Ihren Domainnamen schützen: Ablauf, Auth-Code, Transfer-Lock und vergessene DNS-Records

Wer Ihren Domainnamen verwaltet, empfängt auch die E-Mails an diese Domain. Und mit diesen E-Mails kann er bei fast jedem anderen Konto auf „Passwort vergessen“ klicken: Ihre Buchhaltung, Ihre Bank, Ihr Onlineshop, Ihre Social-Media-Konten. Deshalb gehört Ihr Domainname zu den wichtigsten Dingen, die Sie besitzen. In diesem Artikel erfahren Sie, wie Sie ihn vor Ablauf, Übernahme und vergessenen DNS-Einträgen schützen und was Sie dafür in Mein WebOké einstellen.

Lassen Sie Ihre Domain nicht ablaufen

Domains gehen am häufigsten verloren, weil sie nicht rechtzeitig verlängert werden, zum Beispiel wegen einer abgelaufenen Zahlungskarte oder einer Rechnung, die bei einem ausgeschiedenen Kollegen eingegangen ist. Die Domain ist dann nicht mehr erreichbar und wird nach einiger Zeit für alle frei. Wer sie danach registriert, empfängt die E-Mails, die noch an Ihre alten Adressen gesendet werden.

• Lassen Sie auf der Domainseite in Mein WebOké die Option Wird jährlich verlängert aktiviert. Das ist die Standardeinstellung. Siehe Verlängern und automatisch verlängern.
• Bezahlen Sie Ihre Verlängerungsrechnungen per Lastschrift, dann kann Sie eine vergessene Rechnung nicht Ihre Domain kosten.
• Führen Sie eine Liste aller Ihrer Domains, auch der Domains, die Sie nur zur Sicherheit registriert haben.
• Kündigen Sie eine alte Domain, die Sie früher für E-Mail genutzt haben, nicht einfach. Behalten Sie sie und sichern Sie sie als Domain ab, die keine E-Mails versendet (siehe unten).

Ist es trotzdem passiert? Eine .nl-Domain bleibt nach der Aufhebung 40 Tage in Quarantäne. In dieser Zeit kann nur der letzte Inhaber sie zurückerhalten. Wie das funktioniert, auch für andere Endungen, lesen Sie in Abgelaufene oder gekündigte Domain zurückerhalten: Quarantäne und Wiederherstellungsfrist.

Prüfen Sie den Inhaber und die E-Mail-Adresse des Inhabers

Der Inhaber ist der rechtliche Eigentümer der Domain. Steht dort Ihr Webdesigner, ein ehemaliger Mitarbeiter oder ein Unternehmen, das nicht mehr existiert, ist es bei einem Konflikt schwierig nachzuweisen, dass die Domain Ihnen gehört. Prüfen Sie daher:

• ob Ihr Unternehmen mit dem richtigen Namen als Inhaber registriert ist;
• ob die E-Mail-Adresse des Inhabers funktioniert und ob sie nicht auf der Domain selbst liegt. Funktioniert die E-Mail auf Ihrer Domain nicht mehr, kommen auch Warnungen zu dieser Domain nicht an. Verwenden Sie daher eine Adresse auf einer anderen Domain;
• ob Sie die E-Mail-Adresse bestätigt haben, falls Sie dazu aufgefordert wurden. Für viele Endungen ist das verpflichtend. Tun Sie es nicht, kann die Domain gesperrt werden. Auf der Karte Domain / E-Mail-Gesundheit auf der Domainseite sehen Sie unter Bestätigung Inhaber, ob es geklappt hat, und können die Bestätigungs-E-Mail erneut senden lassen.

Erhalten Sie eine E-Mail von ICANN oder der Registry zu Ihrer Domain? Lesen Sie dann zuerst E-Mails von ICANN oder der Registry zu Ihrer Domain: echt oder gefälscht, und was müssen Sie tun?. Solche E-Mails werden auch häufig gefälscht.

Schützen Sie Ihr Konto, den Transfercode und die Transfersperre

Wer Zugriff auf Ihr Konto in Mein WebOké erhält, kann die Nameserver oder das DNS Ihrer Domain ändern und so Ihre Website und Ihre E-Mails umleiten. Behandeln Sie dieses Konto daher als eines Ihrer wichtigsten:

• Aktivieren Sie die Zwei-Faktor-Authentifizierung. Siehe Zwei-Faktor-Authentifizierung in Mein WebOké und eine Authenticator-App einrichten.
• Melden Sie sich nie über einen Link in einer E-Mail zu Ihrer Domain an („Ihre Domain läuft heute ab, bezahlen Sie hier“). Rufen Sie Mein WebOké selbst auf. Siehe auch Phishing erkennen: So prüfen Sie einen Link und einen Absender.

Der Transfercode (auch EPP-Code oder Autorisierungscode) ist der Schlüssel Ihrer Domain: Wer ihn hat, kann die Domain zu einem anderen Anbieter umziehen. Fordern Sie ihn nur an, wenn Sie selbst umziehen, und geben Sie ihn nur an den Anbieter weiter, zu dem Sie wechseln. Erhalten Sie eine Transferbestätigung, die Sie nicht erwarten, kontaktieren Sie uns bitte umgehend.

Ein Transfer-Lock (Transfersperre) blockiert Umzüge, die Sie nicht beantragt haben: Solange die Sperre aktiv ist, lehnt die Registry den Umzug ab. Sie finden sie auf der Domainseite in der Karte Erweitert unter Transfer-Lock. Bleiben Sie bei WebOké, lassen Sie die Sperre aktiviert. Nicht jede Endung kennt einen Transfer-Lock. Bei unter anderem .nl, .eu, .be und .nu ist der Transfercode selbst die Absicherung. Mehr dazu lesen Sie in Eine Domain wegziehen: Transfercode (EPP) und Transfersperre.

Entfernen Sie vergessene DNS-Einträge

Ein verwaister Eintrag ist ein DNS-Eintrag, der auf etwas verweist, das Sie nicht mehr nutzen: einen gekündigten Onlineshop, einen gelöschten Server oder einen Dienst, den Sie verlassen haben. Kann jemand anderes dieses Ziel übernehmen, zum Beispiel indem er auf derselben Plattform einen Shop mit demselben Namen anlegt, zeigt Ihre Subdomain plötzlich seine Seiten an, unter Ihrem Namen. Das nennt man Subdomain-Übernahme.

• Kündigen Sie einen Dienst? Entfernen Sie dann zuerst den DNS-Eintrag, der darauf verweist, und kündigen Sie erst danach den Dienst.
• Prüfen Sie einmal im Jahr alle Einträge unter Meine Domains, Tab DNS. Wissen Sie bei einem Eintrag nicht, wofür er ist, finden Sie es heraus. Erstellen Sie vorher eine Sicherung Ihres DNS, siehe Eine Sicherung Ihres DNS erstellen und wiederherstellen.
• Gehen Sie sparsam mit einem Wildcard-Eintrag (*) um, der auf einen externen Dienst verweist.

Eine Domain, die keine E-Mails versendet: sichern Sie sie ab

Haben Sie eine Domain, die nie E-Mails sendet oder empfängt, etwa einen Markennamen, den Sie nur registriert haben, oder eine alte Domain? Betrüger nutzen solche Domains gern als Absender, weil niemand sie im Blick hat. Mit drei Einträgen machen Sie deutlich, dass über diese Domain keine E-Mails gesendet oder empfangen werden:

MX    @        0 .
TXT   @        v=spf1 -all
TXT   _dmarc   v=DMARC1; p=reject

Der MX-Eintrag mit 0 . (ein Null-MX) besagt, dass auf dieser Domain keine E-Mails ankommen. -all besagt, dass kein Server im Namen der Domain E-Mails senden darf, und p=reject bittet Empfänger, E-Mails abzulehnen, die diese Domain dennoch als Absender verwenden. Tun Sie dies nur, wenn es wirklich keine Postfächer, Weiterleitungen oder Dienste gibt, die die Domain für E-Mail nutzen.

Die drei Einträge legen Sie selbst unter Meine Domains, Tab DNS, an. Wählen Sie beim MX-Eintrag als Name @, als Priorität 0 und tragen Sie beim Mailserver nur einen Punkt ein. Die Karte Domain / E-Mail-Gesundheit erkennt einen solchen Null-MX: Bei MX steht dann, dass diese Domain bewusst keine E-Mails empfängt. Fehlt der SPF- oder DMARC-Eintrag noch, sehen Sie das dort ebenfalls.

Zusätzliche Schlösser: DNSSEC und CAA

DNSSEC versieht die Antworten Ihres DNS mit einer digitalen Signatur, sodass niemand sie unterwegs fälschen kann. Es schützt nicht vor jemandem, der sich in Ihr Konto einloggt. CAA ist ein DNS-Eintrag, in dem steht, welche Zertifizierungsstellen ein Zertifikat für Ihre Domain ausstellen dürfen. Wenn Sie einen CAA-Eintrag setzen, nehmen Sie auch die Zertifizierungsstelle des Zertifikats auf, das Sie derzeit verwenden, sonst kann dieses Zertifikat nicht mehr verlängert werden.

Ob DNSSEC und CAA bei Ihrer Domain korrekt eingerichtet sind, sehen Sie auf der Karte Domain / E-Mail-Gesundheit auf der Domainseite oder mit dem öffentlichen Tool Domain-Gesundheit. Siehe auch Domain- und E-Mail-Gesundheit: prüfen und beheben.

Möchten Sie mehr erfahren? Besuchen Sie den kostenlosen Kurs Sicher online, Lektion 4.3 Ihren Domainnamen schützen.

Möchten Sie mehr erfahren? Besuchen Sie den kostenlosen Kurs Einen Domainnamen wählen und verwalten, Lektion 7.1 Domain-Hijacking und gefälschte E-Mails / 5.1 Verlängern und automatisch verlängern.