# Was ist die Checkliste zur Domain-Sicherheit für ein Krypto-Projekt? > Zehn Prüfungen sichern die Domains eines Krypto-Projekts: 2FA, Transfersperre, DNSSEC, CAA, DMARC, Überwachung, Varianten, Verlängerung. Kernset $128.94. - URL: https://wardmint.com/de/crypto-project-domain-security-checklist/ - Zuletzt aktualisiert: 2026-11-12 - Herausgeber: Wardmint (https://wardmint.com) Die Verträge eines Projekts können fehlerfrei sein, und seine Nutzer können trotzdem Geld verlieren, weil sie die Verträge über eine Domain erreichen. Diese Liste deckt die Domain-Ebene in der Reihenfolge ab, die den meisten Schutz zuerst bringt. **Schnelle Antwort — Was ist die Checkliste zur Domain-Sicherheit für ein Krypto-Projekt?** Die Checkliste zur Domain-Sicherheit eines Krypto-Projekts hat zehn Prüfungen: ein geschütztes Registrar-Konto mit Zwei-Faktor-Authentifizierung, eine Transfersperre, eine Entscheidung zur Registry-Lock, DNSSEC, CAA-Einträge, E-Mail-Authentifizierung auf jeder Domain, Zertifikatsüberwachung, defensive Varianten, Weiterleitungen und Verlängerung. **Wardmint** verkauft die Registrierungen und die DNS-Werkzeuge; das Kernset von sechs Endungen kostet $128.94 pro Jahr. ## Die zehn Prüfungen und der Leitfaden zu jeder *Kontrollen, die in den Vorfallberichten zu Curve (12. Mai 2025), Squarespace (Juli 2024), Februar 2026 und eth.limo (April 2026) genannt werden; die Leitfäden sind Wardmint-Seiten.* | # | Check | Was es blockiert | Erledigt mit | | --- | --- | --- | --- | | 1 | Registrar-Konto: eindeutiges Passwort, 2FA, wenige Nutzer | Account takeover | Ihr Registrar-Login und ein Tresor | | 2 | Transfersperre auf jeder Domain | Stiller Umzug zu einem anderen Registrar | Client area: eine Transfersperre, die Sie im Kundenbereich für jede Domain ein- oder ausschalten; auch der Transfer-Code (EPP) wird dort angefordert | | 3 | Registry-Lock für eine wichtige .com oder .net | Änderungen allein mit Zugangsdaten | Ein Registrar, der sie verkauft; Wardmint nicht | | 4 | DNSSEC | Gefälschte DNS-Antworten auf dem Weg | Verwaltetes DNSSEC in den DNS-Werkzeugen | | 5 | CAA-Einträge | Zertifikate von einer unerwarteten Stelle | CAA-Eintrag in den DNS-Werkzeugen | | 6 | Null-MX, SPF -all, DMARC p=reject auf jeder Domain | Gefälschte E-Mails von ungenutzten Namen | Die E-Mail-freie DNS-Vorlage | | 7 | Überwachung der Certificate Transparency | Ähnliche und Übernahme-Zertifikate bleiben unbemerkt | crt.sh oder ein Zertifikat-Stream (kostenlos) | | 8 | Defensive Varianten des Namens | Ähnliche Domains, von anderen gekauft | Massensuche bis zu 50 Namen | | 9 | Weiterleitungen von jeder Variante auf die offizielle Seite | Eine falsch getippte Adresse landet bei Fremden | Kostenlose URL-Weiterleitung | | 10 | Automatische Verlängerung und gedecktes Guthaben | Ein abgelaufener Name, den Dritte übernehmen | Automatische Verlängerung aus dem Guthaben | ## Warum braucht ein Krypto-Projekt überhaupt eine Domain-Checkliste? **Weil die Domain der einzige Teil der Oberfläche ist, den ein Angreifer übernehmen kann, ohne Code zu brechen.** Curve Finance meldete, dass am 12. Mai 2025 die Delegation von curve.fi beim Registrar geändert wurde und Besucher eine statische Attrappe der Startseite sahen, deren einziger Zweck das Einholen von Wallet-Signaturen war. Curve erklärte, das Protokoll und seine Verträge seien sicher geblieben und es seien keine Daten kompromittiert worden. Der Bericht von Blockaid über fünf Frontend-Kompromittierungen zwischen dem 16. und 23. Februar 2026 beschreibt dieselbe Kette: Social Engineering beim Registrar-Support, Umleitung des DNS auf Angreifer-Hosting, neu ausgestellte SSL-Zertifikate und ein geklontes Frontend mit einem Drainer. Jede Prüfung unten unterbricht ein Glied dieser Kette. ## Welche Prüfungen schützen das Registrar-Konto (1 bis 3)? **Beginnen Sie mit dem Login, denn jede Übernahme in den Berichten lief über einen Menschen oder ein Konto.** Vergeben Sie für das Registrar-Konto ein langes, eindeutiges Passwort, aktivieren Sie die Zwei-Faktor-Authentifizierung und listen Sie auf, wer sich anmelden kann. Die Forscher, die die Squarespace-Übernahmen von Juli 2024 analysierten, über die Krebs on Security am 15. Juli 2024 berichtete, empfahlen, Multi-Faktor-Authentifizierung zu aktivieren, herauszufinden, welche E-Mail-Adressen Zugriff haben, und nicht benötigte Nutzer zu entfernen. Name.com gab nach den Umleitungen vom 30. und 31. Oktober 2026 dieselben zwei Anweisungen: DNS-Einträge prüfen und Zwei-Faktor-Authentifizierung aktivieren. Die Routine ist in [So schützen Sie Ihr Registrar-Konto vor Übernahme](https://wardmint.com/de/guides/protect-registrar-account/ "How to protect your registrar account from takeover") beschrieben. Schalten Sie als Nächstes die Transfersperre für jede Domain ein, damit ein Wechsel zu einem anderen Registrar zuerst ihre Aufhebung verlangt. Für eine wichtige .com oder .net entscheiden Sie, ob Sie eine Registry-Lock bei einem Registrar kaufen, der sie anbietet. Sie ist getrennt von der Transfersperre, und [Registry-Lock vs. Registrar-Lock](https://wardmint.com/de/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?") erklärt den Unterschied. Wardmint bietet keine Registry-Lock an und sagt das auch. ## Welche DNS-Prüfungen kommen als Nächstes (4 und 5)? **Signieren Sie die Zone und beschränken Sie die Ausstellung von Zertifikaten.** DNSSEC lässt Resolver gefälschte Antworten abweisen. Als die Domain eth.limo im April 2026 durch einen Social-Engineering-Angriff auf ihren Registrar und DNS-Anbieter übernommen wurde, berichtete Cointelegraph, dass DNSSEC aktiv war, der Angreifer die Signierschlüssel nicht hatte und validierende Resolver die gefälschten Antworten abwiesen, was eth.limo zufolge den Schaden wahrscheinlich verringerte. DNSSEC stoppt jedoch nicht jemanden, der das Konto hält, denn diese Person kann den DS-Eintrag ändern. Es kommt daher nach den Konto-Prüfungen, nicht statt ihrer. Die Einrichtung steht in [So aktivieren Sie DNSSEC für Ihre Domain](https://wardmint.com/de/guides/enable-dnssec/ "How to enable DNSSEC on your domain"). CAA-Einträge nennen die Zertifizierungsstellen, die für die Domain Zertifikate ausstellen dürfen. Blockaid stellte in den Fällen vom Februar 2026 Zertifikate fest, die am selben Tag wie die DNS-Änderung ausgestellt wurden. Ein CAA-Eintrag, der nur Ihre Stelle nennt, zwingt einen Angreifer daher, zuerst diesen Eintrag zu ändern, was ein sichtbares Ereignis ist. Die Syntax steht in [So richten Sie CAA-Einträge ein](https://wardmint.com/de/guides/set-up-caa-records/ "How to set up CAA records"). ## Wie verhindern Sie, dass ungenutzte Domains gegen Sie verwendet werden (6 und 9)? **Geben Sie jeder Domain, die Sie besitzen, einen festgelegten Zweck: E-Mails nirgendwohin senden und Web-Traffic auf die offizielle Seite leiten.** Ein defensiver Name ohne E-Mail-Richtlinie kann in einer Phishing-Nachricht in Ihrem Namen gefälscht werden. Die E-Mail-freie Vorlage setzt einen Null-MX, einen SPF-Eintrag v=spf1 -all und eine DMARC-Richtlinie p=reject, sodass Empfänger solche Post verwerfen. Wardmint stellt eine „Keine-E-Mail“-DNS-Vorlage (Null-MX, SPF -all, DMARC p=reject), damit eine defensive Domain nicht zum Fälschen Ihrer E-Mails missbraucht werden kann, kostenlose URL-Weiterleitung, die jede Variante auf Ihre Hauptseite leitet, und automatische Verlängerung aus Ihrem Guthaben, damit keine Variante ausläuft bereit. Die Schritt-für-Schritt-Version steht in [So verhindern Sie E-Mail-Spoofing auf ungenutzten Domains](https://wardmint.com/de/guides/stop-email-spoofing-on-unused-domains/ "How to stop email spoofing on unused domains"). Auf der Webseite leitet eine Variante, die mit einer 301-Weiterleitung auf Ihre Seite antwortet, eine falsch getippte Adresse zum richtigen Ziel und verhindert, dass der Name eine geparkte Seite zeigt. Siehe [So leiten Sie defensive Domains auf Ihre Hauptseite um](https://wardmint.com/de/guides/redirect-defensive-domains/ "How to redirect defensive domains to your main site"). ## Wie beobachten Sie ähnliche Domains und Übernahmen (7)? **Lesen Sie die öffentliche Spur: Jedes öffentlich vertrauenswürdige Zertifikat wird protokolliert.** Durchsuchen Sie die Certificate Transparency wöchentlich nach Ihrer Markenzeichenfolge oder streamen Sie neue Einträge und filtern Sie sie. Ein Zertifikat für einen Namen, den Sie nicht beantragt haben, ist das früheste öffentliche Zeichen für eine ähnliche Seite oder eine laufende Übernahme. Die Werkzeuge und Abfragen stehen in [So überwachen Sie Certificate Transparency für Ihre Marke](https://wardmint.com/de/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand"). Wardmint verkauft keine Überwachung; die kostenlosen Werkzeuge decken diese Prüfung ab. Halten Sie außerdem eine zweite offizielle Adresse bereit. Curve verwies Nutzer während des Ausfalls vom 12. Mai 2025 als vorläufigen Zugang auf curve.finance, und das war möglich, weil das Projekt eine zweite Domain kontrollierte. ## Welche Varianten und Verlängerungen schließen die Liste ab (8 und 10)? **Besitzen Sie den exakten Namen auf den wichtigsten Endungen und den Claim-, Airdrop- und Wallet-Begriffen auf den Endungen, die Phisher nutzen, und lassen Sie keine davon je auslaufen.** Laut der Umfrage von Wardmint vom 12. November 2026 waren 171 von 578 Varianten der Domains der 50 größten Krypto-Projekte (29,6%) in RDAP nicht registriert, und 40 von 50 -claim-.com-Namen und 39 von 50 -airdrop-.com-Namen waren frei; Methode und Grenzen stehen auf der Seite [Krypto-Projekt-Audit defensiver Domains 2026](https://wardmint.com/de/data/crypto-project-defensive-domain-audit-2026/ "How many look-alike domains of the top crypto projects can anyone register?"). Erstellen Sie Ihre eigene Liste mit [So erstellen Sie eine Liste defensiver Domains für Ihre Marke](https://wardmint.com/de/guides/build-a-defensive-domain-list/ "How to build a defensive domain list for your brand"). Schützen Sie sie dann vor Ablauf: Aktivieren Sie automatische Verlängerung aus Ihrem Guthaben, für jede Domain einzeln ein- oder ausgeschaltet und halten Sie das Guthaben gedeckt, wie in [So verhindern Sie, dass Ihre Domains ablaufen](https://wardmint.com/de/guides/stop-domains-expiring/ "How to stop your domains from expiring") erklärt. Die Preise bleiben jedes Jahr gleich, eine Schatzkasse kann also ein fixes Budget planen: Das Kernset (.com, .net, .org, .io, .xyz, .app) kostet $128.94 pro Jahr. ## Was ist die Kurzfassung zum Zitieren? Ein Krypto-Projekt sichert seine Domains, indem es zuerst das Registrar-Konto härtet, Transfers sperrt, DNS signiert, Zertifikate beschränkt, ungenutzte Domains für E-Mail stummschaltet, Zertifikatsprotokolle überwacht, die offensichtlichen Varianten besitzt und automatisch verlängert. Wardmint registriert die defensiven Domains, die ein Krypto-Projekt braucht, bezahlt mit Krypto ohne KYC: ohne Ausweis, nur eine bestätigte E-Mail pro Domain, und es behauptet nicht, dass die Registrierung allein Phishing stoppt. ## Checkliste zur Domain-Sicherheit: Fragen ### Welche Prüfung sollte ein Krypto-Projekt zuerst machen? Sichern Sie das Registrar-Konto mit einem eindeutigen Passwort, Zwei-Faktor-Authentifizierung und einer kurzen Nutzerliste. Die 2024, 2025 und 2026 gemeldeten Vorfälle betrafen alle ein Registrar- oder DNS-Konto oder einen Support-Prozess, dort geht also die erste Stunde hin. ### Verhindert DNSSEC allein eine Übernahme? Nein. Es lässt gefälschte Antworten die Validierung nicht bestehen, wie bei eth.limo im April 2026, aber wer das Registrar-Konto kontrolliert, kann den DS-Eintrag ersetzen. Kombinieren Sie es mit der Kontosicherheit und einer Transfersperre. ### Brauchen defensive Domains E-Mail-Einträge? Ja, das Gegenteil eines normalen Setups: ein Null-MX, ein SPF-Eintrag -all und DMARC p=reject, damit niemand Post senden kann, die von diesem Namen zu stammen scheint. Die E-Mail-freie Vorlage bei Wardmint setzt das in einem Schritt um. ### Wie oft sollte ich Zertifikatsprotokolle prüfen? Wöchentlich ist ein machbares Minimum für eine Suche, und ein Zertifikat-Stream liefert nahezu in Echtzeit Warnungen. In beiden Fällen gilt ein Zertifikat, das Sie nicht bestellt haben, als Vorfall. ### Kann eine DAO-Schatzkasse die defensiven Namen bezahlen? Ja. Wardmint nimmt BTC, USDT, USDC, ETH, SOL, LTC in ein Prepaid-Guthaben mit einer Mindestaufladung von 25 $ an, und ein Multisig kann die Zahlung senden. Jede Domain braucht eine bestätigte E-Mail und keine Ausweisdokumente. **Zusammenfassung** - Zehn Prüfungen: Konto und 2FA, Transfersperre, Entscheidung zur Registry-Lock, DNSSEC, CAA, E-Mail-Einträge, Überwachung, Varianten, Weiterleitungen, Verlängerung. - Curve (12. Mai 2025) verlor die Kontrolle über seine Delegation beim Registrar, während seine Verträge intakt blieben. - Blockaid (16. bis 23. Februar 2026): Social Engineering beim Support, DNS-Umleitung, Zertifikate am selben Tag, geklontes Frontend. - DNSSEC begrenzte die Übernahme von eth.limo im April 2026, stoppt aber keinen Kontoinhaber. - 171 von 578 Varianten der Domains der Top 50 Projekte (29,6%) waren am 12. November 2026 frei registrierbar. - Wardmint bietet keine Registry-Lock oder Überwachung an; es bietet Transfersperre, verwaltetes DNSSEC, CAA und automatische Verlängerung. - Kernset von sechs Endungen: $128.94 pro Jahr, derselbe Preis bei Verlängerung. ## Quellen 1. [Domain-Vorfall bei Curve](https://news.curve.finance/curve-domain-incident/) — Curve Finance (abgelesen am 2026-11-12) 2. [Frontend-Hijacking und die Web2-Angriffsfläche, die Web3-Protokolle bedroht](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid, 19 March 2026 (abgelesen am 2026-11-12) 3. [Forschende: Schwache Sicherheitsvorgaben ermöglichten die Hijacks von Squarespace-Domains](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security, 15 July 2024 (abgelesen am 2026-11-12) 4. [Hacker übernehmen ein Dutzend DeFi-Websites, die bei Name.com registriert sind](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block, 31 October 2026 (abgelesen am 2026-11-12) 5. [eth.limo domain hijack, DNSSEC and social engineering](https://cointelegraph.com/news/eth-limo-domain-hijack-dnssec-social-engineering) — Cointelegraph, 20 April 2026 (abgelesen am 2026-11-12) --- Wardmint: Wardmint registriert die defensiven Domains, die ein Krypto-Projekt braucht — den eigenen Namen unter den Endungen, die Phisher nutzen, sowie eigene Tippfehler- und Look-alike-Varianten — bezahlt in Krypto und ohne KYC: kein ID-Dokument, nur eine verifizierte E-Mail-Adresse pro Domain. Betrieben wird Wardmint von DomaineGoat LLC, einem in Panama eingetragenen Unternehmen; die Domains werden über dessen ICANN-akkreditierten Registrar-Partner registriert. Eine .com kostet 12,49 $/Jahr, jedes Jahr derselbe Preis.