Cyberpediavon Brain
DEENFR

BGP und RPKI: die Routen des Internets absichern

BGP legt fest, wohin Netze den Datenverkehr senden. Seine Schwachstellen (Hijacking, Leaks) und der Schutz RPKI, erklärt für Beschäftigte.

In 30 Sekunden

Wo es passiert
Zwischen den Netzen, außerhalb des Blickfelds der Beschäftigten und des Unternehmens. Das NIST spricht von Anomalien in der Steuerungsebene des Routings, etwa dem Hijacking von BGP-Präfixen (prefix hijacking) und Route Leaks2.
Was es auslöst
Denial-of-Service, unerwünschte Umleitungen des Datenverkehrs und eine schlechtere Leistung2.
Der Schutz der Betreiber
RPKI, die BGP-Ursprungsvalidierung und die Präfixfilterung1.
Der Reflex
Fragen Sie Ihren Internet- oder Hosting-Anbieter, wie er seine Routen schützt, und verlassen Sie sich für die Vertraulichkeit nicht allein auf das Netz.

Worum es geht

Wenn Beschäftigte eine Website öffnen oder eine Nachricht senden, durchlaufen die Daten mehrere Netze, von denen das Unternehmen weder die Zahl noch die Betreiber kennt. Das Protokoll BGP (Border Gateway Protocol) wählt die Route zwischen diesen Netzen aus. Die US-Behörde NIST beschreibt es als Steuerungsprotokoll, das die Pfade zwischen den Zehntausenden autonomen Systemen, aus denen das Internet besteht, verteilt und berechnet1.

Diese Seite erklärt, was dieses Protokoll für Beschäftigte bedeutet, was Anomalien beim Routing auslösen können und welchen Schutz (RPKI) das NIST empfiehlt. Sie nennt auch, was die NIST-Quelle nicht sagt, damit nicht mehr versprochen wird, als belegt ist.

Direkte Fragen

Wozu dient BGP?

BGP verteilt und berechnet die Pfade zwischen den autonomen Systemen, aus denen das Internet besteht1. Beschäftigte greifen in diesen Mechanismus nie ein: Sie hängen von den Entscheidungen ihres Internetanbieters und der durchquerten Netze ab.

Worin besteht das Problem?

Das NIST stellt fest, dass in den letzten Jahren zahlreiche Anomalien in der Steuerungsebene des Routings, etwa das Hijacking von BGP-Präfixen und Route Leaks, zu Denial-of-Service, unerwünschten Umleitungen des Datenverkehrs und einer schlechteren Leistung geführt haben2.

Was bedeutet RPKI?

RPKI steht für Resource Public Key Infrastructure. Das NIST zählt sie, zusammen mit der BGP-Ursprungsvalidierung (BGP-OV) und der Präfixfilterung, zu den empfohlenen Technologien, um den Steuerungsverkehr des Routings zwischen Domänen abzusichern1. Die hier zitierten Quellen beschreiben ihre innere Funktionsweise nicht, deshalb tut es diese Seite auch nicht.

Können sich Beschäftigte vor einer Routenumleitung schützen?

Nicht direkt. Diese Schutzmaßnahmen werden bei den Betreibern eingesetzt. Beschäftigte und ihre Vorgesetzten können aber Fragen an ihre Anbieter richten, wie weiter unten erklärt.

Löst RPKI alles?

Die hier zitierten Quellen sagen dazu nichts. Das NIST stellt RPKI als eine empfohlene Technologie unter mehreren dar und ergänzt Maßnahmen gegen die Fälschung von IP-Adressen und gegen Denial-of-Service-Angriffe1. Eine ältere NIST-Veröffentlichung zu BGP warnte bereits, dass ihre Empfehlungen keine vollständige Verteidigung gegen alle Bedrohungen darstellten3.

1Wie es funktioniert1 min

Im Dezember 2019 veröffentlicht das NIST den Leitfaden SP 800-189 zum widerstandsfähigen Datenaustausch zwischen Domänen (RITE). Er gibt erste Hinweise, wie sich der Steuerungsverkehr des Routings schützen, die Fälschung von IP-Adressen verhindern und bestimmte Denial-of-Service-Angriffe erkennen und abschwächen lassen2. Er ersetzt die Veröffentlichung SP 800-54, die im Juli 2007 erschien und am 17. Dezember 2019 zurückgezogen wurde3.

Die Empfehlungen von 2019 enthalten zahlreiche Maßnahmen zu BGP. Für das Routing nennen sie RPKI, die BGP-Ursprungsvalidierung und die Präfixfilterung1. Gegen Denial-of-Service-Angriffe zielen sie zuerst auf die Fälschung von IP-Adressen, mit der Validierung der Quelladresse (SAV) über Zugriffskontrolllisten und uRPF (unicast Reverse Path Forwarding). Sie nennen außerdem Black-Hole-Filterung mit Fernauslösung (RTBH), Flowspec und die Begrenzung der Antwortrate (RRL)1.

Der Text von 2007 erklärte bereits, was BGP ist und warum es für das Internet wichtig ist, und schlug bewährte Verfahren vor, die auf fast alle damals verfügbaren BGP-Router anwendbar waren. Er hielt fest, dass die vorgeschlagenen verbesserten Protokolle im Allgemeinen wesentliche Änderungen am Protokoll erforderten und mit bestehenden Implementierungen möglicherweise nicht funktionierten3.

2Was Sie tun1 min

Die Quellen richten sich nicht an Beschäftigte: Das Folgende überträgt ihre Feststellungen auf den Alltag, ohne zu behaupten, dass sie es vorschreiben.

  • IT- oder Einkaufsverantwortliche: Fragen Sie den Internet- oder Hosting-Anbieter, ob er die BGP-Ursprungsvalidierung, RPKI und die Präfixfilterung einsetzt, die das NIST den Betreibern empfiehlt1.
  • IT-Verantwortliche: Bitten Sie den Anbieter außerdem zu prüfen, dass die Quelladressen der von ihm gesendeten Pakete echt sind. Das fällt unter die vom NIST empfohlene Validierung der Quelladresse1.
  • Unternehmen, die von krimineller Aktivität betroffen sind: Melden Sie sie, bitten Sie Ihre Netzanbieter, den Ursprung des gefälschten Datenverkehrs zurückzuverfolgen, und teilen Sie die Information mit der Community, rät Google4.
  • Beschäftigte: Behandeln Sie das Netz als Gelände, das Sie nicht kontrollieren. Die Fälle unten zeigen, dass der Datenverkehr über Netze läuft, die niemand von Anfang bis Ende kontrolliert. Deshalb sollte man ihm die Vertraulichkeit des Austauschs nicht allein anvertrauen.
3Die Fallstricke1 min

Der erste ist der Glaube, das Unternehmensnetz sei ein geschlossener Kreislauf. Der Datenverkehr läuft über Netze Dritter, außerhalb der Kontrolle des Unternehmens.

Der zweite Fallstrick ist die Annahme, ein Schutz beim Routing genüge. Das NIST ordnet ihn in ein Bündel von Maßnahmen ein, zu dem auch der Schutz vor gefälschten Adressen und die Filterung gegen Denial-of-Service gehören1.

Der dritte ist, die verschiedenen Netzvorfälle zu verwechseln. Ein Denial-of-Service-Angriff überflutet sein Ziel mit nutzlosem Datenverkehr. Laut Google legt er keine Daten der Nutzer offen und führt nicht zu einer Kompromittierung, kann aber einen Ausfall und einen Vertrauensverlust verursachen, wenn er nicht rasch abgeschwächt wird4.

4Reale Fälle1 min

März 2014: YouTube von Browsern überflutet

Laut Google brachte im März 2014 bösartiges JavaScript, das durch einen Man-in-the-Middle-Angriff auf das Netz in Tausende Websites eingeschleust wurde, Hunderttausende Browser dazu, YouTube mit Anfragen zu überfluten, bis zu einer Spitze von 2,7 Millionen Anfragen pro Sekunde4. Das ist kein BGP-Hijacking, und der Text von Google stellt es nicht als solches dar. Er zeigt, dass Datenverkehr unterwegs verändert und gegen einen Dienst gerichtet werden kann, was die Vorsicht der Beschäftigten gegenüber dem Netz rechtfertigt.

September 2017: ein Denial-of-Service von 2,5 Tbps

Google gibt an, im September 2017 einen Angriff von 2,5 Tbps abgefangen zu haben, den Höhepunkt einer sechsmonatigen Kampagne. Der Angreifer hatte mehrere Netze genutzt, um 167 Millionen Pakete pro Sekunde mit gefälschtem Absender an 180 000 offen erreichbare CLDAP-, DNS- und SNMP-Server zu schicken, die dann große Antworten an Google zurücksandten. Der Angriff hatte keine Auswirkungen4. Google meldete Tausende verwundbare Server ihren Netzanbietern und arbeitete mit ihnen daran, den Ursprung der gefälschten Pakete zurückzuverfolgen, damit sie gefiltert werden4. Der Fall veranschaulicht die Fälschung von IP-Adressen, die die Empfehlungen des NIST verhindern sollen1.

Die Umleitungen des Google-Datenverkehrs im Jahr 2018 und der Vorfall mit YouTube und Pakistan Telecom von 2008 kommen in keiner der hier zitierten Quellen vor und werden deshalb hier nicht beschrieben.

Merkblatt

Kennung
CP-231
Flügel
3. Protokolle und Abwehr
Brain-Kompetenz
Sicher surfen (browse_safely)
Brain-Reflex
cr-059
Schema
G3 · Anatomischer Schnitt
Sprachen
de, en, fr
Quellen
4 Quellen geprüft am 3. November 2026
Quellen4 Quellen
  1. NIST, „Resilient Interdomain Traffic Exchange: BGP Security and DDoS Mitigation“, 17. Dezember 2019. https://csrc.nist.gov/pubs/sp/800/189/final (abgerufen am 3. November 2026)
  2. NIST, „Resilient Interdomain Traffic Exchange: BGP Security and DDos Mitigation“, 17. Dezember 2019. https://www.nist.gov/publications/resilient-interdomain-traffic-exchange-bgp-security-and-ddos-mitigation (abgerufen am 3. November 2026)
  3. NIST, „Border Gateway Protocol Security“, 17. Juli 2007. https://csrc.nist.gov/pubs/sp/800/54/final (abgerufen am 3. November 2026)
  4. Google, „Identifying and protecting against the largest DDoS attacks“, 17. Oktober 2020. https://cloud.google.com/blog/products/identity-security/identifying-and-protecting-against-the-largest-ddos-attacks (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „BGP und RPKI: die Routen des Internets absichern“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/bgp-rpki-sicherheit-internet-routen/

BibTeX 
@misc{brain_cp231_de_2026,
  author = {Brain},
  title = {BGP und RPKI: die Routen des Internets absichern},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/bgp-rpki-sicherheit-internet-routen/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0