RPKI deckt jetzt 67 Prozent der Internet-Routes ab, aber die meisten Networks validieren sie immer noch nicht

Am 29. Juni 2026 erreichte die RPKI-Abdeckung der globalen Internet-Routing-Tabelle einen Rekordwert von 67,43 Prozent – 1.065.730 von 1.580.470 angekündigten Präfixen verfügen inzwischen über eine signierte Route Origin Authorization (ROA). Das sind echte Fortschritte bei einem Problem, das das Kern-Routing-Protokoll des Internets, BGP, seit den 1990er Jahren plagt. Dieser Meilenstein verschleiert jedoch eine wichtigere Zahl: Nur 12,3 Prozent der Autonomen Systeme (AS) erzwingen tatsächlich eine vollständige Route Origin Validation (ROV) für die von ihnen akzeptierten Routen, während 36,2 Prozent überhaupt keine Validierung durchführen.

Diese Lücke – zwischen dem Signieren und dem Durchsetzen – ist die eigentliche Geschichte der Internet-Routing-Sicherheit im Jahr 2026. Zu verstehen, warum sie existiert und warum sie wichtig ist, erklärt sowohl den echten Fortschritt als auch eine Bedrohung, die nicht verschwunden ist.

Das Problem, zu dessen Lösung RPKI entwickelt wurde

BGP, das Protokoll, das den Datenverkehr zwischen den schätzungsweise über 70.000 Netzwerken leitet, aus denen das Internet besteht, wurde in einer Ära entworfen, in der Vertrauen zwischen Betreibern vorausgesetzt wurde. Jedes Netzwerk kann ankündigen, dass es einen Block von IP-Adressen originär bereitstellt, und standardmäßig glauben andere Netzwerke dies. Dies macht BGP-Hijacking – bei dem ein Angreifer den Adressraum einer anderen Person ankündigt, um deren Datenverkehr umzuleiten – in Abwesenheit einer Validierung trivial einfach. Zu den historischen Vorfällen gehören Verkehrsumleitungen, die große Cloud-Anbieter, Kryptowährungsbörsen und Regierungsnetzwerke betrafen.

RPKI (Resource Public Key Infrastructure) adressiert dies, indem es Netzwerkbetreibern ermöglicht, kryptografisch eine Erklärung zu signieren: „Diese AS-Nummer ist autorisiert, dieses IP-Präfix zu originieren.“ Andere Netzwerke können dann eingehende Routenankündigungen gegen diese signierten Erklärungen prüfen – das ist Route Origin Validation – und Routen, die nicht übereinstimmen, ablehnen oder in ihrer Priorität herabstufen.

Warum 67 Prozent Abdeckung nicht 67 Prozent Schutz bedeuten

Das Signieren einer ROA ist etwas, das ein Netzwerkbetreiber für seinen eigenen Adressraum tut – es ist eine einseitige Maßnahme mit geringer Reibung. Die Durchsetzung von ROV ist anders: Sie erfordert, dass ein Netzwerk Routen, die die Validierung nicht bestehen, aktiv ablehnt oder herabstuft, was bedeutet, dass dem RPKI-System genug vertraut werden muss, um echte Verkehrsentscheidungen zu beeinflussen. Das ist eine größere betriebliche Verpflichtung, und das ist der Grund, warum die Durchsetzung der Abdeckung mit großem Abstand hinterherhinkt.

Die praktische Konsequenz: Ein Angreifer kann ein signiertes, geschütztes Präfix immer noch erfolgreich kapern, wenn nicht genügend Netzwerke entlang des Pfades zu potenziellen Opfern ROV erzwingen. Qrator Labs dokumentierte allein im ersten Quartal 2026 sieben globale Routen-Leaks und ein globales BGP-Hijacking – ein Beweis dafür, dass das Signieren von Zertifikaten noch nicht zu einem Routing-System geführt hat, das gegen diese Angriffe im Internet-Maßstab resistent ist.

Die Angriffe, die RPKI nicht stoppt

Selbst dort, wo ROV vollständig durchgesetzt wird, hat RPKI bekannte blinde Flecken. Die diesjährige Forschung ergab, dass ein raffinierter Angreifer die ROA eines Ziels nicht direkt bekämpfen muss – er kann sie kopieren. Indem er das exakte Präfix des Opfers mit der eigenen AS-Nummer des Opfers an der Ursprungsposition ankündigt und dann seine eigene AS-Nummer davor setzt, kann ein Angreifer eine Route konstruieren, die die ROV-Prüfungen besteht und dennoch den Datenverkehr über sein eigenes Netzwerk abfängt. RPKI validiert den Ursprung, nicht den Pfad – und das ist eine strukturelle Einschränkung, kein Bug, der gepatcht werden kann.

Es gibt auch ein Datenqualitätsproblem, das Betreibern entgegenarbeitet, die versuchen, Validierungsfehler sinnvoll zu interpretieren: Ungefähr 96,9 Prozent der in freier Wildbahn gefundenen RPKI-ungültigen Präfixe gehen auf Fehlkonfigurationen zurück und nicht auf aktive Angriffe. Dieses Rauschen erschwert es Netzwerkbetreibern, automatisierte Reaktionssysteme aufzubauen, die ein echtes Hijacking zuverlässig von einem Tippfehler in einem ROA-Datensatz unterscheiden.

Was als Nächstes tatsächlich passieren muss

Der Weg nach vorn ist nicht mehr Signierung – die Abdeckung nähert sich bereits zwei Dritteln der Routing-Tabelle. Es geht darum, die Durchsetzungslücke zu schließen. Große Transit-Provider und Content-Netzwerke, die ROV für die von ihnen akzeptierten Routen durchsetzen, haben eine überproportionale Wirkung, weil sie lebensfähige Pfade für gekaperten Datenverkehr entfernen, selbst wenn kleinere nachgeschaltete Netzwerke die Validierung noch nicht übernommen haben. Pfadvalidierungstechnologien (wie BGPsec, das aufgrund von Leistungsmehraufwand nur minimalen realen Einsatz gesehen hat) würden die AS-Voranstellungs-Lücke schließen, aber die Einführung stagniert seit Jahren.

Für Netzwerkbetreiber ist der umsetzbare Schritt unkompliziert: Wenn Sie die ROV-Durchsetzung auf Ihren Border-Routern noch nicht aktiviert haben, ist das im Moment ein größerer Sicherheitsgewinn als das Signieren zusätzlicher ROAs für Präfixe, die Sie bereits originieren. Die Infrastruktur, um BGP wesentlich sicherer zu machen, existiert bereits – der Großteil des Internets hat sie nur noch nicht eingeschaltet.