65.536 Adressen, eine gefälschte Domain: das stille Risiko im Legacy-IPv4-Adressraum

1991 erhielt ein Ingenieurbüro in Akron, Ohio, den Block 147.50.0.0/16 – 65.536 Legacy-IPv4-Adressen, registriert in einer Zeit vor Verträgen, Gebühren und Regional Internet Registries. Zwanzig Jahre später bemerkte jemand, dass der Block ruhte.

Diese Person registrierte eine täuschend ähnliche Domain auf den Namen der Kontaktperson, die in dem zwanzig Jahre alten Eintrag stand. Am 12. Dezember 2011 überzeugte sie die Registry, die Kontakt-E-Mail auf eine Adresse unter ihrer Kontrolle zu ändern. Vier Tage später, am 16. Dezember, wurde das gesamte /16 von einem AS angekündigt, von dem der echte Inhaber nie gehört hatte. Bei der Registry fiel das niemandem auf. Spamhaus bemerkte es 2012, nachdem aus dem Bereich Spam zu fließen begann.

Anti-Abuse-Ermittler dokumentieren dieses Muster seit über einem Jahrzehnt, und es funktioniert aus einem einzigen Grund weiter: Hinter Tausenden der ältesten Blöcke des Internets steht niemand mehr.

Was Legacy-IPv4-Blöcke sind – und warum sie sich anders verhalten

Legacy-IPv4-Blöcke sind Adressbereiche, die von InterNIC und seinen Vorgängern vergeben wurden, bevor es das RIR-System gab – ohne Vertrag, ohne Gebühren und weitgehend außerhalb der RIR-Regulierung.

ARIN übernahm bei seiner Gründung im Dezember 1997 den Großteil dieser Einträge und entschied damals, sie weiter zu registrieren, ohne von den ursprünglichen Inhabern eine Vereinbarung oder Gebühren zu verlangen. Das RIR-übergreifende ERX-Projekt, abgeschlossen im Februar 2005, verlagerte später die Einträge von Inhabern in anderen Regionen zu RIPE NCC, APNIC und LACNIC – Legacy-Adressraum existiert heute also in jeder Region, wobei die ARIN-Region mit Abstand den größten Anteil hält.

Drei Eigenschaften unterscheiden diese Blöcke. Sie wurden vergeben, als es keine Regeln gab, und ihr unabhängiger Status hat sie seitdem weitgehend außerhalb der Regulierung gehalten. Sie haben keinen Vertrag und keine Gebühren – sie können also nicht wegen Nichtzahlung verfallen und jahrzehntelang unberührt und vergessen bleiben. Und in Summe sind sie enorm.

Als im Februar 2011 die letzten verfügbaren IPv4-Blöcke an die RIRs übergeben wurden, machte das vor den RIRs vergebene Segment der „Central Registry“ noch rund 35 % des gesamten IPv4-Adressraums aus – etwa 1,5 Milliarden Adressen, das Äquivalent von rund 90 der insgesamt 256 /8-Blöcke, überwiegend an Organisationen in Nordamerika vergeben. Das ist der Adressraum, der heute als Legacy bezeichnet wird.

Bemerkenswert ist vor allem der Zustand der Registry-Daten in diesem Adressraum. Stand August 2026 sind rund 17.000 Legacy-Blöcke in ARIN Whois registriert, und etwa die Hälfte hat überhaupt keinen Point of Contact oder einen, den ARIN nie verifizieren konnte. Nur 11 % haben einen aktuell validierten Kontakteintrag. Weitere 20 % haben einen hinterlegten Kontakt, jedoch mit unvollständigen Angaben.

Zum Vergleich Organisationen, deren Ressourcen unter einer ARIN-Vereinbarung stehen: 76 % haben einen validierten Kontakt, keine hat unvollständige Kontaktdaten. Wie ARIN es formuliert, liegt der Unterschied nicht im Papierkram. Er liegt darin, dass tatsächlich jemand die Kontaktdaten prüft und aktualisiert.

Ein fehlender Kontakt beweist nicht, dass ein Block aufgegeben wurde – viele dieser Blöcke leisten im Stillen nützliche Arbeit. Gefährlich sind diejenigen, die sowohl in der Registry unverifiziert als auch in der Routing-Tabelle abwesend sind, denn genau nach dieser Kombination suchen Angreifer.

Wie IP-Hijacking funktioniert – und wie man es scheitern lässt

Das Vorgehen kennt zwei Wege.

Der erste übernimmt den Registry-Eintrag selbst: Die abgelaufene Domain hinter der Kontakt-E-Mail wird wiederbelebt oder der Name des nicht mehr existierenden Inhabers neu registriert, und genau die Nachrichten werden abgefangen, auf die die Wiederherstellungsprozesse der Registry angewiesen sind. So geschah es mit dem /16 aus Akron.

Der zweite umgeht die Registry vollständig – ein klassisches BGP-Hijacking: Ein gefälschter Letter of Authorization überzeugt einen Transit-Provider, den Block auf Grundlage von Unterlagen anzukündigen, die nur legitim aussehen.

Der erste Weg ist seit dem Fall von 2011 enger geworden, und es lohnt sich, genau zu wissen, wie sehr. Mitte 2025 setzte ARIN das E-Mail-basierte Verfahren zur Genehmigung von Point-of-Contact-Verknüpfungen aus und verlagerte mit dem Software-Release vom Januar 2026 die POC-Verknüpfung in einen vollständig authentifizierten, ticketbasierten Workflow innerhalb von ARIN Online. Keine Genehmigungs-E-Mails, keine Autorisierungs-URLs – Genehmigungen erfolgen jetzt in authentifizierten Konten, und jede Anfrage erzeugt ein sichtbares, nachvollziehbares Ticket.

Das schließt die automatisierte Variante des Angriffs von 2011. Doch lesen Sie die Ausnahmeklausel genau. Hat der Point of Contact überhaupt keine verknüpften Nutzer, geht das Ticket an das Registration Services Department von ARIN, das sich mit den Admin- oder Tech-Kontakten der Org ID abstimmt. Steht niemand im Eintrag – genau der Zustand, in dem sich die Hälfte der Legacy-Blöcke befindet –, fällt alles auf eine manuelle Prüfung zurück. Und der Weg über gefälschte LOAs bleibt davon völlig unberührt.

Die Registry ist also schwerer zu täuschen. Ein unbetreuter Eintrag nicht.

So verhindern Sie BGP-Hijacking eines Legacy-Blocks

Drei Gegenmaßnahmen. Keine davon ist teuer, und die erste ist kostenlos.

1. Validieren Sie Ihren Point of Contact. Nach Abschnitt 3.6 des Number Resource Policy Manual von ARIN erhält jeder registrierte Admin-, Tech-, NOC- und Abuse-Kontakt jährlich eine E-Mail mit der Bitte, die Angaben zu bestätigen. Sind die Daten korrekt, genügt ein Klick. Antwortet innerhalb von 60 Tagen niemand, wird der Eintrag als ungültig markiert – und dieser Status ist in der öffentlichen Datenbank sichtbar, genau das Signal, nach dem Hijacker suchen.

Hinterlegen Sie ein überwachtes Rollenkonto statt des Postfachs einer Einzelperson und sichern Sie das dahinterliegende Postfach ab. Und beachten Sie den Mythos, der damit fällt: Für die Aktualisierung Ihrer Registrierungsdaten ist kein ARIN Registration Services Agreement nötig. Eine Vereinbarung wird nur für Dienste relevant, die eine erfordern – RPKI, das IRR oder bestimmte Transferarten.

2. Stellen Sie die Ressourcen unter eine Vereinbarung. ARIN bot das Legacy Registration Services Agreement vom 11. Oktober 2007 bis zum 31. Dezember 2023 an; es steht neuen Unterzeichnern nicht mehr offen, und die Gebührenobergrenze für Legacy ist damit ausgelaufen. Heute bedeutet das ein Standard-RSA zu den regulären Gebühren des Registration Services Plan. Es ist Voraussetzung für den Zugang zu RPKI und IRR in der ARIN-Region – und damit das Tor zu Schritt drei.

3. Veröffentlichen Sie eine Route Origin Authorization. Eine signierte ROA lässt den Weg über gefälschte LOAs in jedem Netzwerk scheitern, das Route Origin Validation durchsetzt – egal wie überzeugend die Unterlagen sind.

Zwei Zahlen zeigen ehrlich, wie viel Schutz das bringt. Stand 26. August 2026 sind 67,22 % der IPv4-Präfixe in der globalen Routing-Tabelle durch eine ROA abgedeckt – in der ARIN-Region sind es jedoch nur 51,73 %, der niedrigste Wert aller RIRs, gegenüber 75,14 % bei RIPE NCC und 76,11 % bei APNIC. Die Region mit dem meisten Legacy-Adressraum signiert am wenigsten davon.

Und Abdeckung ist keine Durchsetzung. Eine Langzeitstudie über mehr als 28.000 AS ergab, dass 36,2 % Route Origin Validation überhaupt nicht implementieren und nur 12,3 % vollständigen Schutz erreichen. Die gute Nachricht ist, wo sich die Durchsetzung konzentriert: Die großen Transit-Netzwerke – Lumen, Arelion, GTT, NTT, TATA, PCCW, Orange, AT&T und andere – filtern über 95 % der RPKI-ungültigen Präfixe. Ein Hijacker braucht jemanden, der die Route transportiert. Eine ROA sorgt dafür, dass die größten Carrier ablehnen.

Die geschäftliche Dimension: gekapert, um verkauft zu werden

Die auffälligsten Fälle haben gar nichts mit Spam zu tun.

Im Mai 2024 veröffentlichte Spamhaus eine Untersuchung zu einer 30 Jahre alten Legacy-Domain, die wiederbelebt und genutzt worden war, um gekaperten IP-Blöcken Konnektivität bereitzustellen. Zu den betroffenen Bereichen gehörten /16 echter, weiterhin aktiver Unternehmen, und die beteiligten AS-Nummern führten zu einem im IP-Leasing tätigen Anbieter zurück – das Motiv ist damit ziemlich klar: Der Adressraum wurde übernommen, um ihn zu verleasen. Einer der betroffenen Inhaber, TransAlta, erlangte die volle Kontrolle über sein /16 zurück, indem er es über den RPKI-Dienst von ARIN absicherte. Das ist die oben beschriebene Gegenmaßnahme – wirksam, in einem dokumentierten Fall.

Die Wirtschaftlichkeit erklärt den Aufwand. Eine für ein paar tausend Dollar gekaufte abgelaufene Domain kann die faktische Kontrolle über Adressraum im siebenstelligen Wert verschaffen. Und das rechtliche Risiko auf der anderen Seite dieses Geschäfts ist inzwischen belegt: Im Fall Micfo wies die Staatsanwaltschaft ein Vorgehen nach, mit dem Rechte an rund 757.760 IP-Adressen mit einem Marktwert zwischen $9.85 Millionen und $14.4 Millionen erlangt wurden, und im September 2023 verurteilte ein Bundesrichter den CEO des Unternehmens zu fünf Jahren Haft. Das Justizministerium stellte fest, dass er mit dem Verkauf dieser Rechte am Sekundärmarkt über $3 Millionen eingenommen hatte, bevor das Vorgehen aufflog. Adressbetrug wird als Wire Fraud verfolgt und zieht reale Haftstrafen nach sich.

Das betrifft mehr als einzelne Inhaber, denn Legacy-Adressraum kommt nach Jahrzehnten der Ruhe wieder in Bewegung – in Transfers, ins IPv4-Leasing und in Routing-Tabellen. Jeder gekaperte Block verschlechtert die Registry-Daten, auf die sich Käufer und Betreiber bei der Due Diligence verlassen, vergiftet die IP-Reputations-Feeds, mit denen Traffic gefiltert wird, und hinterlässt dem späteren legitimen Verwalter des Blocks eine beschädigte Reputation. Wenn Kriminelle IPv4-Adressen verkaufen, die ihnen nie gehörten, und sie neben legitimen Beständen am offenen Markt anbieten, wird die Due Diligence für alle teurer.

Ein ruhender Legacy-Eintrag ist ein Risiko für die gemeinsame Infrastruktur.

Beginnen Sie mit dem Schritt, der nichts kostet

Wenn Sie Legacy-Adressraum halten, melden Sie sich an und bestätigen Sie, dass der Kontakt real ist und überwacht wird. Das dauert Minuten, kostet nichts, erfordert keine Vereinbarung und schließt den ältesten Angriffsweg aus diesem Artikel.

Finden Sie dann heraus, was der Block tatsächlich für Sie wert ist. Diese Tausenden stillen Einträge sind eine Chance, kein Urteil – die meisten brauchen nur jemanden, der antwortet.

So viel könnte Ihr Block einbringen →

Häufig gestellte Fragen

Was sind Legacy-IPv4-Adressen?

Legacy-IPv4-Adressen sind Blöcke, die von InterNIC und seinen Vorgänger-Registries vergeben wurden, bevor das System der Regional Internet Registries existierte. Sie haben keine Registrierungsvereinbarung und keine Jahresgebühren, können nicht wegen Nichtzahlung entzogen werden und liegen weitgehend außerhalb der RIR-Regulierung. Sie machen rund 35 % des gesamten IPv4-Adressraums aus, und die meisten wurden an Organisationen in Nordamerika vergeben.

Kann ein Legacy-IP-Block gekapert werden?

Ja, und Legacy-Blöcke sind das bevorzugte Ziel. Angreifer suchen nach Einträgen, die in der Registry unverifiziert und in der Routing-Tabelle abwesend sind. Entweder übernehmen sie den Registry-Eintrag – indem sie die abgelaufene Domain hinter der Kontakt-E-Mail wiederbeleben oder den Namen eines nicht mehr existierenden Inhabers neu registrieren – oder sie umgehen die Registry mit einem gefälschten Letter of Authorization an einen Transit-Provider. Rund die Hälfte der etwa 17.000 Legacy-Blöcke bei ARIN hat keinen verifizierten Kontakt.

Wie schütze ich einen Legacy-IPv4-Block?

In drei Schritten. Validieren Sie Ihren Point of Contact über die jährliche Validierung von ARIN – kostenfrei, mit einem Klick und ohne Vereinbarung. Hinterlegen Sie dafür ein überwachtes Rollenkonto statt des Postfachs einer Einzelperson. Stellen Sie die Ressourcen dann unter ein Registration Services Agreement und veröffentlichen Sie eine Route Origin Authorization, damit Netzwerke mit Route Origin Validation nicht autorisierte Ankündigungen Ihres Blocks verwerfen – unabhängig von den Unterlagen dahinter.

Kann man Legacy-IPv4-Adressraum leasen oder verkaufen?

Ja. Legacy-Blöcke lassen sich wie jede andere IPv4-Ressource transferieren oder leasen, und Legacy-Adressraum kehrt nach Jahrzehnten der Ruhe in den Markt zurück. Saubere Registry-Daten sind in der Praxis Voraussetzung: Käufer und Mieter führen ihre Due Diligence anhand von Whois durch, und ein Eintrag ohne verifizierten Kontakt verzögert oder blockiert die Transaktion. Die Validierung Ihres Kontakts ist der erste Schritt zur Monetarisierung des Blocks, keine separate Pflichtübung.