BGP-Hijacking-Vorfälle nehmen zu, während RPKI-Adoption dort, wo es darauf ankommt, weiter hinterherhinkt

Bis Mitte 2026 besaßen 67,43 % der angekündigten Internetrouten gültige Route Origin Authorizations, und 70,3 % des globalen Traffics floss über RPKI-valide Pfade. Oberflächlich betrachtet ist das ein echter Infrastrukturerfolg: Resource Public Key Infrastructure, das kryptografische System, das verhindern soll, dass Netzwerke fälschlicherweise die Eigentümerschaft an IP-Adressblöcken beanspruchen, hat sich in weniger als einem Jahrzehnt von einer Nischen-Best-Practice zur Mehrheitsadoption entwickelt. Und dennoch zählte Qrator Labs allein im ersten Quartal 2026 sieben Route Leaks und mindestens einen signifikanten BGP-Hijack, und Netzwerkbetreiber berichten, dass an jedem beliebigen Tag mehr als 6.000 RPKI-ungültige Prefixes angekündigt werden. Die Adoption steigt. Die Vorfälle hören nicht auf. Diese beiden Tatsachen sind kein Widerspruch, und zu verstehen, warum, ist für jeden relevant, der Infrastruktur betreibt, die auf ein ehrliches Verhalten der Routing-Schicht des Internets angewiesen ist.

Was RPKI tatsächlich behebt — und was nicht

Border Gateway Protocol, das System, das es Netzwerken erlaubt anzukündigen „Ich besitze diesen IP-Adressblock, leitet Traffic dafür über mich", wurde in einer Ära entwickelt, die guten Willen zwischen Betreibern voraussetzte. Es besitzt keine integrierte Authentifizierung: Jedes Netzwerk kann die Eigentümerschaft eines beliebigen Adressblocks ankündigen, und benachbarte Netzwerke akzeptieren die Ankündigung in der Regel, sofern ihnen nichts auffällt. RPKI behebt die grundlegendste Variante dieses Problems — ein Netzwerk signiert kryptografisch eine Route Origin Authorization (ROA), die belegt, dass es berechtigt ist, ein bestimmtes Prefix anzukündigen, und andere Netzwerke können diese Signatur vor der Akzeptanz der Route validieren.

Was die grundlegende ROA-Validierung von RPKI nicht behebt, ist Path Forgery in Kombination mit spezifischeren Announcements. Das ist der Mechanismus hinter den meisten Vorfällen, die 2026 weiterhin in vermeintlich gut geschützten Netzwerken auftreten: Ein Angreifer fälscht die Origin-AS-Nummer so, dass sie zu einer legitimen ROA passt, und kündigt dann ein Sub-Prefix an, das spezifischer ist als das legitime. BGP's Path-Selection-Algorithmus bevorzugt spezifischere Routen nahezu bedingungslos — das ist ein grundlegendes, jahrzehntetaltes Designprinzip, kein Bug — sodass das gefälschte, illegitime Announcement die Routing-Entscheidung selbst in Netzwerken gewinnt, die lehrbuchmäßige Route Origin Validation (ROV) betreiben. Die ROA ist in Ordnung. Das Prefix ist nur auf eine Weise falsch, die ROV allein nicht erkennt.

Warum die Lösung ins Stocken gerät

Die technische Antwort auf Sub-Prefix-Hijacking durch Forged-Origin existiert: Autonomous System Provider Authorization (ASPA), ein neueres RPKI-Objekt, das es einem Netzwerk erlaubt, seine legitimen Upstream-Provider kryptografisch zu deklarieren und damit eine Kategorie von Path-Forgery-Angriffen zu schließen, die eine reine ROA-Validierung nicht abdeckt. Das Problem ist die Verbreitung: Stand Mitte 2026 decken ASPA-Objekte weltweit lediglich etwa 2,54 % der autonomen Systeme ab. Es erfordert die Beteiligung jedes Netzwerks in einem Pfad, damit der Schutz wirksam ist — ein klassisches Koordinationsproblem: Ein einzelnes Netzwerk profitiert nur begrenzt vom ASPA-Einsatz, solange nicht genügend seiner Nachbarn mitmachen. Daher verläuft die Adoption schleppend, obwohl die Technologie selbst ausgereift und standardisiert ist.

Es gibt auch einen einfacheren, weniger technischen Grund, warum Vorfälle andauern: RPKI-ungültige Announcements in der Größenordnung von täglich über 6.000 Prefixes stammen größtenteils nicht von böswilligen Angreifern, die ausgefeilte Forged-Origin-Techniken testen — es sind Fehlkonfigurationen, Tippfehler und veraltete ROAs von Betreibern, die RPKI einmal eingerichtet und nie wieder überprüft haben, als sich ihr Netzwerk veränderte. Diese Routinefehler erzeugen genau die Art von Hintergrundrauschen, die es schwerer macht, die kleinere Zahl echter böswilliger Hijacks darin zu erkennen.

Was das für jeden bedeutet, der Produktionsinfrastruktur betreibt

Wenn Ihre Organisation direkt mit Upstream-Providern peert oder ein eigenes AS betreibt, ist Route Origin Validation mittlerweile das absolute Minimum — der Einsatz ist keine harte Überzeugungsarbeit mehr, und die meisten großen Transit-Provider unterstützen es inzwischen nativ. Betrachten Sie ROV jedoch als Untergrenze, nicht als Obergrenze. Überwachen Sie Ihre eigenen Prefixes mithilfe eines Route-Monitoring-Dienstes auf unautorisierte, spezifischere Announcements — mehrere bieten dafür kostenlose Tiers an — da ein Forged-Origin-Sub-Prefix-Hijack gegen Ihren Adressraum die ROV-Validierung problemlos besteht und keine Alerts auslöst, von denen die meisten Teams fälschlicherweise annehmen, sie seien bereits aktiv. Und wenn Sie einen Transit- oder Cloud-Provider auch nach Netzwerkresilienz bewerten, fragen Sie gezielt, ob ASPA eingesetzt wird — bei einer globalen Abdeckung von unter 3 % ist ein „Ja" nach wie vor ein echter Differenzierungsfaktor, kein Checkbox, den jeder abhaken kann.