Ein Registrar Lock ist eine Sperre, die dein Registrar setzt und die du im Kundenkonto selbst ein- und ausschalten kannst, meist als Status clientTransferProhibited. Sie verhindert ungewollte Transfers. Ein Registry Lock setzt die Registry selbst, und jede Änderung braucht eine zusätzliche Bestätigung außerhalb deines Kontos. Er schützt deshalb auch, wenn dein Registrar-Konto gehackt wurde.
Fast jede Domain hat eine Sperre. Die Frage ist nur, welche, und wer sie aufheben kann. Viele Inhaber sehen im Kundenkonto „Domain gesperrt: ja“ und halten das Thema für erledigt. Ein Registrar Lock schützt aber vor einem anderen Szenario als ein Registry Lock, und den Unterschied merkt man erst, wenn das eigene Konto in fremden Händen ist.
Was ist ein Registrar Lock?
Ein Registrar Lock ist ein Status, den dein Registrar bei der Registry setzt. Das Protokoll, über das Registrare mit Registries sprechen, heißt EPP. Seine Statuswerte sind in RFC 5731 festgelegt, und die Werte, die mit client beginnen, setzt der Registrar:
| Status | Was er verhindert |
|---|---|
clientTransferProhibited | Umzug zu einem anderen Registrar |
clientUpdateProhibited | Änderung von Kontakten und Nameservern |
clientDeleteProhibited | Löschung der Domain |
clientHold | Domain wird nicht mehr im DNS veröffentlicht |
Im Alltag ist mit „Registrar Lock“ meist clientTransferProhibited gemeint. Diesen Status schaltest du selbst im Kundenkonto ein und aus. Genau darin liegt seine Grenze: Wer dein Konto übernimmt, kann ihn genauso schnell ausschalten wie du.
Was ist ein Registry Lock?
Beim Registry Lock setzt die Registry selbst die Status, und zwar die server-Varianten:
| Status | Gesetzt von | Aufheben über |
|---|---|---|
serverTransferProhibited | Registry | Bestätigung außerhalb des Kundenkontos |
serverUpdateProhibited | Registry | Bestätigung außerhalb des Kundenkontos |
serverDeleteProhibited | Registry | Bestätigung außerhalb des Kundenkontos |
Der entscheidende Punkt ist die Bestätigung außerhalb des Kundenkontos. Selbst wenn ein Angreifer dein Passwort, deine Mails und deinen zweiten Faktor hat, kann er ohne diesen zusätzlichen Weg weder Nameserver noch Inhaber ändern.
So sieht das in der Praxis aus
Bei Domains großer Firmen sind meist beide Arten gesetzt. Die Whois-Abfrage für google.com zeigt das gut:
whois google.com | grep "Domain Status"Domain Status: clientDeleteProhibited https://icann.org/epp#clientDeleteProhibited
Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited
Domain Status: clientUpdateProhibited https://icann.org/epp#clientUpdateProhibited
Domain Status: serverDeleteProhibited https://icann.org/epp#serverDeleteProhibited
Domain Status: serverTransferProhibited https://icann.org/epp#serverTransferProhibited
Domain Status: serverUpdateProhibited https://icann.org/epp#serverUpdateProhibitedDrei Sperren vom Registrar, drei von der Registry. Die Links hinter jedem Status führen zur Erklärseite der ICANN zu den EPP-Statuswerten. Für die meisten Domains reicht die erste Zeile, also clientTransferProhibited.
Wie das bei .de funktioniert
Bei .de gibt es keine client-Status wie bei .com. Die DENIC arbeitet mit einem anderen Modell: Ein Transfer zu einem neuen Registrar braucht einen gültigen AuthInfo-Code, und den erzeugt dein Registrar nur auf Anforderung. Solange kein Code existiert, kann niemand die Domain umziehen. Die Whois-Abfrage zeigt für eine normale, aktive .de-Domain einfach Status: connect.
Für den Schutz gegen gekaperte Konten bietet die DENIC den .de Registry Lock an. Er ist kostenpflichtig und wird über den Registrar beauftragt. Der Inhaber benennt eine natürliche Person als Lock-Kontakt. Wird eine Änderung beantragt, bekommt dieser Kontakt ein Freigabe-Token auf sein Mobiltelefon und eine Mail. Bestätigt er nicht innerhalb von sieben Tagen, lehnt die DENIC den Auftrag ab. Damit sind Inhaberdaten, Nameserver und Registrar gegen Änderungen über den normalen Weg gesperrt.
Lohnt sich ein Registry Lock?
Für die meisten privaten und kleinen Domains: nein. Eine Transfersperre, 2FA und eine eigene Mail-Adresse für das Registrar-Konto decken die häufigen Fälle ab.
Für Domains, an denen Geld, Kundendaten oder Mail-Verkehr eines Unternehmens hängen, sieht die Rechnung anders aus. Eine gekaperte Hauptdomain bedeutet Ausfall von Website und Mail, abgefangene Passwort-Resets und im schlimmsten Fall Phishing unter deinem echten Namen. Gegen die schwerste Form, das DNS-Hijacking über geänderte Nameserver, ist der Registry Lock der wirksamste Schutz.
Der Preis dafür ist Trägheit. Jede Nameserver-Änderung dauert länger. Wer häufig DNS-Anbieter wechselt oder Nameserver automatisiert umschaltet, muss das einplanen.
Registry Lock einrichten: was du vorher klären solltest
Ein Registry Lock ist schnell beauftragt und mühsam, wenn er schlecht geplant ist. Vier Fragen solltest du vorher beantworten.
Wer ist der Lock-Kontakt? Bei .de muss es eine natürliche Person sein, die erreichbar ist, wenn Änderungen anstehen. Eine Person, die im Urlaub ist oder die Firma bald verlässt, macht dich handlungsunfähig. Überlege, wie du den Kontakt wechselst, bevor du ihn brauchst. Die DENIC sieht dafür ein eigenes Verfahren über den Registrar vor.
Welche Domains? Typisch sind die Hauptdomain, die Domain für Mail, falls sie abweicht, und Domains, unter denen Zahlungen oder Logins laufen. Kampagnenseiten und Weiterleitungsdomains brauchen das selten.
Wie oft ändern sich die Nameserver? Wenn du DNS-Anbieter regelmäßig wechselst oder Nameserver aus Automatisierungen heraus umstellst, wird jeder Vorgang zur Freigabe. Bei den meisten Unternehmen ändern sich Nameserver aber nur alle paar Jahre.
Was passiert im Notfall? Musst du wegen eines Ausfalls beim DNS-Anbieter schnell umziehen, bremst dich der Lock. Kläre vorab mit deinem Registrar, wie schnell eine Freigabe im besten Fall durchläuft, und dokumentiere den Ablauf an einem Ort, den mehrere Personen kennen.
Hast du diese Fragen geklärt, ist die Einrichtung meist ein Formular beim Registrar und eine Bestätigung per Mail an Inhaber, Registrar und Lock-Kontakt.
Was die Sperren nicht abdecken
Keine dieser Sperren schützt einzelne DNS-Einträge, wenn deine Zone bei einem DNS-Anbieter liegt. Ändert jemand dort den A-Eintrag, bleibt die Domain formal unverändert. Dagegen hilft nur ein gut gesicherter Zugang zum DNS-Anbieter mit Zwei-Faktor-Anmeldung.
Ebenso wenig schützen Sperren gegen den Ablauf der Domain. Wird sie nicht verlängert, wird sie trotz Lock gelöscht. Wie du das vermeidest, steht unter Domain-Ablauf verhindern.
Nächster Schritt
Frag einmal per Whois den Status deiner wichtigsten Domain ab. Steht bei einer .com, .net oder .org kein clientTransferProhibited, schalte die Sperre im Kundenkonto ein. Bei betadomain bekommst du .com-Domains mit DNSSEC zum festen Jahrespreis, und für .de findest du die Bedingungen auf der Seite zur .de-Endung. Wenn du ohnehin aufräumst, prüf auch, ob die wichtigsten Varianten deines Domainnamens noch frei sind.
Schritt für Schritt
- Status prüfenPer Whois nachsehen, welche Domain-Status gesetzt sind, etwa clientTransferProhibited.
- Transfersperre aktivierenIm Registrar-Konto die Transfersperre für jede gTLD-Domain einschalten, wenn sie nicht aktiv ist.
- Kritische Domains auswählenFestlegen, welche Domains so wichtig sind, dass sich ein kostenpflichtiger Registry Lock lohnt.
- Registry Lock beantragenBeim Registrar den Registry Lock beauftragen und eine verlässliche Kontaktperson mit Mobilnummer benennen.
- Ablauf dokumentierenNotieren, wer Änderungen freigeben kann und wie lange das dauert, damit niemand im Ernstfall suchen muss.
Domain gefunden? Prüfen und registrieren kannst du sie direkt bei Domain ohne Lockvogelpreis – Jahrespreis ab 2,99 €.
Häufige Fragen
Ist meine Domain automatisch gesperrt?
Bei vielen Registraren ist die Transfersperre für gTLDs standardmäßig aktiv, aber nicht bei allen. Eine Whois-Abfrage zeigt es dir: Steht dort clientTransferProhibited, ist die Sperre gesetzt. Bei .de gibt es diesen Status nicht, dort schützt der AuthInfo-Code.
Was kostet ein Registry Lock?
Das hängt von Registry und Registrar ab. Die DENIC bietet den .de Registry Lock als kostenpflichtiges Zusatzprodukt an, das Registrare an ihre Kunden weitergeben. Bei .com und .net bietet Verisign einen Registry Lock über teilnehmende Registrare an. Rechne mit deutlich mehr als dem normalen Domainpreis.
Kann ich trotz Registrar Lock Nameserver ändern?
Ja, wenn nur clientTransferProhibited gesetzt ist. Dieser Status blockiert ausschließlich Transfers. Für Änderungen gibt es den separaten Status clientUpdateProhibited, den manche Registrare als zusätzliche Option anbieten.
Wie lange dauert es, einen Registry Lock aufzuheben?
Das ist gewollt langsam. Beim .de Registry Lock muss die benannte Lock-Kontaktperson jede Änderung mit einem Token bestätigen, das per SMS kommt. Ohne Bestätigung innerhalb von sieben Tagen wird der Auftrag abgelehnt. Plane Änderungen an gesperrten Domains deshalb im Voraus.