# Bin ich gehackt?

> Notfall-Ratgeber: Domain gehackt oder gekapert, Phishing-Domains erkennen, DNS-Hijacking, Registrar-Lock und 2FA für Domain-Konten.

Bin ich gehackt? ist ein zweisprachiger Ratgeber (Deutsch/Englisch) der OnlineBuilders LLC. Domain-Preise auf dieser Website stammen aus dem Live-Preis-Feed des Registrars betadomain.de (https://betadomain.de/preise/), der ebenfalls zu OnlineBuilders gehört. Alle Preise sind Jahrespreise inklusive Verlängerung, ohne Lockangebote.

## Notfall / Emergency

- [DNS Hijacking: erkennen, eingrenzen, beheben](https://binichgehackt.de/notfall/dns-hijacking/): DNS Hijacking bedeutet, dass Anfragen nach deinem Domainnamen falsche Antworten bekommen und Besucher auf einen fremden Server geleitet werden. Das kann am Router, beim DNS-Resolver, beim DNS-Anbieter oder über geänderte Nameserver beim Registrar passieren. Ein Vergleich der Antworten verschiedener Resolver mit denen deiner autoritativen Nameserver zeigt, wo die Manipulation sitzt.
- [Domain gehackt? Die ersten Schritte in richtiger Reihenfolge](https://binichgehackt.de/notfall/domain-gehackt/): Wenn deine Domain gehackt wurde, sicherst du zuerst das E-Mail-Postfach, das im Registrar-Konto hinterlegt ist, dann das Registrar-Konto selbst. Danach prüfst du Nameserver, Inhaberdaten und Transferstatus per Whois, meldest den Vorfall schriftlich beim Registrar und erstattest Anzeige. Je früher der Registrar Bescheid weiß, desto eher lässt sich ein Transfer stoppen.
- [Domain-Konto gehackt: So sicherst du Registrar und Domains](https://binichgehackt.de/notfall/registrar-konto-gehackt/): Ist dein Domain-Konto beim Registrar gehackt, sicherst du zuerst das E-Mail-Postfach des Kontos, dann rufst du den Registrar an und lässt Konto und Transfers sperren. Danach änderst du Passwort und 2FA, löschst fremde Nutzer und API-Schlüssel und prüfst bei jeder Domain Nameserver, Kontaktdaten und offene Auth-Codes.
- [Website gehackt, was tun? Notfallplan für die ersten Stunden](https://binichgehackt.de/notfall/website-gehackt-was-tun/): Ist deine Website gehackt, nimmst du sie vom Netz oder in den Wartungsmodus, sicherst den aktuellen Zustand als Beweis, änderst alle Zugangsdaten und informierst deinen Hoster. Danach stellst du ein sauberes Backup wieder her, schließt die Lücke durch Updates und beantragst bei Google die Überprüfung. Sind personenbezogene Daten betroffen, gilt eine Meldefrist von 72 Stunden.
- [DNS hijacking: how to detect it and where it happens](https://binichgehackt.de/en/emergency/dns-hijacking/): DNS hijacking means lookups for your domain return the wrong answer, sending visitors to a server you don't control. It can happen on a home router, at a recursive resolver, at your DNS hosting provider or through changed nameservers at the registrar. Comparing what public resolvers return with what your authoritative nameservers say shows where the tampering sits.
- [Domain hijacked? What to do in the first hour](https://binichgehackt.de/en/emergency/domain-hijacked/): If your domain has been hijacked, lock down the email account your registrar writes to before anything else, then regain control of the registrar account. Record the current WHOIS data and nameservers, report the incident to your registrar in writing and ask them to freeze transfers. For .com and other gTLDs, an unauthorized transfer can be reversed through ICANN's dispute process.
- [Registrar account hacked: lock it down in this order](https://binichgehackt.de/en/emergency/registrar-account-compromised/): If your registrar account has been hacked, secure the email inbox linked to it first, then phone the registrar and ask them to freeze the account and block outgoing transfers. After that, reset the password and two-factor setup, remove unknown users and API keys, and check every domain for changed nameservers, contacts and requested auth codes.
- [Website hacked? What to do, step by step](https://binichgehackt.de/en/emergency/website-hacked-what-to-do/): If your website has been hacked, put it into maintenance mode or have your host suspend it, copy the files, database and logs as evidence, and change every password involved. Then restore from a backup made before the break-in, patch whatever let the attacker in and request a review in Google Search Console. If personal data was exposed, check your breach-notification duties straight away.

## Phishing-Domains / Phishing domains

- [Homograph-Angriff: wenn ein a kein a ist](https://binichgehackt.de/phishing/homograph-angriff/): Bei einem Homograph-Angriff registrieren Betrüger eine Domain, deren Buchstaben aus einem anderen Alphabet stammen, aber genauso aussehen wie die echten, etwa ein kyrillisches „а“ statt des lateinischen „a“. Technisch ist das eine andere Domain, die intern als Punycode mit dem Präfix xn-- gespeichert wird. Moderne Browser zeigen verdächtige Fälle als Punycode an.
- [Phishing-Domain erkennen: Adressen richtig lesen](https://binichgehackt.de/phishing/phishing-domain-erkennen/): Eine Phishing-Domain erkennst du, indem du die Adresse von rechts liest: Es zählt nur der Teil direkt vor der Endung, also bei login.bank.de.konto-check.com die Domain konto-check.com. Alles links davon kann der Betrüger frei wählen. Zusätzlich verraten ein sehr junges Registrierungsdatum, Tippfehler und ungewohnte Endungen eine Fälschung.
- [Phishing-Seite melden: die richtigen Stellen in Deutschland](https://binichgehackt.de/phishing/phishing-seite-melden/): Eine Phishing-Seite meldest du am wirksamsten an drei Stellen: bei Google Safe Browsing, damit Browser warnen, beim Abuse-Kontakt des Registrars, der die Domain sperren kann, und beim Hoster, der die Inhalte entfernt. Phishing-Mails gehen an phishing@verbraucherzentrale.nrw, und wenn dir ein Schaden entstanden ist, erstattest du Anzeige bei der Polizei.
- [Typosquatting: Tippfehler-Domains erkennen und abwehren](https://binichgehackt.de/phishing/typosquatting/): Typosquatting ist die Registrierung von Domains, die sich von einer bekannten Adresse nur durch einen Tippfehler unterscheiden, etwa ein fehlender, doppelter oder vertauschter Buchstabe oder eine andere Endung. Betrüger nutzen sie für Phishing, abgefangene E-Mails oder Werbung. Markeninhaber schützen sich, indem sie die wahrscheinlichsten Varianten selbst registrieren und den Rest beobachten.
- [Homograph attack: when an a isn't an a](https://binichgehackt.de/en/phishing/homograph-attack/): A homograph attack uses a domain whose letters come from another alphabet but look identical to the real ones, such as a Cyrillic а in place of the Latin a. Technically it is a different domain, stored in DNS as punycode beginning with xn--. Modern browsers display suspicious cases as punycode, but email clients and messengers may not.
- [Report a phishing site: who can take it down](https://binichgehackt.de/en/phishing/report-phishing-site/): To report a phishing site effectively, send it to three places: Google Safe Browsing so browsers show a warning, the registrar's abuse contact so the domain can be suspended, and the hosting provider so the content comes down. Forward phishing emails to reportphishing@apwg.org, or in the UK to report@phishing.gov.uk. If you lost money, report it to the police as well.
- [How to spot a phishing domain in ten seconds](https://binichgehackt.de/en/phishing/spot-phishing-domain/): To spot a phishing domain, read the address from the right: only the part directly before the extension counts, so in login.bank.com.account-check.net the real domain is account-check.net. Everything to its left is chosen freely by whoever owns that domain. A very recent registration date, misspellings and an unusual extension are further warning signs.
- [Typosquatting: lookalike domains and how to defend](https://binichgehackt.de/en/phishing/typosquatting/): Typosquatting is registering domains that differ from a well-known address by a typo: a missing, doubled or swapped letter, a neighbouring key or the wrong extension. Fraudsters use them for phishing, intercepting email or ad revenue. Brand owners defend by registering the most likely variants themselves and monitoring the rest with tools such as dnstwist.

## Vorbeugen / Prevention

- [DNSSEC aktivieren: Anleitung mit Prüfung per dig](https://binichgehackt.de/domain-schutz/dnssec-aktivieren/): Um DNSSEC zu aktivieren, lässt du zuerst beim DNS-Anbieter deine Zone signieren. Danach hinterlegt dein Registrar den öffentlichen Schlüssel oder den daraus abgeleiteten DS-Eintrag bei der Registry, damit die Vertrauenskette geschlossen ist. Ob es funktioniert, prüfst du mit dig: Ein validierender Resolver setzt dann in der Antwort das ad-Flag.
- [Domain-Ablauf verhindern: so geht keine Domain verloren](https://binichgehackt.de/domain-schutz/domain-ablauf-verhindern/): Den Ablauf einer Domain verhinderst du mit automatischer Verlängerung, einer gültigen Zahlungsmethode und einer Kontaktadresse, die nicht unter der Domain selbst liegt, damit Erinnerungen auch ankommen. Ist es doch passiert, gibt es Schonfristen: Bei .de kann der letzte Inhaber eine gelöschte Domain 30 Tage lang zurückholen, bei gTLDs wie .com meist ebenfalls 30 Tage Redemption Period.
- [Registrar Lock und Registry Lock: der Unterschied](https://binichgehackt.de/domain-schutz/registrar-lock/): Ein Registrar Lock ist eine Sperre, die dein Registrar setzt und die du im Kundenkonto selbst ein- und ausschalten kannst, meist als Status clientTransferProhibited. Sie verhindert ungewollte Transfers. Ein Registry Lock setzt die Registry selbst, und jede Änderung braucht eine zusätzliche Bestätigung außerhalb deines Kontos. Er schützt deshalb auch, wenn dein Registrar-Konto gehackt wurde.
- [2FA fürs Domain-Konto: welche Methode wirklich schützt](https://binichgehackt.de/domain-schutz/zwei-faktor-domain-konto/): Für dein Domain-Konto ist ein Passkey oder ein Hardware-Sicherheitsschlüssel nach FIDO2 die beste Zwei-Faktor-Methode, weil er an die echte Domain des Registrars gebunden ist und auf Phishing-Seiten nicht funktioniert. Eine Authenticator-App ist die zweitbeste Wahl. SMS-Codes solltest du nur nutzen, wenn nichts anderes angeboten wird. Sichere zusätzlich das Postfach mit 2FA.
- [2FA for domain accounts: which method actually protects](https://binichgehackt.de/en/domain-protection/2fa-domain-account/): For a domain account, a passkey or FIDO2 hardware security key is the strongest second factor, because it is bound to your registrar's real domain and won't work on a phishing site. An authenticator app is the next best choice. Use SMS codes only when nothing else is offered, and protect the email account behind your registrar login with 2FA as well.
- [Enable DNSSEC: setup and checks with dig](https://binichgehackt.de/en/domain-protection/enable-dnssec/): To enable DNSSEC, first have your DNS provider sign your zone. Then your registrar publishes a DS record, a hash of your key-signing key, in the parent zone such as .com, which completes the chain of trust. Check the result with dig: a validating resolver sets the ad flag on answers for a correctly signed domain.
- [Prevent domain expiry: never lose a domain to a lapse](https://binichgehackt.de/en/domain-protection/prevent-domain-expiry/): To prevent domain expiry, switch on auto-renew, keep a valid payment method on file and use a contact email that isn't hosted on the domain itself, so reminders still arrive. If a gTLD such as .com does expire, there is usually a renewal window and then a 30-day redemption period during which you can restore it for a fee.
- [Registrar lock vs registry lock: what each one stops](https://binichgehackt.de/en/domain-protection/registrar-lock/): A registrar lock is a status your registrar sets and you can switch on and off in your account, usually clientTransferProhibited. It stops unwanted transfers. A registry lock is set by the registry itself, and every change needs extra confirmation outside your account. That is why a registry lock still protects the domain when your registrar login has been stolen.

## Optional

- [Full text](https://binichgehackt.de/llms-full.txt): Alle Artikel als Klartext
- [Sitemap](https://binichgehackt.de/sitemap.xml)
- [betadomain.de](https://betadomain.de/llms.txt): Registrar mit Domain-API und MCP-Server