Zu Phishing-E-Mails im Namen von RIPE NCC – Angst, Autorität und die eigentliche Rolle der Registrierungsstellen
Warum kann eine gefälschte E-Mail ein Unternehmen bedrohen, und was sagt das über die Registrierungsstelle aus?
Eine gefälschte Nachricht kann sich die Angst vor einer Institution zunutze machen. Dieser Essay fragt, warum eine registerführende Stelle als Macht über das gesamte Netzwerk wahrgenommen wird.
Kürzlich erhielten viele Mitglieder von RIPE NCC eine E-Mail mit dem Betreff „Download Review“ („Download-Überprüfung“), die sie aufforderte, innerhalb von 48 Stunden Angaben zu bestätigen. Die E-Mail stammte nicht von RIPE NCC. Es handelte sich um einen Phishing-Versuch, der Angst ausnutzte – genauer gesagt die Angst vor der vermeintlichen Autorität von RIPE NCC.
Dieser Vorfall legt ein tiefer liegendes strukturelles Problem offen.
RIPE NCC ist eine private, mitgliedergetragene Organisation, die eine Registrierungsdatenbank führt. Dennoch behandeln viele Mitglieder sie unbewusst wie eine Regulierungsbehörde mit Hoheitsgewalt, die ihr gesamtes Geschäft über Nacht stilllegen könnte. Genau diese Angst haben die Betrüger ausgenutzt. Und sie hat einen einzigen Grund: Nach den derzeitigen RIR-Regeln sind die Mitglieder nicht die wirklichen Eigentümer der IP-Adressen, von denen ihre Unternehmen abhängen.
Wenn eine Registrierungsstelle theoretisch einen Dienstleistungsvertrag kündigen und Registrierungen ändern kann, erscheint das Risiko existenziell. Ein nationales Telekommunikationsunternehmen oder ein Internetdienstanbieter, der Millionen Menschen versorgt, sollte niemals strukturell vom Ermessen eines privaten Unternehmens abhängig sein, das ausländischem Recht unterliegt. Das ist kein tragfähiges Fundament für kritische Infrastruktur.
Die eigentliche Lösung ist eine Reform der Regeln. Das Eigentum an Nummernressourcen muss anerkannt werden. Wenn Mitgliedern ihre IP-Adressen wirklich gehören, kann eine E-Mail – ob echt oder gefälscht – den Fortbestand ihres Unternehmens nicht bedrohen. Die Angst verschwindet in dem Moment, in dem die Abhängigkeit verschwindet. RIRs sind Institutionen, die von ihrer Gemeinschaft getragen und von unten nach oben gestaltet werden. Wenn die Gemeinschaft Eigentum will, kann sie es durchsetzen – indem sie sich beteiligt, abstimmt und die Regeln ändert.
Zugleich sollten die Mitglieder die heutige Realität verstehen. RIPE NCC ist keine Regierung. Es ist nicht die Internetpolizei. Es ist eine private Organisation, die mit ihren Mitgliedern in einem Vertragsverhältnis steht. Würde sie unangemessen handeln – etwa Verträge kündigen und dadurch unverhältnismäßigen Schaden verursachen –, wäre sie rechtlich haftbar. Gerichte existieren gerade, um solchen Missbrauch zu verhindern. Und die Geschichte zeigt, dass auch Registrierungsstellen nicht vor einstweiligen Verfügungen, Vermögenssperren oder Insolvenz gefeit sind, wenn sie ihre Befugnisse überschreiten.
In der Praxis sind die tatsächlichen Abläufe bei RIPE NCC geordnet und sachgerecht. Die sogenannten Assisted Registry Checks dienen beispielsweise dazu, die Richtigkeit der Daten zu sichern. Sie erfolgen jedoch kooperativ, werden nach der zeitlichen Verfügbarkeit des Mitglieds angesetzt und sind ausdrücklich nicht konfrontativ. Kein legitimes RIPE-Verfahren verlangt unter Androhung von Konsequenzen ein Handeln innerhalb von 48 Stunden. Solche Nachrichten sollten sofort Misstrauen wecken.
Dieser Vorfall erinnert daran, die Perspektive zurechtzurücken. Registrierungsstellen sind Buchhalter. Wie es einer der RIPE-Gründer formulierte: Sie sind dazu da, das Register korrekt zu führen. Mehr nicht. Sie erteilen Netzwerken keine Befehle, treten nicht als Verhaltenspolizei auf und üben keine Hoheitsgewalt aus.
Die langfristige Lösung liegt im gemeinsamen Handeln: sich an den Verfahren zur Regelsetzung beteiligen, auf echtes Eigentum an IP-Adressen drängen und die strukturelle Angst beseitigen, die solche Phishing-Angriffe überhaupt erst wirksam macht. Sobald das Eigentum an IP-Adressen geklärt ist, verschwindet diese gesamte Art von Bedrohung.
Behandeln Sie Mitteilungen von Registrierungsstellen bis dahin wie die jedes anderen Dienstleisters: ruhig, auf Grundlage des Vertrags und ohne Angst.