Zwei Länder, keine Routing-Tabelle: Was ein RIPE-NCC-Mitgliedseintrag wirklich belegt

Zusammenfassung

• Der Eintrag von Orange Espagne SA im Mitgliederverzeichnis von RIPE NCC nennt zwei Servicegebiete, ES – SPAIN und PT – PORTUGAL. Das ist eine Verwaltungserklärung, kein Bild des Netzbetriebs.
• Worüber ein Netz verfügen darf, klärt sich an anderer Stelle: an Autorisierungsobjekten in IRR-Datenbanken, am Zertifizierungsstatus der Ressourcen und an unabhängigen Beobachtungen dessen, was tatsächlich angekündigt wurde.

Eine Registerseite, die eine enge Frage beantwortet, sieht auf den ersten Blick aus wie eine Seite, die eine weite Frage beantwortet. Der Eintrag von Orange Espagne SA in der öffentlichen Mitgliederliste von RIPE NCC enthält einen Abschnitt zu den Servicegebieten mit genau zwei Zeilen: ES – SPAIN und PT – PORTUGAL. Diese beiden Ländernamen sind alles, was der Abschnitt hergibt. Eine Autonomous-System-Nummer steht dort nicht, ein Adresspräfix ebenso wenig — weil der Abschnitt nicht dafür gedacht ist, so etwas festzuhalten.

Das sollte man klar sagen, bevor es weitergeht. Denn kaum jemand öffnet diesen Abschnitt mit einer Verwaltungsfrage. Was der Eintrag belegt, ist eine Aufnahme: Ein Register, das eine nach Ländern geordnete Mitgliederliste führt und veröffentlicht, listet dieses Unternehmen, und seine eigene Einordnung von Servicegebieten stellt es in zwei Länder. Die Bezugsgröße des Eintrags ist das Land. Ein Land beschreibt ein erklärtes Servicegebiet; das ist ein grobes Verwaltungswerkzeug. Wie weit ein Netz wirklich reicht, bemisst sich an Präfixen und an Peering-Sitzungen, die sich um die Grenzen einer Liste von Servicegebieten nicht kümmern.

Die Adresse der Seite auf ripe.net endet außerdem in einem kurzen Pfadstück, das mit dem heutigen Namen des Unternehmens kaum noch zu tun hat. Der Umstand wirkt winzig und ist doch aufschlussreich: Solche Einträge werden über Jahre von Administratoren gepflegt, durch Umstrukturierungen und Namenswechsel hindurch, und die Adresse überlebt den Namen. Ein solcher Eintrag gehört zur Fortschreibung einer Akte. Er ist keine Momentaufnahme eines Netzes.

Die Frage, mit der man diese Seite aufruft

Kaum jemand liest eine Mitgliederliste um ihrer selbst willen. Man kommt mit einem Namen und einem betrieblichen Bedürfnis: Betreibt dieses Unternehmen Netzinfrastruktur? Was kündigt es an? Steckt es hinter einer bestimmten Route oder einem bestimmten Vorfall? Der Mitgliedereintrag ist oft die erste Seite mit amtlicher Anmutung, die auftaucht — veröffentlicht von einem Register, mit dem Firmennamen und einem Land daneben.

Dann liegt es nahe, Anwesenheit als Leistungsfähigkeit zu lesen und das Erscheinen auf einer Registerseite als Beleg für die Verfügungsgewalt über die dort genannten Nummern. Beides ist voneinander logisch unabhängig. Ein eingetragenes Mitglied kann gar nichts ankündigen. Und eine Ankündigung, die den Namen eines Unternehmens trägt, kann aus Infrastruktur stammen, die das Register ihm nie zugeordnet hat. Die Aufnahme sagt, dass die Organisation dem Register bekannt ist. Sie sagt nichts darüber, was ihre Router dem Internet erzählen, und sie entscheidet diese Frage in keine Richtung.

Der Unterschied ist keine Haarspalterei: Er geht in beide Richtungen schief, und genau das macht ihn gefährlich. Ein Mitgliedereintrag kann sich aus Gründen ändern, die mit Routing nichts zu tun haben — eine Fusion, eine Rechnungsadresse, ein Vertriebsteam, das nun ein drittes Land abdeckt. Und ein Routing-Vorfall kann eintreten, ohne dass sich am Eintrag auch nur ein Zeichen ändert, weil die Liste am Routing nicht teilnimmt.

Wer Lieferanten auswählt, eine Due-Diligence prüft, einen Vorfall sortiert oder eine zur Veröffentlichung bestimmte Behauptung anhand einer einzigen Seite prüft, bekommt selbstsichere falsche Antworten — genau in dem Moment, in dem Genauigkeit teuer wird.

Was die Frage tatsächlich klärt

Fragen der Autorisierung klären sich an Aufzeichnungen, die für Autorisierung gebaut wurden. Drei Gattungen leisten diese Arbeit, und man sollte sie auseinanderhalten, weil sie unterschiedlich versagen.

Die erste ist das Internet Routing Registry, IRR: Objekte vom Typ route und route6 sowie aut-num, die das beabsichtigte Routing und die Stelle festhalten, die das Objekt pflegt. Es sind verteilte, von den Mitgliedern selbst gespeiste Datenbanken. Sie tragen die Identität des Maintainers und Änderungszeiten, und sie geben eine festgehaltene Absicht wieder, kein beobachtetes Verhalten. Ihre typische Schwäche ist der Verfall: Ein Objekt, das jahrelang niemand angefasst hat, antwortet auf eine Abfrage noch immer mit voller Überzeugung.

Die zweite ist die Ressourcenzertifizierung, RPKI: Zertifikate und Route Origin Authorizations (ROA), die Adressraum an einen Schlüsselinhaber binden und aus denen ein Validator für ein gegebenes Paar aus Präfix und Origin einen von drei Zuständen ableitet. Das ist heute die stärkste maschinell prüfbare Aussage über Autorisierung. Sie handelt aber von einem Schlüssel und nicht von einer Person, von einer Erlaubnis und nicht von einer Handlung. Eine kryptografisch gültige Autorisierung kann neben einer Ankündigung stehen, die sie nie genutzt hat; eine ungültige kann einen Konfigurationsfehler genauso gut abbilden wie einen Angriff.

Die dritte ist die Beobachtung: BGP-Daten, die Dritte erheben, mit Zeitstempeln und Blickpunkten. Diese Gattung ist im Abstrakten die am wenigsten amtliche und in der Praxis die entscheidende, weil sie als einzige berichtet, was geschehen ist, statt was beabsichtigt oder erlaubt war.

Zusammengenommen ist die Arbeitsteilung sauber. Die Autorisierung wohnt in den ersten beiden. Das Verhalten wohnt in der dritten. Der Mitgliedereintrag wohnt in keiner von beiden. Wenn die drei einander widersprechen, ist der Widerspruch der Befund, und er ist weit interessanter als jede einzelne Aufzeichnung für sich.

Warum das Register trotzdem zählt

Nichts davon macht die Mitgliederliste wertlos; es macht sie präzise. Der Eintrag sagt dem Leser, dass das Unternehmen aufgenommen ist, welches Register die Beziehung führt und welchen Ländern das Register das Servicegebiet der Organisation zuordnet. Das ist eine reale Tatsache über eine reale Akte, und es ist der richtige Ausgangspunkt für eine Untersuchung: Er benennt eine Organisation und den verwaltungsmäßigen Zusammenhang, in dem sie steht.

Der Fehler besteht darin, dort stehen zu bleiben und die Untersuchung für erledigt zu halten. Ein Verzeichnis der Anwesenheit, das zu Verwaltungszwecken geführt wird, beantwortet Verwaltungsfragen mit hoher Zuverlässigkeit. Von ihm zu verlangen, zu belegen, was ein Netz ankündigen darf, heißt, eine Registratur um ihre Unterschrift unter eine Routing-Tabelle zu bitten. Der Eintrag hat keinen Mangel. Der Schluss hat einen.

Am 21. Oktober 2026 habe ich einen Auszug allein des Abschnitts zu den Servicegebieten aus der RIPE-NCC-Verzeichnisseite zu Orange Espagne SA festgehalten. Der Auszug deckt diesen Abschnitt ab und nicht die ganze Seite; nichts hier behauptet also, was die Seite an anderer Stelle enthält oder nicht enthält. Die Aussage ist enger und, wie ich finde, nützlicher: Der Teil des Eintrags, der die Frage beantwortet, mit der man tatsächlich zu ihm kommt, enthält zwei Ländernamen und keine Routing-Kennung. Jede betriebliche Frage muss deshalb zu den Aufzeichnungen gebracht werden, die für ihre Beantwortung gebaut wurden.