Wie sichern Sie Ihre Domain gegen DNS-Hijacking?

Was ist DNS-Hijacking, und warum trifft es Krypto-Frontends?

DNS-Hijacking ist die unbefugte Änderung der Einträge oder der Registrierung, die Browsern sagen, wo eine Domain liegt. Der Angreifer rührt Ihre Smart Contracts nicht an. Er schickt die Nutzer Ihrer echten Adresse zu einer Kopie Ihres Frontends, die Wallet-Signaturen verlangt.

Deshalb passt der Angriff zu Krypto. Ein Nutzer, der die richtige Adresse eintippt und ein gültiges Schloss sieht, hat keinen Grund, an der Seite zu zweifeln. Curve Finance erklärte nach dem Vorfall vom 12. Mai 2025, seine Contracts und Nutzerdaten seien nicht kompromittiert worden, dennoch wurden Besucher auf ein statisches Täuschungsangebot umgeleitet, das Signaturen verlangte. Der Verlust entsteht durch die Signatur, nicht durch einen Fehler im Code.

Der Angreifer braucht die Kontrolle über eines von drei Dingen: das Registrar-Konto, das die Domain hält, den DNS-Anbieter, der ihre Einträge ausliefert, oder den Auflösungsweg zwischen Nutzer und Server. Dieser Leitfaden behandelt die ersten beiden, weil ein Projekt sie selbst kontrolliert. Den dritten zu schützen ist die Aufgabe von DNSSEC, erklärt in wie Sie DNSSEC für Ihre Domain aktivieren.

Welche realen Vorfälle zeigen, wie Hijacks ablaufen?

Öffentliche Vorfälle seit 2022 zeigen Angreifer, die über Konten und Support-Mitarbeiter vorgehen, nicht über Kryptografie. Die Tabelle oben listet sie auf, und das Muster wiederholt sich.

Laut der Zählung von Wardmint vom 12. November 2026 enthält die Vorfalltabelle in seiner Recherche sieben Einträge zwischen August 2022 und Oktober 2026 (Curve zweimal, Balancer, Galxe, die Squarespace-Welle vom Juli 2024, die Gruppe vom Februar 2026 und die Welle vom Oktober 2026), und jeder davon richtete sich gegen die Domain, den DNS-Anbieter oder das Registrar-Konto. Die vollständige Liste mit Quellen steht in welche Krypto-Projekte Nutzer durch DNS-Hijacking verloren haben.

Wie sperren Sie das Registrar-Konto ab?

Behandeln Sie das Registrar-Konto als Schlüssel zum gesamten Frontend und geben Sie ihm den stärksten Login, den Sie haben. Verwenden Sie ein langes, zufälliges Passwort, das Sie nirgendwo sonst nutzen, und aktivieren Sie die Zwei-Faktor-Authentifizierung. Bewahren Sie den Login in einem Passwort-Manager oder einem hardwaregestützten Tresor auf, nicht in einem gemeinsamen Chat.

Verringern Sie die Zahl der Personen, die sich anmelden können. Benennen Sie einen Inhaber und eine Vertretung, halten Sie fest, wer welche Zugangsdaten besitzt, und entziehen Sie den Zugang am Tag, an dem jemand das Team verlässt. Halten Sie den Wiederherstellungsweg so streng wie den Login: Ein Konto, das per Zwei-Faktor geschützt ist, aber von einem Support-Mitarbeiter auf Anfrage zurückgesetzt werden kann, ist nur so stark wie die Checkliste dieses Mitarbeiters. Bei den Fällen Balancer und Avantis war jeweils ein Mensch bei einem Anbieter beteiligt.

Die vollständige Routine, einschließlich der Erkennung von Phishing gegen Registrar-Logins, steht in wie Sie Ihr Registrar-Konto vor Übernahme schützen. Bei Wardmint gilt: Antworten per E-Mail innerhalb von 12 Stunden, 7 Tage die Woche, auch bei Fragen zu DNSSEC, CAA-Einträgen und Missbrauchsmeldungen, bitten Sie daher den Support um Hilfe bei jeder dieser Einstellungen.

Was verhindern eine Transfersperre und eine Registry-Sperre jeweils?

Eine Transfersperre verhindert, dass die Domain zu einem anderen Registrar wechselt; eine Registry-Sperre geht weiter und blockiert Änderungen an der Registry selbst. Es sind zwei verschiedene Ebenen, und ein Projekt kann eine ohne die andere haben.

Eine Transfersperre ist der registrarseitige Status clientTransferProhibited. Sie verhindert einen unautorisierten Transfer, stoppt aber keine Bearbeitung von DNS-Einträgen beim DNS-Hosting des Registrars. Wardmint bietet eine Transfersperre, die Sie im Kundenbereich für jede Domain ein- oder ausschalten; auch der Transfer-Code (EPP) wird dort angefordert.

Eine Registry-Sperre, die Verisign für .com und .net über teilnehmende Registrare anbietet, fügt eine Verifizierung außerhalb des Kanals hinzu, sodass Änderungen an Nameservern, Transfer und Eigentum nicht allein mit Kontozugangsdaten vorgenommen werden können. Registrare verlangen dafür typischerweise etwa 100 bis 600 USD pro Jahr, laut Angaben von DomainNameWire und einer Reseller-Seite, die veraltet und nicht verifiziert sind. Wardmint bietet keine Registry-Sperre an. Stattdessen gibt es die Transfersperre und den Domain-Schutz zu +29 $/Jahr pro Domain: Die Domain ist auf den Namen von DomaineGoat LLC registriert, steht unter Transfersperre, und jede Beschwerde darüber wird vor jeder Maßnahme von einer Person gelesen. Den Unterschied erklärt Registry-Sperre vs. Registrar-Sperre.

Verhindern DNSSEC und CAA-Einträge einen Hijack?

DNSSEC und CAA verringern den Schaden eines Hijacks; sie halten einen Angreifer nicht auf, dem Ihr Konto gehört. DNSSEC signiert Ihre Einträge, damit ein Resolver gefälschte Antworten auf dem Weg ablehnen kann. Ein Angreifer, der sich beim Registrar anmeldet, kann den DS-Eintrag oder die Nameserver ersetzen, sodass die Signatur dann die Daten des Angreifers schützt.

CAA-Einträge nennen die Zertifizierungsstellen, die Zertifikate für Ihre Domain ausstellen dürfen. RFC 8659 definiert sie. Sie sind wichtig, weil die Angreifer vom Februar 2026 noch am Tag der DNS-Änderung Zertifikate erhielten; ein CAA-Eintrag, der nur Ihre Zertifizierungsstelle nennt, zwingt sie, ihn zuerst zu ändern, was eine Warnmeldung erfassen kann. Keine der beiden Maßnahmen ersetzt ein gesperrtes Konto, und jede ist in wenigen Minuten erledigt. Die Syntax steht in wie Sie CAA-Einträge einrichten.

Wie bemerken Sie einen Hijack innerhalb von Minuten?

Achten Sie auf die zwei öffentlichen Spuren, die jeder Hijack hinterlässt: ein neues Zertifikat und eine geänderte DNS-Antwort. Certificate-Transparency-Logs zeigen jedes öffentlich vertrauenswürdige Zertifikat, das für Ihren Namen ausgestellt wurde, und eine kostenlose Suche oder ein Stream macht ein unerwartetes schnell sichtbar. Eine geplante Prüfung, die Ihre Nameserver und A-Einträge mit den erwarteten Werten vergleicht, erfasst die Änderung selbst.

Bereiten Sie die Reaktion vor, bevor Sie sie brauchen. Halten Sie eine alternative offizielle Adresse bereit, die Sie vorab bekannt gemacht haben, eine kurze Nachricht für Ihre Social-Media-Kanäle und den dringenden Kontakt des Registrars. Curve nutzte am 12. Mai 2025 curve.finance als vorübergehenden Zugangspunkt, was den Wert einer zweiten Domain zeigt, die Sie kontrollieren. Ein vorab registriertes Schutz-Set gibt Ihnen diese zweite Adresse; .com, .net, .org, .io, .xyz, .app kostet bei Wardmint $128.94 im Jahr.

Was ist die Kurzfassung?

Eine Hijack-resistente Domain ist eine, bei der das Konto schwer zu übernehmen ist, ein Transfer einen Code braucht, Antworten signiert sind und Zertifikate überwacht werden. Wardmints Lesart der öffentlichen Faktenlage ist, dass das Konto und sein Support-Weg bei den sieben verfolgten Vorfällen das Ziel sind. Sie zuerst abzusichern und dann DNSSEC und CAA hinzuzufügen, entspricht der Reihenfolge, die die Belege nahelegen. Wardmint verkauft die Registrierungen und die DNS-Werkzeuge; kostenloses DNS-Hosting mit A-, AAAA-, CNAME-, ALIAS-, MX-, TXT-, NS-, SRV- und CAA-Einträgen, verwaltetes DNSSEC und auf Wunsch eigene Nameserver (2 bis 13). Es verkauft keine Überwachung, daher deckt der Schritt die kostenlosen Werkzeuge im Überwachungsleitfaden ab.