So funktioniert’s
Domains unter generischen Endungen tragen EPP-Statuscodes (RFC 5731), die festlegen, was mit ihnen geschehen darf. Der Registrar-Lock ist der Status clientTransferProhibited: Solange er gesetzt ist, lehnt die Registry jeden Transferantrag ab, auch wenn jemand den richtigen Auth-Code hat. Oft gehören clientUpdateProhibited und clientDeleteProhibited dazu, die Änderungen und Löschung sperren.
Den Lock schaltet der Inhaber im Kundenkonto des Registrars ein und aus. Die server-Varianten wie serverTransferProhibited setzt die Registry selbst; als „Registry Lock“ verlangen sie für jede Änderung eine manuelle Bestätigung und schützen auch dann, wenn das Registrar-Konto kompromittiert ist.
Länderendungen gehen eigene Wege: Die DENIC kennt für .de keinen Transferstatus, dort schützt der AuthInfo-Code, den nur der Inhaber beim Provider anfordern kann. Manche Registrare bieten zusätzlich eine eigene Transfersperre an, die sie unabhängig von der Registry durchsetzen.
Warum gefährlich
Ohne Transfersperre genügen ein abgegriffener Auth-Code oder ein übernommenes Registrar-Konto, um die Domain zu einem anderen Registrar zu ziehen (Domain-Hijacking). Der neue Halter setzt eigene Nameserver und kontrolliert damit Website, Mail, Zertifikate und jede Passwort-Rücksetzung, die per Mail an die Domain geht.
Eine entführte Domain zurückzuholen dauert selbst bei klarer Rechtslage oft Wochen und läuft über Registrar, Registry oder ein Streitbeilegungsverfahren – Wochen, in denen der Kunde ohne Website und Mail dasteht.
So vermeidest du es
- Bei allen Kundendomains den Transfer-Lock im Registrar-Konto einschalten, ebenso den Schutz gegen Änderung und Löschung, wo es ihn gibt.
- Das Registrar-Konto mit Zwei-Faktor-Anmeldung schützen und die Kontaktadresse auf eine Adresse außerhalb der Domain legen.
- Auth-Codes nur für einen geplanten Umzug anfordern, nicht unverschlüsselt per Mail weitergeben und nach dem Umzug neu setzen lassen.
- Für besonders wichtige Domains beim Registrar nach einem Registry Lock fragen, sofern die Endung ihn anbietet.
- Registrar und Statuscodes laufend überwachen, damit ein ungeplanter Transfer oder ein entfernter Lock sofort auffällt.
So erkennt DomainWarn es
Der Domain-Check liest täglich per RDAP die Statuscodes der Registry. Fehlt bei einer generischen Endung wie .com, .net oder .agency jede Transfersperre (weder clientTransferProhibited noch serverTransferProhibited), gibt es einen Hinweis. Länderendungen wie .de bewertet er dabei nicht, weil ihre Registries das EPP-Statusmodell nicht verwenden.
Ist der Registrar über eine Integration verbunden (INWX, IONOS, OVHcloud oder Route 53), gilt dessen eigene Angabe: Eine ausgeschaltete Transfersperre meldet DomainWarn dann für jede Endung, auch für .de. Jede Änderung der Statuscodes steht als Ereignis in der Zeitleiste, ein Wechsel des Registrars kommt als Warnung – das typische Zeichen eines Transfers, den niemand beauftragt hat.
DomainWarn prüft das für alle deine Domains regelmäßig und meldet sich, wenn etwas fehlt oder sich ändert.