Schnelle Antwort
Wie prüfen Sie, wem eine Look-alike-Domain gehört?
Um zu prüfen, wem eine Look-alike-Domain gehört, senden Sie eine RDAP-Abfrage an rdap.org oder nutzen das Lookup-Werkzeug der ICANN. Sie erhalten den Registrar, das Erstellungsdatum, die Nameserver und die Statuscodes; der Inhaber ist oft geschwärzt. Was öffentlich bleibt, hängt von der jeweiligen Registry ab. Wardmint hält die eine E-Mail-Adresse, die es pro Domain speichert, vertraulich.
Was eine RDAP-Antwort Ihnen sagt
| Feld | Beispiel (example.com) | Was Sie damit tun |
|---|---|---|
| Name des Registrars und IANA-ID | Registrar-ID 376 | Senden Sie die Missbrauchsmeldung an diesen Registrar |
| Registrierungsereignis | 1995-08-14 | Vergleichen Sie es mit dem Datum, an dem Ihre Marke erstmals auftauchte; eine danach erstellte Domain stützt den Vorwurf der Bösgläubigkeit |
| Nameserver | Zwei Cloudflare-Server | Den DNS-Host identifizieren; eine zweite Stelle für Meldungen |
| Statuscodes | client delete, transfer and update prohibited | Zeigt, welche Sperren aktiv sind; eine gesperrte Domain lässt sich schwerer verschieben |
| DNSSEC-Daten | Signiert, ein DS-Eintrag | Zeigt, ob die Zone signiert ist |
Fünf Schritte von einem Domainnamen zu einer verwertbaren Inhaber-Akte
RDAP abfragen
Führen Sie den ersten Befehl unten aus. rdap.org leitet die Abfrage an die richtige Registry weiter, derselbe Befehl funktioniert also für jede Endung, die RDAP unterstützt.
Registrar und Daten lesen
Notieren Sie den Namen des Registrars, das Registrierungsdatum und jedes Datum der letzten Änderung. Ein Erstellungsdatum nach dem Start Ihres Projekts ist der erste Beleg für Bösgläubigkeit.
Den DNS-Host identifizieren
Listen Sie die Nameserver und den A-Eintrag auf und fragen Sie dann die Adresse nach dem Netzbetreiber ab. Der Host und der DNS-Anbieter sind beide über ihre Missbrauchskontakte erreichbar.
Nach Verlauf suchen
Durchsuchen Sie urlscan.io und die Wayback Machine nach früheren Seiten auf derselben Domain. Eine Domain, die zuvor ein anderes Unternehmen bediente und jetzt eine Kopie Ihrer Login-Seite ausliefert, ist ein Zeichen für einen weiterverkauften oder umgewidmeten Namen.
In das Beweispaket aufnehmen
Fügen Sie das rohe JSON, den Zeitpunkt Ihrer Abfrage und Ihre Notizen ein. Die Meldung an den Registrar und jede spätere UDRP-Beschwerde nutzen dieselbe Akte.
DOMAIN=suspect-example.com
curl -sL "https://rdap.org/domain/$DOMAIN" > domain.json
# registrar, registration date, status codes, name servers
jq -r '.entities[] | select(.roles[]=="registrar") | .vcardArray[1][] | select(.[0]=="fn") | .[3]' domain.json
jq -r '.events[] | [.eventAction, .eventDate] | @tsv' domain.json
jq -r '.status[]' domain.json
jq -r '.nameservers[].ldhName' domain.json
# who runs the server the domain points to
IP=$(dig +short A "$DOMAIN" | head -n 1)
curl -sL "https://rdap.org/ip/$IP" | jq -r '.name, .country'Was zeigt RDAP, was WHOIS nicht zeigte?
RDAP liefert dieselben Registrierungsdaten wie WHOIS in einem strukturierten Standardformat, das Skripte lesen können. Die Registry oder der Registrar antwortet per HTTPS mit JSON, sodass die Felder in der Tabelle oben an festen Stellen stehen. Das ICANN Registration Data Lookup Tool unter lookup.icann.org zeigt dieselben Daten in einem Webformular; der Leitfaden der WIPO zum Einreichen einer UDRP nennt es als Weg, den Registrar zu finden.
Was RDAP nicht zeigt, ist eine Person. Name, Adresse und Telefonnummer des Inhabers sind oft geschwärzt, entweder durch die Richtlinie der Registry oder durch einen Datenschutzdienst. Was öffentlich bleibt, hängt von der jeweiligen Registry ab. Bei .com und .net hält die Registry selbst keine Kontaktdaten der Inhaber. Sie erreichen den Inhaber über den Registrar, nicht über den Eintrag.
Warum ist der Inhaber oft verborgen?
Inhaberdaten werden geschwärzt, weil Datenschutzregeln und Datenschutzdienste sie standardmäßig verbergen, und ein Angreifer nutzt sie aus demselben Grund wie ein rechtmäßiger Inhaber. Ein verborgener Name ist kein Beweis für Fehlverhalten. Das Signal kommt aus den anderen Feldern: ein Erstellungsdatum wenige Tage vor der Phishing-Seite, Nameserver, die mit anderen Look-alikes geteilt werden, und ein Registrar, der auf Missbrauchsmeldungen langsam antwortet.
Interisle stellte fest, dass 77% der Phishing-Domains in seinen Daten von Mai 2024 bis April 2025 von den Kriminellen für den Angriff registriert wurden. Ein frisches Erstellungsdatum neben einer Kopie Ihrer Login-Seite ist daher das erwartbare Muster, keine Ausnahme. Wardmint folgt für seine Kunden derselben Schwärzungslogik: Die eine E-Mail-Adresse, die es pro Domain speichert, ist erforderlich, verifiziert und vertraulich.
Wie fließt die Prüfung des Inhabers in eine Meldung oder eine UDRP-Akte ein?
Der Registrar aus dem RDAP-Eintrag ist die Partei, die Ihre Missbrauchsmeldung erhält, und die Partei, an die ein UDRP-Anbieter schreibt. Setzen Sie den Namen des Registrars, das Erstellungsdatum, die Nameserver und die Statuscodes an den Anfang Ihrer Meldung an den Registrar. Der Registrar kann die Inhaberdaten sehen und darauf reagieren; Sie können das nicht.
In einem UDRP-Verfahren erhält der Anbieter die Angaben zum Inhaber vom Registrar, nachdem die Beschwerde eingereicht wurde. Die Schritte und Gebühren stehen in So reichen Sie eine UDRP-Beschwerde ein. Das Erstellungsdatum ist dort wichtig, weil das dritte Element der Richtlinie Registrierung und Nutzung in böser Absicht ist.
Was kann die Historie einer Domain verraten?
Die Historie einer Domain zeigt, ob der Name frisch für den Angriff gekauft oder von einem früheren Inhaber übernommen wurde. Durchsuchen Sie urlscan.io nach früheren Scans der Domain und öffnen Sie die Wayback Machine, um archivierte Kopien zu sehen. Eine Seite, die im letzten Jahr ein echtes Unternehmen bediente und heute einen Klon Ihrer Seite, deutet auf einen neu registrierten oder weiterverkauften Namen hin.
Laut der Prüfung von Wardmint am 12. November 2026 lieferte eine einzige RDAP-Anfrage für example.com eine Registrar-ID (376), ein Registrierungsdatum von 1995-08-14 und drei Client-Statuscodes in einer JSON-Antwort, weshalb die Abfrage der schnellste erste Schritt ist. Dieselbe Abfrage für einen Look-alike, der mit dem Ratgeber zum Finden von Look-alike-Domains gefunden wurde, dauert Sekunden.
Was sollten Sie mit dem Ergebnis niemals tun?
Kontaktieren oder bedrohen Sie niemals den Inhaber, und registrieren Sie niemals im Gegenzug Look-alikes seiner Marke. Eine Prüfung des Inhabers ist ein Dokumentationsschritt. Den Inhaber zu kontaktieren kann dazu führen, dass die Seite und die Belege gelöscht werden. Wardmint verkauft nur Registrierungen der eigenen Varianten einer Marke; Look-alikes der Marke einer anderen Person zu registrieren, verbietet seine Richtlinie zur zulässigen Nutzung. Wardmint gibt die Daten, die es hat, nur heraus, wenn panamaisches Recht es verlangt (Anordnung eines panamaischen Gerichts oder einer Staatsanwaltschaft) oder in einem UDRP-Verfahren.
Fragen zur Prüfung des Domain-Inhabers
Ist RDAP dasselbe wie WHOIS?
RDAP ist der Standard-Nachfolger von WHOIS. Es trägt dieselben Registrierungsdaten in JSON über HTTPS, mit festen Feldnamen.
Kann ich die Person hinter einer geschwärzten Domain finden?
Nicht aus dem öffentlichen Eintrag. Der Registrar hält die Inhaberdaten und handelt bei Missbrauchsmeldungen oder auf die Verifizierungsanfrage eines UDRP-Anbieters. Das Erstellungsdatum, die Nameserver und der Registrar sind das, was Sie nutzen können.
Was beweist ein Erstellungsdatum?
Es zeigt, wann die Registrierung begann. Ein Datum nach dem Auftauchen Ihrer Marke stützt in einer UDRP den Vorwurf der Bösgläubigkeit, aber das Panel wägt es mit der Nutzung der Domain ab.
Welcher Befehl findet den Missbrauchskontakt?
Der RDAP-Eintrag der Domain führt unter dem Registrar oft eine Missbrauchsstelle auf. Der Meldungs-Ratgeber nennt den genauen jq-Filter, und die Website des Registrars muss seit der ICANN-Änderung vom 5. April 2024 einen Missbrauchskontakt veröffentlichen.
Macht ein Datenschutzdienst eine Domain ungefährlich genug, um sie zu ignorieren?
Nein. Datenschutz verbirgt den Namen des Inhabers, nicht den Registrar, die Daten oder die Seite, die die Domain ausliefert. Der Registrar kann bei einer dokumentierten Meldung trotzdem handeln.
Zusammenfassung
- Eine RDAP-Abfrage liefert Registrar, Daten, Statuscodes und Nameserver.
- Der Inhaber ist oft geschwärzt; was öffentlich bleibt, hängt von der jeweiligen Registry ab.
- Der Registrar, nicht Sie, kann die Inhaberdaten sehen und darauf reagieren.
- Interisle stellte fest, dass 77% der Phishing-Domains von den Kriminellen selbst registriert wurden.
- Speichern Sie das rohe JSON und den Zeitpunkt der Abfrage in Ihrem Beweispaket.
- Kontaktieren Sie den Inhaber niemals selbst und registrieren Sie niemals Look-alikes seiner Marke.
- Wardmint hält die eine E-Mail-Adresse, die es pro Domain speichert, vertraulich.
Quellen (5)
- Domain-Streitigkeiten: So reichen Sie eine Beschwerde ein (WIPO) — WIPO (abgelesen am 2026-11-12)
- RDAP-Eintrag von example.com über rdap.org — rdap.org / Verisign RDAP (abgelesen am 2026-11-12)
- ICANN Lookup — ICANN (abgelesen am 2026-11-12)
- Globale Änderungen 2024 der Registrar Accreditation Agreement: DNS-Missbrauch — ICANN (abgelesen am 2026-11-12)
- Interisle Phishing Landscape 2025, Pressemitteilung — Interisle Consulting (abgelesen am 2026-11-12)