Wie verhindere ich, dass meine Domain gekapert wird?

Sorgen Sie dafür, dass Ihre Firma als Inhaber eingetragen ist, sichern Sie die Konten bei Registrar und DNS-Hosting mit starker Multi-Faktor-Authentifizierung (MFA), schalten Sie die Transfersperre ein und schützen Sie das Wiederherstellungs-Postfach. Bei einer besonders wertvollen Domain fragen Sie nach einer Sperre auf Registry-Ebene. DNSSEC schützt DNS-Antworten vor Fälschung – ein gekapertes Konto gleicht es aber nicht aus.

Was passiert, wenn die Verlängerung meiner Domain fehlschlägt?

Website und E-Mail können ausfallen, und die Domain landet in einer Schon-, Rückhol- oder Quarantänefrist – wie lang und wie teuer, hängt von Endung und Registrar ab. Eine gelöschte .be-Domain liegt 40 Tage in Quarantäne, viele generische Domains bekommen eine 30-tägige Rückholfrist. Wird sie nicht rechtzeitig zurückgeholt, kann sie jemand anderes registrieren. Sehen Sie diese Fristen also als Sicherheitsnetz – nie als Strategie.

Was ist DNSSEC, und brauche ich das?

Mit DNSSEC können prüfende Resolver erkennen, ob DNS-Antworten wirklich aus Ihrer Zone stammen und unterwegs nicht verändert wurden – es verschlüsselt keinen Datenverkehr und schützt auch nicht das Registrar-Konto. Schalten Sie es ein, wenn Ihr DNS-Anbieter Signierung und Schlüsselwechsel zuverlässig übernimmt. Prüfen Sie danach die komplette Vertrauenskette – und stimmen Sie einen Wechsel des DNS-Anbieters sorgfältig ab.

Ist Ihre Domain vor Hijacking und Ablauf geschützt?

Eine Domain ist nur so sicher wie das Konto, das sie kontrolliert – und die Zahlung, die sie am Leben hält. Verlieren Sie eines von beiden, sind Website, E-Mail und Marke auf einen Schlag weg. Das ist eine der wenigen Web-Katastrophen, die sich kaum rückgängig machen lässt: Wer am Ende die Domain hält, hält alles, was daran hängt.

Wissen, wer welche Ebene kontrolliert

Zwei Konten zählen – und oft sind es nicht dieselben:

Das Registrar-Konto (beim Anbieter, über den die Domain registriert ist) kontrolliert die Registrierung selbst – und welche Nameserver für die Domain zuständig sind.
Das DNS-Hosting-Konto kontrolliert die Zone: die Einträge für Website, E-Mail und Verifizierungen.

Beide gehören in die Hand Ihrer Firma. Und als eingetragener Inhaber muss das Unternehmen stehen – nicht ein Mitarbeiter, ein Entwickler oder die frühere Agentur. Der Inhaber bekommt den Transfercode und kann die Domain umziehen; wie Sie das entwirren, zeigt wer Ihre Konten kontrolliert.

Konto und Domain sperren

Multi-Faktor-Authentifizierung (MFA) – eine zweite Bestätigung beim Anmelden, zusätzlich zum Passwort – für beide Konten: eine Authenticator-App oder ein Hardware-Schlüssel, SMS nur, wenn es nicht anders geht. Bewahren Sie die Wiederherstellungscodes sicher auf und hinterlegen Sie, wo möglich, einen zweiten Schlüssel oder einen zweiten vertrauenswürdigen Administrator: MFA darf die Firma nicht aussperren, nur weil eine Person oder ein Gerät gerade fehlt.
Die Registrar-Sperre (clientTransferProhibited) blockt gewöhnliche Transferversuche ab – aber sie ist nur eine Schicht: Wer im Registrar-Konto sitzt, kann die Sperre aufheben oder die Nameserver ändern. Für eine besonders wertvolle Domain fragen Sie nach einer Sperre auf Registry-Ebene (für .be bietet DNS Belgium „Domain Guard“ an): Sie blockt Änderungen, Transfers und Kündigung, bis sie ganz bewusst wieder gelöst wird.

Wiederherstellung und Verlängerung am Leben halten

Öffentliche WHOIS- oder RDAP-Abfragen (die Auskunft, auf wen eine Domain läuft) blenden persönliche Daten oft aus – aber was Registrar und Registry intern hinterlegt haben, muss trotzdem stimmen. Eingetragener Inhaber, Registrant-E-Mail, Wiederherstellungsadresse und Rechnungskontakt spielen je eine eigene Rolle – und jede davon kann das schwache Glied sein.

Nutzen Sie ein stark gesichertes Wiederherstellungs-Postfach, das nicht von der Domain abhängt, die es schützt – fällt die Domain oder ihr DNS aus, fällt [email protected] gleich mit. Und sorgen Sie dafür, dass ein Mensch das Postfach wirklich liest: Eine ignorierte Transferfreigabe oder Verlängerungswarnung ist der klassische Weg, wie Domains still verschwinden.
Viele Domains gehen viel unspektakulärer verloren als durch Hijacking: Die Verlängerung oder die Zahlung schlägt fehl. Schalten Sie die automatische Verlängerung ein und prüfen Sie, ob die Zahlungskarte noch gültig ist – und führen Sie daneben Ihre eigene Liste mit Registrar, Verlängerungstermin und Rechnungskontakt. Denn das Ablaufdatum bei der Registry und die Zahlungsfrist Ihres Registrars sind nicht immer dasselbe.
Halten Sie Eigentumsnachweise griffbereit: Rechnungen, den Firmenregisterauszug und, wo es das gibt, ein Registrierungszertifikat (DNS Belgium stellt eines für .be aus). Wird das Konto gekapert oder die Inhaberschaft bestritten, entscheiden diese Papiere, wie schnell Sie die Kontrolle zurückbekommen.

Mit DNSSEC signieren

DNSSEC signiert Ihre DNS-Daten. Prüfende Resolver – die Server, die Domainnamen für Ihre Besucher nachschlagen – erkennen gefälschte Antworten dann und weisen sie ab, auch bei den MX-Einträgen, die Ihre E-Mail zustellen. DNSSEC beglaubigt DNS-Daten; es verschlüsselt nicht die DNS-Abfragen, den Website-Verkehr oder Ihre E-Mails (dafür sind HTTPS und die Transportsicherheit der Mailserver da) – und eine Änderung über ein gekapertes Konto macht es auch nicht ungeschehen. Schalten Sie es ein, wo Ihr DNS-Anbieter Signierung und Schlüsselwechsel zuverlässig übernimmt, und prüfen Sie die ganze Vertrauenskette – DNSKEY, Signaturen und den DS-Eintrag in der übergeordneten Zone – nicht nur, ob irgendein DS-Eintrag existiert. Vor allem aber: Stimmen Sie DNS-Umzüge ab. Ein alter DS-Eintrag, der auf Schlüssel zeigt, die Ihr neuer Anbieter gar nicht hat, lässt die ganze Domain durch die Validierung fallen – beim Wechsel von Registrar oder DNS-Anbieter steht die sichere Reihenfolge.

Was zu tun ist

Prüfen Sie: Ist die Firma der eingetragene Inhaber – und kontrolliert sie Registrar- und DNS-Hosting-Konto?
Schalten Sie MFA ein, sichern Sie die Wiederherstellungscodes und hinterlegen Sie, wo möglich, einen zweiten Schlüssel oder Admin.
Aktivieren Sie die Registrar-Sperre; fragen Sie bei einer wertvollen Domain nach einer Sperre auf Registry-Ebene.
Kontrollieren Sie Inhaber-, Registrant-, Wiederherstellungs- und Rechnungskontakt; das Wiederherstellungs-Postfach liegt außerhalb der Domain und wird gelesen.
Schalten Sie die automatische Verlängerung ein, prüfen Sie die Zahlungskarte und führen Sie Ihre eigene Liste mit Fristen und Eigentumsnachweisen.
Aktivieren Sie DNSSEC, wo es zuverlässig verwaltet wird; prüfen Sie die volle Kette – besonders beim Wechsel des DNS-Anbieters.