Domain gehackt? Die ersten Schritte in richtiger Reihenfolge

Die meisten Leute merken es nicht an der Domain selbst, sondern an den Folgen: Die Website zeigt eine fremde Seite, Kundenmails kommen nicht mehr an, oder im Postfach liegt eine Nachricht „Ihr Auth-Code wurde angefordert“, die niemand im Team ausgelöst hat. Wenn deine Domain gehackt wurde, zählen die ersten Stunden. Deshalb steht die Erklärung unten und die Checkliste oben.

Domain gehackt: die ersten 60 Minuten

Arbeite die Punkte der Reihe nach ab. Die Reihenfolge hat einen Grund: Wer dein Postfach kontrolliert, kann jedes Passwort zurücksetzen, das du gerade geändert hast.

1. Das Postfach sichern, nicht die Domain. Gemeint ist die E-Mail-Adresse, die bei deinem Registrar hinterlegt ist. Neues Passwort, Zwei-Faktor-Anmeldung an, alle anderen Sitzungen abmelden, Weiterleitungsregeln kontrollieren. Angreifer legen gern eine stille Weiterleitung an.
2. Ins Registrar-Konto einloggen. Klappt das, sofort Passwort ändern und 2FA neu einrichten. Klappt es nicht, direkt zu Punkt 4.
3. Den Ist-Zustand dokumentieren. Whois-Abfrage, aktuelle Nameserver, Screenshot der Website, Zeitstempel. Diese Belege brauchst du später.
4. Den Registrar kontaktieren. Telefon, wenn es das gibt, plus eine schriftliche Meldung an Support oder Abuse-Adresse. Bitte ausdrücklich darum, Transfers und Datenänderungen für die Domain zu sperren.
5. Anzeige erstatten. Über die Onlinewache der Polizei deines Bundeslandes. Das Aktenzeichen schickst du dem Registrar hinterher.
6. Die Folgeschäden eindämmen. Banken, Zahlungsanbieter und alle Dienste, die Passwort-Resets an Adressen unter dieser Domain schicken, sind jetzt gefährdet.

Läuft die Domain schon bei einem anderen Registrar, ändert sich Punkt 4 nur leicht: Du meldest den Vorfall bei deinem bisherigen Registrar, und der wendet sich an den neuen. Bei .com, .net und den anderen generischen Endungen ist dafür ein ICANN-Verfahren vorgesehen.

Was eine Whois-Abfrage dir verrät

Eine gekaperte Domain sieht man in den Registry-Daten. Für .de fragst du den Whois-Server der DENIC ab, hier am Beispiel der Domain der DENIC selbst:

whois -h whois.denic.de denic.de

Die Ausgabe ist gekürzt:

Domain: denic.de
Nserver: ns1.denic.de 77.67.63.106 2001:668:1f:11:0:0:0:106
Nserver: ns2.denic.de 81.91.164.6 2a02:568:0:2:0:0:0:54
Status: connect
Changed: 2024-12-19T13:33:43+01:00

Interessant sind zwei Zeilen. Nserver zeigt, wer die DNS-Antworten für deine Domain liefert. Steht dort ein Anbieter, den du nicht kennst, hat jemand die Nameserver umgestellt. Changed zeigt, wann die Daten zuletzt geändert wurden. Liegt dieses Datum in den letzten Tagen und du warst es nicht, hast du deinen Beleg. Inhaberdaten zeigt der Konsolen-Whois der DENIC nicht, dafür gibt es die Web-Abfrage auf denic.de.

Bei .com sieht die Ausgabe anders aus, enthält aber dieselben Hinweise plus den Namen des Registrars und dessen Abuse-Adresse. Ein Registrarwechsel, den du nicht beauftragt hast, ist das deutlichste Zeichen für einen Diebstahl.

Wie Domains typischerweise gekapert werden

Fast nie wird die Registry selbst angegriffen. Der Weg führt über Menschen und Konten:

Der zweite Punkt wird unterschätzt. Liegt die Kontaktadresse deines Registrar-Kontos unter der Domain, die du schützen willst, entsteht ein Kreis: Wer die Domain umbiegt, bekommt deine Mails und damit den Passwort-Reset. Eine Adresse bei einem anderen Anbieter durchbricht ihn.

Ob es überhaupt die Domain war oder „nur“ die Website, klärst du schnell: Stimmen die Nameserver, ist eher der Webspace betroffen. Dann hilft der Ratgeber Website gehackt, was tun. Stimmen die Nameserver, aber einzelne Einträge sind falsch, lies den Artikel zu DNS-Hijacking.

Domain gekapert: Wie du sie zurückholst

Das hängt davon ab, wo die Domain jetzt liegt.

Noch beim selben Registrar. Das ist der günstigste Fall. Der Registrar kann Kontakt- und Nameserverdaten zurücksetzen, sobald er überzeugt ist, dass du der rechtmäßige Inhaber bist. Rechnungen, frühere Bestätigungsmails und ein Ausweis helfen dabei. Wie du das Konto selbst wieder unter Kontrolle bringst, steht im Artikel Domain-Konto gehackt.

Zu einem anderen Registrar verschoben (gTLD). Für .com, .net, .org und die neuen Endungen gilt die Transfer Policy der ICANN. Ein unberechtigter Transfer kann über die Transfer Dispute Resolution Policy rückgängig gemacht werden, das Verfahren stoßen die Registrare an. Dein Registrar ist also der richtige Ansprechpartner, nicht ICANN direkt.

Bei .de. Hier gibt es keine ICANN-Regeln. Der Registrar kann die Daten korrigieren, wenn er die Domain noch verwaltet. Ist sie weg, bleiben der neue Registrar, die DENIC als Registry und im Zweifel der Rechtsweg (Namensrecht nach § 12 BGB, Markenrecht). Eine kurze Beratung durch einen auf IT-Recht spezialisierten Anwalt ist in diesem Fall gut investiert.

Ein Sonderfall: Die Domain wurde nicht gehackt, sondern ist abgelaufen und gelöscht worden. Bei .de kann der letzte Inhaber sie 30 Tage lang über die Redemption Grace Period zurückholen. Danach ist sie frei. Wie du das künftig vermeidest, erklärt Domain-Ablauf verhindern.

Warum die E-Mail das eigentliche Problem ist

Wenn die Website eine Spendenseite für Fremde zeigt, ist das peinlich. Gefährlicher ist der MX-Eintrag. Wer ihn kontrolliert, empfängt alle Mails an deine Domain, also auch „Passwort zurücksetzen“ von Bank, Buchhaltung, Cloud-Speicher und Social-Media-Konten.

Prüfe deshalb, sobald die Domain wieder dir gehört:

dig MX deine-domain.de +short
dig NS deine-domain.de +short

Stimmen die Werte wieder, ändere die Passwörter aller Dienste, die an Adressen unter dieser Domain gebunden sind. Schau in den Sicherheitsprotokollen dieser Dienste nach Anmeldungen aus dem Zeitraum, in dem die Domain fremd kontrolliert wurde.

Damit es nicht wieder passiert

Drei Dinge decken die häufigsten Wege ab. Eine Zwei-Faktor-Anmeldung mit App oder Sicherheitsschlüssel, keine SMS. Eine Transfersperre und, bei wichtigen Domains, ein Registry Lock. Und DNSSEC, damit gefälschte DNS-Antworten unterwegs auffallen; dafür brauchst du einen Registrar mit DNSSEC.

Wer sein Projekt ernsthaft betreibt, sichert außerdem die naheliegenden Tippfehler- und Endungsvarianten. Ob deine-marke.com oder deinemarke.de noch frei sind, siehst du bei einer Suche nach Schreibvarianten deines Namens. Bei betadomain gilt dabei ein fester Jahrespreis auch bei der Verlängerung, was bei fünf oder zehn Schutzdomains den Unterschied macht.

Als Nächstes: Richte die Zwei-Faktor-Anmeldung für dein Registrar-Konto ein. Die Anleitung dazu findest du unter 2FA für das Domain-Konto.

Schritt für Schritt

1. Postfach sichernÄndere das Passwort des E-Mail-Kontos, an das dein Registrar Mails schickt, aktiviere 2FA und melde alle fremden Sitzungen ab.
2. Registrar-Konto sichernPasswort zurücksetzen, 2FA neu einrichten, unbekannte Nutzer, API-Schlüssel und Weiterleitungen löschen.
3. Zustand der Domain prüfenPer Whois und dig Nameserver, Status, Änderungsdatum und Registrar kontrollieren und Screenshots mit Uhrzeit sichern.
4. Registrar schriftlich informierenDen Vorfall an den Support oder die Abuse-Adresse des Registrars melden und darum bitten, Transfers und Änderungen zu sperren.
5. Anzeige erstattenÜber die Onlinewache deines Bundeslandes Anzeige erstatten und das Aktenzeichen an den Registrar weitergeben.
6. DNS und Mail zurückstellenNameserver und MX-Einträge auf die richtigen Werte setzen und Passwörter aller Dienste ändern, die per Mail-Reset erreichbar waren.