Zusammenfassung

  • Für die Generalversammlung im Oktober 2026 kündigt RIPE NCC zwei E-Mails von Assembly Voting an: eine mit einem individuellen Link und vorausgefülltem Voting Code 1, die andere mit Voting Code 2, der GM-Registrierungsnummer.
  • Beim Plattformstart 2022 beschrieb RIPE NCC die Registrierungsnummer als eigene Nachricht und den Link mit dem weiteren Code als getrennte Nachricht von Assembly Voting. Die öffentliche Darstellung hat sich geändert; eine aktuelle Abhängigkeitskarte fehlt.
  • Daraus folgt weder eine Schwachstelle noch ein unberechtigter Stimmzugang, ein Verlust des Wahlgeheimnisses oder ein verfälschtes Ergebnis. Zwei Namen und zwei Mails belegen allein keine Unabhängigkeit der Faktoren.
  • Eine versionsgebundene Karte kann Zweck, Aussteller, Kanal, Aktivierung, Ersatz, Widerruf, Identitätstrennung und Beobachterumfang offenlegen, ohne Geheimwerte oder personenbezogene Daten zu veröffentlichen.

Die Gebrauchsanweisung endet vor der Vertrauensarchitektur

Die RIPE NCC General Meeting vom 28. bis 30. Oktober 2026 soll Assembly Voting als externe Abstimmungsplattform verwenden. Registrierte und berechtigte Stimmberechtigte erhalten nach der aktuellen Anleitung zwei E-Mails. Beide stammen demnach von derselben in der Anleitung genannten Absenderadresse von Assembly Voting. Eine enthält den individuellen Plattformlink mit bereits eingetragenem Voting Code 1. Die zweite enthält Voting Code 2; dieser entspricht der Registrierungsnummer für die Generalversammlung.

Weitere Hinweise sind erfreulich konkret. Der Link wird erst bei Eröffnung der Abstimmung aktiv. Der empfangende Mailserver muss TLS 1.2 unterstützen. Safari kann den vorausgefüllten Code unvollständig anzeigen. Fehlende Nachrichten sollen beim General-Meeting-Team gemeldet werden. Damit beschreibt RIPE NCC reale Zustell- und Nutzungsgrenzen.

Was die Seite nicht beschreibt, ist die Beweisfunktion. Voting Code 1 kann ein im Link enthaltenes Geheimnis, eine Kennung oder ein undurchsichtiger Verweis sein. Voting Code 2 kann ein unabhängiger Besitznachweis oder ein aus dem Registrierungsprozess übernommener Wert sein. Die geprüften Quellen legen die interne Form nicht offen. Diese Analyse erfindet sie nicht.

Entscheidend sind andere Fragen. Wer erzeugt welchen Wert? Welches Quellsystem steht dahinter? Kann ein Beteiligter den zweiten aus dem ersten oder aus bereits bekannten Mitgliedsdaten ableiten? Was wird bei einer erneuten Zustellung ungültig? Wer darf eine alternative Adresse akzeptieren? Wann laufen Link und Code ab? Wo endet die Zuordnung zur identifizierten Person und beginnt die nicht zurechenbare Stimmabgabe?

Eine nicht veröffentlichte Antwort ist nicht automatisch eine fehlende Kontrolle. Der belastbare Befund lautet nur: Mitglieder können die aktuelle Vertrauenskette aus dem öffentlichen Datensatz nicht rekonstruieren.

2022 wurde die Trennung anders erklärt

RIPE NCC führte Assembly Voting 2022 mit einer umfassenderen Beschreibung ein. Genannt wurden Ende-zu-Ende-Verifizierbarkeit, verschlüsselte Stimmen, ein digitales Bulletin Board sowie Eröffnungs- und Schließungszeremonien für Schlüssel. Assembly Voting, RIPE NCC und ein unabhängiger Beobachter sollten gemeinsam an diesen Zeremonien beteiligt sein.

Auch die Anmeldung wurde institutionell getrennt dargestellt. RIPE NCC sollte dem Mitglied die Registrierungsnummer schicken; Assembly Voting sollte in einer separaten Nachricht den Plattformlink und den zweiten Code liefern. Die damalige Wahlanleitung erläuterte außerdem einen herunterladbaren Beleg und die Prüfung der registrierten Stimme am Bulletin Board.

Zwei institutionelle Absender sind jedoch kein automatischer Sicherheitsgewinn. Beide Nachrichten können dasselbe Postfach erreichen. Weiterleitungsregeln können Kanäle zusammenführen. Unterschiedliche Absenderzeilen beweisen weder getrennte Geheimnisspeicher noch getrennte Administratoren oder Freigaben. Ebenso beweist ein gemeinsamer Absender im Jahr 2026 nicht, dass die Kontrollen technisch zusammengelegt wurden.

Nachweisbar ist die Veränderung der öffentlichen Darstellung. Die Präsentation vom Mai 2026 nannte die Assembly-Voting-Adresse für die Nachrichten. Der unterschriebene Bericht bezeichnete die Anmeldung als „2 factor“, protokollierte zunächst die E-Mail mit Code 1 und Link und anschließend die E-Mail mit Code 2. Der Oktober-Leitfaden führt dieses Nutzerbild fort. Er erklärt aber nicht, wie die bei RIPE NCC entstandene Registrierungsnummer an die Plattform gelangt, welche Trennung sie behält oder auf welcher Grundlage beide Eingaben als unabhängige Faktoren gelten.

Eine Versionskarte würde aus dieser Lücke eine prüfbare Änderung machen. Blieb die technische Kontrolle gleich und nur der Text änderte sich, kann das ausdrücklich festgehalten werden. Wurde die Zustellung zentralisiert, um Fehler zu senken, kann die kompensierende Kontrolle benannt werden. Verwendet das Produkt den Begriff Faktor in einer besonderen Weise, sollte die abgewehrte Bedrohung beschrieben werden.

Starke Anmeldung und Stimmzugang sind zwei Zeitpunkte

Die Registrierung erfolgt im LIR Portal. Eine Person meldet sich an, wählt die vertretene Organisation, entscheidet sich für die Teilnahme an der Abstimmung und erhält eine Bestätigung mit Registrierungsnummer. Zwei-Faktor-Authentisierung ist für RIPE NCC Access verpflichtend. Zusätzlich gelten Mitgliedschafts-, Status-, Zahlungs- und Vertretungsregeln.

Das ist eine wesentliche Verteidigung der Architektur. Die spätere Nummer wird nicht an eine ungeprüfte Adresse verteilt, sondern entsteht nach einer geschützten Mitgliedskontositzung und einer Berechtigungsprüfung.

Der Portal-2FA-Schritt darf dennoch nicht rhetorisch mit dem späteren Wahlzugang verschmolzen werden. Bei der Registrierung wird bestätigt, dass ein Kontoinhaber Faktoren vorgelegt und eine Handlung für ein Mitglied vorgenommen hat. Später wird bestätigt, dass jemand während des Abstimmungsfensters Link und registrierungsbezogenen Wert besitzt. Die öffentlichen Seiten sagen nicht, dass der ursprüngliche zweite Faktor erneut abgefragt, kryptografisch mit der Wahlsitzung verbunden oder bei der Wiederherstellung zwingend verwendet wird.

Diese Entkopplung kann die Verfügbarkeit erhöhen. Würde jede Stimme erneut das LIR Portal benötigen, könnte eine Portalstörung die funktionsfähige Wahl blockieren. Eine eigenständige Plattform ist dann ein Kontinuitätsgewinn. Gerade deshalb muss die Übergabe sichtbar sein: Welche Berechtigungsbehauptung wird übertragen, wer kann sie ändern und wie verhindert das Ausnahmeverfahren eine stille Veränderung des Wählerkreises?

Der Wiederherstellungsweg zeigt die wirkliche Entscheidungsgewalt

Der Bericht vom Mai 2026 nennt 27 Hilfegesuche. Wurde dem Personal eine alternative E-Mail-Adresse bereitgestellt, versandte das Abstimmungssystem die Wahlnachrichten erneut an diese Adresse.

Das ist kein Nachweis von 27 Sicherheitsvorfällen. Filter, TLS-Probleme, ein Zuständigkeitswechsel oder verlorener Postfachzugang sind alltägliche Ursachen. Eine funktionierende Wiederherstellung schützt die Teilnahme. Die Veröffentlichung der Zahl und des Verfahrens ist daher ein sinnvoller Ansatz.

Gleichzeitig ist ein Adresswechsel eine Autorisierungsentscheidung. Wer darf ihn beantragen? Gegen welchen Mitglieder- oder Kontodatensatz prüft das Personal? Ist eine zweite Freigabe nötig? Werden alte Links und Codes sofort widerrufen? Bleiben beide Adressen zeitweise nutzbar? Werden Grund, Zeitpunkt und Genehmiger protokolliert? Kann der unabhängige Beobachter das Ausnahmenbuch einsehen?

Eine datensparsame Antwort genügt. Der Abschlussbericht könnte Zustellfälle, Adressänderungen, Ersetzungen und ungelöste Vorgänge getrennt zählen. Er könnte bestätigen, wie viele alte Berechtigungen gesperrt wurden, welche Prüfkategorie der Beobachter abdeckte und ob bei Wahlschluss berechtigte Fälle offen waren. Namen, Adressen und Stimmentscheidungen bleiben geschützt.

In vielen Systemen besitzt die Stelle, die den Normalweg ändern kann, mehr Macht als der normale Login. Bei einer Wahl ist Wiederherstellung Zugangsmacht. Sie muss großzügig genug sein, um eine berechtigte Person zurückzuführen, und eng genug, um aus Servicefreundlichkeit keine neue Berechtigung zu machen.

Die Karte muss bis zur anonymen Stimme reichen

Der Anfang liegt im Mitgliederregister. Darauf folgen die autorisierte natürliche Person, die LIR-Portal-Sitzung, die Auswahl der Organisation, der Abstimmungswunsch, die Registrierungsnummer, die Übergabe an den Anbieter, die Linkerzeugung, Zustellereignisse, Aktivierung, Fehlversuche, Support, Ersatz, Anmeldung, Stimmabgabe und Schließung.

Jedes Element erhält einen Typ: Identitätsnachweis, Autorisierung, Besitzgeheimnis, Kennung oder Referenz. Hinzu kommen Aussteller, Quelle, Gültigkeit, Abhängigkeit und Widerrufsregel. Der Wert bleibt geheim; seine Funktion wird öffentlich.

Die Karte muss auch die Datenschutzgrenze ausweisen. Zur Feststellung der Wahlberechtigung braucht es Identität. Für eine geheime Abstimmung darf die endgültige Auswahl dieser Identität nicht zurechenbar sein. Ende-zu-Ende-Verifizierbarkeit soll der Person die Prüfung von Aufnahme oder Verarbeitung ermöglichen, ohne einen übertragbaren Nachweis ihrer Wahl zu erzeugen.

Diese drei Eigenschaften können zusammenbestehen, wenn der Übergang belegt ist: Identität hier geprüft, Stimmrecht hier ausgegeben, Berechtigung hier eingelöst, Personenbezug hier abgeschirmt, verschlüsselte Stimme hier verbucht, Beobachtung hier durchgeführt.

Die Unterlagen von 2022 beschrieben Bulletin Board, Beleg, Schlüsselzeremonie und externen Beobachter. Die Anleitung von 2026 beschreibt den Klickweg. Dazwischen fehlt die aktuelle Betriebsdarstellung. Eine Bedienungsanleitung ist kein Bedrohungsmodell, und ein historisches Bedrohungsmodell ist keine aktuelle Betriebsbescheinigung.

Eine schmale öffentliche Schicht reicht

Veröffentlicht werden müssen weder Code-Länge und Entropie noch Datenbankschema, interne Hostnamen, Identitätsdokumente oder Umgehungspfade. Für die Berechtigung genügen Regel, verantwortliche Stelle, Stichtag und Ausnahmen. Für die Ausgabe genügen Zweck, Aussteller und Version. Für die Zustellung genügen Absenderklasse, Zeitfenster und aggregierte Fehler. Für die Wiederherstellung genügen Genehmigerklasse, Prüfregel, Ersatz- und Widerrufszahl. Für die Anonymisierung genügen deklarierter Trennpunkt und Prüfungsumfang. Zum Abschluss genügen Zeremonie, Beobachter und Ausnahmen.

Jede Generalversammlung braucht eine eigene, erhaltene Version. Die nächste Seite überschreibt die frühere nicht. So wird aus dem Wechsel der beschriebenen Absender eine erklärte Änderung oder eine dokumentierte rein redaktionelle Anpassung.

Die Forderung passt zum Mandat. Eine RIPE NCC General Meeting ist keine Abstimmung aller Internetnutzer Europas, sondern ein interner Akt eines Mitgliedervereins. Die Satzung weist dem Executive Board die Regelung des technischen elektronischen Verfahrens zu. Diese begrenzte Autorität erzeugt reale Beschlüsse und braucht daher begrenzte, reale Belege.

Heng Lus Grundsatz setzt die laufende Ausführung vor institutionelle Etiketten. Daraus folgt kein Ruf nach mehr Registry-Macht. Es folgt eine dünne gemeinsame Evidenzschicht: Berechtigung, Zugang, Wiederherstellung, Prüfbarkeit, Geheimhaltung und verlässliches Protokoll. RIPE NCC hat die meisten Bestandteile bereits veröffentlicht. Jetzt müssen sie in einer aktuellen Karte zusammenfinden.

Quellen