Schnelle Antwort
Wie schützen Sie Ihr Registrar-Konto vor Übernahme?
Schützen Sie ein Registrar-Konto mit einem langen zufälligen Passwort, das nirgends sonst verwendet wird, Zwei-Faktor-Authentifizierung, so wenigen Nutzern wie möglich und einem Wiederherstellungsweg, den ein Support-Anruf nicht umgehen kann. Wardmint zählte in seiner Tabelle zwei Vorfälle, im Juli 2024 und Februar 2026, bei denen der Schwachpunkt eine Anmeldung oder ein Support-Ablauf bei einem Registrar oder einer Plattform war, nicht die DNS-Einträge.
Kontrollen für das Konto und der Vorfall, auf den jede antwortet
| Kontrolle | Was sie verhindert | Öffentlicher Fall, auf den sie antwortet |
|---|---|---|
| Das Konto jeder migrierten Domain selbst beanspruchen | Dass ein Angreifer das Konto zuerst anlegt | Squarespace-Migrationen, 9. bis 12. Juli 2024 (OAuth-Schwachstelle) |
| Support-Regel: keine Änderungen auf telefonische Anfrage | Social Engineering eines Support-Mitarbeiters | Avantis, Februar 2026 (Konto nach einem Support-Anruf übernommen) |
| Zwei-Faktor-Authentifizierung für das Konto | Anmeldung mit einem gestohlenen Passwort | Empfehlung von Name.com nach den Umleitungen vom 30. bis 31. Oktober 2026 |
| Einmaliges langes Passwort in einem Tresor | Wiederverwendung und Erraten von Zugangsdaten | Allgemeine Praxis |
| Wenige benannte Nutzer, beim Ausscheiden entfernt | Zugriff durch Insider und Ehemalige | Wechsel von DAO-Mitgliedern und Beitragenden |
| Lesezeichen für die Anmeldeadresse | Phishing von Registrar-Anmeldungen | Allgemeine Praxis |
Warum ist das Registrar-Konto das Ziel?
Weil es die Nameserver, den DS-Eintrag und den Inhaber ändern kann und kein Code auf Ihrer Chain das rückgängig machen kann. Ein Hijacker, der sich als Sie anmeldet, kann die Domain beliebig umleiten und dann ein Zertifikat für das neue Ziel anfordern.
Die öffentliche Aufzeichnung zeigt das Muster. Krebs on Security berichtete im Juli 2024, dass von Google Domains zu Squarespace migrierte Domains einem Angreifer offenstanden, der ein Konto mit der an eine Domain gebundenen E-Mail-Adresse anlegte, bevor der Inhaber es tat, und Squarespace führte dies auf eine Schwachstelle im Zusammenhang mit OAuth-Logins zurück. Blockaid schrieb im Februar 2026, dass Avantis über ein Squarespace-Konto kompromittiert wurde, das übernommen wurde, nachdem Abrechnungsdaten in einem Support-Anruf entlockt worden waren. Am 30. und 31. Oktober 2026 wurden Domains eines Dutzends DeFi-Seiten bei einem Registrar umgeleitet; der Registrar stellte sie wieder her und mahnte DNS-Prüfungen und Zwei-Faktor-Authentifizierung an.
Laut der Zählung von Wardmint vom 12. November 2026 drehen sich zwei der sieben Vorfälle in seiner Tabelle (die Welle vom Juli 2024 und der Fall Avantis im Februar 2026) um eine Anmeldung oder einen Support-Ablauf bei einem Registrar oder einer Plattform. Die vollständige Liste steht in Welche Krypto-Projekte verloren Nutzer durch DNS-Hijacking.
Welche Passwort- und Anmelde-Einrichtung sollten Sie nutzen?
Nutzen Sie ein zufälliges Passwort mit mindestens 20 Zeichen, das ein Passwortmanager erzeugt und speichert, und verwenden Sie es nie wieder. Eine geteilte Chat-Nachricht oder eine Tabelle ist kein Tresor. Wenn mehr als eine Person Zugriff braucht, nutzen Sie einen Team-Tresor mit Prüfprotokoll und halten Sie fest, wer das Geheimnis gesehen hat.
Schalten Sie Zwei-Faktor-Authentifizierung für das Konto ein. Ein Hardware-Sicherheitsschlüssel ist der stärkste verbreitete zweite Faktor, weil er keinen Code an eine Phishing-Seite übergibt. Eine Authenticator-App ist die nächste Wahl; ein per SMS gesendeter Code ist die schwächste. Bewahren Sie Wiederherstellungscodes offline an zwei Orten auf und halten Sie fest, wer sie erreichen kann.
Bei Wardmint melden Sie sich mit einer Kontonummer und einem Passwort an, und Sie können die Zwei-Faktor-Authentifizierung im Kundenbereich einschalten; Antworten per E-Mail innerhalb von 12 Stunden, 7 Tage die Woche, auch bei Fragen zu DNSSEC, CAA-Einträgen und Missbrauchsmeldungen. Weil für die Registrierung selbst nur eine verifizierte E-Mail pro Domain nötig ist, legen Sie die E-Mail des Kontos auf ein Postfach, das Sie kontrollieren, und schützen Sie dieses Postfach so streng wie das Konto.
Wer sollte Zugriff haben, und wie gehen Sie mit einem Support-Anruf um?
Benennen Sie eine verantwortliche Person und eine Vertretung, dokumentieren Sie beide und schreiben Sie eine Regel, dass aufgrund eines Anrufs keine Änderung vorgenommen wird. Der Fall Avantis zeigt, warum. Wenn der Support ein Konto nach einem Telefongespräch ändern kann, spielt die Stärke Ihres Passworts keine Rolle mehr.
Für eine DAO oder Stiftung legen Sie im Voraus fest, wer die Zugangsdaten hält, wie die Treasury das Guthaben auflädt und wie sich der Zugang ändert, wenn ein Beitragender geht. Die Praktiken für gemeinsame Verwahrung stehen in Wie eine DAO ihre Domains halten und bezahlen sollte. Entziehen Sie den Zugang am selben Tag, an dem jemand das Team verlässt, und ändern Sie dann das gemeinsame Passwort.
Für die wichtigsten Domains ziehen Sie Domain-Schutz für +29 $/Jahr pro Domain in Betracht: Die Domain wird auf den Namen von DomaineGoat LLC registriert, Sie bleiben der Begünstigte mit kostenloser Rückübertragung auf Ihren eigenen Namen, eine Transfersperre ist aktiv, und jede Beschwerde wird vor jeder Maßnahme von einer Person gelesen. Die Option ist in Was ist Domain-Schutz beschrieben. Sie verringert, was das Konto hält, und ersetzt keine starke Anmeldung.
So schützen Sie ein Registrar-Konto in sieben Schritten
Jedes Konto und jede Domain erfassen
Listen Sie jedes Registrar-Konto, die darin enthaltenen Domains und die Personen auf, die sich anmelden können. Beziehen Sie aus Migrationen übernommene Konten ein.
Migrierte Konten beanspruchen
Wenn ein Registrar Ihren alten übernommen hat, melden Sie sich an und bestätigen Sie, dass Sie und nicht ein Fremder das Konto für jede Domain halten.
Das Passwort ersetzen
Erzeugen Sie in einem Tresor ein zufälliges Passwort mit 20 oder mehr Zeichen und nutzen Sie es nur für dieses Konto.
Zwei-Faktor-Authentifizierung einschalten
Bevorzugen Sie einen Hardware-Schlüssel, dann eine Authenticator-App. Bewahren Sie Wiederherstellungscodes offline an zwei Orten auf.
Zugriff verringern und festhalten
Benennen Sie eine verantwortliche Person und eine Vertretung, entfernen Sie alle anderen und notieren Sie Datum und Grund jeder Änderung.
Die Support-Anruf-Regel aufschreiben
Vereinbaren Sie, dass niemand aufgrund eines Anrufs oder Chats DNS, Inhaber oder Kontakte ändert, und sagen Sie es Ihrem Team.
Die Anmeldeadresse als Lesezeichen speichern und auf Phishing achten
Öffnen Sie den Registrar nur über Ihr Lesezeichen. Behandeln Sie jede E-Mail, die Sie zur Anmeldung bei einem Registrar auffordert, als möglichen Phishing-Versuch.
Wie erkennen Sie eine Phishing-Seite, die Ihren Registrar kopiert?
Prüfen Sie die Adresse, bevor Sie etwas eintippen, und folgen Sie niemals einem Anmelde-Link aus einer E-Mail. Registrar-Phishing setzt auf Dringlichkeit: Eine Nachricht sagt, die Domain laufe gleich ab oder es liege eine Beschwerde vor. Öffnen Sie den Registrar über Ihr Lesezeichen und suchen Sie dieselbe Mitteilung im Konto.
Nutzen Sie einen Passwortmanager, der Zugangsdaten nur auf der exakt gespeicherten Adresse einträgt, sodass eine Look-alike-Anmeldeseite nichts erhält. Hardware-Schlüssel bieten denselben Schutz für den zweiten Faktor. Wenn Sie jemals ein Passwort auf einer zweifelhaften Seite eingeben, ändern Sie es sofort, beenden Sie alle Sitzungen und prüfen Sie die DNS-Einträge und die Kontakt-E-Mail.
Eine zweite Ebene ist das Ablaufdatum. Eine Domain, die ausläuft, kann von jedem übernommen werden, und die Verlängerungspflicht ist in So verhindern Sie, dass Ihre Domains auslaufen behandelt. Der umfassendere Plan zur Härtung steht in So sichern Sie Ihre Domain gegen DNS-Hijacking.
Fragen zur Sicherheit des Registrar-Kontos
Genügt Zwei-Faktor-Authentifizierung?
Sie ist notwendig, aber allein nicht genug. Der Fall Avantis lief über einen Support-Anruf. Ergänzen Sie eine Regel „keine Änderungen per Anruf“ und wenige Nutzer.
Schützt eine Transfersperre das Konto?
Nein. Sie verhindert Transfers zu einem anderen Registrar. Sie hält niemanden mit den Zugangsdaten davon ab, Nameserver oder Einträge zu ändern.
Sollte das Konto eine gemeinsame Team-E-Mail nutzen?
Nutzen Sie ein Postfach, das das Team kontrolliert und mit Zwei-Faktor-Authentifizierung schützt, nicht die persönliche Adresse eines einzelnen Mitglieds. Jede Domain braucht außerdem eine verifizierte E-Mail für ihre Registrierung.
Was, wenn ein Beitragender mit Zugriff ausscheidet?
Ändern Sie das Passwort, entziehen Sie den Zugang, rotieren Sie Wiederherstellungscodes und prüfen Sie die DNS-Einträge, alles am selben Tag.
Kann Domain-Schutz eine starke Anmeldung ersetzen?
Nein. Er legt die Domain auf den Namen des Unternehmens und fügt die Prüfung von Beschwerden durch einen Menschen hinzu, und das Konto braucht weiterhin eine starke Anmeldung.
Zusammenfassung
- Das Registrar-Konto kann Nameserver, DS-Einträge und den Inhaber ändern.
- Öffentliche Hijacks von 2024 und 2026 liefen über eine Schwachstelle bei der Anmeldung oder einen Support-Anruf.
- Nutzen Sie ein zufälliges Passwort mit 20 oder mehr Zeichen, in einem Tresor, nirgends sonst verwendet.
- Schalten Sie Zwei-Faktor-Authentifizierung ein, am besten mit einem Hardware-Schlüssel.
- Benennen Sie eine verantwortliche Person und eine Vertretung; entfernen Sie Ausgeschiedene am selben Tag.
- Schreiben Sie eine Regel, dass allein aufgrund eines Anrufs keine Änderung vorgenommen wird.
- Domain-Schutz kostet +29 $/Jahr und ersetzt keine starke Anmeldung.
Quellen (3)
- Forschende: Schwache Sicherheitsvorgaben ermöglichten die Hijacks von Squarespace-Domains — Krebs on Security (abgelesen am 2026-11-12)
- Frontend-Hijacking und die Web2-Angriffsfläche, die Web3-Protokolle bedroht — Blockaid (abgelesen am 2026-11-12)
- Hacker übernehmen ein Dutzend DeFi-Websites, die bei Name.com registriert sind — The Block (abgelesen am 2026-11-12)