Domain Monitoring: Beobachten Sie, was Sie besitzen und was nicht

Domain Monitoring gehört zu den Bereichen, die jedes Unternehmen beherrschen sollte. Die meisten Beiträge zum Thema vertreten eine bestimmte Sichtweise. Anbieter für Markenschutzlösungen behaupten, Domain Monitoring bedeute, nach ähnlichen Domains zu suchen. Uptime-Tools behaupten, es gehe darum, das Ablaufdatum zu überprüfen. Beide haben zur Hälfte recht, aber keiner von beiden hilft einem Team, das Hunderte von Domains verwaltet. Das Gesamtbild ist umfassender und leichter zu merken: Domain Monitoring behält die Domains im Blick, die Ihnen gehören, und die, die Ihnen nicht gehören.

Was ist Domain Monitoring?

Domain Monitoring ist der Prozess, die eigenen Domains überwacht und sicher zu halten und dabei auch die Domains im Blick zu behalten, die Ihnen nicht gehören. Die Aufgabe besteht darin, Änderungen zu erkennen, die sich auf Verfügbarkeit, Sicherheit oder Ihre Marke auswirken.

Die erste Hälfte der Aufgabe ist die Beobachtung Ihres eigenen Domain-Portfolios. Hier liegt das operative Risiko. Sie verfolgen das bei der Registry hinterlegte Ablaufdatum, den Sperrstatus, den DNSSEC-Status, die Nameserver und weitere DNS-Einträge, den Ablauf der TLS/SSL-Zertifikate sowie jegliche Änderung an Registrar oder Domaininhaber. Eine einzige Änderung an einem dieser Punkte kann Ihre Website, Ihre E-Mail und Ihre Zertifikate lahmlegen.

Die zweite Hälfte beobachtet Domains außerhalb Ihrer Kontrolle. Für die meisten Unternehmen bedeutet das neue Registrierungen, die die eigene Marke imitieren: exakte Übereinstimmungen mit anderen Endungen, falsche Schreibweisen und visuell ähnliche Domains.

Was Domain Monitoring nicht ist

Drei benachbarte Bereiche werden mit Domain Monitoring verwechselt. Keiner davon ersetzt ein richtiges Domain-Monitoring-Verfahren.

1. Uptime Monitoring meldet den Ausfall, Domain Monitoring verhindert ihn

Uptime Monitoring schlägt erst an, wenn Ihre Besucher und Kunden bereits betroffen sind. Domain Monitoring erfasst die Ursache, während noch alles in Ordnung aussieht. Nehmen wir als Beispiel eine Änderung der Nameserver Ihrer primären Domain. Domain Monitoring erkennt sie sofort, während die Domain noch korrekt funktioniert. So können Sie überprüfen, ob die Änderung autorisiert war, und sie rückgängig machen, bevor die Propagierung abgeschlossen ist. Ein Uptime-Tool sieht nichts, bis die neuen Nameserver greifen und der Traffic nicht mehr geroutet wird, vielleicht eine Woche später.

Beides gehört zu einem soliden Ansatz, denn sie beantworten unterschiedliche Fragen. Uptime beantwortet: Funktioniert es gerade? Domain Monitoring beantwortet: Gibt es Veränderungen, die dazu führen könnten, dass es bald nicht mehr funktioniert?

2. Markenschutz setzt um, was Domain Monitoring erkennt

Es gibt eine echte Überschneidung zwischen Markenschutz und Domain Monitoring. Domains zu erkennen, die Ihre Marke imitieren, ist Teil des Domain Monitorings, und Anbieter für Markenschutzlösungen leisten genau das im Web-Maßstab. Diese Anbieter beobachten den Namespace allerdings von außen und erkennen selten die operativen Signale innerhalb Ihres eigenen Domain-Portfolios, etwa eine ablaufende Domain, eine entfernte Transfersperre oder eine gebrochene DNSSEC-Kette. Umgekehrt reicht Markenschutz weiter als Monitoring allein: Sobald eine Lookalike-Domain bestätigt ist, verlagert sich die Reaktion auf Streitverfahren, Takedowns und Blockings, jeweils mit eigenem Prozess. Unsere Beiträge zu defensiver Domainregistrierung und Domain-Blocking-Services behandeln UDRP, die Trademark Clearinghouse und Namespace-weites Blocking.

Kurz gesagt: Domain Monitoring erkennt, Markenschutz setzt durch.

3. Eine Backorder handelt auf Basis dessen, was Domain Monitoring findet

Monitoring, Backordering und Drop Catching stehen in einer Reihenfolge. Domain Monitoring ist das Frühsignal. Es beobachtet den Lifecycle einer Domain und meldet, dass sie auf den Ablauf zuläuft. Eine Backorder ist ein hinterlegter Auftrag, diese Domain zu registrieren, sobald sie verfügbar ist. Drop Catching ist der zeitkritische Wettlauf, die Domain in dem Moment zu registrieren, in dem die Registry sie löscht. Dann wird sie für alle verfügbar, und unter Umständen warten mehrere Interessenten auf genau diesen Zeitpunkt. Die Lehre daraus: Sie überwachen zuerst und entscheiden dann, ob Sie eine Backorder platzieren oder einen Catch versuchen.

Zuerst die Bestandsaufnahme: Sie können keine Domains überwachen, die Sie vergessen haben

Bevor Sie überhaupt über Domain Monitoring sprechen, müssen Sie genau wissen, welche Domains Ihrem Unternehmen gehören. Der erste Schritt ist die Bestandsaufnahme: Sprechen Sie mit dem Marketing und mit Ihren Regionalniederlassungen, finden Sie heraus, welche Domains dort registriert wurden, und erstellen Sie daraus die vollständige Liste.

Welche Domain-Signale Sie in Ihrem Domain-Portfolio überwachen sollten

Sehen wir uns an, was bei den Domains zu überwachen ist, die Ihnen gehören. Jedes Signal liefert Ihnen konkrete Informationen, sobald sich etwas ändert.

• Ablauf und Verlängerung: Prüfen Sie das Ablaufdatum, das Ihr Anbieter meldet, und gleichen Sie es zusätzlich bei der Registry ab. Beachten Sie auch die Redemption- und Pending-Delete-Phasen. Eine abgelaufene Domain verschwindet nicht einfach am Ablaufdatum. Sie durchläuft festgelegte Phasen, wobei mit jeder Phase die Chance sinkt, sie zurückzubekommen. Im Abschnitt zum Domain-Lifecycle in unserem Leitfaden zum Domain-Management werden diese Phasen erläutert.
• Änderungen an Registraren und Registranten: Registrierungsdaten werden inzwischen hauptsächlich in RDAP (Registration Data Access Protocol) gespeichert. ICANN hat RDAP am 28. Januar 2025 zur verbindlichen Quelle für gTLD-Registrierungsdaten gemacht, als WHOIS eingestellt wurde. RDAP unterstützt abgestufte Zugriffsrechte, öffentliche Abfragen liefern also einen reduzierten Datensatz. Bei einer Domain, die Ihnen gehört, ist eine Änderung an Registrant oder Registrar ein Signal, das es sofort zu erkennen gilt. Wenn Sie WHOIS- und RDAP-Privacy aktiviert haben, muss der zugrunde liegende Datensatz dennoch korrekt sein und überwacht werden.
• EPP-Statuscodes und Sperren: EPP-Statuscodes sind die maschinenlesbaren Kennzeichen, die die Registry für jede Domain verwaltet. Sicherheitsrelevant sind dabei die Sperren. clientTransferProhibited und serverTransferProhibited blockieren Übertragungen, während die Update-Prohibited-Codes Änderungen an Nameservern und Kontaktdaten verhindern. Eine Änderung an dieser Stelle ist kritisch. Für geschäftskritische Domains bietet Registry Lock die höchste Schutzstufe, direkt auf Registry-Ebene.
• DNS-Records: Überwachen Sie Nameserver, A- und AAAA-Records, MX-Records für das Mail-Routing sowie die TXT-Records, die Ihre SPF-, DKIM- und DMARC-Richtlinien enthalten. Unser Leitfaden zu DNS-Records behandelt die einzelnen Typen.
• DNSSEC-Status: DNSSEC signiert Ihre DNS-Records, damit Resolver überprüfen können, ob sie nicht verändert wurden. Dies hängt von einem bei der Registry veröffentlichten DS-Record ab. Wird dieser Record gelöscht oder ungültig, kann die Auflösung für validierende Resolver vollständig fehlschlagen. Das kann auch auf Manipulation hindeuten.
• TLS/SSL-Zertifikatssignale: Das Zertifikats-Monitoring ist schwieriger geworden. Mit dem im April 2025 genehmigten Beschluss Ballot SC-081v3 des CA/Browser Forum sinkt die maximale Laufzeit öffentlich vertrauenswürdiger TLS/SSL-Zertifikate von 398 Tagen auf 47 Tage bis März 2029. Die erste Kürzung auf 200 Tage gilt seit März 2026. Behalten Sie neben dem Ablauf auch die Certificate-Transparency-Logs auf Zertifikate im Auge, die für Ihre Domains ausgestellt werden.

Wie Sie Domains überwachen, die Sie nicht besitzen

Wenn Sie Ihr Domain-Portfolio und Ihre Marke schützen wollen, sollten Sie auch den gesamten Namespace beobachten. Angreifer registrieren exakte Übereinstimmungen Ihrer Marke unter anderen Endungen. Die Erkennung bösartiger Domains stützt sich auf drei Quellen:

• Zonefiles, die von manchen Registrys veröffentlicht werden und in denen die unter einer Endung registrierten Domains aufgelistet sind.
• Feeds über Neuregistrierungen.
• Certificate-Transparency-Logs, denn eine Lookalike-Domain, die als Phishing-Seite vorbereitet wird, benötigt in der Regel ein Zertifikat, und diese Anfrage wird sofort öffentlich.

Behandeln Sie eine bösartige Domainregistrierung als Signal. Sie ist noch nicht zwingend eine Bedrohung. Die Erkennung kann bereits innerhalb eines Tages nach der Registrierung oder der Zertifikatsausstellung erfolgen.

Ein Takedown kann ein langsamerer Prozess sein, der davon abhängt, die Absicht festzustellen und zu melden. Prüfen Sie deshalb vor einer Eskalation drei Dinge: Ist die Domain geparkt? Wurden MX-Records konfiguriert, sodass sie E-Mails versenden kann? Werden Live-Inhalte bereitgestellt? Wenn ein Fall zur Eskalation reif ist, geben unsere Beiträge zu defensiver Domainregistrierung und Domain-Schutz einen Überblick über die verfügbaren Wege: UDRP über die WIPO, Takedown über Anbieter oder Registry, oder eine vereinbarte Übernahme.

Wie oft sollten Domains überwacht werden?

Nicht jeder Aspekt des Domain Monitorings erfordert die gleiche Frequenz. Sicherheitsrelevante Einträge müssen häufig überprüft werden: Nameserver, Sperrstatus, DNSSEC-Zustand, Zertifikatsgültigkeit. Über eine Änderung in diesem Bereich wollen Sie innerhalb weniger Minuten informiert werden.

Verlängerungszyklen verlaufen langsam und vorhersehbar. Ein Zeitplan mit Warnmeldungen 90, 60, 30, 7 und 1 Tag vor Ablauf gibt Ihnen eine solide Übersicht. Die automatische Verlängerung macht Domain Monitoring nicht überflüssig. Auto-Renewal kann auf verschiedene Weise scheitern, etwa an einer abgelaufenen Zahlungskarte, einer abgelehnten Abbuchung oder einem Verarbeitungsfehler. Deshalb gehört die Überwachung der Verlängerungen zu jedem Domain-Monitoring-Verfahren.

Signale hoher Dringlichkeit wie eine entfernte Sperre, ein geänderter Nameserver oder ein entfallener DS-Record sollten sofort gemeldet werden, denn das sind genau die Änderungen, die ein Angreifer bei einer Übernahme vornimmt. Schon ein Tag oder einige Stunden Verzögerung können riskant sein.

Domain Monitoring erfüllt Compliance-Anforderungen

Wenn Sie in Europa tätig sind, ist Compliance ein großes Thema, und es betrifft auch das Domain Monitoring.

Die NIS2-Richtlinie erwartet von Ihnen, dass Sie wissen, welche Assets Sie haben, und dass Sie bemerken, wenn etwas nicht stimmt. Ein überwachtes Portfolio hilft bei beidem, und das Änderungsprotokoll, das dabei entsteht, lässt sich laufend deutlich leichter führen als nach einem Vorfall rekonstruieren. Unser NIS2-Informationshub bündelt die domainspezifischen Ressourcen. Die DSGVO wirkt sich auf das Monitoring der Domains aus, die Ihnen nicht gehören. Registrierungsdaten sind nicht mehr öffentlich zugänglich, eine öffentliche Abfrage sagt Ihnen also wenig darüber, wer hinter einer Lookalike-Domain steht, und für mehr kann ein formeller Auskunftsantrag nötig sein.

Überwachen Sie Ihre Domains mit einer professionellen All-in-one-Plattform

Domain Monitoring läuft auf eine Sache hinaus: stille Änderungen in Signale zu verwandeln, auf die Sie reagieren können. Bei den Domains, die Ihnen gehören, bedeutet das, Ablauf, Sperren, DNSSEC, DNS-Einträge und TLS/SSL-Zertifikate zu beobachten. Bei den Domains, die Ihnen nicht gehören, bedeutet es, die Lookalikes zu erkennen, die Sie imitieren, und die Domains, die Sie vielleicht erwerben wollen.

Genau hier rechtfertigt sich eine einzige Plattform. AutoDNS führt ein über mehrere Anbieter verteiltes Portfolio in einem Inventar zusammen, mit verbindlichen Registrardaten, API-Zugriff und White-Label-Verwaltung auf EU-Infrastruktur. Schauen Sie sich das an, oder sprechen Sie mit einem Partnermanager von InterNetX darüber, wie Ihre Domains in einer einheitlichen Übersicht aussehen würden.

Überwachen Sie Ihre Domains in AutoDNS

Häufige Fragen