30. Oktober 2026hß · Datenschutz & NetzpolitikKuratiert

RIPE 93: Wie abhängig ist Europas Internet vom US-Recht?

Zusammenfassung

heise online berichtet vom Treffen RIPE 93 der europäischen IP-Adressregistry in Sofia, auf dem Netzbetreiber darüber stritten, wie verwundbar ihre Infrastruktur durch US-Sanktionen ist. Anlass ist der italienische Provider Autistici/Inventati: Nach seiner Einstufung durch die US-Sanktionsbehörde OFAC sperrte die .org-Registry seine Domain, die Bank sperrte die Konten, und 10.000 Blogs, 1.500 Webseiten und 16.000 Postfächer verschwanden. Diskutiert wurden ein Umzug von ripe.net, die gegenseitige Abhängigkeit von DNS und RPKI, ein europäischer Ersatz für Let's Encrypt und der Rückzug des RIPE NCC aus der US-Cloud.

Der Anlass: ein Provider verschwindet

Das Office of Foreign Assets Control (OFAC) des US-Finanzministeriums stufte die italienische NGO Autistici/Inventati am 26. August 2026 als Specially Designated Global Terrorist ein. Daraufhin sperrte die Public Interest Registry (PIR), die die Endung .org betreibt und US-Recht unterliegt, die Domain des Providers. Mit ihr waren 10.000 Blogs, 1.500 Webseiten und 16.000 Postfächer nicht mehr erreichbar.

Anfang September sperrte die italienische Hausbank Banca Etica aus Sorge vor US-Sekundärsanktionen die Konten, der Provider stellte seine Dienste ein. Zwei Wochen vor dem Treffen beschlagnahmte die niederländische Polizei auf Bitte des FBI einen Server im Amsterdam Science Park, der Autistici/Inventati gehören soll. Timo Hilbrink vom niederländischen Provider Freedom Internet zog in Sofia den Schluss, dass RIPE-Mitglieder sich selbst gegen solche Sanktionen wappnen müssen.

PIR gehört zur Internet Society (ISOC). Deren Chefin Sally Wentworth schrieb Anfang Oktober, eine Weigerung hätte PIR einem erheblichen straf- und zivilrechtlichen Risiko ausgesetzt. Wie man Nutzer vor unverhältnismäßigen Sanktionen schützt, beantwortete sie laut heise nicht.

Was das Treffen durchspielte

Das RIPE NCC vergibt IP-Adressen für Europa, den Nahen Osten und Zentralasien, darunter auch an Provider im Iran. Damit kann es selbst ins Visier der US-Sanktionspolitik geraten. Seine Hauptdomain ripe.net liegt unter .net, und deren Registry Verisign müsste Sanktionen ebenso umsetzen wie PIR.

Ein Vorschlag war der Umzug nach ripe.nl unter die niederländische Registry SIDN. Babak Farrokhi vom Resolverbetreiber Quad9 fragte zurück, was geschieht, wenn man dann SIDN verfolgt. Eine Sperre ganzer Länderzonen in der Root trauen die meisten Mitglieder derzeit niemandem zu, technisch möglich wäre sie.

Der Routing-Experte Randy Bush wies auf eine Kreisabhängigkeit hin: Routing-Zertifikate (RPKI) brauchen für ihren Abruf DNS, und DNS braucht sicheres Routing. Ein Eingriff ins DNS kann deshalb auch das globale Routing beschädigen.

Ein Teilnehmer regte einen europäischen Klon von Let's Encrypt an, weil ohne die Zertifikate der US-Organisation kaum noch etwas funktioniert. Den 2020 in Österreich gestarteten Anbieter ZeroSSL hat laut heise inzwischen eine texanische Investmentgesellschaft gekauft. RIPE-Mitgründer Daniel Karrenberg empfahl, bei E-Mail die Abhängigkeit von Hyperscalern zu verringern.

Das RIPE NCC holt seine Infrastruktur zurück

2019 hatte das RIPE NCC eine „Cloud First“-Strategie begonnen. Im Juni 2026 erklärte Geschäftsführer Hans Petter Holen in RIPE Labs die Abkehr: Geopolitische Unsicherheit, Regulierung wie NIS2 und gestiegene Erwartungen an RPKI und die Stabilität der Root-Zone hätten die Risiken der US-Hyperscaler neu bewertet. Ein einfaches Zurück zum alten Stand reiche nicht, nötig sei ein vollständiger Neuaufbau mit mehreren Rechenzentren, georedundanter Datenhaltung und einer Virtualisierung mit möglichst wenig Herstellerbindung.

In Sofia gab Holen den Mitgliedern recht, die vor der Auslagerung gewarnt hatten: „Ihr habt Recht gehabt.“ Für 2027 sind 14,59 Millionen Euro für Netzausrüstung und eigene Infrastruktur in zwei über dedizierte Leitungen verbundenen Rechenzentren eingeplant, 14 Prozent mehr als 2026 und der größte Posten im Haushalt von 44 Millionen Euro.

Sanktionen gibt es auch in der EU

Das RIPE NCC sitzt in Amsterdam und muss EU-Sanktionen umsetzen. Von 2.339 überprüften Mitgliedern und Endnutzern, vor allem aus Russland, Belarus und dem Iran, sind 53 zu sanktionieren. Eingefroren wird dabei nur die Registrierung der Adressressourcen; die Adressen werden weiter genutzt und nicht entzogen.

US-Sanktionen prüft das RIPE NCC freiwillig, weil niederländische Banken sich an sie halten und Gebühren von sanktionierten Mitgliedern sonst nicht einziehen. Seit 2021 haben sich so über sieben Millionen Euro an zurückgestellten oder gestundeten Beiträgen angesammelt.

Unsere Haltung: Eine Sanktionsliste ist kein Gerichtsurteil

Mit einer Verwaltungsentscheidung in Washington verschwanden Tausende Blogs, Webseiten und Postfächer, deren Nutzer selbst auf keiner Liste standen. Wer über einen Provider spricht, publiziert oder sich organisiert, verliert seine Stimme, weil eine Registry und eine Bank lieber gehorchen als prüfen. Das ist Zensur, auch wenn sie als Terrorabwehr begründet wird und keine Behörde einen einzelnen Text verboten hat.

Über Schuld entscheiden in einem Rechtsstaat Gerichte im Einzelfall. Die pauschale Abschaltung von Kommunikationswegen gehört nicht zu seinen Mitteln, auch nicht über den Umweg privater Vermittler. Wikipedia beschreibt Zensur als den Versuch, menschliche Äußerungen zu kontrollieren; der Chaos Computer Club warnt seit Jahren, dass jede einmal aufgebaute Sperrinfrastruktur für immer mehr Zwecke genutzt wird. Der Fall Autistici/Inventati zeigt, dass diese Infrastruktur längst existiert: Sie heißt Domainregistry, Bankkonto und Rechenzentrum.

Dass Netzbetreiber ihre Abhängigkeiten abbauen wollen, ist deshalb richtig. Das Ziel darf aber nicht sein, nur den Ort der Kontrolle von den USA nach Europa zu verlegen. In einer Demokratie ist jede Art von Zensur abzulehnen, auch die europäische.

Ideen

Wer eine Domain unter .com, .net oder .org betreibt, unterliegt mittelbar US-Sanktionsrecht.
Eine Sanktionsliste trifft über Registry und Bank alle Kunden eines Providers gleichzeitig.
RPKI und DNS hängen voneinander ab; ein Eingriff in eines trifft beide.
Ein Domainumzug in eine andere Zone verschiebt das Risiko nur zu einer anderen Registry.
Ohne Alternative zu Let's Encrypt fehlt vielen Diensten der Ausweichweg für Zertifikate.
Cloud-Auslagerung spart Investitionen, die man beim Rückweg mit Aufschlag nachholen muss.
Europäische Banken halten sich zum Selbstschutz auch an US-Sanktionen.

Einsichten

Die Abhängigkeit vom US-Recht steckt weniger in Servern als in Verträgen: Registry, Bank, Zertifizierungsstelle und Zahlungsdienst sind die Stellen, an denen ein Dienst abgeschaltet wird, ohne dass jemand ein Kabel zieht.
Selbst die Werkzeuge, die Routing sicherer machen sollen, erben diese Abhängigkeit: Die RPKI-Daten des RIPE NCC werden über Namen unter ripe.net abgerufen, also über eine Zone, die Verisign verwaltet.
Das RIPE NCC hat die Cloud nicht aus technischen Gründen verlassen, sondern weil sich die Risikobewertung geändert hat. Für kleinere Betreiber ist das der Hinweis, die eigene Cloud-Entscheidung regelmäßig neu zu prüfen, nicht nur bei Preiserhöhungen.

Zitate

„Wir dürfen nicht vergessen, Autistici war keine politische Organisation, sondern ein Service Provider.“ (Timo Hilbrink, Freedom Internet, laut heise)
„Ihr habt Recht gehabt.“ (RIPE-NCC-Chef Hans Petter Holen an die Mitglieder, die vor der Cloud-Strategie gewarnt hatten, laut heise)

Fakten

RIPE 93 fand vom 26. bis 30. Oktober 2026 in Sofia statt.
Das RIPE NCC plant für 2027 14,59 Millionen Euro für eigene Infrastruktur ein, bei 44 Millionen Euro Gesamthaushalt.
Von 2.339 auf EU-Sanktionen geprüften RIPE-Mitgliedern und Endnutzern sind 53 betroffen; ihre Adressen bleiben nutzbar.
Seit 2021 sind beim RIPE NCC über sieben Millionen Euro an Gebühren zurückgestellt oder gestundet.

Referenzen

Bemerkungen

Warum OFAC Autistici/Inventati eingestuft hat, erklärt der heise-Bericht nicht; der Beitrag bewertet deshalb nur die Folgen für Infrastruktur und Nutzer, nicht den Vorwurf.
Das Datum dieses Beitrags ist der letzte Tag von RIPE 93; der heise-Bericht erschien zwei Tage später.

Empfehlungen

Für die eigenen Dienste aufschreiben, wer Domain-Registry, DNS-Hoster, Zertifizierungsstelle, Mailanbieter und Bank ist und welchem Recht jeder davon unterliegt; die Registry einer Domain zeigt eine RDAP- oder whois-Abfrage.
Für wichtige Dienste eine zweite Domain unter einer Länderendung im eigenen Rechtsraum vorhalten und Nameserver bei mehr als einem Anbieter betreiben.
ACME-Clients so einrichten, dass eine zweite Zertifizierungsstelle ohne Umbau einspringen kann, und sie im CAA-Eintrag der Domain bereits zulassen.
Den RIPE-Labs-Artikel von Hans Petter Holen lesen: Er zeigt, welche Kosten und Arbeit ein Rückzug aus der Cloud tatsächlich verursacht.

Originalartikel lesen

Im Webarchiv suchen