Wem gehört das Internet? Eine Anfrage, Hop für Hop verfolgt

Wie das Internet funktioniert: Netzwerke, verbunden durch Verträge

Das Internet ist eine Menge getrennt betriebener Netzwerke, die vereinbart haben, Datenverkehr füreinander zu transportieren. Jedes davon ist ein autonomes System (AS): ein Netzwerk mit eigener Nummer und eigener Routing-Policy, das seinen Nachbarn über das Border Gateway Protocol (BGP) mitteilt, an welche Adressen es zustellen kann. Geoff Hustons jährliche Auswertung der Routing-Tabelle zählte Ende 2025 rund 77.900 davon in IPv4.

Ein AS kann eine nationale Telefongesellschaft sein, eine Universität, eine Bank, Google oder wir. Keines hat Weisungsbefugnis über ein anderes.

Zusammengehalten wird das System durch Verträge zwischen jeweils zwei Netzwerken. Ein Kunde bezahlt einen Provider dafür, alle anderen zu erreichen: Das ist Transit. Zwei Netzwerke tauschen den Datenverkehr ihrer eigenen Kunden aus, ohne einander etwas zu berechnen: Das ist Peering. Und Unternehmen vermieten einander die physischen Teile, die ein Netzwerk braucht, von der Rackfläche in einem Gebäude bis zu einer einzelnen Glasfaser unter einer Straße. Eine kurze Liste von Registries vergibt die Nummern und Namen, und die Eigentümer von allem anderen sind diejenigen, die Hop für Hop in einer einzigen Verbindung auftauchen.

Eine Anfrage von Ottawa nach Amsterdam

Am 19. Oktober 2026 haben wir einen Traceroute von unserem Hauptsitz in Ottawa zu dem Server ausgeführt, auf dem unser Looking Glass bei Digital Realty AMS3 in Amsterdam läuft, lg.drt-ams3.serverside.com. Jede Zeile ist ein Router, der unterwegs geantwortet hat. Name und AS-Nummer zeigen, wem er gehört, und die Zeit ist die Round-Trip-Zeit in Millisekunden vom Büro zu diesem Router und zurück.

Hop  Host                                   Address          ASN        ms
  1  -                                      192.0.2.1        -          <1
  2  -                                      192.0.2.1        -          <1
  3  -                                      192.0.2.1        AS577       2
  4  *                                      *                            *
  5  *                                      *                            *
  6  -                                      192.0.2.1        -          13
  7  *                                      *                            *
  8  -                                      142.124.127.122  AS577      15
  9  *                                      *                            *
 10  -                                      64.230.79.89     AS577      12
 11  ae4-43-xcr2.nyk.cw.net                 195.2.17.49      AS1273     12
 12  ae3-xcr1.slo.cw.net                    195.2.28.170     AS1273     88
 13  be42-scr1.amq.cw.net                   195.2.3.117      AS1273     88
 14  be2-scr1.adr.cw.net                    195.2.23.214     AS1273     87
 15  -                                      217.161.90.225   AS1273    100
 16  1.edge.core.drt-ams3.serverside.com    198.73.56.1      AS55285    85
 17  1.spine.core.drt-ams3.serverside.com   198.73.56.47     AS55285    85
 18  access.r01b03.drt-ams3.serverside.com  198.73.56.241    AS55285    84
 19  hosted-by.serverside.com               198.73.56.243    AS55285    85

Unser Büro-Router, Bells Modem, Bells erster Router auf der Leitung und eine private Adresse innerhalb von Bells Netzwerk sind durch eine Dokumentationsadresse ersetzt. Alle anderen Zeilen sind so, wie wir sie aufgezeichnet haben. Hop 15 antwortet langsamer als die Hops danach, weil Router Traceroute-Pakete mit niedriger Priorität beantworten; der Datenverkehr, den sie weiterleiten, wird dadurch nicht aufgehalten.

Jeder Wechsel der AS-Nummer in dieser Aufzeichnung ist ein Vertrag zwischen zwei Unternehmen. Ein Traceroute kann Transit nicht von Peering unterscheiden, weil die Konditionen privat sind, aber er zeigt, dass kein Hop einer Organisation gehört, die über den anderen steht.

BGP-Daten vom selben Tag nennen ein Netzwerk, das der Traceroute nicht erfasst hat. In den Route-Collectors von RIPE lautete Bells Route zu uns 577 1273 24785 55285: Vodafone übergab den Datenverkehr an Joint Transit (AS24785), einen unserer Upstreams, und kein Router im Traceroute antwortete von einer Adresse von Joint Transit.

Die Antwort muss nicht denselben Weg zurücknehmen. Jedes Netzwerk wählt den Ausgang für seinen ausgehenden Datenverkehr nach seinen eigenen Verträgen, daher bestimmen wir und die Netzwerke nach uns die Route von Amsterdam zurück nach Ottawa, nicht der ISP, der die Route hin gewählt hat. Unser Looking Glass führt Traceroutes von AMS3 und unseren anderen Standorten aus, damit Sie den Rückweg zu Ihrem eigenen Netzwerk verfolgen können.

Das Zugangsnetz, für das Sie bezahlen

Mit der monatlichen Internetrechnung kaufen Sie eine einzige Sache: eine Verbindung zum Netzwerk des ISP. In unserer Aufzeichnung ist das Bell Canada (AS577), dem die Geräte in den Hops 2 bis 10 gehören und in der Regel auch das Kabel oder die Glasfaser bis in die Straße. Hinter seiner eigenen Netzgrenze bezahlt der ISP entweder ein anderes Netzwerk für den Transport des Datenverkehrs oder tauscht Datenverkehr mit ihm aus. Die Bell-Leitung unseres Büros hat keinen Vertrag mit irgendjemandem weiter hinten auf dem Pfad, unser eigenes Netzwerk eingeschlossen: Die Anfrage erreichte AS55285 nur, weil Vodafone und Joint Transit vereinbart hatten, sie zu transportieren.

Transit und die Tier-1-Netzwerke

Transit ist die Dienstleistung, das gesamte Internet über das Netzwerk eines anderen zu erreichen. Der Kunde gibt seine Adressen per BGP an den Provider bekannt, und der Provider gibt im Gegenzug Routen zu jedem anderen Netzwerk bekannt, das er erreichen kann, also zu allen. Wir bezahlen unsere Tier-1-Provider nach dem 95. Perzentil: Der Datenverkehr des Monats wird in kurzen Intervallen gemessen, meist je fünf Minuten, die verkehrsreichsten 5 % der Messwerte werden verworfen, und der höchste verbleibende Wert bestimmt die Rechnung. Wir verkaufen selbst Transit über unsere Netzwerkdienste, und wir kaufen ihn ein.

AS55285 kauft Transit direkt bei Tier-1-Netzwerken wie Arelion (AS1299) und Cogent (AS174) sowie über den Transit-Service von NL-ix, der auf zwei Netzwerken läuft, die auf das niederländische Unternehmen Broadband Hosting registriert sind: Joint Transit (AS24785) für Full Transit und Open Peering (AS20562) für Peering-Routen. Joint Transit ist seinerseits Transit-Kunde. Die Seite zu den BGP-Communities von NL-ix nennt als Upstreams Orange (AS5511), Liberty Global (AS6830), Vodafone (AS1273), Arelion und Telxius (AS12956), sodass unser Datenverkehr diese Netzwerke über einen Provider erreicht, der sie bezahlt, ohne dass wir selbst einen Vertrag mit ihnen haben. Wer bei mehr als einem Provider kauft, hat bei einer Störung oder einem Streit mit einem von ihnen noch einen anderen Pfad.

An der Spitze der Kette stehen Netzwerke, die von niemandem Transit kaufen. Ein Tier-1-Netzwerk erreicht jedes andere Netzwerk über seine eigenen Kunden und über Settlement-free Peering mit den anderen Tier-1-Netzwerken. Lumen (AS3356), NTT (AS2914), Arelion und Cogent sind vier der Netzwerke, die üblicherweise genannt werden. Keine Aufsichtsbehörde zertifiziert den Titel: Er ist eine Aussage über Verträge, die die Netzwerke unter Verschluss halten, und deshalb weichen veröffentlichte Listen der Tier-1-Netzwerke an den Rändern voneinander ab.

Wenn sich zwei große Netzwerke nicht einigen, wird das Ergebnis öffentlich. Hurricane Electric (AS6939) und Cogent haben keine IPv6-Routen direkt ausgetauscht, und Betreiber diskutieren die Lücke auf der NANOG-Mailingliste seit mindestens Oktober 2009. 2012 beschrieb Andrew Ayer Verbindungen zu Dual-Homed-Hosts im Netzwerk von Cogent, deren Aufbau so lange dauerte, dass er die betroffenen IPv6-Routen auf seinem eigenen Rechner blockierte. Am 19. Oktober 2026 bestand die Lücke weiterhin: Das Looking Glass von Hurricane Electric hatte von keinem seiner Router in Fremont, New York oder Amsterdam eine Route zu Cogents IPv6-Block 2001:550::/32. Für alle, die nur mit einem der beiden verbunden sind, fehlt ein Teil des IPv6-Internets. Niemand kann die beiden anweisen, sich zu verbinden, und darin liegt in der Praxis die Bedeutung des Satzes, dass niemand das Internet besitzt.

Peering und Internetknoten (IXPs)

Peering ist der andere Vertrag. Zwei Netzwerke tauschen Datenverkehr zwischen ihren eigenen Kunden aus und berechnen einander nichts dafür, weil jedes von ihnen den Transit spart, den es sonst bezahlen würde. Ein Peer liefert nur an seine eigenen Nutzer aus; er verkauft seinen Transit nicht an das Netzwerk weiter, mit dem er peert.

Zwei Netzwerke können über ein privates Kabel zwischen ihren Routern peeren, doch ein großer Teil des Peerings findet an einem Internetknoten (Internet Exchange Point, IXP) statt, einer Switching-Plattform in einem Rechenzentrum. Jedes Mitglied schließt einen Port an und kann über diesen einen Port mit jedem anderen Mitglied peeren. Die meisten Internetknoten betreiben außerdem Route-Server, sodass ein Mitglied über eine einzige BGP-Session mit allen peeren kann, die sie nutzen, statt über Hunderte. Gebühren fallen, wenn überhaupt, für den Port an, nicht für den Datenverkehr, der darüber läuft.

Wir sind an sechs Internetknoten angebunden, alle in Amsterdam: NL-ix, Frys-IX, 1-NL, LSIX, Speed-IX und INTERIX. Unsere Policy auf PeeringDB ist offen, das heißt, wir peeren mit jedem Netzwerk, das anfragt, und bgp.tools führte am 19. Oktober 2026 insgesamt 944 mit AS55285 verbundene Netzwerke auf: 932 Peers sowie unsere Upstreams und Kunden.

Gebäude, Cross-Connects und Dark Fiber

Unsere Server, Switches und Router gehören uns. Die Gebäude, in denen sie stehen, gehören uns nicht. AMS3 gehört Digital Realty, FR5 in Frankfurt Equinix und DFW1 in Dallas DataBank; unsere Londoner Server stehen in Telehouse West, und unsere Server in Chicago stehen im Gebäude von Netrality in der 717 South Wells. Wir mieten Racks bei diesen Betreibern und bezahlen ihnen den Strom, den die Racks verbrauchen.

Innerhalb eines Gebäudes treffen sich zwei Netzwerke über einen Cross-Connect: eine Glasfaser, die der Gebäudebetreiber vom Rack eines Kunden zu dem eines anderen verlegt, meist über einen gemeinsamen Meet-Me-Room, und die er jeden Monat in Rechnung stellt, solange sie liegt. Jeder Port an einem Internetknoten und jede private Peering-Session beginnt mit einem Cross-Connect.

Zwischen Gebäuden gehört auch die Glasfaser im Boden jemandem. In Chicago erreichen unsere Server in der 717 South Wells das Gebäude 350 East Cermak von Digital Realty, das zentrale Carrier-Hotel der Stadt, über Dark Fiber von Zayo: Fasern, die wir unbeschaltet mieten und mit eigenen Optiken beschalten. Den Großteil unserer Anbindungen in Chicago nehmen wir im Meet-Me-Room dieses Gebäudes ab.

Unterseekabel über den Atlantik

Der Pfad von Ottawa nach Amsterdam überquert den Atlantik, ein Abschnitt verläuft also durch ein Unterseekabel. TeleGeography erfasst 2026 mehr als 600 aktive und geplante Unterseekabel, mit über 1,5 Millionen Kilometern in Betrieb, Stand Anfang 2026. Die meisten davon haben Carrier in Konsortien gebaut und dabei Kosten und Kapazität aufgeteilt, und Content-Anbieter wie Google, Meta, Microsoft und Amazon gehören heute zu den großen Investoren in neue Kabel. Laut TeleGeography haben private Netzbetreiber in jüngster Zeit außerdem mehr Kapazität in Betrieb genommen als die Betreiber des Internet-Backbones.

Ein Traceroute nennt das Kabel nicht. Er zeigt einen Sprung in der Round-Trip-Zeit zwischen einem Router auf der einen Seite des Ozeans und einem Router auf der anderen: in unserer Aufzeichnung von 12 ms bei Vodafones ae4-43-xcr2.nyk.cw.net auf 88 ms bei ae3-xcr1.slo.cw.net, dem nächsten Router auf dem Weg. Vodafone (AS1273) hat das Paket hinübertransportiert, auf eigenen Fasern im Kabel oder auf gemieteter Kapazität. Wir bezahlen Vodafone nicht. Wir bezahlen Joint Transit, und Joint Transit kauft Transit bei Vodafone.

IP-Adressen, AS-Nummern und Domains: koordiniert statt besessen

Zwei Dinge, die jedes Netzwerk braucht, kommen von Registries statt von einem Lieferanten: seine IP-Adressen und seine AS-Nummer sowie die Domainnamen, die seine Nutzer eintippen.

Adressen gehen von der Internet Assigned Numbers Authority (IANA) aus, die ICANN über eine verbundene Gesellschaft betreibt, Public Technical Identifiers. IANA vergibt große Blöcke an fünf regionale Internet-Registries: AFRINIC, APNIC, ARIN, LACNIC und das RIPE NCC. IANA arbeitete bis zum 1. Oktober 2016 unter einem Vertrag mit dem US-Handelsministerium; an diesem Tag lief der Vertrag aus, und die Aufsicht ging an die Community von ICANN über.

AS55285 ist bei ARIN registriert, der Registry für Kanada, die Vereinigten Staaten und Teile der Karibik. Die Registrierung ist eine Mitgliedschaft mit einer Jahresgebühr, die sich danach richtet, wie viel Adressraum oder wie viele AS-Nummern eine Organisation hält: ARINs Gebührenordnung 2026 reicht von 275 US-Dollar pro Jahr für ein IPv4-/24 oder kleiner bis zu 282.240 US-Dollar für die größten Inhaber. In Europa berechnet das RIPE NCC für 2026 pro LIR-Konto 1.800 €, zuzüglich 50 € je AS-Nummer (RIPE-848). Den Registry-Eintrag prüfen andere Netzwerke, bevor sie unsere Route-Announcements akzeptieren.

Domainnamen sind genauso aufgebaut. Die DNS-Root-Zone, die Liste aller Top-Level-Domains, wird von IANA veröffentlicht und von 13 Root-Server-Identitäten ausgeliefert, die mit den Buchstaben A bis M bezeichnet sind und von 12 unabhängigen Organisationen betrieben werden (root-servers.org). Jede Identität antwortet von vielen Standorten aus, die sich eine Adresse teilen. Verisign betreibt zwei davon, A und J, und führt die .com-Registry unter seinem Vertrag mit ICANN; ein Registrar, der eine .com-Domain verkauft, verkauft also einen Eintrag in der Datenbank von Verisign.

Wer das Internet abschalten kann

Niemand kann das gesamte Internet abschalten, weil kein einzelnes Netzwerk den Datenverkehr aller anderen transportiert.

Eine Regierung kann die Zugangsnetze innerhalb ihrer Grenzen abschalten, indem sie die dortigen ISPs anweist, den Betrieb einzustellen, und viele tun das: Access Now und die Koalition #KeepItOn dokumentierten 2025 mindestens 313 Abschaltungen in 52 Ländern. Der Datenverkehr zwischen anderen Ländern fließt um sie herum weiter.

Ein Netzwerk kann sich auch selbst entfernen. Meta schreibt in seiner eigenen Darstellung, ein Befehl, der am 4. Oktober 2021 die Backbone-Kapazität von Facebook prüfen sollte, habe unbeabsichtigt alle Verbindungen im Backbone-Netzwerk des Unternehmens getrennt. Die DNS-Server von Facebook waren so gebaut, dass sie ihre BGP-Announcements zurückziehen, wenn sie den Kontakt zu den Rechenzentren von Facebook verlieren. Das taten sie, und alle anderen Netzwerke verloren die Routen zu Facebooks Nameservern. Diese anderen Netzwerke liefen weiter.

Wofür ein unabhängiges Netzwerk bezahlt

Aus unserer Sicht laufen diese Verträge auf eine Liste von Lieferanten und Rechnungen hinaus. Keine davon geht an jemanden, der über das Internet bestimmt.

Die Registries kommen einem Zentrum am nächsten, und sie finanzieren sich über Gebühren von Mitgliedern wie uns. Jedes andere Netzwerk im Internet funktioniert nach demselben Prinzip: Es besitzt seine Geräte, mietet, was es nicht selbst bauen kann, und schließt eigene Verträge mit seinen Nachbarn.

AS55285 selbst nachschlagen

PeeringDB listet unsere Internetknoten, Rechenzentren und Peering-Policy auf, bgp.tools unsere Upstreams und Peers, und das Looking Glass führt Traceroutes und BGP-Routenabfragen von unseren eigenen Routern an jedem Standort aus, damit Sie einen Pfad von unserem Netzwerk zu Ihrem verfolgen können. Die Netzwerkseite listet alle Standorte und Rechenzentren. Wenn Sie ein Netzwerk betreiben und peeren möchten: Unsere Policy ist offen. Wenn Sie Transit von uns beziehen möchten, finden Sie die Details unter Netzwerkdienste.