Domain-Konto gehackt: So sicherst du Registrar und Domains

Ein gehacktes Registrar-Konto ist schlimmer als eine einzelne gekaperte Domain, weil dort meist alle Domains liegen: die Hauptseite, die Mail-Domain, die alten Projektnamen. Das Gute daran ist, dass der Angreifer Zeit braucht, um alles umzuziehen. Wenn dein Domain-Konto gehackt wurde, nutzt du genau diese Zeit.

Domain-Konto gehackt: die Sofortmaßnahmen

1. Das Postfach zuerst. Jeder Passwort-Reset beim Registrar geht an die hinterlegte Mail-Adresse. Solange der Angreifer dort mitliest, ist jede Änderung im Registrar-Konto wertlos. Passwort ändern, 2FA einschalten, fremde Sitzungen abmelden, Weiterleitungen und Filterregeln prüfen.
2. Den Registrar anrufen. Nicht nur ein Ticket schreiben. Sag konkret: „Mein Konto ist kompromittiert, bitte sperren Sie ausgehende Transfers und Datenänderungen.“ Lass dir eine Ticketnummer geben und bestätige das Gespräch kurz per Mail.
3. Den Zugang zurückholen. Passwort zurücksetzen, die Zwei-Faktor-Anmeldung entfernen und neu einrichten. Hat der Angreifer sein eigenes Gerät als zweiten Faktor eingetragen, braucht er sonst kein Passwort mehr.
4. Erst dann aufräumen. Die Liste dafür steht im nächsten Abschnitt.

Kommst du gar nicht mehr ins Konto, weil Mail-Adresse und Passwort geändert wurden, bleibt nur der Weg über den Support mit Identitätsnachweis. Halte Rechnungen, die Kundennummer und frühere Korrespondenz bereit.

Was du im Konto prüfen musst

Angreifer, die sich Zeit lassen, richten sich ein. Geh diese Punkte einzeln durch:

Viele Registrare zeigen ein Aktivitätsprotokoll mit Datum, Uhrzeit und IP-Adresse. Exportiere es oder mach Screenshots. Das ist der beste Beleg für Registrar, Polizei und gegebenenfalls Versicherung.

Laufende Transfers stoppen

Der eigentliche Schaden entsteht, wenn eine Domain das Konto verlässt. Wie viel Zeit du hast, hängt von der Endung ab.

gTLDs wie .com, .net, .org. Die Transfer Policy der ICANN gibt dem abgebenden Registrar ein Zeitfenster, in dem er einen Transfer ablehnen kann, etwa bei nachgewiesenem Betrug. Bei vielen Registraren bekommst du in dieser Phase auch eine Mail mit Ablehnungslink. Hast du sie bekommen, nutze ihn.

.de. Hier läuft der Wechsel anders. Der neue Registrar schickt den AuthInfo-Code an die DENIC, und ist er gültig, wird die Domain sofort umgezogen. Ein Zeitfenster zum Ablehnen gibt es nicht. Deshalb ist der wichtigste Schritt, dass dein Registrar einen angeforderten AuthInfo-Code sofort ungültig macht.

Ist die Domain schon weg, findest du den weiteren Weg im Ratgeber Domain gehackt.

Woran Registrar-Konten meist scheitern

Nach Vorfällen dieser Art findet man fast immer eine von drei Ursachen. Ein Passwort, das auch woanders verwendet wurde und in einem Datenleck auftauchte. Eine Phishing-Mail, die aussah wie eine Verlängerungserinnerung („Ihre Domain läuft ab, jetzt bestätigen“). Oder ein Postfach ohne Zwei-Faktor-Schutz, über das der Reset lief.

Die zweite Variante ist besonders verbreitet, weil Domain-Inhaber regelmäßig echte Mails dieser Art bekommen. Auch die DENIC warnt vor gefälschten Verifizierungsmails, die angeblich von ihr oder vom Registrar kommen. Echte Mails der DENIC kommen von der Domain denic.de, und sie fragt nie nach Passwörtern. Wie du solche Absender-Domains prüfst, zeigt Phishing-Domain erkennen.

Konto danach dauerhaft absichern

Ein paar Maßnahmen machen einen Wiederholungsfall deutlich unwahrscheinlicher:

• Sicherheitsschlüssel oder Passkey statt SMS. SMS-Codes lassen sich per SIM-Swapping abfangen. Die Details stehen unter 2FA fürs Domain-Konto.
• Eigene Mail-Adresse für das Registrar-Konto, bei einem anderen Anbieter und nicht unter einer Domain aus diesem Konto.
• Transfersperre für alle Domains, bei wichtigen Domains zusätzlich ein Registry Lock. Was der Unterschied ist, erklärt Registrar Lock.
• API-Schlüssel nur mit IP-Bindung und nur so viele, wie du wirklich nutzt.

Wer viele Domains verwaltet, sollte sich überlegen, kritische Domains in ein separates Konto mit noch strengeren Regeln zu legen. Fällt dann das Alltagskonto, bleibt die Hauptdomain unberührt.

Registrar wechseln oder bleiben?

Ein Einbruch ins Konto ist selten die Schuld des Registrars. Trotzdem ist er ein guter Anlass, die Grundlagen zu prüfen: Gibt es 2FA mit App oder Sicherheitsschlüssel, ein Aktivitätsprotokoll, DNSSEC, eine erreichbare Missbrauchsadresse?

Bei betadomain bekommst du DNSSEC und eine Domain-API mit eigenen Schlüsseln, und die Verlängerung kostet dasselbe wie die Registrierung. Wenn du umziehen willst, warte, bis das alte Konto wieder vollständig unter deiner Kontrolle ist. Ein Transfer mitten im Vorfall schafft nur neue Unklarheit.

Danach lohnt ein Blick, ob die wichtigsten Varianten deiner Marke registriert sind. Eine Abfrage für deinen Namen unter mehreren Endungen dauert ein paar Sekunden.

Schritt für Schritt

1. Postfach sichernPasswort und 2FA des E-Mail-Kontos erneuern, das beim Registrar hinterlegt ist, und Weiterleitungsregeln löschen.
2. Registrar anrufenDen Vorfall telefonisch und schriftlich melden und eine Sperre für Transfers und Datenänderungen anfordern.
3. Zugang zurückholenPasswort zurücksetzen, 2FA neu einrichten, alle Sitzungen beenden, neue Wiederherstellungscodes erzeugen.
4. Fremde Zugänge entfernenUnbekannte Unterkonten, API-Schlüssel, IP-Freigaben und Zahlungsmethoden löschen.
5. Jede Domain prüfenNameserver, DNS-Einträge, Kontaktdaten, Transfersperre und angeforderte Auth-Codes für jede Domain im Konto kontrollieren.
6. Folgekonten absichernPasswörter aller Dienste ändern, die Mails an Adressen unter den betroffenen Domains schicken.