RPKI: verhindern, dass jemand deine IP-Adressen entführt

Das Internet leitet Datenpakete anhand von Ankündigungen weiter: Netze sagen ihren Nachbarn „diese IP-Adressbereiche erreicht ihr über mich". Dieses System (BGP) vertraut solchen Ankündigungen weitgehend blind. Kündigt jemand — versehentlich oder böswillig — deine Adressen an, kann Verkehr zu dir umgeleitet werden. Das nennt man Route-Hijacking.

Was RPKI macht

RPKI (Resource Public Key Infrastructure) legt kryptografisch signiert fest, welches Netz (welche AS-Nummer) berechtigt ist, einen IP-Bereich anzukündigen — ein sogenanntes ROA (Route Origin Authorization). Router können damit prüfen: Passt die Ankündigung zur autorisierten Herkunft?

• Valid: Ankündigung stammt vom berechtigten Netz.
• Invalid: Jemand Unberechtigtes kündigt den Bereich an — ein Warnsignal, das viele Netze verwerfen.
• Not found: Kein ROA veröffentlicht — weder Nachweis noch Widerspruch.

Warum das zählt

Ohne RPKI ist ein Fehlrouting schwer zu unterscheiden von einem Angriff. Mit veröffentlichten ROAs kann ein großer Teil des Internets falsche Ankündigungen automatisch ablehnen — dein Verkehr bleibt auf dem richtigen Weg, deine Nutzer landen beim echten Server.

Was du tun kannst

RPKI wird auf Ebene deines Netzbetreibers / Rechenzentrums umgesetzt: Für deine IP-Bereiche sollten gültige ROAs existieren. Wir prüfen für die IP-Adressen deiner Web-, Nameserver und Mailserver, ob ihre Herkunft RPKI-validiert ist — ein oft übersehener, aber wichtiger Baustein der Erreichbarkeit.