Wem gehört Ihre Domain – und wer merkt, wenn sie abläuft?
Warum Domain-Inhaberschaft, Verlängerung, Registrar-Zugänge und Transfer-Sperren in jeden Website-Betriebscheck gehören.
Ihre Website kann sauberen Code, Backups und Monitoring haben – und trotzdem an einer einzigen vergessenen Rechnung verschwinden.
Nicht wegen eines Serverausfalls. Nicht wegen eines Angriffs auf die Anwendung. Sondern weil die Domain auf ein altes Agenturkonto registriert ist, die Kreditkarte abgelaufen ist oder Verlängerungsmails an eine Adresse gehen, die niemand mehr liest.
Das ist kein exotisches Randproblem. Die Domain ist der Einstiegspunkt für Website, E-Mail, Login-Links, APIs und oft auch für die Markenidentität. Fällt sie aus oder gerät sie unter fremde Kontrolle, funktionieren mehrere Systeme gleichzeitig nicht mehr.
Die Domain ist kein technisches Detail
Viele Unternehmen behandeln Domains wie eine einmalige Beschaffung: registrieren, DNS eintragen, vergessen.
Operativ ist die Domain jedoch ein kritisches Asset. ICANN weist darauf hin, dass eine Registrierung nur für den gebuchten Zeitraum gilt und rechtzeitig verlängert werden muss. Läuft sie aus, können Website und E-Mail ausfallen; wird sie nicht wiederhergestellt, kann sie später erneut vergeben werden.
Die eigentliche Risikofrage lautet deshalb nicht nur: Wann läuft die Domain ab?
Sie lautet:
- Wer ist als Inhaber beziehungsweise Registrant hinterlegt?
- Liegt die Domain in einem Unternehmenskonto oder im privaten Konto eines Dienstleisters?
- Welche E-Mail-Adresse erhält Verlängerungs- und Sicherheitsmeldungen?
- Funktioniert die hinterlegte Zahlungsmethode?
- Gibt es mehr als eine Person mit dokumentiertem Zugang?
- Ist bekannt, wie die Domain im Notfall übertragen oder wiederhergestellt wird?
Wenn diese Fragen nicht schnell beantwortet werden können, besteht bereits eine Betriebsabhängigkeit.
Fünf Warnsignale, die Unternehmen gern zu spät entdecken
1. Die Domain wurde von der Agentur registriert
Das kann bequem gewesen sein. Problematisch wird es, wenn Vertrag, Ansprechpartner oder Agentur wechseln und niemand eindeutig dokumentiert hat, wem die Domain gehört.
Ein administrativer Zugang zum CMS beweist keine Kontrolle über die Domain.
2. Verlängerungen hängen an einer einzelnen Kreditkarte
Automatische Verlängerung ist sinnvoll, aber kein Kontrollsystem. Karten laufen ab, Konten werden geschlossen und Zahlungen werden abgelehnt. Ohne unabhängige Ablaufüberwachung bleibt der Fehler oft bis zum Ausfall unsichtbar.
3. Sicherheitsmails gehen an dieselbe Domain
Wenn alle Wiederherstellungs- und Registrar-Mails an admin@beispiel.de gehen, kann ein Domain- oder DNS-Ausfall genau den Kommunikationskanal abschalten, den Sie zur Wiederherstellung brauchen.
Mindestens ein dokumentierter Notfallkontakt sollte außerhalb der betroffenen Domain liegen.
4. Niemand kennt den Transfer-Status
Eine Registrar-Sperre kann unautorisierte Übertragungen erschweren. ICANN beschreibt den Status häufig als „Registrar lock“ oder clientTransferProhibited. Eine Sperre ist Schutz – aber nur, wenn bekannt ist, wer sie entfernen darf und wie lange das dauert.
5. Zugangsdaten liegen nur im persönlichen Passwortmanager
Ein einzelner sicherer Zugang ist besser als ein geteilter Klartext-Login. Für den Betrieb reicht das trotzdem nicht, wenn Urlaub, Krankheit oder Personalwechsel den Zugriff blockieren.
Domain-Hijacking betrifft mehr als die Startseite
Bei einer Übernahme kann ein Angreifer DNS-Einträge verändern, Besucher auf andere Systeme umleiten oder E-Mail-Verkehr beeinflussen. Der ICANN-Sicherheitsbeirat beschreibt, dass Domain-Hijacking unter anderem Website-Ausfälle, E-Mail-Diebstahl, Phishing und Reputationsschäden verursachen kann.
Deshalb sollten Registrar-Zugang und Domain-Änderungen mindestens so ernst behandelt werden wie Hosting- oder Produktionszugänge.
Ein belastbarer Domain-Betriebscheck
Ein pragmatischer Check braucht kein großes Governance-Projekt. Für die wichtigste Domain sollten mindestens folgende Punkte dokumentiert und geprüft sein:
- Inhaberschaft: Das Unternehmen oder die richtige rechtliche Person ist nachvollziehbar als Registrant hinterlegt.
- Registrar: Anbieter, Kundennummer und Vertragsbeziehung sind dokumentiert.
- Ablaufdatum: Eine unabhängige Überwachung warnt lange vor dem Ablauf – nicht nur die E-Mail des Registrars.
- Auto-Renew: Automatische Verlängerung ist aktiv und die Zahlungsmethode wird regelmäßig geprüft.
- Kontakte: Administrative und technische Kontakte sind aktuell; ein Notfallkontakt nutzt eine externe Domain.
- Zugriff: Mindestens zwei berechtigte Personen können auf das Konto zugreifen, idealerweise mit individuellen Konten und Mehrfaktor-Authentifizierung.
- Sperren: Transfer- und Änderungssperren sind aktiviert, soweit der Registrar sie sinnvoll anbietet.
- DNS-Dokumentation: Nameserver, DNS-Provider und kritische Records sind exportiert oder nachvollziehbar dokumentiert.
- Notfallweg: Wiederherstellungs-, Entsperrungs- und Transferprozess sind bekannt.
- Änderungsnachweis: Kritische Änderungen werden protokolliert und geprüft.
Was passiert nach dem Ablauf?
Die konkrete Abfolge hängt von Registry, Registrar und Domain-Endung ab. Für viele generische Top-Level-Domains gibt es Richtlinien zu Erinnerungen, Unterbrechung der DNS-Auflösung und Wiederherstellung. Die Expired Registration Recovery Policy von ICANN beschreibt Mindestanforderungen, ersetzt aber keinen eigenen Kontrollprozess.
Verlassen Sie sich nicht auf eine vermeintlich großzügige Kulanzfrist. Während einer Unterbrechung können Website, E-Mail und automatisierte Prozesse bereits ausfallen. Wiederherstellung kann außerdem Zeit und zusätzliche Gebühren kosten.
Was Website-Pflichtencheck prüfen würde
Ein Domain- und Betriebscheck betrachtet nicht nur das Ablaufdatum. Wir prüfen, ob Inhaberschaft, Registrar-Zugriff, Benachrichtigungen, Auto-Renew, Mehrfaktor-Authentifizierung, Transfer-Sperren, DNS-Dokumentation und Notfallwege zusammenpassen.
Besonders wichtig ist das nach einem Agenturwechsel, einem Unternehmensumbau, dem Ausscheiden technischer Ansprechpartner oder wenn mehrere Marken und Länder-Domains historisch verteilt verwaltet werden.
Eine Domain sollte nicht deshalb funktionieren, weil sich noch jemand an das richtige Passwort erinnert. Sie sollte dokumentiert, überwacht und organisatorisch kontrolliert sein. Genau das lässt sich prüfen, bevor aus einer Verwaltungslücke ein vollständiger Kommunikationsausfall wird.