Domain-Datenschutz und Sicherheit

WHOIS-Datenschutz (auch Domain-Privatsphäre oder Proxy-Registrierung genannt) ersetzt Ihre persönlichen Kontaktdaten in der öffentlichen WHOIS-Datenbank durch die Angaben des Registrars oder eines Proxy-Dienstes. Dies verhindert, dass Ihr Name, Ihre E-Mail-Adresse, Ihre Anschrift und Ihre Telefonnummer öffentlich für Spammer, Betrüger und Datensammler sichtbar sind. Die meisten Registrare bieten dies seit Einführung der DSGVO inzwischen kostenlos an.

Domain-Hijacking liegt vor, wenn ein Angreifer durch Kompromittierung Ihres Registrar-Kontos oder Ausnutzung von Schwachstellen im Übertragungsprozess unbefugt die Kontrolle über Ihre Domain erlangt. Zum Schutz sollten Sie ein starkes, eindeutiges Passwort und eine Zwei-Faktor-Authentifizierung für Ihr Registrar-Konto nutzen, die Registrar-Sperre (auch Übertragungssperre genannt) aktivieren und Ihre Kontakt-E-Mail-Adresse absichern, damit Sie domainbezogene Warnungen erhalten.

Die Registrar-Sperre (auch Übertragungssperre oder EPP-Status 'clientTransferProhibited' genannt) verhindert, dass Ihre Domain ohne Ihre ausdrückliche vorherige Freigabe zu einem anderen Registrar übertragen wird. Es wird dringend empfohlen, diese Sperre jederzeit aktiviert zu lassen, außer wenn Sie aktiv eine Übertragung einleiten. Die meisten Registrare aktivieren sie standardmäßig.

Die Zwei-Faktor-Authentifizierung (2FA) fügt beim Login in Ihr Registrar-Konto einen zweiten Verifizierungsschritt hinzu — etwa einen Code aus einer Authenticator-App oder per SMS — zusätzlich zu Ihrem Passwort. Da Domains hochwertige Angriffsziele sind, gehört die Aktivierung von 2FA zu den wirksamsten Maßnahmen, um unbefugten Zugriff zu verhindern, selbst wenn Ihr Passwort kompromittiert wird. Nutzen Sie nach Möglichkeit eine Authenticator-App statt SMS für stärkere Sicherheit.

SSL/TLS (Secure Sockets Layer / Transport Layer Security) ist ein Protokoll, das den Traffic zwischen dem Browser eines Besuchers und Ihrem Webserver verschlüsselt, sichtbar an 'https://' und einem Schloss-Symbol. Es ist heute für alle Websites unverzichtbar — Browser kennzeichnen http://-Seiten als 'Nicht sicher', und Suchmaschinen bevorzugen HTTPS im Ranking. Kostenlose Zertifikate sind über Let's Encrypt erhältlich und werden von Hosting-Plattformen häufig automatisch bereitgestellt.

Die im Mai 2018 in Kraft getretene EU-Datenschutz-Grundverordnung (DSGVO) verlangt, dass personenbezogene Daten rechtmäßig und transparent erhoben und verarbeitet werden. Da die öffentliche WHOIS-Datenbank Namen, E-Mail-Adressen, Telefonnummern und Postanschriften von Registranten offenlegte, stand sie im direkten Widerspruch zu den Anforderungen der DSGVO. Infolgedessen schwärzen die meisten Registrare heute standardmäßig personenbezogene Kontaktdaten aus dem öffentlichen WHOIS und ersetzen sie durch anonymisierte oder Proxy-Angaben. Das RDAP-System der ICANN führt schrittweise gestaffelten Zugriff ein, damit berechtigte Parteien weiterhin Registrantendaten anfragen können.

Beim Doppelgänger-Domain-Betrug werden Domainnamen registriert, die legitimen Marken stark ähneln — etwa 'paypa1.com' (mit der Ziffer 1 statt des Buchstabens l) oder 'amazon-support.net' —, um Nutzer zur Eingabe von Zugangsdaten oder Zahlungsinformationen zu verleiten. Angreifer nutzen diese Domains für Phishing-E-Mails, gefälschte Login-Seiten und betrügerische Support-Websites. Marken können mit Diensten wie DomainTools oder Passive DNS auf Doppelgänger-Registrierungen achten und UDRP-Beschwerden oder Missbrauchsmeldungen einreichen, um sie stillzulegen.

Typosquatting ist eine Form des Cybersquattings, bei der ein Angreifer Domains registriert, die gängigen Tippfehlern oder Schreibfehlern bekannter Markennamen entsprechen — etwa 'gooogle.com' oder 'amazom.com'. Nutzer, die versehentlich die falsche URL eingeben, landen mitunter auf Seiten mit Werbung, Malware oder Phishing-Seiten. Marken schützen sich vor Typosquatting, indem sie die wahrscheinlichsten Tippfehler-Varianten selbst registrieren und UDRP-Beschwerden gegen böswillige Typosquatter einreichen.

Domain-Slamming ist eine irreführende Praxis, bei der ein Unternehmen einem Domaininhaber eine offiziell wirkende Mitteilung sendet — oft getarnt als Verlängerungsrechnung oder Ablaufwarnung —, um ihn ohne sein Wissen zur Übertragung seiner Domain an einen anderen (meist teureren) Registrar zu verleiten. Die Mitteilung wird typischerweise kurz nach der Registrierung per Post oder E-Mail versendet, wenn WHOIS-Daten noch öffentlich sind. Prüfen Sie jede domainbezogene Rechnung stets über die offizielle Website oder das Kontrollpanel Ihres Registrars, bevor Sie handeln.

DNS-Cache-Poisoning (auch DNS-Spoofing genannt) ist ein Angriff, bei dem ein böswilliger Resolver falsche DNS-Einträge in den Cache eines Caching-Resolvers einschleust und Nutzer so auf vom Angreifer kontrollierte Server umleitet. Der wichtigste Schutz ist DNSSEC, das DNS-Einträge kryptografisch signiert, sodass Resolver manipulierte Antworten erkennen können. Die Nutzung eines vertrauenswürdigen, DNSSEC-validierenden Resolvers (etwa Cloudflare 1.1.1.1 oder Google 8.8.8.8) sowie die Aktivierung von DNSSEC für die eigene Domain verringern das Risiko erheblich.

Eine Domain-Abschaltung ist der Prozess der Sperrung oder Entfernung einer Domain aus dem DNS — wodurch sie unerreichbar wird —, weil sie für böswillige Zwecke wie Phishing, Malware-Verbreitung oder Spam genutzt wird. Abschaltungen werden von Registraren, Registries oder Strafverfolgungsbehörden aufgrund von Missbrauchsmeldungen, Gerichtsbeschlüssen oder Durchsetzungsmaßnahmen der ICANN durchgeführt. Eine gesperrte Domain zeigt in der Regel eine NXDOMAIN-Antwort (nicht existent) oder wird zur forensischen Analyse auf einen Sinkhole-Server umgeleitet.

RDAP (Registration Data Access Protocol) ist der moderne, standardisierte Nachfolger des veralteten WHOIS-Protokolls. Anders als WHOIS, das unstrukturierten Klartext über Port 43 liefert, liefert RDAP strukturierte JSON-Antworten über HTTPS, wodurch es maschinenlesbar und programmatisch leichter auswertbar ist. RDAP unterstützt zudem gestaffelten Zugriff — abhängig davon, wer die Abfrage stellt, werden unterschiedliche Datenebenen zurückgegeben —, was für die DSGVO-Konformität wesentlich ist. Die ICANN hat vorgeschrieben, dass alle gTLD-Registries RDAP unterstützen müssen.

EPP-Statuscodes (Extensible Provisioning Protocol) sind von der Registry oder dem Registrar auf eine Domain angewendete Kennzeichnungen, die beschreiben, welche Vorgänge derzeit zulässig oder untersagt sind. Gängige Codes sind 'clientTransferProhibited' (vom Registrar aktivierte Übertragungssperre), 'clientDeleteProhibited' (Löschsperre), 'serverHold' (von der Registry gesperrte Domain) und 'pendingTransfer' (Übertragung läuft). Den aktuellen EPP-Status einer Domain können Sie per WHOIS- oder RDAP-Abfrage einsehen.

Sowohl serverHold als auch clientHold sind EPP-Statuscodes, die die DNS-Auflösung einer Domain aussetzen und sie damit unerreichbar machen. Der Unterschied liegt darin, wer die Sperre gesetzt hat: clientHold wird vom Registrar gesetzt (etwa bei fehlgeschlagener Zahlung oder gesperrtem Konto), während serverHold von der Registry gesetzt wird (etwa aufgrund einer Durchsetzungsmaßnahme der ICANN, einer Missbrauchsbeschwerde oder eines Rechtsstreits). Die Aufhebung von serverHold erfordert in der Regel Kontakt mit der Registry und die Klärung des zugrunde liegenden Problems.

SPF (Sender Policy Framework) ist ein DNS-TXT-Eintrag, der festlegt, welche Mailserver berechtigt sind, im Auftrag Ihrer Domain E-Mails zu versenden. Zum Einrichten fügen Sie einen TXT-Eintrag zum DNS Ihrer Domain hinzu: 'v=spf1 include:_spf.google.com ~all' (an Ihren E-Mail-Anbieter anpassen). Der Qualifier '~all' bedeutet, dass E-Mails von nicht autorisierten Servern als Soft-Fail markiert werden, während '-all' eine harte Ablehnung bewirkt. SPF allein reicht nicht aus — kombinieren Sie es mit DKIM und DMARC für vollständige E-Mail-Authentifizierung.

DKIM (DomainKeys Identified Mail) ist ein E-Mail-Authentifizierungsverfahren, das Public-Key-Kryptografie zum Signieren ausgehender Nachrichten nutzt. Ihr E-Mail-Server versieht jede Nachricht mit einer digitalen Signatur unter Verwendung eines privaten Schlüssels, während der zugehörige öffentliche Schlüssel in einem DNS-TXT-Eintrag veröffentlicht wird (z. B. 'selector._domainkey.example.com'). Empfangende Mailserver prüfen die Signatur gegen den öffentlichen Schlüssel, um zu bestätigen, dass die Nachricht während der Übertragung nicht verändert wurde und tatsächlich von Ihrer Domain stammt. DKIM ist Voraussetzung für eine wirksame DMARC-Durchsetzung.

DMARC (Domain-based Message Authentication, Reporting & Conformance) ist ein E-Mail-Richtlinienprotokoll, das auf SPF und DKIM aufbaut. Es teilt empfangenden Mailservern mit, wie bei einer Nachricht zu verfahren ist, die die Authentifizierungsprüfung nicht besteht — Optionen sind 'none' (überwachen), 'quarantine' (in den Spam-Ordner verschieben) oder 'reject' (vollständig blockieren). DMARC ermöglicht zudem aggregierte und forensische Berichte, sodass Domaininhaber sehen können, wer in ihrem Namen E-Mails versendet. Ohne DMARC können Angreifer Ihre Domain in Phishing-E-Mails frei fälschen, selbst wenn SPF und DKIM konfiguriert sind.

Ein Wildcard-SSL-Zertifikat sichert eine Domain und alle ihre Subdomains der ersten Ebene mit einem einzigen Zertifikat ab — ein Zertifikat für '*.example.com' deckt beispielsweise www.example.com, shop.example.com und api.example.com ab, jedoch nicht sub.sub.example.com. Wildcard-Zertifikate vereinfachen die Zertifikatsverwaltung für Organisationen mit vielen Subdomains und sind als DV (domain-validiert) oder OV (organisation-validiert) erhältlich. Als EV-Zertifikate sind sie nicht verfügbar.

HSTS (HTTP Strict Transport Security) ist ein Web-Sicherheitsmechanismus, der Browser anweist, ausschließlich über HTTPS mit einer Website zu kommunizieren, selbst wenn der Nutzer 'http://' eingibt oder auf einen HTTP-Link klickt. Die Richtlinie wird über einen Antwort-Header ('Strict-Transport-Security') übermittelt und kann über die HSTS-Preload-Liste in Browser vorab geladen werden — wodurch HTTPS für Ihre Domain verpflichtend wird, bevor ein Nutzer sie überhaupt besucht. HSTS schützt vor SSL-Stripping-Angriffen und erfordert für die korrekte Funktion ein gültiges SSL-Zertifikat.

Anzeichen für eine mögliche Kompromittierung Ihrer Domain sind unerwartete Änderungen an DNS-Einträgen (prüfen Sie Ihre DNS-Einstellungen und führen Sie eine WHOIS-Abfrage durch), SSL-Zertifikatswarnungen aus Certificate-Transparency-Logs, Login-Benachrichtigungen von unbekanntem Standort, E-Mail-Rückläufer, die auf geänderte MX-Einträge hindeuten, oder eine Kennzeichnung Ihrer Website durch Google Safe Browsing. Überwachen Sie Ihre Domain proaktiv, indem Sie DNS-Änderungsalarme bei Ihrem DNS-Anbieter einrichten, CT-Log-Überwachungsdienste wie crt.sh abonnieren und Benachrichtigungen über Kontoaktivitäten bei Ihrem Registrar aktivieren.

Certificate Transparency (CT) ist ein offenes Rahmenwerk, das Zertifizierungsstellen verpflichtet, jedes von ihnen ausgestellte SSL/TLS-Zertifikat in öffentlich einsehbaren Logs zu veröffentlichen. Dies ermöglicht es Domaininhabern, Sicherheitsforschern und Browsern, Zertifikate zu erkennen, die ohne Wissen des Domaininhabers ausgestellt wurden — etwa durch eine kompromittierte CA oder ein gehijacktes Domain. Tools wie crt.sh erlauben es, CT-Logs nach allen jemals für Ihre Domain ausgestellten Zertifikaten zu durchsuchen und so frühzeitig vor unbefugter Ausstellung zu warnen.

Domain-Missbrauchsmeldungen sind formelle Berichte, die bei Registraren oder Registries eingereicht werden und behaupten, dass eine Domain für böswillige Zwecke genutzt wird — etwa Phishing, Malware-Verbreitung, Spam oder illegale Inhalte. Registrare sind von der ICANN verpflichtet, einen Missbrauchskontakt bereitzustellen und glaubwürdige Beschwerden zu untersuchen. Je nach Schwere kann der Registrar die Domain sperren, DNS-Einträge aktualisieren oder den Fall an Strafverfolgungsbehörden melden. Missbrauchsmeldungen können über die Website des Registrars oder das Beschwerdeportal der ICANN eingereicht werden.

Eine Domain-Sperrliste (auch Blacklist oder DNS-Blocklist genannt) ist eine Datenbank von Domainnamen oder IP-Adressen, die als Quellen von Spam, Phishing, Malware oder anderem Missbrauch identifiziert wurden. Mailserver prüfen diese Listen (etwa Spamhaus DBL oder SURBL), um zu entscheiden, ob Nachrichten abgewiesen oder unter Quarantäne gestellt werden. Ist Ihre Domain gesperrt, wird die E-Mail-Zustellung erheblich beeinträchtigt. Sie können den Status Ihrer Domain mit Tools wie MXToolbox prüfen und nach Behebung des zugrunde liegenden Missbrauchsproblems eine Delistung beantragen.

Die Wiederherstellung einer gestohlenen Domain erfordert schnelles Handeln. Kontaktieren Sie zunächst umgehend den Support Ihres Registrars — die meisten Registrare verfügen über Notfallverfahren für Hijacking-Vorfälle und können eine Notsperre einrichten, um weitere Übertragungen zu verhindern. Sammeln Sie Nachweise Ihres Eigentums (Registrierungsbestätigungen, Zahlungsbelege, historische WHOIS-Daten). Wurde die Domain bereits übertragen, reichen Sie eine UDRP-Beschwerde ein oder kontaktieren Sie den aufnehmenden Registrar direkt. Bei Betrug oder einem Angreifer mit Sitz in den USA können Sie zudem Unterstützung von Strafverfolgungsbehörden im Rahmen des ACPA in Anspruch nehmen.

SSL/TLS-Zertifikate gibt es in drei Validierungsstufen. Domain-Validated-Zertifikate (DV) prüfen nur, dass der Antragsteller die Domain kontrolliert — sie sind schnell (innerhalb von Minuten) und kostengünstig zu erhalten, liefern jedoch keine Informationen über die Organisation hinter der Website. Organization-Validated-Zertifikate (OV) verifizieren zusätzlich die rechtliche Identität der Organisation. Extended-Validation-Zertifikate (EV) erfordern die strengste Prüfung und zeigten früher eine grüne Adressleiste in Browsern an, wobei moderne Browser die visuellen EV-Indikatoren inzwischen zurückgestuft haben. Für die meisten Websites genügen DV-Zertifikate von Let's Encrypt.