Ihren Domainnamen schützen

Modul 4: E-Mail, Website und Domain · Lesezeit: 11 Minuten

Lernziel: Nach dieser Lektion können Sie Ihren Domainnamen vor Ablauf, Übernahme und fehlerhaften DNS-Einträgen schützen sowie Status, Ablaufdatum, DNSSEC und CAA Ihrer eigenen Domain überprüfen.
Kernbegriffe: Registrar, Inhaber, abgelaufen, Quarantäne, Transfercode, Registrar-Lock, Registry-Lock, 2FA beim Registrar, DNSSEC, CAA, hängender Eintrag (Dangling DNS), Subdomain-Übernahme

Wer Ihre Domain hat, hat Ihre Mail

Ihr Domainname wirkt wie eine Kleinigkeit: eine jährliche Rechnung und ein paar Einstellungen. Aber fast alles hängt daran. Ihre Website, Ihre E-Mail-Adressen, und damit auch der Button „Passwort vergessen“ all Ihrer anderen Konten: Ihre Buchhaltungssoftware, Ihre Bank, Ihre Onlineshop-Plattform, Ihre sozialen Netzwerke. Wer die Kontrolle über example.com erhält, kann Mails für info@example.com empfangen und damit überall Ihr Passwort neu setzen.

Eine Domain kann auf drei Arten verloren gehen oder missbraucht werden:

1. sie läuft ab und jemand anders registriert sie;
2. jemand übernimmt sie über Ihr Konto beim Registrar oder über einen gefälschten Transfer;
3. ein vergessener DNS-Eintrag verweist auf etwas, das Sie nicht mehr verwalten.

Im DNS-Kurs (Lektion 1.3) haben Sie gelernt, wer was regelt: die Registry verwaltet die Endung (SIDN für .nl; für .de ist das DENIC), der Registrar registriert in Ihrem Namen, und Sie sind der Inhaber. In dieser Lektion betrachten wir diese Kette mit den Augen eines Angreifers.

Stimmt der Inhaber?

Der Inhaber ist der rechtliche Eigentümer. Steht dort Ihr Webentwickler, ein ehemaliger Mitarbeiter oder ein Unternehmen, das nicht mehr existiert, können Sie bei einem Konflikt oder einer Insolvenz nur schwer nachweisen, dass die Domain Ihnen gehört. Prüfen Sie deshalb:

• ist Ihr Unternehmen mit dem richtigen Namen als Inhaber registriert?
• ist die E-Mail-Adresse des Inhabers erreichbar und liegt sie nicht auf der Domain selbst? Läuft example.com ab, kommt die Warnung an info@example.com möglicherweise nicht mehr an. Verwenden Sie eine zweite Adresse, zum Beispiel auf einer anderen Domain.
• reagieren Sie auf echte Aufforderungen, Ihre Adresse zu bestätigen? Für viele Endungen verlangt ICANN, dass die E-Mail-Adresse des Inhabers bestätigt wird. Tun Sie das nicht, kann die Domain gesperrt werden.

Abgelaufen: das langweiligste und häufigste Risiko

Domains gehen am häufigsten verloren durch eine abgelaufene Kreditkarte, eine Rechnung, die bei einem ausgeschiedenen Kollegen ankam, oder einen Wechsel, bei dem niemand an die Domain gedacht hat. Was danach geschieht, unterscheidet sich je nach Endung:

Danach kann jemand anders sie registrieren. Es gibt Anbieter, die freiwerdende Domains automatisch registrieren, gerade weil noch Traffic darauf liegt. Richtet der neue Eigentümer einen Catch-all für die Mail ein, erhält er alles, was Ihre Kunden und Lieferanten noch an Ihre alten Adressen senden, einschließlich E-Mails zur Passwortwiederherstellung.

Schutzmaßnahmen:

• aktivieren Sie die automatische Verlängerung und halten Sie die Zahlungsdaten aktuell;
• erfassen Sie alle Domains in einer Liste, auch die Domains, die Sie „nur zur Sicherheit“ haben;
• kündigen Sie eine alte Domain, die Sie einmal für Mail genutzt haben, nicht einfach so. Behalten Sie sie und sichern Sie sie als nicht mailende Domain (Lektion 4.1).

Übernahme: Ihr Registrar-Konto und der Transfercode

Der schnellste Weg zu einer Domain führt über das Konto beim Registrar. Wer sich dort anmeldet, kann die Nameserver ändern und damit auf einen Schlag Ihre Website und Mail umleiten. Behandeln Sie dieses Konto also als eines Ihrer wichtigsten:

• Zwei-Faktor-Authentifizierung aktivieren (Modul 2);
• nur Personen mit einem eigenen Konto und den Rechten, die sie benötigen (Lektion 7.1). Ihr Webentwickler erhält am besten Zugriff auf das DNS, nicht auf das gesamte Konto;
• achten Sie auf Phishing rund um Ihre Domain. „Ihre Domain läuft heute ab, zahlen Sie hier“ oder „bestätigen Sie Ihre Daten bei ICANN“ ist ein bekannter Trick. Klicken Sie niemals auf den Link, sondern melden Sie sich selbst bei Ihrem Registrar an.

Ein Transfercode (auch Autorisierungscode, EPP-Code oder Auth-Code) ist nötig, um eine Domain zu einem anderen Registrar zu übertragen. Behandeln Sie diesen Code wie einen Schlüssel: fordern Sie ihn nur an, wenn Sie selbst wechseln, teilen Sie ihn nur mit dem neuen Registrar, und seien Sie sofort misstrauisch, wenn Sie eine Transferbestätigung erhalten, die Sie nicht erwartet haben.

Darüber hinaus gibt es Sperren:

• Ein Registrar-Lock setzt den Status clientTransferProhibited (häufig zusammen mit clientDeleteProhibited und clientUpdateProhibited). Die Registry verweigert dann einen Transfer, bis Sie oder Ihr Registrar die Sperre aufheben. Bei .com und vergleichbaren Endungen ist dies üblich; ICANN empfiehlt es.
• Ein Registry-Lock geht weiter: Änderungen werden bei der Registry selbst erst nach einer zusätzlichen, manuellen Prüfung beim Inhaber umgesetzt. Für .nl heißt dieser Dienst .nl Control. Er ist vor allem für große Marken gedacht und kostet extra; für die meisten kleinen Unternehmen reichen 2FA und ein gut verwaltetes Registrar-Konto aus.

Hängende Einträge und Subdomain-Übernahme

Dies ist das am wenigsten bekannte und tückischste Risiko. Ein Praxisbeispiel (anonymisiert):

Die Bäckerei Example hatte von 2021 bis 2024 einen Onlineshop unter winkel.example.com, mit einem CNAME-Eintrag auf bakkerij-example.webwinkelplatform.example, und 2024 wechselte die Bäckerei und kündigte das Abonnement. Der CNAME-Eintrag blieb bestehen. Ein Jahr später eröffnete jemand anders bei derselben Plattform einen Shop unter dem freigewordenen Namen bakkerij-example. Ab diesem Moment zeigte winkel.example.com einen gefälschten Shop, mit gültigem Zertifikat und unter dem Namen der Bäckerei.

Ein hängender Eintrag (Dangling DNS) ist ein DNS-Eintrag, der auf etwas verweist, das Sie nicht mehr verwalten: einen gekündigten Dienst, einen gelöschten Cloud-Server, eine IP-Adresse, die inzwischen an jemand anderen vergeben wurde. Kann jemand anders dieses Ziel beanspruchen, nennt man das Subdomain-Übernahme (Subdomain Takeover). Der Angreifer erhält eine Subdomain von Ihnen und kann damit Phishing-Seiten hosten, die vollkommen echt aussehen, manchmal sogar Cookies Ihrer Hauptdomain auslesen.

Schutzmaßnahmen:

1. Kündigung bedeutet: zuerst den DNS-Eintrag entfernen, danach den Dienst kündigen. Nehmen Sie das in Ihren Austrittsprozess für Dienste auf.
2. Gehen Sie einmal pro Jahr Ihre gesamte DNS-Zone durch. Wissen Sie bei einem Eintrag nicht, wofür er ist, finden Sie es heraus. Erstellen Sie ein Backup der Zone, bevor Sie etwas entfernen.
3. Seien Sie besonders zurückhaltend mit Wildcards (*.example.com), die auf einen externen Dienst verweisen.

DNSSEC und CAA: zusätzliche Schlösser

DNSSEC versieht die Antworten Ihres DNS mit einer digitalen Signatur, sodass ein Resolver prüfen kann, dass sie echt sind und unterwegs nicht gefälscht wurden. Für .nl ist es bei vielen Anbietern standardmäßig aktiviert. Es schützt vor gefälschten DNS-Antworten, nicht vor einem übernommenen Registrar-Konto. Eine Erklärung in einfacher Sprache finden Sie in Lektion 8.1 des DNS-Kurses.

CAA ist ein DNS-Eintrag, in dem Sie festlegen, welche Zertifizierungsstellen ein Zertifikat für Ihre Domain ausstellen dürfen (RFC 8659). Ohne CAA darf jeder vertrauenswürdige Aussteller dies tun. Mit CAA erschweren Sie es einem Angreifer, anderswo ein Zertifikat für Ihren Namen zu erhalten. Setzen Sie CAA, nehmen Sie dabei den Aussteller auf, den Ihr Hostinganbieter verwendet, sonst kann Ihr eigenes Zertifikat nicht mehr verlängert werden. Mehr dazu in Lektion 5.2 des DNS-Kurses.

In der Praxis: so sieht es aus

Den Status und das Ablaufdatum Ihrer Domain sehen Sie in den öffentlichen Registrierungsdaten (RDAP, dem Nachfolger von Whois). Eine .com-Domain zeigt zum Beispiel:

Status:     client delete prohibited, client transfer prohibited, client update prohibited
Registratie: 2019-03-01
Verloopt:   2027-03-01
DNSSEC:     ja

Nicht jede Registry zeigt ein Ablaufdatum: SIDN zeigt es für .nl nicht in RDAP an. Dann schauen Sie bei Ihrem Registrar nach. Bei WebOké stehen Ablauf, automatische Verlängerung, Quarantäne, DNSSEC und CAA gemeinsam auf der Karte Domain / E-Mail-Gesundheit auf der Domainseite in Mein WebOké, und in den DNS-Einstellungen gibt es einen Button, um ein Backup Ihrer Zone zu erstellen. Bei anderen Anbietern funktioniert es ähnlich.

Zusammenfassung

• Wer Ihre Domain verwaltet, empfängt Ihre Mail und kann damit überall Ihr Passwort zurücksetzen.
• Halten Sie die Inhaberdaten korrekt, verwenden Sie eine Inhaberadresse außerhalb der Domain selbst und aktivieren Sie die automatische Verlängerung.
• Schützen Sie Ihr Registrar-Konto mit 2FA und eigenen Konten; behandeln Sie den Transfercode wie einen Schlüssel; ein Registrar-Lock blockiert unerwünschte Transfers.
• Entfernen Sie bei der Kündigung eines Dienstes zuerst den DNS-Eintrag; gehen Sie Ihre Zone jährlich auf hängende Einträge durch.
• DNSSEC schützt vor gefälschten DNS-Antworten, CAA begrenzt, wer Zertifikate für Ihre Domain ausstellen darf.

Quiz

Aufgabe

Aufgabe A4.3: Den Schutz Ihrer Domain überprüfen. Geben Sie Ihren eigenen Domainnamen ein (haben Sie keine, verwenden Sie sidn.nl). Das Programm ruft Status und Ablaufdatum bei der Registry (RDAP) ab und prüft DNSSEC und CAA. Sie erhalten pro Punkt Grün, Orange oder Rot, oder eine informative Meldung.

Aufgabe D4.3: Domainliste und Zonenkontrolle. Erstellen Sie eine Liste all Ihrer Domains mit Registrar, Inhaber, Ablauf und wer Zugriff hat. Gehen Sie danach die DNS-Zone Ihrer Hauptdomain durch und finden Sie bei jedem Eintrag heraus, wofür er ist.

Weiterführende Informationen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• E-Mails von ICANN oder der Registry zu Ihrer Domain: echt oder Fälschung, und was sollten Sie tun?
• WebOké Anleitung 5.17: Domain- und E-Mail-Gesundheit: prüfen und beheben
• Ein Backup Ihrer DNS erstellen und wiederherstellen
• Öffentliche Domaingesundheit: https://www.weboke.de/domain-gesundheit
• DNS-Kurs, Lektionen 1.3 (Registry, Registrar und Inhaber), 5.2 (CAA) und 8.1 (DNSSEC): https://www.weboke.de/dns-cursus
• ICANN, EPP-Statuscodes erklärt (Englisch): https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en
• SIDN, Ihre Domain kündigen und Quarantäne: https://www.sidn.nl/en/nl-domain-name/cancelling-your-domain-name
• MDN, Subdomain-Übernahme (Englisch): https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers