Der Oktober ist in den Vereinigten Staaten der Cybersecurity Awareness Month und in der EU der Europäische Monat der Cybersicherheit. Die Kampagne 2026 der US-Behörde CISA, „Securing the Next 250“, stellt unter ihren vier Grundschritten das Vermeiden und Melden von Phishing-Betrug an die erste Stelle. In der EU ergab eine Eurobarometer-Umfrage, die die Europäische Kommission am 30. September 2026 veröffentlichte, dass drei von vier Beschäftigten in den sechs Monaten vor der Umfrage bei der Arbeit auf verdächtige E-Mails, Nachrichten oder Links gestoßen waren.
Website, E-Mail und Kunden-Logins eines Unternehmens hängen von seinen Domainnamen ab, und fünf Einstellungen entscheiden darüber, ob diese Namen gekapert, verloren oder gefälscht werden können.
Wer kontrolliert Ihre Domains?
Wer das Registrar-Konto und den Inhaberdatensatz hält. Prüfen Sie daher beides: die Sperre jedes Namens und die Kontaktdaten dahinter.
Ist Ihre Domain gegen Transfers gesperrt?
Das sollte sie sein. Bei .com und vielen Länderendungen zeigt es der öffentliche Datensatz der Domain: Die Registrar-Sperre erscheint als Statuscode clientTransferProhibited, der die Registry, wie die ICANN erklärt, anweist, Anträge auf einen Wechsel der Domain zu einem anderen Registrar abzulehnen. Die Codes clientUpdateProhibited und clientDeleteProhibited tun dasselbe für Änderungen und Löschung.
Manche Registries veröffentlichen keinen Sperrstatus, zum Beispiel nic.at für .at und die DENIC für .de. Fragen Sie in diesen Fällen Ihren Registrar, wie ein Transfer autorisiert wird.
Ein Registry Lock geht weiter. Codes, die mit server beginnen, etwa serverTransferProhibited, setzt die Registry, und manche Registries bieten sie als Sperrdienst an, der nur aufgehoben wird, wenn der Registrar dies bei der Registry beantragt. Fragen Sie Ihren Registrar, welche Ihrer Namen einen solchen Lock erhalten können.
Fragen Sie zur Prüfung die Domain mit unserer Whois-Abfrage ab, die die Statuscodes von bis zu 20 Namen auf einmal anzeigt, sofern die Registry sie veröffentlicht. Prüfen Sie dann, wer die Sperre aufheben kann: Die ICANN rät Inhabern, für ihr Registrar-Konto die Multi-Faktor-Authentifizierung zu aktivieren, wo sie verfügbar ist.
Sind Inhaber- und Admin-Kontakt korrekt?
Sie sollten das Unternehmen nennen, dem die Marke gehört, mit Adressen und Nummern, die es selbst kontrolliert. EU-Registries haben begonnen, diese Daten nach den nationalen Gesetzen zur Umsetzung der NIS2-Richtlinie zu verifizieren. EURid veröffentlichte eine Verifizierungsrichtlinie für .eu im Oktober 2024, und das österreichische NISG 2026 ist am 1. Oktober 2026 in Kraft getreten: .at-Inhaber müssen nun neben einer E-Mail-Adresse auch eine Telefonnummer angeben und mitwirken, wenn sie zur Verifizierung ihrer Daten aufgefordert werden.
Die österreichische Registry warnt, dass fehlende oder verspätete Nachweise zur Löschung der Domain führen können. Nach ihren NIS2-FAQ wird eine Domain, deren Daten nicht binnen 21 Tagen verifiziert sind, auf serverHold gesetzt, wodurch Website und E-Mail ausfallen, und widerrufen, wenn die Daten nicht binnen weiterer 30 Tage korrigiert werden.
Seit dem 1. Oktober veröffentlicht nic.at im Whois außerdem Telefonnummer und E-Mail-Adresse von Unternehmen als Domaininhaber, die diese Angaben bisher verbergen konnten. Daher empfiehlt die Registry eine zentrale Adresse und Nummer statt der persönlichen Angaben eines Mitarbeiters.
Ablaufhinweise und Verifizierungsanfragen gehen an diese Kontakte. Eine Domain, die auf einen ehemaligen Mitarbeiter, eine Agentur oder eine Tochtergesellschaft läuft, lässt sich nur schwer verlängern, transferieren oder verteidigen, und eine Kontaktadresse auf einer Domain, die ausläuft, kann jeder übernehmen, der diese Domain registriert. Fordern Sie zur Prüfung bei Ihrem Registrar den vollständigen Datensatz jeder Domain an, da das öffentliche Whois Inhaberdaten oft verbirgt, und vergleichen Sie den Inhaber mit dem eingetragenen Namen des Unternehmens.
Wer erhält die Ablaufhinweise für Ihre Domains?
Die E-Mail-Adresse des Inhabers. Für generische Endungen verpflichtet die Expired Registration Recovery Policy der ICANN die Registrare, mindestens zwei Erinnerungen zu senden, etwa einen Monat und etwa eine Woche vor dem Ablauf, sowie eine weitere binnen fünf Tagen nach dem Ablauf, falls der Name weder verlängert noch gelöscht wurde. Alle gehen an die E-Mail-Adresse des Domaininhabers in den Kontaktdaten.
Nach dem Ablauf kann ein Registrar eine Kulanzfrist für die automatische Verlängerung (Auto-Renew Grace Period) von 1 bis 45 Tagen anbieten. Wird eine generische Domain gelöscht, muss die Registry eine 30-tägige Redemption Grace Period anbieten, in der der Inhaber sie über den Registrar wiederherstellen kann, möglicherweise gegen eine Gebühr. Vor der Löschung und während der Redemption-Phase ist das DNS abgeschaltet, sodass Website und E-Mail ausfallen, auch Postfächer auf der Domain selbst. Die Registries der Länderendungen legen ihre eigenen Regeln fest.
Schalten Sie zur Absicherung für jeden genutzten Namen die automatische Verlängerung ein, hinterlegen Sie ein gültiges Zahlungsmittel, lassen Sie die Hinweise an ein gemeinsames Postfach auf einer anderen Domain senden, und listen Sie die Ablaufdaten der nächsten zwölf Monate auf.
Können Ihre Domains gefälscht werden?
Ja, im DNS und bei E-Mails, es sei denn, die Zone ist mit DNSSEC signiert und jede Domain veröffentlicht SPF und DMARC.
Ist DNSSEC aktiviert, und passen die Schlüssel noch?
Es sollte überall dort aktiviert sein, wo die Registry es unterstützt, mit einem DS-Eintrag bei der Registry, der weiterhin zu einem Schlüssel in Ihrer Zone passt. Ohne DNSSEC kann ein Resolver, wie die ICANN erklärt, nicht prüfen, ob eine DNS-Antwort echt ist, und ein Angreifer, der seinen Cache vergiftet, kann Nutzer auf eine Kopie Ihrer Website umleiten.
Unsere DNS-Zonenprüfung liest den DS-Eintrag bei der Registry und die Schlüssel in Ihrer Zone und zeigt an, ob sie zueinander passen, ohne die Signaturen zu prüfen. Fehlt der Schlüssel oder weicht er ab, können validierende Resolver die Domain nicht mehr auflösen; führen Sie die Prüfung daher nach jedem Wechsel des DNS-Anbieters durch. Nicht jede Registry unterstützt DNSSEC: Unsere Seite zur DNS-Verwaltung erklärt, wie wir damit umgehen.
Auch die Root-Zone des DNS hatte in diesem Monat einen eigenen Termin. Die ICANN plante, dass KSK-2024, der neue Key Signing Key der Root-Zone, am 11. Oktober 2026 das Signieren übernimmt. Ein Resolver, der ihm nicht vertraut (Key-Tag 38696), behandelt mit dem neuen Schlüssel signierte Antworten als manipuliert, sodass jede Abfrage fehlschlägt, wie es in den FAQ der ICANN heißt. Betreibt Ihr Unternehmen eigene validierende Resolver, prüfen Sie, ob der neue Schlüssel bei ihnen hinterlegt ist, wie es die Rollover-Seite der ICANN verlangt.
Authentifizieren alle Ihre Domains E-Mails, auch die, die keine versenden?
Das sollten sie, denn eine Domain, die keine E-Mails versendet, lässt sich ebenso leicht fälschen wie eine, die es tut. SPF nennt die Server, die ihre E-Mails versenden dürfen, DKIM signiert jede Nachricht, und DMARC teilt den empfangenden Servern mit, was mit E-Mails geschehen soll, die die Prüfungen nicht bestehen.
Das britische National Cyber Security Centre (NCSC) warnt, dass eine defensive Registrierung eine Domain allein nicht schützt, und rät, zuerst Domains ohne E-Mail-Versand zu schützen, da sie danach keine Pflege mehr brauchen. Es nennt vier Einträge, die in dieser Reihenfolge zu setzen sind:
- SPF ohne zugelassene Absender: v=spf1 -all;
- DMARC unter _dmarc mit einer Reject-Richtlinie: v=DMARC1; p=reject, dazu eine Berichtsadresse, um Missbrauch zu erkennen;
- ein Null-MX-Eintrag, 0 ., wenn die Domain einen Adresseintrag, aber keinen Mailserver hat;
- optional ein Wildcard-DKIM-Eintrag mit leerem Schlüssel, der zwischengespeicherte Schlüssel widerruft.
Für Domains, die E-Mails versenden, sieht der Umsetzungsplan des NCSC vor, DMARC mit der Richtlinie none zu beginnen, die nur Berichte sammelt, zu quarantine zu wechseln, sobald jeder legitime Absender die Prüfungen besteht, und dann zu reject. Die Zonenprüfung zeigt die SPF- und DMARC-Einträge jeder Domain. DKIM-Schlüssel liegen unter einem Selektor, den Ihre Mail-Plattform festlegt; prüfen Sie sie daher dort.
Was sollten Sie jetzt tun?
Führen Sie die fünf Prüfungen für jede Ihrer Domains durch und legen Sie dann für jede fest, wann sie wiederholt wird.
| Einstellung | So prüfen Sie | Wann erneut prüfen |
|---|---|---|
| Transfersperre und Kontozugang | Whois-Statuscodes, sofern die Registry sie veröffentlicht; Nutzer des Registrar-Kontos und Multi-Faktor-Authentifizierung | Wenn jemand mit Kontozugang das Unternehmen verlässt |
| Kontaktdaten | Vollständiger Datensatz vom Registrar, abgeglichen mit den rechtlichen Angaben des Unternehmens | Nach einer Umstrukturierung und bei jeder Anfrage der Registry |
| Verlängerung und Ablauf | Automatische Verlängerung, Zahlungsmittel, Adresse für Hinweise, Ablaufdaten | Einen Monat vor jedem Ablaufdatum |
| DNSSEC | Zonenprüfung: Der DS-Eintrag passt zu einem Schlüssel in der Zone | Nach jedem Wechsel des DNS-Anbieters |
| SPF, DKIM, DMARC | Zonenprüfung; Mail-Plattform für DKIM; DMARC-Berichte | Wenn ein Dienst, der in Ihrem Namen E-Mails versendet, hinzukommt oder wegfällt |
Domgate registriert und verwaltet Länderdomains für Markeninhaber und deren Berater. Domgate veröffentlicht SPF-, DKIM- und DMARC-Einträge und stellt die DMARC-Richtlinie schrittweise auf reject um. Das Audit zur globalen Domainstrategie erfasst jeden Namen mit Inhaber, Kontakten und Ablaufdatum und legt dann Regeln für Verlängerungen und Sicherheit fest, einschließlich eines Registry Locks, wo die Endung diese Sperre anbietet.
