Domain absichern: gegen Ablauf, Verlust und Diebstahl

Eine Domain sicherst du in vier Schritten ab: Du stellst sicher, dass der Betrieb als Inhaber eingetragen ist, dass sie verlängert und bezahlt wird, dass das Konto beim Registrar einen zweiten Faktor und eine Kontaktadresse außerhalb der eigenen Domain hat, und dass ein Transfer ohne deine Zustimmung nicht möglich ist.

An der Domain hängen die Website, jede Mailadresse und die Passwort-Zurücksetzung fast jedes Dienstes. Wer sie kontrolliert, empfängt deine Mails und übernimmt damit auch Konten, die mit der Domain nichts zu tun haben.

Wer die Rechnung bezahlt, ist nicht automatisch der Inhaber. Hat eine Agentur oder ein früherer Mitarbeiter die Domain auf den eigenen Namen registriert, gehört sie rechtlich ihm, egal wer sie seit Jahren zahlt.

Wem gehört die Domain wirklich?#

Bei .at gibt es drei Rollen. nic.at ist laut eigener Auskunft „die weltweit einzige Vergabestelle (Registry) für .at-Domains“. Registrare sind Anbieter mit einem Vertrag mit nic.at, Provider liefern Hosting und Mail (nic.at, FAQ Domain-Inhaber). Inhaber ist, wer im Register steht, nicht wer das Kundenkonto beim Provider hat.

So prüfst du es, der Weg dauert fünf Minuten:

1. Whois abfragen. Bei einer Firma steht der Inhaber seit dem 1. Oktober 2026 öffentlich im Whois von nic.at: „Bei juristischen Personen müssen ab 1. Oktober 2026 die Inhaberdaten veröffentlicht werden“ (nic.at, NISG 2026).
2. Daten anfordern. Als Inhaber kannst du laut nic.at jederzeit über ein Webformular die Zusendung der hinterlegten Whois-Daten beantragen, oder ein kostenloses Domain-Zertifikat, das an die hinterlegte Mailadresse geht (nic.at, FAQ Domain-Inhaber). Kommt es nicht bei dir an, ist das schon der Befund: Die hinterlegte Adresse ist nicht deine.
3. Alle Domains auflisten lassen. Eine Mail an service@nic.at mit den Inhaberdaten liefert eine Liste aller .at-Domains, die auf diesen Inhaber laufen (ebenda).
4. Bei gTLDs wie .com zeigt die RDAP-Abfrage den Registrar, den Inhaber bei Privatpersonen meist nicht. Dann steht die Antwort im Kundenkonto beim Registrar. Wie du die Registerdaten liest, steht in Wann wurde eine Domain registriert?

Steht der falsche Name drin, hilft ein Inhaberwechsel, laut nic.at „die Übertragung der Domain auf eine andere physische oder juristische Person“. Solange der bisherige Inhaber mitspielt, ist das eine Formsache. Wenn nicht, ein Rechtsstreit. Der beste Zeitpunkt ist der, an dem die Zusammenarbeit noch gut läuft.

Seit Oktober 2026 kommt eine Pflicht dazu: Die Telefonnummer ist verpflichtende Angabe, und „Domain-Inhaber:innen müssen künftig bei der Überprüfung ihrer Daten mitwirken, wenn sie dazu aufgefordert werden“. Wer den Nachweis nicht oder zu spät erbringt, riskiert, dass nic.at den Vertrag kündigt und die Domain löscht (nic.at, NISG 2026). Eine Aufforderung an ein ungelesenes Postfach ist damit ein eigener Verlustweg.

Für die umgekehrte Frage, wem eine fremde Website gehört, gibt es andere Wege, beschrieben in Wem gehört eine Website?

Was passiert, wenn die Domain abläuft?#

.at läuft nicht ab. Die Vergabe beruht laut nic.at auf einem „Dauerschuldverhältnis“, wie bei Strom oder Telefon. „Es kann nicht passieren, dass Sie Ihren Anschluss verlieren, nur weil Sie ihn nicht rechtzeitig verlängern (Ausnahme: Sie bezahlen Ihre Rechnung nicht)“ (nic.at, FAQ Domain-Einsteiger). Verloren geht eine .at-Domain auf drei anderen Wegen:

• Nichtzahlung. „Wenn eine Rechnung nicht fristgerecht beglichen wird, wird die Domain nach einiger Zeit wegen Nichtzahlung gesperrt“ (nic.at, FAQ Domain-Inhaber). Läuft die Domain über einen Provider, zahlst du ihn, nicht nic.at. Ein Provider, der den Vertrag beendet, ist für die Domain dasselbe Risiko.
• Kündigung. Danach ist die Domain gesperrt, im Whois als „Pending Delete“ markiert und technisch nicht mehr funktionsfähig. Nach etwa acht Wochen ist sie wieder frei. Innerhalb dieser Sperrfrist lässt sich die Kündigung über den Registrar widerrufen (ebenda).
• Zonenlöschung. Nimmt der Provider die Domain von seinen Nameservern, etwa wegen Nichtzahlung, schreibt nic.at den Inhaber an und gibt ihm vier Wochen Zeit, neue Nameserver zu nennen. Reagiert niemand, wird die Domain gelöscht (ebenda).

Generische Endungen wie .com laufen ab. Für sie gelten die Regeln der ICANN. Der Registrar muss vor dem Ablauf zwei Erinnerungen schicken, eine „between 26-35 days“ und eine zwischen 4 und 10 Tagen vorher, und innerhalb von fünf Tagen nach dem Ablauf eine weitere (ICANN, Expired Registration Recovery Policy). Nach dem Ablauf schaltet er die DNS-Auflösung ab, mindestens für die letzten acht Tage, in denen die Domain noch verlängerbar ist. Website und Mail fallen also aus, bevor die Domain weg ist. Eine Kulanzfrist nach dem Ablauf schreibt die ICANN nicht vor, die regelt jeder Registrar selbst (ICANN, FAQ Verlängerung). Wird die Domain gelöscht, folgen 30 Tage Redemption Grace Period, in denen sie sich über denselben Registrar wiederherstellen lässt, danach fünf Tage „PendingDelete“ und die freie Vergabe.

Andere Länderendungen wie .de oder .eu folgen den Regeln ihrer eigenen Registry.

Die Erinnerungen kommen per Mail. Deshalb hängt fast alles an der Frage, wohin.

Wie sicherst du das Konto beim Registrar ab?#

Das BSI nennt den Zugang zur Kundenoberfläche des Registrars als Einfallstor für Domain-Hijacking: Die Authentisierung erfolge „häufig ausschließlich über eine Benutzerkennung und ein häufig schwaches Passwort“, oft dieselben Zugangsdaten für alle Domains eines Inhabers (BSI-CS 111, Sichere Bereitstellung von Domaindienstleistungen, Version 1.00 vom 30.01.2015). Der Weg dauert eine Viertelstunde:

1. Eigenes Konto, eigener Name. Das Kundenkonto gehört dem Betrieb, nicht der Agentur. Ein Dienstleister bekommt, wo möglich, eigene Zugangsdaten statt deines Passworts.
2. Zweiten Faktor einschalten. Authenticator-App oder Sicherheitsschlüssel, nicht SMS, wo es die Wahl gibt. Das BSI rät: „Wenden Sie eine Zwei-Faktor-Authentisierung an, sobald ein Online-Dienst dies ermöglicht“ (BSI, Zwei-Faktor-Authentisierung). Wiederherstellungscodes ausdrucken und ablegen.
3. Kontaktadresse auf eine andere Domain legen. Das BSI schreibt dazu: „Kontakt-E-Mail-Adressen nutzen häufig die gleiche Domain, sodass bei Veränderungen der Benachrichtigungsweg gestört ist“, und empfiehlt eine Adresse auf einer anderen Domain (BSI-CS 111). Liegt office@betrieb.at auf der Domain, um die es geht, erreicht dich die Ablaufwarnung genau dann nicht, wenn die Domain nicht mehr auflöst. Abhilfe: eine Adresse bei einem anderen Mailanbieter, die zwei Personen lesen.
4. Zahlungsmittel prüfen. Die hinterlegte Karte muss über den nächsten Verlängerungstermin hinaus gültig sein. Bei .com automatische Verlängerung einschalten.
5. Benachrichtigungen einschalten. Wenn der Registrar Mails bei Anmeldung, Änderung der DNS-Daten oder Transferanfragen anbietet: alle an. Das BSI warnt, dass Angreifer „regelmäßig“ versuchen, solche Benachrichtigungen zu unterbinden. Darum gehören sie an die Adresse aus Schritt 3.

Mails über eine auslaufende Domain sind ein beliebter Phishing-Köder; geprüft wird im Kundenkonto, nicht in der Mail, siehe Phishing im Namen des Hosters.

Transfersperre und Auth-Code#

Wer den Transfer-Code hat, kann die Domain zu einem anderen Registrar mitnehmen.

Bei .at heißt er Authinfo, „eine einmalige Ziffern/Zahlenkombination, die einer bestimmten Domain zugeordnet ist“. Der Inhaber fordert ihn beim bisherigen Registrar an und gibt ihn dem neuen. Alternativ fordert der neue Registrar bei nic.at einen Bestätigungs-Token an, der per Mail an den Inhaber geht; er ist 21 Tage gültig und an diesen Registrar gebunden. Zwei Sätze aus der FAQ sind für die Sicherheit wichtig (nic.at, FAQ Domain-Inhaber):

• „Ihr aktueller Registrar muss Ihnen die Authinfo bekannt geben, auch wenn z. B. noch alte Rechnungen offen sind.“ Eine Agentur kann die Domain also nicht wegen eines Streits festhalten.
• „Der Registrar sollte nach erfolgreichem Transfer eine neue Authinfo setzen, da ansonsten die alte ihre Gültigkeit behält.“ Nach jedem Wechsel nachfragen, ob das passiert ist.

Bei gTLDs muss der Registrar den Code innerhalb von fünf Kalendertagen herausgeben oder ihn dich selbst erstellen lassen. Nach einer Änderung der Kontaktdaten ist ein Transfer in der Regel 60 Tage lang gesperrt (ICANN, Transfer Policy). Dazu kommt die Registrarsperre clientTransferProhibited, die der Registry sagt, Transferanfragen abzulehnen (ICANN, EPP-Statuscodes). Sie gehört eingeschaltet und wird nur für einen gewollten Wechsel kurz gelöst.

Security-Lock und Registry Lock#

Die Transfersperre setzt der Registrar. Wer sein Konto übernimmt, kann sie auch lösen. Eine Ebene darüber sperrt die Registry selbst.

Für .at bietet nic.at das Security-Lock an. Ist es aktiv, „muss der/die Domain-Inhaber:in oder Berechtigte jegliche Änderung an der Domain per Mail autorisieren“: nic.at schickt einen Link, über den du die Änderung ansiehst und bestätigst oder ablehnst. Es kostet 250 Euro ohne USt pro Jahr und Domain, gilt unbefristet und erlischt bei Kündigung oder Inhaberwechsel (nic.at, Security-Lock, nic.at, FAQ Domain-Sicherheit). Wer die Domain über einen Provider verwaltet, beantragt es dort.

Für gTLDs heißt das Gegenstück Registry Lock. Die Statuscodes serverTransferProhibited, serverUpdateProhibited und serverDeleteProhibited setzt die Registry; laut ICANN bieten „some Registry Operators“ das an, beantragt wird es über den Registrar (ICANN, EPP-Statuscodes). Lösen dauert länger, weil der Registrar die Anfrage an die Registry weiterreichen muss. Genau das ist der Schutz.

Für einen kleinen Betrieb ist das nicht der erste Schritt. Es lohnt sich, wenn an der Domain Umsatz hängt und die Schritte oben erledigt sind.

DNS-Änderungen bemerken#

Ein Angreifer im Registrar-Konto muss die Domain nicht stehlen. Es genügt, die Nameserver oder den MX-Eintrag umzustellen, und Mails landen bei ihm. Das BSI beschreibt genau diese Folge: Kontrollverlust kann „eine Veränderung der DNS-Konfiguration („Domain-Hijacking“) bewirken sowie eine Umleitung von Internetverkehr zu fremden maliziösen Zielen“ (BSI-CS 111).

1. Die wichtigsten Einträge einmal sichern: dig NS betrieb.at, dig MX betrieb.at, dig TXT betrieb.at, die Ausgabe in eine Datei. Was die Einträge bedeuten, steht in DNS-Einträge erklärt, wie man sie abfragt, in DNS-Eintrag prüfen.
2. Einmal im Monat dieselben Abfragen wiederholen und vergleichen. Ein neuer Nameserver oder ein fremder MX, den niemand bestellt hat, ist ein Vorfall, kein Versehen.
3. Die Benachrichtigungen des Registrars sind schneller, der eigene Vergleich fängt den Fall, in dem sie unterdrückt wurden.

DNSSEC in einem Absatz#

DNSSEC ist laut nic.at eine Erweiterung, die „die Echtheit und Vollständigkeit von DNS-Antworten“ garantiert (nic.at, FAQ Domain-Sicherheit). Es schützt gegen gefälschte Antworten unterwegs, nicht gegen jemanden, der mit deinen Zugangsdaten im Registrar-Konto sitzt. Vor einem Registrarwechsel prüfen, ob der neue DNSSEC unterstützt: Sonst werden die DS-Einträge beim Transfer laut nic.at automatisch entfernt und die Domain ist nicht mehr signiert (nic.at, FAQ Domain-Sicherheit). Erster Ansprechpartner zum Einschalten ist laut nic.at der Registrar, prüfen lässt es sich wie im Abschnitt DNSSEC im Beitrag zum MX-Eintrag beschrieben. Der Security-Scan meldet es ebenfalls.

Tippfehler-Domains und Doppelgänger#

Domains werden laut BSI auch „häufig ausschließlich mit der Absicht registriert, Schadsoftware zu verbreiten oder Phishing-Angriffe durchzuführen“ (BSI-CS 111). Für einen kleinen Betrieb heißt das meist: betrieb-at.com, betrieb.co oder ein vertauschter Buchstabe, von dem aus Rechnungen mit geänderter Kontonummer an Kunden gehen.

Alle Varianten zu registrieren ist weder bezahlbar noch nötig. Sinnvoll sind die zwei, drei naheliegenden und eine gelegentliche Suche in den Zertifikatsprotokollen. Chrome vertraut einem öffentlichen TLS-Zertifikat nur, wenn es dort eingetragen ist (Chrome CT Policy). Wer eine Doppelgänger-Domain mit HTTPS betreibt, hinterlässt dort also fast immer eine Spur, durchsuchbar etwa über crt.sh.

Findet sich eine, gibt es zwei Wege. Bei .at kann jeder, der eine mögliche Rechtsverletzung nachweist, einen Wartestatus beantragen, der den Inhaberwechsel bis zur Einigung oder zum Urteil sperrt (nic.at, Domainrecht). Bei gTLDs gibt es für Markeninhaber das UDRP-Verfahren gegen missbräuchliche Registrierungen (ICANN, UDRP). Wie Absenderfälschung mit und ohne fremde Domain funktioniert, steht in E-Mail-Spoofing.

Was nicht hilft#

Die Domain bei der Agentur „mitlaufen“ lassen. Das ist bequem, bis die Agentur schließt, verkauft wird oder nicht mehr antwortet. Dann hängt alles am guten Willen eines Dritten.

DNSSEC als Diebstahlschutz. Es schützt die Antworten, nicht das Konto. Wer im Registrar-Konto sitzt, ändert Nameserver und DS-Einträge gleich mit.

Die Authinfo „zur Sicherheit“ per Mail an alle Beteiligten. Sie bleibt gültig, bis jemand eine neue setzt.

Prüfliste#

• [ ] Im Whois oder per Domain-Zertifikat geprüft: Inhaber ist der Betrieb, nicht Agentur oder Mitarbeiter
• [ ] Liste aller .at-Domains bei nic.at angefordert, vergessene Domains zugeordnet
• [ ] Telefonnummer (Pflicht seit 01.10.2026) und Mailadresse beim Inhaber aktuell
• [ ] Registrar-Konto auf den Betrieb, mit zweitem Faktor und abgelegten Wiederherstellungscodes
• [ ] Kontaktadresse auf einer anderen Domain, von mindestens zwei Personen gelesen
• [ ] Zahlungsmittel gültig über den nächsten Verlängerungstermin hinaus, bei gTLDs automatische Verlängerung an
• [ ] Transfersperre (clientTransferProhibited) gesetzt
• [ ] Nach dem letzten Registrarwechsel neue Authinfo gesetzt
• [ ] Benachrichtigungen bei Änderungen und Transfers eingeschaltet
• [ ] NS-, MX- und TXT-Einträge gesichert, monatlicher Vergleich im Kalender
• [ ] Bei Umsatz an der Domain: Security-Lock (.at) oder Registry Lock (gTLD) erwogen
• [ ] Naheliegende Varianten der Marke registriert, Zertifikatsprotokolle gelegentlich durchsucht

Häufige Fragen#

Der ehrliche Schluss#

Fast jeder Verlustweg oben läuft über eine Mail: die Ablauferinnerung, die Aufforderung zur Datenprüfung, die Zonenlöschung, die Änderungsbenachrichtigung. Inhaber, Kontaktadresse und Zahlungsmittel sind deshalb die halbe Stunde, die sich am meisten lohnt. Ob die Mail-Seite der Domain ebenso dicht ist, zeigt der E-Mail-Check, was SPF, DKIM und DMARC dafür leisten, steht in DKIM und DMARC.