Unerwartete Nameserver- oder Registrar-Änderungen: frühe Anzeichen für Domain-Hijacking

Von Datahorses · 4. September 2025 · 4 Min. Lesezeit

Domain-Hijacking bedeutet, dass jemand anderes als Sie die Kontrolle darüber erlangt, wohin Ihre Domain zeigt. Die direktesten Wege sind das Ändern der Nameserver, der Transfer der Domain zu einem anderen Registrar oder das Bearbeiten von DNS-Einträgen im Konto bei Ihrem DNS-Anbieter. Jede dieser Aktionen ist ein normaler Verwaltungsvorgang. Genau deshalb ist eine unerwartete Änderung das früheste und deutlichste Warnzeichen.

Wer Ihr DNS kontrolliert, kann die Besucher Ihrer Website und Ihre eingehenden E-Mails auf eigene Server umleiten. Weil er die Domain kontrolliert, kann er dafür auch gültige TLS-Zertifikate erhalten, sodass Besucher keine Browserwarnung sehen.

Die gute Nachricht: Solche Änderungen sind von außen sichtbar, und Registrare und Registrys bieten Sperren an, die sie deutlich erschweren.

Wie DNS-Hijacking in der Praxis abläuft

Im Januar 2019 erließ die CISA die Emergency Directive 19-01 nach einer Kampagne, bei der Angreifer Zugangsdaten zu Konten erbeutet hatten, über die sich DNS-Einträge ändern ließen. Sie veränderten A-, MX- und NS-Einträge, um Web- und Mailverkehr über eigene Infrastruktur zu leiten, und erhielten gültige Zertifikate für die betroffenen Domains. Die (inzwischen aufgehobene) Direktive verpflichtete Behörden, DNS-Einträge zu überprüfen, Passwörter von DNS-Konten zu ändern, Multi-Faktor-Authentifizierung einzurichten und Certificate-Transparency-Logs zu überwachen. Diese 4 Schritte sind bis heute eine gute Grundlage für jede Organisation.

Die üblichen Einfallstore sind:

Ein kompromittierter Login beim Registrar oder DNS-Anbieter, oft über ein wiederverwendetes oder per Phishing abgegriffenes Passwort.
Ein kompromittiertes E-Mail-Konto, das die Passwort-Reset-Nachrichten des Registrars empfängt.
Social Engineering gegenüber dem Support des Registrars.
Eine abgelaufene Domain, die jemand anderes neu registriert hat. Mehr dazu unter was passiert, wenn Ihre Domain abläuft.

Wie eine unerwartete Änderung aussieht

Halten Sie fest, was für Ihre Domain normal ist, und vergleichen Sie dann:

Nameserver (NS): ein Wechsel von Ihrem üblichen DNS-Anbieter zu unbekannten Servern.
Registrar: Die Domain wird plötzlich von einem Registrar verwaltet, den Sie nie genutzt haben.
A-, AAAA- und CNAME-Einträge: Ihre Website zeigt plötzlich auf eine IP-Adresse in einem Netz, das Sie nicht nutzen.
MX-Einträge: E-Mails laufen über einen Server, den Sie nicht eingerichtet haben.
EPP-Statuscodes: Schutzsperren wie clientTransferProhibited wurden ohne Grund entfernt.
Neue Zertifikate: ein Zertifikat für Ihre Domain von einer CA, die Sie nicht nutzen.

So prüfen Sie Ihre Domain selbst

Lesen Sie die aktuellen Werte direkt aus:

dig NS example.com +short
dig A example.com +short
dig MX example.com +short
whois example.com | grep -i -E "registrar:|name server|status"

Speichern Sie die Ausgabe. Führen Sie dieselben Befehle regelmäßig aus und vergleichen Sie. Eine Abweichung, die Sie nicht erklären können, ist eine sofortige Nachfrage bei der Person wert, die Ihr DNS verwaltet.

Für Zertifikate durchsuchen Sie die Certificate-Transparency-Logs auf crt.sh nach Ihrer Domain und sehen sich die Aussteller an. Siehe Certificate-Transparency-Logs erklärt.

Sperren: Registrar Lock und Registry Lock

Die Referenz der EPP-Statuscodes von ICANN beschreibt die Status, die eine Domain schützen:

clientTransferProhibited: wird von Ihrem Registrar gesetzt. Die Registry lehnt Anfragen ab, die Domain zu einem anderen Registrar zu übertragen. Das ist der übliche „Registrar Lock“, und er sollte für jede Domain aktiv sein, die Sie nicht gerade umziehen.
clientUpdateProhibited und clientDeleteProhibited: Die Registry lehnt Änderungen oder die Löschung ab, bis Ihr Registrar den Status entfernt.
Registry Lock: Einige Registry-Betreiber bieten einen Dienst an, der serverUpdateProhibited, serverTransferProhibited und serverDeleteProhibited setzt. Diese werden auf Ebene der Registry gesetzt, nicht in Ihrem Registrar-Konto, und laut ICANN dauert das Entfernen eines Server-Status in der Regel länger, was genau der Zweck ist. Fragen Sie Ihren Registrar, ob der Dienst für Ihre Top-Level-Domain verfügbar ist.

Ein Registrar Lock allein hilft nicht, wenn sich der Angreifer in Ihr Registrar-Konto einloggt, denn dann kann er ihn entfernen. Ein Registry Lock fügt einen Schritt außerhalb dieses Kontos hinzu, sodass ein gestohlenes Registrar-Passwort allein nicht ausreicht.

Konten absichern, die das DNS steuern

Multi-Faktor-Authentifizierung für die Konten bei Registrar und DNS-Anbieter, möglichst mit Sicherheitsschlüssel oder Passkey statt SMS.
Eine eigene Kontakt-E-Mail-Adresse für den Registrar, in einem Postfach, das genauso stark geschützt ist wie das Registrar-Konto selbst.
Wenige Personen mit Zugang, und Entzug des Zugangs, wenn jemand das Unternehmen verlässt.
Ein CAA-Eintrag, der die von Ihnen genutzten Zertifizierungsstellen auflistet, definiert in RFC 8659. Zum Beispiel:

example.com.  CAA 0 issue "letsencrypt.org"

CAA hält einen Angreifer, der Ihr DNS kontrolliert, nicht davon ab, es zu bearbeiten. Es erschwert aber ungeplante Ausstellungen durch andere CAs, und eine Änderung des CAA-Eintrags wird selbst zum Signal.

Wenn Sie eine Änderung sehen, die Sie nicht vorgenommen haben

Kontaktieren Sie Registrar und DNS-Anbieter über einen bekannten Kanal, nicht über einen Link aus einer E-Mail.
Stellen Sie die korrekten NS-, A- und MX-Einträge wieder her und aktivieren Sie die Sperren erneut.
Ändern Sie Passwörter und setzen Sie die Multi-Faktor-Authentifizierung für diese Konten zurück, ebenso für das E-Mail-Konto, das deren Benachrichtigungen empfängt.
Prüfen Sie die Certificate-Transparency-Logs auf Zertifikate, die in diesem Zeitraum ausgestellt wurden, und bitten Sie die ausstellende CA, alle nicht von Ihnen beantragten zu widerrufen.
Betrachten Sie Passwörter und Sitzungen, die in diesem Zeitraum auf Ihrer Website und in Ihrer Mail genutzt wurden, als möglicherweise offengelegt.

Checkliste

Ausgangszustand von NS, A, MX, Registrar und Statuscodes gespeichert.
Registrar Lock aktiv, Registry Lock geprüft.
Multi-Faktor-Authentifizierung für Registrar, DNS und das verknüpfte Postfach.
CAA-Eintrag veröffentlicht.
Regelmäßiger Abgleich mit dem Ausgangszustand.

Wo Datahorses ins Spiel kommt

Datahorses überwacht Ihr Unternehmen von außen und prüft Ihre Nameserver, Ihren Registrar, Ihre DNS-Einträge und neu ausgestellte Zertifikate auf Änderungen. Wir greifen nicht auf Ihre Systeme zu und benötigen keinen Zugang. Eine unerwartete Änderung prüft ein Mensch und schickt sie Ihnen mit den Angaben, was sich geändert hat, wann, und was zuerst zu tun ist. Sehen Sie sich an, wie wir überwachen und was passiert, wenn wir etwas finden.