Die Folgen, eine Domain zu verlieren, sind sofort spürbar und ernst. Deine Website geht offline, deine E-Mail funktioniert nicht mehr, und jeder Besucher, der deine Adresse eintippt, landet an einem Ort, den du nicht kontrollierst. Für eine Marke, die ihren Ruf auf einen bestimmten Namen aufgebaut hat, reicht der Schaden weit über die technische Störung hinaus. Eine gekaperte Domain lässt sich zurückholen, aber es dauert, ist ungewiss und gelingt manchmal nicht. Der bessere Weg ist, ein Hijacking von vornherein schwer zu machen.
Was ist Domain-Hijacking?
Domain-Hijacking heißt, dass jemand ohne deine Erlaubnis die Kontrolle über eine Domain übernimmt, die dir gehört. Der Angreifer transferiert die Domain zu einem anderen Registrar, ändert den Besitz auf ein anderes Konto oder macht beides nacheinander. Ist die Übertragung abgeschlossen, kannst du die Domain nicht mehr verwalten, nicht verlängern und nicht auf deinen Server zeigen lassen.
Es unterscheidet sich von Domain-Squatting, bei dem jemand einen Namen registriert, der deinem ähnelt. Hijacking zielt auf eine Domain, die dir schon gehört und auf der du deine Marke aufgebaut hast. Das Ziel des Angreifers ist meist, dir die Domain zu überhöhtem Preis zurückzuverkaufen, sie als Druckmittel zu halten, deinen Traffic umzuleiten oder deine E-Mail zu übernehmen, um an andere Konten zu kommen, die mit dieser Adresse verknüpft sind.
Um zu verstehen, warum das möglich ist, hilft es zu wissen, wie ein Domain-Transfer normalerweise abläuft. Ziehst du eine Domain von einem Registrar zu einem anderen um, gibst du einen Autorisierungscode an und bestätigst die Anfrage. Der Transfer dauert mehrere Tage und kann in dieser Zeit abgebrochen werden. Hijacker nutzen diesen Ablauf aus, indem sie in dein Registrar-Konto oder deine E-Mail-Adresse eindringen, den Transfer selbst autorisieren und abschließen, bevor du etwas bemerkst. Mehr dazu, wie der Transferprozess funktioniert, steht im Kapitel Was ist ein Domain-Transfer?.
Wie kommt es zu Domain-Hijacking?
Ein Hijacking beginnt fast immer an einem von vier Einstiegspunkten. Wenn du alle vier schließt, schützt du dich.
Phishing-Angriffe auf deinen Registrar-Login
Die häufigste Methode ist eine Phishing-E-Mail, die eine Nachricht deines Domain-Registrars nachahmt. Die Nachricht warnt zum Beispiel, dass deine Domain bald abläuft, ein verdächtiger Login erkannt wurde oder du dein Konto bestätigen musst. Der Link in der E-Mail führt auf eine gefälschte Login-Seite, die deinen Benutzernamen und dein Passwort abgreift. Mit diesen Zugangsdaten loggt sich der Angreifer in dein echtes Konto ein und startet einen Transfer.
Phishing-E-Mails an Domaininhaber sind inzwischen sehr überzeugend. Sie kopieren Branding und Sprache echter Registrar-Nachrichten genau. Der einzige verlässliche Schutz ist, nie auf Links in E-Mails zu klicken, die dich zum Einloggen auffordern. Öffne stattdessen die Website deines Registrars direkt im Browser und prüfe dein Konto von dort.
Gekaperte E-Mail-Konten
Dein Registrar-Konto ist nur so sicher wie die E-Mail-Adresse, die daran hängt. Bekommt ein Angreifer Zugriff auf deine E-Mail, kann er die Funktion "Passwort vergessen" bei deinem Registrar nutzen, um deinen Login zurückzusetzen und dein Konto zu übernehmen. Deshalb ist die Kontakt-E-Mail bei deinem Registrar eines deiner sensibelsten Güter. Ein schwaches oder mehrfach verwendetes Passwort für dieses E-Mail-Konto öffnet einen direkten Weg zu deiner Domain.
Schwache oder mehrfach verwendete Passwörter
Ein schwaches Passwort für dein Registrar-Konto ist eine offene Einladung. Angreifer nutzen automatische Tools, die Kombinationen aus Benutzername und Passwort aus anderen Datenlecks nehmen und sie automatisch auf Login-Seiten von Registraren ausprobieren. Nutzt du ein Passwort wieder, das bei irgendeinem anderen Dienst einmal kompromittiert wurde, ist deine Domain gefährdet.
Social-Engineering-Angriffe
Manche Hijacker umgehen technische Wege ganz und kontaktieren den Kundensupport deines Registrars direkt, indem sie sich als du ausgeben. Sie behaupten, den Zugang zu ihrem Konto verloren zu haben, und bitten den Support, die Zugangsdaten zurückzusetzen. Sind deine WHOIS-Kontaktdaten öffentlich sichtbar, haben sie Name, E-Mail und Adresse schon, um ihre Behauptung zu stützen. Das ist einer der Gründe, warum WHOIS-Datenschutz für die Domainsicherheit zählt, ein Thema des vorherigen Kapitels Was ist WHOIS-Datenschutz?.
Welche Folgen hat Domain-Hijacking?
Die Auswirkungen eines erfolgreichen Hijacks reichen weiter als die Domain selbst. Deine Website geht offline, sobald der Angreifer die DNS-Einstellungen ändert. Besucher bekommen Fehler oder landen auf einer Seite, die du nicht erstellt hast. E-Mails an deine Domain werden entweder zurückgewiesen oder landen im Postfach des Angreifers, auch Passwort-Zurücksetzen-Mails von jedem Dienst, den du mit dieser Adresse verknüpft hast. Jedes Konto, das deine Domain-E-Mail nutzt, ist gefährdet.
Der Schaden für die Marke wächst schnell. Kunden, die dich erreichen wollen, kommen nicht durch. Partner, die E-Mails senden, bekommen keine Antwort. Stellt der Angreifer unter deiner Domain eine betrügerische Seite auf, können Besucher getäuscht oder ihre Daten gestohlen werden, und der Name deiner Marke wird mit dieser Erfahrung verbunden.
Die Domain über das Streitverfahren von ICANN oder einen Gerichtsbeschluss zurückzubekommen, kann Wochen bis Monate dauern. Eine Garantie auf Rückerhalt gibt es nicht. Manche Domains werden zu Registraren in Ländern transferiert, in denen Streitfälle schwer zu verfolgen sind, und manche Angreifer verkaufen Domains so schnell weiter, dass die Spur kompliziert wird. Je länger die Rückholung dauert, desto mehr leiden Suchrankings und E-Mail-Reputation einer Marke.
Wie verhinderst du Domain-Hijacking?
Vorbeugung ist unkompliziert. Jede der folgenden Maßnahmen schließt einen der Einstiegspunkte, die Angreifer nutzen. Zusammen machen sie ein Hijacking deiner Domain deutlich schwerer, als jemanden anzugreifen, der diese Schritte nicht gemacht hat.
Registrar-Lock (Transfersperre) aktiviert lassen
Der Registrar-Lock, auch Transfersperre oder Domainsperre genannt, ist ein Statuswert, der verhindert, dass deine Domain zu einem anderen Registrar transferiert wird, bis du ihn ausdrücklich deaktivierst. Ist die Sperre an, wird jede Transferanfrage automatisch abgelehnt. Die meisten Registrare bieten diese Funktion an und lassen sie standardmäßig aus, was das Gegenteil von dem ist, was du willst.
Logge dich jetzt in dein Registrar-Konto ein und prüfe, ob der Sperrstatus deiner Domain aktiv ist. Ist er aus, schalte ihn ein. Ausschalten solltest du ihn nur, wenn du die Domain gerade selbst transferierst, und schalte ihn wieder ein, sobald der Transfer abgeschlossen ist.
Ein starkes, einmaliges Passwort für dein Registrar-Konto nutzen
Das Passwort deines Registrar-Kontos sollte lang, zufällig und nirgends sonst verwendet sein. Ein Passwortmanager macht das einfach. Erzeuge ein Passwort mit mindestens 16 Zeichen und speichere es in einem Passwortmanager, statt es aufzuschreiben oder dir zu merken. Nutze nie ein Passwort von einem anderen Dienst für deinen Registrar-Login.
Zwei-Faktor-Authentifizierung für dein Registrar-Konto aktivieren
Die Zwei-Faktor-Authentifizierung (2FA) verlangt beim Einloggen zusätzlich zum Passwort einen zweiten Nachweis, meist einen Code aus einer Authenticator-App. Selbst wenn ein Angreifer dein Passwort durch Phishing oder ein Datenleck bekommt, kommt er nicht in dein Konto, ohne auch deinen zweiten Faktor zu kontrollieren. Die meisten großen Registrare unterstützen 2FA. Tut deiner es nicht, ist das ein Grund, über einen Wechsel zu einem Registrar nachzudenken, der es tut.
Nutze nach Möglichkeit eine Authenticator-App statt Bestätigung per SMS. SMS-Codes lassen sich abfangen, wenn jemand deinen Mobilfunkanbieter dazu bringt, deine Rufnummer auf ein Gerät zu übertragen, das er kontrolliert. Eine App-basierte Authentifizierung ist dagegen widerstandsfähiger.
Die WHOIS-Kontakt-E-Mail sicher und erreichbar halten
Die E-Mail-Adresse im WHOIS-Eintrag deiner Domain ist die Adresse, an die dein Registrar Transfer-Bestätigungen schickt. Startet ein Angreifer einen Transfer, geht eine Bestätigungs-E-Mail an diese Adresse. Hast du keinen Zugriff mehr auf diese Adresse oder kontrolliert sie der Angreifer, kann der Transfer ohne dein Wissen durchgehen.
Nutze eine eigene E-Mail-Adresse für deine Domainregistrierung, keine private, die du vielleicht aufgibst, und kein gemeinsames Postfach, auf das andere zugreifen. Sorge für ein starkes Passwort und aktivierte 2FA für das Konto. Schau oft genug nach, damit dir eine Transfer-Bestätigung auffällt, bevor das Transferfenster endet.
WHOIS-Datenschutz aktivieren, um das Social-Engineering-Risiko zu senken
Ist der WHOIS-Datenschutz aus, sind dein Name, deine E-Mail-Adresse, deine Telefonnummer und deine Postanschrift in der globalen WHOIS-Datenbank öffentlich durchsuchbar. Diese Informationen geben einem Social Engineer alles, was er braucht, um dich gegenüber dem Support deines Registrars nachzuahmen. WHOIS-Datenschutz ersetzt deine persönlichen Kontaktdaten durch allgemeine Kontaktdaten des Registrars und nimmt diesem Angriff den Rohstoff.
Wie WHOIS-Datenschutz genau funktioniert und was er schützt, steht im vorherigen Kapitel WHOIS-Datenschutz. Ist er für deine Domain noch nicht aktiv, beseitigst du mit der Aktivierung ein weiteres Risiko.
Deine Domain bei einem seriösen Registrar registrieren
Nicht jeder Registrar hat dieselben Sicherheitsstandards oder dieselbe Supportpraxis. Ein Registrar mit strenger Identitätsprüfung, klaren Eskalationsverfahren bei Kontostreitigkeiten und starker 2FA-Unterstützung gibt deine Domain mit geringerer Wahrscheinlichkeit an jemanden heraus, der sich als du ausgibt, als einer, der sich auf minimale Prüfung verlässt. Eine Domain bei einem Billiganbieter zu registrieren, um ein paar Euro zu sparen, ist ein Sicherheitsabtausch, der sich nicht lohnt. Das Kapitel Domain registrieren zeigt, worauf du bei der Wahl eines Registrars achten solltest.
Deine Domainregistrierung verlängern, bevor sie abläuft
Eine abgelaufene Domain ist eine angreifbare Domain. Läuft deine Registrierung aus, kommt die Domain in eine Karenzzeit und wird dann für jeden zur Registrierung frei. Angreifer beobachten ablaufende Domains, besonders solche mit etablierter Marke und Backlinks, und registrieren sie in dem Moment, in dem sie freigegeben werden. Dann musst du, um die Domain zurückzubekommen, mit dem Registrierenden verhandeln, was teuer oder unmöglich sein kann.
Aktiviere die automatische Verlängerung für jede Domain, die du besitzt. Setze als Absicherung mindestens 60 Tage vor Ablauf eine Kalendererinnerung. Achte darauf, dass deine hinterlegte Zahlungsmethode aktuell ist, damit die automatische Verlängerung nicht unbemerkt scheitert. Den gesamten Ablauf bei einer ablaufenden Domain und was in jeder Phase passiert, erklärt das Kapitel Domain-Ablauf und wie du ihn prüfst im Detail. Das Kapitel Domainnamen dauerhaft kaufen behandelt langfristige Registrierungsstrategien, die das Ablaufrisiko weiter senken.
Was tust du, wenn deine Domain gekapert wurde?
Tempo zählt. Je schneller du handelst, desto besser die Chance auf Rückerhalt. So gehst du der Reihe nach vor.
Wende dich sofort an den Support deines Registrars und melde den unbefugten Transfer. Gib so viele Unterlagen an, wie du kannst, darunter die ursprünglichen Registrierungsbelege, den Zahlungsverlauf und jede Korrespondenz, die dich als rechtmäßigen Inhaber ausweist. Registrare haben Verfahren für Hijacking-Meldungen und können einen Transfer manchmal einfrieren oder rückgängig machen, wenn er erst kürzlich gestartet wurde und noch nicht vollständig abgeschlossen ist.
Wurde die Domain schon zu einem anderen Registrar transferiert, reiche über das Streitverfahren für Transfers bei ICANN eine Beschwerde ein. Dieses Verfahren ist genau für unbefugte Transfers gedacht und kann einen Registrar zur Rückabwicklung verpflichten. Es dauert in der Regel 30 bis 60 Tage und verlangt Belege für den Besitz.
Dokumentiere parallel alles. Mache Screenshots von deinem Registrar-Konto, allen E-Mails, die du bekommen hast, und allen Änderungen, die in WHOIS sichtbar sind. Diese Dokumentation stützt sowohl die ICANN-Beschwerde als auch jede rechtliche Maßnahme, die du eventuell brauchst.
Ändere sofort das Passwort und aktiviere 2FA für dein Registrar-Konto und deine WHOIS-Kontakt-E-Mail, auch wenn die Domain schon umgezogen ist. Wurden diese Konten kompromittiert, gefährdest du mit offenen Konten andere Domains, die dir gehören, und der Angreifer kann Rückholversuche stören.
Wie lange dauert die Rückholung?
Die Dauer der Rückholung unterscheidet sich stark danach, wie schnell du handelst, wie kooperativ der aufnehmende Registrar ist und ob die Domain mehr als einmal den Besitzer gewechselt hat. Das formale Streitverfahren von ICANN dauert Wochen bis Monate. Freiwillige Kooperation des aufnehmenden Registrars kann es beschleunigen, ist aber nicht garantiert. Rechtliche Schritte über einen Gerichtsbeschluss dauern noch länger und haben keine Erfolgsgarantie.
Von Domain-Hijacking erholt man sich schwerer als von den meisten Sicherheitsvorfällen, weil es keine Rückgängig-Taste gibt. Ein kompromittiertes Passwort lässt sich zurücksetzen. Ein gehacktes E-Mail-Konto lässt sich wiederherstellen. Eine transferierte Domain liegt unter der Kontrolle von jemand anderem, in einem anderen Konto, möglicherweise bei einem anderen Registrar in einem anderen Land. Die ursprünglichen Registrierungsunterlagen helfen, reichen aber nicht immer allein aus.
Deshalb zählen die Vorbeugungsschritte oben mehr als die Schritte zur Rückholung. Das Ziel ist, ein Hijacking deiner Domain so schwer zu machen, dass der Angreifer zu einem leichteren Ziel weiterzieht. Wenn du die häufigsten Fehler vermeiden willst, die Domains überhaupt erst angreifbar machen, behandelt das Kapitel Fehler bei Domainnamen die allgemeineren Muster, die Domaininhaber gefährden.
So geht WEMASY mit Domainsicherheit um
Registrierst du eine Domain über WEMASY, ist die Transfersperre bei allen Domains standardmäßig aktiviert. WHOIS-Datenschutz ist bei jeder Registrierung ohne Aufpreis enthalten. Deine Domainregistrierung ist direkt an dein WEMASY-Konto gebunden, das die Zwei-Faktor-Authentifizierung unterstützt, sodass der Zugang zur Domainverwaltung dein Passwort und deinen zweiten Faktor verlangt.
Die automatische Verlängerung ist für alle über WEMASY registrierten Domains standardmäßig an, und Erinnerungen zur Verlängerung kommen 90, 60 und 30 Tage vor Ablauf, damit keine Verlängerung verpasst wird. Was jeder Tarif enthält, siehst du unter WEMASY Preise.
Häufige Fragen zu Domain-Hijacking
Kann eine Domain gekapert werden, obwohl ich nichts falsch gemacht habe?
Ja. Ein Hijacking entsteht nicht immer durch Nachlässigkeit des Inhabers. Ein Datenleck bei einem Dienst, bei dem du dein Registrar-Passwort wiederverwendet hast, eine raffinierte Phishing-E-Mail, die schwer zu erkennen war, oder ein Social-Engineering-Anruf beim Support deines Registrars können auch dann Erfolg haben, wenn du sorgfältig warst. Deshalb zählt gestaffelter Schutz aus Registrar-Lock, 2FA und WHOIS-Datenschutz. Keine einzelne Maßnahme ist allein narrensicher, zusammen erhöhen sie die Hürde aber deutlich. Mit dem Website-Builder von WEMASY kannst du das direkt auf deiner Website einrichten.
Verhindert der Registrar-Lock jede Art von Domain-Hijacking?
Der Registrar-Lock verhindert unbefugte Transfers zu einem anderen Registrar. Er verhindert nicht, dass ein Angreifer, der schon Zugriff auf dein Registrar-Konto hat, deine DNS-Einträge, Nameserver oder Kontaktdaten ändert. Für vollen Schutz brauchst du den Registrar-Lock plus ein starkes Passwort, 2FA und eine sichere Kontakt-E-Mail. Jede Ebene blockiert eine andere Art von Angriff.
Was ist der Unterschied zwischen Domain-Hijacking und DNS-Hijacking?
Beim Domain-Hijacking wird der Besitz der Domainregistrierung selbst übertragen. Beim DNS-Hijacking ändert sich, wohin die Domain zeigt, ohne dass der Besitz wechselt. Dabei ändert der Angreifer die DNS-Einträge in deinem Registrar-Konto, um Traffic auf einen Server umzuleiten, den er kontrolliert, aber dein Name steht weiter in der Registrierung. Beides ist ernst, und beides lässt sich nur mit Kontosicherheit verhindern. Der Registrar-Lock richtet sich gezielt gegen Domain-Hijacking, indem er Transfers blockiert. DNS-Hijacking verhinderst du, indem du den Kontozugang mit einem starken Passwort und 2FA sicherst.
Nimmt Google meine Seite aus dem Index, wenn meine Domain gekapert wird?
Nicht sofort. Der Index von Google spiegelt den zuletzt gecrawlten Stand deiner Seite. Ändert der Angreifer aber dein DNS auf anderen Content, crawlt Google irgendwann den neuen Content und aktualisiert den Index entsprechend. Verstößt der neue Content gegen die Richtlinien von Google, kann eine manuelle Maßnahme folgen. Je länger die Domain außerhalb deiner Kontrolle ist, desto mehr können deine Suchrankings und der Ruf deiner Seite leiden. Schnelles Handeln ist wichtig, um deine Sichtbarkeit in der Suche zu schützen und nicht nur den Zugang zu deiner Website.
Sollte ich meine Domain dort registrieren, wo ich meine Website hoste?
Dazu gibt es unterschiedliche Ansichten. Domain und Hosting zusammenzuhalten vereinfacht die Verwaltung und verringert die Zahl der Konten, die du sichern musst. Manche Marken registrieren ihre Domain vorsichtshalber getrennt vom Hosting-Anbieter, damit die Kompromittierung eines Kontos nicht sofort beides gefährdet. Beide Wege lassen sich mit guter Kontohygiene sicher machen. Hältst du beides zusammen, ist die Priorität, dass dieses gemeinsame Konto ein starkes Passwort, aktivierte 2FA und den Registrar-Lock hat.
Das nächste Kapitel behandelt SSL-Zertifikate und Domains: was ein SSL-Zertifikat tut, wie es mit deiner Domain zusammenhängt und warum es beeinflusst, wie Besucher und Browser deine Seite wahrnehmen.