Domain-Hijacking ist der Diebstahl einer Domainregistrierung, bei dem ein Angreifer die Kontrolle über die Domain beim Registrar übernimmt und Inhaber, DNS-Server oder den Anbieter ändern kann.
Wie Domain-Hijacking funktioniert
Wer das Registrar-Konto einer Domain kontrolliert, bestimmt, wohin die Domain zeigt. Angreifer erlangen diese Kontrolle durch:
- Kontoübernahme – Phishing, wiederverwendete Passwörter oder ein kompromittiertes Postfach, über das das Registrar-Passwort zurückgesetzt wird.
- Social Engineering gegenüber dem Support des Registrars, um Kontaktdaten zu ändern oder Schutzfunktionen abzuschalten.
- Kompromittierung des Registrars selbst oder eines Wiederverkäufers.
- Abgelaufene Domains – der Angreifer registriert eine Domain, deren Verlängerung der Inhaber vergessen hat, und nutzt ihren Ruf und ihre E-Mail-Adressen weiter.
- Betrügerische Transferanträge mit einem gestohlenen Autorisierungscode (EPP- bzw. Auth-Code).
Hat der Angreifer die Kontrolle, ändert er die Nameserver – das läuft auf DNS-Hijacking aller Dienste der Domain hinaus. 2015 leitete die Gruppe Lizard Squad lenovo.com über einen kompromittierten Registrar um, und 2021 wurde die Domain perl.com über ein Registrar-Konto gestohlen und zu einem anderen Anbieter verschoben, bevor sie zurückgeholt werden konnte.
Warum Domain-Hijacking gefährlich ist
Eine gekaperte Domain verschafft Angreifern Website, E-Mail und Vertrauen der Organisation: Sie können Phishing-Seiten unter dem echten Namen hosten, Mails zum Zurücksetzen von Passwörtern verknüpfter Konten empfangen, TLS-Zertifikate beziehen und Update-Server umleiten. Die Wiederherstellung kann Tage oder Wochen dauern und erfordert oft Streitbeilegungsverfahren des Registrars oder der ICANN. Anders beim Cybersquatting: Dort registriert der Angreifer eine neue, ähnliche Domain, statt die echte zu stehlen.
So verhindern Sie Domain-Hijacking
- Registrar-Konten mit starken, einmaligen Passwörtern und phishingresistenter MFA schützen.
- Registrar-Lock und für kritische Domains Registry-Lock aktivieren.
- Automatische Verlängerung einschalten und Kontakt-E-Mail-Adressen auf einer anderen Domain führen.
- WHOIS-/RDAP-Daten, Nameserver-Änderungen und Certificate-Transparency-Logs überwachen.
