Was ist ein Internet Exchange Point (IXP)?
Ein Internet Exchange Point (IXP) verbindet mehr als zwei unabhängige autonome Systeme primär zum Austausch von Internet-Datenverkehr. Er dient nur dieser Zusammenschaltung, setzt keinen Transit über ein drittes autonomes System voraus und verändert oder beeinträchtigt den Verkehr nicht.
Der Normwortlaut
„Internet Exchange Point“ oder „IXP“ eine Infrastruktur, die a) die Zusammenschaltung von mehr als zwei unabhängigen autonomen Systemen ermöglicht, die in erster Linie zum Austausch von Internet-Datenverkehr genutzt wird, b) nur der Zusammenschaltung autonomer Systeme dient und c) nicht voraussetzt, dass aa) der Internet-Datenverkehr zwischen zwei beliebigen teilnehmenden autonomen Systemen über ein drittes autonomes System läuft oder bb) den betreffenden Datenverkehr verändert oder diesen anderweitig beeinträchtigt;
Quelle des unveränderten Ausschnitts: § 2 Nummer 20 Buchstaben a bis c einschließlich Doppelbuchstaben aa und bb BSIG. Die Merkmale gelten kumulativ; die technischen Negativmerkmale sind Bestandteile der Definition und keine Ausnahmen.
Für wen ist der Begriff regulatorisch relevant?
Normative Einordnung: Anlage 1 Nummer 6.1.1 BSIG ordnet Betreiber von IXPs dem Sektor digitale Infrastruktur zu. Adressat ist die natürliche oder juristische Person beziehungsweise die erfasste Organisationseinheit, die den IXP betreibt – nicht jedes angeschlossene autonome System.
Die Anlagenposition allein macht den Betreiber noch nicht zu einer besonders wichtigen oder wichtigen Einrichtung. Dafür müssen die Voraussetzungen des § 28 BSIG erfüllt sein.
Wann gelten die Pflichten für besonders wichtige oder wichtige Einrichtungen?
Gesetzliche Voraussetzungen: Entscheidend sind die Einrichtungsart, das entgeltliche Angebot von Waren oder Dienstleistungen an andere natürliche oder juristische Personen und ein Tatbestand des § 28 Absatz 1 oder 2 BSIG. Die bloße technische IXP-Eigenschaft löst diese Pflichten nicht aus.
Die Größenbestimmung richtet sich grundsätzlich nach § 28 Absatz 3 BSIG und der dort in Bezug genommenen Empfehlung 2003/361/EG; für rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft gilt die gesetzliche Besonderheit. Nach § 28 Absatz 4 können Geschäftstätigkeiten unberücksichtigt bleiben, wenn sie im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind. Einrichtungen der Bundesverwaltung sind nach § 28 Absatz 1 Satz 2 und Absatz 2 Satz 2 ausgenommen, vorbehaltlich der dort geregelten Ausnahme für Betreiber kritischer Anlagen.
Welche Schwellen und Fristen können gelten?
Für „besonders wichtig“ nennt § 28 BSIG mindestens 250 Mitarbeiter oder einen Jahresumsatz von mehr als 50 Millionen Euro und zugleich eine Jahresbilanzsumme von mehr als 43 Millionen Euro. Für „wichtig“ gelten mindestens 50 Mitarbeiter oder ein Jahresumsatz und eine Jahresbilanzsumme von jeweils mehr als 10 Millionen Euro. Die genaue Zuordnung bleibt von den weiteren gesetzlichen Voraussetzungen abhängig.
Der IXP-Begriff selbst enthält keine Betriebsfrist. Gilt ein Betreiber erstmals oder erneut als besonders wichtige oder wichtige Einrichtung, muss er sich nach § 33 Absatz 1 BSIG spätestens drei Monate nach Eintritt dieser Eigenschaft registrieren. Änderungen der von § 33 Absatz 5 erfassten Registrierungsangaben sind unverzüglich, spätestens zwei Wochen nach Kenntnis, zu melden.
Wie funktioniert ein IXP technisch?
Autoritative technische Einordnung: Die ZwiBACK-Studie des BSI, Abschnitt 3.5.1, beschreibt als typischen Kern eine Layer-2-Switch-Plattform. Teilnehmende Provider können darüber Daten und Routing-Informationen direkt austauschen. Route Server können den multilateralen Austausch von Routing-Informationen erleichtern; privates Peering kann ohne Route Server stattfinden. Diese Ausgestaltung ist typisch, aber kein zusätzliches gesetzliches Definitionsmerkmal. Auch „regional“ ist kein Merkmal des § 2 Nummer 20 BSIG.
Welche Abgrenzungen und Spezialregeln gelten?
Ein Rechenzentrum, CDN, Internetzugangsanbieter, Backbone oder eine einzelne Peeringverbindung ist nicht allein wegen dieser Eigenschaft ein IXP. Fehlt eines der kumulativen Merkmale des § 2 Nummer 20 BSIG, liegt kein IXP im gesetzlichen Sinn vor.
Spezialregeln: Nach Artikel 2 Absatz 7 der NIS-2-Richtlinie gilt die Richtlinie nicht für Einrichtungen der öffentlichen Verwaltung, die Tätigkeiten in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung ausüben. Nach Absatz 8 können Mitgliedstaaten bestimmte Einrichtungen, die solche Tätigkeiten ausüben, oder Einrichtungen, die ausschließlich Dienste für die in Absatz 7 genannten öffentlichen Verwaltungseinrichtungen erbringen, in dem dort festgelegten Umfang von Richtlinienpflichten ausnehmen. Die Absätze 7 und 8 gelten nach Absatz 9 nicht für Einrichtungen, soweit sie als Vertrauensdiensteanbieter auftreten. Diese bereichsbezogenen Begrenzungen betreffen nur die jeweils erfassten Tätigkeiten oder Dienste und ändern die IXP-Definition nicht. Das Bundesministerium des Innern kann bei Vorliegen der gesetzlichen Voraussetzungen des § 37 BSIG, insbesondere gleichwertiger Vorgaben, durch Bescheid teilweise oder vollständig befreien. Der Bescheid wirkt nur im jeweiligen Anwendungsfall; § 37 Absatz 4 schließt Vertrauensdiensteanbieter davon aus.
Häufige Fehlannahmen
- „Jeder Peering-Link ist ein IXP.“ Nein. Der gesetzliche Begriff verlangt die Zusammenschaltung von mehr als zwei unabhängigen autonomen Systemen und sämtliche weiteren Merkmale des § 2 Nummer 20 BSIG.
- „Jeder IXP-Betreiber unterliegt automatisch allen BSIG-Einrichtungspflichten.“ Nein. Zusätzlich müssen insbesondere das entgeltliche Angebot und ein Einordnungstatbestand des § 28 BSIG vorliegen.
- „Alle angeschlossenen Netzbetreiber sind wegen ihrer Teilnahme selbst IXP-Betreiber.“ Nein. Die Anlagenposition adressiert die Organisation, die den IXP betreibt.
- „Ein Route Server ist zwingend.“ Nein. Er kann multilateralen Routing-Austausch erleichtern; privates Peering kann ohne ihn erfolgen.
- „Die Drei-Monats-Frist beginnt mit der Inbetriebnahme des Knotens.“ Nein. Sie beginnt mit dem erstmaligen oder erneuten Eintritt der Eigenschaft als besonders wichtige oder wichtige Einrichtung.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden Schritte dienen der belastbaren Einordnung und Umsetzung; sie sind nicht unabhängig von den gesetzlichen Voraussetzungen als eigene Rechtspflichten zu verstehen.
- Dokumentieren, ob sämtliche Merkmale der IXP-Definition erfüllt sind und welche Organisation den Knoten betreibt.
- Entgeltliche Leistungserbringung, Mitarbeiterzahl, Jahresumsatz, Bilanzsumme, verbundene Unternehmen, mögliche vernachlässigbare Tätigkeiten und gesetzliche Ausnahmen nachvollziehbar prüfen.
- Bei Einordnung nach § 28 Verantwortlichkeiten für Registrierung, Änderungsmeldungen und belastbare Fristnachweise festlegen.
- Bei Betroffenheit die nach § 30 Absatz 1 BSIG zu ergreifenden Risikomanagementmaßnahmen organisatorisch verankern und deren Umsetzung dokumentieren.
- Die Pflichten der Geschäftsleitung aus § 38 Absätze 1 und 3 BSIG abbilden: Maßnahmen umsetzen und überwachen sowie regelmäßig an Schulungen teilnehmen. Das Gesetz nennt hierfür kein festes Schulungsintervall.
Für die Geschäftsleitung
Die Reichweite entscheidet sich nicht am technischen Etikett „IXP“ allein, sondern an der Betreiberorganisation und den Voraussetzungen des § 28 BSIG. Zentrale Entscheidung ist daher zunächst die dokumentierte Einordnung; bei Betroffenheit folgen Registrierung, Risikomanagement, Überwachung und regelmäßige Schulungen. Als Nachweis sollten Definitionsprüfung, Größen- und Ausnahmeprüfung, Zuständigkeiten, Fristenkontrolle, Maßnahmenstatus und Schulungsteilnahmen nachvollziehbar festgehalten werden.
