockt. Eine Domain liefert eine unerwartete Adresse. Der Mailserver verweigert die Verbindung. Ein intelligenter Lautsprecher kontaktiert zu einem verdächtigen Zeitpunkt einen entfernten Dienst. Jedes Ereignis hinterlässt Spuren, aber das Internet besitzt kein zentrales Hauptbuch, das eine eindeutige und autoritative Erklärung liefern könnte. Sein Verhalten entsteht aus unabhängig voneinander betriebenen Netzen, herstellerspezifischen Konfigurationen, privaten Zusammenschaltungsvereinbarungen, Heimgeräten, Applikationsdesign und sich ständig ändernden Nutzerbedürfnissen.

Diese Struktur ist wertvoll, weil sie verhindert, dass ein einzelner Betreiber das gesamte System kontrolliert; sie erschwert aber auch die Diagnose. Ein Router kann seine eigene Routingtabelle anzeigen, aber nicht die gesamten Konsequenzen einer kombinierten Routing-Policy erklären. Ein Geschwindigkeitstest kann eine einzelne Übertragung messen, aber nicht automatisch zwischen WLAN, Anschlusskapazität, Latenz, Zusammenschaltung und Applikationsfaktoren unterscheiden. Eine Zensur-Sonde kann beobachten, dass eine Anfrage fehlschlägt, aber nicht zwingend den oder die Verantwortlichen identifizieren.

Ein Traffic Classifier kann Labels vergeben, aber nicht belegen, dass diese nach Netzänderungen weiterhin korrekt sind.

Feamsters Forschung lässt sich als ein kontinuierliches Bemühen verstehen, diese Wissenslücken zu schließen. Die Technologien mögen wechseln, die Methodik bleibt stabil: Erstens ein wichtiges, aber verborgenes Verhalten identifizieren; zweitens Beobachtungspunkte suchen, an denen es messbare Signale hinterlässt; drittens eine Repräsentation entwickeln, die diese Signale in Fragen übersetzt, die Betreiber, Politikgestalter oder Nutzer stellen können; und viertens testen, an welchen Stellen diese Repräsentation versagt.

Der letzte Schritt ist unverzichtbar, denn ein System, das nur selbstsichere Antworten gibt, ohne seine Grenzen offenzulegen, kann Infrastruktur schwerer rechenschaftspflichtig machen, anstatt transparenter.

Daher ist Feamster, selbst wenn er keine Glasfasern besitzt, kein öffentliches autonomes System betreibt und keine Hyperscale-Cloud verwaltet, eine bedeutende Gestalt im Bereich der digitalen Infrastruktur. Seine Arbeit bewegt sich in der Informationsschicht, die diese Ressourcen umgibt: Sie beeinflusst, wie Routing geprüft wird, wie Missbrauch erkannt wird, wie Breitbandqualität beschrieben wird, wie Zensur dokumentiert wird und wie statistische Modelle in den Netzbetrieb eingebracht werden. Router und Kabel transportieren den Verkehr; Messung und Analyse entscheiden darüber, ob Menschen erklären können, was sie gerade tun.

Die stärkste Erzählung dieser Karriere ist deshalb nicht eine Liste von Auszeichnungen oder die Behauptung, ein einzelner Forscher habe mehrere Felder erfunden, sondern ein Beobachtbarkeitsprogramm, das seinen Untersuchungsgegenstand ständig wechselt, dabei jedoch einer einzigen Disziplin treu bleibt: der Unterscheidung zwischen direkter Beobachtung und Inferenz sowie zwischen experimentellem Ergebnis und Betriebszusicherung.

Eine Karriere, mehrere institutionelle Identitäten

Mit Stand vom 3. August 2026 führt die University of Chicago Feamster als Neubauer Professor of Computer Science und Faculty Director of Research des Data Science Institute. Seine eigene Webseite listet zudem die Rollen als Director des Network Operations and Internet Security Lab, Co-Director der Internet Innovation Initiative, Co-Lead von netml.io und Co-Director des AI and Policy Pillar. Das Data Science Institute verwendete in einem Artikel vom September 2024 die Bezeichnung Director of Technology Policy.

Diese Beschreibungen können gleichzeitig zutreffen, da universitäre Rollen sich überlappen und im Laufe der Zeit anpassen, lassen sich jedoch nicht zu einem einzigen, zeitlosen Titel komprimieren.

Institutionelle Grenzen sind wichtig. Als Professor forscht und lehrt er; über das NOISE Lab und netml.io arbeitet er mit Studierenden und Kollaborateuren an Routing, Messung, Privatsphäre und maschinellem Lernen; mit den Projekten Internet Innovation und Internet Equity schafft er Evidenz für öffentliche Politik- und Infrastrukturentscheidungen; als Mitgründer und CEO von NetMicroscope ist er an einem privaten Unternehmen beteiligt, das Netzwerkqualitätsanalyse kommerzialisieren möchte. Seine Biografie erwähnt zudem eine Tätigkeit als Sachverständiger in Technologie-Rechtsstreitigkeiten.

Keine dieser Rollen verleiht automatisch die Autorität einer anderen: Ein Professor ist kein Regulierer; ein Startup-CEO verwandelt universitäre Forschung nicht automatisch in Kundenvertrauen; ein Sachverständigengutachten ist keine gerichtliche Feststellung.

Diese Unterscheidung entspricht seiner eigenen Forschung. Feamsters beste Arbeiten fragen: Welches System besitzt welches Evidenzstück, und welche Schlussfolgerung erlaubt dieses Stück? Dieselbe Vorsicht ist bei seiner Beschreibung geboten. Aktuelle Biografien besagen, er habe den ersten Web-Crawler für LookSmart geschrieben und an der Entwicklung des ersten Botnet-Erkennungsalgorithmus von Damballa mitgewirkt. Dies sind zuschreibbare frühe Industriefakten, sie belegen jedoch weder genaue Anstellungsdaten, alleinige Urheberschaft, Anteilsverhältnisse noch eine vollständige Produkthistorie.

Die öffentlich verfügbaren Informationen über seine fachliche Tätigkeit sind weitaus reichhaltiger als solche über sein Privatleben. Anhand der vorliegenden Evidenz lassen sich Geburtsdatum oder -ort, Staatsangehörigkeit, familiärer Hintergrund, Gehalt, Anteile an NetMicroscope, persönliche Investitionen oder Vermögen nicht verlässlich bestimmen. Ein evidenzbasierter Artikel sollte diese Lücken nicht in Spekulation verwandeln. Schon ohne eine durch Quellen nicht gedeckte celebrityartige Biografie ist sein beruflicher Werdegang bedeutsam genug.

MIT, ein Web-Crawler und eine Dissertation über „Fehler, bevor sie auftreten“

Feamster absolvierte sein gesamtes Studium bis zur Promotion am Massachusetts Institute of Technology. Er erwarb 2000 einen SB in Electrical Engineering and Computer Science, 2001 einen MEng im gleichen Fachgebiet und 2005 einen Ph.D. in Computer Science unter der Betreuung von Hari Balakrishnan. Seine DissertationProactive Techniques for Correct and Predictable Internet Routingumreißt klar das frühe Forschungsprogramm: Nicht warten, bis Routing-Fehler zu Ausfällen führen, um dann die Ursachen zu rekonstruieren, sondern das Netz so zu gestalten, dass es genug Struktur preisgibt, um kritische Eigenschaften vor der Bereitstellung zu prüfen.

Die frühe Arbeit für LookSmart kann als begrenztes, aber bedeutsames Vorspiel gelten. Ein Web-Crawler muss einen großen, sich während der Beobachtung ständig verändernden Graphen entdecken, mit defekten Links, doppelten Seiten, inkonsistenten Antworten und unerreichbaren Bereichen. Der Crawler wurde nicht unmittelbar zum späteren Routing-System, und die Quellen stützen eine solche Behauptung auch nicht.

Was tatsächlich Kontinuität stiftet, ist die Methodik: Ein verteiltes System lässt sich von einem einzelnen lokalen Blickwinkel aus nicht durchschauen; nützliches Wissen erfordert systematische Sammlung sowie eine explizite Repräsentation der entdeckten Objekte.

Damballa verleiht demselben Problem eine adversarische Note. Botnetze versuchen von Natur aus, ihre Mitglieder und Kontrollstrukturen zu verbergen. Feamsters offizielle Biografie besagt, er sei an der Entwicklung des ersten Botnet-Erkennungsalgorithmus des Unternehmens beteiligt gewesen. Das öffentlich zugängliche Material erlaubt weder eine Rekonstruktion des gesamten Teams noch einen Beleg dafür, wie nachfolgende Produkte diese Arbeit nutzten; es zeigt aber, dass sich seine frühe Karriere zwischen akademischer Systemforschung und operativ tätigen Sicherheitsfirmen bewegte, die bösartige Koordination aus Netzwerkspuren erschließen müssen.

Die Dissertation entstand in einem typischen Umfeld: Richtlinien für domänenübergreifendes Routing sind über Geräte und Institutionen verstreut. Betreiber drücken Peering, Kundenbeziehungen, Exportregeln, Backup-Pfade und Traffic-Engineering-Präferenzen in Befehlen aus. Die Konfiguration jedes einzelnen Geräts mag für sich genommen sinnvoll erscheinen, im Zusammenspiel können sich jedoch Schleifen, Blackholes oder unbeabsichtigte Pfade verbergen. Die Herausforderung liegt nicht nur in fehlerhaften Protokollimplementierungen, sondern darin, ein aus vielen lokalen Richtlinien zusammengesetztes verteiltes Programm zu analysieren.

Dieser Rahmen wird zu einem dauerhaften Merkmal. Feamster behandelt oft das gesamte operative System rund um einen Algorithmus als eigentliche Forschungseinheit – einschließlich Konfigurationsdateien, Beobachtungspunkten, Datenpipelines, Schnittstellen, Betreiberanreizen und institutionellen Beschränkungen. Dadurch geht die Forschung über einzelne Theoreme oder Klassifikatoren hinaus und trägt zugleich eine größere Verantwortung: Sobald ein System reale Betreiber, Haushalte oder Menschen in zensierten Umgebungen erreicht, werden Deployment und Ethik zu einem Teil der technischen Qualität.

BGP-Konfiguration als verteiltes Programm betrachten

Das Border Gateway Protocol ermöglicht autonomen Systemen den Austausch von Erreichbarkeitsinformationen, während sie die Kontrolle über ihre Geschäfts- und Routing-Richtlinien behalten. Diese Autonomie erlaubt es Netzen mit verschiedenen Eigentümern und Zielsetzungen, das Internet zu bilden, bedeutet aber zugleich, dass das globale Ergebnis nicht von einem einzigen Ingenieur entworfen wird. Richtlinien setzen sich indirekt aus Routenankündigungen, Präferenzen, Filtern und interner Route-Verteilung zusammen.

Selbst innerhalb eines einzigen autonomen Systems können die Probleme erheblich sein. Ein Netz kann Hunderte Router und mehrere Verfahren zur internen Verteilung externer Routen umfassen. Eine an der Peripherie gelernte Route muss dort sichtbar sein, wo sie benötigt wird, aber nicht notwendigerweise überall. Exportrichtlinien sollen verhindern, dass Kunden- oder Peer-Routen an den falschen Nachbarn durchsickern. Fällt der primäre Pfad aus, soll ein Backup-Pfad erscheinen, jedoch ohne Schleifen oder anhaltende Oszillationen zu erzeugen. Die Betreiber besitzen die geschäftliche Absicht, die Geräte enthalten die ausführbaren Fragmente.

Feamsters frühe Routing-Forschung behandelt diese Fragmente als analysierbares Programm. Dies ist ein praktischer Perspektivwechsel: Router-Konfigurationen sind nicht länger nur zeilenweise zu prüfender Text, sondern Eingaben für eine netzwerkweite Berechnung. Korrektheit lässt sich in Invarianten fassen: Die ausgewählte Route muss einem verfügbaren Weiterleitungspfad entsprechen; ein verfügbarer Pfad muss für den Router sichtbar sein, der ihn benötigt; die Exportpolitik muss die beabsichtigten Beziehungen wahren; die interne Route-Verteilung darf keine dauerhaften Inkonsistenzen erzeugen.

Der Wert der Analogie zur Softwareanalyse liegt darin, dass sie den Zeitpunkt der Intervention verschiebt. Traditionelle Fehlerbehebung beginnt erst, nachdem Symptome aufgetreten sind; die statische Analyse fragt hingegen, ob ein bekannter Fehlertyp bereits in der Konfiguration kodiert ist. Sie erfordert weder das Einspeisen von Testverkehr noch das Warten auf Kundenbeschwerden. Für Netze, die kritische Dienste tragen, kann es wertvoller sein, Defekte aus der Incident-Warteschlange in die Review-Warteschlange vorzuziehen, als die nachträgliche Diagnose zu beschleunigen.

Die Analogie hat jedoch Grenzen. Der Netzzustand besteht nicht allein aus der Konfiguration, sondern auch aus Live-Routen, Topologie, herstellerspezifischem Verhalten, transienter Konvergenz, Hardware-Tabellen, ausgefallenen Verbindungen und möglicherweise nie niedergeschriebenem Geschäftswissen. Ein statischer Checker kann in Bezug auf sein eigenes Modell vollkommen korrekt sein und dennoch Fehler übersehen, die außerhalb dieses Modells liegen. Feamsters spätere Forschung kehrt immer wieder zu dieser Unterscheidung zurück: Eine nützliche Repräsentation ist nicht dasselbe wie die gesamte betriebliche Realität.

Die Routing Control Platform verlagert Entscheidungen aus einzelnen Routern

rcc fragt, ob eine verteilte Konfiguration bekannte Bedingungen erfüllt. Die Routing Control Platform fragt etwas anderes: Warum sollte jeder Router die für die Pfadwahl benötigten Informationen eigenständig neu aufbauen? Herkömmliches iBGP verteilt externe Routen über ein vollvermaschtes Netz oder Route-Reflector. Vollvermaschung wird mit zunehmender Größe schwer zu warten; Route-Reflection verbessert die Skalierung, kann jedoch Routen verbergen, unbeabsichtigte Auswahlen erzeugen und die Vorhersagbarkeit des Gesamtverhaltens erschweren.

Das RCP-Paper schlägt einen logisch zentralisierten Dienst vor: Sammle externe BGP-Routen und interne Topologie, wähle Pfade für die einzelnen Router aus und kommuniziere die Auswahl über normales iBGP. Die Weiterleitungsgeräte verschwinden nicht – sie leiten nach wie vor Pakete weiter und verwenden an den Schnittstellen vertraute Protokolle; was sich ändert, ist der Ort der Pfadauswahllogik und der Umfang dessen, was sie sehen kann.

„Logisch zentralisiert“ bedeutet nicht eine einzige fragile physische Maschine. Der Steuerungsdienst kann repliziert und verteilt werden, während er eine konsistente Entscheidungsfunktion bereitstellt. Diese Unterscheidung wurde später zum Kern von SDN. Ein Controller kann auf der Basis einer netzwerkweiten Sicht handeln, ohne dass alle Steuerungsprozesse auf derselben Maschine laufen müssen. Die technischen Herausforderungen verlagern sich auf Zustandskonsistenz, Fehlerbehebung und sichere Schnittstellen, nicht auf ein einfaches Entweder-Oder zwischen zentral und verteilt.

RCP respektiert zudem die bestehende Infrastruktur. Es verlangt weder eine neue Forwarding-Ebene noch den sofortigen Austausch aller Router. Dies ist entscheidend für Netze, deren Geräte, Verträge und Betriebsabläufe sich nicht gleichzeitig ändern lassen. Eine Forschungsarchitektur gewinnt erheblich an praktischem Wert, wenn sie über Schnittstellen, die den Betreibern bereits vertraut sind, in die reale Umgebung eintreten kann.

Die Evaluierung stützte sich auf Informationen aus realen Backbone-Netzen, aber das vorhandene Material liefert keine flächendeckende Bestandsaufnahme von Produktionsimplementierungen. Die vertretbare Schlussfolgerung ist, dass RCP eine gangbare Architektur demonstrierte und langfristigen Einfluss ausübte, nicht aber, dass es iBGP branchenweit ersetzte. Der NSDI Test of Time Award 2015 würdigt seinen ideellen Wert, belegt jedoch weder Marktdurchdringung noch schreibt er einer einzigen Veröffentlichung sämtliche späteren Controller-Designs zu.

Bedeutende Beiträge zu SDN, aber keine „Allein-Erfinder“-Geschichte

Software-defined Networking wird oft als sauberer Bruch erzählt: Die Kontrolle wandert in die Software, die Weiterleitung wird programmierbar, und eine neue Ära beginnt. Die tatsächliche Geschichte ist weniger glatt. Projekte wie aktive Netze, Netzwerkvirtualisierung, die 4D-Architektur, Ethane, RCP, OpenFlow und NOX adressierten jeweils unterschiedliche Aspekte von Programmierbarkeit, Kontrolltrennung und netzwerkweitem Management. Feamster ist ein wichtiger Beiträger in diesem Ideenspektrum, doch es gibt keine Evidenz, die ihn als alleinigen Erfinder von SDN ausweist.

RCP liefert eine klare Architekturidee: Ein Steuerungsdienst mit breiterer Sicht kann Routing-Entscheidungen berechnen und an die vorhandenen Weiterleitungsgeräte übergeben. rcc liefert eine weitere Idee: Netzwerkrichtlinien lassen sich gegen Invarianten prüfen. Gemeinsam verschieben sie das Betriebsproblem von „Welche Befehle stehen auf diesem Router?“ hin zu „Welches Verhalten realisiert das gesamte Steuerungssystem?“. Dies ist ein zentraler konzeptioneller Baustein für programmierbare Netze.

Feamster wirkte später anThe Road to SDNmit, einem Buch, das das Feld als eine über lange Zeit gewachsene Ansammlung von Ideen beschreibt und nicht als eine plötzliche Erfindung. Diese historische Haltung wirkt dem um Infrastruktur-Technologien verbreiteten Gründermythos entgegen. Ein Feld wird in der Regel von mehreren Forschungsteams, Betreibern, Herstellern und Standardisierungsgemeinschaften vorangetrieben, die angrenzende Probleme lösen und sie deploybar machen.

Die 2017 gemeinsam mit Jennifer Rexford verfasste ArbeitWhy (and How) Networks Should Run Themselveserweitert die Argumentation von der Controller-Architektur hin zum kontinuierlichen Betrieb. Sie zeichnet einen geschlossenen Regelkreis, in dem übergeordnete Absichten die Entscheidungen leiten, Telemetrie die Ergebnisse zeigt und das System sich entsprechend anpasst. Der provokative Titel darf nicht so verstanden werden, als würden Ingenieure nicht mehr gebraucht. Adaptive Netze benötigen weiterhin präzise Ziele, vertrauenswürdige Telemetrie, sichere Ausführung, eingeschränkte Berechtigungen und Mechanismen, die anhalten, wenn die Evidenz unklar ist.

Heute ähnelt diese Agenda eher einer Designfrage für KI-gestützten Betrieb. Sprachmodelle können Konfigurationen vorschlagen, Ereignisse zusammenfassen und Werkzeuge auswählen, aber auch Gründe erfinden, Richtlinien missverstehen oder übermäßige Berechtigungen erhalten. Die frühen Routing-Arbeiten setzen einen strengen Maßstab für neue Systeme: Aus Daten gelernte Empfehlungen müssen durch explizite Überprüfungen und beobachtbare Konsequenzen eingefasst sein und dürfen nicht allein deshalb akzeptiert werden, weil ihre Erklärung plausibel klingt.

Spam macht das „Netz um die Nachricht herum“ wichtiger als die Nachricht selbst

An der Georgia Tech verlagerte sich der Beobachtungsgegenstand von Konfigurationsfehlern hin zu aktiven Angreifern. Spam-Kampagnen und Botnetze sind von Natur aus mobil: Infizierte Hosts tauchen auf und verschwinden, Adressen wechseln, Domains werden ausgetauscht, die Kontrollinfrastruktur ist verteilt. Inhaltssignaturen können bekannte Nachrichten abfangen, doch das Zustellungssystem zeigt oft beständigere Muster.

Das SIGCOMM-Paper von 2006,Understanding the Network-Level Behavior of Spammers, analysierte laut Artikel mehr als zehn Millionen Spam-Nachrichten. Es untersucht, wo Absender auftauchen, wie lange sie aktiv bleiben und welche Beziehung zwischen Spam und Adressraum bzw. Routing-Verhalten besteht. Die Bedeutung der Arbeit liegt nicht in einem dauerhaft gültigen Prozentsatz, sondern in dem Nachweis, dass Missbrauch als Infrastrukturphänomen untersucht werden kann: Gruppen von Absendern, Pfade, zeitliche Muster und die Konzentration von Quellen können Koordination sichtbar machen, die im Nachrichteninhalt verborgen bleibt.

Merkmale auf Netzwerkebene stehen oft schon früh in einer Verbindung zur Verfügung, bevor die vollständige Nachricht empfangen oder geprüft wird. Dies kann Verarbeitung einsparen und großflächige Abwehr ermöglichen, zudem kann die Nutzung von Metadaten einen Teil des Inhaltsdatenschutzes wahren. Dieselbe Abstraktion birgt jedoch Risiken. In einem Präfix für Privatkundenanschlüsse können sich unschuldige Nutzer und infizierte Geräte befinden; ein gemeinsam genutzter Host kann legitime und bösartige Domains bedienen; Adressen wechseln den Besitzer.

Infrastruktur-Reputation ist nur dann nützlich, wenn Unsicherheit, Evidenzverfall und Widerspruchsmechanismen Teil des Systems sind.

DNSBL-Gegenaufklärung nutzt das Verteidigungsverhalten der Angreifer selbst als Signal. Betreiber von Botnetzen fragen DNS-Blacklists ab, um zu prüfen, ob ihre Maschinen bereits erkannt wurden; bestimmte Abfragemuster können daher die Mitgliedschaft verraten. Die Aufklärung des Angreifers wird zur Evidenz, bleibt aber heuristisch: Abfragen können harmlose Gründe haben, und eine Verdachtsliste benötigt zusätzliche Belege, bevor destruktive Maßnahmen ergriffen werden.

SNARE bewertet Absender anhand von raum-zeitlichen und netzwerkbezogenen Merkmalen, die früh in einer SMTP-Sitzung verfügbar sind. Die Evaluierung berichtete bei niedriger Falsch-Positiv-Rate eine Genauigkeit von etwa 93 %. Diese Zahl gehört zu dem damaligen Datensatz, der Bedrohungslage und den gewählten Schwellenwerten und ist nicht 17 Jahre lang stabil. Angreifer passen sich an, die Mail-Infrastruktur konzentriert sich, und die Verteilung der Merkmale driftet. Die Arbeit zeigt, dass frühe Signale einen nützlichen Klassifikator stützen können, etabliert aber keinen dauerhaften Benchmark.

Dynamische DNS-Reputationssysteme erweitern dieselbe Logik von Absendern auf Domains. Registrierungsmuster, Nameserver, Adressänderungen und Auflösungsverhalten können bösartige Infrastrukturen von stabilen, legitimen Diensten unterscheidbar machen. Der Klassifikator kann ein Risiko zuweisen, bevor die gesamte Nutzlast bekannt ist. Dies nimmt das spätere maschinelle Lernen im Netz vorweg: Repräsentationen aus Metadaten aufbauen, Entscheidungsregeln trainieren und dann mit den betrieblichen Konsequenzen umgehen, wenn die Repräsentation unvollständig ist.

Reputation ist eine betriebliche Entscheidung, kein objektives Label

Das HTTP-basierte Clustering von Malware-Verhalten treibt den Ansatz noch weiter. Das System verlangt keine exakte Signatur für jede einzelne Binärdatei, sondern gruppiert sie nach Kommunikationsverhalten und erzeugt Netzwerksignaturen. Solange sich der Code ändert, das Kontrollprotokoll, die Zielmuster oder das zeitliche Verhalten jedoch fortbestehen, kann das Verfahren wirksam bleiben; ist die Repräsentation zu grob, können auch unzusammenhängende Datenströme zusammengefasst werden.

Die Unterscheidung zwischen Signal und Entscheidung bestimmt, wie das System genutzt werden soll. Ein Modell kann melden, dass eine Adresse, eine Domain oder ein Traffic einem bekannten Missbrauch ähnelt; der Betreiber muss dennoch über das weitere Vorgehen entscheiden: Ergebnisse mit geringem Vertrauen lösen vielleicht nur eine Beobachtung aus, stärkere Hinweise eine Ratenbegrenzung. Das Sperren eines gesamten Präfix oder einer ganzen Domain verursacht Kosten für unschuldige Nutzer. Deshalb umfasst das technische Design auch Schwellenwerte, Evidenzalter, Handlungsumfang und Korrekturpfade.

Feamsters frühe Arbeit bei Damballa sowie ein an die Georgia Tech Research Corporation übertragenes Patent zeigen, dass diese Forschung einen kommerziellen und geistigen Eigentums-Hintergrund hat. Das Patent nennt Feamster, David Dagon, Wenke Lee und andere als Erfinder eines Verfahrens zur Erkennung von und Reaktion auf Angriffsnetzwerke. Ein Patent begründet eine formale Erfindungs- und Übertragungsdokumentation, belegt jedoch keine unabhängige Schöpfung, keine produktive Nutzung, keine Lizenzeinnahmen und nicht die Gültigkeit jedes Anspruchs in allen Rechtsordnungen.

Der breitere Beitrag liegt darin, Reputation als Infrastrukturproblem zu begreifen, nicht nur als abstrakte Genauigkeitsrate. Verteidiger benötigen Klassifikatoren, die innerhalb des Entscheidungsfensters und mit der verfügbaren Leitungsgeschwindigkeit arbeiten, rechtlich zulässig erhobene Daten nutzen und mit Fehlern umgehen können. Ein Paper kann ein einzelnes Glied der Kette optimieren; ein Produktionssystem muss über viele Jahre hinweg, während der Gegner sich verändert, die gesamte Kette tragen.

Dies knüpft auch an Feamsters aktuelle Forschung zum maschinellen Lernen an, die sich noch expliziter mit Merkmalskosten, Drift, Datenschutz und Deployment auseinandersetzt. Die Kernfrage bleibt: Wenn Netzwerksignale in Entscheidungen umgesetzt werden, welche Evidenz macht sie verlässlich genug, um tatsächlichen Traffic zu beeinflussen?

Vom Home Gateway aus messen: Perspektivwechsel bei der Breitbandmessung

Breitbandbeschwerden lassen sich leicht äußern, aber schwer diagnostizieren. „Das Internet ist langsam“ kann an einer überlasteten Anschlussleitung, schlechtem WLAN, auslastenden Heimgeräten, einem Engpass an der Zusammenschaltung, einem entfernten Server oder einem Anwendungsproblem liegen. Eine Messung auf dem Laptop erbt die Software- und Netzbedingungen des Rechners; eine Messung im Kernnetz des Providers sieht die tatsächliche Erfahrung im Haushalt nicht.

Der gateway-basierte Ansatz platziert eine kontrollierte Messung genau an der Grenze zwischen Haushalt und Internetdienstanbieter. Eine SIGCOMM-Studie von 2011 nutzte longitudinale Daten von fast 4.000 Gateways aus acht ISPs, eingebettet in einen größeren Einsatz von über 4.200 Geräten. Die Studie analysiert Durchsatz, Latenz, Zugangstechnologie und Traffic-Shaping-Verhalten. Der analytische Wert des Gateways liegt darin, dass es den Zugangsdienst beobachtet, während es viele unkontrollierbare Unterschiede der Endgeräte ausblendet.

Auch dieser Beobachtungspunkt liefert nicht automatisch eine eindeutige Antwort. Das Heim-Gateway teilt sich die lokale Umgebung mit anderen Geräten und dem WLAN; der Messserver besitzt eigene Pfade und Kapazitäten; der Test kann den übrigen Haushalt stören oder zu untypischen Zeiten laufen. Die Methode verbessert die Zuordnung, schafft aber keinen perfekten Blick auf die Nutzererfahrung.

BISmark verwandelt den Gateway-Ansatz in eine wiederverwendbare Testplattform. Ein USENIX-ATC-Paper von 2014 beschreibt angepasste Router und ein Backend, das die Bereitstellung von Messungen und Anwendungen erlaubt. Zum Zeitpunkt der Veröffentlichung lief die Plattform in Hunderten Haushalten in rund 30 Ländern und wurde von Forschern aus neun Einrichtungen genutzt. Diese Zahlen sind zeitpunktbezogen, zeigen aber, dass das Projekt über einen einmaligen Datensatz hinauswuchs.

Eine Heim-Testplattform zu unterhalten ist selbst schon Infrastrukturarbeit: Hardware muss verschickt und unterstützt werden, Nutzer ziehen den Stecker, Firmware altert, Uhren driften, die informierte Einwilligung muss dauerhaft verständlich bleiben, und die Datenstrukturen und Pipelines müssen Netz- und Applikationsänderungen überstehen. Ein öffentlich zugängliches System belegt daher gleichzeitig die Fähigkeit, Messungen zu entwerfen und Institutionen aufzubauen.

Die Breitbandforschung zeigt auch, warum die Methode politisch relevant ist. Ergebnisse kontrollierter Gateway-Messungen sind nicht mit Browser-Speedtests, ISP-Zählern oder Tarifwerbung austauschbar; sie messen jeweils unterschiedliche Abschnitte des Pfads. Nur wenn Beobachtungspunkt und Grenzen öffentlich sichtbar sind, wird eine politische Entscheidung besser begründbar, als wenn sie sich hinter einer einzigen „Maximalgeschwindigkeits“-Zahl versteckt.

Wenn der Zugang schneller wird, reicht Geschwindigkeit allein nicht mehr aus

Frühe Breitbandpolitik fragte oft nur, ob ein Anbieter die beworbene Geschwindigkeit auch liefert. Wo die Zugangskapazität knapp ist, bleibt das wichtig; sobald der Anschluss aber schnell genug ist, beginnen Latenz, WLAN, Content-Delivery und Applikationsdesign die Erfahrung zu dominieren – und ein einzelner Geschwindigkeitswert verliert an Aussagekraft.

Eine Studie, die mehr als 5.000 Breitbandnetze untersuchte, prüfte Engpässe beim Webseitenabruf und fand, dass die reine Zugangsdurchsatzrate oberhalb eines bestimmten Bereichs oft nicht mehr der einzige begrenzende Faktor ist. Wenn Umlaufverzögerung, Abhängigkeiten zwischen eingebetteten Objekten oder das Serververhalten die Fertigstellungszeit bestimmen, fühlt sich ein teurerer Tarif nicht unbedingt schneller an. Die konkrete Schwelle lässt sich nicht verallgemeinern; die bleibende Erkenntnis lautet: Sobald der Zugang verbessert wird, wird Qualität zu einem mehrdimensionalen Problem.

Zuverlässigkeit fügt eine weitere Dimension hinzu. Ein Anschluss kann eine hervorragende mittlere Geschwindigkeit haben und trotzdem durch kurze Ausfälle für den Haushalt unbrauchbar werden. Ein Videoanruf, eine Online-Prüfung oder eine telemedizinische Sitzung können schon durch einen einzigen kurzen Paketverlust scheitern, der in einem Monatsmittelwert unsichtbar bleibt. Ein einzelner Test kann Ausfallhäufigkeit, -dauer und -zeitmuster nicht beschreiben; dafür braucht es longitudinale Messungen.

Die Forschung zu verschlüsseltem DNS zeigt einen ähnlichen Zielkonflikt. Die Wahl des Resolver- und Protokolls kann Latenz, Privatsphäre und Erreichbarkeit verändern. In dem untersuchten Panel passte keine einzelne Konfiguration für alle Nutzer und Netze. Ein Sicherheits- oder Privatsphärengewinn kann in einer Umgebung Leistung kosten, in einer anderen nicht. Aus einem Benchmark sollte daher kein universelles Rezept werden.

Die COVID-Messungen zeigen, wie plötzlich sich das Betriebsumfeld ändern kann. Bei den beteiligten ISPs sprangen Verkehrsaufkommen und Zusammenschaltungsbedarf abrupt hoch, danach wurde Kapazität zugebaut und es entstanden neue Nutzungsmuster. Die Ergebnisse gelten nur für die untersuchten Netze, aber sie illustrieren, dass eine Planung, die sich allein auf stabile historische Mittelwerte stützt, bei einem gesellschaftlichen Schock versagt.

An dieser Stelle wird Breitbandmessung zur Quality-of-Experience-Technik. Betreiber müssen die unterlagerten Signale – Durchsatz, Latenz, Paketverlust, Ausfall, Zusammenschaltung – mit Anwendungsergebnissen wie Videoruckeln oder Konferenzqualität verknüpfen. Dieser Gedanke wird später Teil des Produktversprechens von NetMicroscope. Die akademischen Ergebnisse belegen nicht jede kommerzielle Behauptung, aber die technische Linie ist klar.

Zusammenschaltungsmessung verwandelt Geschäftsstreit in ein gemeinsames Datenthema

Der Pfad vom Haushalt zur Anwendung kann mehrere Geschäftsgrenzen überschreiten. Ein Zugangsanbieter kann direkt mit einem Content-Netz peeren oder den Verkehr über einen Internet Exchange oder einen Transitprovider leiten. Ein Engpass kann nur auf einer einzigen Verbindung, in einer Richtung und zu einer bestimmten Tageszeit auftreten. Was in der öffentlichen Debatte als „Zusammenschaltungsproblem“ erscheint, kann in Wirklichkeit mehrere technische Zustände vermischen.

Das Interconnection Measurement Project verpflichtete die teilnehmenden ISPs, auf den Zusammenschaltungsstrecken gemeinsame Messinstrumente einzusetzen. Das Projekt berichtete über etwa 2.900 Strecken, eine Spitzenauslastung von circa 31 Prozent im Juni 2021 und verzeichnete Kapazitätssteigerungen. Das aggregierte Ergebnis beweist nicht, dass jeder Nutzerpfad frei von Überlastung ist; Streckenmittelwerte können kurze Spitzen, einzelne Routen oder lokale Störungen verdecken. Der Wert des Projekts liegt in dem Versuch, mehreren Parteien eine gemeinsame Methode und eine gemeinsame Sprache anzubieten.

Ein gemeinsames Messsystem verringert eine Art von Dissens und schafft eine andere. Die Teilnehmer müssen sich einigen, welche Strecken eingeschlossen werden, wie die Auslastung abgetastet wird, wie proprietäre Daten geschützt werden und welche Zusammenfassungen veröffentlicht werden dürfen. Anbieter mögen ein geschäftliches Interesse haben, die Offenlegung zu begrenzen; Forscher wiederum brauchen genug Details, um Behauptungen zu prüfen, ohne Kundenbeziehungen oder sensible Topologie preiszugeben.

Feamsters präzisere Rolle liegt hier im Aufbau von Messkompetenz und institutioneller Zusammenarbeit. Er hat keine Zusammenschaltungsverträge reguliert und auch keine Unternehmen zur Teilnahme gezwungen. Das Projekt illustriert, wie sich seine Forschung von Instrumenten auf Home Gateways hin zu einem mit Betreibern geteilten Evidenzsystem entwickelt hat. Die technische Aufgabe ist von der Governance nicht zu trennen: Nützliche Daten setzen die Mitarbeit derjenigen Institutionen voraus, die die Leitungen kontrollieren.

Internet Equity weitet die Messung auf Zugang, Bezahlbarkeit und Verlässlichkeit aus

In einem Stadtviertel mag zwar eine Breitbandleitung liegen, aber der Preis hält Haushalte trotzdem von der Nutzung ab; ein Haushalt mag einen Vertrag haben, aber dauerhaft mit einer unzuverlässigen Verbindung kämpfen; ein Anbieter mag die beworbene Geschwindigkeit liefern, aber WLAN, Inhouse-Verkabelung oder die Endgeräte lassen Anwendungen trotzdem nicht richtig laufen. Wer die digitale Kluft auf eine bloße Versorgungskarte reduziert, übersieht diese Unterschiede.

Die Internet Equity Initiative der University of Chicago kombiniert Erschwinglichkeit, Infrastruktur, Bezahlbarkeit, Nutzungsrate, Leistung und Verlässlichkeit. Ihr Portal und ihre Projekte verknüpfen Netzmessungen mit demografischen und politischen Daten. Chicagoer Haushaltsgeräte liefern direkte Performanz-Evidenz, öffentliche Datensätze ermöglichen Vergleiche über Orte und Bevölkerungsgruppen hinweg.

Die Methode kann Muster aufzeigen, aber nicht automatisch alle Ursachen erklären. Gemeinschaftsunterschiede können mit Einkommen, Gebäudetyp, Anbieterwettbewerb, Tarifen, Endgeräten oder historischen Investitionen zusammenhängen. Die Überlagerung mit demografischen Daten kann Nachforschungen anstoßen, aber für sich allein nicht belegen, warum ein Unterschied entstanden ist. Auch die Policy-Forschung braucht dieselbe Disziplin wie die Routing-Forschung: Eine Repräsentation macht ein Problem testbar, ersetzt aber nicht die fehlenden Variablen.

Die University of Chicago berichtete 2025, dass das Internet-Innovation-Kooperationsprojekt Messungen und Analysen für den Breitbandplan von Illinois beisteuerte, der 175.000 unterversorgte Haushalte, Unternehmen und Gemeindeankerpunkte betrifft. Dies ist eine bedeutende institutionelle Aussage, an der das Illinois Broadband Lab, Regierungsmitarbeiter und andere Partner beteiligt waren. Sie darf nicht umgeschrieben werden zu „ein Professor hat 175.000 Orte angeschlossen“, und sie erhebt auch nicht den Anspruch, alle geplanten Baumaßnahmen seien bereits abgeschlossen.

Vom Gateway-Test bis zur Internet Equity verändern sich die Adressaten der Messung. Ein Betreiber kann das Gateway-Ergebnis nutzen, um eine Leitung zu diagnostizieren; eine Stadt kann Quartiersmuster nutzen, um Hilfsschwerpunkte zu setzen; ein Bundesstaat kann in einem Widerspruchsverfahren verifizierte Daten einsetzen. Je tiefer die Messung in die öffentliche Entscheidungsfindung eindringt, desto größer ist ihr Einfluss – und desto notwendiger sind transparente Definitionen, versionierte Daten und eine klare Benennung dessen, was noch unsicher bleibt.

Zensurforschung macht „Beobachtbarkeit“ zu einer Frage der persönlichen Sicherheit

Zensur ist aus demselben Grund schwer zu messen, aus dem Routing schwer zu erklären ist: Der Beobachter sieht stets das gemeinsame Ergebnis mehrerer Systeme. Eine gescheiterte DNS-Auflösung kann aus staatlicher Filterung, einer lokalen Firewall, einem gewöhnlichen DNS-Fehler, einem Serverausfall oder einer instabilen Route stammen; eine Verbindungsrücksetzung kann eingeschleust oder vom Endgerät verursacht sein oder von einem Middlebox-Gerät stammen, das nichts mit politischer Kontrolle zu tun hat. Signale tragen selten eine Signatur, die den Verantwortlichen eindeutig benennt.

Das Risiko ist anders, weil die Messung selbst Menschen exponieren kann. Forscher benötigen Beobachtungspunkte innerhalb des zensierten Netzes, aber die Freiwilligen können Repressionen ausgesetzt sein. Ferntechniken verringern die Notwendigkeit, Helfer vor Ort anzuwerben, können dabei aber Nutzer, Webseiten oder Systeme einbeziehen, die nie in die Teilnahme eingewilligt haben. In diesem Feld ist das Sicherheitsmodell Teil der Messarchitektur.

Feamsters einschlägige Arbeit beginnt 2002 mit Infranet. Das System behandelt Zensur als Umgehungsproblem: Kooperative Webserver kodieren eine verdeckte Uplink-Anfrage in scheinbar gewöhnlichem HTTP und verstecken die Downlink-Information in Bildern. Die Web-Annahme gehört einer früheren technischen Ära an, etabliert aber ein Dauerthema: Zensur ist zum Teil ein Adversarial-Spiel darum, welche Verkehrsmuster von normaler Kommunikation unterscheidbar sind.

Die nachfolgende Forschung bewegt sich von der Nutzerhilfe bei der Umgehung hin zur Messung der Sperre selbst. Massenhafte, wiederholbare Messungen können staatliche oder netzbetreiberseitige Filter dokumentieren, die nicht öffentlich deklariert sind – ein klarer Public-Interest-Wert; zugleich entsteht eine härtere ethische Grenze: Ein System, das öffentliche Evidenz erzeugt, kann das Risiko auf genau die Geräte abwälzen, die das Signal erzeugen.

Das ist keine Nebenbemerkung in der Karriere, sondern das deutlichste Beispiel dafür, wie der Versuch, das Internet sich selbst erklären zu lassen, Menschen verletzen kann, die nie eine Frage gestellt haben. Die ethische Qualität einer Zensurmessung bemisst sich deshalb nicht nur an statistischer Genauigkeit, sondern auch an der Wahl der Ziele, der Einwilligung, der Abfragefrequenz, der Datenspeicherung, der Veröffentlichung und an der Wahrscheinlichkeit von Repression.

Encore zeigt, wie Skalierung die informierte Einwilligung aushebelt

Encore nutzt browserbasierte Cross-Origin-Requests, um die Erreichbarkeit ausgewählter Webressourcen in verschiedenen Netzen zu testen. Teilnehmende Webseiten lassen die Besucher-Browser die Anfragen starten, und die Forscher schließen daraus, ob die Ressource gesperrt ist. Das Design verspricht Skalierung, ohne in jedem Land eigene Software installieren zu müssen.

Derselbe Mechanismus wirft schwere ethische Bedenken auf. Menschen, die eine völlig andersartige Seite besuchen, werden unwissentlich zu Messpunkten; Anfragen an sensible Domains können vom Zensor beobachtet werden; dritte Webseiten können so erscheinen, als sondierten sie selbst Inhalte, die sie nie ausgewählt haben. Diejenigen, die das Risiko tragen, sind nicht notwendigerweise dieselben wie diejenigen, die die Daten erhalten.

Ein unabhängiges Paper,No Encore for Encore?, benennt die Probleme hinsichtlich informierter Einwilligung, Transparenz, Nutzersicherheit und Schädigung dritter Webseiten und dokumentiert die Kommunikation mit Feamster sowie nachträgliche Änderungen am System. Diese Kritik sollte weder zu einer formalen Feststellung wissenschaftlichen Fehlverhaltens aufgeblasen noch zu einer Fußnote geschrumpft werden, die spätere Arbeiten ausradieren. Sie identifiziert reale Designrisiken in einem System, das ein legitimes öffentliches Ziel verfolgt.

Feamster und Ben Jones veröffentlichten danachCan Censorship Measurements Be Safe(r)?. Der Titel behandelt Sicherheit zu Recht als eine stetige Skala, nicht als binäre Zertifizierung. Abdeckung, Wiederholbarkeit und Genauigkeit stehen in einem Spannungsverhältnis zur Exposition von Freiwilligen, Zielen und Umstehenden. Ein System, das viele Netze abdeckt, ist nicht zwangsläufig akzeptabler, wenn es das Risiko für jeden einzelnen Teilnehmer nicht begrenzen kann.

Die Episode veränderte den gedanklichen Gehalt der Forschung. Ethik ist nicht mehr ein nachträgliches Audit, das man über eine technische Methode stülpt, sondern muss in das Bedrohungsmodell eingehen: Diejenigen, die Traffic erzeugen, die Institutionen, die die Tests hosten, und die Behörden, die den Traffic möglicherweise beobachten – sie alle sind Teil der Architektur. Das ist eine bleibende Lektion für jede Infrastrukturmessung, die Browser, Heimgeräte und KI-Agenten als verteilte Sensoren nutzt.

Augur, Iris und nachfolgende Systeme erweitern die Abdeckung, ohne die Risiken zu verstecken

Augur versucht, über TCP/IP-Seitenkanäle auf die Konnektivität zwischen entfernten Orten zu schließen, ohne dabei einen der beiden herkömmlichen Messpunkte zu kontrollieren. Das Paper berichtet über eine Validierung in fast 180 Ländern innerhalb von 17 Tagen und enthält Design-Entscheidungen, die eine Einbeziehung individueller Nutzer vermeiden sollen. Die Methode erweitert die geografische Reichweite, doch die Inferenz hängt von Betriebssystemverhalten, Adressauswahl, Filterasymmetrien und statistischen Annahmen ab.

Iris konzentriert sich auf DNS-Manipulation. Indem man Resolver an verschiedenen Orten wiederholt dieselbe Frage stellt und die Antworten vergleicht, lassen sich anomale Ergebnisse identifizieren. DNS liefert strukturierte Evidenz, doch legitime Systeme können ebenfalls cachen, redirecten, lokalisieren und filtern. Ein Antwortunterschied ist erst der Anfang einer Zuschreibung, nicht der Beweis, dass eine bestimmte Regierungsbehörde die Regel erlassen hat.

Die Konstruktion der Testliste bringt eine weitere Verzerrungsquelle ein. Ein Projekt, das nur weltweit bekannte politische Webseiten sondiert, kann an lokalen Sprachen und kulturspezifischen Themen vorbeigehen. Ein Projekt von 2018 nutzte Natural Language Processing und Suchdaten, um 1.125 Webseiten zu identifizieren, die in der damals größten Blockliste Chinas fehlten. Die erweiterte Liste verbesserte die Abdeckung dieser Studie, bleibt aber ein zeitpunktbezogenes Artefakt, das mit Domains, Inhalten und politischen Vorgaben altert.

GFWeb, veröffentlicht auf der USENIX Security 2024, untersuchte über 20 Monate hinweg die HTTP- und HTTPS-Filterung der Great Firewall Chinas. Das Paper testete 1,02 Milliarden Domains und identifizierte Hunderttausende von Pay-Level-Domains, die von unterschiedlichen Mechanismen betroffen sind. Diese Zahlen sind Messwerte, keine Zensuszahlen der betroffenen Bevölkerung. Der Wert liegt in der Einsicht, dass verschiedene Protokolltests unterschiedliche Teile des Filtersystems sichtbar machen und eine einzelne Technik die Zählung verzerren kann.

Die Turkmenistan-Studie testete 15,5 Millionen Domains, identifizierte 122.000 zensierte Domains und schloss auf Overblocking-Regeln, die Millionen weiterer Domains betreffen könnten, und untersuchte gleichzeitig Umgehungsmethoden. Die Veröffentlichung von Umgehungstechniken kann Nutzern helfen, aber auch den Zensor lehren, was als Nächstes zu blockieren ist. Der Zeitpunkt der Veröffentlichung und das lokale Wissen sind daher eine technische Entscheidung mit realen menschlichen Konsequenzen.

Feamsters Bilanz in diesem Bereich ist bedeutend und kollaborativ. Er ist Mitautor von Systemen, hat am Aufbau einer Forschungs-Community mitgewirkt und lehrt weiterhin Internet Censorship and Online Speech. Die Forschungsthemen oder die Nähe zu Mitautoren berechtigen jedoch nicht dazu, ihn als alleinigen Gründer jedes erwähnten Messprojekts zu bezeichnen oder Geneva ihm zuzuschreiben. Ein projektgenaues Mapping von Papieren und Rollen ist genauer als ein pauschaler Erfinder-Stempel.

Messethik wird Teil der technischen Korrektheit

Die Zensurforschung wirft ein allgemeineres Beobachtbarkeitsprinzip auf. Ein System kann statistisch hoch leistungsfähig sein und dennoch technisch scheitern, weil es nicht verantwortungsvoll betrieben werden kann. Informierte Einwilligung, Zielauswahl, Abfragefrequenz, Datenminimierung und Publikationsstrategie entscheiden gemeinsam darüber, ob eine Methode wiederholbar ist, ohne nicht hinnehmbaren Schaden anzurichten.

Das ist keine Aufforderung an die Forscher, jedes Risiko auszuschalten. Gegenüber adversarischen Staaten oder Netzbetreibern mag absolute Sicherheit nicht existieren. Die Anforderung ist, Risiken explizit zu machen, sie zuzuordnen und gegen den erwarteten öffentlichen Nutzen abzuwägen. Diejenigen, die das höchste Risiko tragen, sollten nicht hinter der globalen Gesamtzahl von Domains verschwinden.

Dasselbe Prinzip gilt jenseits der Zensur. Breitbandsonden können Aktivitätsmuster im Haushalt exponieren; IoT-Werkzeuge können Gerätemetadaten sammeln; Sicherheits-Reputationswerte können Dienste verweigern; synthetische Datensätze können echte Spuren erinnern, die eigentlich geschützt sein sollen. Jedes Messsystem erzeugt eine neue Infrastruktur mit eigenen Nutzern, Berechtigungen und Fehlermodi.

Feamsters Berufsgeschichte ist gerade deshalb wertvoll, weil sie eine dokumentierte Kontroverse enthält, nicht eine nahtlose Abfolge von Erfolgen. Die Encore-Episode zeigt, dass eine Methode kritisiert, verändert und zu expliziteren Sicherheitsarbeiten ausgebaut werden kann; sie zeigt aber auch, dass spätere Schutzmaßnahmen nicht das ursprüngliche Risiko umschreiben. Ein seriöser Artikel kann das Lernen anerkennen und gleichzeitig die Differenz bewahren, die dieses Lernen ausgelöst hat.

Smart Home zeigt, was Verschlüsselung nicht verbergen kann

Verschlüsselung schützt den Nachrichteninhalt, aber das Netz ist weiterhin auf Zeitpunkte, Paketgrößen, Richtungen und Ziele angewiesen, um Traffic zuzustellen. Eine intelligente Steckdose, eine Kamera, ein Fernseher oder ein Sprachassistent kann in wiedererkennbaren Mustern vorhersagbare Dienste kontaktieren. Ein Beobachter, der den Inhalt nicht lesen kann, kann dennoch schließen, dass das Gerät eingeschaltet ist, ein Video startet oder ein Ereignis meldet.

A Smart Home Is No Castlezeigte solche Seitenkanäle auf,Spying on the Smart Homeevaluierte daraufhin Traffic-Shaping als Gegenmaßnahme. Letzteres berichtet, dass eine Constant-Rate-Verteidigung in dem Test-Setup mit etwa 40 kByte/s zusätzlichem Traffic die Aktivität verbergen konnte. Diese Zahl ist kein universeller Privatsphären-Preis; Gerätezusammensetzung, Bedrohungsmodell, Leitungskapazität und das nötige Maß an Verbergung verändern den Trade-off.

Die Forschung korrigiert eine gängige Vereinfachung in der Verbraucherprivatheit. „Verschlüsselt während der Übertragung“ kann wahr sein, während das Verhalten über Metadaten offen liegt. Datenschutzerklärungen, die nur den Inhalt thematisieren, können darum wesentliche Risiken übergehen. Traffic-Shaping und Padding verbrauchen Bandbreite, Energie oder Latenz, und die Kosten trägt möglicherweise der Haushalt, nicht der Hersteller.

Die praktische Frage ist nicht, ob Traffic-Analyse im Labor möglich ist, sondern wer den Haushalt beobachten kann, welche Inferenz verlässlich genug für eine Handlung ist und welche Partei das Design ändern kann. ISP, lokaler Angreifer, Gerätehersteller und Cloud-Anbieter haben jeweils andere Sichten. Die Messung entdeckt Lecks; Verbraucherschutz erfordert darüber hinaus Entscheidungen über Voreinstellungen, Offenlegung, Abhilfe und Haftung.

IoT Inspector wird zum Consumer-Tool und zur Forschungsinfrastruktur

IoT Inspector führt die Smart-Home-Forschung vom kontrollierten Experiment zu einem Open-Source-Werkzeug, das Nutzer im eigenen Netz betreiben können. Teilnehmer können Geräte auswählen, deren Zielverbindungen einsehen und auf Opt-in-Basis gelabelte Metadaten für die Forschung spenden. Das Paper von 2020 dokumentiert Tausende Nutzer und Zehntausende Geräte verschiedener Hersteller und Kategorien.

Nachfolgende Berichte nennen unterschiedliche Gesamtzahlen – 44.956, 54.094, über 55.000 oder rund 63.000 Geräte –, weil sich Erfassungszeitraum und Zählweise unterscheiden. Nur die höchste Zahl zu nennen, ohne das Datum zu erwähnen, würde einen sich verändernden Datensatz in falsche Präzision verwandeln. Wirklich bedeutsam ist, dass das Projekt eine Größe erreicht hat, bei der Nutzerunterstützung, Label-Qualität, Datenschutz und Softwarepflege zu Forschungsfragen ersten Ranges werden.

Ein nutzerorientiertes Inspektionstool legt auch Mehrdeutigkeiten offen. Eine Domain kann von mehreren Cloud-Kunden gemeinsam genutzt werden, Gerätelabels können falsch sein, und die Verbindung zu einem Tracker beweist für sich allein weder, welche Daten übertragen wurden, noch, welcher Schaden entstanden ist. Die Anzeige von Zielen kann die Sichtbarkeit erhöhen, aber nicht unbedingt eine praktische Abhilfe bieten.

Ein Rückblick des Projektteams behandelt Anreize, Einwilligung, Datenminimierung und operativen Unterhalt. Diese Dokumentation ist wichtig, weil offene Forschungsplattformen ähnliche Pflichten übernehmen können wie ein Dienstbetreiber: sensible Evidenz verwahren, sich auf das Verständnis der Teilnehmer verlassen und fortlaufend erklären, was die Forschungsergebnisse beweisen können und was nicht.

Zugehörige Arbeiten zu einer Stichprobe medizinischer IoT-Geräte, vernetzten Spielzeugen und zur Privatheitswahrnehmung der Nutzer weiten die Arbeit auf den Verbraucherschutz aus. Die Schlussfolgerungen müssen an konkrete Produkte, Versionen und Daten gebunden werden. Firmware-Updates, Herstellerkorrekturen und unterschiedliche Einsatzumgebungen können die Ergebnisse verändern.

Netzwerk-Machine-Learning ist eine Pipeline, kein isolierter Klassifikator

Maschinelles Lernen hielt schon lange vor dem aktuellen generativen KI-Zyklus durch die Spam- und Reputationsforschung Einzug in Feamsters Arbeit. Das spätere netml.io-Vorhaben stellt die gesamte Pipeline um den Klassifikator herum explizit dar: Wie werden Pakete repräsentiert, wie werden Labels gewonnen, wo werden Features extrahiert, wie schnell läuft das Modell, wie wird Drift erkannt und welche Aktion folgt danach?

nPrint repräsentiert Datenpakete in einem standardisierten, bit-genauen Format, nPrintML verbindet diese Repräsentation mit automatisiertem Modellbau. Das Ziel ist nicht der Nachweis, dass eine Repräsentation für alle Aufgaben taugt, sondern die Reduktion versteckter Variation in der Feature-Entwicklung, um Vergleiche reproduzierbarer zu machen.

Traffic Refinery untersucht die Systemkosten der Feature-Generierung bei hohen Datenraten. Wenn die Feature-Extraktion Pakete verwirft, CPUs überlastet oder erst nach dem Entscheidungsfenster antwortet, ist ein statistisch genaues Modell betrieblich trotzdem schlecht. LEAF untersucht Concept Drift – die Verschiebung statistischer Zusammenhänge, wenn sich Anwendungen, Geräte und Netze verändern. Ein Produktionsmodell braucht Kriterien für Neutraining, Rollback-Mechanismen und eine umgebungsabhängige Fehlerüberwachung.

CATO optimiert Vorhersage- und Systemziele gemeinsam. Die NSDI-2025-Evaluierung berichtet unter bestimmten Versuchsbedingungen eine Verringerung der Inferenzlatenz um bis zu Faktor 3.600 und eine 3,7-fache Steigerung des Durchsatzes ohne Paketverlust. Das sind keine allgemeinen Produktionsgarantien. Die konzeptionelle Bedeutung liegt darin, dass statistische Genauigkeit gemeinsam mit den Kosten der Paketverarbeitung optimiert werden muss.

Die aktuelle Arbeit erweitert diese Logik auf Low-Cost-Klassifikation, Queues, Sondenwahl, L4S-Feldmessungen und den Einsatz von Sprachmodellen zur Analyse von Fehlkonfigurationen. Eine Arbeit von 2005 stützte sich auf explizite Invarianten; ein Sprachmodell von 2026 kann aus Beispielen und Texten ein „wahrscheinliches“ Problem ableiten. Neue Methoden mögen auch schwer formalisierbare Situationen erfassen, drohen aber, Plausibilität an die Stelle von Beweisbarkeit zu setzen, wenn der Vorschlag nicht mit dem beobachtbaren Netzzustand abgeglichen wird.

Synthetischer Traffic versucht, nützliche Daten zu teilen, ohne echte Netze preiszugeben

Echte Netzwerkdaten lassen sich schwer teilen. Sie können Kommunikation, Nutzer, Geräte, Organisationsstrukturen und proprietäre Anwendungen offenlegen; Labels sind teuer, und die Mitschriften veralten schnell. Synthetische Daten bieten einen anderen Pfad: Pakete und Flows, die nützliche Eigenschaften bewahren, ohne die Originalaufzeichnung preiszugeben.

NetDiffusion verwendet ein diffusionsmodell mit Protokollrestriktionen, um Traffic auf Paketebene zu generieren; NetSSM fügt Zustands- und Multi-Flow-Bewusstsein hinzu. Das von Feamster und Francesco Bronzino geleitete Projekt GATEAU formuliert das umfassendere Problem als ein Spannungsfeld zwischen Privatsphäre, Erhebungskosten und der Knappheit gelabelter Daten. Diese Arbeiten suchen einen Mittelweg zwischen „technisch gültigem, aber unrealistischem Zufallspaket“ und „echtem, aber nicht sicher veröffentlichbarem Traffic-Mitschnitt“.

Generierte Spuren können auf mehrfache Weise versagen. Sie mögen Randstatistiken bewahren, aber die für die nachgelagerte Aufgabe benötigten Zusammenhänge verlieren; sie können sich an sensible Beispiele erinnern; sie mögen die Protokollsyntax erfüllen, aber weder Überlast noch Sitzungszustände noch Nutzerverhalten reproduzieren. Ein damit trainierter Klassifikator kann im Test glänzen und im Produktionsverkehr scheitern.

Die Arbeit von 2026 zum Trade-off zwischen Privatsphäre und Qualität behandelt diese Risiken als messbare Größen und setzt nicht voraus, dass „synthetisch“ gleichbedeutend mit „anonym“ ist. Das ist der richtige Maßstab. Privatsphäre muss gegenüber plausiblen Angriffen getestet werden, und die Nützlichkeit muss an der vorgesehenen Aufgabe gemessen werden. Synthetischer Traffic ist ein Forschungsinstrument, kein Beleg dafür, dass das ursprüngliche Netz verschwunden ist.

NetMicroscope testet, ob der Messplan ein Geschäft werden kann

NetMicroscope ist die bislang deutlichste kommerzielle Umsetzung von Feamsters Breitband- und Machine-Learning-Forschung. Das Unternehmen führt Feamster als CEO und Mitgründer sowie Francesco Bronzino als CTO und Mitgründer. Laut Material zur Hochschulkommerzialisierung wurde das Unternehmen 2021 von beiden gegründet, mit einem verteilten Team in Chicago und Lyon.

Das Produktversprechen lautet, Durchsatz, Latenz, Paketverlust, Gerätestatus und Anwendungssignale zu einer Schätzung der Quality of Experience zusammenzuführen, die aussagekräftiger sei als isolierte Metriken. Ein Betreiber mag wissen, dass die Leitung online ist, aber nicht, warum das Video ruckelt. NetMicroscope will per maschinellem Lernen Applika­tionserfahrungen ableiten und Probleme vor der Nutzerbeschwerde erkennen.

Belastbare Finanzdaten sind rar. Im Januar 2024 stellte der George Shultz Innovation Fund dem Unternehmen 200.000 US-Dollar für Produkt-, Markt-, Team- und IP-Entwicklung bereit. Das Unternehmen durchlief außerdem I-Corps und den Compass-Accelerator. Dies sind sinnvolle frühe Signale einer Kommerzialisierung, aber sie belegen weder eine Bewertung, noch Gesamtfinanzierung, Umsatz, Kundenzahl, Kundenbindung, Marktanteil oder Profitabilität.

Die Grenze zwischen Universität und Privatunternehmen verlangt normale Sorgfalt, keine Unterstellung. Arbeiten zur Traffic-Klassifikation können sich mit dem kommerziellen Produkt überschneiden, und Leser sollten Bescheid wissen über Firmenbeteiligungen, Finanzierungsquellen, Datenzugang, Lizenzen und geistiges Eigentum. Das vorliegende Material belegt nicht, dass BISmark, nPrint oder sämtlicher universitärer Code exklusiv an das Unternehmen übertragen wurde.

NetMicroscope stützt daher eine zurückhaltende Schlussfolgerung: Es erprobt, ob jahrelange Messforschung zu einem operativen Dienst werden kann, für den Kunden zu zahlen bereit sind. Die öffentliche Evidenz bestätigt die Gründer, die Produktrichtung und die Universitätsförderung, reicht aber noch nicht, um eine kommerzielle Marktführerschaft zu beanspruchen.

Die Lehre verwandelt die Forschungsspur in ein Infrastruktur-Curriculum

Feamsters Lehrtätigkeit folgt derselben Spur wie seine Forschung. An der Georgia Tech umfassten die Kurse Internet-Architektur, Sicherheit und Next-Generation-Netze, später kamen Software-defined Networking hinzu; in Princeton verband er Netze mit Informationssicherheit und Technologiepolitik; an der University of Chicago liest er unter anderem Machine Learning for Computer Systems, Internet Censorship and Online Speech sowie Security, Privacy, and Consumer Protection.

2020 war er Koautor der sechsten Auflage vonComputer Networkszusammen mit Andrew Tanenbaum. Seine Lehrseite gibt außerdem an, er habe den Netzwerkkurs für das Online Master of Science in Computer Science-Programm der Georgia Tech aufgebaut und als erster Dozent verantwortet. Ein Online-Kurs erreicht weit mehr Studierende als eine einzelne Hörsaalveranstaltung; gleichwohl sollte diese Gründerangabe ohne separates Programmdossier an die offizielle Lehrdokumentation gebunden bleiben.

Der Quantrell Award 2026 liefert eine unabhängige institutionelle Bestätigung dafür, dass die Lehre ein wesentlicher Bestandteil seiner Karriere ist. Die Mitteilung der University of Chicago hebt offene Fragen, kollaboratives Denken und Übungen an echten Arbeitsgegenständen hervor. Studentische Bewertungen sind qualitatives Material, aber die Auszeichnung zeigt, dass diese Karriere nicht auf Paper und Startups reduziert werden kann.

Der Institutionenbau erweitert das Publikum abermals. Feamster leitete das Princeton Center for Information Technology Policy und half später in Chicago, Programme aufzubauen, die Netzwerkmessung, öffentliche Politik und Data Science verbinden. Eine Vortragsreihe zu freier und offener Kommunikation fördert zudem eine Gemeinschaft, die ethische Fragen und Messdesign gemeinsam diskutieren kann.

Eine faire Darstellung muss Kollaborateure sichtbar halten. Viele Systeme wurden von Studierenden und Nachwuchsforschenden implementiert oder geleitet. IoT Inspector, die Zensurprojekte, die Breitband-Testplattformen und die Machine-Learning-Systeme haben umfangreiche Mehrautoren-Teams. Ein Professor mag die Richtung setzen und Institutionen aufbauen, er sollte dadurch aber nicht zum alleinigen Autor jedes Ergebnisses werden.

Politikarbeit liefert Evidenz, aber keine Regulierungsgewalt

Feamsters Rolle in der öffentlichen Politik baut auf Messungen auf. Die University of Chicago gibt an, er habe unter anderem mit der Federal Communications Commission und der Stadt Chicago zusammengearbeitet. Die Internet-Equity- und Breitbandprojekte können Evidenz zu Zugang, Bezahlbarkeit, Verlässlichkeit und Leistung liefern, sie entscheiden aber nicht über Subventionsberechtigung, regulieren keine Preise und weisen keinen Anbieter an, sein Netz zu ändern.

Diese Grenze ist wichtig, weil technische Evidenz Autorität gewinnt, sobald sie in Regierungsentscheidungen eingeht. Ein Speedtest kann ein Widerspruchsverfahren stützen, aber den rechtlichen Standard legt eine andere Stelle fest; eine Zusammenschaltungskarte kann Auslastung illustrieren, aber sie kontrolliert weder Verträge noch Routing-Entscheidungen; ein Zensurdatensatz kann Eingriffe dokumentieren, aber keine juristische oder politische Analyse ersetzen.

Die aktuelle KI-Datenschutzforschung trägt dasselbe Problem in ein neues Ökosystem. Der Google Privacy Faculty Award unterstützt die Untersuchung von Drittintegrationen in Sprachmodellsystemen. Ein Nutzer mag nur ein Interface sehen, während Prompts, Kontext und Inferenz-Attribute zwischen Plugins, APIs und entfernten Diensten fließen. Das ist strukturell dem Smart Home ähnlich: Ein sichtbares Produkt orchestriert mehrere versteckte Datenbeziehungen.

Die Publikationsliste von 2026 enthält auch Forschung zu impliziter LLM-Inferenz: Selbst wenn ein Nutzer keine herkömmlichen Identifikatoren bereitstellt, kann das Modell sensible Attribute ableiten. Das macht Datenminimierung schwerer. Das Löschen von Name oder Account-Nummer verhindert nicht, dass das Modell aus gewöhnlicher Interaktion auf Gesundheit, politische Einstellung oder Demografie schließt.

Der politische Wert dieser Arbeiten liegt darin, die Evidenzgrenze sichtbar zu machen. Ein Modell, ein Datensatz oder ein Professor können einer Entscheidung Informationen zuliefern, aber sie besitzen nicht die Entscheidungsbefugnis. Gute institutionelle Nutzung erfordert transparente Methoden, Fehlerschätzung, versionierte Daten und eine klare Unterscheidung zwischen dem, was die Messung zeigt, und dem, was die zuständige Stelle beschließt.

Was diese Karriere sichtbar macht – und was weiterhin verborgen bleibt

In Routing, Spam, Breitband, Zensur, Smart Home und maschinellem Lernen haben Feamsters Projekte wiederholt verteilte operative Probleme in Evidenzsysteme verwandelt. rcc bildet Konfigurationen auf Invarianten ab; RCP gibt der Pfadwahl eine breitere Perspektive; Reputationssysteme leiten Koordination aus Metadaten ab; Gateways isolieren Teile der Breitbandfaktoren; Zensursysteme vergleichen entfernte Signale; IoT Inspector verknüpft Geräte-Traffic mit Nutzer-Labels; die netml-Projekte stellen Repräsentation, Deployment-Kosten und Drift in einen gemeinsamen Rahmen.

Diese Systeme haben das Internet nicht vollständig erkennbar gemacht. Ein bestandener Konfigurationscheck beseitigt keine physischen Fehler; ein Reputationswert beweist keine „Schuld“; ein Geschwindigkeitsmessung erklärt keine Preise; eine DNS-Anomalie identifiziert keine bestimmte Behörde; verschlüsselte Metadaten offenbaren nicht jede Gerätehandlung; synthetische Spuren garantieren keine Privatsphäre; auch ein Sprachmodell wird nicht automatisch richtig, nur weil seine Diagnose kohärent klingt.

Diese Grenzen sind kein Argument gegen das Messen, sondern ein Gebot, das operative System um die Messung herum mit Sorgfalt zu entwerfen. Nützliche Evidenz sollte Herkunft, Alter, Geltungsbereich und Unsicherheit zeigen. Hochwirksame Eingriffe sollten Review-, Widerspruchs- oder Wiederherstellungsmechanismen besitzen. Forscher sollten kenntlich machen, ob ein Resultat als Paper, als institutioneller Bericht oder als unabhängig repliziert zu betrachten ist. Kommerzielle Behauptungen können die Autorität einer akademischen Publikation nicht automatisch erben, solange eine unabhängige Prüfung fehlt.

Feamsters langfristiger Beitrag besteht darin, genau diese Zwischenschicht zwischen undurchsichtiger Infrastruktur und folgenreichen Entscheidungen immer wieder neu zu bauen. Seine Arbeit hilft Betreibern, Forschern, Nutzern und öffentlichen Einrichtungen, bessere Fragen an Systeme zu stellen, die nicht dafür entworfen wurden, sich selbst zu erklären. Das Ergebnis ist keine absolute Gewissheit, sondern eine strengere Auskunft darüber, was beobachtet wurde, was erschlossen wurde und was weiterhin der Beurteilung bedarf.