Domain-Hijacking und gefälschte E-Mails

Modul 7: Sicher und gesund halten · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion erkennen Sie die Wege, auf denen Domains gekapert oder Inhaber betrogen werden, und Sie wissen, wie Sie Ihr Konto und Ihre Domains davor schützen.

Kernbegriffe: Domain-Hijacking, Konto bei Ihrem Registrar, Zwei-Faktor-Authentifizierung, Zugriffsverwaltung, gefälschte Rechnung, Registrierungsangebot, Slamming, gefälschte E-Mail im Namen der Registry, Registry Lock, Umzugscode (verhuiscode) als Schlüssel

Warum Ihre Domain ein Angriffsziel ist

Wer Ihren Domainnamen verwaltet, empfängt auch die E-Mails an diesen Namen. Und mit diesen E-Mails kann er bei fast jedem anderen Konto auf "Passwort vergessen" klicken: Ihre Buchhaltung, Ihre Bank, Ihr Onlineshop, Ihre sozialen Medien. Eine Domain ist also viel mehr wert als die Website, die darauf läuft.

Es gibt vier Wege, auf denen etwas schiefgeht:

1. Jemand gelangt in Ihr Konto bei Ihrem Registrar und ändert die Nameserver, das DNS oder den Inhaber.
2. Jemand erhält Ihren Umzugscode und nimmt die Domain zu einem anderen Registrar mit (Lektion 6.3).
3. Ihre Domain läuft ab und jemand anderes registriert sie (Modul 5).
4. Sie werden mit einer gefälschten Rechnung oder einer gefälschten E-Mail betrogen, ohne dass technisch etwas passiert.

Gegen jeden dieser vier Wege können Sie etwas tun.

Die Haustür: Ihr Konto bei Ihrem Registrar

Viele Übernahmen beginnen nicht mit einem Hack bei der Registry, sondern mit einer Anmeldung im Konto des Inhabers. Ein wiederverwendetes Passwort oder ein Klick auf eine gefälschte Anmeldeseite genügt. Wer drin ist, kann alles, was Sie auch können.

So halten Sie diese Tür geschlossen:

• Ein eigenes, starkes Passwort, das Sie nirgendwo sonst verwenden. Ein Passwortmanager hilft dabei.
• Zwei-Faktor-Authentifizierung. Neben Ihrem Passwort benötigen Sie dann einen zweiten Code, per E-Mail oder aus einer Authenticator-App. Eine App ist sicherer: Wer Ihr Postfach übernimmt, hat damit noch lange nicht Ihr Telefon.
• Eine Anmeldeadresse, die nicht auf der Domain selbst liegt. Funktioniert die Domain nicht oder wurde sie gekapert, möchten Sie sich trotzdem noch anmelden und E-Mails Ihres Registrars empfangen können.
• Wissen Sie, wer Zugriff hat. Geben Sie einer Kollegin, einem Kollegen oder Ihrem Webentwickler einen eigenen Benutzer mit eingeschränkten Rechten statt Ihres Passworts. Entfernen Sie Personen, die nicht mehr dazugehören, etwa ehemalige Mitarbeitende oder einen früheren Webentwickler.

Umzugscode, Transfersperre und Registry Lock

Der Umzugscode ist der Schlüssel Ihrer Domain (Lektion 6.3). Fordern Sie ihn nur an, wenn Sie selbst umziehen, und geben Sie ihn nur an den Registrar weiter, zu dem Sie wechseln.

Wo die Endung es unterstützt, aktivieren Sie die Transfersperre. Dann lehnt die Registry einen Umzug ab, auch wenn jemand den Code besitzt. Bei .com und den meisten gTLDs ist das möglich, bei .nl, .eu, .be und .nu meist nicht. Dort ist der Code selbst die Absicherung.

Für Namen, von denen wirklich viel abhängt, gibt es einen Registry Lock: eine Sperre bei der Registry selbst. SIDN bietet das für .nl unter dem Namen .nl Control an. Damit kann niemand, auch Ihr Registrar nicht, etwas an der Registrierung ändern, ohne dass SIDN zuerst beim Inhaber prüft, ob die Anfrage echt ist. Sie beantragen es über Ihren Registrar. Es bedeutet allerdings zusätzlichen Aufwand bei jeder Änderung. Bei den meisten Namen wiegt der Vorteil das nicht auf, beim Hauptnamen einer großen Organisation oder eines Onlineshops oft schon.

Gefälschte Rechnungen und Registrierungsangebote

Nicht jeder Angriff ist technisch. Viele Betrugsmaschen drehen sich um eine einzige Sache: dass Sie bezahlen.

Gefälschte Rechnungen. SIDN warnt regelmäßig vor "Rechnungen" für Domainnamen von Anbietern mit Namen wie Domeinregistratie Nederland, DNS Registraties NL oder Web Registraties Nederland. Oft steht unten im Kleingedruckten, dass es keine Rechnung, sondern ein Angebot ist. Der Rat: nicht bezahlen und beim niederländischen Fraudehelpdesk melden.

Registrierungsangebote. Eine bekannte Variante: Sie erhalten eine Nachricht, dass "jemand anderes Ihren Namen mit einer anderen Endung registrieren möchte", Sie aber als Erster zugreifen dürfen, wenn Sie schnell bezahlen. Ein "Erstregistrierungsrecht" gibt es nicht. Prüfen Sie selbst, ob der Name frei ist, fragen Sie Ihren eigenen Registrar und melden Sie es beim Fraudehelpdesk.

Slamming. Sie erhalten einen Brief oder eine E-Mail, die wie eine Verlängerungsrechnung aussieht, tatsächlich aber ein Angebot ist, Ihre Domain zu einem anderen Anbieter umzuziehen. Wer bezahlt und unterschreibt, ist plötzlich bei einem Registrar, den er nicht kennt.

Die Abwehr ist in allen drei Fällen dieselbe. Wissen Sie, bei welchem Registrar Ihre Domains liegen (Lektion 7.4), und bezahlen Sie nur Rechnungen, die Sie auch in Ihrem eigenen Konto bei diesem Registrar wiederfinden. Merken Sie sich außerdem: SIDN verkauft selbst keine .nl-Namen an Inhaber. Wer sich als "die Registrierungsstelle" ausgibt und Ihnen direkt etwas verkaufen will, ist also nicht SIDN.

Gefälschte E-Mails im Namen von ICANN oder der Registry

Es gibt auch echte E-Mails zu Ihrer Domain. Bei .com und anderen gTLDs kann Ihr Registrar Sie zum Beispiel bitten, Ihre Registrierungsdaten zu prüfen, die E-Mail-Adresse des Inhabers zu bestätigen oder einen Umzug zu genehmigen. Gerade weil es diese E-Mails gibt, werden sie nachgeahmt.

So erkennen Sie eine gefälschte E-Mail:

• Sie sollen über einen Link in der E-Mail bezahlen, obwohl Ihr Registrar Ihnen Rechnungen in Ihrem Konto bereitstellt;
• es wird damit gedroht, dass Ihre Domain noch heute abläuft oder gelöscht wird;
• der Link führt zu einer unbekannten Website, nicht zu Ihrem Registrar oder zur Registry;
• Sie sollen sich über diesen Link anmelden, oder Sie erhalten ein Angebot für einen "Eintrag in Suchmaschinen";
• die E-Mail betrifft eine Domain, die Sie nicht besitzen, oder stammt von einem Unternehmen, bei dem Sie kein Kunde sind.

Im Zweifel klicken Sie nirgendwo. Gehen Sie selbst in Ihr Konto bei Ihrem Registrar und prüfen Sie dort, ob etwas nicht stimmt.

Wenn doch etwas schiefgeht

Funktioniert Ihre Website plötzlich nicht mehr oder kommen Ihre E-Mails nicht mehr an, prüfen Sie in Ihrem Konto, ob die Nameserver oder die DNS-Einträge geändert wurden. Ist die Domain weg oder umgezogen, wenden Sie sich sofort an Ihren Registrar, mit einem Nachweis, dass Sie der Inhaber sind (Lektion 6.3). Ändern Sie danach Ihre Passwörter, prüfen Sie die Benutzer und kontrollieren Sie vor allem die MX-Einträge: Wer diese ändert, liest Ihre E-Mails mit.

In der Praxis: So funktioniert es bei WebOké

In Mein WebOké melden Sie sich mit Ihrem Passwort und einem Anmeldecode per E-Mail an (WebOké-Handbuch 3.2). Sie können auch eine Authenticator-App einrichten (3.3). Wer Zugriff hat, regeln Sie unter Meine Verwaltung › Benutzer (11.3). Die Transfersperre finden Sie auf der Domainseite in der Karte Erweitert unter Transfer-lock. Bei anderen Registraren funktioniert es ähnlich: Suchen Sie nach Zwei-Faktor-Authentifizierung, Benutzern oder Teammitgliedern sowie nach einer Transfer- oder Domainsperre.

Zusammenfassung

• Wer Ihre Domain verwaltet, verwaltet auch Ihre E-Mails und damit die Passwortwiederherstellung Ihrer anderen Konten.
• Schützen Sie Ihr Registrar-Konto mit einem starken Passwort, Zwei-Faktor-Authentifizierung und eigenen Benutzern für andere Personen.
• Aktivieren Sie die Transfersperre, wo es möglich ist. Für wichtige .nl-Namen gibt es .nl Control.
• Gefälschte Rechnungen, Registrierungsangebote und Slamming: Bezahlen Sie nur, was Sie in Ihrem eigenen Konto wiederfinden.
• Klicken Sie nicht auf Links in E-Mails zu Ihrer Domain. Sehen Sie selbst in Ihrem Konto nach.

Quiz

Aufgabe

Aufgabe D7.1: Ihr Konto abgesichert. Überprüfen Sie das Konto, mit dem Sie Ihre Domains verwalten, bei WebOké oder bei einem anderen Registrar. Aktivieren Sie, was noch ausgeschaltet ist, und räumen Sie auf, was nicht mehr dazugehört.

Haken Sie ab:

• Die Zwei-Faktor-Authentifizierung ist aktiviert (bei WebOké: Anmeldecode per E-Mail oder eine Authenticator-App, Handbuch 3.2 und 3.3).
• Sie haben geprüft, wer Zugriff hat, und ehemalige Mitarbeitende oder frühere Webentwickler entfernt (Handbuch 11.3).
• Die Transfersperre ist bei jeder Domain aktiviert, bei der das möglich ist.
• Die Anmeldeadresse Ihres Kontos liegt nicht auf einer Domain, die Sie über dieses Konto verwalten.
• Sie wissen, wie Sie eine echte Rechnung Ihres Registrars erkennen und wo Sie sie in Ihrem Konto wiederfinden.

Beantworten Sie:

1. Welche Form der Zwei-Faktor-Authentifizierung nutzen Sie, und bei welchen anderen Konten rund um Ihre Domain (E-Mail, DNS, Hosting) ist sie noch nicht aktiviert?
2. Wer hatte Zugriff auf Ihr Konto, und wen haben Sie entfernt oder eingeschränkt?
3. Bei welchen Ihrer Domains ist eine Transfersperre möglich und ist sie jetzt aktiviert? Bei welchen ist sie nicht möglich, und warum?
4. Wie prüfen Sie künftig, ob eine Rechnung oder E-Mail zu Ihrer Domain echt ist?

Weiterführende Informationen

• E-Mails von ICANN oder der Registry zu Ihrer Domain: echt oder Fälschung, und was sollten Sie tun?
• Meine Domain wurde umgezogen, ohne dass ich dies beantragt habe.
• WebOké Anleitung 3.2: Der Anmeldecode per E-Mail (Zwei-Faktor-Authentifizierung)
• WebOké Anleitung 3.3: Eine Authenticator-App verwenden
• WebOké Anleitung 11.3: Benutzer einladen und Berechtigungen vergeben