Nick Feamster: Werkzeuge zur Netzwerkerklärung und ihre Grenzen

Zusammenfassung

• Nick Feamster ist Professor an der University of Chicago, Forscher für Netzwerkmessung, Organisationsgestalter und Mitgründer von NetMicroscope. Er arbeitet daran, schwer sichtbares Internetverhalten in eine für rechenschaftspflichtige Entscheidungen nutzbare Form zu überführen.
• rcc meldete über 1.000 zuvor unentdeckte Fehler in 17 autonomen Systemen, und die Routing Control Platform trug zur Bildung eines netzwerkweiten Steuerungsmodells bei, das später mit SDN verbunden wurde.
• Forschung zu Spam, Breitband, Zensur und Smart Home zeigte auch Grenzen auf: Fehlklassifikation durch Reputation, Gefahren der Fernmessung sowie die Ableitung von Verhalten aus verschlüsselten Metadaten.
• Die aktuelle Forschung zu maschinellem Lernen fragt, ob Schlussfolgerungen in Produktionsumgebungen effizient, prüfbar und sicher einsetzbar sind. Der Kernbeitrag ist ein kollaboratives System, das mit Unsicherheit umgeht, ohne sie zu beseitigen.

Rcc: Konfigurationen vor der Bereitstellung prüfen

Der AufsatzDetecting BGP Configuration Faults with Static Analysisaus dem Jahr 2005, gemeinsam mit Hari Balakrishnan verfasst, stellte einen Router-Konfigurationsprüfer namens rcc vor. Er teilte dauerhafte Fehler in zwei Hauptklassen ein: Pfadgültigkeitsfehler, bei denen der vom Control Plane gewählte Pfad nicht mit einem verfügbaren Data-Plane-Pfad übereinstimmt, und Pfadsichtbarkeitsfehler, bei denen ein benötigter Router einen verfügbaren Pfad nicht lernt. Diese Klassifikation verband Konfigurationsbefehle mit für Betreiber verständlichen Ergebnissen.

rcc analysierte die Konfigurationen mehrerer Router und prüfte netzwerkweite Einschränkungen. Der Aufsatz analysierte 17 autonome Systeme, fand über 1.000 unentdeckte Fehler und berichtete von über 65 Downloads durch Betreiber. Dies sind historische von den Autoren gemeldete Werte. Sie belegen nicht, dass rcc zu einem universellen Industrieprodukt wurde oder wie viele Unternehmen es dauerhaft nutzten. Dennoch zeigen sie, dass es auf realen Konfigurationen basierte und Betreiber außerhalb des Labors erreichte.

Die betriebliche Bedeutung liegt in der Art der erzeugten Nachweise. Der Prüfer kann Konfigurationsverstöße gegen Invarianten aufzeigen, bevor ein Fehler auftritt – anders als Dashboards, die Paketverluste erst nach einer Dienstverschlechterung melden. Da er eine begründete Verbindung zwischen Regeln und Fehlerklassen herstellt, eignet er sich für Reviews, Tests und Abstimmungen zwischen mehreren Teams, die jeweils nur eine lokale Sicht haben.

Grenzen sind ebenso wichtig. rcc kann nur die Eigenschaften prüfen, die seine Entwickler beschrieben und sein Parser verarbeiten kann. Es kann undokumentierte Geschäftsabsichten nicht erkennen und keine Abwesenheit von Herstellerfehlern oder physischen Ausfällen garantieren. Ein sauberer Konfigurationscheck beweist nicht, dass vorübergehende Fehler nie auftreten werden. Selbst wenn alle geschriebenen Prüfungen bestanden werden, kann das System gegen Anforderungen verstoßen, die niemand formuliert hat.

Daher steht rcc am Anfang des Profils. Es zeigte gleichzeitig Ehrgeiz und Bescheidenheit, die sich später wiederholen sollten: Ehrgeiz, Infrastrukturverhalten vor Eintritt eines Schadens berechenbar zu machen; Bescheidenheit, dass Korrektheit immer relativ zu beobachteten Eingaben und explizit ausgedrückten Eigenschaften ist. Moderne KI für den Netzwerkbetrieb benötigt denselben Test, doch bei Modellen, die flüssige Erklärungen statt expliziter Invarianten liefern, sind die Grenzen schwerer zu erkennen.

Das Internet weiß normalerweise, was es getan hat, kann aber nicht erklären, warum

Pakete erreichen ihr Ziel oder nicht. Videotelefonate frieren ein, Domains liefern unerwartete Adressen, Mailserver verweigern Verbindungen, intelligente Lautsprecher kontaktieren zu bestimmten Zeiten entfernte Dienste. Jedes dieser Ereignisse hinterlässt Spuren. Doch das Internet besitzt kein zentrales Register, das eine verbindliche Erklärung liefert. Sein Verhalten ergibt sich aus dem Zusammenspiel unabhängig betriebener Netze, herstellerspezifischer Konfigurationen, nicht öffentlicher Zusammenschaltungsvereinbarungen, Geräten in Haushalten, Anwendungsdesign und schwankender Nachfrage.

Diese Architektur ist nützlich, weil kein einzelner Akteur die Gesamtkontrolle ausübt. Sie erschwert aber auch die Diagnose. Router können ihre verfügbaren Pfade anzeigen, aber nicht das gesamte Resultat kombinierter Richtlinien. Geschwindigkeitstests messen eine einzelne Übertragung, können aber nicht sauber zwischen WLAN, Zugangsleitungskapazität, Latenz, Zusammenschaltung und Anwendungseinfluss trennen. Zensursonden beobachten gescheiterte Anfragen, können aber nicht die verantwortliche Person oder Institution identifizieren. Verkehrsklassifikatoren vergeben Etiketten, deren Gültigkeit nach Netzänderungen nicht garantiert ist.

Feamsters Forschungsverlauf lässt sich als eine Reihe von Versuchen lesen, diese Lücken zu schließen. Die Technologien variieren, die Methode bleibt ähnlich: Ein bedeutendes, aber verborgenes Verhalten wird ausgewählt; ein Beobachtungspunkt, an dem es messbare Signale hinterlässt, wird gefunden; das Signal wird so aufbereitet, dass Betreiber, Politiker oder Nutzer Fragen stellen können; schließlich wird geprüft, wo die Darstellung versagt. Der letzte Schritt ist entscheidend. Ein System, das nur selbstsichere Antworten ohne Grenzen liefert, kann Infrastruktur nicht erklärbar machen, sondern sogar unverantwortlicher.

Feamster besitzt keine Glasfaser, betreibt kein öffentliches AS und leitet keine Hyperscale-Cloud. Dennoch ist er eine Schlüsselfigur der digitalen Infrastruktur. Seine Arbeit betrifft die Informationsschicht um die physischen Anlagen: Pfadprüfung, Missbrauchserkennung, Breitbandqualität, Zensurdokumentation und Einführung statistischer Modelle in den Netzbetrieb. Router und Kabel transportieren Daten, Messung und Analyse bestimmen, ob jemand das Verhalten erklären kann.

Die genaueste Darstellung dieser Karriere ist daher weder eine Preisaufzählung noch die Behauptung, ein einzelner Forscher habe mehrere Felder erfunden. Es ist die Geschichte eines Observability-Programms, das seinen Gegenstand ständig wechselte, aber die Disziplin aufrechterhielt, direkte Beobachtung von Schlussfolgerung, experimentelle Ergebnisse von Betriebsgarantien zu trennen.

Verschiedene institutionelle Rollen in einer Biografie

Am Stichtag 3. August 2026 führte die University of Chicago Feamster als Neubauer Professor of Computer Science und Faculty Director of Research am Data Science Institute. Seine aktuelle Seite nennt ihn außerdem Direktor des Network Operations and Internet Security Lab, Co-Direktor der Internet Innovation Initiative, Co-Leiter von netml.io und Co-Direktor des AI and Policy Pillar. Ein Artikel des Data Science Institute vom September 2024 verwendet die Bezeichnung Director of Technology Policy. Da sich universitäre Rollen überschneiden und wandeln, sind dies keine Widersprüche.

Jedoch sollten unterschiedliche Titel nicht zu einer dauerhaften Positionsbezeichnung verschmolzen werden.

Die institutionelle Unterscheidung ist wichtig. Als Professor forscht und lehrt er. Im NOISE Lab und bei netml.io arbeitet er mit Studierenden und Partnern an Routing, Messung, Datenschutz und maschinellem Lernen. Bei Internet Innovation und Internet Equity schafft er Evidenz für Politik und Infrastrukturentscheidungen. Als Mitgründer und CEO von NetMicroscope verfolgt er die Kommerzialisierung von Netzwerkqualitätsanalysen. Seine offizielle Biografie erwähnt auch Tätigkeiten als Sachverständiger in Technologieprozessen. Keine dieser Rollen verleiht automatisch die Autorität einer anderen.

Ein Professor ist keine Regulierungsbehörde, ein Startup-CEO macht aus Universitätsforschung keine Kundenreferenz, und ein Gutachten ist keine gerichtliche Feststellung.

Diese Trennung passt zum Wesen seiner Forschung. Feamsters beste Arbeiten fragen, welches System welche Evidenz besitzt und welche Schlüsse diese stützt. Dieselbe Sorgfalt ist bei der Personenbeschreibung nötig. Seine Biografie gibt an, er habe den ersten Webcrawler von LookSmart geschrieben und bei der Entwicklung des ersten Botnet-Erkennungsalgorithmus von Damballa mitgewirkt. Das sind nützliche, belegte Fakten über frühe Industrieerfahrung, beweisen aber keine exakten Zeiträume, Autorenschaft, Anteile oder die gesamte Produkthistorie.

Öffentliche Aufzeichnungen sind für berufliche Aktivitäten weitaus reichhaltiger als für das Privatleben. Es liegen keine verlässlichen Belege zu Geburtsdatum, Geburtsort, Nationalität, Staatsbürgerschaft, familiärem Hintergrund, Vergütung, NetMicroscope-Anteilen, privaten Investitionen oder Vermögenswerten vor. Ein evidenzbasiertes Profil sollte diese Lücken nicht mit Spekulation füllen. Die Karriere bietet genug Substanz, ohne dass sie mit unbelegten biografischen Details ausgeschmückt werden müsste.

MIT, Webcrawler und eine Doktorarbeit, die Fehler vor dem Fehlerfall denkt

Feamster studierte vom Bachelor bis zur Promotion am Massachusetts Institute of Technology. Er erwarb 2000 einen SB in Elektrotechnik und Informatik, 2001 einen MEng im selben Fach und 2005 einen PhD in Informatik unter der Betreuung von Hari Balakrishnan. Seine Dissertation trägt den TitelProactive Techniques for Correct and Predictable Internet Routingund bringt das Ziel der frühen Forschung auf den Punkt: Routingfehler nicht erst nach einem Ausfall zu analysieren, sondern Strukturen zu schaffen, in denen kritische Eigenschaften vor der Bereitstellung geprüft werden können.

Die frühen Arbeiten bei LookSmart sind ein begrenztes, aber nützliches Vorspiel. Ein Webcrawler muss einen riesigen, sich während der Beobachtung verändernden Graphen entdecken – kaputte Links, doppelte Seiten, inkonsistente Antworten, unerreichbare Bereiche. Der Crawler wurde nicht direkt zu einem späteren Routingsystem, und die Quellen belegen eine solche Behauptung nicht. Die methodische Kontinuität liegt anderswo: Ein verteiltes System ist aus einer lokalen Perspektive nicht sichtbar, daher erfordert nützliches Wissen systematische Sammlung und explizite Darstellung des Gefundenen.

Das Engagement bei Damballa fügte demselben Problem eine gegnerische Komponente hinzu. Botnetze sind darauf ausgelegt, Mitglieder und Steuerung zu verbergen. Feamsters Biografie besagt, er habe beim Entwurf des ersten Erkennungsalgorithmus mitgewirkt. Öffentliche Quellen erlauben keine Rekonstruktion des vollständigen Teams oder der späteren Produktnutzung. Dennoch ist erkennbar, dass seine frühe Laufbahn akademische Systemforschung mit praktischer Sicherheitsarbeit verband, bei der aus Netzspuren auf böswillige Koordination geschlossen werden muss.

Zur Zeit seiner Promotion war die domänenübergreifende Routingpolitik über zahlreiche Geräte und Organisationen verteilt. Betreiber formulierten ihre Präferenzen für Peering, Kundenbeziehungen, Ankündigungen, Ersatzpfade und Traffic Engineering in Befehlen. Jede Konfiguration mochte für sich betrachtet plausibel wirken, doch im Zusammenspiel konnten Schleifen, Blackholes und unbeabsichtigte Pfade verborgen sein. Das Problem war nicht einfach fehlerhafte Protokollimplementierung, sondern die Schwierigkeit, über ein aus vielen lokalen Richtlinien zusammengesetztes Programm zu schlussfolgern.

Diese Perspektive wurde zu einem bleibenden Merkmal. Feamster betrachtete häufig nicht nur den Algorithmus, sondern das gesamte Betriebssystem als Untersuchungseinheit: Konfigurationsdateien, Messpunkte, Datenpipelines, Schnittstellen, Anreize der Betreiber und sogar institutionelle Zwänge. Das erweiterte die Forschung über einen einzelnen Satz oder Klassifikator hinaus, brachte aber auch größere Verantwortung mit sich. Wer mit realen Betreibern, Haushalten oder Menschen unter Zensur arbeitet, für den werden Einsatz und Ethik selbst Teil der technischen Qualität.

BGP-Konfiguration als verteiltes Programm

Das Border Gateway Protocol erlaubt autonomen Systemen, Erreichbarkeit auszutauschen und gleichzeitig eigene geschäftliche und Routingrichtlinien beizubehalten. Diese Autonomie ermöglicht es, Netze unterschiedlicher Eigentümer und Zwecke zu einem Internet zu verbinden. Andererseits entwirft kein einzelner Ingenieur das Gesamtergebnis. Richtlinien werden indirekt durch Ankündigungen, Prioritäten, Filter und interne Pfadverteilung zusammengesetzt.

Selbst innerhalb eines autonomen Systems ist die Herausforderung groß. Hunderte Router und mehrere Methoden zur internen Verteilung externer Routen können existieren. Ein an einer Grenze gelernter Pfad muss dort sichtbar sein, wo er benötigt wird, aber nicht unbedingt überall. Exportrichtlinien müssen verhindern, dass Kunden- oder Peeringrouten an falsche Nachbarn gelangen. Ersatzpfade müssen bei einem Hauptpfadausfall erscheinen, ohne Schleifen oder dauerhafte Oszillationen zu verursachen. Die Geschäftsabsicht ist dem Betreiber bekannt, die ausführbaren Fragmente liegen jedoch auf den einzelnen Geräten.

Frühe Routingforschung behandelte diese Fragmente als analysierbare Programme – ein pragmatischer Perspektivwechsel. Routerkonfigurationen sind nicht nur zeilenweise zu lesender Text, sondern Eingaben für eine netzweite Berechnung. Korrektheit lässt sich als Invarianten formulieren: Der gewählte Pfad muss zu einem nutzbaren Weiterleitungspfad führen, verfügbare Pfade müssen für die benötigten Router sichtbar sein, Ankündigungsrichtlinien müssen die beabsichtigten Beziehungen wahren, und die interne Pfadverteilung darf keine dauerhaften Inkonsistenzen verursachen.

Die Analogie zur Softwareanalyse war nützlich, weil sie den Eingriffszeitpunkt verschob. Übliche Fehlersuche beginnt nach Symptomen. Statische Analyse fragt, ob eine bekannte Fehlerklasse bereits in der Konfiguration kodiert ist – ohne Testverkehr oder Kundenbeschwerden. In Netzen mit kritischen Diensten kann bereits die Verlagerung eines Mangels von der Störungsbearbeitung in die Prüfschleife wertvoller sein als eine verkürzte Diagnosezeit.

Allerdings hat die Analogie Grenzen. Der Netzzustand besteht nicht nur aus Konfiguration. Aktive Routen, Topologie, Herstellerverhalten, transiente Konvergenz, Hardwaretabellen, defekte Verbindungen und undokumentiertes Geschäftswissen spielen eine Rolle. Ein statischer Prüfer kann innerhalb seines Modells völlig korrekt sein und dennoch Fehler außerhalb übersehen. Feamsters spätere Arbeiten kehren immer wieder zur Unterscheidung zwischen nützlicher Repräsentation und der gesamten Betriebswirklichkeit zurück.

Die Routing Control Platform verlagerte die Entscheidungsfindung von einzelnen Routern

rcc fragte, ob eine verteilte Konfiguration bekannte Einschränkungen erfüllt. Die Routing Control Platform (RCP) stellte eine andere Frage: Warum muss jeder Router die für die Pfadauswahl nötigen Informationen einzeln neu aufbauen? Das traditionelle iBGP-Design verteilt externe Routen über ein Vollmasche oder Route Reflectors. Vollvermaschung wird bei Skalierung unhandlich, Route Reflection verbessert die Skalierbarkeit, kann aber Routen verbergen, unerwartete Entscheidungen erzeugen und die Nachvollziehbarkeit erschweren.

Das RCP-Papier schlug einen logisch zentralen Dienst vor, der externe BGP-Routen und interne Topologie sammelt, für jeden Router Pfade auswählt und die Auswahl über gewöhnliches iBGBP zustellt. Die Weiterleitungsgeräte verschwinden nicht; sie leiten Pakete weiter und sprechen an den Grenzen die vertrauten Protokolle. Geändert hat sich der Ort der Pfadauswahl-Logik und die ihr zur Verfügung stehende Sicht.

„Logisch zentral“ bedeutet nicht eine einzige fragile Box. Der Steuerdienst kann repliziert und verteilt werden, während er dennoch eine konsistente Entscheidungsfunktion bietet. Diese Unterscheidung ist für spätere SDN-Entwürfe zentral. Ein Controller kann mit netzweiter Sicht arbeiten, muss aber nicht alle Prozesse auf einer Maschine ausführen. Die Ingenieurlösung wird zur Frage von Zustandskonsistenz, Fehlerbehebung und sicheren Schnittstellen, nicht eines simplen Entweder-oder zwischen vollständiger Zentralisierung und Verteilung.

RCP respektierte auch bestehende Infrastruktur. Es verlangte keine neue Forwarding-Ebene und keinen sofortigen Austausch aller Router. In Netzen, die Geräte, Verträge und Betriebsprozesse nicht auf einmal ändern können, ist diese Entscheidung für die Einführung praktisch bedeutsam. Eine Forschungsarchitektur gewinnt an praktischem Wert, wenn sie mit Schnittstellen in die Produktion eintritt, die den Betreibern bereits vertraut sind.

Zur Evaluierung wurden reale Backbone-Daten herangezogen, doch die vorliegenden Materialien belegen keine breite Produktionseinführung. Die vertretbare Aussage ist, dass RCP eine machbare Architektur mit erheblichem Einfluss zeigte, nicht dass es iBGBP branchenweit ersetzt hätte. Der NSDI Test of Time Award 2015 bestätigt die anhaltende intellektuelle Bedeutung, nicht aber Marktdurchdringung oder alleinige Eigentumsrechte an allen späteren Controller-Designs.

Wichtiger Beitrag zu SDN, aber keine Einzelerfindererzählung

SDN wird oft als sauberer Bruch erzählt: Die Steuerung wanderte in Software, die Weiterleitung wurde programmierbar, eine neue Ära begann. Die tatsächliche Geschichte ist komplexer. Active Networks, Netzwerkvirtualisierung, die 4D-Architektur, Ethane, RCP, OpenFlow, NOX und andere befassten sich mit unterschiedlichen Aspekten von Programmierbarkeit, Steuerungsentkopplung und netzweitem Management. Feamster ist ein wichtiger Beitragender, aber es gibt keine Belege, die ihn als alleinigen Erfinder von SDN ausweisen.

RCP lieferte die klare Idee eines Steuerdienstes mit breiterer Sicht, der Pfadentscheidungen berechnet und an bestehende Geräte verteilt. rcc fügte die Idee hinzu, Netzrichtlinien anhand von Invarianten zu prüfen. Zusammen verschoben sie die betriebliche Fragestellung von „Welche Befehle hat dieser Router?“ zu „Welches Verhalten implementiert das gesamte Steuersystem?“. Dieser Wechsel ist eine der intellektuellen Grundlagen des programmierbaren Netzwerkens.

Feamster war später Koautor vonThe Road to SDN, das das Feld als Akkumulation von Ideen und nicht als einzelne Erfindung beschreibt. Diese historische Sichtweise dämpft Gründermythen, die um Infrastrukturtechnologien leicht entstehen. Ein Feld entsteht, wenn mehrere Forschergruppen, Betreiber, Anbieter und Normungsgemeinschaften angrenzende Aufgaben lösen und einsatzreif machen.

Ein gemeinsam mit Jennifer Rexford verfasster Aufsatz von 2017,Why (and How) Networks Should Run Themselves, erweiterte die Diskussion von Controller-Strukturen hin zu dauerhaftem Betrieb. Er zeichnete einen geschlossenen Regelkreis, in dem hochrangige Absichten Entscheidungen leiten, Telemetrie die Resultate zeigt und das System sich anpasst. Der provokative Titel ist kein Beleg dafür, dass Ingenieure überflüssig würden. Auch ein sich selbst anpassendes Netz braucht präzise Ziele, verlässliche Telemetrie, sichere Ausführung, begrenzte Befugnisse und Mechanismen, um bei unklarer Evidenz innezuhalten.

Diese Aufgabenstellung erscheint heute weniger als ferne Automatisierungsvision denn als Entwurfsproblem für KI-gestützten Betrieb. Sprachmodelle können Konfigurationen vorschlagen, Vorfälle zusammenfassen und Werkzeuge auswählen – aber auch Ursachen erfinden, Richtlinien missverstehen und mit übertriebenen Befugnissen handeln. Der Prüfstein, den die frühe Routingforschung für neue Systeme setzt, ist streng: Gelernte Vorschläge sollten nicht allein aufgrund ihrer Plausibilität akzeptiert, sondern mit expliziten Prüfungen und beobachtbaren Ergebnissen umgeben werden.

Spamforschung machte das umgebende Netz wichtiger als die Nachricht

Am Georgia Institute of Technology verlagerte sich der Beobachtungsgegenstand von Konfigurationsfehlern zu Gegnern. Spamkampagnen und Botnetze sind darauf angelegt, mobil zu sein. Infizierte Rechner erscheinen und verschwinden, Adressen wechseln, Domains werden ausgetauscht, die Steuerinfrastruktur verteilt sich. Inhaltssignaturen fangen bekannte Nachrichten ab, doch das Verteilungssystem selbst zeigt oft beständigere Muster.

Der SIGCOMM-Aufsatz von 2006,Understanding the Network-Level Behavior of Spammers, analysierte nach den Aufzeichnungen über 10 Millionen Spam-Nachrichten. Er untersuchte, woher die Quellen kamen, wie aktiv sie waren und wie Spam mit Adressraum und Routingverhalten zusammenhängt. Entscheidend ist nicht eine einzelne feste Kennzahl, sondern der Nachweis, dass Missbrauch als Infrastruktur erforschbar ist. Quellpopulationen, Pfade, Zeitmuster und geografische Konzentration können Koordination sichtbar machen, die der Nachrichtentext allein nicht preisgibt.

Dieser Ansatz hat praktische Vorteile. Netzwerkmerkmale können früh in einer Verbindung verfügbar sein, bevor die gesamte Nachricht angenommen und analysiert wird. Das reduziert Verarbeitungslast und ermöglicht Abwehr in großem Maßstab. Die Nutzung von Metadaten statt Nutzdaten schont zudem teilweise die Privatsphäre der Inhalte. Dieselbe Abstraktion birgt jedoch Gefahren: Wohnnetzpräfixe enthalten unschuldige Nutzer und infizierte Geräte, geteilte Hosts beherbergen legitime und bösartige Domains, und Adressen wechseln den Besitzer.

Infrastruktur-Reputation ist nur dann nützlich, wenn sie Unsicherheit, zeitlichen Verfall und Widerspruchsverfahren mitdenkt.

Die DNSBL-Counter-Intelligence-Studie nutzte das Verteidigungsverhalten der Angreifer selbst als Signal. Bot-Betreiber prüfen, ob ihre Rechner auf DNS-basierten Sperrlisten erscheinen. Charakteristische Abfragemuster können Rechner mit hoher Bot-Wahrscheinlichkeit identifizieren. Es ist ein kluger Gedanke, die Aufklärung des Gegners in Evidenz umzuwandeln, aber es bleibt eine Heuristik. Abfragen können harmlose Gründe haben, und vor eingreifenden Maßnahmen ist zusätzliche Bestätigung erforderlich.

SNARE bewertete Quellen anhand von räumlich-zeitlichen und netzbasierten Merkmalen, die früh im SMTP-Austausch verfügbar sind. Die Evaluation berichtete von etwa 93 % Genauigkeit bei niedriger Falsch-Positiv-Rate. Diese Zahl gehört zu jenem Datensatz, jener Bedrohungslage und jenen Schwellenwerten. Sie ist keine 17 Jahre später unveränderte Eigenschaft. Angreifer passen sich an, E-Mail-Infrastruktur konzentriert sich, und Merkmalsverteilungen verschieben sich. Das Ergebnis belegt, dass frühe Netzsignale nützliche Klassifikationen stützen können – keine dauerhafte Leistungsgarantie.

Dynamische DNS-Reputation erweiterte dieselbe Logik von der Quelle auf die Domain. Registrierungsmuster, Nameserver, Adresswechsel und Namensauflösungsverhalten sind Hinweise, um bösartige Infrastruktur von stetigen legitimen Diensten zu unterscheiden. Selbst ohne Kenntnis aller Nutzdaten kann ein Klassifikator Risiken zuweisen. Dieses Vorgehen nahm späteres maschinelles Lernen im Netzwerk vorweg: Aus Metadaten Repräsentationen bilden, Entscheidungsregeln lernen und sich den betrieblichen Folgen unvollständiger Repräsentation stellen.

Reputation ist kein objektives Etikett, sondern eine betriebliche Entscheidung

Die Arbeit zur Clusterung HTTP-basierter Malware anhand des Kommunikationsverhaltens trieb die Methode weiter. Statt bitgenauer Signaturen fasste sie Proben nach Kommunikationsmustern zu Netzwerksignaturen zusammen. Bleiben selbst bei wechselndem Code Steuerprotokolle, Ziele oder zeitliche Eigenheiten erhalten, bleiben sie nützlich. Ist die Repräsentation jedoch zu grob, vermischt sie unzusammenhängenden Verkehr.

Die Trennung zwischen Signal und Urteil bestimmt, wie Systeme eingesetzt werden. Ein Modell kann melden, dass Adressen, Domains oder Flüsse bekanntem Missbrauch ähneln. Was dann geschieht, entscheiden Betreiber. Ergebnisse mit geringer Zuverlässigkeit mögen zu weiterer Beobachtung führen, starke Resultate zu Drosselung. Das Sperren ganzer Präfixe oder Domains verursacht Kosten für unschuldige Nutzer. Zum technischen Entwurf gehören daher Schwellenwerte, Aktualität der Evidenz, Umfang der Maßnahme und Korrekturpfade.

Die frühen Tätigkeiten bei Damballa und die an die Georgia Tech Research Corporation übertragenen Patente zeigen, dass diese Forschung einen gewerblichen und IP-Kontext hatte. Patente nennen Feamster zusammen mit David Dagon, Wenke Lee und anderen als Erfinder von Verfahren zur Erkennung und Reaktion auf Angriffsnetze. Patente stellen eine öffentliche Urkunde über Erfinder und Übertragung aus, belegen aber keine alleinige Erfindung, keinen Produktionseinsatz, keine Lizenzerlöse und keine Gültigkeit aller Ansprüche in allen Rechtsordnungen.

Der größere Beitrag liegt darin, Reputation nicht als abstrakte Genauigkeitszahl, sondern als Infrastrukturproblem zu behandeln. Verteidiger brauchen Klassifikatoren, die rechtzeitig arbeiten, mit der verfügbaren Leitungsleistung zurechtkommen, legal sammelbare Daten nutzen und Fehler handhabbar machen. Ein Aufsatz kann ein Glied der Kette optimieren. Produktionssysteme müssen die gesamte Kette über Jahre tragen, während der Gegner sich ändert.

Hier verbindet sich Sicherheitsforschung mit der aktuellen ML-Forschung. Spätere Projekte behandeln Kosten der Merkmalsextraktion, Drift, Datenschutz und Einsatz expliziter. Die Grundfrage bleibt: Welche Evidenz macht ein Netzwerksignal verlässlich genug, um es in eine Entscheidung mit realen Folgen für den Datenverkehr umzuwandeln?

Messung vom Gateway aus veränderte den Breitband-Beobachtungspunkt

Die Beschwerde „Das Internet ist langsam“ ist einfach, die Diagnose schwierig. Eine begrenzte Zugangsleitung, schlechtes WLAN, Konkurrenz unter Heimgeräten, überlastete Zusammenschaltungen, entfernte Server, Anwendungsverzögerung oder ein Test, der nicht genügend Verkehr erzeugt, können alle mit denselben Worten ausgedrückt werden. Messungen vom Laptop aus unterliegen dem Einfluss von Betriebssystem und lokalem Netz; Messungen aus dem ISP-Kern verfehlen die von Haushalten erlebte Situation.

Der Gateway-Ansatz platzierte kontrollierte Messungen an der Grenze zwischen Haushalt und ISP. Eine SIGCOMM-Studie von 2011 verwendete Langzeitdaten von rund 4.000 Gateways über 8 ISPs; größere Erhebungen umfassten über 4.200 Geräte. Untersucht wurden Durchsatz, Latenz, Zugangstechnologie und Traffic-Shaping-Verhalten. Der Wert des Gateways liegt in seiner analytischen Position: Es beobachtet den Zugangsdienst und vermeidet dabei einen Teil der unkontrollierten Fluktuation gewöhnlicher Endgeräte.

Auch an dieser Stelle liefert die Antwort sich nicht von selbst. Heim-Gateways teilen sich die lokale Umgebung mit Endgeräten und WLAN. Messserver haben eigene Pfade und Kapazitäten. Tests können den Heimverkehr stören oder zu wenig repräsentativen Zeiten laufen. Die Methode verbesserte die Ursachenzuordnung, schuf aber keinen vollständigen Blick auf die Nutzungserfahrung.

BISmark verwandelte den Gateway-Ansatz in eine wiederverwendbare Testumgebung. Ein USENIX-ATC-Aufsatz von 2014 beschrieb spezielle Router und ein Backend, auf dem Messungen und Anwendungen ausgebracht werden können. Zum Zeitpunkt des Papiers waren die Geräte in hunderten Haushalten in rund 30 Ländern installiert und wurden von Forschern aus 9 Einrichtungen genutzt. Das sind zeitpunktbezogene Zahlen, aber sie zeigen eine Aktivität, die über einen einzelnen Datensatz hinausgeht.

Eine Heim-Testumgebung zu unterhalten, ist selbst Infrastrukturarbeit. Hardware muss versandt und unterstützt werden, Nutzer ziehen Geräte vom Strom, veraltete Firmware und driftende Uhren müssen verwaltet werden. Einwilligungen müssen verständlich bleiben, und Datenschemata sowie Sammelpipelines müssen Netz- und Anwendungsänderungen überstehen. Ein öffentliches System ist nicht nur Evidenz für Messdesign, sondern auch für Organisationsaufbau.

Die Breitbandforschung zeigt zudem, warum Methodik politisch zählt. Ergebnisse kontrollierter Gateways sind nicht kompatibel mit Browsertests, ISP-Zählerdaten oder werbebasierten Tarifstufen. Jeder misst einen anderen Querschnitt des Pfades. Je sichtbarer die Messstelle und ihre Grenzen hinter einer einzelnen Geschwindigkeitszahl bleiben, desto verteidigbarer werden öffentliche Entscheidungen.

Als Zugangsleitungen schneller wurden, erklärte Geschwindigkeit allein das Erlebnis nicht mehr

Die frühe Breitbandpolitik konzentrierte sich darauf, ob Anbieter die beworbenen Geschwindigkeiten lieferten. Diese Frage bleibt in unterversorgten Gebieten wichtig. Doch wenn Leitungen hinreichend schnell werden, dominieren Latenz, WLAN, Content Delivery und Anwendungsdesign das Erlebnis, und die Geschwindigkeit verliert an Erklärungskraft.

Eine Studie, die über 5.000 Breitbandnetze untersuchte, analysierte Engpässe der Web-Performance und zeigte, dass jenseits einer forschungsspezifischen Schwelle die rohe Zugangsgeschwindigkeit nicht mehr die einzige Grenze ist. Wenn Umlaufverzögerung, Objektabhängigkeiten und Serververhalten die Fertigstellungszeit bestimmen, fühlen sich Seiten auch mit schnellerem Tarif nicht schneller an. Konkrete Schwellenwerte sollte man nicht verallgemeinern; die bleibende Erkenntnis ist, dass Qualität mehrdimensional wird, sobald der Zugang sich verbessert.

Zuverlässigkeit fügt eine weitere Dimension hinzu. Auch bei hohen Median-Geschwindigkeiten können kurze Ausfälle Haushalten schweren Schaden zufügen. Videotelefonate, Prüfungen oder Telemedizin scheitern an kurzen Unterbrechungen, die im monatlichen Mittelwert verschwinden. Ein einzelner Test kann Häufigkeit, Dauer und Tageszeit von Ausfällen nicht abbilden; deshalb sind Langzeitmessungen nötig.

Die Forschung zu verschlüsseltem DNS zeigte ähnliche Zielkonflikte. Die Wahl von Resolver und Protokoll beeinflusst Latenz, Datenschutz und Erreichbarkeit. Im Messpanel gab es keine für alle Nutzer und Netze optimale Konfiguration. Sicherheits- oder Datenschutzverbesserungen können in einer Umgebung Leistungseinbußen verursachen, in einer anderen nicht. Eine einzelne Benchmark darf nicht als universelles Rezept gelten.

Messungen während der COVID-Phase verdeutlichten, wie abrupt sich Betriebsumgebungen ändern können. Bei teilnehmenden ISPs stieg das Verkehrsvolumen und der Zusammenschaltungsbedarf sprunghaft an, gefolgt von Kapazitätserweiterungen und veränderten Nutzungsmustern. Die Ergebnisse sind auf das Messnetz beschränkt, zeigen aber, dass Planungen, die nur auf stabilen historischen Mittelwerten beruhen, in gesellschaftlichen Schocks versagen können.

An dieser Stelle wandelt sich Breitbandmessung zur wahrgenommenen Qualitätstechnik. Betreiber müssen niedrige Signale wie Durchsatz, Latenz, Verlust, Ausfall und Zusammenschaltung mit Ereignissen wie Videoruckeln oder Konferenzqualität verbinden. Diese Verbindung wurde später zur Produkthypothese von NetMicroscope. Akademische Ergebnisse beweisen nicht jede unternehmerische Behauptung, aber die technische Abstammungslinie ist direkt.

Zusammenschaltungsmessung verwandelte kommerzielle Streitigkeiten in ein Problem geteilter Daten

Der Pfad zwischen Haushalt und Anwendung überschreitet mehrere Betreibergrenzen. Zugangsanbieter tauschen Verkehr mit Content-Netzen direkt, über Internetknoten oder Transit. Überlastung kann an einer einzelnen Verbindung, in einer Richtung, zu einer bestimmten Zeit auftreten. Deshalb vermischen öffentliche Debatten über „Zusammenschaltung“ manchmal technisch verschiedene Bedingungen.

Das Interconnection Measurement Project bat teilnehmende ISPs, ein gemeinsames Messwerkzeug auf ihren Zusammenschaltungsverbindungen zu installieren. Für den Höhepunkt im Juni 2021 meldete es rund 2.900 Verbindungen mit einer Auslastung von etwa 31 % und Kapazitätserweiterungen. Diese aggregierten Ergebnisse beweisen nicht die Abwesenheit von Überlastung auf allen Nutzerpfaden. Verbindungsmittelwerte können kurze Spitzen, einzelne Pfade oder lokale Ausfälle verbergen. Der Wert liegt im Versuch, mehreren Parteien eine gemeinsame Methode und ein gemeinsames Vokabular zu geben.

Gemeinsame Messung verringert einen Konflikt und schafft einen anderen. Es bedarf der Einigung darüber, welche Verbindungen einbezogen werden, wie die Auslastung erhoben wird, wie vertrauliche Daten geschützt werden und welche Zusammenfassungen veröffentlicht werden dürfen. Betreiber haben geschäftliche Gründe, die Offenlegung zu begrenzen; Forscher benötigen genügend Details, um Behauptungen zu prüfen, ohne Kundenbeziehungen oder vertrauliche Topologien preiszugeben.

Feamsters Rolle in dieser Aktivität lässt sich am besten als der Aufbau von Messfähigkeit und institutioneller Zusammenarbeit beschreiben. Er regulierte keine Zusammenschaltungsverträge und erzwang keine Teilnahme. Es ist ein Beispiel dafür, wie Forschung von Geräten in Haushalten zu einem gemeinsam mit Betreibern getragenen Evidenzsystem wanderte. Technische Aufgaben und Governance lassen sich nicht trennen; nützliche Daten erforderten die Kooperation der Organisationen, die die Verbindungen kontrollieren.

Internetgerechtigkeit erweiterte Leistung um Zugang, Bezahlbarkeit und Zuverlässigkeit

Ein Gebiet kann über Leitungen verfügen und dennoch zu teuer sein. Ein Haushalt kann einen Vertrag haben, aber der Dienst kann instabil sein. Ein Anbieter kann die beworbene Geschwindigkeit liefern, doch WLAN, Gebäudeverkabelung und Gerätequalität können die Nutzung behindern. Die digitale Kluft als einfache Abdeckungskarte zu behandeln, lässt diese Unterschiede verschwinden.

Die Internet Equity Initiative der University of Chicago kombiniert Zugänglichkeit, Infrastruktur, Bezahlbarkeit, Adoption, Leistung und Zuverlässigkeit. Portale und Projekte verknüpfen Netzmessungen mit demografischen und politischen Daten. Geräte in Chicagoer Haushalten liefern direkte Evidenz für Servicequalität, und öffentliche Datensätze ermöglichen Vergleiche zwischen Regionen und Bevölkerungsgruppen.

Die Methode kann Muster zeigen, aber nicht alle Ursachen erklären. Regionale Unterschiede können mit Einkommen, Gebäudetyp, Anbieterwettbewerb, Tarifstufen, Geräten und historischen Investitionen zusammenhängen. Die Überlagerung demografischer Daten stützt Untersuchungen, beweist aber keine Kausalität. Politische Forschung benötigt dieselbe Unterscheidung wie die frühe Routingforschung: Repräsentation macht Fragen prüfbar, ersetzt aber nicht fehlende Variablen.

Die University of Chicago berichtete 2025, dass gemeinsame Aktivitäten von Internet Innovation Messungen und Analysen für den Illinois-Breitbandplan lieferten, der mit 175.000 nicht versorgten Haushalten, Betrieben und Gemeinschaftseinrichtungen in Verbindung stand. Das ist eine bedeutende institutionelle Behauptung, schließt jedoch das Illinois Broadband Lab, Landesbehörden und andere Partner ein. Es bedeutet weder, dass ein einzelner Professor 175.000 Standorte angeschlossen hätte, noch dass alle Planungsarbeiten abgeschlossen sind.

Der Fortschritt von Gateway-Tests zur Internetgerechtigkeit zeigt, dass sich die Nutzer der Messungen ändern. Betreiber nutzen sie für Leitungsdiagnosen, Kommunen für die Auswahl von Fördergebieten, Bundesstaaten für die Anfechtung von Fördermittelzuweisungen. Je stärker Messungen in öffentliche Entscheidungen eingehen, desto wichtiger werden transparente Definitionen, versionierte Daten und der Umgang mit Unsicherheit.

Zensurforschung machte Observability zu einer Frage menschlicher Sicherheit

Zensur ist aus denselben strukturellen Gründen schwer zu messen wie Routing. Beobachter sehen das Resultat mehrerer Systeme. Das Scheitern einer Domainauflösung kann an einem nationalen Filter, einer lokalen Firewall, einem gewöhnlichen DNS-Fehler, einem Serverausfall oder Routing-Instabilität liegen. Verbindungsresets können durch Einspeisung, Endgeräte oder politikunabhängige Middleboxen verursacht werden. Das Signal kommt fast nie als signierte Erklärung eines Verantwortlichen.

Die Einsätze sind anders, weil Messungen Menschen exponieren können. Forscher möchten Beobachtungspunkte innerhalb von Zensurnetzen, aber Mitarbeiter riskieren Vergeltung. Ferngesteuerte Methoden können die Rekrutierung lokaler Teilnehmer verringern, beziehen aber möglicherweise Nutzer, Websites oder Systeme ein, die dem Experiment nicht zugestimmt haben. In diesem Feld wird das Sicherheitsmodell selbst Teil der Messarchitektur.

Feamsters Forschung in diesem Bereich begann 2002 mit Infranet, das Zensur als Umgehungsproblem behandelte: Kooperierende Webserver versteckten Uplink-Nachrichten in gewöhnlich aussehenden HTTP-Anfragen und betteten Downlink-Daten in Bilder ein. Die Annahmen über Web und Überwachung sind veraltet, aber der Aufsatz zeigte einen langlebigen Gedanken: Zensur ist auch ein Streit darüber, welche Kommunikationsmuster von normalem Verkehr unterscheidbar sind.

Spätere Arbeiten verlagerten sich von der Unterstützung der Umgehung hin zur Messung der Blockade selbst. Großmaßstäbliche, wiederholbare Messungen können Filtern dokumentieren, die Regierungen und Anbieter nicht offenlegen. Sie schaffen zugleich schwierigere ethische Grenzen: Das Messsystem erzeugt Evidenz für die Öffentlichkeit, kann aber Risiken für die einzelnen Geräte mit sich bringen, die die Signale liefern.

Diese Spannung ist kein Nebenschauplatz der Biografie. Es ist das deutlichste Beispiel dafür, wie der Versuch, das Internet erklärbar zu machen, Menschen verletzen kann, die nicht gefragt haben. Die ethische Qualität von Zensurmessungen wird nicht nur durch statistische Genauigkeit bestimmt, sondern durch Zielauswahl, Einwilligung, Abfragefrequenz, Datenhaltung, Offenlegung und die Möglichkeit von Vergeltung.

Encore zeigte, wie Größe die Einwilligung überholen kann

Encore verwendete cross-origin-Anfragen im Browser, um zu testen, ob ausgewählte Web-Ressourcen aus unterschiedlichen Netzen erreichbar waren. Teilnehmende Sites ließen Besucher-Browser Anfragen stellen, und die Forscher schätzten Blockaden. Das Design erzielte Skalierung, ohne in jedem Land eigene Software zu installieren.

Genau dieser Mechanismus löste eine schwere Ethikkontroverse aus. Personen, die völlig fremde Seiten besuchten, konnten zu Beobachtungspunkten werden, ohne das Experiment zu verstehen. Anfragen an sensitive Domains konnten für Zensoren sichtbar sein. Drittseiten mochten so erscheinen, als sondierten sie Ziele, die sie nie gewählt hatten. Die Risikotragenden waren nicht mit den Forschern identisch, die die Daten erhielten.

Ein unabhängiger Aufsatz,No Encore for Encore?, problematisierte informierte Einwilligung, Transparenz, Nutzersicherheit und Schaden für Drittseiten. Er dokumentierte zugleich die Kommunikation mit Feamster und Designänderungen. Die Kritik sollte man weder zu einem Vorwurf wissenschaftlichen Fehlverhaltens aufblähen noch zu einer Fußnote zusammenschrumpfen lassen, die spätere Arbeiten tilgen. Sie zeigte reale Designrisiken eines Systems mit legitimem öffentlichem Zweck.

Feamster und Ben Jones veröffentlichten daraufhinCan Censorship Measurements Be Safe(r)?. Der Titel behandelt Sicherheit nicht als binäre Zertifizierung, sondern als Kontinuum. Abdeckung, Wiederholbarkeit und Genauigkeit stehen in Konkurrenz zur Exposition von Mitarbeitern, Zielen und Dritten. Eine Messung, die viele Netze erreicht, wird weniger akzeptabel, wenn sie das Risiko pro Person nicht eingrenzen kann.

Dieser Vorfall veränderte den intellektuellen Gehalt der Forschung. Ethik war nicht länger eine Überprüfung, die von außen an die Technik angehängt wird. Das Bedrohungsmodell musste diejenigen einschließen, die Kommunikation erzeugen, die Organisationen, die Tests hosten, und die Behörden, die sie beobachten könnten. Es ist eine dauerhafte Lehre für jede Infrastrukturmessung in einer Ära, in der Browser, Heimgeräte und KI-Agenten zu verteilten Sensoren werden.

Augur, Iris und Nachfolgesysteme versuchten, die Beobachtungsreichweite zu erweitern ohne Risiken zu verbergen

Augur versuchte, aus TCP/IP-Seitenkanälen die Erreichbarkeit zwischen entfernten Punkten zu schätzen, ohne an beiden Enden herkömmliche Beobachtungspunkte zu benötigen. Das Papier berichtete von Tests in rund 180 Ländern über 17 Tage und enthielt Designelemente, um individuelle Nutzer nicht einzubeziehen. Die geografische Reichweite stieg, aber die Schlussfolgerung hing von Betriebssystemverhalten, Adressauswahl, Filter-Asymmetrien und statistischen Annahmen ab.

Iris konzentrierte sich auf DNS-Manipulation. Durch iterative Abfragen von mehreren Standorten an denselben Resolver und den Vergleich der Antworten ließen sich anomale Ergebnisse finden. DNS liefert strukturierte Evidenz, doch legitime Systeme cachen, leiten um, lokalisieren und filtern ebenfalls. Antwortunterschiede sind ein Ausgangspunkt für Zuschreibungsuntersuchungen, kein Beweis, dass eine bestimmte Regierungsstelle eine Regel erlassen hat.

Die getesteten Ziellisten sind selbst verzerrungsanfällig. Wer nur weltweit bekannte politische Websites prüft, verpasst Inhalte in lokalen Sprachen und kulturspezifische Themen. Eine Studie von 2018 nutzte NLP und Suche, um 1.125 Websites zu entdecken, die nicht in der damals größten china-spezifischen Sperrliste enthalten waren. Die Abdeckung der Forschung verbesserte sich, doch Domains, Inhalte und Richtlinien ändern sich; Listen sind daher zeitpunktgebundene Artefakte.

GFWeb, auf der USENIX Security 2024 vorgestellt, untersuchte 20 Monate lang HTTP/HTTPS-Filter der chinesischen Great Firewall. Das Papier berichtete von Tests an 1,02 Milliarden Domains und fand mehrere hunderttausend Pay-level-Domains, die von unterschiedlichen Filtermechanismen betroffen waren. Das ist keine demografische Statistik betroffener Personen. Der Wert liegt darin, dass protokollspezifische Tests verschiedene Teile des Filterapparats zeigen und ein einzelnes Verfahren zu Untererfassung führen kann.

Eine Studie zu Turkmenistan testete 15,5 Millionen Domains, identifizierte 122.000 zensierte Domains und schätzte breite Oversperrregeln, die Millionen weiterer Adressen betrafen. Sie untersuchte auch Umgehungsmöglichkeiten. Die Veröffentlichung von Umgehungstechniken hilft Nutzern, kann aber Zensoren zeigen, was sie als Nächstes blockieren sollten. Der Zeitpunkt der Offenlegung und lokales Wissen werden zu Ingenieurentscheidungen mit menschlichen Konsequenzen.

Feamsters Leistung auf diesem Feld ist beträchtlich, sollte aber als Gemeinschaftsarbeit dargestellt werden. Er ist Koautor der Systeme, half beim Aufbau der Forschungsgemeinschaft und unterrichtet weiterhin über Internet Censorship and Online Speech. Er ist jedoch nicht der alleinige Gründer jedes beteiligten Observatoriums, und es wäre falsch, ihm allein aufgrund gemeinsamer Autorenschaft oder Themen die Verdienste von Geneva zuzuschreiben. Die Zuordnung von Papieren zu Rollen ist genauer als pauschale Erfinderetiketten.

Messethik wurde Teil der technischen Korrektheit

Zensurforschung illustriert einen breiteren Punkt über Observability. Ein statistisch leistungsfähiges System kann technisch nicht erfolgreich genannt werden, wenn es nicht verantwortungsvoll betrieben werden kann. Einwilligung, Zielauswahl, Abfragehäufigkeit, Datenminimierung und Publikationspraxis entscheiden darüber, ob Wiederholbarkeit ohne inakzeptablen Schaden möglich ist.

Das ist keine Forderung, jedes Risiko zu eliminieren. Wenn der Gegner ein feindlicher Staat oder ein Netzbetreiber ist, mag vollständige Sicherheit unmöglich sein. Verlangt wird, Risiken ausdrücklich zu benennen, zu zeigen, wer sie trägt, und sie gegen den erwarteten öffentlichen Nutzen abzuwägen. Die Schwächsten dürfen nicht hinter milliardenfachen Domainzählungen verschwinden.

Dieselben Grundsätze gelten jenseits der Zensur. Breitbandsonden zeigen Haushaltsverhalten, IoT-Werkzeuge sammeln Gerätemetadaten, Sicherheitsbewertungen können zu Dienstverweigerung führen, und synthetische Daten können schützenswerte Spuren erinnern. Jedes Messsystem errichtet eine weitere Infrastruktur mit neuen Nutzern, Befugnissen und Fehlermodi.

Dass Feamsters Karriere dokumentierte Kontroversen enthält, ist kein Makel, sondern ein analytischer Wert. Encore zeigt den Prozess, in dem eine Methode kritisiert, verändert und in explizitere Sicherheitsforschung überführt wurde. Spätere Schutzmaßnahmen sollten die ursprünglichen Risiken nicht umschreiben, aber das Lernen darf angemessen gewürdigt werden. Ein präzises Profil anerkennt das Lernen und bewahrt zugleich den Konflikt, der es nötig machte.

Das Smart Home zeigte, was Verschlüsselung nicht verbirgt

Verschlüsselung schützt die Nutzdateninhalte, aber die Zustellung von Kommunikation erfordert Zeit, Paketgröße, Richtung und Ziel. Intelligente Steckdosen, Kameras, Fernseher und Sprachassistenten verbinden sich mit vorhersagbaren Diensten in charakteristischen Zeit- und Ratenmustern. Ein Beobachter, der die Inhalte nicht lesen kann, kann dennoch schließen, dass ein Gerät aktiv wurde, ein Video streamte oder ein Ereignis meldete.

A Smart Home Is No Castledemonstrierte diesen Seitenkanal, undSpying on the Smart Homeerweiterte die Analyse um eine Bewertung von Traffic-Shaping-Verteidigungen. Letztere berichtete, dass eine konstante Ratenverteidigung mit einem Overhead von etwa 40 kByte pro Sekunde die Aktivität in der Testumgebung verbergen konnte. Dieser Wert ist kein universeller Preis der Privatsphäre; die Abwägung hängt von Gerätekonfiguration, Bedrohungsmodell, Leitungskapazität und dem erforderlichen Verborgenheitsniveau ab.

Die Forschung korrigierte eine Vereinfachung des Verbraucherdatenschutzes. „Verschlüsselt während der Übertragung“ kann wahr sein, während Metadaten das Verhalten preisgeben. Datenschutzerklärungen, die nur Inhalte beschreiben, lassen ein großes Risiko aus. Shaping oder Padding kosten Bandbreite, Energie und Latenz – Kosten, die möglicherweise der Haushalt trägt, nicht der Hersteller.

Die praktische Frage ist nicht nur, ob Verkehrsanalyse im Labor möglich ist. Es geht darum, wer den Haushalt beobachten kann, welche Schlüsse verlässlich genug sind und wer das Design ändern kann. ISP, Nachbarschaftsangreifer, Gerätehersteller und Cloud-Anbieter haben unterschiedliche Sichten. Messungen identifizieren Lecks, aber Verbraucherschutz erfordert Entscheidungen über Voreinstellungen, Offenlegung, Abhilfe und Haftung.

IoT Inspector wurde ein Verbraucherwerkzeug und zugleich Forschungsinfrastruktur

IoT Inspector verlagerte die Smart-Home-Forschung von kontrollierten Experimenten zu einem Open-Source-Werkzeug, das Nutzer in ihrem eigenen Netz betreiben konnten. Teilnehmer wählten Geräte aus, sahen, wohin sie sich verbanden, und konnten, wenn sie einwilligten, etikettierte Metadaten an die Forschung weitergeben. Ein Aufsatz von 2020 dokumentierte tausende Nutzer und zehntausende Geräte über viele Hersteller und Produktkategorien hinweg.

Spätere Berichte nennen unterschiedliche Gerätezahlen wie 44.956, 54.094, über 55.000 oder rund 63.000. Unterschiedliche Erhebungszeiträume und Aggregationsmethoden erklären die Differenzen; die größte Zahl ohne Datum auszuwählen, würde veränderliche Daten in falsche Präzision verwandeln. Entscheidend ist, dass das System in einer Größenordnung betrieben wurde, die Nutzerunterstützung, Etikettierqualität, Datenschutz und Softwarewartung zu erstklassigen Forschungsgegenständen machte.

Ein Inspektionstool für Nutzer legt auch Unschärfen offen. Domains werden von mehreren Cloud-Kunden geteilt, Geräteetiketten können falsch sein, und eine Verbindung zu einem Tracker sagt nichts über die übertragenen Daten oder den Schaden aus. Sichtbarkeit zu verbessern bedeutet nicht automatisch, handlungsfähige Abhilfe zu liefern.

Die Betriebsrückschau des Teams diskutierte Anreize, Einwilligung, Datenminimierung und langfristige Wartung. Diese Aufzeichnung zeigt, dass öffentliche Forschungsplattformen Pflichten übernehmen können, die denen von Dienstanbietern ähneln. Sie bewahren sensitive Evidenz, sind auf das Verständnis der Teilnehmer angewiesen und müssen kontinuierlich kommunizieren, was die Funde belegen und was nicht.

Verwandte Arbeiten zu Medizin-IoT, vernetztem Spielzeug und Nutzerwahrnehmung weiteten den Fokus auf Verbraucherschutz aus. Die Ergebnisse sind an die getesteten Produkte, Versionen und Daten zu binden. Firmware-Updates, Herstellerkorrekturen und Einsatzunterschiede ändern die Resultate.

Maschinelles Lernen im Netzwerk ist eine Pipeline, kein isolierter Klassifikator

Maschinelles Lernen hielt lange vor dem Hype um generative KI durch die Spam- und Reputationsforschung Einzug in Feamsters Arbeit. Das spätere netml.io machte die umgebende Pipeline explizit: Ein Klassifikator hängt von Paketrepräsentation, Etikettenerhebung, Ort der Merkmalsextraktion, Ausführungsgeschwindigkeit, Drifterkennung und Maßnahmen nach der Entscheidung ab.

nPrint stellt Pakete in einer standardisierten Form auf Bit-Ebene dar, und nPrintML kombiniert diese Repräsentation mit automatischer Modellierung. Das Ziel ist nicht zu beweisen, dass eine Repräsentation für alle Aufgaben optimal ist, sondern implizite Änderungen am Merkmalsdesign zu reduzieren und Methodenvergleiche reproduzierbarer zu machen.

Traffic Refinery behandelte die Kosten der schnellen Merkmalserzeugung. Wenn Merkmalsextraktion Pakete verwirft, die CPU auslastet oder Antworten nach Fälligkeit liefert, ist selbst ein genauer Modell in der Produktion schlecht. LEAF untersuchte konzeptuelle Drift – statistische Beziehungen verschieben sich, weil sich Anwendungen, Geräte und Netze ändern. Produktionsmodelle brauchen Kriterien für Neulernen, Rollback und umgebungsabhängige Fehlerüberwachung.

CATO optimiert Vorhersagegüte und Systemleistung gemeinsam. Eine NSDI-2025-Evaluation berichtete unter bestimmten experimentellen Bedingungen von bis zu 3.600-fach reduzierter Inferenzlatenz und einem bis zu 3,7-fachen Anstieg des verlustfreien Durchsatzes. Das sind keine allgemeinen Produktionsgarantien. Die konzeptuelle Bedeutung liegt darin, dass statistische Genauigkeit und Paketverarbeitungskosten gemeinsam optimiert werden sollten.

Aktuelle Forschung erstreckt sich auf kostengünstige Klassifikation, Warteschlangensteuerung, Sondenauswahl, reale L4S-Messungen und die Fehlkonfigurationsanalyse mit Sprachmodellen. Die Doktorarbeit von 2005 stützte sich auf explizite Invarianten; Sprachmodelle 2026 schätzen eine Fehlerwahrscheinlichkeit aus Beispielen und Text. Sie können schlecht formalisierbare Fälle behandeln, riskieren aber, Evidenz durch Plausibilität zu ersetzen, wenn ihre Vorschläge nicht an beobachtbaren Zuständen geprüft werden.

Synthetischer Verkehr will nützliche Daten teilen, ohne reale Netze preiszugeben

Reale Verkehrsspuren sind schwer zu teilen. Sie können Kommunikationspartner, Nutzer, Geräte, Organisationsstrukturen und proprietäre Anwendungen offenlegen. Etiketten sind teuer, und Spuren veralten schnell. Synthetische Daten versprechen einen Ersatz, der nützliche Eigenschaften bewahrt, ohne die Originalaufzeichnungen zu veröffentlichen.

NetDiffusion erzeugte paketweisen Verkehr mit Diffusionsmodellen und Protokollzwängen. NetSSM fügte Zustands- und Mehr-Fluss-Erkennung hinzu. GATEAU, geleitet von Feamster und Francesco Bronzino, verortet synthetische Verkehrsdaten im Spannungsfeld zwischen technisch korrekten, aber unrealistischen Zufallspaketen und realen Spuren, die nicht sicher verteilbar sind.

Generierte Spuren können ebenfalls scheitern. Sie mögen Randstatistiken erhalten, aber Korrelationen verlieren, die für nachgelagerte Aufgaben nötig sind. Sie können sensitive Beispiele erinnern. Sie mögen die Protokollsyntax erfüllen, aber Überlast, Sitzungszustand und Nutzungsverhalten nicht reproduzieren. Ein darauf trainierter Klassifikator könnte bei realem Verkehr versagen.

Eine Arbeit von 2026 zu Privatsphäre-Qualitäts-Zielkonflikten misst Risiken, statt „synthetisch also anonym“ anzunehmen. Das ist der richtige Maßstab. Datenschutz sollte mit realistischen Angriffen geprüft werden, der Nutzen an den beabsichtigten Aufgaben. Synthetischer Verkehr ist ein Forschungswerkzeug, keine Bescheinigung, dass das ursprüngliche Netz verschwunden wäre.

NetMicroscope testet, ob sich Messforschung in ein Geschäft überführen lässt

NetMicroscope ist das deutlichste Beispiel dafür, wie Feamsters Breitband- und ML-Forschung in ein kommerzielles Vorhaben mündete. Das Unternehmen nennt Feamster als CEO und Mitgründer sowie Francesco Bronzino als CTO und Mitgründer. Universitäre Vermarktungsunterlagen geben die Gründung 2021 an und beschreiben ein verteiltes Team mit Schwerpunkten in Chicago und Lyon.

Die Produkthypothese lautet, dass die Kombination von Durchsatz, Latenz, Verlust, Gerätezustand und Anwendungssignalen die vom Nutzer erlebte Qualität schätzen kann. Betreiber wissen möglicherweise, dass eine Leitung steht, aber nicht, warum ein Video degradiert. NetMicroscope setzt maschinelles Lernen ein, um das Anwendungserlebnis zu schätzen und Probleme vor Beschwerden zu erkennen.

Bestätigbare Finanzbelege sind begrenzt. Im Januar 2024 vergab der George Shultz Innovation Fund 200.000 US-Dollar für Produkt‑, Markt‑, Team‑ und IP-Entwicklung. Das Unternehmen nahm außerdem an I-Corps und dem Compass Accelerator teil. Das sind bedeutsame Signale früher Kommerzialisierung, die jedoch keine Bewertung, Gesamtfinanzierung, Umsätze, Kundenzahlen, Verbleibraten, Marktanteile oder Gewinne belegen.

Die Grenze zwischen akademischer und unternehmerischer Tätigkeit erfordert gewöhnliche Sorgfalt, keine Spekulation. Arbeiten zur Verkehrsklassifikation können sich mit kommerziellen Produkten überschneiden. Zugehörigkeiten, Finanzierung, Datenzugang, Lizenzen und geistiges Eigentum müssen offengelegt werden. Die vorliegenden Materialien zeigen nicht, dass BISmark, nPrint oder universitärer Code exklusiv an das Unternehmen übertragen worden wären.

Das erlaubt nur zurückhaltende Schlüsse: NetMicroscope ist der Versuch, jahrelange Messforschung in einen betrieblichen Dienst zu überführen, für den Kunden zahlen. Die öffentliche Evidenz bestätigt Gründer, Produktrichtung und universitäre Auszeichnungen, reicht aber nicht für einen Anspruch auf kommerzielle Dominanz.

Lehre verwandelte den Forschungsstrom in ein Infrastruktur-Curriculum

Feamsters Lehrtätigkeit begleitete die Entwicklung seiner Forschung. Am Georgia Tech unterrichtete er Internetarchitektur, Sicherheit und Next Generation Networks, später auch SDN-Kurse. In Princeton verband er Netzwerkthemen mit Informationssicherheit und Technologiepolitik. Seine aktuellen Kurse an der University of Chicago umfassen Machine Learning for Computer Systems, Internet Censorship and Online Speech sowie Security, Privacy, and Consumer Protection.

2020 war er Koautor der 6. Auflage von Andrew TanenbaumsComputer Networks. Seine Lehrseite gibt weiter an, er habe den Computer-Networking-Kurs des Georgia Tech Online Master of Science in Computer Science konzipiert und als erster Dozent betreut. Onlinekurse erweitern die Bildung über ein einzelnes Campus-Semester hinaus, doch Gründungsbehauptungen sollten ohne unabhängige Programmaufzeichnungen der eigenen Darstellung zugeschrieben werden.

Der Quantrell Award 2026 ist ein unabhängiger institutioneller Beleg dafür, dass Lehre eine zentrale Aktivität ist. Die universitäre Bekanntmachung hob Probleme ohne Einheitslösung, gemeinsames Schlussfolgern und praxisnahe Übungen hervor. Studentenkommentare sind qualitativ, zeigen jedoch, dass die Karriere nicht allein durch Aufsätze und Firmen zu erklären ist.

Der Organisationsaufbau weitete den Fokus nochmals. Feamster leitete das Princeton Center for Information Technology Policy und trieb später an der University of Chicago Initiativen voran, die Messung, öffentliche Politik und Datenwissenschaft verknüpfen. Ein Workshop zu freier und offener Kommunikation formte eine Gemeinschaft, die Ethik und Messdesign gemeinsam diskutiert.

Eine faire Darstellung muss die Mitautoren sichtbar halten. Viele Systeme wurden von Studierenden und jungen Forschern implementiert und geleitet. IoT Inspector, Zensurmessungen, Breitband-Testumgebungen und ML-Systeme sind Ergebnisse mit vielen Autoren. Ein Professor kann Richtung vorgeben und Institutionen aufbauen, wird dadurch aber nicht zum alleinigen Urheber aller Resultate.

Politikforschung liefert Evidenz, übt aber keine Regulierungsgewalt aus

Feamsters öffentliche politische Rolle wurzelt in der Messung. Laut University of Chicago hat er mit Organisationen wie der Federal Communications Commission und der City of Chicago zusammengearbeitet. Internet Equity und Breitbandforschung können Evidenz zu Zugänglichkeit, Bezahlbarkeit, Zuverlässigkeit und Leistung liefern. Sie legen jedoch nicht die Förderfähigkeit fest, regulieren keine Preise und weisen Betreiber keine Netzänderungen an.

Diese Grenze ist wichtig, weil technische Evidenz Autorität gewinnt, wenn sie in Regierungshandeln einfließt. Geschwindigkeitstests können Anfechtungen stützen, doch die gesetzlichen Standards setzen andere Institutionen. Zusammenschaltungsdiagramme zeigen Auslastung, aber Verträge und Routing-Entscheidungen liegen außerhalb des Diagramms. Zensurdaten dokumentieren Störungen, schließen aber die rechtliche und politische Analyse nicht ab.

Die aktuelle KI-Datenschutzforschung erweitert dieselbe Frage auf ein neues Ökosystem. Der Google Privacy Faculty Award unterstützt die Erforschung von Datenschutzrisiken durch die Integration von Sprachmodellen bei Dritten. Nutzer sehen nur eine Oberfläche, während Prompts, Kontexte und abgeleitete Merkmale zwischen Plugins, APIs und entfernten Diensten wandern. Diese Struktur ähnelt dem Smart Home, wo ein sichtbares Produkt mehrere verborgene Datenbeziehungen orchestriert.

Die Publikationsliste von 2026 enthält auch die implizite LLM-Inferenz – das Problem, dass Modelle sensible Attribute ableiten, auch wenn Nutzer keine üblichen Identifikatoren preisgeben. Das bloße Löschen von Namen oder Kontonummern verhindert nicht die Schätzung von Gesundheits‑, politischen oder demografischen Informationen aus gewöhnlichen Gesprächen; das erschwert die Datenminimierung.

Der politische Wert liegt darin, die Grenzen der Evidenz sichtbar zu machen. Modelle, Datensätze und Professoren können Entscheidungen stützen, besitzen sie aber nicht. Gute institutionelle Nutzung verlangt transparente Methoden, Fehlerschätzung, versionierte Daten und eine klare Trennung zwischen dem, was die Messung zeigt, und dem, was autorisierte Stellen daraus machen.

Was diese Karriere sichtbar machte – und was verborgen bleibt

Durch Routing, Spam, Breitband, Zensur, Smart Home und maschinelles Lernen hindurch haben Feamsters Projekte verteilte betriebliche Probleme in Evidenzsysteme überführt. rcc brachte Konfigurationen mit Invarianten in Verbindung, RCP gab der Pfadauswahl eine breitere Sicht, Reputationssysteme schlossen aus Metadaten auf Koordination, Gateways isolierten Teile der Breitbandleistung. Zensursysteme verglichen ferne Signale, IoT Inspector verband Gerätekommunikation mit Nutzeretiketten, und netML knüpfte Repräsentation an Einsatzkosten und Drift.

Dennoch wurde das Internet nicht vollständig verstehbar. Bestandene Konfigurationsprüfungen beseitigen keine physischen Fehler. Reputationswerte beweisen keine Schuld. Geschwindigkeitsmessungen erklären keine Bezahlbarkeit. DNS-Anomalien identifizieren keine Behörde. Verschlüsselte Metadaten offenbaren nicht jedes Geräteverhalten. Synthetische Spuren garantieren keinen Datenschutz. Sprachmodelle werden nicht dadurch korrekt, dass sie plausibel klingende Diagnosen liefern.

Diese Grenzen sind kein Grund, Messungen zu verwerfen, sondern das umgebende Betriebssystem sorgfältig zu gestalten. Nützliche Evidenz sollte Herkunft, Aktualität, Umfang und Unsicherheit zeigen. Maßnahmen mit großer Wirkung brauchen Prüfung, Widerspruch und Wiederherstellung. Forscher sollten zwischen Aufsatzbericht, institutionellem Bericht und unabhängiger Replikation unterscheiden; unternehmerische Behauptungen sollten nicht ohne eigene Evidenz die Autorität akademischer Arbeiten erben.

Feamsters bleibender Beitrag besteht darin, wiederholt eine Zwischenschicht zwischen undurchsichtiger Infrastruktur und folgenreichen Entscheidungen aufgebaut zu haben. Er versetzte Betreiber, Forscher, Nutzer und öffentliche Einrichtungen in die Lage, Systemen bessere Fragen zu stellen, die nicht dafür gebaut wurden, sich zu erklären. Das Ergebnis ist nicht vollständige Gewissheit, sondern eine diszipliniertere Art zu beschreiben, was beobachtet wird, was geschlussfolgert wird und wo Urteilsvermögen einsetzen muss.