RIPE NCC: Die Eskalationsleiter für Abuse-Kontakte endet in der Mitgliedsschließung – doch die Bilanz fehlt

Zusammenfassung

• Die RIPE NCC validiert das abuse-mailbox-Attribut automatisiert auf Vorhandensein, Syntax, DNS-Einträge und die Fähigkeit des Mailservers, Nachrichten anzunehmen; die Erstprüfung versendet selbst keine E-Mail.
• Geprüft wird damit, dass eine Mailbox existiert und empfangsbereit ist – nicht, wie eine dort eingehende Missbrauchsmeldung bearbeitet, untersucht oder verfolgt wird.
• Scheitert die Validierung, folgt eine dokumentierte Leiter: Ungültig-Markierung und Ticket, E-Mail an das LIR, zwei weitere Nachfassen im Wochenabstand, dann ein telefonischer Eingriff durch RIPE-NCC-Personal, schließlich die Eskalation nach dem Verfahren für nicht reagierende LIRs.
• Die Schließung von Mitgliedern und die Deregistrierung von Ressourcen sind verfahrensrechtlich geregelt; ein bestätigter Fall allein wegen eines Abuse-Kontakt-Verstoßes ließ sich nicht belegen.
• Der einzige öffentlich quantifizierte Ausgangspunkt bleibt 2017 bis 2019: 10 bis 25 Prozent von rund 70.000 Attributen möglicherweise fehlerhaft, mehr als 32.000 erwartete Tickets pro Runde – tatsächlich geöffnet wurden 2019 rund 6.000.

Was die Prüfung misst

Die RIPE NCC validiert das abuse-mailbox-Attribut, das Ressourceninhaber im RIPE Database veröffentlichen. Der automatisierte Lauf prüft, ob das Attribut vorhanden und syntaktisch korrekt formatiert ist, kontrolliert DNS-Einträge, erkennt Adressen, die wie Schein- oder Honeypot-Mailboxen aussehen, und stellt fest, ob der Mailserver Nachrichten annehmen kann; die Erstprüfung versendet selbst keine E-Mail (RIPE-NCC-Material zur Validierung). Der Gegenstand der Prüfung ist damit klar umrissen: Existenz und Empfangsbereitschaft einer Mailbox – nicht die Bearbeitung, Untersuchung oder Ahndung einer dort eingegangenen Missbrauchsmeldung.

Ebenso klar ist der Umfang. Die Pflicht trifft Ressourcen, die von der Abuse-Kontakt-Anforderung im RIPE Database erfasst sind. Legacy-IP-Adressen und Autonome Systeme, die vor der Gründung der RIPE NCC verteilt wurden, liegen außerhalb des Validierungsverfahrens. Ein Teil des Adressraums, über den Missbrauch berichtet werden kann, unterliegt dieser Kontrolle damit gar nicht.

Zur Häufigkeit kursieren zwei Angaben. Das abgerufene RIPE-NCC-Material beschreibt eine Prüfung mindestens einmal jährlich; eine weitere abgerufene Referenz nennt mindestens alle sechs Monate, was eine frühere Diskussion widerspiegelt und nicht die derzeit festgehaltene Anforderung. Der Rhythmus ist daher als jährlich oder häufiger zu behandeln – nicht als feste Frist.

Die Eskalationsleiter

Scheitert die Validierung, greift ein dokumentiertes Verfahren. Zuerst wird das Attribut als ungültig markiert und ein Ticket erstellt; das Local Internet Registry (LIR) erhält per E-Mail eine Erläuterung und einen Validierungslink. Bleibt eine Antwort aus, folgen zwei weitere E-Mails im Abstand von einer Woche an alle LIR-Kontakte. Nach der dritten E-Mail ohne Reaktion greift ein RIPE-NCC-Mitarbeiter telefonisch oder über andere verfügbare Adressen ein. Bleibt der Kontakt weiterhin erfolglos, wird der Fall nach dem etablierten Verfahren für nicht reagierende LIRs eskaliert (Material zur Eskalation und zum Prüfverfahren). Ein Nachfassen wird auch durch Richtlinienverstöße ausgelöst, etwa durch eine abuse-mailbox, die Absender auf ein Webformular statt auf E-Mail verweist.

Am Ende der Leiter steht nicht nur eine Verwarnung. Das Verfahrensdokument mit dem Titel „Closure of Members, Deregistration of Internet Resources and Legacy Internet Resources" regelt die Gründe und den Ablauf für die Beendigung des RIPE NCC Standard Service Agreement und für die Deregistrierung von Internetnummernressourcen; das abgerufene Material datiert die letzte Aktualisierung auf den 7. Mai 2026.

Als Gründe für eine von der RIPE NCC eingeleitete Beendigung nennt es unter anderem die Nichtbefolgung von RIPE-NCC-Audits – etwa Unresponsivität oder mangelnde Kooperation – sowie die Angabe gefälschter, irreführender oder wiederholt unrichtiger Daten, einschließlich unzutreffender Kontaktdaten. Die Beendigung kann nach einer dreimonatigen Kündigungsfrist erfolgen oder in bestimmten Fällen sofort wirksam werden; nach der Beendigung verliert das frühere Mitglied das Recht, Internetnummernressourcen im RIPE Database zu führen.

Das ist eine scharfe Sanktion, und sie ist verfahrensrechtlich erreichbar. Der entscheidende Punkt ist ein anderer: In dem abgerufenen Material ließ sich kein bestätigter Fall finden, in dem ein Mitglied speziell wegen der Nichteinhaltung der Abuse-Kontakt-Anforderung geschlossen und Ressourcen deregistriert wurden. Das Verfahren begründet die Möglichkeit, nicht deren Häufigkeit.

Was die Zahlen zeigen

Die belastbare quantitative Grundlage stammt aus den Jahren 2017 bis 2019. Vorläufige Tests der RIPE NCC aus dem Jahr 2017 deuteten darauf hin, dass 10 bis 25 Prozent von rund 70.000 verschiedenen abuse-mailbox-Attributen fehlerhaft oder inaktiv sein könnten. Weitere Tests aus dem Jahr 2018 kamen zu dem Ergebnis, dass rund 20 bis 25 Prozent der Ressourceninhaber ihre Abuse-Kontakte möglicherweise validieren oder aktualisieren müssten. Im Mai 2019 enthielt das RIPE Database etwa 93.000 verschiedene abuse-mailbox-Attribute; die RIPE NCC erwartete, dass jede Validierungsrunde mehr als 32.000 Tickets erzeugen würde, potenziell bis zu 64.000 Tickets pro Jahr (RIPE-NCC-Zahlen zur Validierung). Tatsächlich wurden 2019 rund 6.000 Tickets geöffnet.

Zwischen Erwartung und Ausführung liegt damit etwa eine Größenordnung. Wie die Differenz zustande kam – ob durch gestiegene Kooperationsbereitschaft, durch einen anderen Ticketbegriff oder durch eine bewusst schrittweise Einführung –, geht aus dem abgerufenen Material nicht hervor. Für 2017 berichtete die RIPE NCC zudem, sie habe über 1.000 externe Hinweise auf fehlerhafte abuse-mailbox-Attribute bearbeitet, ohne das vollständige Schließungs- und Deregistrierungsverfahren auslösen zu müssen. Auch das ist ein Hinweis auf die Praxis: Ein erheblicher Teil der Arbeit endet vor der Eskalation.

Die Regelsetzung selbst ist abgeschlossen. Die Richtlinie „Abuse Contact Management in the RIPE Database" (ripe-705), die die Validierung des abuse-c-Attributs verbindlich vorschreibt und definiert, wurde im Juni 2018 angenommen und ist in Kraft. Vorangegangen war die Abuse Contact Management Task Force, die nach dem RIPE 61 eingesetzt wurde, um Richtlinienvorschläge zur Verwaltung von Abuse-Kontakten zu prüfen und der Community Rückmeldung zu geben.

Offen ist die Gegenwart. Für 2025 und 2026 ließ sich in dem abgerufenen Material keine veröffentlichte Compliance-Rate, keine Zahl fehlgeschlagener Validierungen, keine Zahl entfernter Kontakte und keine Zahl von Mitgliedsschließungen finden, die auf die Nichteinhaltung der Abuse-Kontakt-Anforderung zurückgehen. Die Statistikseite der RIPE NCC wurde während einer Website-Überarbeitung entfernt, ein neues Statistikrahmenwerk steht noch aus, und die Kerninformationen zu IP-Adressen und ASNs bleiben über RIPEstat verfügbar (Material zur Datenlage und zum Statistikrahmen). Der Verzeichniseintrag zu RIPE ABUSE dokumentiert Gegenstand und offene Fragen an dieser Stelle.

Die Kontrolle hat damit eine besondere Form: Die Regeln sind verbindlich, die Leiter ist lang und endet in einem schwerwiegenden Eingriff, doch die öffentlich nachvollziehbare Messung, wie oft sie beschritten wird, ist auf einen Zeitraum beschränkt, der inzwischen mehrere Jahre zurückliegt. Wer beurteilen will, ob das Abuse-Kontakt-Regime wirkt, muss sich derzeit mit der Prozessbeschreibung begnügen – und mit der Feststellung, dass die Prüfung Erreichbarkeit misst, nicht Reaktion.