Domain Monitoring: Beobachten Sie, was Sie besitzen und was nicht

Domain Monitoring gehört zu den Bereichen, von denen jedes Unternehmen annimmt, sie längst im Griff zu haben. Bis eine Domain beinahe abläuft oder ein Nameserver geändert wird und es niemandem auffällt.

Die meisten Leitfäden zum Thema vertreten eine bestimmte Sichtweise. Anbieter für Markenschutzlösungen behaupten, Domain Monitoring bedeute, nach ähnlichen Domains zu suchen. Uptime-Tools behaupten, es gehe darum, das Ablaufdatum zu überprüfen. Beide haben zur Hälfte recht, aber keiner von beiden hilft einem Team, das Hunderte von Domains verwaltet.

Das Gesamtbild ist umfassender und leichter zu merken: Domain Monitoring behält zwei Gruppen von Domains im Blick, diejenigen, die Ihnen gehören, und diejenigen, die Ihnen nicht gehören. Dieser Leitfaden liefert Ihnen ein praxistaugliches Modell: welche Domain-Signale Sie beobachten sollten, wie oft Sie sie überprüfen sollten, wer welche Meldung erhält und was zu tun ist, sobald eine davon ausgelöst wird.

Was ist Domain Monitoring? Die zwei Hälften erklärt

Domain Monitoring ist die kontinuierliche Beobachtung zweier Gruppen von Domains, diejenigen, die Ihnen gehören, und diejenigen, die Ihnen nicht gehören, auf Änderungen, die sich auf die Verfügbarkeit, die Sicherheit oder Ihre Marke auswirken.

Die erste Hälfte befasst sich mit Ihrem eigenen Domain-Portfolio. Hier liegt das operative Risiko. Sie verfolgen das bei der Registry hinterlegte Ablaufdatum, den Sperrstatus, den DNSSEC-Status, die Nameserver und weitere DNS-Einträge, den Ablauf der TLS/SSL-Zertifikate sowie jegliche Änderung an Registrar oder Domaininhaber.

Eine einzige Änderung an einem dieser Punkte kann Ihre Website, Ihre E-Mail und Ihre Zertifikate gleichzeitig lahmlegen.

Die zweite Hälfte beobachtet Domains außerhalb Ihrer Kontrolle. Für die meisten Unternehmen bedeutet das neue Registrierungen, die die eigene Marke imitieren: exakte Übereinstimmungen mit anderen Endungen, falsche Schreibweisen und visuell ähnliche Domains. Domain-Investoren verfolgen dieselbe Hälfte mit umgekehrter Absicht und beobachten Domains, die sie erwerben wollen, sobald der aktuelle Inhaber nicht mehr verlängert.

Domain Monitoring im Vergleich: Uptime, Markenschutz und Backorder

Drei benachbarte Bereiche werden mit Domain Monitoring verwechselt. Keiner davon ersetzt es, der Unterschied liegt jeweils im Zeitpunkt.

1. Uptime Monitoring meldet den Ausfall, Domain Monitoring verhindert ihn

Uptime Monitoring ist ein nachlaufendes Signal. Es schlägt erst an, wenn Ihre Besucher und Kunden bereits betroffen sind.

Domain Monitoring erfasst die Ursache, während noch alles in Ordnung aussieht. Nehmen wir als Beispiel eine Änderung der Nameserver Ihrer primären Domain. Domain Monitoring erkennt sie sofort, während die Domain noch korrekt funktioniert. So können Sie überprüfen, ob die Änderung autorisiert war, und sie rückgängig machen, bevor die Übertragung abgeschlossen ist.

Ein Uptime-Tool sieht nichts, bis die neuen Nameserver greifen und der Traffic nicht mehr geroutet wird, vielleicht eine Woche später. Dann ist die Meldung ein Bericht und keine Warnung mehr.

Beides gehört zu einem soliden Ansatz, denn sie beantworten unterschiedliche Fragen. Uptime beantwortet “Funktioniert es gerade?” Domain Monitoring beantwortet “Gibt es Veränderungen, die dazu führen könnten, dass es bald nicht mehr funktioniert?”

2. Markenschutz setzt um, was Domain Monitoring erkennt

Die Überschneidung beider Bereiche ist real. Domains zu erkennen, die Ihre Marke imitieren, ist Teil des Domain Monitorings, und Anbieter für Markenschutzlösungen leisten genau das im Web-Maßstab.

Die Lücke besteht in allem anderen. Diese Anbieter beobachten den Namespace von außen und erkennen selten die operativen Signale innerhalb Ihres eigenen Domain-Portfolios, sodass Ihnen eine ablaufende Domain, eine entfernte Transfersperre oder eine gebrochene DNSSEC-Kette entgehen.

Markenschutz geht zudem über das reine Monitoring hinaus. Sobald eine Lookalike-Domain bestätigt ist, verlagert sich die Reaktion auf Streitverfahren, Takedowns und Blockings, jeweils mit eigenem Prozess. Unsere Beiträge zu defensiver Domainregistrierung und Domain-Blocking-Services behandeln UDRP, die Trademark Clearinghouse und Namespace-weites Blocking, daher verweisen wir dorthin, statt es hier zu wiederholen.

Kurz gesagt: Domain Monitoring erkennt, Markenschutz setzt durch.

3. Eine Backorder handelt auf Basis dessen, was Domain Monitoring findet

Monitoring, Backordering und Drop Catching stehen in einer Reihenfolge, nicht in Konkurrenz.

Domain Monitoring ist das erste Signal. Es beobachtet den Lifecycle einer Domain und meldet, dass sie bald abläuft. Eine Backorder ist ein hinterlegter Auftrag, diese Domain zu registrieren, sobald sie verfügbar ist. Drop Catching ist der zeitkritische Wettlauf, die Domain in dem Moment zu registrieren, in dem die Registry sie löscht. Dann wird sie für alle verfügbar, und unter Umständen warten mehrere Interessenten auf genau diesen Zeitpunkt.

Sie überwachen zuerst und entscheiden dann, ob Sie eine Backorder platzieren oder einen Catch versuchen.

Zuerst die Bestandsaufnahme der Domains: Sie können keine Domains überwachen, die Sie besitzen und vergessen haben

Bevor Sie eine einzige Warnmeldung aktivieren, müssen Sie wissen, was Sie besitzen. Die meisten Anleitungen überspringen diesen Schritt, und genau hier scheitern Domain Monitoring-Programme.

Der blinde Fleck ist fast immer derselbe. Das Marketing kauft eine Kampagnen-Domain über die Firmenkarte. Eine Regionalniederlassung registriert eine ccTLD über einen lokalen Anbieter. Jemand, der vor zwei Jahren das Unternehmen verlassen hat, hat eine Domain über ein privates Konto angelegt, auf das niemand Zugriff hat.

Keine dieser Domains erscheint in Ihrer Hauptportfolioansicht. Domain Monitoring deckt nur die Domains ab, an deren Hinzufügen Sie gedacht haben.

Der erste Schritt ist also die Bestandsaufnahme. Exportieren Sie die vollständige Liste von jedem Anbieter, den Sie nutzen. Gleichen Sie diese mit Ihren DNS-Zonen und den Certificate-Transparency-Logs ab, den öffentlichen, nur-zum-Hinzufügen-bestimmten Aufzeichnungen aller öffentlich vertrauenswürdigen, ausgestellten TLS/SSL-Zertifikate. Markieren Sie dann alles, was auf Ihre IP-Bereiche verweist, aber in Ihrer Liste fehlt. Denn das ist mit ziemlicher Sicherheit eine Domain, die Ihnen gehört und die Sie vergessen haben.

Welche Domain-Signale Sie im eigenen Domain-Portfolio überwachen sollten

Dies ist die Kernreferenz für die erste Hälfte: die Domains, die Sie besitzen. Jedes Signal liefert Ihnen konkrete Informationen, sobald sich etwas ändert.

• Ablauf und Verlängerung: Achten Sie auf das bei der Registry hinterlegte Ablaufdatum und nicht nur auf die Erinnerungsmail Ihres Anbieters. Beachten Sie auch die Redemption- und Pending-Delete-Phasen. Eine abgelaufene Domain verschwindet nicht einfach am Ablaufdatum. Sie durchläuft festgelegte Phasen, wobei mit jeder Phase die Chance sinkt, sie zurückzubekommen. Im Abschnitt zum Domain-Lifecycle in unserem Leitfaden zum Domain-Management werden diese Phasen erläutert.
• Änderungen an Registraren und Registranten: Registrierungsdaten werden inzwischen hauptsächlich in RDAP (Registration Data Access Protocol) gespeichert. ICANN hat RDAP am 28. Januar 2025 zur verbindlichen Quelle für gTLD-Registrierungsdaten gemacht, als WHOIS eingestellt wurde. RDAP unterstützt abgestufte Zugriffsrechte, öffentliche Abfragen liefern also einen reduzierten Datensatz. Diese Einschränkung wirkt sich stärker auf die zweite Hälfte aus als auf die erste. Bei einer Domain, die Ihnen gehört, ist eine Änderung an Registrant oder Registrar ein Signal, das es sofort zu erkennen gilt. Wenn Sie WHOIS- und RDAP-Privacy aktiviert haben, muss der zugrunde liegende Datensatz dennoch korrekt sein und überwacht werden.
• EPP-Statuscodes und Sperren: EPP-Statuscodes sind die maschinenlesbaren Kennzeichen, die die Registry für jede Domain verwaltet. ICANN pflegt die vollständige Referenz. Sicherheitsrelevant sind dabei die Sperren. clientTransferProhibited und serverTransferProhibited blockieren Übertragungen, während die Update-Prohibited-Codes Änderungen an Nameservern und Kontaktdaten verhindern. Verschwindet einer dieser Codes, hat jemand eine Schutzmaßnahme aufgehoben, und das gehört in Ihre höchste Schweregradstufe. Für geschäftskritische Domains bietet Registry Lock das entsprechende Äquivalent auf Registry-Ebene. Dies gilt auch dann, wenn Ihr Anbieterkonto kompromittiert wurde.
• DNSSEC-Status: DNSSEC signiert Ihre DNS-Records, damit Resolver überprüfen können, ob sie nicht verändert wurden. Dies hängt von einem bei der Registry veröffentlichten DS-Record ab. Wird dieser Record gelöscht oder ungültig, kann die Auflösung für validierende Resolver vollständig fehlschlagen. Das kann auch auf Manipulation hindeuten.
• DNS-Records: Überwachen Sie Nameserver, A- und AAAA-Records, MX-Records für das Mail-Routing sowie die TXT-Records, die Ihre SPF-, DKIM- und DMARC-Richtlinien enthalten. Achten Sie auch auf CNAME-Records, besonders auf verwaiste CNAME-Records. Ein CNAME, der noch auf eine abgeschaltete Cloud-Ressource zeigt, kann von einem Angreifer übernommen werden, eine Technik, die als Subdomain-Takeover bekannt ist. Unser Leitfaden zu DNS-Records behandelt diese einzelnen Typen.
• TLS/SSL-Zertifikatssignale: Das Zertifikats-Monitoring ist schwieriger geworden. Mit dem im April 2025 genehmigten Beschluss Ballot SC-081v3 des CA/Browser Forum sinkt die maximale Laufzeit öffentlich vertrauenswürdiger TLS/SSL-Zertifikate von 398 Tagen auf 47 Tage bis März 2029. Die erste Kürzung auf 200 Tage gilt seit März 2026. Jährliche Verlängerungsabläufe sind nicht mehr zeitgemäß. Jedes Zertifikat, das Sie nicht inventarisiert haben, läuft nun deutlich früher ab als bisher, und zwar ohne Vorwarnung.
• Behalten Sie neben dem Ablauf auch die Certificate-Transparency-Logs auf Zertifikate im Auge, die für Ihre Domains ausgestellt werden. Ein Zertifikat, das Sie nicht beantragt haben, ist ein frühes Anzeichen für eine fehlerhafte Ausstellung oder dafür, dass jemand eine überzeugende Lookalike-Domain vorbereitet.

Wie Sie Domains überwachen, die Sie nicht besitzen

Die zweite Hälfte wendet dieselbe Vorgehensweise an, diesmal nach außen gerichtet.

Die Imitation nimmt einige wiedererkennbare Formen an: exakte Übereinstimmungen Ihrer Marke unter anderen Endungen, Typosquats, also die Domain, die ein eiliger Besucher versehentlich eintippt, und Homoglyphen, bei denen ein Zeichen durch ein optisch identisches aus einer anderen Schrift ersetzt wird. Jede ist eine Variation desselben Themas: eine Domain, die auf den ersten Blick wie Ihre aussieht.

Die Erkennung stützt sich auf drei Quellen:

• Zonefiles, die von manchen Registrys veröffentlicht werden und in denen die unter einer Endung registrierten Domains aufgelistet sind.
• Feeds über Neuregistrierungen.
• Auch hier kommen die Certificate-Transparency-Logs ins Spiel, denn eine Lookalike-Domain, die als Phishing-Seite vorbereitet wird, benötigt in der Regel ein Zertifikat, und diese Anfrage wird sofort öffentlich.

Hier liegt der entscheidende Unterschied zwischen einer sinnvollen und einer übertriebenen Vorgehensweise: Eine Registrierung ist ein Signal, noch keine Bedrohung.

Die Erkennung kann bereits innerhalb eines Tages nach der Registrierung oder der Zertifikatsausstellung erfolgen. Ein Takedown ist ein langsamerer, separater Prozess, bei dem zunächst die Absicht festgestellt werden muss.

Prüfen Sie deshalb schon vor einer Eskalation drei Dinge. Ist die Domain geparkt? Wurden MX-Records konfiguriert, sodass sie E-Mails versenden kann? Werden Live-Inhalte bereitgestellt?

Ein inaktiver Schreibfehler verlangt nicht dieselbe Reaktion wie eine Domain, die eine Kopie Ihrer Anmeldeseite hostet. Eine überwachte Lookalike-Domain, die plötzlich MX-Records hinzufügt, hat ihre Kategorie gewechselt, und genau dieser Wechsel ist das entscheidende Alarmsignal.

Wenn ein Fall zur Eskalation reif ist, beschreiben unsere Beiträge zu defensiver Domainregistrierung und Domain-Schutz einen Überblick über die verfügbaren Vorgehensweisen: UDRP über die WIPO, Takedown über Anbieter oder Registry, oder eine vereinbarte Übernahme.

Wie oft sollten Domains überwacht werden?

Passen Sie die Prüffrequenz an das jeweilige Risiko der einzelnen Signale an. Nicht alles erfordert die gleiche Prüffrequenz.

Sicherheitsrelevante Einträge müssen regelmäßig überprüft werden: Nameserver, Sperrstatus, DNSSEC-Zustand, Zertifikatsgültigkeit. Über Änderungen in diesem Bereich wollen Sie innerhalb weniger Minuten informiert werden.

Anders verhält es sich mit dem Ablauf der Domain. Dieser verläuft langsam und vorhersehbar, sodass eine tägliche Überprüfung ausreicht, mit Warnmeldungen nach einem festen Zeitplan. Ein praktikabler Standard sind 90, 60, 30, 7 und 1 Tag vor Ablauf, plus eine weitere Warnmeldung, wenn die Domain in die Redemption-Phase eintritt. Das ist keine Norm, sondern ein Zeitplan, der Ihnen mehrere Gelegenheiten zum Handeln und ein letztes Sicherheitsnetz gibt. Passen Sie ihn an Ihren Verlängerungszyklus an.

Signale hoher Dringlichkeit sollten niemals auf einen täglichen Überblick warten. Eine entfernte Sperre, ein geänderter Nameserver oder ein entfallener DS-Record sind genau die Änderungen, die ein Angreifer bei einer Übernahme vornimmt. Ein Tag Verzögerung kann den Unterschied machen zwischen dem Zurücknehmen einer Änderung und dem Verlust der Domain. Es gibt zudem ein Datenqualitätsargument, das für Feeds von Registraren gegenüber dem Abgreifen öffentlicher Endpunkte spricht. Öffentliche RDAP- und WHOIS-Dienste setzen Ratenbegrenzungen und liefern häufig zwischengespeicherte Daten. Wenn Sie diese für tausend Domains abfragen, hinkt Ihre Sicht auf das Portfolio der Realität hinterher.

Domain Monitoring im großen Maßstab: zwei schwierigere Fälle

1. Wenn ein Domain-Portfolio auf mehrere Anbieter verteilt ist

Viele Unternehmensportfolios sind bei mehr als einem Anbieter untergebracht, oft als Folge von Zukäufen oder Kampagnen. Domain Monitoring wird schwieriger, sobald das der Fall ist.

Jeder Anbieter zeigt Ihnen seine eigenen Domains, mit eigener Alarmlogik und eigener Vorstellung davon, was eine Erinnerungsmeldung ist. Es gibt kein gemeinsames Inventar, kein gemeinsames Schweregradmodell und keinen gemeinsamen Audit-Trail. Am Ende müssen Sie die Dashboards manuell abgleichen.

Die Lösung ist eine einzige Monitoring-Ebene, die alle Anbieter umfasst: ein Inventar, ein Alarmmodell, ein Audit-Trail. Im Portfolio-Maßstab macht eine API daraus Automatisierung statt manuelle Arbeit, indem sie den Domainstatus in eine CMDB und kritische Signale in SIEM- und SOC-Tools einspeist.

Die Grenzen sollte man sich ehrlich eingestehen. Kein einzelnes Tool ist in beiden Bereichen gleich gut. Viele Unternehmen kombinieren deshalb eine Registrar-basierte Plattform für die eigenen Domains mit einem spezialisierten Markenschutz-Dienst für die Domains, die ihnen nicht gehören.

2. Domain Monitoring für Reseller und MSPs

Reseller, Agenturen und Managed Service Provider tragen die Verantwortung für Domains, die ihnen nicht gehören, in der Regel unter einem SLA. Läuft die Domain eines Kunden ab oder ändert sich unbemerkt ein Nameserver, wird das zu deren Vorfall und deren Abwanderungsrisiko.

Zusätzlich zu dem oben beschriebenen Modell braucht diese Gruppe eine übersichtliche, klar getrennte Multi-Client-Transparenz, White-Label-Benachrichtigungen mit eigenem Branding, Bulk-Vorgänge über viele Domains hinweg und eine Eskalationsfunktion, die sich in ihren bestehenden Ticketing-Workflow einbinden lässt.

Richtig umgesetzt, ist das Domain Monitoring keine interne lästige Pflicht mehr, sondern wird zu einer wiederkehrenden Dienstleistung, die neben Registrierung und DNS angeboten wird.

Beide Fälle verweisen auf dieselbe Anforderung, und genau dafür wurde AutoDNS gebaut: eine von Registraren bereitgestellte Plattform, die Domains in einem einzigen Bestand mit API-Zugriff und White-Label-Verwaltung auf einer in der EU ansässigen Infrastruktur zusammenführt.

Domain Monitoring, NIS2 und DSGVO

Für Unternehmen mit Sitz in Europa verändert der regulatorische Rahmen, wie Domain Monitoring intern gestaltet wird.

Die NIS2-Richtlinie erhöht die Anforderungen an Asset-Inventarisierung und Angriffserkennung und zählt DNS-Dienste und Domainregistrierungsdienste zu den betroffenen Einrichtungen. Ein überwachtes Portfolio trägt zu beidem bei: Ihr Inventar speist das Asset-Register, Ihr Monitoring die Erkennungsfähigkeit. Es handelt sich nicht um ein Compliance-Produkt, sondern um nachweisbare Sorgfaltspflicht. Die ENISA deckt die technischen Maßnahmen ab, und unser NIS2-Informationshub bündelt die domainspezifischen Ressourcen.

Audit-Trails konkretisieren das. Domain Monitoring erzeugt ein Änderungsprotokoll, das festhält, was sich wann geändert hat und wer es bestätigt hat. Das lässt sich kontinuierlich deutlich leichter erzeugen, als nach einem Vorfall zu rekonstruieren.

Die DSGVO prägt die zweite Hälfte. Der Zugriff auf Registrierungsdaten ist eingeschränkt, und das abgestufte Modell von RDAP begrenzt, was eine öffentliche Abfrage über den Registranten einer Lookalike-Domain offenlegt. Planen Sie Ihre Vorgehensweise deshalb unter der Annahme, dass für einige Daten ein formeller Auskunftsantrag erforderlich sein wird. Es lohnt sich, bei jedem Anbieter zu klären, wo Ihre eigenen Monitoring-Daten verarbeitet und gespeichert werden.

Beginnen Sie Ihr Domain Monitoring mit dem, was Sie besitzen

Domain Monitoring macht sich bezahlt, indem es stille Änderungen in Signale umwandelt, auf die Sie reagieren können. Der Ablauf zählt mehr als das eingesetzte Tool.

Bauen Sie das Domain-Inventar auf, konsolidieren Sie, was möglich ist, ordnen Sie jedem Signal eine Dringlichkeitsstufe und einen namentlich genannten Verantwortlichen zu. Schreiben Sie das Runbook, bevor die erste Warnmeldung eintrifft. Die zweite Hälfte des Domain Monitorings, die Lookalikes und die Zukäufe, setzt auf diesem Fundament auf, statt es zu ersetzen.

Wenn Ihr Domain-Portfolio derzeit über mehrere Anbieter verteilt ist, ist die Konsolidierung der wirksamste Startpunkt. Erfahren Sie, wie AutoDNS ein fragmentiertes Domain-Portfolio in einem Inventar zusammenführt, mit API-Zugriff auf EU-Infrastruktur, oder sprechen Sie mit einem Partnermanager von InterNetX darüber, wie Ihre Domains in einer einheitlichen Übersicht aussehen würden.

Überwachen Sie Ihre Domains in AutoDNS

Häufige Fragen