Für dein Domain-Konto ist ein Passkey oder ein Hardware-Sicherheitsschlüssel nach FIDO2 die beste Zwei-Faktor-Methode, weil er an die echte Domain des Registrars gebunden ist und auf Phishing-Seiten nicht funktioniert. Eine Authenticator-App ist die zweitbeste Wahl. SMS-Codes solltest du nur nutzen, wenn nichts anderes angeboten wird. Sichere zusätzlich das Postfach mit 2FA.
Wer in dein Registrar-Konto kommt, kontrolliert deine Domain. Und wer die Domain kontrolliert, bekommt deine Mails, kann Passwörter für fast alles andere zurücksetzen und unter deinem Namen Phishing betreiben. Das Registrar-Konto ist deshalb eines der wenigen Konten, bei denen 2FA keine Empfehlung ist, sondern Pflicht. Die Frage ist nur, welche Art.
2FA fürs Domain-Konto: die Methoden im Vergleich
Nicht jede Zwei-Faktor-Methode schützt gleich gut. Der Unterschied liegt darin, ob ein Angreifer den zweiten Faktor abfangen oder dir auf einer gefälschten Seite entlocken kann.
| Methode | Schutz gegen Datenleck-Passwörter | Schutz gegen Phishing-Seiten | Schutz gegen SIM-Swapping | Bemerkung |
|---|---|---|---|---|
| Passkey | Ja | Ja | Ja | An die Domain des Registrars gebunden |
| Sicherheitsschlüssel (FIDO2/WebAuthn) | Ja | Ja | Ja | Physischer Schlüssel per USB oder NFC |
| Authenticator-App (TOTP) | Ja | Nein | Ja | Code kann auf Fälschung eingegeben werden |
| Push-Bestätigung | Ja | Eingeschränkt | Ja | Gefahr durch reflexhaftes Bestätigen |
| SMS-Code | Ja | Nein | Nein | NIST: eingeschränkte Methode |
| E-Mail-Code | Ja | Nein | Ja | Nutzlos, wenn das Postfach übernommen ist |
Der wichtigste Unterschied steht in der dritten Spalte. Bei einer Authenticator-App tippst du einen sechsstelligen Code ein. Steht vor dir eine täuschend echte Kopie der Registrar-Seite, tippst du ihn dort ein, und der Angreifer leitet ihn in Sekunden weiter. Passkeys und Sicherheitsschlüssel funktionieren anders: Der Browser prüft die Domain und verweigert die Anmeldung auf einer Fälschung. Das ist der Grund, warum sie gegen Homograph-Angriffe und Tippfehler-Domains praktisch immun sind.
Warum SMS die schwächste Wahl ist
Beim SIM-Swapping überredet ein Angreifer den Mobilfunkanbieter, deine Nummer auf eine neue SIM-Karte zu übertragen. Ab dann bekommt er deine SMS. Das braucht Vorbereitung und lohnt sich nur bei lohnenden Zielen, aber eine wertvolle Domain ist genau so ein Ziel.
Die US-Standardbehörde NIST führt SMS in ihren Richtlinien zur digitalen Identität (SP 800-63B) als „restricted“, also als Methode mit bekannten Schwächen, für die es Alternativen geben sollte. Wenn dein Registrar nur SMS anbietet, nimm sie. Bietet er mehr, entferne SMS als Rückfallmethode, denn ein Angreifer wählt immer den schwächsten Weg.
Das Postfach hinter dem Konto
Die beste 2FA am Registrar-Konto hilft wenig, wenn jemand über dein Postfach das Passwort zurücksetzen und einen Support-Mitarbeiter überzeugen kann. Das Postfach ist Teil des Schutzes:
- 2FA auch dort, mit derselben Sorgfalt.
- Nicht unter derselben Domain. Liegt die Kontaktadresse des Registrar-Kontos unter
deine-firma.deund genau diese Domain wird umgeleitet, landet der Reset beim Angreifer. Eine Adresse bei einem unabhängigen Anbieter durchbricht diesen Kreis. - Weiterleitungsregeln prüfen. Eine stille Weiterleitung ist das Erste, was Angreifer in einem übernommenen Postfach einrichten.
Wie ein solcher Einbruch abläuft und was du dann tust, beschreibt der Ratgeber Domain-Konto gehackt.
Einrichten ohne sich auszusperren
Die größte Sorge bei 2FA ist nicht der Angreifer, sondern das verlorene Handy. Mit drei Vorkehrungen passiert das nicht:
- Zwei Faktoren registrieren. Zum Beispiel einen Passkey auf dem Laptop und einen Sicherheitsschlüssel am Schlüsselbund, oder zwei Hardware-Schlüssel, von denen einer im Schrank liegt.
- Backup-Codes sichern. Ausdrucken und zu den wichtigen Unterlagen legen, oder in den Passwortmanager. Nicht als Foto auf dem Handy, das du gerade sichern willst.
- Testen. Einmal abmelden und mit dem zweiten Faktor wieder anmelden. Dann weißt du, dass er funktioniert.
Passkeys: was sich für das Registrar-Konto ändert
Passkeys sind die Weiterentwicklung der Sicherheitsschlüssel und basieren auf demselben Standard, FIDO2 mit WebAuthn. Der Unterschied: Der Schlüssel liegt nicht auf einem separaten Gerät, sondern im Passwortmanager des Betriebssystems oder einem anderen Passwortmanager und wird oft über mehrere Geräte synchronisiert. Angemeldet wird mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN.
Für dich als Domaininhaber hat das zwei Folgen. Die gute: Die Anmeldung ist bequemer als mit App-Codes und gleichzeitig phishing-resistent, weil auch ein Passkey nur auf der echten Domain des Registrars funktioniert. Die weniger gute: Die Sicherheit hängt jetzt am Konto, das deine Passkeys synchronisiert, also an deinem Apple-, Google- oder Passwortmanager-Konto. Das braucht selbst einen starken Schutz.
Manche Registrare bieten Passkeys als vollständigen Ersatz für das Passwort an, andere nur als zweiten Faktor. Beides ist ein Fortschritt gegenüber SMS. Wenn du die Wahl hast, nimm einen synchronisierten Passkey für den Alltag und einen Hardware-Schlüssel als Reserve, der nicht vom Cloud-Konto abhängt.
Bietet dein Registrar beides nicht, ist eine Authenticator-App die vernünftige Lösung. Achte dann besonders darauf, Codes nur auf Seiten einzugeben, die du über ein Lesezeichen geöffnet hast.
Teams und Agenturen
Verwaltet eine Agentur deine Domains, gilt dasselbe für deren Konto, nur mit mehr Beteiligten. Frag nach: Hat jede Person einen eigenen Zugang mit eigener 2FA? Werden Zugänge entfernt, wenn jemand die Agentur verlässt? Liegt die Domain auf deinen Namen als Inhaber?
Bei API-Zugängen, etwa für automatisierte DNS-Änderungen aus einem Deployment, gibt es keine 2FA. Dort übernehmen andere Mechanismen die Rolle: Schlüssel mit möglichst wenigen Rechten, Bindung an feste IP-Adressen, regelmäßiger Austausch. Ein API-Schlüssel in einem öffentlichen Git-Repository ist ein offenes Registrar-Konto.
Was 2FA nicht ersetzt
2FA schützt den Zugang. Sie schützt nicht vor einem Social-Engineering-Anruf beim Support, nicht vor einer abgelaufenen Domain und nicht vor gefälschten DNS-Antworten unterwegs. Dafür gibt es andere Bausteine: einen Registry Lock für Domains, an denen viel hängt, und DNSSEC für die DNS-Antworten.
Für den nächsten Schritt öffne die Sicherheitseinstellungen deines Registrar-Kontos und schau, welche Methoden dort angeboten werden. Wenn du dabei feststellst, dass dir Grundlagen fehlen, findest du bei betadomain einen Registrar mit DNSSEC und festen Preisen, mit Seiten zu jeder Endung, etwa .de, und eine Domain-Suche für neue Projekte.
Schritt für Schritt
- Postfach zuerstFür die Mail-Adresse des Registrar-Kontos 2FA aktivieren, am besten mit Passkey oder Sicherheitsschlüssel.
- Methode wählenIm Registrar-Konto die stärkste angebotene Methode wählen: Passkey oder Sicherheitsschlüssel vor App, App vor SMS.
- Zweiten Faktor registrierenEinen zweiten Schlüssel oder ein zweites Gerät hinterlegen, damit ein Verlust dich nicht aussperrt.
- Backup-Codes sichernDie Wiederherstellungscodes ausdrucken oder im Passwortmanager speichern, getrennt vom Telefon.
- Alte Zugänge aufräumenUnbenutzte Sitzungen, Unterkonten und API-Schlüssel löschen, SMS als Rückfallmethode entfernen, wenn möglich.
Domain gefunden? Prüfen und registrieren kannst du sie direkt bei Domain-Preise vergleichen – Jahrespreis ab 2,99 €.
Häufige Fragen
Mein Registrar bietet keine 2FA an. Was tun?
Dann ist das ein guter Grund, über einen Wechsel nachzudenken. Bis dahin hilft ein langes, einzigartiges Passwort aus dem Passwortmanager und ein Postfach mit 2FA, weil darüber jeder Passwort-Reset läuft. Prüfe außerdem, ob der Registrar Anmeldungen per Mail meldet.
Was passiert, wenn ich mein Handy mit der Authenticator-App verliere?
Dafür gibt es Backup-Codes, die du beim Einrichten bekommst und ausgedruckt oder im Passwortmanager ablegst. Ohne Backup-Codes bleibt nur der Support des Registrars mit Identitätsnachweis, und das kann dauern. Ein zweiter registrierter Faktor, etwa ein Sicherheitsschlüssel, erspart dir das.
Ist SMS-2FA besser als gar keine?
Ja, deutlich. Gegen gestohlene Passwörter aus Datenlecks hilft auch SMS. Gegen gezielte Angriffe mit SIM-Swapping oder Echtzeit-Phishing hilft sie wenig. Die US-Standardbehörde NIST stuft SMS-Codes deshalb als eingeschränkte Methode ein.
Sollten sich mehrere Mitarbeiter ein Registrar-Konto teilen?
Besser nicht. Ein geteilter Zugang heißt meist geteiltes Passwort und ein 2FA-Gerät, das einer Person gehört. Wenn der Registrar Unterkonten oder Teamrollen anbietet, bekommt jede Person einen eigenen Zugang mit eigenem zweiten Faktor.