RIPE-Mitglieder diskutieren über Abhängigkeit von US-Internetinfrastruktur

1. RIPE-Mitglieder diskutieren über Abhängigkeit von US-Internetinfrastruktur
   • Langer Arm der Trump-Administration
   • Handlungsspielräume
   • Praktische Schritte
   • EU-Sanktionsregime/Banken

Müssen in den Zeiten erratisch verhängter US-Sanktionen Risiken für Provider technischer Basisinfrastrukturen neu bewertet werden? Beim 93. Treffen der IP-Adressregistry RIPE (Réseaux IP Européens) in Sofia diese Woche rieten viele Mitglieder dazu, Abhängigkeiten zu klären und, wo möglich, abzubauen. RIPE verwaltet IP-Adressen für den Raum Europa, den Nahen Osten und Zentralasien. Das Problem: Kerninfrastruktur wie die zentrale Root Zone des Domain Name System und viele große Registries unterstehen US-Recht.

Die Sperrung der Domain des italienischen Providers Autistici/Inventati im Sommer durch die org-Registry Public Internet Registry (PIR) zeigt laut Timo Hilbrink vom niederländischen Provider Freedom Internet, wie dringlich die Debatte ist. Die italienische NGO wurde am 26. August 2026 vom Office of Foreign Assets Control (OFAC) des US-Finanzministeriums als Specially Designated Global Terrorist (SDGT) eingestuft und auf die US-Sanktionsliste gesetzt. Mit einem Schlag waren 10.000 Blogs, 1500 Webseiten und 16.000 Mailboxen aus dem Netz getilgt.

Nachdem die Hausbank des Providers, die Banca Etica, Anfang September aus Sorge vor möglichen US-Sekundärsanktionen die Konten sperrte, beschloss der Provider, seine Dienste einzustellen.

Langer Arm der Trump-Administration

Vor zwei Wochen beschlagnahmte die niederländische Polizei schließlich noch einen Server in einem Rechenzentrum in Amsterdam Science Park, der angeblich Autistici/Inventati gehören soll. Das FBI hatte um Amtshilfe gebeten, berichtete Hilbrink.

Die Mitglieder des RIPE müssten dringend überlegen, wie sie sich selbst gegen mögliche Sanktionen wappnen. „Wir dürfen nicht vergessen, Autistici war keine politische Organisation, sondern ein Service Provider,“ so Hilbrink. Das RIPE selbst könnte etwa als Provider von IP-Adressen für den Iran schnell ins Fadenkreuz geraten. Was würde passieren, wenn das RIPE seine Hauptdomain ripe.net verlöre? Auch die Registry von .net oder .com, Verisign, ist US-Recht unterworfen und müsste Sanktionen umsetzen.

Die Weigerung, gesetzliche Sanktionen umzusetzen, hätte PIR „einem erheblichen strafrechtlichen und zivilrechtlichen Risiko“ ausgesetzt, schrieb Sally Wentworth, CEO der Internet Society, Anfang Oktober entschuldigend. Die Organisation, die sich als globale Nutzerorganisation für das Internet versteht, betreibt PIR seit 2002, eigentlich als digitale Heimat für Organisationen weltweit. Man nehme die vielen bei der ISOC eingegangenen kritischen Fragen und Bedenken ernst, so Wentworth weiter. Eine echte Antwort auf die Fragen, wie man Nutzer weltweit gegen überbordende und unverhältnismäßige Sanktionen schützen kann, hatte die ISOC-Chefin aber nicht.

Handlungsspielräume

Italiens ISOC-Chapter hatte angeregt, über einen anderen Standort nachzudenken, eine Idee, die auch für zentrale Organisationen der Internet-Infrastruktur wie die Internet Corporation for Assigned Names and Numbers (ICANN) oder die im Rahmen der ICANN-Struktur wahrgenommenen Funktionen der Internet Assigned Numbers Authority (IANA) in der Vergangenheit bereits gefordert wurde.

Beim RIPE-Treffen in Sofia wurde intensiv diskutiert, wie man sich praktisch wappnen könnte. Ein Umzug der RIPE-Domain von ripe.net unter das Dach der von der niederländischen Stiftung SIDN betriebenen .nl, also zu ripe.nl? „Was, wenn man dann SIDN verfolgt?“, fragte Babak Farrokhi vom Resolverbetreiber Quad9. „Müssen wir vielleicht anfangen, Kryptowährungen zu akzeptieren und Onion-Server zu nutzen?“, so seine Frage.

Die Sperrung einer ganzen Zone wie .nl in der Root – technisch und theoretisch denkbar – trauen viele RIPE-Mitglieder derzeit allerdings selbst einer Trump-Administration noch nicht zu. Interventionen ins DNS, auch unterhalb von Länderadresszonen, haben zugleich Auswirkungen auf das globale Routing, mahnte der Routing-Experte Randy Bush. Der US-Internetpionier erinnerte daran, dass für Routing-Zertifikate DNS-Abfragen notwendig sind, und das DNS seinerseits auf sicheres Routing setzt.

An der Zeit wäre es vielleicht auch, einen in Europa angesiedelten Klon von Let’s Encrypt zu schaffen, sagte ein anderer Teilnehmer in Sofia. Ohne die von der US-amerikanischen Non-Profit-Organisation ausgestellten TLS-Zertifikate geht inzwischen kaum noch etwas. Der 2020 in Österreich gestartete Alternativanbieter ZeroSSL wurde jüngst von der texanischen Investmentgesellschaft Vista Equity Partners gekauft.

Praktische Schritte

Zu praktischen Schritten riet auch Daniel Karrenberg, Internetpionier und einer der Gründer von RIPE. Er empfahl etwa eine Verringerung der Abhängigkeit von Hyperscalern im Bereich E-Mail. Im RIPE NCC, dem operativen Arm des RIPE, arbeite man an solchen Schritten.

Tatsächlich hat sich das RIPE NCC von seiner 2019 gestarteten „Cloud First“-Strategie wieder verabschiedet und im Sommer den Kurswechsel hin zu einer stärker selbst betriebenen Infrastruktur öffentlich erläutert. Viele Mitglieder hätten Bedenken geäußert, RIPE-Dienste nicht zuletzt aus Kostengründen in die Hand großer Dienstleister zu geben, sagte RIPE-NCC-CEO Hans Petter Holen in Sofia. „Ihr habt Recht gehabt“, so Holen.

Insgesamt 14,59 Millionen Euro – 14 Prozent mehr als im laufenden Jahr – veranschlagt die Organisation nun für 2027 für die Erneuerung ihres Netzequipments und den Wiedereinstieg in selbst gemanagte Infrastruktur, verteilt auf zwei Rechenzentren, die mit dedizierten Leitungen verbunden sind. Es ist der größte Einzelposten im 44 Millionen Euro teuren Haushalt.

EU-Sanktionsregime/Banken

Weniger Abhängigkeit von US-Hyperscalern soll die Resilienz der IP-Adressverwalter erhöhen. Allerdings hat auch die EU wachsende Sanktionslisten für Länder, für die das RIPE als IP-Adressverwalterin zuständig ist. Vor allem russische, weißrussische und iranische Provider und Endnutzer stehen auf der wachsenden Liste von IP-Adressempfängern, die das RIPE NCC zu überprüfen hatte. Von insgesamt 2339 überprüften RIPE-Mitgliedern und Endnutzern sind offiziell 53 zu sanktionieren. Die Sanktionen beschränken sich allerdings auf ein Einfrieren der Registrierung der jeweiligen IP-Adressressourcen. Die Adressen dürfen weiterhin genutzt werden und werden nicht entzogen.

Das RIPE NCC prüft auch potenzielle OFAC-Sanktionen gegen ISPs, welche die verwalteten IP-Adressen bewirtschaften. Dazu ist man zwar nicht rechtlich verpflichtet, allerdings können OFAC-Sanktionen es RIPE unmöglich machen, Gebühren einzuziehen. Denn RIPE NCC hat den Hauptsitz in Amsterdam und Banken in den Niederlanden halten sich an die US-Sanktionen. In den RIPE-Abrechnungen seit 2021 hat sich die Summe zurückgestellter, weil nicht abrechenbarer oder gestundeter Beiträge auf über sieben Millionen Euro aufsummiert. Geld, das man für die neuen Rechenzentrumseinrichtungen und Netze gut gebrauchen könnte.

(nen)