Domain-Hijacking verhindern: so schützt du Konto und Domain

Wer deine Domain kontrolliert, kontrolliert deine Website, deine E-Mail und jede Anmeldung, die an einer Adresse unter dieser Domain hängt. Beim Domain-Hijacking übernimmt ein Angreifer genau diese Kontrolle. Manchmal zieht er die Domain zu einem anderen Registrar oder trägt sich als Inhaber ein. Er kann auch nur die DNS-Einträge ändern und so Besucher und Mails unbemerkt auf eigene Server leiten. Diese Seite erklärt, wie solche Angriffe ablaufen, welche Schutzmechanismen es bei .de und bei generischen Endungen wie .com gibt und was du tust, wenn es schon passiert ist.

Wie Angreifer Domains übernehmen

Der Weg führt oft über das Konto, mit dem die Domain verwaltet wird. Die US-Cybersicherheitsbehörde CISA beschrieb Anfang 2019 eine Angriffswelle auf Behördendomains: Die Täter verschafften sich Zugangsdaten zu Konten, mit denen sich DNS-Einträge ändern ließen. Dann tauschten sie A-, MX- oder NS-Einträge gegen Adressen aus, die sie selbst kontrollierten, und konnten so Web- und Mailverkehr umleiten und mitlesen ^[1]. Weil sie die DNS-Einträge setzen konnten, bekamen sie für diese Domains auch gültige Zertifikate. Browser zeigten deshalb keine Warnung ^[1].

Ein zweiter Weg führt über die E-Mail-Adresse, die beim Registrar hinterlegt ist. Über sie laufen Passwort-Zurücksetzungen und Benachrichtigungen. Das Sicherheitskomitee der ICANN (SSAC) beschreibt, dass Angreifer nach der Übernahme eines Kontos versuchen, genau diese Benachrichtigungen zu blockieren: Sie ändern die DNS-Einträge so, dass Mails an Adressen unter der übernommenen Domain nicht mehr ankommen ^[2]. Der Inhaber erfährt dann nichts von den Änderungen.

Ein dritter Weg ist eine vergessene Verlängerung. Läuft eine Domain aus, kann ein anderer sie registrieren. Das SSAC weist darauf hin, dass Interessenten Domains kurz vor dem Ablauf gezielt beobachten ^[2]. Was bei abgelaufenen Domains gilt, steht unter Domain abgelaufen: Fristen und Rückholung.

Konto beim Registrar absichern

Das Konto beim Registrar ist der wichtigste Angriffspunkt. Das BSI rät, die Zwei-Faktor-Authentisierung einzuschalten, sobald ein Dienst sie anbietet, und sie nicht wieder abzuschalten ^[3]. Es empfiehlt außerdem, wenn möglich mehrere zweite Faktoren zu hinterlegen, damit ein verlorenes Gerät nicht den Zugang kostet ^[3]. CISA hat bei der genannten Angriffswelle für DNS-Konten Verfahren empfohlen, die gegen Phishing schützen, etwa Sicherheitsschlüssel, und SMS-Codes ausdrücklich nicht empfohlen ^[1].

Das SSAC-Papier für Domaininhaber nennt weitere Regeln für das Konto ^[2]:

• Für jedes Konto eigene Zugangsdaten verwenden.
• Besonders wichtige Domains in ein eigenes Konto legen, auf das nur wenige Personen Zugriff haben.
• Wenn jemand das Unternehmen verlässt oder die Aufgabe abgibt, neue Zugangsdaten anlegen und die alten sperren.
• Festlegen, wer im Notfall Zugriff auf hinterlegte Zugangsdaten bekommt, und das protokollieren.

Für Passwörter und Anmeldung in zwei Schritten gibt es auf betrug.domain-root.de eine eigene Anleitung: Sichere Passwörter und Anmeldung in zwei Schritten.

Die Kontakt-Mail auf eine andere Domain legen

Liegt die Kontakt-Adresse für deine Domain auf derselben Domain, hat ein Angreifer mit einem einzigen Zugriff beides in der Hand: Er ändert die DNS-Einträge, und die Warnmails des Registrars kommen nicht mehr bei dir an. Das SSAC empfiehlt deshalb, Kontaktadressen auf einer Domain anzulegen, die in einem anderen Konto verwaltet wird, möglichst sogar bei einem anderen Registrar ^[2]. Für Einzelpersonen und kleine Firmen nennt es als einfache Lösung ein Postfach bei einem bekannten Mailanbieter ^[2]. Dieses Postfach braucht dann selbst einen guten Schutz, denn über es laufen die Passwort-Zurücksetzungen ^[2].

Das SSAC rät außerdem, jede Mail des Registrars als Anlass für eine Prüfung zu nehmen: Eine Meldung über geänderte Nameserver oder Kontaktdaten sollte jemand bestätigen, der weiß, ob die Änderung gewollt war ^[2]. Links in solchen Mails solltest du nicht anklicken. Melde dich direkt beim Registrar an und prüfe dort ^[2]. Wie gefälschte Mails aussehen, zeigt Phishing-Mails erkennen.

Sperren bei Registrar und Registry

Bei generischen Endungen wie .com, .net oder .org gibt es Statuscodes, die Änderungen blockieren. Der Registrar setzt die Codes mit dem Präfix "client". clientTransferProhibited weist die Registry an, Umzugsanfragen abzulehnen. clientUpdateProhibited und clientDeleteProhibited blockieren Änderungen und Löschungen ^[4]. Willst du die Domain selbst umziehen, bittest du den Registrar, die Sperre aufzuheben ^[4]. Den Status deiner Domain siehst du in der Whois-Abfrage.

Stärker sind die Codes mit dem Präfix "server", die nur die Registry setzt. Manche Registries bieten sie als Registry Lock an. Sie haben Vorrang vor den Client-Codes, und das Aufheben dauert länger, weil der Registrar den Auftrag an die Registry weitergeben muss ^[4]. Genau diese Verzögerung schützt: Wer nur das Konto beim Registrar übernommen hat, kommt an der Sperre nicht schnell vorbei.

Für .de bietet die DENIC einen eigenen .de Registry Lock. Du beantragst ihn über deinen Provider, weist dich dabei aus und benennst einen Lock Contact ^[5]. Danach geht jeder Auftrag, der Inhaber, Nameserver oder Provider ändern würde, nicht sofort durch. Die DENIC schickt ein Freigabetoken an die Mobilnummer des Lock Contact und zusätzlich eine E-Mail an die hinterlegte Adresse. Erst wenn der Lock Contact den Auftrag mit diesem Token bestätigt, wird er ausgeführt. Ohne Bestätigung binnen sieben Kalendertagen verwirft die DENIC den Auftrag ^[5].

Auth-Code und Providerwechsel

Für einen Umzug zu einem anderen Anbieter brauchst du einen Code. Bei .de heißt er AuthInfo. Die DENIC speichert davon nur einen Hash, der Code verfällt nach 30 Tagen ^[6]. Reagiert der bisherige Provider nicht, kann der neue Provider einen Code bei der DENIC anfordern. Die DENIC schickt ihn dann per Einschreiben an die Adresse, die in den Domaindaten steht ^[6]. Stimmt deine Anschrift dort nicht, kann das zum Problem werden. Halte die Inhaberdaten deshalb aktuell. Die DENIC verlangt das seit Einführung der Inhaberdatenverifizierung ohnehin: Name, Postanschrift, Telefonnummer und E-Mail-Adresse werden geprüft ^[7].

Bei generischen Endungen bekommst du den Code im Kundenkonto oder, wenn der Registrar das nicht anbietet, spätestens fünf Kalendertage nach deiner Anfrage ^[8]. Fordere ihn nur an, wenn du wirklich umziehen willst, und gib ihn nur an den neuen Anbieter weiter. Wie der Umzug abläuft, steht unter Domain umziehen: Auth-Code und Providerwechsel.

Änderungen überwachen

Je früher du eine Änderung bemerkst, desto leichter lässt sie sich zurückdrehen. Das SSAC beschreibt drei Dinge, die du im Blick behalten solltest: Änderungen der Whois-Daten, Änderungen an den DNS-Einträgen und den Status der Domain bei der Registry ^[2]. Ein einfacher Weg ist ein regelmäßiger Blick mit dem DNS-Check auf NS-, A- und MX-Einträge. Fallen dir dort Server auf, die du nicht kennst, ist Eile angesagt.

CISA hat außerdem empfohlen, die öffentlichen Certificate-Transparency-Protokolle auf Zertifikate zu überwachen, die du selbst nicht beantragt hast ^[1]. Ein neues Zertifikat für deine Domain, das niemand bei dir bestellt hat, ist ein deutliches Warnsignal. Der Subdomain-Finder zeigt Namen aus diesen Protokollen und eignet sich für eine schnelle Kontrolle.

Ein verwandtes Risiko sind vergessene Subdomains. Zeigt ein CNAME-Eintrag noch auf einen Clouddienst, den du längst gekündigt hast, kann ein Dritter dort einen Dienst mit demselben Namen anlegen. Microsoft beschreibt diesen Fall als Subdomain-Übernahme: Der Verkehr für deine Subdomain landet dann bei ihm, er kann ein gültiges Zertifikat beantragen und Cookies abgreifen ^[9]. Entferne DNS-Einträge deshalb gleich mit, wenn du einen Dienst abschaltest ^[9].

Belege für den Ernstfall sammeln

Wenn jemand behauptet, die Domain gehöre ihm, musst du beweisen, dass du der rechtmäßige Inhaber bist. Das SSAC nennt als sinnvolle Belege Kopien der Registrierungsunterlagen, Rechnungen mit Zahlungsnachweis, Archive der Inhalte, die du unter der Domain veröffentlicht hast, Schriftverkehr mit Registrar oder ICANN und amtliche Dokumente wie Steuerbescheide ^[2]. Leg diese Unterlagen außerhalb des Postfachs ab, das an der Domain hängt.

Wenn die Domain schon übernommen ist

1. Melde dich sofort beim Registrar über einen Weg, der nicht an der betroffenen Domain hängt, etwa per Telefon oder über eine andere Mailadresse. Schildere, was sich geändert hat und seit wann.
2. Prüfe mit dem DNS-Check, welche Nameserver und Einträge gerade ausgeliefert werden, und sichere das Ergebnis mit Datum und Uhrzeit.
3. Ändere die Passwörter aller Konten, über die sich DNS-Einträge ändern lassen, und schalte die Zwei-Faktor-Anmeldung ein ^[1].
4. Prüfe das Postfach, das beim Registrar hinterlegt ist. Ist es ebenfalls übernommen, sichere es zuerst.
5. Hat jemand die Domain bei .de auf sich umgeschrieben, wende dich an deinen Provider. Hilft er nicht, kannst du dich nach den FAQ der DENIC schriftlich mit Unterlagen an die DENIC wenden ^[10].
6. Erstatte Anzeige bei der Polizei. Wie das geht, beschreibt Betrug anzeigen: so erstattest du Anzeige.

1. Behörde ED 19-01: Mitigate DNS Infrastructure Tampering. Cybersecurity and Infrastructure Security Agency (CISA). Stand 22.01.2019, geschlossen 08.01.2026. abgerufen am 29.10.2026
2. Organisation SAC044: A Registrant's Guide to Protecting Domain Name Registration Accounts. ICANN Security and Stability Advisory Committee. Stand November 2010. abgerufen am 29.10.2026
3. Behörde Zwei-Faktor-Authentisierung. Bundesamt für Sicherheit in der Informationstechnik (BSI). Stand ohne Datum. abgerufen am 29.10.2026
4. Organisation EPP Status Codes: What Do They Mean, and Why Should I Know?. ICANN. Stand ohne Datum. abgerufen am 29.10.2026
5. Organisation .de Registry Lock. DENIC eG. Stand ohne Datum. abgerufen am 29.10.2026
6. Organisation Providerwechsel. DENIC eG. Stand ohne Datum. abgerufen am 29.10.2026
7. Organisation Inhaberdatenverifizierung. DENIC eG. Stand ohne Datum. abgerufen am 29.10.2026
8. Organisation Transfer Policy, Abschnitt I.A.5. ICANN. Stand Fassung vom 21.02.2024, von Registraren bis 21.08.2025 umzusetzen. abgerufen am 29.10.2026
9. Organisation Prevent dangling DNS entries and avoid subdomain takeover. Microsoft. Stand 20.07.2026. abgerufen am 29.10.2026
10. Organisation FAQs zu Rechtsthemen. DENIC eG. Stand ohne Datum. abgerufen am 29.10.2026

Zuletzt geprüft am 29.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.