--- id: CP-231 slug: bgp-rpki-sicherheit-internet-routen lang: de title: "BGP und RPKI: die Routen des Internets absichern" description: BGP legt fest, wohin Netze den Datenverkehr senden. Seine Schwachstellen (Hijacking, Leaks) und der Schutz RPKI, erklärt für Beschäftigte. canonical_url: https://startbrain.io/cyberpedia/de/articles/bgp-rpki-sicherheit-internet-routen/ markdown_url: https://startbrain.io/cyberpedia/de/articles/bgp-rpki-sicherheit-internet-routen.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, „BGP und RPKI: die Routen des Internets absichern“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/bgp-rpki-sicherheit-internet-routen/ (CC BY 4.0)" wing: 3 theme: browse_safely reflex: cr-059 schema: G3 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/bgp-rpki-sicherheit-internet-routen/ fr: https://startbrain.io/cyberpedia/fr/articles/bgp-rpki-securite-routes-internet/ en: https://startbrain.io/cyberpedia/en/articles/bgp-rpki-internet-routing-security/ es: https://startbrain.io/cyberpedia/es/articles/bgp-rpki-seguridad-rutas-internet/ sources: - "n": 1 title: "Resilient Interdomain Traffic Exchange: BGP Security and DDoS Mitigation" publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/189/final published: "2019-12-17" accessed: "2026-11-03" - "n": 2 title: "Resilient Interdomain Traffic Exchange: BGP Security and DDos Mitigation" publisher: NIST url: https://www.nist.gov/publications/resilient-interdomain-traffic-exchange-bgp-security-and-ddos-mitigation published: "2019-12-17" accessed: "2026-11-03" - "n": 3 title: Border Gateway Protocol Security publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/54/final published: "2007-07-17" accessed: "2026-11-03" - "n": 4 title: Identifying and protecting against the largest DDoS attacks publisher: Google url: https://cloud.google.com/blog/products/identity-security/identifying-and-protecting-against-the-largest-ddos-attacks published: "2020-10-17" accessed: "2026-11-03" --- # BGP und RPKI: die Routen des Internets absichern Wenn Beschäftigte eine Website öffnen oder eine Nachricht senden, durchlaufen die Daten mehrere Netze, von denen das Unternehmen weder die Zahl noch die Betreiber kennt. Das Protokoll BGP (Border Gateway Protocol) wählt die Route zwischen diesen Netzen aus. Die US-Behörde NIST beschreibt es als Steuerungsprotokoll, das die Pfade zwischen den Zehntausenden autonomen Systemen, aus denen das Internet besteht, verteilt und berechnet [1]. Diese Seite erklärt, was dieses Protokoll für Beschäftigte bedeutet, was Anomalien beim Routing auslösen können und welchen Schutz (RPKI) das NIST empfiehlt. Sie nennt auch, was die NIST-Quelle nicht sagt, damit nicht mehr versprochen wird, als belegt ist. ## In 30 Sekunden - Wo es passiert: zwischen den Netzen, außerhalb des Blickfelds der Beschäftigten und des Unternehmens. Das NIST spricht von Anomalien in der Steuerungsebene des Routings, etwa dem Hijacking von BGP-Präfixen (prefix hijacking) und Route Leaks [2]. - Was es auslöst: Denial-of-Service, unerwünschte Umleitungen des Datenverkehrs und eine schlechtere Leistung [2]. - Der Schutz der Betreiber: RPKI, die BGP-Ursprungsvalidierung und die Präfixfilterung [1]. - Der Reflex: Fragen Sie Ihren Internet- oder Hosting-Anbieter, wie er seine Routen schützt, und verlassen Sie sich für die Vertraulichkeit nicht allein auf das Netz. ## Direkte Fragen ### Wozu dient BGP? BGP verteilt und berechnet die Pfade zwischen den autonomen Systemen, aus denen das Internet besteht [1]. Beschäftigte greifen in diesen Mechanismus nie ein: Sie hängen von den Entscheidungen ihres Internetanbieters und der durchquerten Netze ab. ### Worin besteht das Problem? Das NIST stellt fest, dass in den letzten Jahren zahlreiche Anomalien in der Steuerungsebene des Routings, etwa das Hijacking von BGP-Präfixen und Route Leaks, zu Denial-of-Service, unerwünschten Umleitungen des Datenverkehrs und einer schlechteren Leistung geführt haben [2]. ### Was bedeutet RPKI? RPKI steht für Resource Public Key Infrastructure. Das NIST zählt sie, zusammen mit der BGP-Ursprungsvalidierung (BGP-OV) und der Präfixfilterung, zu den empfohlenen Technologien, um den Steuerungsverkehr des Routings zwischen Domänen abzusichern [1]. Die hier zitierten Quellen beschreiben ihre innere Funktionsweise nicht, deshalb tut es diese Seite auch nicht. ### Können sich Beschäftigte vor einer Routenumleitung schützen? Nicht direkt. Diese Schutzmaßnahmen werden bei den Betreibern eingesetzt. Beschäftigte und ihre Vorgesetzten können aber Fragen an ihre Anbieter richten, wie weiter unten erklärt. ### Löst RPKI alles? Die hier zitierten Quellen sagen dazu nichts. Das NIST stellt RPKI als eine empfohlene Technologie unter mehreren dar und ergänzt Maßnahmen gegen die Fälschung von IP-Adressen und gegen Denial-of-Service-Angriffe [1]. Eine ältere NIST-Veröffentlichung zu BGP warnte bereits, dass ihre Empfehlungen keine vollständige Verteidigung gegen alle Bedrohungen darstellten [3]. ## Wie es funktioniert Im Dezember 2019 veröffentlicht das NIST den Leitfaden SP 800-189 zum widerstandsfähigen Datenaustausch zwischen Domänen (RITE). Er gibt erste Hinweise, wie sich der Steuerungsverkehr des Routings schützen, die Fälschung von IP-Adressen verhindern und bestimmte Denial-of-Service-Angriffe erkennen und abschwächen lassen [2]. Er ersetzt die Veröffentlichung SP 800-54, die im Juli 2007 erschien und am 17. Dezember 2019 zurückgezogen wurde [3]. Die Empfehlungen von 2019 enthalten zahlreiche Maßnahmen zu BGP. Für das Routing nennen sie RPKI, die BGP-Ursprungsvalidierung und die Präfixfilterung [1]. Gegen Denial-of-Service-Angriffe zielen sie zuerst auf die Fälschung von IP-Adressen, mit der Validierung der Quelladresse (SAV) über Zugriffskontrolllisten und uRPF (unicast Reverse Path Forwarding). Sie nennen außerdem Black-Hole-Filterung mit Fernauslösung (RTBH), Flowspec und die Begrenzung der Antwortrate (RRL) [1]. Der Text von 2007 erklärte bereits, was BGP ist und warum es für das Internet wichtig ist, und schlug bewährte Verfahren vor, die auf fast alle damals verfügbaren BGP-Router anwendbar waren. Er hielt fest, dass die vorgeschlagenen verbesserten Protokolle im Allgemeinen wesentliche Änderungen am Protokoll erforderten und mit bestehenden Implementierungen möglicherweise nicht funktionierten [3]. ## Was Sie tun Die Quellen richten sich nicht an Beschäftigte: Das Folgende überträgt ihre Feststellungen auf den Alltag, ohne zu behaupten, dass sie es vorschreiben. - IT- oder Einkaufsverantwortliche: Fragen Sie den Internet- oder Hosting-Anbieter, ob er die BGP-Ursprungsvalidierung, RPKI und die Präfixfilterung einsetzt, die das NIST den Betreibern empfiehlt [1]. - IT-Verantwortliche: Bitten Sie den Anbieter außerdem zu prüfen, dass die Quelladressen der von ihm gesendeten Pakete echt sind. Das fällt unter die vom NIST empfohlene Validierung der Quelladresse [1]. - Unternehmen, die von krimineller Aktivität betroffen sind: Melden Sie sie, bitten Sie Ihre Netzanbieter, den Ursprung des gefälschten Datenverkehrs zurückzuverfolgen, und teilen Sie die Information mit der Community, rät Google [4]. - Beschäftigte: Behandeln Sie das Netz als Gelände, das Sie nicht kontrollieren. Die Fälle unten zeigen, dass der Datenverkehr über Netze läuft, die niemand von Anfang bis Ende kontrolliert. Deshalb sollte man ihm die Vertraulichkeit des Austauschs nicht allein anvertrauen. ## Die Fallstricke Der erste ist der Glaube, das Unternehmensnetz sei ein geschlossener Kreislauf. Der Datenverkehr läuft über Netze Dritter, außerhalb der Kontrolle des Unternehmens. Der zweite Fallstrick ist die Annahme, ein Schutz beim Routing genüge. Das NIST ordnet ihn in ein Bündel von Maßnahmen ein, zu dem auch der Schutz vor gefälschten Adressen und die Filterung gegen Denial-of-Service gehören [1]. Der dritte ist, die verschiedenen Netzvorfälle zu verwechseln. Ein Denial-of-Service-Angriff überflutet sein Ziel mit nutzlosem Datenverkehr. Laut Google legt er keine Daten der Nutzer offen und führt nicht zu einer Kompromittierung, kann aber einen Ausfall und einen Vertrauensverlust verursachen, wenn er nicht rasch abgeschwächt wird [4]. ## Reale Fälle ### März 2014: YouTube von Browsern überflutet Laut Google brachte im März 2014 bösartiges JavaScript, das durch einen Man-in-the-Middle-Angriff auf das Netz in Tausende Websites eingeschleust wurde, Hunderttausende Browser dazu, YouTube mit Anfragen zu überfluten, bis zu einer Spitze von 2,7 Millionen Anfragen pro Sekunde [4]. Das ist kein BGP-Hijacking, und der Text von Google stellt es nicht als solches dar. Er zeigt, dass Datenverkehr unterwegs verändert und gegen einen Dienst gerichtet werden kann, was die Vorsicht der Beschäftigten gegenüber dem Netz rechtfertigt. ### September 2017: ein Denial-of-Service von 2,5 Tbps Google gibt an, im September 2017 einen Angriff von 2,5 Tbps abgefangen zu haben, den Höhepunkt einer sechsmonatigen Kampagne. Der Angreifer hatte mehrere Netze genutzt, um 167 Millionen Pakete pro Sekunde mit gefälschtem Absender an 180 000 offen erreichbare CLDAP-, DNS- und SNMP-Server zu schicken, die dann große Antworten an Google zurücksandten. Der Angriff hatte keine Auswirkungen [4]. Google meldete Tausende verwundbare Server ihren Netzanbietern und arbeitete mit ihnen daran, den Ursprung der gefälschten Pakete zurückzuverfolgen, damit sie gefiltert werden [4]. Der Fall veranschaulicht die Fälschung von IP-Adressen, die die Empfehlungen des NIST verhindern sollen [1]. Die Umleitungen des Google-Datenverkehrs im Jahr 2018 und der Vorfall mit YouTube und Pakistan Telecom von 2008 kommen in keiner der hier zitierten Quellen vor und werden deshalb hier nicht beschrieben. ## Quellen 1. NIST, „Resilient Interdomain Traffic Exchange: BGP Security and DDoS Mitigation“, 17. Dezember 2019. https://csrc.nist.gov/pubs/sp/800/189/final (abgerufen am 3. November 2026) 2. NIST, „Resilient Interdomain Traffic Exchange: BGP Security and DDos Mitigation“, 17. Dezember 2019. https://www.nist.gov/publications/resilient-interdomain-traffic-exchange-bgp-security-and-ddos-mitigation (abgerufen am 3. November 2026) 3. NIST, „Border Gateway Protocol Security“, 17. Juli 2007. https://csrc.nist.gov/pubs/sp/800/54/final (abgerufen am 3. November 2026) 4. Google, „Identifying and protecting against the largest DDoS attacks“, 17. Oktober 2020. https://cloud.google.com/blog/products/identity-security/identifying-and-protecting-against-the-largest-ddos-attacks (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/bgp-rpki-sicherheit-internet-routen/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.