RPKI: Ein Leitfaden für Führungskräfte zur Absicherung der digitalen Hauptadern Ihres Netzwerks

Zusammenfassung: Was Sie wissen müssen

Warum sollten Unternehmensführer sich für „technische“ Themen wie RPKI interessieren?

Stellen Sie sich vor, Sie wachen auf und stellen fest, dass die Website Ihres Unternehmens nicht erreichbar ist, Kunden-E-Mails zurückkommen und Ihre Cloud-Dienste nicht verfügbar sind. Ihr technisches Team informiert Sie, dass jemand Ihren Internetverkehr „entführt“ hat. Dies ist kein hypothetisches Szenario – es passiert regelmäßig bei Organisationen jeder Größe, die ihre digitalen Adressen nicht ordnungsgemäß gesichert haben.

Einfach ausgedrückt ist RPKI (Resource Public Key Infrastructure) wie ein digitales Grundbuchsystem für Ihre Internetadressen. Es beweist, dass Sie der rechtmäßige Eigentümer Ihrer IP-Adressen sind, und verhindert, dass andere Ihr Netzwerk im Internet nachahmen. Ohne diesen Schutz befindet sich Ihre digitale Präsenz in einem überraschend anfälligen Zustand.

Als Kundenbetreuer bei InterLIR habe ich aus erster Hand miterlebt, wie Organisationen mit den Folgen von Routing-Sicherheitsvorfällen zu kämpfen haben. Unsere Kunden – von Cybersicherheitsfirmen über Hosting-Anbieter bis hin zu Gaming-Unternehmen – erkennen zunehmend, dass die Sicherung ihrer IP-Adressen nicht nur ein technisches Anliegen, sondern eine grundlegende Geschäftsanforderung ist.

Das Internet wurde auf einer Grundlage von Vertrauen aufgebaut, doch dieses Vertrauen wird zunehmend ausgenutzt. Als Pakistan 2008 versehentlich YouTube weltweit blockierte, indem es die IP-Adressen von YouTube als eigene ankündigte, offenbarte dies einen grundlegenden Fehler im Internet-Routing. Heute kommt es weiterhin zu ähnlichen Vorfällen, manchmal versehentlich, aber oft als gezielte Angriffe.

In diesem Leitfaden werde ich RPKI in einfachen Worten erklären, erläutern, warum die Implementierung für die Geschäftskontinuität entscheidend ist, und einen klaren Fahrplan für fundierte Entscheidungen zur Sicherung Ihrer Internetpräsenz bieten. Sie müssen die technischen Details nicht verstehen – Sie müssen nur wissen, warum es wichtig ist und welche Maßnahmen zu ergreifen sind.

Wie sind wir zu solch anfälligen digitalen Autobahnen gekommen?

Um zu verstehen, warum RPKI wichtig ist, werfen wir einen Blick darauf, wie wir in die aktuelle Situation gelangt sind. Das Internet wurde ursprünglich nicht mit Sicherheit als Hauptanliegen entworfen – es basierte auf Vertrauen zwischen einer kleinen Gemeinschaft von akademischen und Forschungseinrichtungen.

In den Anfängen des Internets war die Bekanntgabe der IP-Adressen, die zu Ihrem Netzwerk gehörten, ein einfaches, vertrauensbasiertes System. Es war wie eine kleine Stadt, in der sich alle kannten und niemand seine Türen verschloss. Das Border Gateway Protocol (BGP), das steuert, wie Datenverkehr im Internet geroutet wird, wurde in dieser vertrauensvollen Umgebung entwickelt.

Von einer kleinen Gemeinschaft zur globalen Infrastruktur

Als das Internet von einem Forschungsnetzwerk zu einer globalen kritischen Infrastruktur heranwuchs, wurde dieses Vertrauensmodell zunehmend problematisch. Heute verbindet das Internet Milliarden von Geräten über Millionen von Netzwerken, die von unzähligen Organisationen weltweit betrieben werden. Dennoch funktioniert das Kern-Routing-System erstaunlicherweise größtenteils noch immer auf Vertrauensbasis.

Dies stellt eine grundlegende Sicherheitsherausforderung dar: Jedes Netzwerk kann behaupten, das legitime Ziel für jede IP-Adresse zu sein, und es gibt keine eingebaute Möglichkeit, diese Behauptungen zu überprüfen. Es ist, als könnte jeder einfach durch das Aufstellen eines Schildes mit Ihrem Firmennamen behaupten, Eigentümer Ihres physischen Geschäftsstandorts zu sein.

Bei InterLIR haben wir Klienten unterstützt, die feststellten, dass ihre IP-Adressen von unbefugten Stellen angekündigt wurden, was zu einer Umleitung ihres Datenverkehrs führte. In einem Fall entdeckte ein Hosting-Anbieter das Problem erst, nachdem Kunden über intermittierende Dienstausfälle klagten – zu diesem Zeitpunkt waren bereits sensible Daten offengelegt worden.

Die Folgen dieser Sicherheitslücke gehen weit über technische Unannehmlichkeiten hinaus. Wenn Ihr Datenverkehr entführt wird, können Angreifer:

RPKI wurde entwickelt, um diese grundlegende Sicherheitslücke zu schließen, indem ein kryptografisches System zur Überprüfung der Berechtigung zur Ankündigung bestimmter IP-Adressen geschaffen wird. Es ist das digitale Äquivalent zur Sicherung von Eigentumsurkunden in einem manipulationssicheren Register.

Was genau ist RPKI und wie schützt es mein Unternehmen?

Wenn ich unseren Kunden bei InterLIR RPKI erkläre, beginne ich mit einer einfachen Analogie: RPKI ist wie ein System digitaler Eigentumsurkunden und Verifizierungszertifikate für Ihre Internetadressen. Lassen Sie mich das in praktischen Begriffen erklären, die für Ihr Geschäft relevant sind.

Die Bausteine des RPKI-Schutzes

RPKI besteht aus drei Schlüsselkomponenten, die zusammenarbeiten, um Ihr Netzwerk zu sichern:

So funktioniert das in der Praxis: Ihre Organisation erstellt ROAs für Ihre IP-Adressen über Ihre Regional Internet Registry (RIR). Diese ROAs beweisen kryptografisch, dass Sie zur Nutzung dieser Adressen berechtigt sind. Andere Netzwerke überprüfen dann Routenankündigungen anhand dieser ROAs, bevor sie Datenverkehr für Ihre Adressen akzeptieren.

Die drei Zustände der Routenvalidierung

Wenn andere Netze Ihre Routenankündigungen validieren, werden diese in drei Zustände klassifiziert:

Bei InterLIR haben wir einen deutlichen Wandel in der Herangehensweise von Organisationen an RPKI beobachtet. Vor gerade einmal zwei Jahren betrachteten viele unserer Kunden es als optional. Heute wird es zunehmend zu einer geschäftlichen Standardanforderung, da große Netze verstärkt ungültige Routen filtern.

Ein Beispiel: Ein Kunde von uns, ein Spieleunternehmen mit IP-Adressen in mehreren Regionen, lehnte die Implementierung von RPKI zunächst aufgrund der wahrgenommenen Komplexität ab. Nach einem Route-Hijacking-Vorfall, der ihre Dienste für mehrere Stunden ausfallen ließ, änderten sie schnell ihre Haltung. Die geschäftlichen Auswirkungen – entgangene Einnahmen, Kundenbeschwerden und Notfallmaßnahmenkosten – überwogen bei Weitem den geringen Aufwand für die Implementierung von RPKI.

Zwei Implementierungsansätze: Hosted vs. Delegated

Es gibt zwei Möglichkeiten, RPKI zu implementieren, jeweils mit unterschiedlichen Komplexitätsstufen und Kontrollmöglichkeiten:

Für die meisten unserer Kunden bei InterLIR empfehle ich, mit Hosted RPKI zu beginnen. Es bietet die Sicherheitsvorteile mit minimalem betrieblichen Aufwand. Sie können später immer noch auf Delegated RPKI umsteigen, falls Ihre spezifischen Anforderungen dies erfordern.

Was sind die wahren geschäftlichen Kosten, wenn man RPKI ignoriert?

Wenn mit Kunden über RPKI gesprochen wird, kommt unweigerlich die Frage nach dem ROI auf. Lassen Sie mich dies in Begriffen darlegen, die für Geschäftsführer relevant sind, nicht nur für technische Teams.

Die versteckten Kosten von Routing-Unsicherheit

Ein Kunde von uns, ein SaaS-Anbieter mit Kunden in ganz Europa, hat dies aus erster Hand erlebt. Dessen Traffic wurde fast vier Stunden lang gehijackt, bevor das Problem erkannt wurde. Der Vorfall führte zu etwa 30.000 Euro an entgangenen Einnahmen, erforderte eine Notfallreaktion des technischen Teams (einschließlich Überstunden) und löste eine teure Sicherheitsprüfung aus, um festzustellen, ob Daten kompromittiert worden waren.

Der Wettbewerbsnachteil durch Untätigkeit

Neben den direkten Kosten entsteht ein zunehmender wettbewerblicher Nachteil, wenn RPKI ignoriert wird. Große Netzwerke und Content-Anbieter setzen immer striktere Routenvalidierungen durch, was bedeutet, dass sie ungültige Routen ablehnen werden. Wenn Ihr Unternehmen RPKI nicht ordnungsgemäß implementiert hat, können Ihre Dienste für Kunden, die diese Netzwerke nutzen, unerreichbar werden.

Dieser Trend beschleunigt sich. Bei InterLIR haben wir beobachtet, dass die RPKI-Adaption von etwa 20 % des IPv4-Adressraums im Jahr 2020 auf heute über 40 % gestiegen ist. Große Cloud-Anbieter und Content-Delivery-Netzwerke führen diese Entwicklung an, wobei einige bereits die Filterung ungültiger Routen implementiert haben.

Die geschäftliche Realität ist einfach: Die Implementierung von RPKI entwickelt sich von einer Sicherheitsbest Practice zu einer grundlegenden Voraussetzung für Internetkonnektivität. Organisationen, die die Implementierung verzögern, sehen sich mit einem zunehmenden Risiko von Dienstunterbrechungen konfrontiert, während sich das Internet-Ökosystem weiterentwickelt.

Die Investition rechtfertigen

Im Vergleich zu den potenziellen Kosten von Routing-Vorfällen erfordert die Implementierung von RPKI nur einen minimalen Investitionsaufwand:

Wenn ich dies mit Kunden bespreche, stelle ich RPKI nicht als Kostenpunkt dar, sondern als eine Versicherung, die ihre digitale Infrastruktur schützt. Die Rendite dieser bescheidenen Investition wird deutlich, wenn man sie mit den potenziellen Kosten eines einzigen Routing-Vorfalls vergleicht.

Was ist der Fahrplan für smarte Führungskräfte zur Implementierung von RPKI?

Basierend auf unserer Erfahrung mit der Unterstützung von Organisationen bei der RPKI-Implementierung bei InterLIR habe ich einen einfachen Fahrplan entwickelt, den Führungskräfte befolgen können. Dieser Ansatz vereint Sicherheitsverbesserungen mit operativer Praktikabilität.

Phase 1: Vorbereitung und Planung

1️⃣ Bestandsaufnahme Ihrer IP-Ressourcen – Erstellen Sie eine vollständige Liste aller IP-Adressblöcke, die Ihre Organisation besitzt oder nutzt, einschließlich der Registrierungsstelle (RIR), bei der sie registriert sind.

2️⃣ Dokumentieren Sie Ihre BGP-Ankündigungen – Arbeiten Sie mit Ihrem technischen Team zusammen, um genau festzuhalten, welche IP-Präfixe Sie ankündigen und über welche ASNs (Autonomous System Numbers) dies erfolgt.

3️⃣ Beteiligte identifizieren – Ermitteln Sie, wer in den Implementierungsprozess eingebunden werden muss, typischerweise einschließlich Netzwerkbetrieb, Sicherheitsteams und Dienstleistern.

Diese Vorbereitungsphase ist entscheidend für eine reibungslose Implementierung. Bei InterLIR unterstützen wir Kunden häufig bei diesem Inventarisierungsprozess, da viele Organisationen feststellen, dass ihre Aufzeichnungen über IP-Ressourcen unvollständig sind.

Phase 2: ROA-Erstellung und -Tests

1️⃣ Beginnen Sie mit gehostetem RPKI – Sofern Sie keine spezifischen Anforderungen an delegiertes RPKI haben, starten Sie mit der einfacheren gehosteten Option über Ihre RIR.

2️⃣ Erstellen Sie präzise ROAs – Befolgen Sie das „Exact-Match-Prinzip“, indem Sie ROAs erstellen, die genau mit Ihren tatsächlichen BGP-Ankündigungen übereinstimmen.

3️⃣ Vorsicht mit maxLength – Setzen Sie das maxLength-Feld genau auf das, was Sie ankündigen, um Sicherheitslücken zu vermeiden.

4️⃣ Überprüfen Sie Ihre ROAs – Nutzen Sie öffentliche Validierungstools, um sicherzustellen, dass Ihre ROAs korrekt veröffentlicht sind und mit Ihren Ankündigungen übereinstimmen.

Ein häufiger Fehler, den wir beobachten, ist, dass Organisationen zu freizügige ROAs mit breiten maxLength-Werten erstellen. Dies führt zu Sicherheitslücken, die ausgenutzt werden können. Wenn Sie beispielsweise ein /24-Präfix ankündigen, aber einen maxLength von /28 setzen, könnten Angreifer spezifischere Präfixe (wie ein /28) ankündigen, die gemäß Ihrer ROA als gültig betrachtet würden.

Phase 3: Implementierung der Route Origin Validation (ROV)

Sobald Ihre ROAs eingerichtet sind, können Sie damit beginnen, eingehende Routenankündigungen anderer zu validieren. Dies sollte schrittweise umgesetzt werden:

1️⃣ Monitor-Modus – Beginnen Sie damit, einfach den Validierungsstatus von Routen zu protokollieren, ohne Maßnahmen zu ergreifen. Dies hilft Ihnen, die potenziellen Auswirkungen der Filterung zu verstehen.

2️⃣ Präferenzanpassung – Passen Sie Ihre Routing-Präferenzen an, um gültige Routen gegenüber unbekannten zu bevorzugen, während Sie beide weiterhin akzeptieren.

3️⃣ Filterung ungültiger Routen – Sobald Sie sich mit dem Prozess vertraut gemacht haben, beginnen Sie damit, ungültige Routen abzulehnen. Dies ist der vollständige Sicherheitsvorteil von RPKI.

Dieser schrittweise Ansatz minimiert das Risiko von Dienstunterbrechungen. Ein Kunde von uns, ein Hosting-Anbieter, entdeckte während der Monitoringsphase, dass mehrere seiner Upstream-Provider ungültige Routenankündigungen hatten. Indem sie diese Probleme vor der Implementierung der Filterung identifizierten, vermieden sie potenzielle Konnektivitätsprobleme.

Zukunftssichere Implementierung

Da die Einführung von RPKI weiter zunimmt, sollten Sie diese vorausschauenden Schritte in Betracht ziehen:

Vladislava Shadrina

Customer Account Manager