Wem gehört eine Website? Vier Wege und ein Antrag

Die Frage steht meist unter Zeitdruck: Ein Shop verlangt Vorkasse, eine Rechnung verweist auf eine Adresse, die man nicht kennt, ein Angebot klingt zu gut. Herausfinden lässt sich der Betreiber, aber nicht auf dem Weg, den die meisten zuerst versuchen. Das Domain-Register gibt bei Privatpersonen seit der DSGVO keinen Namen mehr heraus. Wer dort sucht, findet eine Schwärzung und schließt daraus zweierlei zu Unrecht: dass es nichts zu finden gebe, und dass das auch für Firmen gelte.

Vier Wege führen weiter, dazu ein fünfter für den Ernstfall. Sie beantworten verschiedene Fragen, und keiner beantwortet alle.

Weg 1: Das Impressum#

In Österreich verpflichtet § 5 E-Commerce-Gesetz Diensteanbieter zu Name, Anschrift, Kontaktmöglichkeit und, soweit vorhanden, Firmenbuchnummer und Firmenbuchgericht; in Deutschland tut das § 5 Digitale-Dienste-Gesetz. Das ist die einzige Quelle, die eine natürliche oder juristische Person benennen muss. Alles Weitere unten sagt etwas über Technik, nicht über Menschen. Und sie ist belastbarer als jede Registerauskunft: Der Domaininhaber kann eine Agentur sein, ein früherer Mitarbeiter oder ein Dienstleister. Wer im Impressum steht, haftet.

Der Prüfstein ist die Registernummer, nicht der Name. Ein Name lässt sich behaupten; eine Firmenbuch- oder Handelsregisternummer lässt sich nachschlagen, und dort steht, ob es die Gesellschaft gibt, seit wann, und wer sie vertritt. Fehlt die Nummer bei einer GmbH, ist das kein Formfehler, sondern ein Befund. Eine Postfachadresse genügt nicht. Und am deutlichsten ist es, wenn gar kein Impressum da steht: Bei einem Shop, der Geld entgegennimmt, ist das kein Versehen. Was sonst noch hineingehört, steht unter Impressum prüfen.

Weg 2: Das Register, und wann es doch einen Namen hergibt#

Die klassische WHOIS-Auskunft wird durch RDAP abgelöst (RFC 9083). Bei generischen Endungen steht dort bei Privatpersonen ein Treuhänder statt des Inhabers. In eigener Sache: Für diese Domain liefert der Port-43-Dienst am 03.10.2026 Registrant Organization: c/o whoisproxy.com, der RDAP-Eintrag eine geschwärzte Kontaktkarte, beide aber den Registrar (Key-Systems GmbH), die Nameserver und das Registrierungsdatum. Wie man die Daten liest und wo sie bei .de fehlen, steht unter Wann wurde eine Domain registriert?

Bei einer Firma unter .de sieht es anders aus, und das wird fast überall falsch wiedergegeben. Nach der DENIC-Dokumentation sind bei juristischen Personen Name, Anschrift, E-Mail und Telefonnummer im Web-Whois einsehbar. Gesperrt sind die Daten natürlicher Personen. Bei einer GmbH lohnt der Blick also zuerst dorthin, und zwar über die Weboberfläche, nicht über Port 43, der bei .de weder Halter noch Datum ausgibt.

Weg 3: Technik statt Person#

Wer eine Seite betreibt, ist nicht immer, wer sie besitzt, und die technische Spur ist dafür oft aussagekräftiger als ein Name. Aus Antwort-Kopfzeilen und Quelltext lassen sich Server, CMS, Shop-System und die eingesetzten Messwerkzeuge ablesen. Das beantwortet Fragen, die kein Register beantwortet: Läuft der „individuell entwickelte“ Shop auf einem Baukasten? Teilen sich zwei angeblich unabhängige Anbieter dieselbe Infrastruktur?

Wie viel Startseiten von sich preisgeben, habe ich am 03.10.2026 an 131 Tiroler Websites gezählt: 77 nennen ihr CMS im Generator-Tag, 33 senden X-Powered-By, 45 binden Google Analytics ein. Die Tabelle dazu steht in Eine fremde Website prüfen. Der Tech-Stack-Checker liest dasselbe für eine beliebige Adresse aus.

Der schärfste Hinweis ist die Analyse-Kennung. Kennungen von Messdiensten und Tag-Managern sind pro Konto vergeben, nicht pro Seite. Zwei Auftritte mit derselben Kennung gehören mit hoher Wahrscheinlichkeit demselben Betreiber, auch wenn die Impressen verschiedene Namen tragen.

Weg 4: Was früher dort stand#

Domains wechseln den Besitzer, Impressen werden ausgetauscht, unbequeme Seiten verschwinden. Das Internet Archive zeigt frühere Fassungen, und damit häufig ein älteres Impressum, das noch einen Namen trug, oder ein anderes Geschäftsmodell unter derselben Adresse. Für cyberscale.io reicht die erste Erfassung bis zum 07.01.2026 zurück; was damals dort stand, sieht jeder.

Ebenso aufschlussreich sind die Zertifikatsprotokolle (RFC 6962): Darin stehen alle Namen, für die jemand je ein Zertifikat beantragt hat, also auch Subdomains, die nirgends verlinkt sind. Ein intern. oder staging. in dieser Liste sagt mehr über die Größe eines Betriebs als jede Selbstdarstellung.

Weg 5: Der Antrag bei der DENIC#

Für .de gibt es einen geordneten Weg zum Namen. Er steht nicht jedem mit einem „berechtigten Interesse“ offen. Die DENIC nennt fünf Gruppen, jede mit eigener Voraussetzung und eigenem Formular:

• Namens- und Kennzeichenrechtsinhaber, die belegen, dass die Domain ihr Recht verletzen könnte
• Behörden, die hoheitlich tätig werden
• zivilrechtliche Gläubiger mit einem vollstreckbaren Titel gegen den Inhaber
• Insolvenzverwalter über das Vermögen eines mutmaßlichen Inhabers
• Geschädigte, die glaubhaft machen, persönlich erheblich von rechtswidrigen Inhalten betroffen zu sein

Wer in keine dieser Gruppen fällt, bekommt den Namen nicht. Der Verdacht, betrogen worden zu sein, ist noch kein vollstreckbarer Titel. Für einen laufenden Betrugsfall ist der Antrag deshalb selten die erste Wahl; für eine Abmahnung oder Klage ist er der richtige Weg. Für .at gibt es kein vergleichbares Verfahren der nic.at für Private; dort führt der Weg über Anwalt oder Behörde.

Die Grenze, die alle Wege teilen#

Eine Firma im Impressum ist noch keine Antwort auf die Frage, wer verantwortlich ist. Eine Gesellschaft mit Sitz im Ausland und einem Direktor, den es hundertfach gibt, ist rechtlich einwandfrei und praktisch nichtssagend. Umgekehrt sagt ein Treuhänder im Register nichts Schlechtes.

Für die Entscheidung „kaufe ich hier“ zählt deshalb das Zusammenspiel: Passen Domainalter, Impressum, Registereintrag und Technik zusammen, oder widersprechen sie sich? Die Reihenfolge dafür steht in Eine fremde Website prüfen.

Stand 03.10.2026. Quellen abgerufen und Befehle nachgestellt am selben Tag.