Registry-Lock oder Registrar-Lock: Was ist der Unterschied?

Was ist eine Registrar-Sperre?

Eine Registrar-Sperre ist ein Status, den der Registrar auf eine Domain setzt, damit die Registry bestimmte Anfragen ablehnt. Die Liste der EPP-Statuscodes von ICANN definiert drei Client-Codes: clientTransferProhibited lässt die Registry Anfragen zum Transfer der Domain an einen anderen Registrar ablehnen, clientUpdateProhibited lehnt Aktualisierungen ab, und clientDeleteProhibited lehnt Löschungen ab. ICANN weist darauf hin, dass sie helfen, unbefugte Transfers und Löschungen im Zusammenhang mit Hijacking oder Betrug zu blockieren.

Der Registrar setzt diese Codes, daher kontrolliert sie, wer das Registrar-Konto kontrolliert. Der Kontoinhaber entfernt die Sperre, fordert den Transfercode an und zieht die Domain um, was ihr Zweck ist: Der Inhaber kann weiterhin transferieren, wann er will. Es bedeutet auch, dass die Sperre Sie vor Fehlern und vor Angreifern schützt, die das Konto nicht haben, nicht vor denen, die es haben.

Eine zweite Grenze ist die Zone selbst. EPP-Status regeln die Daten der Registry über die Domain, etwa ihre Nameserver und den Registrar. Die DNS-Einträge innerhalb einer Zone gehören dem, der das DNS hostet, meist der Registrar oder ein Anbieter Ihrer Wahl, und ein Statuscode deckt sie nicht ab.

Was ist ein Registry-Lock?

Ein Registry-Lock fügt bei der Registry eine Sperre hinzu, die ein Registrar-Passwort nicht entfernen kann. Verisign beschreibt ihn als Sperre auf Registry-Ebene, die Domain-Hijacking verhindern hilft: Ist die Domain gesperrt, braucht eine Änderung eine autorisierte Person beim Registrar, die Verisign um die Aufhebung bittet. Sie können die Domain und ihre Host-Einträge getrennt oder gemeinsam sperren. Verisign kontaktiert dann den autorisierten Vertreter des Registrars telefonisch, und diese Person muss eine individuelle Sicherheitsphrase nennen, bevor die Domain entsperrt werden kann.

Der Dienst deckt .com, .net, .cc und .name ab. Verisign gibt an, dass Host-Einträge in Endungen, die es nicht betreibt, nicht gesperrt werden können. Er wird auch nicht direkt verkauft: Registrare wenden sich an Verisign, um ihn anzubieten, und der eigene Artikel von MarkMonitor sagt, Registry-Lock sei oft nur über Unternehmens-Registrare verfügbar. Der Artikel beschreibt die zusätzliche Reibung als gewollt, weil die Sperre davon ausgeht, dass der Kontozugang verletzt werden kann, und verhindert, dass aus diesem Zugang eine Änderung bei der Registry wird.

Die dabei genutzten Server-Codes sind serverTransferProhibited und serverUpdateProhibited, die laut ICANN die Registry bei Rechtsstreitigkeiten, auf Wunsch des Registranten oder über einen Registry Lock Service anwendet.

Hätte ein Registry-Lock die Krypto-Hijacks gestoppt?

Er würde das Muster adressieren, aber die Quellen sagen nicht, dass irgendein Opfer einen hatte. Der Curve-Hijack vom 12. Mai 2025 änderte die Delegation von curve.fi beim Registrar, und die Fälle vom Februar 2026 betrafen einen Registrar-Transfer und eine Übernahme über den Support. Eine Sperre, die einen Anruf bei einem namentlich genannten Registrar-Kontakt braucht, ist genau für solche Änderungen gedacht. Curve.fi ist ein .fi-Name, und die Liste von Verisign enthält .fi nicht, daher hätte der Dienst dafür nicht gegolten.

Zwei Vorbehalte folgen. Erstens existiert Registry-Lock nur für die vier genannten Endungen, sodass die meisten Defensiv-Namen wie .io, .xyz und .app außerhalb liegen. Zweitens ist eine Sperre nur so stark wie die Verifizierung beim Registrar: Der Fall Avantis begann mit einer Rechnungsangabe, die in einem Support-Anruf erlangt wurde. Die vollständige Liste der Fälle steht in Welche Krypto-Projekte haben durch DNS-Hijacking Nutzer verloren, und die Schritte, die für jede Endung gelten, in So schützen Sie Ihre Domain vor DNS-Hijacking.

Was bietet Wardmint statt Registry-Lock an?

Wardmint bietet eine Transfersperre, verwaltetes DNSSEC und optional den Domain-Schutz; eine Registry-Sperre bietet es nicht. Wardmint bietet eine Transfersperre, die Sie im Kundenbereich für jede Domain ein- oder ausschalten; auch der Transfer-Code (EPP) wird dort angefordert. Das DNS umfasst kostenloses DNS-Hosting mit A-, AAAA-, CNAME-, ALIAS-, MX-, TXT-, NS-, SRV- und CAA-Einträgen, verwaltetes DNSSEC und auf Wunsch eigene Nameserver (2 bis 13). Der Transfercode lautet kostenlos, anfragbar im Kundenbereich.

Der Domain-Schutz kostet +29 $/Jahr pro Domain. Die Domain ist auf den Namen von DomaineGoat LLC registriert, Sie bleiben der Begünstigte und können sie kostenlos auf Ihren eigenen Namen zurückholen, die Transfersperre ist aktiv, und jede Beschwerde wird vor jeder Maßnahme an der Domain von einer Person gelesen. Diese menschliche Prüfung gibt es nur mit der Option. Sie ersetzt keine Registry-Sperre, weil dadurch kein Status bei Verisign gesetzt wird.

Für eine .com oder .net, die Sie für kritisch halten, fragen Sie einen Registrar, der Registry-Sperren verkauft. Für die übrigen Namen ist ein Konto, das wie in Wie Sie Ihr Registrar-Konto vor Übernahme schützen beschrieben geschützt ist, die stärkere Maßnahme.

Bei wie vielen Endungen von Wardmint kann es einen Registry-Lock geben?

Nach Wardmints Erhebung vom 12. November 2026 gehören 2 der 29 verkauften Endungen, .com und .net, zu den vier auf der Registry-Lock-Liste von Verisign. Die Lock-Programme anderer Registries haben wir nicht erhoben.

Eine zitierfähige Definition: Eine Registrar-Sperre stoppt einen Transfer, sofern der Kontoinhaber sie nicht aufhebt; ein Registry-Lock stoppt ihn, sofern die Registry nicht eine Person außerhalb des Kanals verifiziert.