Zusammenfassung

  • RIPE NCC berichtet, 35 delegierte RPKI-Zertifizierungsstellen widerrufen zu haben, die nach Warnungen und einer letzten Reparaturfrist weiterhin ausgefallen waren. Auslöser ist die anhaltende Unfähigkeit, ein aktuelles Manifest und eine Zertifikatswiderrufsliste zu finden und zu validieren – keine kurze Unterbrechung und keine Rücknahme einer Route.
  • Der NRO-Vergleich für Oktober 2026 nennt 90 Tage bei RIPE NCC und 60 Tage bei APNIC. Es handelt sich um regionale Regeln für einen bestimmten Zustand delegierter CAs, nicht um einen einheitlichen globalen RPKI-Standard.
  • Der Betriebsnachweis sollte die letzte erfolgreiche Validierung, den Beginn der Fehler, zugestellte Hinweise, die Reaktion des Betreibers und den endgültigen Zertifikatsstatus enthalten. Eine widerrufene CA lässt sich neu anlegen; der Status des ursprünglichen Zertifikats lässt sich nicht zurückdrehen.

35 Widerrufe machen die Frist greifbar

Die Daten machen aus der Regel eine konkrete Meldung. In einer Nachricht vom 24. September an die RIPE-Routing-Arbeitsgruppe erklärte RIPE NCC, seit dem 9. Juni nicht funktionsfähige delegierte CAs zu verfolgen. Die Nutzer der ersten Gruppe wurden am 14. September gewarnt. Danach blieb ihnen eine weitere Woche zur Reparatur; anschließend widerrief RIPE NCC die 35 CAs, die weiter ausgefallen waren. Die Zahl stammt aus dem eigenen Bericht von RIPE NCC und ist keine unabhängige Erhebung aller inaktiven CAs der Region.

Für künftige Fälle beschrieb RIPE NCC einen festen Ablauf: Benachrichtigungen an registrierte Nutzer nach 7, 30 und 60 Tagen; bleibt die CA nach 90 Tagen funktionsunfähig, wird ihr Zertifikat widerrufen. Das RPKI-Dashboard enthält nun außerdem mehr Diagnoseinformationen. Damit wird aus einem allgemeinen Grundsatz eine Zeitfolge, die Betreiber prüfen und beantworten können.

Was die 90-Tage-Regel misst

RIPE-847 grenzt den Auslöser ein: Kann RIPE NCC das aktuelle Manifest und die Zertifikatswiderrufsliste (CRL) einer delegierten CA länger als drei Monate nicht finden und validieren, muss das Ressourcen-Zertifikat widerrufen werden. Die Richtlinie verlangt angemessene Bemühungen, neue Manifeste zu finden, sowie eine Nachricht an den Betreiber, wenn aktuelle Daten nicht validiert werden können und wenn der Widerruf erfolgt.

Ein Manifest listet die signierten Objekte auf, die eine CA veröffentlicht; die CRL führt widerrufene Zertifikate. Ein Validator braucht aktuelle, überprüfbare Daten, um diesen Zweig der Ressourcen-PKI zu nutzen. „Funktionsunfähig“ bedeutet hier nicht, dass jeder Zugangsweg jederzeit fehlerfrei sein muss. RIPEs Begründung unterscheidet einen dauerhaft veralteten oder unerreichbaren Veröffentlichungspunkt von einem partiellen Transportproblem, wenn ein aktuelles Manifest über einen anderen Weg noch auffindbar und validierbar ist.

Eine lange Frist ist daher kein allgemeiner Ausfalltimer. Sie ist eine Aufräumregel für einen genau beschriebenen Zustand einer delegierten CA. RIPEs Analyse zufolge sind Objekte nach Monaten ohne aktuelles Manifest und CRL bereits veraltet. Sie behauptet weder, dass der Widerruf allein die Routing-Sicherheit erhöht, noch dass ein kurzer Ausfall sofort alle Routenautorisierungen ungültig macht. Die geprüften Quellen beziffern weder eingesparte Validator-Arbeit noch eine Änderung bei der Routenannahme.

Ein Vergleich, zwei regionale Fristen

Der von der NRO am 9. Oktober veröffentlichte RIR Policy Overview für 2026-Q3 stellt 90 Tage bei RIPE NCC 60 Tagen bei APNIC gegenüber. Das PDF bezeichnet sich als Referenz, nicht als gemeinsame Richtlinie der RIRs, und weist darauf hin, dass spätere Implementierungen es überholen können. Maßgeblich bleiben die regionale Richtlinie und der aktuelle Dienstestatus.

APNIC prop-166 richtet sich ebenfalls gegen delegierte beziehungsweise selbst gehostete CAs, deren aktuelles Manifest oder CRL dauerhaft nicht gefunden und validiert werden kann. Die Auswirkungsanalyse setzt 60 Tage an, weil Kalendermonate unterschiedlich lang sind. Der Vorschlag erhielt bei APNIC 60 Konsens und wurde im Dezember 2025 vom Executive Council bestätigt; Materialien von APNIC 61 kennzeichnen die technische Umsetzung später als abgeschlossen. Die separate RIPE-Regel setzt drei Monate an, die im Betrieb als 90 Tage gelten.

Das ist kein Widerspruch. Beide Systeme definieren einen ähnlichen Zustand dauerhafter Inaktivität, doch ihre regionalen Verfahren haben unterschiedliche Fristen beschlossen. Die Vergleichstabelle macht daraus keinen globalen Parameter für alle RIRs, gehosteten CAs oder Veröffentlichungsstörungen. Die NRO bietet eine Übersicht; APNIC und RIPE NCC veröffentlichen die jeweils geltenden Einzelheiten.

Benachrichtigungen gehören zur Kontrolle

Eine Frist hilft nur, wenn der Betreiber nachvollziehen kann, was gemessen wurde. Der Datensatz sollte das zuletzt validierte Manifest und die letzte CRL, den ersten fehlgeschlagenen Versuch mit aktuellen Daten, die benachrichtigten Kontakte, die Antwort des Betreibers und den endgültigen Status aufführen. Ohne Zeitstempel kann „90 Tage funktionsunfähig“ einen Fehler der CA, des Entdeckungspfads, einer veralteten Kontaktadresse oder der Beobachtung selbst verdecken.

Die Hinweise schaffen zudem Zeit zum Eingreifen. Ein Betreiber kann die Veröffentlichung wiederherstellen, die erneute Erkennung durch das übergeordnete System prüfen oder entscheiden, dass die delegierte CA nicht mehr benötigt wird. RIPE NCC sagt, dass sich eine CA nach dem Widerruf über das normale Dashboard-Verfahren neu anlegen lässt. Das ist ein Wiederherstellungsweg, aber keine Reaktivierung des alten Zertifikats.

Heng Lus Note 70 liefert eine redaktionelle Perspektive, keinen Beleg für diese Regeln: Die Kontinuität der Registerfunktion muss erhalten bleiben, während die ausgeübte institutionelle Befugnis klar begrenzt wird. Hier ist die Kontrolle enger als eine allgemeine institutionelle Behauptung: veröffentlichter Auslöser, beobachteter Zeitraum, Benachrichtigung und Änderung des Zertifikatsstatus. Ihre Glaubwürdigkeit hängt davon ab, dass sich jeder Schritt prüfen lässt.

Was Netzbetreiber beobachten sollten

Betreiber delegierter RPKI sollten wissen, welche Frist für das übergeordnete RIR und das eingesetzte Modell gilt. Sinnvolle Nachweise umfassen Verantwortliche und Kontakte der CA, die letzte Validierung von Manifest und CRL, den ersten Fehler, Hinweise und Antworten sowie den Endstatus. Bei einer Benachrichtigung lautet die entscheidende Frage, ob die CA wieder aktuelle, überprüfbare Daten veröffentlicht – nicht nur, ob eine Webseite oder ein Transport reagiert.

Wenn die Veröffentlichung aufgegeben wurde, kann ein freiwilliger Widerruf besser sein, als auf den Schritt des Eltern-RIR zu warten. Wird die CA noch benötigt, sollte der Betreiber den Veröffentlichungspunkt früh genug reparieren und validieren, damit das übergeordnete Monitoring die Rückkehr erkennt. 60 oder 90 Tage sind keine Erlaubnis, einen kritischen Punkt unbeaufsichtigt zu lassen, sondern die Obergrenzen für einen anhaltenden Ausfallzustand.

Die Entscheidung hinter dem Zeitmesser

Die Regel verteilt Kosten. Eine ruhende CA kann wiederholte Abrufversuche und veraltete Statusmeldungen verursachen. Ihre Entfernung erspart relying parties, einen dauerhaft unergiebigen Veröffentlichungspunkt weiter abzufragen. Der Ressourceninhaber ist zugleich darauf angewiesen, dass das Register den Fehler korrekt erkennt, die richtigen Kontakte erreicht und einen gangbaren Wiederherstellungsweg offenhält.

Benachrichtigung und Nachweise sind deshalb Teil des Regelinhalts. Eine datumsbasierte Frist ist nur dann objektiv, wenn der Zeitstempel einen überprüfbaren Zustand abbildet. RIRs können Unsicherheit verringern, indem sie ihre Messmethode veröffentlichen, Veröffentlichungs- und Entdeckungsfehler trennen, Hinweise und Antworten aufbewahren und ein abgelaufenes Objekt von einem administrativ widerrufenen Zertifikat unterscheiden.

Die Folgerung lautet nicht, dass alle RIRs dieselbe Zahl verwenden müssen. Betreiber müssen die gültige Frist, die gemessene Bedingung und den Zeitpunkt der Zustandsänderung kennen. RIPE NCCs erste 35 Widerrufe zeigen, dass die Regel in Betrieb ist; APNICs 60 Tage zeigen, dass Vergleich keine Harmonisierung bedeutet. Für jede CA bleiben die Fragen lokal: Welche Daten ließen sich nicht mehr validieren, wann begann die Frist, und welcher Nachweis hätte den Widerruf noch verhindern können?

Quellen: NRO-Mitteilung zu 2026-Q3; Vergleich Q3; Vergleich Q2; Umsetzungsstatus von RIPE NCC; Betriebsmeldung von RIPE NCC vom 24. September; RIPE-847; APNIC prop-166; Umsetzungsupdate von APNIC 61; Heng Lu, Note 70.