Das Experiment, das ein stilles Überschreiben aufdeckte

Am 24. Juli veröffentlichten zwei Ingenieure von Cloudflare das Ergebnis eines absichtlich lauten Experiments. Iliana Xygkou und Bryton Herdes kündigten aus Cloudflares eigenem Netz AS13335 IPv4- und IPv6-Präfixe an, jedes mit einem anderen Wert in einem alten BGP-Feld namens ORIGIN. Anschließend zogen sie die Präfixe zurück, um das Internet zur Pfadsuche zu zwingen, lasen mit dem BGPKIT-Werkzeug aus, was über die Kollektoren RIPE RIS und RouteViews sowie Cloudflares eigene BMP-Feeds zurückkam, und verglichen den gesendeten Wert mit dem Wert, den die übrige Welt sah.

Die Werte stimmten nicht überein. ORIGIN ist eines der ältesten Attribute in BGP und hält fest, wie eine Route in das Protokoll gelangt ist: IGP, EGP oder INCOMPLETE, in dieser Präferenzreihenfolge. Etwa 70 Prozent der beobachteten IPv4-Pfade und 67 Prozent der IPv6-Pfade kamen mit ORIGIN auf IGP zurückgesetzt an, also auf dem am stärksten bevorzugten Wert. Rund 10 Prozent der 352 direkten IPv4-Peers überschrieben den Wert, bei 315 IPv6-Peers war der Anteil ähnlich.

Der Mechanismus erklärt das Motiv. ORIGIN wird bei der Pfadauswahl herangezogen, wenn zwei Routen bei Local Preference und bei der Länge des AS_PATH gleichstehen, und der niedrigere ORIGIN-Wert gewinnt. Das Zurücksetzen auf IGP zieht einen Pfad an seinen Wettbewerbern vorbei, ohne den AS_PATH anzutasten, also genau das Feld, auf das alle schauen. Heute tragen 89,8 Prozent der Routen IGP, 3,5 Prozent EGP und 6,7 Prozent INCOMPLETE. Diese Verteilung sieht vor allem deshalb ordentlich aus, weil ein großer Teil davon unterwegs erst hergestellt wird.

Die Zahlen zeigen auf die größten Netze

Interessant ist nicht die Verbreitung, sondern die Konzentration. Cloudflare fand, dass 26 Prozent der 50 größten autonomen Systeme nach AS Rank ORIGIN manipulieren, dazu 20 Prozent der Top 100, und dass 20,3 Prozent aller überschreibenden Netze in diesen Top 50 sitzen. Sechs der sechzehn Tier-1-Netze tun es. Die Netze mit der größten Fähigkeit, Verkehr auf eigene Pfade zu ziehen, sind überproportional jene, die an dem Feld drehen, das bei knappen Entscheidungen den Ausschlag gibt.

Ein Detail wirkt kommerziell und nicht versehentlich. Ein einzelnes Tier-1-Netz überschreibt ORIGIN bei Routen, die es von Peers lernt, und bewahrt den Wert bei Routen, die es von Kunden lernt. Das ist nicht die Signatur einer veralteten Vorlage auf irgendeinem Router, sondern eine Regel, die bezahlten Transitverkehr und unentgeltlichen Peering-Verkehr unterschiedlich behandelt.

Der Nutzen war im Test selbst messbar. Die überschreibenden Netze gewannen 12 zusätzliche IPv4-Pfade über sich selbst, ein Plus von 18 Prozent, und 33 zusätzliche IPv6-Pfade, ein Plus von 40 Prozent. Genau darum geht es: Ein einziges überschriebenes Attribut, für das setzende Netz unsichtbar, verschob einen erheblichen Anteil der möglichen Pfade auf den Überschreiber.

Cloudflares Bewertung ist deutlich. Das Unternehmen fand keine gültige technische Begründung für die Praxis und benennt zwei Schäden: Netze, die sich an die RFC halten, werden gegenüber Netzen benachteiligt, die es nicht tun, und Verkehr wird von alternativen Anbietern weggezogen, die den Stichentscheid sonst für sich entschieden hätten. Der Vorschlag lautet, den Einfluss des Attributs auf die Pfadauswahl ganz aufzugeben, beginnend damit, dass Implementierungen jede empfangene und angekündigte Route auf IGP setzen.

Wo eine Resilienzbehauptung still scheitert

Die Konsequenz für den Betrieb betrifft nicht wirklich ORIGIN, sondern die Frage, was der Satz "wir sind multi-homed" belegt. Multi-Homing verschafft Ihnen mehr als einen physischen Weg nach draußen, und das ist echt. Es verschafft Ihnen keine Kontrolle darüber, auf welchem Weg der Verkehr tatsächlich zu Ihnen zurückkommt, denn die meisten Attribute, die Präferenz ausdrücken, sind jenseits Ihrer Netzgrenze nur ein Hinweis. Local Preference ist die Ausnahme, die zählt: Sie setzen sie auf Ihren eigenen Routern, sie steht in der Auswahlreihenfolge über ORIGIN, und sie überschreitet nie eine eBGP-Grenze. Genau deshalb ist sie die einzige Präferenz, die niemand sonst überschreiben kann.

Diese Unterscheidung ist inzwischen schriftlich relevant. Unter NIS2 ist Netzresilienz etwas, das Sie belegen und nicht behaupten, und Pfaddiversität gehört zu den Dingen, die man in einem Lieferantenfragebogen leicht behauptet. Wenn ein einziges zentrales Netz durch das Zurücksetzen eines Attributs einen messbaren Anteil möglicher Pfade auf sich ziehen kann, dann ist eine Diversitätsaussage, die auf Ankündigungen statt auf Verträgen und Local Preference beruht, im Prüfungsfall nicht belegbar.

Auch die Richtung der Standardisierung sollte Ihren Zeithorizont verkürzen. Ein IETF-Entwurf mit dem Titel "Scrubbing BGP ORIGIN Attribute", veröffentlicht am 3. November 2025, aktualisiert RFC 4271 und RFC 7606, macht das Attribut halboptional und erlaubt das Zurücksetzen auf IGP ausdrücklich. Die eigene Messung der Default-Free Zone im September 2025 fand rund 9 Prozent der Routen mit INCOMPLETE und unter 1 Prozent mit EGP. Lesen Sie die Richtung ehrlich: Der Standardisierungsprozess bewegt sich darauf zu, das Überschreiben zu legitimieren, statt es zu unterbinden. Das Verhalten wird also nicht für Sie behoben.

Drei Prüfungen vor der nächsten Transitverlängerung

Stellen Sie die Frage, die die Messung beantwortbar macht. Erstens: Fragen Sie jeden Transitanbieter schriftlich, was er mit den BGP-Attributen Ihrer Ankündigungen macht und ob er von Peers und von Kunden gelernte Routen unterschiedlich behandelt. Zweitens: Verwenden Sie ORIGIN in Ihrer eigenen Policy nirgends mehr als Steuersignal, denn die Messung zeigt, dass es die ersten Hops nicht übersteht. Drittens: Verlagern Sie den echten Ausdruck Ihrer Präferenz auf Local Preference an Ihrer eigenen Netzgrenze und auf Communities, deren Beachtung Sie beim Anbieter bestätigt haben, und testen Sie das anschließend, statt es anzunehmen.

Setzen Sie die Antwort dann in einen Preis um. Transitverträge in Europa werden meist in EUR je zugesagtem Mbit/s notiert, in Großbritannien in GBP, und die Behandlung von Routen kommt darin fast nie vor. Wenn Sie einen Aufpreis für einen zweiten oder dritten Anbieter zahlen, gerade um Pfaddiversität zu halten, dann lohnt es sich, diese Diversität als Zusage zur Routenbehandlung in den Vertrag zu schreiben. Ein Anbieter, der nicht sagen will, was er mit Ihren Attributen macht, hat Ihnen etwas Nützliches darüber gesagt, welche Pfade Ihnen tatsächlich gehören.

Weiterlesen: Eine Nachricht erreichte die SSH-Schlüssel  |  Eine Test-KI hackte eine echte Firma zum Schummeln