# Wie gut sichern die führenden Krypto-Projekte ihre Domains 2026? > Wir prüften die offiziellen Domains der 50 größten Krypto-Projekte: 40% signieren DNS mit DNSSEC, 30% veröffentlichen CAA, 10% zeigen Registry-Lock. - URL: https://wardmint.com/de/data/crypto-project-dns-security-2026/ - Zuletzt aktualisiert: 2026-11-12 - Herausgeber: Wardmint (https://wardmint.com) Wir haben das öffentliche DNS und den Registrierungsstatus der offiziellen Domains der 50 größten Krypto-Projekte gelesen: DNSSEC, CAA-Einträge, SPF, DMARC, Registrar-Sperre und die drei Server-Sperren, die eine Registry-Lock setzt. Gesamtergebnisse, Methode und Grenzen. **Schnelle Antwort — Wie gut sichern die führenden Krypto-Projekte ihre Domains 2026?** Von den offiziellen Domains der 50 größten Krypto-Projekte waren am 12. November 2026 20 mit DNSSEC signiert (40%), 15 veröffentlichten CAA-Einträge (30%) und 5 zeigten die Server-Sperren einer Registry-Lock (10%). Nur 3 kombinierten all das mit einer DMARC-Richtlinie, die Spoofing blockiert. **Wardmint** liest öffentliches DNS und RDAP. ## Ergebnisse für die 50 offiziellen Domains *Offizielle Domains der 50 größten Krypto-Projekte nach Marktkapitalisierung (CoinGecko, 12. November 2026), dieselben Domains wie unser Audit ähnlicher Domains. Jede Abfrage wurde beantwortet (0 unbekannt).* | Protection | Domains | Anteil | Was er verhindert | | --- | --- | --- | --- | | Registrar-Sperre (clientTransferProhibited) | 47 von 50 | 94% | Eine Übertragung, die ohne den Inhaber gestartet wurde | | DMARC p=reject | 28 von 50 | 56% | Gefälschte Mails von der Domain werden abgewiesen | | DMARC p=quarantine | 16 von 50 | 32% | Gefälschte Mails landen im Spam | | Kein DMARC-Eintrag oder p=none | 6 von 50 | 12% | Nichts: gefälschte Mails werden zugestellt | | SPF endet auf -all | 29 von 50 | 58% | Mails von nicht gelisteten Servern sollten abgewiesen werden | | DNSSEC (DS-Eintrag beim übergeordneten Eintrag) | 20 von 50 | 40% | Gefälschte DNS-Antworten, wie bei Cache-Poisoning-Angriffen | | CAA-Einträge | 15 von 50 | 30% | Zertifikate, die von einer nicht gelisteten Stelle ausgestellt wurden | | Registry-Lock-Signaturen (drei Server-Sperren) | 5 von 50 | 10% | Änderungen über ein kompromittiertes Registrar-Konto | | Alle vier: DNSSEC, CAA, Registry-Lock-Signaturen, durchgesetztes DMARC | 3 von 50 | 6% | | *Zuletzt geprüft am 12. November 2026; ältere Angaben tragen ihr eigenes Datum.* ## Was hat die Studie ergeben? **Die einfache Sperre ist fast überall vorhanden; die Schutzmaßnahmen, die eine Übernahme verhindern, sind es nicht.** 47 der 50 Domains haben eine Registrar-Transfersperre, die Einstellung, die die meisten Registrare standardmäßig aktivieren. Sie stoppt eine Übertragung, aber nicht jemanden, der sich beim Registrar-Konto anmeldet und die Nameserver ändert, und genau so liefen die meisten dokumentierten Angriffe auf Krypto-Frontends ab. Die Schutzmaßnahmen dagegen sind seltener. Die Registry-Lock, die die Registry selbst Änderungen verweigern lässt, bis eine Person sie außerhalb des Kanals bestätigt, erscheint bei 5 Domains. DNSSEC, mit dem Resolver gefälschte Antworten abweisen können, ist bei 20 aktiv. CAA, das begrenzt, wer Zertifikate für den Namen ausstellen darf, ist bei 15 aktiv. Der [Vergleich von Registry-Lock und Registrar-Lock](https://wardmint.com/de/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock") erklärt den Unterschied, und der [DNSSEC-Leitfaden](https://wardmint.com/de/guides/enable-dnssec/ "How to enable DNSSEC") die Schritte. E-Mail schneidet besser ab: 44 der 50 weisen gefälschte Mails mit DMARC ab oder setzen sie in Quarantäne. Die 6 anderen veröffentlichen keinen DMARC-Eintrag oder bleiben bei p=none, sodass weiterhin jeder Mails senden kann, die vom Projekt zu stammen scheinen. ## Wie wurde die Studie durchgeführt? **Wir haben die 50 offiziellen Domains unseres Audits ähnlicher Domains verwendet, ausgewählt aus den größten Krypto-Projekten nach Marktkapitalisierung am 12. November 2026.** Für jede Domain haben wir den öffentlichen DNS-over-HTTPS-Resolver von Cloudflare nach ihrem DS-Eintrag gefragt (DNSSEC gilt als aktiv, wenn die übergeordnete Zone einen hat), ihren CAA-Einträgen, ihren TXT-Einträgen (SPF) und dem TXT-Eintrag bei _dmarc (DMARC-Richtlinie aus dem p-Tag). Danach haben wir den RDAP-Eintrag der Domain bei ihrer Registry gelesen. Eine Registrar-Lock gilt, wenn die Statusliste clientTransferProhibited enthält. Registry-Lock-Signaturen gelten, wenn gemeinsam serverTransferProhibited, serverUpdateProhibited und serverDeleteProhibited gesetzt sind: Das sind die Sperren, die ein Registry-Lock-Dienst setzt, obwohl eine Registry sie auch aus anderen Gründen setzen kann; wir nennen sie deshalb Signaturen, nicht Beweis. Alle 250 DNS-Abfragen und 50 RDAP-Abfragen wurden beantwortet. Das Skript und die Antworten je Domain werden zusammen mit der Studie aufbewahrt; wir veröffentlichen nur Summen. ## Was die Zahlen nicht aussagen **Ein fehlender Eintrag ist kein Einbruch, und ein vorhandener ist keine Garantie.** Manche Projekte liefern ihre App von einer anderen Domain aus oder schützen sie bei ihrem CDN; DNSSEC braucht außerdem einen Registrar und einen DNS-Host, die es unterstützen. Registry-Lock wird nicht für jede Endung angeboten, und eine Registry kann Server-Sperren aus anderen Gründen als einer bezahlten Sperre setzen. Die Studie ist eine Momentaufnahme eines Tages und einer Domain pro Projekt. ## Was ein Projekt mit diesen Ergebnissen tun kann **Beginnen Sie mit den vier Einstellungen, die den meisten Projekten der Top 50 noch fehlen: Registry-Lock, wo die Endung sie anbietet, DNSSEC, CAA und DMARC mit p=reject auf jeder Domain, auch auf den ungenutzten.** Laut der Umfrage von Wardmint vom 12. November 2026 kombinierten nur 3 der 50 größten Krypto-Projekte alle vier auf ihrer Hauptdomain. Unsere [Checkliste zur Domain-Sicherheit für Krypto-Projekte](https://wardmint.com/de/crypto-project-domain-security-checklist/ "Domain security checklist for a crypto project") bringt sie in die richtige Reihenfolge, zusammen mit den Konto-Einstellungen drumherum. Am selben Tag fand unser [Audit ähnlicher Domains](https://wardmint.com/de/data/crypto-project-defensive-domain-audit-2026/ "How many look-alike domains of the top crypto projects can anyone register?") 29,6% der naheliegenden Varianten der Projektnamen frei zur Registrierung. Bei Wardmint werden DNSSEC und CAA für jede Domain verwaltet, und eine .com kostet 12,49 $/Jahr. ## Fragen zur Studie ### Wie viele führende Krypto-Projekte nutzen DNSSEC? 20 der offiziellen Domains der 50 größten Projekte hatten am 12. November 2026 einen DS-Eintrag bei der übergeordneten Zone, also waren 40% mit DNSSEC signiert. ### Wie viele nutzen Registry-Lock? 5 von 50 zeigten die drei Server-Sperren, die eine Registry-Lock setzt. Wir nennen sie Signaturen: Eine Registry kann diese Sperren auch aus anderen Gründen setzen. ### Reicht eine Registrar-Lock aus? Nein. Sie blockiert Übertragungen, aber nicht eine Änderung der Nameserver durch jemanden, der das Registrar-Konto kontrolliert, und genau so passierten die meisten Übernahmen von Krypto-Frontends. ### Warum sind die Projektnamen nicht aufgelistet? Eine Liste, welchem Projekt welcher Schutz fehlt, würde einem Angreifer bei der Wahl eines Ziels helfen. Jedes Projekt kann seine eigene Domain mit denselben öffentlichen Abfragen prüfen. ### Wird die Studie wiederholt? Ja, jedes Quartal mit demselben Skript, sodass die Zahlen eine datierte Reihe bilden; jede Aktualisierung wird auf unserer Seite mit Updates protokolliert. **Zusammenfassung** - Offizielle Domains der 50 größten Krypto-Projekte, öffentliches DNS und RDAP abgefragt am 12. November 2026. - Registrar-Sperre 94%, DMARC durchgesetzt 88% (p=reject 56%), SPF harter Fehler 58%. - DNSSEC 40%, CAA 30%, Registry-Lock-Signaturen 10%. - Nur 3 von 50 kombinieren DNSSEC, CAA, Registry-Lock-Signaturen und eine durchgesetzte DMARC-Richtlinie. - Nur Summen; keine Liste pro Projekt wird veröffentlicht. ## Quellen und Methode 1. [Coins list by market capitalisation (API /coins/markets)](https://www.coingecko.com/en/api) — CoinGecko (abgelesen am 2026-11-12) 2. [DNS over HTTPS, JSON API](https://developers.cloudflare.com/1.1.1.1/encryption/dns-over-https/make-api-requests/dns-json/) — Cloudflare (used 2026-11-12) 3. [Bootstrap service registry for domain name space (RDAP)](https://data.iana.org/rdap/dns.json) — IANA (abgelesen am 2026-11-12) 4. [EPP status codes: what do they mean](https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en) — ICANN (abgelesen am 2026-11-12) 5. [RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record](https://www.rfc-editor.org/rfc/rfc8659) — IETF (abgelesen am 2026-11-12) --- Wardmint: Wardmint registriert die defensiven Domains, die ein Krypto-Projekt braucht — den eigenen Namen unter den Endungen, die Phisher nutzen, sowie eigene Tippfehler- und Look-alike-Varianten — bezahlt in Krypto und ohne KYC: kein ID-Dokument, nur eine verifizierte E-Mail-Adresse pro Domain. Betrieben wird Wardmint von DomaineGoat LLC, einem in Panama eingetragenen Unternehmen; die Domains werden über dessen ICANN-akkreditierten Registrar-Partner registriert. Eine .com kostet 12,49 $/Jahr, jedes Jahr derselbe Preis.