Die Domain ist weg: was du bei Ablauf, Fremdeintrag und Diebstahl tun kannst

Eines Morgens zeigt deine Website nichts mehr an. Zur gleichen Zeit kommen keine Mails mehr an, und deine Mitarbeiter bekommen Fehlermeldungen. Dein IT-Dienstleister sagt, Server und Postfächer laufen. Dann fällt der Blick auf die Domain. Sie ist abgelaufen, oder jemand anderes steht als Inhaber im Register, dem zentralen Verzeichnis aller Domains einer Endung.

Die Domain ist die Adresse, unter der Kunden dich finden, Mails an dich schreiben und deine Anzeigen landen. Wer sie kontrolliert, kontrolliert diese drei Wege. Bei vielen Firmen hat sie vor Jahren die Webagentur oder ein Mitarbeiter auf den eigenen Namen registriert, und niemand hat seitdem nachgesehen.

Ob du die Domain zurückbekommst, hängt vor allem davon ab, wer als Inhaber eingetragen ist und wie viel Zeit seit dem Ausfall vergangen ist. Den Inhaber prüfst du in wenigen Minuten, ohne Zugangsdaten. Gegen Ablauf und Diebstahl sicherst du die Domain mit ein paar Einstellungen beim Anbieter, der sie für dich verwaltet.

Die Regeln unten gelten vor allem für .de-Domains. Dazu kommen die Regeln für .com und andere generische Endungen, also Endungen ohne Bezug zu einem Land. Für .at und .ch gelten eigene Regeln, die wir hier nicht darstellen.

Für wen dieser Artikel ist: Geschäftsführung, Marketing und IT-Verantwortliche in Firmen, deren Website und Mails plötzlich ausfallen, deren Domain einst eine Agentur oder ein Mitarbeiter angelegt hat oder die ihre Domain vorbeugend gegen Ablauf und Diebstahl sichern wollen.

Woran merkst du, dass die Domain weg ist?

Das erste Zeichen ist selten eine Warnung. Meistens fällt zuerst etwas auf, das nach einem technischen Defekt aussieht.

Was du zuerst bemerkst

• Website und Mails fallen gleichzeitig aus. Beide hängen an der Domain. Ein Serverproblem trifft oft nur eines von beiden.
• Statt der Website erscheint eine Parkseite. Die Besucher sehen eine Platzhalterseite des Anbieters oder eine Meldung, dass der Browser die Seite nicht findet.
• Mails kommen zurück. Die Fehlermeldung sagt, dass die Domain nicht existiert.
• Google Ads meldet für deine Anzeigen einen DNS-Fehler. Das DNS ist das Telefonbuch des Internets, das jeder Domain ihre Server zuordnet. Google nennt als Ursache ausdrücklich: „Ihre Webdomain ist nicht offiziell registriert oder abgelaufen“¹.

Bei .com stört der Anbieter die Domain kurz vor der Löschung

Bei .com und den anderen generischen Endungen schreibt die ICANN, die dafür die Regeln setzt, den Anbietern sogar eine letzte Warnung vor. Die Anbieter müssen den DNS-Dienst der Domain bis zu 8 Tage vor der Löschung stören. Die Betreiber der Endung (Registry) tun das während der 30-tägigen Wiederherstellungsfrist ebenfalls.

Dadurch funktionieren Website und E-Mail nicht mehr. Das soll den Inhaber auf den Ablauf aufmerksam machen².

So prüfst du in einer Minute, ob es an der Domain liegt

Die schnellste Prüfung dauert eine Minute. Gib die Domain in die Abfrage der Registrierungsstelle ein (siehe unten). Steht dort der Status „active“ (aktiv) und der richtige Anbieter, liegt das Problem woanders.

Gibt die Abfrage an, dass die Domain nicht mehr registriert ist, oder nennt sie einen fremden Anbieter oder Inhaber, hast du den Grund gefunden.

Wenn Website und Mails gleichzeitig ausfallen, prüfe zuerst die Domain, noch vor Server und Postfächern.

Was passiert mit einer abgelaufenen Domain, und wie viel Zeit bleibt dir?

Das hängt von der Endung ab. Bei .de gilt das Recht von DENIC, der Registrierungsstelle in Frankfurt. Bei .com, .net, .org und den vielen neuen Endungen gelten die Regeln der ICANN.

.de-Domains haben kein Ablaufdatum im Register

Der Domainvertrag läuft laut DENIC-Domainbedingungen auf unbestimmte Zeit. Der Inhaber kann ihn jederzeit ohne Frist kündigen³. Ob deine Domain bestehen bleibt, entscheidet in der Praxis dein Vertrag mit dem Anbieter, der sie verwaltet. Kündigt einer von beiden oder bleibt die Zahlung aus, endet die Registrierung in der Regel.

Rund 30 Tage Schonfrist nach dem Ende der Registrierung

Danach beginnt bei .de die „Redemption Grace Period“, eine Schonfrist. Laut den Fragen und Antworten von DENIC für Domaininhaber kann der frühere Inhaber die Domain nach der Löschung innerhalb von 30 Tagen zurückholen. Danach gibt DENIC sie frei, und jeder kann sie registrieren⁴.

Die Domainrichtlinien regeln das genauer. Die Schonfrist dauert bis zu einem zufällig bestimmten Zeitpunkt am 31. Tag nach Ende der Registrierung. Registrieren darf in dieser Zeit nur der zuletzt eingetragene Inhaber oder ein Dritter, den er bestimmt.

Der Dritte braucht dafür das Passwort, das der letzte Inhaber in der Schonfrist bei DENIC anfordert⁵.

Wann die Schonfrist nicht gilt

Die Schonfrist gilt nicht in jedem Fall. Die Domainrichtlinien nehmen unter anderem diese Fälle aus⁵.

• Die Registrierung endet durch eine Übertragung auf einen neuen Inhaber.
• Auf der Domain liegt ein Dispute-Eintrag, also ein Streitvermerk, den DENIC auf Antrag eines Dritten setzt (mehr dazu weiter unten).
• DENIC kündigt den Vertrag, zum Beispiel wegen falscher Inhaberdaten.

In diesen Fällen fehlt die Schutzzeit von rund 30 Tagen.

Wer in der Schonfrist handeln darf

In der Schonfrist darf nur der zuletzt eingetragene Inhaber handeln. Ist das dein Ex-Mitarbeiter oder deine alte Agentur, kannst du allein nichts tun.

Zeitpunkt	Was mit der Domain passiert	Wer sie zurückholen kann
Bis zur Kündigung	Domain läuft, Anbieter verwaltet sie	Inhaber über den Anbieter
Registrierung endet	Website und Mails fallen aus, Domain ist nicht mehr im Register	Nur der letzte Inhaber
Schonfrist bis etwa zum 31. Tag	Wiederherstellung nur für den letzten Inhaber oder einen von ihm benannten Dritten	Letzter Inhaber (oder sein Beauftragter)
Danach	Domain ist frei, „wer zuerst kommt“	Jeder

Die Angaben in der Tabelle stammen von DENIC⁴⁵.

Was bei .com und anderen Endungen ohne Länderbezug gilt

Für .com und die anderen generischen Endungen hat die ICANN eine eigene Regel zu abgelaufenen Domains. Für Inhaber fasst sie die Regel so zusammen².

• Der Anbieter muss mindestens zwei Erinnerungen schicken, ungefähr einen Monat und ungefähr eine Woche vor Ablauf. Löscht er die Domain nach Ablauf, schickt er innerhalb von 5 Tagen nach dem Ablauf eine weitere Nachricht mit Hinweisen zur Wiederherstellung.
• Alle Nachrichten gehen an die E-Mail-Adresse des Inhabers in den Kontaktdaten der Domain. Steht dort die Adresse des Ex-Mitarbeiters oder einer alten Agentur, erreichen dich keine Warnungen.
• Viele Anbieter geben nach Ablauf eine Nachfrist von 1 bis 45 Tagen. Je nach Bedingungen darf der Anbieter die Domain in dieser Zeit anderen anbieten oder versteigern.
• Nach der Löschung folgt eine Wiederherstellungsfrist von 30 Tagen, in der die Registry die Domain nicht übertragen darf.
• Für die Wiederherstellung darf der Anbieter eine Gebühr nehmen.

Die Warnungen des Anbieters erreichen nur die Adresse im Register. Gehört sie nicht dir, merkst du den Ablauf erst, wenn die Website fehlt.

Die erste Stunde nach dem Vorfall

Geh die Schritte der Reihe nach durch. Die Einzelheiten stehen in den Abschnitten weiter unten.

1. Prüf die Domain in der öffentlichen Abfrage. Für .de nutzt du die Abfrage von DENIC unter webwhois.denic.de, für .com die Abfrage der ICANN unter lookup.icann.org. Notiere Status, Anbieter und Inhaber.
2. Sichere den Stand mit Datum. Druck die Abfrage aus und leg den Vertrag mit der Agentur, Rechnungen für die Domain und E-Mails zur Registrierung dazu.
3. Frag deinen Anbieter nach dem Grund. Weißt du nicht, wer die Domain verwaltet, findest du ihn über den Kontakt „General Request“ in der DENIC-Abfrage⁴.
4. Kläre, wer zuletzt als Inhaber eingetragen war. In der Schonfrist von rund 30 Tagen darf nur er die Domain zurückholen. Ist das deine alte Agentur oder ein früherer Mitarbeiter, bitte ihn sofort schriftlich, mitzuwirken.
5. Lass die Domain nicht löschen, um sie neu zu registrieren. Nach der Löschung darf nach 30 Tagen jeder sie registrieren.
6. Ändere bei Verdacht auf Diebstahl die Passwörter. Das gilt für alle Konten mit Rechten an den DNS-Einträgen. Schalte im Konto beim Anbieter die Zwei-Faktor-Anmeldung ein¹².
7. Vergleiche Nameserver und Mail-Einträge mit deinen eigenen. Weichen sie ab, kann jemand Website oder Mails umleiten.
8. Melde einen Angriff der Polizei. Unternehmen wenden sich an die Zentrale Ansprechstelle Cybercrime (ZAC) ihres Landes²⁴.

Wer ist Inhaber deiner Domain: du, deine Agentur oder ein Ex-Mitarbeiter?

Inhaber, Anbieter und Betreuer haben verschiedene Rechte

Viele Firmen verwechseln den Inhaber mit dem Anbieter oder mit der Agentur, die die Domain betreut.

Rolle	Wer das ist	Was die Rolle darf
Inhaber	Der Vertragspartner der Registrierungsstelle	Er ist laut DENIC „der an der Domain materiell Berechtigte“, also derjenige, dem die Domain zusteht5
Anbieter (Provider, Registrar)	Das DENIC-Mitglied oder der Händler, der die Domain für dich verwaltet	Nur er darf Aufträge des Inhabers an DENIC schicken4
Techniker oder Ansprechpartner	Agentur, IT-Dienstleister, Mitarbeiter	Hat Zugang zum Kundenkonto, aber keine Rechte an der Domain, solange er nicht als Inhaber eingetragen ist

Der Inhaber muss bei einer Firma die vollständige Firma mit Rechtsform nennen, außerdem Straßenanschrift, E-Mail-Adresse und Telefonnummer. Eine Postfachadresse reicht nicht⁵. Mitinhaberschaft ist zulässig, es dürfen also auch mehrere Inhaber gemeinsam eingetragen sein.

Warum die Geschäftsführung den Eintrag oft nicht kennt

Laut dem Sicherheitsforscher Gabor Szathmari kümmert sich um die Verlängerung oft eine technische Person mit geringer Verantwortung. Bei kleineren Firmen sind das Bürokräfte, die Webdesign-Agentur oder der externe IT-Dienstleister¹⁵.

Steht diese Person als Inhaber im Register, darf sie über die Domain verfügen, bis jemand den Eintrag ändert.

Was das BSI von Betrieben bei Domains verlangt

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) legt dafür im IT-Grundschutz, seinem Regelwerk für sichere IT in Betrieben, Mindestregeln fest.

• Der Betrieb muss alle Domains, die er nutzt, regelmäßig und rechtzeitig verlängern.
• Er muss eine Person bestimmen, die die Internet-Domainnamen verwaltet.
• Er muss darauf achten, dass er die Kontrolle über die Domains behält, wenn Dienstleister die Verwaltung übernehmen²¹.

Was der Bundesgerichtshof zu Domains auf fremdem Namen entschieden hat

Der Bundesgerichtshof (BGH) hat sich 2010 und 2012 mit Domains befasst, die auf den falschen Namen eingetragen waren. Die Urteile ersetzen keine Beratung. Sie zeigen, wie die Gerichte in solchen Fällen denken.

Wenn jemand die Domain im Auftrag auf seinen eigenen Namen registriert hat

Fachleute nennen das eine treuhänderische Registrierung. Jemand hält die Domain für dich, aber unter seinem Namen. Registriert jemand eine Domain im Auftrag eines anderen auf den eigenen Namen, kann der Auftraggeber nach § 667 BGB die Übertragung oder Umschreibung verlangen.

So entschied der BGH am 25. März 2010 (Az. I ZR 197/08) in einem Fall, in dem ein Computerhändler die Domain einer Bürgerinitiative auf sich eingetragen hatte¹⁶. Nach § 667 BGB muss der Beauftragte dem Auftraggeber alles herausgeben, was er zur Ausführung des Auftrags erhält¹⁹.

Wenn jemand ohne Berechtigung als Inhaber eingetragen ist (Fall gewinn.de)

Im Fall gewinn.de verlangte ein Kläger, statt der Beklagten als Inhaber im Register zu stehen. Sein Unternehmen hatte die Domain 1996 registriert, seit 2006 nannte die Abfrage die Beklagte.

Der BGH entschied am 18. Januar 2012 (Az. I ZR 187/10), dass die Registrierung dem Inhaber kein absolutes Recht an der Domain gibt, also kein Recht, das wie Eigentum gegenüber jedem gilt. Wer im Register als Inhaber steht, ohne gegenüber DENIC berechtigt zu sein, kann diese Stellung aber auf Kosten des Berechtigten erlangt haben.

Dann kommt ein Anspruch aus ungerechtfertigter Bereicherung in Betracht. Ein solcher Anspruch richtet sich darauf, herauszugeben, was jemand ohne Rechtsgrund erlangt hat. Den Fall selbst entschied der BGH nicht abschließend. Er verwies ihn an das Oberlandesgericht zurück¹⁷¹⁸.

Ob dein Fall so liegt, hängt von deinem Vertrag und den Umständen ab. Das klärt ein Fachanwalt für IT-Recht oder gewerblichen Rechtsschutz. Eine Rechtsberatung ist dieser Artikel nicht.

Wer im Register als Inhaber steht, darf über die Domain verfügen. Steht dort deine Agentur oder ein früherer Mitarbeiter, klärst du die Herausgabe zuerst mit ihm und im Streit mit einem Fachanwalt.

Wie findest du heraus, wer als Domain-Inhaber eingetragen ist?

Dafür brauchst du keine Zugangsdaten. Die Registrierungsstellen veröffentlichen einen Teil der Daten.

Bei .de zeigt die DENIC-Abfrage den Inhaber

Für .de-Domains nutzt du die Domainabfrage von DENIC. Sie ist erreichbar unter webwhois.denic.de³. Was sie zeigt, beschreibt DENIC auf seiner Seite zur Domainabfrage⁶.

Wem die Domain gehört	Was jeder in der Abfrage sieht
Einer Firma, einem Verein, einer Stiftung oder Behörde (juristische Person)	Name und Anschrift des Inhabers, E-Mail, Telefon, Registrierungsdatum, Name des verwaltenden DENIC-Mitglieds
Einer Privatperson (natürliche Person)	Nur Registrierungsdatum und das verwaltende DENIC-Mitglied. Die Daten des Inhabers bleiben aus Datenschutzgründen verborgen
Bei jeder Domain	Status der Domain, technische Daten wie die Nameserver (die Rechner, die sagen, wohin die Domain zeigt), Kontakt „General Request“ für allgemeine Anfragen und „Abuse“ für Meldungen über Missbrauch

Fehlt der Firmenname, steht eine Privatperson im Register

Zeigt die Abfrage bei einer Firmendomain keinen Firmennamen, steht im Register eine natürliche Person, also eine Privatperson. DENIC formuliert diese Prüfregel nicht selbst. Sie ergibt sich aus der Tabelle.

Das kann der Geschäftsführer privat sein, ein Mitarbeiter oder der Inhaber einer Agentur. Zeigt die Abfrage einen anderen Firmennamen, gehört die Domain einer anderen Firma. In beiden Fällen lohnt der nächste Schritt.

Was das Gesetz über die Inhaberdaten sagt

Dass die Inhaberdaten stimmen müssen, regelt auch das BSI-Gesetz. Nach § 49 BSIG müssen die Betreiber der Endungen und die Anbieter, über die Kunden Domains registrieren, genaue und vollständige Registrierungsdaten sammeln und pflegen. Bei .de ist das DENIC.

Zu den Daten gehören der Name des Domain-Inhabers, seine E-Mail-Adresse und Telefonnummer sowie die Kontaktdaten der Anlaufstelle, die die Domain verwaltet.

Die Betreiber müssen außerdem Verfahren zur Überprüfung der Daten vorhalten und die nicht personenbezogenen Daten unverzüglich nach der Registrierung öffentlich zugänglich machen²³. Das passt zur DENIC-Abfrage, die bei Firmen Name und Anschrift zeigt und bei Privatpersonen nur das Registrierungsdatum und das verwaltende Mitglied.

So siehst du als Inhaber deine eigenen Daten ein

Du selbst kannst als echter Inhaber deine Daten einsehen. Dafür wählst du in der Abfrage „Informationen zum Domaininhaber“ und gibst deine Postleitzahl oder E-Mail-Adresse an. DENIC schickt einen befristeten Link an die im Register hinterlegte E-Mail-Adresse⁶.

Kommt kein Link an, stimmt entweder deine Eingabe nicht oder die hinterlegte Adresse ist nicht deine. Beides lohnt eine Nachfrage beim Anbieter.

Wenn niemand mehr weiß, wer die Domain verwaltet

Gib die Domain in die DENIC-Abfrage ein. Bei den Angaben zur Kontaktaufnahme steht der Kontakt „General Request“. Über diese Adresse oder das Formular erreichst du den Anbieter, der die Domain verwaltet. Der Kontakt führt nicht zwingend direkt zum Anbieter, aber du erfährst, wer er ist⁴.

Die technische Abfrage für Fachleute (RDAP)

RDAP ist eine neuere Form der Domainabfrage, die Rechner und Fachleute nutzen. Für die Abfrage gibst du im Terminal, dem Befehlsfenster deines Rechners, diesen Befehl ein, mit deiner Domain statt beispiel-firma.de:

curl https://rdap.denic.de/domain/beispiel-firma.de

RDAP liefert Status, Nameserver und das Datum der letzten Änderung. Es nennt keine Inhaberdaten, das schreibt DENIC in seinen Nutzungsbedingungen⁷. Das Datum der letzten Änderung hilft trotzdem. Liegt es kurz zurück und niemand bei dir hat etwas geändert, schau genauer hin.

Bei .com und anderen Endungen fragst du bei der ICANN ab

Bei .com und anderen Endungen nutzt du die ICANN-Abfrage unter lookup.icann.org. Der Nachfolger des alten Whois-Dienstes, der früheren Abfrage der Domaindaten, heißt RDAP. Seit dem 28. Januar 2025 müssen Anbieter generischer Endungen den alten Whois-Dienst nicht mehr betreiben, ausgenommen .com, .name und .post¹⁰.

Eine RDAP-Abfrage für eine .com-Domain lieferte bei unserem Abruf am 31.10.2026 Status, Registrierungsdatum, Änderungsdatum, Ablaufdatum und die Sperren der Domain.

Was du zu jeder Domain notierst

Für jede Domain hältst du fest, was die Abfrage zeigt, und vergleichst es mit dem Sollzustand.

Was du notierst	So sollte es aussehen
Inhaber	Deine Firma mit Rechtsform
Anschrift und E-Mail des Inhabers	Erreichbar und aktuell, E-Mail nicht auf der Domain selbst
Anbieter	Bekannt, mit Vertrag und Zugang
Status und Sperren	„active“ (aktiv), bei generischen Endungen Übertragungssperre gesetzt
Ablaufdatum (bei .com)	Weit in der Zukunft, automatisch verlängert
Nameserver (wohin die Domain zeigt)	Die, die du erwartest

Den Inhaber deiner Domain prüfst du ohne Zugangsdaten in der öffentlichen Abfrage. Fehlt dort bei einer Firmendomain der Firmenname, steht eine Privatperson als Inhaber im Register.

Was tust du, wenn die Domain auf die alte Agentur oder einen Ex-Mitarbeiter läuft?

Die ruhige Reihenfolge unten funktioniert in den meisten Fällen. Sie beginnt mit Gesprächen und endet nur selten beim Anwalt.

Zuerst die Beweise sichern

Lege den Vertrag mit der Agentur, Rechnungen für die Domain, E-Mails zur Registrierung und einen Ausdruck der Abfrage mit Datum ab. Diese Unterlagen zeigen später, wer die Domain für wen angelegt hat.

Dann schriftlich um Herausgabe bitten

Fordere die Agentur oder den Ex-Mitarbeiter auf, die Domain zu übertragen. Oft gelingt das ohne Streit. Bitte um den Wechsel des Inhabers auf deine Firma und um den Wechsel des Anbieters, damit du den Zugang bekommst.

Anbieterwechsel und Inhaberwechsel auseinanderhalten

Bei .de verwechseln viele den Wechsel des Anbieters mit dem Wechsel des Inhabers.

Was du willst	Was sich ändert	Was du dafür brauchst
Anderer Anbieter (Providerwechsel)	Der Anbieter wechselt, der Inhaber bleibt	Der Inhaber fordert über den bisherigen Anbieter ein Passwort (AuthInfo) an. Der neue Anbieter nutzt es für den Wechsel4
Deine Firma als neuer Inhaber (Inhaberwechsel, Domainübertragung)	Der Inhaber wechselt	Der bisherige Inhaber kündigt, und der neue Inhaber erteilt gleichzeitig einen Domainauftrag mit Nachweisen3

Beim Inhaberwechsel gilt die Übertragung erst, wenn DENIC die Registrierung für den neuen Inhaber abgeschlossen hat³. Solange du den Wechsel nicht abschließt, bleibt der alte Inhaber der Berechtigte.

Die Domain nicht löschen lassen, um sie neu zu registrieren

DENIC beschreibt diesen Umweg als wiederkehrenden Fehlversuch beim Anbieterwechsel. Inhaber kündigen beim ersten Anbieter, lassen löschen und registrieren über einen zweiten neu. Nach der Löschung kann aber nur der frühere Inhaber die Domain innerhalb von 30 Tagen zurückholen, danach kann jeder sie registrieren⁴.

Der Umweg kostet im schlechtesten Fall die Domain.

Wenn die Gegenseite nicht reagiert

DENIC hilft in engen Grenzen. Du erreichst den Anbieter über den Kontakt „General Request“. Wenn du den Anbieter nicht mehr erreichst oder nicht weiterkommst, kann DENIC laut seinen FAQ vorläufige Unterstützung leisten, bis du einen neuen Anbieter hast⁴.

Wie DENIC bei einem Eintrag ohne deine Zustimmung vorgeht, steht weiter unten im Abschnitt zum Diebstahl.

Der rechtliche Hebel über einen Streitvermerk (Dispute-Eintrag)

Macht ein Dritter glaubhaft, dass die Domain sein Recht verletzt, und erklärt er, daraus Ansprüche geltend zu machen, kann DENIC die Domain laut § 2 Abs. 3 der Domainbedingungen mit einem „Dispute-Eintrag“ versehen. Er gilt ein Jahr und verlängert sich auf Antrag.

Der Inhaber kann die Domain weiter nutzen, aber nicht mehr auf einen Dritten übertragen³. Ob dieser Weg zu deinem Fall passt, klärt ein Anwalt. Er gehört nicht in die erste Woche.

Wer eine Domain zurückholen will, spricht zuerst mit dem eingetragenen Inhaber und geht erst danach zum Anwalt. In der Schonfrist darf nur der letzte Inhaber handeln.

Wie holst du eine Domain zurück oder ziehst sie um, ohne dass Website und Mails ausfallen?

Ein Umzug folgt einer festen Reihenfolge. Fehler passieren, wenn die Domain schon umgezogen ist und die Einträge auf der neuen Seite fehlen.

Was der Authcode ist

Der Authcode heißt bei DENIC „AuthInfo“. Das ist ein Passwort, mit dem der Inhaber einen Providerwechsel erlaubt. Es gilt ab Hinterlegung bei DENIC 30 Tage, und du kannst es nur einmal benutzen.

Gibt der bisherige Anbieter die Verwaltung der Domain auf, verliert das Passwort zusätzlich seine Gültigkeit³. Du bekommst es vom bisherigen Anbieter. DENIC selbst gibt es nicht heraus.

Die Reihenfolge für einen Umzug ohne Ausfall

1. Alle Einträge sichern. Lies die DNS-Einträge beim alten Anbieter aus, also die Einträge, die sagen, wohin Website und Mails zeigen: A, MX, TXT (SPF, DKIM, DMARC), CNAME und alles, was dein Mailanbieter und deine Dienste brauchen.
2. Beim neuen Anbieter die gleichen Einträge anlegen, bevor die Domain umzieht. So läuft nach dem Wechsel alles weiter.
3. Den Authcode beim alten Anbieter anfordern und im Auftrag beim neuen Anbieter eintragen.
4. Nach dem Umzug testen: Website, ein Mail-Test in beide Richtungen, ein Formular, eine Anzeige-Zielseite.
5. Den alten Vertrag erst dann kündigen, wenn der Umzug abgeschlossen ist. Kündigst du zuvor, kann die Domain in die Schonfrist rutschen.

Das BSI weist in seiner Empfehlung zur E-Mail-Sicherheit darauf hin, vor dem Löschen eines alten Mail-Eintrags die im DNS eingestellte Gültigkeitsdauer zu beachten, damit der Mail-Dienst nicht unterbrochen wird. Bei komplexen Mail-Konfigurationen rät es dazu, einen Dienstleister einzubeziehen²⁰.

Was DENIC tut, wenn dein Anbieter aufgibt (TRANSIT)

Gibt dein Anbieter die Verwaltung der Domain auf, übernimmt DENIC sie selbst³. DENIC nennt das den „TRANSIT“-Dienst. DENIC löscht die Domain nicht sofort. Es verwaltet sie vorübergehend selbst, und niemand anderes kann sie registrieren.

DENIC schickt dem Inhaber einen Brief mit persönlichem Passwort an die Postanschrift im Register. Im TRANSIT-Service-Center, dem Online-Bereich von DENIC für diesen Fall, wählt der Inhaber, wie es weitergeht.

• Er wechselt den Anbieter.
• Er lässt die Domain löschen.
• Er lässt die Domain von DENIC gegen Gebühr verwalten.

Für Anbieterwechsel oder Löschung nennt DENIC eine Frist von einem Monat, das genaue Datum steht im Brief⁸. Kommt der Brief nicht an, weil die Anschrift veraltet ist, kündigt DENIC den Vertrag per E-Mail an die hinterlegte Adresse und löscht die Domain⁸.

Handelst du in der Frist nicht, kündigt DENIC den Vertrag fristlos und löscht die Domain. Kurz vor Ablauf der Frist schickt DENIC eine Erinnerung per E-Mail⁹.

Ob deine Website während TRANSIT erreichbar bleibt, hängt vom Vertrag mit dem früheren Anbieter ab. DENIC hat dazu keine Informationen⁹.

Leg beim neuen Anbieter alle Einträge an, bevor die Domain umzieht, und kündige den alten Vertrag erst nach dem Umzug. Sonst kann die Domain in die Schonfrist rutschen.

Wie stiehlt jemand eine Domain, und woran erkennst du es?

Ein bekannter Weg führt über den Zugang beim Anbieter. Wer das Kundenkonto übernimmt, kann Einträge ändern, die Domain übertragen oder löschen.

Mit gestohlenen Zugangsdaten leiten Angreifer Besucher um

Die US-Behörde für Cybersicherheit CISA hat 2019 eine weltweite Angriffswelle auf DNS-Einträge beschrieben. Mit gestohlenen Zugangsdaten kann ein Angreifer ändern, wohin die Domain einer Organisation zeigt. Er leitet Besucher auf eigene Server um und bekommt gültige Zertifikate für die Domain, also die digitalen Ausweise, die im Browser das Schloss anzeigen.

CISA empfahl, die Zwei-Faktor-Anmeldung (Passwort plus zweiter Code) bei den Konten beim Domain-Anbieter einzuschalten, Passwörter aller Konten mit DNS-Rechten zu ändern und nach fälschlich beantragten Zertifikaten zu suchen¹².

Vergessene Adressen im Konto als Einfallstor

Ein neuerer Fall zeigt eine andere Schwäche. Zwischen dem 9. und 12. Juli 2024 übernahmen Angreifer die Domains von mindestens einem Dutzend Organisationen, meist Krypto-Firmen. Ihre Domains waren von Google Domains zu Squarespace umgezogen.

Laut den Forschern von Metamask und Paradigm lagen für die umgezogenen Domains Konten bereit, die noch niemand eingerichtet hatte. Wer die E-Mail-Adresse eines solchen Kontos eingab, kam laut ihrer Analyse an die Domain. Stand dort die Adresse eines längst ausgeschiedenen Mitarbeiters, nützte das dem Angreifer.

Squarespace nannte als Ursache eine Schwäche bei der Anmeldung über OAuth, ein Verfahren zur Anmeldung mit einem anderen Konto. Squarespace widersprach den Forschern auch beim Schutz. An der Zwei-Faktor-Anmeldung habe die Migration nichts geändert¹³. Beide Darstellungen stehen nebeneinander, und wir können nicht entscheiden, welche stimmt.

In beiden Darstellungen ist das Konto beim Anbieter das Ziel, und vergessene Adressen im Konto sind eine Tür. Das BSI rät Registraren schon 2015 in seiner Empfehlung für Domain-Registrare und Unternehmen, das Zurücksetzen eines Passworts nach Möglichkeit nicht allein auf eine Mail an das hinterlegte Postfach zu stützen²².

Frag deinen Anbieter, was er zusätzlich verlangt.

Weitere Wege, auf denen Inhaber ihre Domain verlieren

Die ICANN-Beratungsgruppe für Sicherheit und Stabilität (SSAC) nannte schon 2010 diese Wege, auf denen Inhaber ihre Domain verlieren¹¹.

• Ein Angreifer ändert die Kontaktdaten oder Nameserver, überträgt die Domain oder löscht sie.
• Jemand meldet falsche Inhaberdaten (Whois-Daten), und der Anbieter sperrt die Domain.
• Jemand vergisst die Verlängerung, und ein Fremder registriert die Domain nach den Schonfristen.

Das ist die älteste Quelle dieses Artikels. Ihre Empfehlungen gelten weiter, denn CISA nannte 2019 und DENIC nennt heute vergleichbare Schutzmaßnahmen¹²³.

Was du bei einem Wechsel ohne dein Wissen tust

Für .de beschreibt DENIC, was du tust, wenn ein Anbieter- oder Inhaberwechsel ohne dein Wissen passiert ist⁴.

1. Prüf, ob es einen guten Grund gab, zum Beispiel einen Übertragungsvertrag oder eine Kündigung.
2. Bitte den Anbieter um eine Erklärung oder um die Rücknahme, denn oft steckt ein Versehen dahinter.
3. Wende dich an DENIC und schick alle Unterlagen, die den Fall klären, und eine Beschreibung der bisherigen Schritte.

Falsche Inhaberdaten können die Domain kosten

Auch bei .de gibt es einen Weg über Datenfehler. DENIC kann die Domain abschalten, also aus den Nameservern entfernen, wenn eine Prüfung der Inhaberdaten deren Richtigkeit nicht ergibt und der Inhaber in der gesetzten Frist nichts nachweist. Bei falschen Daten kann DENIC den Vertrag sogar kündigen³.

In diesem Fall gibt es keine Schonfrist⁵. Ist als Inhaber-Adresse die Mail eines längst ausgeschiedenen Mitarbeiters hinterlegt, kommt die Anfrage nie an.

Woran du einen Eingriff erkennst

Was du bemerkst	Was dahinterstecken kann
Mails vom Anbieter über Änderungen, die niemand bei dir ausgelöst hat	Jemand hat sich im Konto angemeldet
Das Datum der letzten Änderung in der Domainabfrage (RDAP) liegt kurz zurück	Eine Änderung am Eintrag, die du prüfen musst
Nameserver oder Mail-Einträge (MX) weichen von deinen ab	Umleitung von Website oder Mails
Der Status der Sperren hat sich geändert	Jemand hat die Übertragungssperre aufgehoben
Du bekommst keine Mails mehr, ohne dass der Mailanbieter ein Problem meldet	Der Mail-Eintrag (MX) zeigt woanders hin
Neue Zertifikate für deine Domain tauchen in öffentlichen Zertifikatslisten auf	Jemand hat Zertifikate beantragt12

Hast du eine Manipulation rückgängig gemacht, rechne mit Nachwirkungen. Wegen der Zwischenspeicher (Caching) der DNS-Server wirkt eine Manipulation nach Angaben des BSI häufig bis zu 48 Stunden nach²².

Wann du die Polizei einschaltest

Steckt ein Angriff auf das Konto beim Anbieter dahinter, kannst du dich zusätzlich an die Polizei wenden. Die Zentralen Ansprechstellen Cybercrime (ZAC) der Länder unterstützen Unternehmen nach einem Cyberangriff mit einer ersten Einschätzung, mit Beratung und mit den nötigen Schritten zur Strafverfolgung.

Zuständig ist die ZAC am Sitz deiner Firma oder am Ort des Vorfalls²⁴. Steht die Domain auf dich als Privatperson, wendest du dich an die Online-Wache der Polizei deines Landes.

Die Polizei hat einen Vorteil, den du nicht hast. Registrierungsstellen müssen Polizeien und Strafverfolgungsbehörden auf begründeten Antrag innerhalb von 72 Stunden Zugang zu den Registrierungsdaten geben, soweit diese die Daten für ihre Aufgaben brauchen²³.

Belastbare Zahlen dazu, wie oft Domains von deutschen Firmen auf diese Weise verloren gehen, haben wir nicht gefunden.

Ein bekannter Weg zum Domain-Diebstahl führt über das Kundenkonto beim Anbieter. Meldet dein Anbieter eine Änderung, die niemand bei dir ausgelöst hat, prüf sofort Nameserver, Mail-Einträge und das Datum der letzten Änderung.

Was passiert mit deinen E-Mails, Anzeigen und Zertifikaten, wenn die Domain ausfällt oder in fremde Hände gerät?

Eingehende Mails kommen zurück

Ist die Domain im Register nicht mehr eingetragen, findet kein Absender einen Mailserver für dich. Eingehende Mails kommen mit einer Fehlermeldung zurück.

Kommt die Domain zurück, aber ohne ihre DNS-Einträge, fehlen auch SPF und DKIM. Mit diesen Einträgen prüfen Empfänger, ob eine Mail wirklich von dir kommt. Ohne sie fallen deine Mails bei der Absenderprüfung durch. Das ist unsere Folgerung. Sichere die Einträge deshalb vorab.

Ein Fremder mit deiner alten Domain empfängt Mails, die für dich bestimmt sind

Schlimmer ist der Fall, in dem ein Fremder die Domain bekommt. Gabor Szathmari und sein Team registrierten 2018 sechs aufgegebene Domains neu, darunter einige ehemalige Kanzlei-Domains in Australien. Sie richteten einen Sammelpostkasten ein, also ein Postfach, das alle Mails an die Domain annimmt.

Sie sammelten rund 25.000 Nachrichten mit Berichten, Kontoauszügen und Benachrichtigungen. Bei einem Dienst von Google gingen sie alle Schritte der Passwortzurücksetzung bis auf den letzten durch. Den letzten Schritt führten sie nicht aus¹⁴. Dieselbe Untersuchung beschreibt auch ein Blogbeitrag von Iron Bastion¹⁵.

Es ist ein Befund aus einer einzigen Untersuchung. Er zeigt, was ein Fremder mit einer ehemaligen Firmen-Domain tun könnte. Wie oft das passiert, belegt er nicht.

Konten ehemaliger Mitarbeiter bei fremden Diensten

Heikel wird es, wenn Mitarbeiter ihre Firmenadresse bei Drittdiensten hinterlegt haben. Ein Fremder mit deiner Domain kann bei Diensten, die ein Passwort per E-Mail zurücksetzen, die Konten ehemaliger Mitarbeiter übernehmen. Die Untersuchung rät, solche Konten zu schließen oder ihre Adresse zu ändern und die Zwei-Faktor-Anmeldung zu nutzen, wo sie angeboten ist¹⁵.

Google lehnt deine Anzeigen ab

Google Ads prüft das Ziel einer Anzeige. Google lehnt eine Anzeige mit nicht funktionierendem Ziel ab. Als Ursache nennt Google in seiner Richtlinie zu Anzeigenzielen neben Fehlermeldungen des Webservers (HTTP-Fehler) und Sperren durch Schutzfilter (Firewalls) auch DNS-Fehler: „Ihre Webdomain ist nicht offiziell registriert oder abgelaufen“¹.

Mehr dazu steht in unserem Artikel Die Website war down, und keiner hat es gemerkt.

Fremde bekommen gültige Zertifikate für deine Domain

Wer die Domain oder ihre DNS-Einträge kontrolliert, kann Zertifikate für sie beantragen. CISA beschreibt diesen Fall¹². Besucher sehen dann auf der umgeleiteten Seite keine Zertifikatswarnung.

Fremde verschicken Mails mit deinem Absender

Wer deine Domain kontrolliert, kann Mails mit deinem Absender verschicken. Wie das aussieht und was dagegen hilft, steht im Artikel Jemand verschickt Mails mit eurer Adresse.

Gerät die Domain in fremde Hände, empfängt der Fremde Mails, die für dich bestimmt sind. Mit ihnen kann er Passwörter von Konten zurücksetzen, die an euren Firmenadressen hängen.

Wie schützt du deine Domain dauerhaft?

Die Maßnahmen in der Tabelle stammen aus den Empfehlungen von ICANN-Beratung, CISA, BSI und DENIC.

Die Schutzmaßnahmen im Überblick

Was du einrichtest	Warum das hilft
Inhaber ist die Firma mit Rechtsform, Anschrift und erreichbarer Telefonnummer	Der Inhaber ist laut DENIC der materiell Berechtigte. Nur dann bist du Vertragspartner und kannst selbst handeln. Übernehmen Dienstleister die Verwaltung, soll deine Firma laut BSI die Kontrolle über die Domains behalten521
Die E-Mail-Adresse des Inhabers liegt auf einer anderen Domain	Fällt die Domain aus, kommen Warnungen trotzdem an. Das empfehlen der SSAC und das BSI1122
Zwei-Faktor-Anmeldung im Konto beim Anbieter	Verhindert die Übernahme mit gestohlenem Passwort. Das BSI nennt die Zwei-Faktor-Anmeldung mit Hardware- oder Software-Token (einem Gerät oder einer App, die den zweiten Code erzeugt) als Schutz, den Registrare anbieten sollten1222
Sperre gegen Übertragung und Änderung beim Anbieter (Registrar-Lock)	Der SSAC empfiehlt, den Status „clientTransferProhibited“ und „clientUpdateProhibited“ zu setzen. Das BSI nennt zusätzlich „clientDeleteProhibited“ gegen das Löschen und rät, bei besonders schutzwürdigen Domains alle drei Sperren standardmäßig zu setzen1122
Zusätzliche Sperre im Register für .de (Registry Lock), wenn dein Anbieter sie anbietet	Mit der Option sind Änderungen der Inhaberdaten oder Löschung nur mit einem vom Inhaber bevollmächtigten Dritten möglich3
Verlängerung automatisch und Zahlung mit Warnung vor Ablauf der Karte	Der SSAC rät, Mitteilungen zum Ablauf von Zahlungsmitteln als Auslöser für Prüfungen zu nutzen11
Zwei Personen bekommen die Erinnerungen, eine davon aus der Geschäftsführung	Der SSAC rät, jede Benachrichtigung einer verantwortlichen Person zuzuordnen. Die zweite Person fängt einen Ausfall der ersten auf (unsere Ergänzung). Das BSI verlangt im IT-Grundschutz, dass eine bestimmte Person die Domainnamen verwaltet und alle Domains rechtzeitig verlängert1121
Zugangsdaten sicher hinterlegt, mit Notfall-Zugriff	Der SSAC empfiehlt, Zugangsdaten zu hinterlegen und einen Wiederherstellungsprozess festzulegen11
Registrar nach Schutzbedarf wählen, Änderungen melden lassen	Das BSI rät Unternehmen, die Domainverwaltung in ihre Risikobewertung aufzunehmen, einen Registrar passend zum Schutzbedarf zu wählen und mit ihm zu vereinbaren, wer bei Domainänderungen informiert wird. Registrare sollten Änderungen bestätigen und die DNS- und WHOIS-Daten in Echtzeit überwachen22
Digitale Unterschrift für die DNS-Antworten (DNSSEC) einschalten, wenn der Anbieter es kann	Schützt vor manipulierten DNS-Antworten, also vor gefälschten Wegweisern zu deiner Domain. Nicht alle Anbieter bieten es an20
Ex-Mitarbeiter und Agenturen aus dem Konto entfernen, Passwörter ändern	Unsere Ableitung aus der CISA-Empfehlung, die Passwörter aller Konten mit DNS-Rechten zu ändern12

Ob die Übertragungssperre bei dir schon gesetzt ist

Der SSAC schreibt, manche Anbieter setzen „clientTransferProhibited“ automatisch, bei anderen musst du die Sperre selbst aktivieren¹¹. Frag deinen Anbieter, wie es bei dir steht.

Wie alt die Empfehlungen des BSI zu Registraren sind

Das BSI-Papier CS 111 stammt von 2015 und richtet sich auch an Registrare. Die Empfehlungen zur Echtzeit-Überwachung und zur Änderungsinfo stützen sich nur auf dieses Papier, andere Quellen dazu liegen uns nicht vor.

Das Konto beim Domain-Anbieter ist der Schlüssel. Wer es hat, hat die Domain. Behandle es wie das Bankkonto der Firma.

Wie ernst nimmt der Markt das Thema, und was zeigen die Zahlen?

Wonach Menschen rund um Domains suchen

Die Zahlen stammen aus unserer eigenen Messung (eigene Auswertung, Google Keyword Planner, Vogler Marketing, Abruf 31.10.2026). Die Gebote zeigen, wie viel Werbetreibende für einen Klick auf ihre Anzeige zu diesem Suchbegriff zahlen wollen.

Suchbegriff	Suchen pro Monat	Gebote pro Klick in Euro
whois abfrage	1.900	0,15 bis 1,23
domain abfrage	720	0,76 bis 2,39
domain umziehen	590	2,00 bis 6,80
domain transfer	210	2,78 bis 8,49
domain inhaber herausfinden	110	0,19 bis 1,31
website name sichern	70	6,47 bis 19,69
domain abgelaufen	30	0,79 bis 3,92
domain schützen	20	4,98 bis 14,76
domain zurückholen	10	1,66 bis 4,12
domain gestohlen	10	keine Angabe

Was die Suchzahlen zeigen

Nach unserer Lesart schlagen die meisten Menschen Domains nach oder ziehen sie um. Nach dem Verlust fragen sehr wenige. Das passt zum Befund dieses Artikels, dass der Verlust leise passiert und erst auffällt, wenn die Website fehlt.

Die höchsten Gebote liegen bei „website name sichern“ (bis 19,69 Euro) und „domain schützen“ (bis 14,76 Euro). Hier zahlen Anbieter am meisten für Menschen, die vorbeugen wollen. Die Suche nach dem Ereignis selbst hat nur ein kleines Volumen, aber die Suchenden haben ein akutes Problem.

Bei „whois abfrage“ kann die Auswertung nicht trennen, ob Firmen oder Privatleute suchen. Wir vermuten, dass viele dieser Suchen von Administratoren und Neugierigen kommen. Zähle sie nicht als Firmen mit einem Problem.

Wie oft weltweit Domaindaten abgefragt werden

ICANN schätzt, dass alle RDAP-Server weltweit zusammen mehr als 10 Milliarden Abfragen im Monat beantworten (Stand Dezember 2024)¹⁰. Das ist die einzige Quelle für diese Zahl. Sie passt zum großen Volumen der Whois-Suchen in unserer Messung. Eine Abfrage allein ist kein Zeichen für ein Problem.

Was Gerichte, Gesetz und Forschung zeigen

Zwei BGH-Entscheidungen von 2010 und 2012 zeigen, dass Streit um Domain-Inhaber bis zur höchsten Instanz gelangt¹⁶¹⁷. Auch der Gesetzgeber misst dem Thema Gewicht bei. § 49 BSIG begründet die Pflicht zu genauen Registrierungsdaten damit, einen Beitrag zur Sicherheit, Stabilität und Widerstandskraft (Resilienz) des Domain Name Systems zu leisten²³.

Die Forschung von 2018 zeigt, dass aufgegebene Domains Mails mit sensiblen Inhalten empfangen¹⁴. Der Fall von 2024 zeigt, dass auch Anbieter-Plattformen Fehlerquellen sind¹³.

Welche Zahl fehlt

Wir haben keine Statistik gefunden, wie viele Firmen in Deutschland ihre Domain durch Ablauf oder Diebstahl verlieren. Wie häufig das passiert, belegen die Quellen nicht. Tritt der Fall ein, ist die Wirkung groß, denn Website, Mails und Anzeigen stehen zugleich still.

Nach dem Verlust einer Domain suchen nur wenige Menschen. Für Suchen nach Vorbeugung zahlen Werbetreibende die höchsten Klickpreise, und eine Statistik zu verlorenen Domains in Deutschland haben wir nicht gefunden.

Das kannst du heute tun

Geh die Aufgaben von oben nach unten durch und hak ab, was erledigt ist. In der Spalte „Wer“ steht, wer die Aufgabe in der Regel übernimmt.

☐	Aufgabe	Wer
☐	Prüf in der DENIC-Abfrage oder bei lookup.icann.org, wer als Inhaber eurer Domains eingetragen ist	du oder wir (Sicherheits-Check)
☐	Notiere zu jeder Domain Inhaber, Anschrift, Anbieter, Status, Ablaufdatum und Nameserver	du
☐	Fordere in der DENIC-Abfrage unter „Informationen zum Domaininhaber“ den Link an und prüf, ob er bei dir ankommt	du
☐	Leg Vertrag, Rechnungen, E-Mails zur Registrierung und einen datierten Ausdruck der Abfrage ab	du
☐	Bitte Agentur oder Ex-Mitarbeiter schriftlich, Inhaber und Anbieter auf deine Firma zu übertragen	Geschäftsführung
☐	Trag die Firma mit Rechtsform, Straßenanschrift und Telefonnummer als Inhaber ein	Domain-Verwalter
☐	Stell die E-Mail-Adresse des Inhabers auf eine Adresse außerhalb der eigenen Domain um	Domain-Verwalter
☐	Schalte die Zwei-Faktor-Anmeldung im Konto beim Anbieter ein	Domain-Verwalter
☐	Lass die Sperren gegen Übertragung, Änderung und Löschung setzen	Domain-Verwalter
☐	Frag deinen Anbieter, ob er den .de Registry Lock und DNSSEC anbietet	Domain-Verwalter
☐	Stell die Verlängerung auf automatisch und prüf das Ablaufdatum der hinterlegten Zahlungskarte	Buchhaltung
☐	Leg fest, dass zwei Personen die Erinnerungen des Anbieters bekommen, eine davon aus der Geschäftsführung	Geschäftsführung
☐	Entferne Ex-Mitarbeiter und alte Agenturen aus dem Konto beim Anbieter und ändere die Passwörter	Domain-Verwalter
☐	Hinterleg die Zugangsdaten sicher und leg einen Notfall-Zugriff fest	Geschäftsführung
☐	Prüf die E-Mail-Adresse des Inhabers im Register einmal im Jahr	du

Was prüfen wir von außen, und was gehört zu Anwalt und Anbieter?

Wir prüfen und sichern die Außenseite rund ums Marketing. Dazu gehören Domain und DNS. Wir sehen nach, wer als Inhaber eingetragen ist, wohin Nameserver und Mail-Einträge zeigen, ob und wann die Domain abläuft und welche Sperren dein Anbieter gesetzt hat.

Die Einzelheiten stehen auf der Seite Sicherheits-Check von außen. Wir lesen nur, was öffentlich sichtbar ist. Der Check ist der Einstieg. Danach kannst du jede Maßnahme einzeln beauftragen und eine Überwachung monatlich kündigen.

Aufgabe	Wer sie übernimmt
Inhaber, Status, Sperren, Nameserver und Ablaufdatum von außen prüfen	Wir, im Sicherheits-Check
Zwei-Faktor und Sperren im Konto einschalten, Inhaberwechsel beauftragen, Authcode anfordern	Du oder dein Anbieter, wir begleiten
Herausgabeansprüche gegen Agentur oder Mitarbeiter	Fachanwalt
Anzeige bei Verdacht auf Domain-Diebstahl	Du, bei der Zentralen Ansprechstelle Cybercrime deines Landes
Mailserver, Postfächer, Virenschutz, Schulung	Dein IT-Dienstleister

Zugänge ohne klare Zuständigkeit sind ein eigenes Thema, das wir in der Serie behandeln: Ex-Mitarbeiter oder alte Agentur hat noch Zugang.

FAQ

Kann ich eine abgelaufene Domain zurückholen?

Ja, solange die Schonfrist läuft und der letzte Inhaber mitwirkt. Bei .de gibt DENIC die Domain in den meisten Fällen nach rund 30 Tagen (bis zum 31. Tag) frei. In dieser Zeit darf nur der zuletzt eingetragene Inhaber oder ein von ihm benannter Dritter sie neu registrieren. Bei .com und anderen generischen Endungen gilt eine 30-tägige Wiederherstellungsfrist, und der Anbieter darf eine Gebühr nehmen. Handle deshalb sofort, wenn die Website ausfällt. Ist der letzte Inhaber nicht deine Firma, brauchst du zuerst dessen Zustimmung.

Was ist ein Authcode?

Der Authcode ist ein einmaliges Passwort, mit dem der Domain-Inhaber den Wechsel zu einem neuen Anbieter erlaubt. Bei .de heißt er AuthInfo. Der bisherige Anbieter hinterlegt ihn auf Anforderung des Inhabers bei DENIC. Er gilt ab Hinterlegung 30 Tage, und du kannst ihn nur einmal benutzen. Verliert der Anbieter die Verwaltung der Domain, verfällt er. Den Code bekommst du von deinem aktuellen Anbieter. DENIC selbst gibt ihn nicht heraus. Gib ihn nur dem neuen Anbieter, bei dem du die Domain hinterlegen willst.

Wie finde ich heraus, wem eine Domain gehört?

Bei .de nutzt du die DENIC-Domainabfrage. Gehört die Domain einer Firma, siehst du Name, Anschrift, E-Mail und Telefon des Inhabers. Gehört sie einer Privatperson, zeigt DENIC nur das Registrierungsdatum und das verwaltende Mitglied. Bei .com nutzt du die ICANN-Abfrage unter lookup.icann.org oder eine RDAP-Abfrage. Unsere RDAP-Abfrage vom 31.10.2026 für eine .com-Domain lieferte Status, Registrierungsdatum, Änderungsdatum, Ablaufdatum und die Sperren. Ein Firmenname im Eintrag ist ein gutes Zeichen. Fehlt er bei einer Firmendomain, frag deinen Anbieter, wer als Inhaber eingetragen ist.

Darf mir die Agentur die Domain vorenthalten?

Das können wir ohne Vertrag und Sachverhalt nicht beantworten. Der Bundesgerichtshof hat 2010 entschieden: Bei treuhänderischer Registrierung hat der Auftraggeber nach § 667 BGB einen Anspruch auf Übertragung oder Umschreibung der Domain. Ob das auf deine Agentur zutrifft, hängt vom Vertrag ab. Dieser Artikel ist keine Rechtsberatung. Wende dich an einen Fachanwalt für IT-Recht und bring Vertrag, Rechnungen und den Ausdruck der Domainabfrage mit.

Reicht eine automatische Verlängerung?

Sie ist wichtig, aber sie schützt allein nicht. Die Verlängerung kann scheitern, wenn die Zahlungskarte abläuft oder die Rechnungsadresse nicht stimmt. Der SSAC empfiehlt deshalb, Mitteilungen über ablaufende Zahlungsmittel als Anlass für eine Prüfung zu nehmen und jede Benachrichtigung einer verantwortlichen Person zuzuordnen. Auch die Erinnerungen des Anbieters helfen nur, wenn sie ankommen. Sie gehen an die Inhaber-Adresse im Register. Prüfe diese Adresse einmal im Jahr.

Was kostet es, eine Domain wiederherzustellen?

Die Quellen nennen keinen festen Betrag. Bei generischen Endungen müssen Anbieter ihre Verlängerungs-, Nachfrist- und Wiederherstellungsgebühren veröffentlichen, und die ICANN schreibt, der Anbieter dürfe für die Wiederherstellung eine Gebühr nehmen. Bei .de legt jeder Anbieter mögliche Gebühren für den Providerwechsel selbst fest, schreibt DENIC. Rechne mit einer eigenen Wiederherstellungsgebühr neben der normalen Verlängerung. Frag deinen Anbieter vor dem Auftrag nach dem genauen Preis.

Quellen

1. Google Ads-Hilfe: „Richtlinie zu Anzeigenzielen: Nicht funktionierendes Ziel“ (2026), https://support.google.com/adspolicy/answer/6368661, Abruf 31.10.2026
2. ICANN: „5 Things every Domain Name Registrant should know about ICANN’s Expired Registration Recovery Policy (ERRP)“ (2018), https://www.icann.org/resources/pages/registrant-about-errp-2018-12-07-en, Abruf 31.10.2026
3. DENIC Domainbedingungen: „DENIC-Domainbedingungen“ (2026), https://direct.secure.denic.de/fileadmin/documents/DENIC-Domainbedingungen_DE.pdf, Abruf 31.10.2026
4. DENIC FAQ: „FAQs for Domain Holders“ (2026), https://www.denic.de/en/faqs/faqs-for-domain-holders, Abruf 31.10.2026
5. DENIC Domainrichtlinien: „DENIC-Domainrichtlinien und Datenschutzhinweise“ (2026), https://direct.secure.denic.de/fileadmin/documents/DENIC-Domainrichtlinien_DE.pdf, Abruf 31.10.2026

+ Alle 24 Quellen anzeigen

6. DENIC Whois-Dienst: „whois Service, Facts about DENIC’s Domain Query“ (2026), https://www.denic.de/en/services/whois-service, Abruf 31.10.2026
7. DENIC RDAP: „RDAP-Dienst von DENIC, Nutzungsbedingungen in der Antwort“ (2026), https://rdap.denic.de/domain/denic.de, Abruf 31.10.2026
8. DENIC TRANSIT: „TRANSIT Service“ (2026), https://www.denic.de/en/services/transit-service, Abruf 31.10.2026
9. DENIC TRANSIT FAQ: „FAQs about TRANSIT“ (2026), https://www.denic.de/en/faqs/faqs-about-transit, Abruf 31.10.2026
10. ICANN RDAP: „Registration Data Access Protocol (RDAP)“ (2026), https://www.icann.org/rdap, Abruf 31.10.2026
11. ICANN SSAC: „SAC 044, A Registrant’s Guide to Protecting Domain Name Registration Accounts“ (2010), https://itp.cdn.icann.org/en/files/security-and-stability-advisory-committee-ssac-reports/sac-044-en.pdf, Abruf 31.10.2026
12. CISA: „DNS Infrastructure Hijacking Campaign“ (2019), https://www.cisa.gov/news-events/alerts/2019/01/10/dns-infrastructure-hijacking-campaign, Abruf 31.10.2026
13. Krebs on Security: „Researchers: Weak Security Defaults Enabled Squarespace Domains Hijacks“ (2024), https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/, Abruf 31.10.2026
14. BleepingComputer: „Fraudsters Can Access Sensitive Information from Abandoned Domains“ (2018), https://www.bleepingcomputer.com/news/security/fraudsters-can-access-sensitive-information-from-abandoned-domains/, Abruf 31.10.2026
15. Iron Bastion: „Abandoned domain names are risk to businesses“ (2018), https://blog.ironbastion.com.au/abandoned-domain-names-are-risk-to-businesses/, Abruf 31.10.2026
16. Bundesgerichtshof: „Urteil vom 25. März 2010, I ZR 197/08, Herausgabepflicht des Beauftragten aus § 667 BGB bei Anmeldung einer Domain“ (2010), Wiedergabe auf https://lorenz.userweb.mwn.de/urteile/izr197_08.htm, Abruf 31.10.2026
17. Bundesgerichtshof: „Urteil vom 18. Januar 2012, I ZR 187/10, gewinn.de“ (2012), Urteilstext mit amtlichem Leitsatz, Wiedergabe auf https://lorenz.userweb.mwn.de/urteile/izr187_10.htm, Abruf 31.10.2026
18. GvW Graf von Westphalen: „Herausgabe abhanden gekommener Domains? Gewinn.de“ (2012), https://www.gvw.com/aktuelles/blog/detail/herausgabe-abhanden-gekommener-domains-gewinnde, Abruf 31.10.2026
19. Gesetze im Internet: „§ 667 BGB, Herausgabepflicht“ (2026), https://www.gesetze-im-internet.de/bgb/__667.html, Abruf 31.10.2026
20. BSI: „Upgrade für die E-Mail-Sicherheit, Handlungsempfehlungen für moderne E-Mail-Infrastrukturen in Unternehmen, BSI-CS 155, Version 1.00 vom 05.05.2025“ (2025), https://www.allianz-fuer-cybersicherheit.de/SharedDocs/Downloads/Webs/ACS/DE/BSI-CS/BSI-CS_155.pdf?__blob=publicationFile&v=3, Abruf 31.10.2026
21. BSI: „IT-Grundschutz-Kompendium, Baustein APP.3.6 DNS-Server“ (2023), https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/06_APP_Anwendungen/APP_3_6_DNS_Server_Edition_2023.pdf?__blob=publicationFile&v=3, Abruf 31.10.2026
22. BSI: „Sichere Bereitstellung von Domaindienstleistungen, Handlungsempfehlungen für Domain-Registrare und Unternehmen, BSI-CS 111, Version 1.00 vom 30.01.2015“ (2015), https://www.allianz-fuer-cybersicherheit.de/SharedDocs/Downloads/Webs/ACS/DE/BSI-CS/BSI-CS_111.pdf?__blob=publicationFile&v=1, Abruf 31.10.2026
23. Gesetze im Internet: „§ 49 BSIG, Pflicht zum Führen einer Datenbank“ und „§ 50 BSIG, Verpflichtung zur Zugangsgewährung“ (2026), https://www.gesetze-im-internet.de/bsig_2025/__49.html und https://www.gesetze-im-internet.de/bsig_2025/__50.html, Abruf 31.10.2026
24. Polizei: „Zentrale Ansprechstellen Cybercrime der Polizeien für Wirtschaftsunternehmen und Behörden“ (o. J., Abruf 2026), https://www.polizei.de/Polizei/DE/Einrichtungen/ZAC/zac_node.html, Abruf 31.10.2026