Domain-Sicherheit: Whois Protect und DNS richtig aufsetzen

Domain-Sicherheit wird meist erst dann zum Thema, wenn etwas passiert ist – eine Domain, die plötzlich woanders hinzeigt, ein Registrar-Transfer, den niemand veranlasst hat, oder eine Whois-Adresse, die Spammern eine direkte Angriffsfläche liefert. Dabei lässt sich Domain-Sicherheit mit ein paar soliden Grundeinstellungen zuverlässig absichern, ohne dass es kompliziert wird.

Domain-Hijacking verstehen

Domain-Hijacking beschreibt die unautorisierte Übernahme einer Domain – meist über gestohlene Zugangsdaten beim Registrar-Konto, einen Social-Engineering-Angriff auf den Support, oder eine unzureichend geschützte Transfer-Freigabe. Die Folgen reichen von einer kurzfristig umgeleiteten Website bis zum kompletten Verlust der Domain an einen Dritten, der sie dann zum Verkauf anbietet oder für Phishing missbraucht.

Das Tückische: Ein erfolgreicher Hijack betrifft nicht nur die Website. Sobald jemand die DNS-Kontrolle über eine Domain hat, kann er auch E-Mails abfangen oder umleiten – inklusive Passwort-Reset-Mails für andere Dienste, die auf diese Domain vertrauen. Eine gehijackte Domain ist damit oft der Türöffner für weitere Angriffe, nicht nur ein Website-Problem.

Registrar-Lock und Whois-Privacy

Registrar-Lock (Transfer-Lock)

Der Registrar-Lock verhindert, dass eine Domain ohne explizite Freigabe zu einem anderen Registrar transferiert wird. Er sollte für jede geschäftskritische Domain standardmäßig aktiv sein. Ein Transfer erfordert dann zusätzlich eine manuelle Entsperrung – ein kleiner Zusatzschritt, der einen unautorisierten Transferversuch zuverlässig stoppt.

Whois-Privacy (Whois Protect)

Ohne Whois-Privacy sind Name, Adresse, Telefonnummer und E-Mail-Adresse des Domain-Inhabers öffentlich abrufbar – ein direktes Ziel für Spam, Social Engineering und gezielte Phishing-Versuche gegen die im Whois genannte Kontaktperson. Whois Protect ersetzt diese Daten in der öffentlichen Abfrage durch anonymisierte Platzhalter, während die eigentlichen Daten beim Registrar für rechtliche Zwecke hinterlegt bleiben. Als akkreditierter Registrar bei Denic, Nic.at und Switch bieten wir Whois Protect direkt bei der Registrierung an – ein einmaliger Konfigurationsschritt mit dauerhaftem Effekt.

DNS-Redundanz in der Praxis

Ein einzelner DNS-Server ist ein Single Point of Failure: Fällt er aus, ist die Domain für die Außenwelt praktisch unerreichbar, selbst wenn die dahinterliegende Website oder der Mailserver einwandfrei laufen. DNS-Redundanz bedeutet, die Namensauflösung über mehrere, idealerweise geografisch und netzwerktechnisch getrennte, Nameserver bereitzustellen. Fällt einer aus, beantworten die übrigen die Anfragen weiter – für Besucher und Mailserver bleibt die Domain durchgehend erreichbar.

In der Praxis bedeutet das: mindestens zwei, besser drei Nameserver von unterschiedlichen Anbietern oder zumindest unterschiedlichen Netzsegmenten, kurze aber sinnvolle TTL-Werte (damit Änderungen im Ernstfall schnell greifen, ohne die Nameserver mit Anfragen zu überlasten), und ein regelmäßiger Blick in die Konfiguration – DNS-Einträge, die vor Jahren gesetzt wurden und niemand mehr zuordnen kann, sind ein häufiger Fund bei Übernahmen bestehender Infrastrukturen.

DNSSEC kurz erklärt

DNSSEC signiert DNS-Antworten kryptografisch und verhindert damit DNS-Spoofing – also dass ein Angreifer gefälschte DNS-Antworten einschleust, um Besucher unbemerkt auf eine andere (bösartige) Seite umzuleiten. Für die meisten KMU ist DNSSEC keine Pflicht, aber ein sinnvoller zusätzlicher Schutzlayer, insbesondere wenn sensible Formulare, Logins oder Zahlungen über die Domain laufen. Die Aktivierung ist beim Registrar meist ein einzelner Schalter – der eigentliche Aufwand liegt in der korrekten Pflege der Schlüssel bei DNS-Änderungen.

Domain-Verwaltung als laufender Prozess

Viele der oben genannten Risiken entstehen nicht bei der ersten Registrierung, sondern schleichend über Jahre: eine Domain, die vor fünf Jahren für eine Kampagne registriert wurde und seither niemand mehr betreut; ein Admin-Kontakt, der das Unternehmen längst verlassen hat; DNS-Einträge, die auf einen Server zeigen, der schon lange abgeschaltet ist. Domain-Sicherheit ist deshalb kein einmaliges Setup, sondern ein laufender Prozess, der in vielen Unternehmen niemandem konkret zugeordnet ist – und genau deshalb liegen bleibt, bis etwas schiefgeht.

Ein einfacher, aber wirksamer Ansatz ist ein jährliches Domain-Audit: Welche Domains besitzen wir, wozu wird jede einzelne genutzt, wer ist als Kontakt hinterlegt, laufen die Nameserver noch über den richtigen Anbieter, und ist Auto-Renewal für jede aktiv? Bei mehr als einer Handvoll Domains lohnt sich eine zentrale Übersicht, statt sich auf das Gedächtnis einzelner Mitarbeiter zu verlassen. Gerade bei Domain-Portfolios, die über Jahre gewachsen sind – oft durch mehrere Marketingaktionen, Rebrandings oder Übernahmen – ist eine solche Bestandsaufnahme meist überfälliger als gedacht.

Praxis-Checkliste

1. Registrar-Lock für alle geschäftskritischen Domains aktivieren.
2. Whois Protect / Whois-Privacy einschalten.
3. Zugangsdaten zum Registrar-Konto mit Zwei-Faktor-Authentifizierung absichern.
4. Mindestens zwei unabhängige Nameserver konfigurieren.
5. DNS-Einträge jährlich prüfen und verwaiste Einträge entfernen.
6. Auto-Renewal aktivieren, damit eine Domain nicht versehentlich verfällt.
7. Admin- und technische Kontaktadresse aktuell halten, nicht die eines ausgeschiedenen Mitarbeiters.
8. Optional: DNSSEC aktivieren, wenn sensible Daten über die Domain laufen.

Die meisten dieser Punkte sind einmalige Konfigurationsentscheidungen. Der eigentliche Wert entsteht durch Konsequenz: eine Domain-Verwaltung, die diese Punkte für jede neue Domain automatisch mitdenkt, statt sie erst nach einem Vorfall nachzuholen.

Was im Ernstfall zu tun ist

Trotz aller Vorsorge kann es vorkommen, dass eine Domain plötzlich anders reagiert als erwartet – eine Website, die nicht mehr erreichbar ist, E-Mails, die nicht ankommen, oder eine Whois-Abfrage, die einen unbekannten Inhaber zeigt. In diesem Moment zählt Geschwindigkeit. Der erste Schritt ist die Kontaktaufnahme mit dem Registrar, um zu klären, ob ein Transfer oder eine Änderung veranlasst wurde und von wem. Parallel sollte, sofern möglich, sofort ein Passwort-Reset für das Registrar-Konto ausgelöst und die Zwei-Faktor-Authentifizierung überprüft werden. Bei einem bestätigten Hijack ist eine schnelle Meldung an den Registrar und, je nach Top-Level-Domain, an die zuständige Vergabestelle entscheidend – viele Fälle lassen sich innerhalb weniger Stunden rückgängig machen, wenn schnell und mit den richtigen Nachweisen reagiert wird. Wer hier bereits eine feste Ansprechperson beim eigenen Registrar hat, gewinnt in dieser Situation wertvolle Zeit gegenüber einem anonymen Support-Ticket.