Zusammenfassung

  • RIPE-705 verlangt mindestens eine jährliche Prüfung des öffentlichen abuse-mailbox-Attributs und eine Nachverfolgung, wenn es als fehlerhaft gilt. Das ist eine Maßnahme zur Qualität des Registers.
  • Ein Verzeichniseintrag oder ein technischer Mailtest belegt nicht, dass eine konkrete Meldung das zuständige Team erreicht, geprüft oder behoben wird.

Ein Kontaktfeld ist ein Wegweiser, keine Leistungszusage

Wer schädlichen Datenverkehr melden will, muss zunächst die richtige Adresse finden. In der RIPE-Datenbank verweist abuse-c auf ein role-Objekt mit der Adresse abuse-mailbox. So lässt sich vom Ressourceneintrag aus ein öffentlicher Kontaktpunkt auffinden.

Diese öffentliche Funktion ist wichtig. Ein Tippfehler, eine nicht existierende Domain oder ein falsch konfigurierter Mailserver kann den Kommunikationsweg schon vor der Prüfung durch einen Betreiber unterbrechen. RIPE-705 sieht abuse-mailbox als Adresse für automatische und manuelle Meldungen zu missbräuchlichem Verhalten aus den Netzen der Ressourcenhalter vor. Das Attribut muss uneingeschränkt über Whois, APIs und künftige Zugangswege verfügbar sein.

Der Eintrag endet jedoch an der Adresse. Er zeigt weder, wer das Postfach liest, noch ob am Wochenende Bereitschaft besteht, an welches Sicherheitsteam eine Nachricht weitergeleitet wird oder ob der Betreiber etwas ändert. Diese internen Abläufe können gut funktionieren. Das öffentliche Kontaktfeld misst sie nicht.

Was die jährliche Prüfung aussagt

Die veröffentlichte RIPE-705 verlangt von RIPE NCC, abuse-mailbox mindestens jährlich zu validieren. Gilt das Attribut als fehlerhaft, folgt RIPE NCC nach den einschlägigen Richtlinien und Verfahren nach. Die Regel legt keine Antwortfrist für Abuse-Meldungen fest und macht das Register nicht zur internen Meldestelle eines Ressourcenhalters.

Die Umsetzungsmaterialien zu Vorschlag 2017-02 beschreiben automatisierte Prüfungen technischer Parameter wie Syntax, Domain und Mailserverkonfiguration. Die begleitende Analyse räumt falsch positive und falsch negative Ergebnisse ein: Eine funktionierende Adresse kann beanstandet werden, oder eine zunächst bestandene Konfiguration kann sich später als unbrauchbar erweisen. Das Ergebnis ist daher ein begrenzter Hinweis auf die Konfiguration, keine Garantie für jede einzelne Nachricht.

Auch Zahlen brauchen einen Zeitstempel. In der Folgenabschätzung zu einem späteren Vorschlag beschrieb RIPE NCC das damalige Werkzeug: Format, DNS, verdächtige oder Honeypot-Adressen und eine technische Prüfung, ob das Postfach zu existieren und Nachrichten anzunehmen schien; eine E-Mail wurde nicht versandt. In diesem Zeitraum bestanden 92,5 Prozent die automatisierte Prüfung. Das ist eine historische Kennzahl für das damalige Verfahren, keine aktuelle Erfolgsquote und keine Messung der Bearbeitungsqualität.

Die Zwei-Wochen-Regel wurde nicht Teil der veröffentlichten Fassung

Eine frühe Fassung des Vorschlags 2017-02 sah vor, abuse-mailbox nach zwei Wochen ohne gültige Antwort als ungültig zu kennzeichnen, auch wenn eine Nachricht zurückkam. Die offizielle Änderungshistorie zeigt, dass diese Formulierung gestrichen wurde. In der veröffentlichten RIPE-705 stehen die jährliche Prüfung und die Nachverfolgung eines als falsch geltenden Attributs.

Der Unterschied verhindert, dass ein Entwurf als geltende Pflicht gelesen wird. Die veröffentlichte Richtlinie verpflichtet Ressourcenhalter nicht, Abuse-Meldungen binnen zwei Wochen zu beantworten. Der Prüfstatus ist auch keine öffentliche Note für die Antwortgeschwindigkeit eines Betreibers.

Der Vorschlag von 2019 prüfte die Grenze und wurde zurückgezogen

Vorschlag 2019-04 untersuchte eine direktere Prüfung, ob ein Postfach eine Nachricht empfangen kann, sowie kürzere Prüfintervalle. RIPE NCCs Folgenabschätzung stellte klar, dass ein bestätigter Empfang weiterhin nicht zeigen würde, ob eine Meldung so bearbeitet wurde, wie der Absender es erwartete. Sie sagte auch, RIPE NCC habe kein Mandat, in die internen Abläufe der Ressourcenhalter einzugreifen.

Der Vorschlag wurde nicht zur Richtlinie. Das Protokoll der Anti-Abuse-Arbeitsgruppe bei RIPE 81 hält fest, dass kein Konsens erreicht wurde und 2019-04 zurückgezogen wurde. Es belegt eine Debatte über den Umfang, nicht die Einführung der vorgeschlagenen Prüfungen.

Geprüfte Adressen sind keine gelösten Fälle

Der RIPE-NCC-Jahresbericht 2019 nennt 77.979 validierte E-Mail-Adressen, davon 73.023 automatisiert und 4.956 mit manueller Unterstützung. Außerdem wurden 38.307 role-Objekte angelegt oder aktualisiert. Diese Werte zeigen die Größenordnung der Registerpflege. Sie zählen weder eingegangene Meldungen noch Bestätigungszeiten, Triageentscheidungen, Abhilfemaßnahmen oder offene Fälle.

Der Bericht beantwortet eine Frage zur Umsetzung. Er sollte nicht als Kennzahl zur Reaktion auf Abuse-Meldungen verwendet werden: Geprüfte Adressen und bearbeitete Beschwerden haben unterschiedliche Nenner und unterschiedliche Ereignisse.

Drei Nachweise, drei Ebenen

Betreiber und Meldende können drei Fragen getrennt stellen: Veröffentlicht das Register einen Kontakt? Funktioniert der Mailweg technisch? Nimmt ein verantwortliches Team eine ausreichend belegte Meldung an und bearbeitet sie? Jede Frage erfordert eigene Nachweise. Ein einziges grünes „gültig“ würde einer Datenprüfung mehr Aussagekraft geben, als sie besitzt.

Ein angemessenes Modell hält den Auftrag des Registers lesbar: Kontakt veröffentlichen, Konfiguration prüfen, Fehlerkorrekturen ermöglichen und die Folgen falscher Angaben nach geltenden Regeln erklären. Betreiber können daneben ihre Servicezusagen, Eingangsbestätigungen und Eskalationswege veröffentlichen. Aggregierte Kennzahlen zu Zustellung, Bestätigung und Triage könnten die Diskussion verbessern, ohne dass das Register den Einzelfall einer Beschwerde beurteilen muss.

Es geht nicht darum, ob ein Abuse-Kontakt wichtig ist. Das ist er. Entscheidend ist, ob ein bestimmtes Signal genau das belegt, was daraus abgeleitet wird. Die jährliche Prüfung schützt die Verzeichnisebene; ein Nachweis der Abhilfe liegt im Ablauf hinter der Adresse.

Quellen