Registry-Lock: Sicherheit auf Registry-Ebene zum Schutz Ihrer Domains

Registry-Lock ist der stärkste verfügbare Schutz für Ihre Domains, direkt auf Registry-Ebene angewendet und nicht innerhalb Ihres Registrar-Accounts. Dieser Leitfaden erklärt, wie er funktioniert, wie er sich von einem Registrar- oder Transfer-Lock unterscheidet, welche Domains ihn benötigen und wann der zusätzliche Aufwand gerechtfertigt ist.

Ein Domain-Hijacking kündigt sich selten an und genau deshalb gibt es den Registry-Lock. In einem Moment leitet Ihre primäre Domain auf Ihre Website weiter, sorgt für die Weiterleitung Ihrer Unternehmens-E-Mails und verankert die TLS/SSL-Zertifikate, denen Ihre Kund:innen vertrauen. Im nächsten Moment hat ein Angreifer, der sich durch Phishing-Zugang zu einem einzigen Satz von Registrar-Zugangsdaten verschafft hat, all das umgeleitet. 

Ein Registry-Lock ist die stärkste auf Registry-Ebene verfügbare Sicherheitsmaßnahme für geschäftskritische Domains und bleibt im Gegensatz zu den Account-Level-Schutzmaßnahmen, auf die die meisten Unternehmen vertrauen auch dann wirksam, wenn Ihre Registrar-Login bereits kompromittiert wurde.

Dieser Leitfaden erklärt, was ein Registry-Lock ist, wie er über serverseitige EPP-Statuscodes funktioniert, wie er sich von einem Registrar- oder Transfer-Lock unterscheidet und wie er in eine mehrschichtige Domain-Sicherheitsstrategie passt. Wo die Implementierung relevant ist, beschreiben wir, wie wir das bei InterNetX handhaben.

Die wichtigsten Erkenntnisse

• Ein Registry-Lock ist eine Sicherheitsmaßnahme, die direkt auf Registry-Ebene, beim Betreiber der TLD, angewendet wird und jede Änderung an einer Domain blockiert, bis die Anfrage manuell über einen Out-of-Band-Kanal verifiziert wurde.
• Da er oberhalb Ihres Registrars angesiedelt ist, bleibt er bestehen, selbst wenn Ihre Registrar-Account-Zugangsdaten gestohlen wurden.
• Er verhindert unautorisierte Nameserver-Änderungen, Transfers, Kontaktdaten-Änderungen und die Löschung der Domain.
• Er wird mithilfe serverseitiger EPP-Statuscodes eingerichtet, die nur die Registry entfernen kann – nicht der Registrar.
• Er ist bewusst für die wenigen geschäftskritischen Domains gedacht – nicht für Ihr gesamtes Portfolio.

Was ein Registry-Lock tatsächlich ist

Ein Registry-Lock ist eine Sicherheitsmaßnahme, die direkt bei der Registry angewendet wird – der Organisation, die eine Top-Level-Domain betreibt. Er blockiert jede Änderung an einer Domain, bis die Anfrage manuell über einen separaten Out-of-Band-Kanal verifiziert wurde.

Um zu verstehen, warum das relevant ist, hilft es, die drei Parteien in der Domain-Kette genau zu betrachten:

• Der Registrant sind Sie – die Organisation oder Person, die die Rechte an der Domain hält.
• Der Registrar ist das akkreditierte Unternehmen, über das Sie die Domain registrieren und verwalten. Hier loggen Sie sich ein, bearbeiten Nameserver und initiieren Transfers.
• Die Registry ist der Betreiber der TLD selbst. Verisign betreibt .com und .net, nic.at betreibt .at und andere Registrys betreiben .de, .org und alle anderen TLDs.

Die meisten Sicherheitsmaßnahmen, die Sie kennen, sind auf Registrar-Ebene angesiedelt innerhalb Ihres Accounts: Passwörter, Multi-Faktor-Authentifizierung und der standardmäßige Registrar-Lock. Ein Registry-Lock befindet sich eine Ebene höher, bei der Registry. In dieser Positionierung liegt der gesamte Sicherheitsvorteil: Da der Lock oberhalb des Registrars sitzt, hält er stand, selbst wenn jemand in Ihren Registrar-Account eingedrungen ist.

Konkret verhindert ein Registry-Lock unautorisierte Nameserver- und DNS-Delegationsänderungen, Transfers zu einem anderen Registrar, Änderungen an Registranten- oder Kontaktdaten sowie die Löschung der Domain. Es kann nichts geändert werden, bis eine vorab festgelegte, autorisierte Person die Änderung über einen manuellen Prozess außerhalb des normalen automatisierten Workflows bestätigt.

Ein Registry-Lock ist keine Standardmaßnahme, die Sie für jede Domain aktivieren. Er ist eine bewusste, höherwertige Sicherheitsmaßnahme für die wenigen Domains, die ein Unternehmen sich nicht leisten kann zu verlieren.

Wenn der Account-Level-Schutz nicht ausreicht

Der Wert eines Registry-Locks wird offensichtlich, sobald man sich anschaut, wie moderne Domain-Hijackings tatsächlich ablaufen.

Eine Lehre aus der cow.fi-Domain

Das Hijacking der cow.fi-Domain im Jahr 2026 folgte einem Muster, das jeden beunruhigen sollte, der für eine primäre Domain verantwortlich ist. Die Angreifer haben weder die Kryptografie überwunden noch in die Systeme der Registry eingebrochen. Sie nutzten Social-Engineering und gefälschte Ausweisdokumente, um eine unautorisierte Änderung im Registrierungsprozess der Domain durchzusetzen. Anschließend leiteten sie die Domain für mehrere Stunden auf eine täuschend echte Phishing-Site um und entzogen Nutzer:innen, die glaubten, sich auf der legitimen Seite zu befinden, rund 1,2 Millionen US-Dollar. Die eigene Anwendung und das Backend der Plattform wurden dabei nie angetastet. Die Domain war der einzige Schwachpunkt und sobald die Kontrolle über sie wechselte, folgte alles Nachgelagerte mit. Im Nachgang sicherte der Betreiber die Domain mit einem Registry-Lock.

Die geschäftlichen Auswirkungen des Verlusts einer primären Domain sind der Grund, warum dieses Thema vor den Vorstand gehört. Der Verlust der Kontrolle über eine einzige Domain kann gleichzeitig Ihre Website zum Erliegen bringen, Ihre Unternehmens-E-Mails umleiten, die TLS-Vertrauenskette unterbrechen, die Kundenverbindungen absichert und Ihre Marke in die Hände desjenigen legen, der nun das DNS kontrolliert. Kundendaten können abgefangen werden, Zahlungsströme können umgeleitet werden und die Wiederherstellung ist – wie jeder weiß, der sie erlebt hat – langwierig und öffentlichkeitswirksam. Unser Leitfaden zu Domain-Hijacking und was zu tun ist, wenn es passiert, zeigt im Detail, wie schwierig es ist, eine gestohlene Domain zurückzuerlangen.

Und das ist kein seltenes, vereinzeltes Risiko. Der aktuellste IDC Global DNS Threat Report stellte fest, dass rund 90 % der Unternehmen bereits einen DNS-Angriff erlebt hatten – mit durchschnittlichen Kosten von rund 1,1 Millionen US-Dollar pro Vorfall. Die Bedrohung ist systemisch und der Grund, warum so viele dieser Angriffe erfolgreich sind, liegt darin, dass sie genau die Lücke ausnutzen, die die Account-Level-Sicherheit nicht schließen kann. Die Maßnahme, die diese Lücke schließt, ist die Out-of-Band-Verifizierung bei der Registry – genau das, was ein Registry-Lock bietet.

Wie funktioniert ein Registry-Lock?

Um die Funktionsweise  zu verstehen, müssen Sie ein wenig darüber wissen, wie Registrare und Registrys miteinander kommunizieren.

Sie kommunizieren über EPP, das Extensible Provisioning Protocol. EPP ist die standardisierte Sprache – definiert in IETF RFC 5731 für Domain-Name-Mapping – die ein Registrar verwendet, um einer Registry mitzuteilen, dass eine Domain registriert, aktualisiert, transferiert oder gelöscht werden soll. Wenn Sie Ihre Nameserver in Ihrem Kontrollpanel ändern, übersetzt Ihr Registrar diese Aktion in einen EPP-Befehl und sendet ihn an die Registry. Die Registry prüft die Statuscodes der Domain und führt den Befehl entweder aus oder lehnt ihn ab.

Diese Statuscodes sind der Schlüssel. EPP-Statuscodes gibt es in zwei Gruppen und der Unterschied zwischen ihnen ist der Unterschied zwischen einem Registrar-Lock und einem Registry-Lock.

Clientseitige Codes werden vom Registrar gesetzt und entfernt. Die gängigsten sind:

• clientTransferProhibited: blockiert Transfers zu einem anderen Registrar
• clientUpdateProhibited: blockiert Aktualisierungen von Domain-Daten
• clientDeleteProhibited: blockiert die Löschung der Domain

Da der Registrar diese Codes kontrolliert, kann er sie automatisch hinzufügen oder entfernen, oft ohne menschliches Eingreifen. Das ist zwar praktisch, aber genau deshalb können sie einen Angreifer nicht aufhalten, der bereits in Ihren Registrar-Account eingedrungen ist.

Serverseitige Codes werden auf Anfrage der Registry gesetzt und können – was entscheidend ist – nur von der Registry entfernt werden. Ein Registry-Lock wendet diese drei an:

• serverUpdateProhibited: keine Aktualisierungen von Nameservern, DNS-Delegierung oder Domain-Daten
• serverTransferProhibited: kein Transfer zu einem anderen Registrar
• serverDeleteProhibited: keine Löschung der Domain

Ihr Registrar kann diese Codes nicht eigenständig aufheben. Er wird sie nicht aufheben, nur weil sich ein Angreifer angemeldet und darum gebeten hat. Nur die Registry kann das und nur nach dem Out-of-Band-Verifizierungsschritt.

Der Verifizierungsschritt ist der Ort, an dem die Sicherheit liegt. Wenn eine legitime Änderung erforderlich ist, durchläuft die Anfrage nicht einfach durch die automatisierte EPP-Pipeline. Stattdessen löst sie einen manuellen Authentifizierungsprozess aus. Die Registry oder der Registrar, der im Rahmen des Autorisierungsverfahrens der Registry handelt, kontaktiert eine vorab benannte autorisierte Person über einen separaten Kanal. Diese Kontaktaufnahme wird per Rückruf, Passphrase oder einer anderen vereinbarten Methode bestätigt, bevor der Lock vorübergehend aufgehoben wird, damit die Änderung vorgenommen werden kann. Sobald die Änderung abgeschlossen ist, wird der Lock wieder aktiviert.

Es gibt keinen automatisierten, zugangsdatenbasierten Weg, eine von der Registry gesperrte Domain zu ändern. Gestohlene Zugangsdaten allein bringen einen Angreifer nicht weiter, da die letzte Hürde eine menschliche Bestätigung über einen Kanal ist, den der Angreifer nicht kontrolliert.

Unterschiede zwischen Registry-Lock, Registrar-Lock und Transfer-Lock

Da sich die Begriffe überschneiden, lassen sich diese Kontrollmaßnahmen leicht verwechseln, weshalb es sich lohnt, die Unterschiede klar herauszuarbeiten.

Ein Registrar-Lock ist der allgemeine Begriff für die clientseitigen Statuscodes, die ein Registrar auf Ihrer Domain setzen kann, um unerwünschte oder versehentliche Änderungen zu verhindern. Ein Transfer-Lock ist der bekannteste davon – er entspricht dem Status clientTransferProhibited und blockiert konkret den Transfer einer Domain zu einem anderen Registrar. Beide werden auf Registrar-Ebene innerhalb Ihres Accounts angewendet und können standardmäßig und ohne zusätzliche Kosten vom Registrar gesetzt und aufgehoben werden. Sie sind nützlich und sollten immer aktiviert sein. Aber sie sind Account-Level-Schutzmaßnahmen und vom Registrar umkehrbar – das bedeutet, dass sie von jedem rückgängig gemacht werden können, der den Account kontrolliert.

Ein Registry-Lock wird auf Registry-Ebene mithilfe serverseitiger Codes angewendet, die nur die Registry entfernen kann und nur nach manueller Out-of-Band-Verifizierung. Das ist der entscheidende Unterschied. Registrar- und Transfer-Locks sind automatisiert und an das Account gebunden. Ein Registry-Lock führt einen bewussten menschlichen Kontrollpunkt ein, den keine Zugangsdaten umgehen können.

	Registrar- / Transfer-Lock	Registry-Lock
Wo er angewendet wird	Beim Registrar, innerhalb Ihres Accounts	Bei der Registry, oberhalb des Registrars
Wer ihn entfernen kann	Der Registrar, oft automatisch	Nur die Registry, nach manueller Verifizierung
Verifizierung für Änderungen	Keine über den Account-Zugang hinaus	Out-of-Band-Bestätigung durch eine benannte Ansprechperson
EPP-Statuscodes	clientTransferProhibited, clientUpdateProhibited, clientDeleteProhibited	serverTransferProhibited, serverUpdateProhibited, serverDeleteProhibited
Sperrung bei kompromittiertem Account	Nein	Ja
Am besten geeignet für	Jede Domain als Grundlage	Geschäftskritische Domains

Die praktische Schlussfolgerung: Diese Maßnahmen sind Schichten, keine Alternativen. Halten Sie Registrar- und Transfer-Lock für jede Domain aktiv. Fügen Sie zusätzlich den Registry-Lock für die Domains hinzu, deren Verlust Sie sich nicht leisten können. Der Registrar-Lock ist Ihre grundlegende Sicherheitsmaßnahme und der Registry-Lock ist Ihre letzte Verteidigungslinie, wenn alles andere bereits umgangen wurde.

DNSSEC vs. Registry-Lock

DNSSEC gehört als Kontext in diese Diskussion, ist aber keine gleichwertige Maßnahme. DNSSEC verwendet kryptographische Signaturen, um zu gewährleisten, dass DNS-Antworten während der Übertragung nicht manipuliert wurden, und schützt so die Integrität der Auflösung. Es verhindert nicht, dass jemand die Einträge Ihrer Domain bei der Registry unbefugt ändert. Nur der Registry-Lock stoppt unautorisierte Änderungen. DNSSEC schützt die Authentizität der Einträge, sobald sie gesetzt sind. Beide lösen unterschiedliche Probleme und gehören zusammen – nicht eines statt des anderen. Unser ausführlicher Beitrag zu DNS-Spoofing und wie man es verhindert erklärt, welche Rolle DNSSEC in diesem Zusammenhang spielt.

Was ein Registry-Lock schützt und was nicht

Es ist wichtig, realistische Erwartungen zu setzen, denn ein Registry-Lock ist innerhalb einer definierten Grenze wirksam und ein Missverständnis dieser Grenze führt zu einem falschen Sicherheitsgefühl.

Ein Registry-Lock schützt vor:

• Unautorisierten Änderungen an Nameservern und DNS-Delegierungen bei der Registry
• Ungewollten Transfers zu einem anderen Registrar
• Manipulation von Registranten- oder Kontaktdaten
• Versehentlicher oder böswilliger Löschung der Domain
• Social-Engineering-gesteuerten Änderungen, da die Out-of-Band-Verifizierung Anfragen abfängt, die sonst allein auf Basis gestohlener Zugangsdaten durchkommen würden

Ein Registry-Lock schützt nicht vor:

• Kompromittierungen innerhalb Ihrer eigenen DNS-Zone, sobald die Auflösung an Ihren Hosting- oder DNS-Anbieter delegiert wurde. Der Lock schützt den Delegierungs-Eintrag bei der Registry, nicht die einzelnen Einträge, die Sie innerhalb der Zone verwalten.
• Abgelaufenen Domains, weil sie nicht verlängert wurden. Ein Lock bezahlt keine Rechnung.
• Fehlerhafter Ausstellung von TLS/SSL-Zertifikaten, Phishing über Lookalike-Domains oder Angriffen auf Anwendungsebene auf Ihren Servern.

Die Grenze, die Sie sich verinnerlichen sollten, ist die Linie zwischen dem Registry-Level-Eintrag und der DNS-Zone, die Ihr Anbieter hostet. Die Registry weiß, welche Nameserver für Ihre Domain autoritativ sind und genau diese Delegierung schützt ein Registry-Lock. Die eigentlichen A/AAAA-, MX-, TXT- und anderen DNS-Einträge, die den Datenverkehr steuern, liegen in der Zone, die Ihr DNS-Anbieter verwaltet – und diese werden durch die Sicherheit dieses Accounts und dieser Plattform geregelt. Wenn Sie genau verstehen möchten, was sich wo befindet, bildet unser Referenzartikel zu den DNS-Einträgen hinter Domains das im Detail ab.

Welche Domains verdienen einen Registry-Lock? 

Nicht jede Domain benötigt dieses Schutzniveau und eine pauschale Sperrung würde unnötigen operativen Aufwand erzeugen. Der richtige Ansatz ist eine Triage.

Prüfen Sie jede Domain anhand einer kurzen Checkliste. Ist die Domain mit einem der folgenden Punkte verknüpft?

1. Umsatz, direkt oder über eine transaktionale Funktion oder einen Storefront
2. Ihrer primären Unternehmens-E-Mail
3. Anmeldung, Single Sign-On oder föderierter Authentifizierung für Mitarbeitende oder Kund:innen
4. Kundenvertrauen und Markenbekanntheit
5. Einem regulierten oder Compliance-sensitiven Dienst

Wenn die Antwort auf einen dieser Punkte “Ja” lautet, kommt die Domain für ein Registry-Lock in Frage.

In der Praxis: primäre Unternehmens-Domains, Domains aus dem Bank- und Finanzdienstleistungsbereich, E-Commerce-Transaktions-Domains, Domains des öffentlichen Sektors und kritischer Infrastrukturen sowie hochwertige Assets von Domain-Investoren. Das sind die Domains, bei denen eine Stunde Ausfallzeit eine Krise darstellt.

Seien Sie ebenso bewusst darin, was Sie auslassen. Geparkte Domains, reine Redirect-Registrierungen, defensive Registrierungen und Assets mit geringem Wert rechtfertigen den operativen Aufwand selten. Sie zu sperren erhöht die Kosten und verlangsamt die Routine-Pflege, ohne das Risiko nennenswert zu senken. Wenn Ihr Portfolio auf verschiedene Registrare und Tabellen verteilt ist, zeigt unser Leitfaden zu Domain-Management-Tools, wie Sie es zunächst unter zentrale Kontrolle bringen können – denn was Sie nicht sehen, können Sie nicht schützen. Für den breiteren strategischen Überblick verdeutlicht unsere Darstellung des Domain-Managements als Disziplin, wie sich Registry-Lock in ein ausgereiftes Portfolio einfügt.

Für Reseller und MSPs

Für Resellers und MSPs

Für alle, deren Geschäft auf dem Domain-Reselling basiert, bietet sich hier eine klare Chance. Registry-Lock ist ein echter Mehrwertdienst, den es sich lohnt, in Ihr Portfolio aufzunehmen: eine konkrete, verteidigbare Sicherheitsmaßnahme, die Sie Kund:innen anbieten können, deren Domains geschäftskritisch sind – gestützt auf einen dokumentierten Verifizierungs- und Änderungsprozess.

Welche TLDs den Registry-Lock unterstützen

Da der Registry-Lock ein registry-seitiges Feature ist, hängt die Verfügbarkeit vom TLD-Betreiber ab und nicht allein vom Registrar. Ein Registrar kann Registry-Lock für eine bestimmte TLD nur dann anbieten, wenn die Registry hinter dieser TLD dies unterstützt.

Die am häufigsten referenzierte Implementierung ist der Verisign-Registry-Lock-Service für .com und .net, der für viele Organisationen der erste Berührungspunkt ist. Darüber hinaus bieten eine wachsende Anzahl von ccTLDs und neuen gTLDs gleichwertige Dienste an – manchmal unter anderen Bezeichnungen wie Domain-Lock.

Daraus ergeben sich zwei Konsequenzen für alle, die ein gemischtes Portfolio verwalten. Erstens unterscheiden sich Terminologie, Preisgestaltung und der genaue Verifizierungsablauf von Registry zu Registry – die Unterstützung muss daher pro TLD bestätigt werden, statt sie pauschal vorauszusetzen. Eine Domain unter .com, eine unter .at und eine unter .de können jeweils unterschiedliche Verfahren aufweisen. Zweitens ist genau diese Variabilität der Punkt, an dem ein Anbieter, der viele Registrys aggregiert, seinen Wert beweist. Bei InterNetX ist unsere AutoDNS-Plattform mit Hunderten von Registrys verbunden, sodass Sie die Verfügbarkeit von Registry-Lock prüfen und diese für ein heterogenes Portfolio von einem zentralen Ort aus bereitstellen können. 

Wie Sie einen Registry-Lock Schritt für Schritt aktivieren

Einen Registry-Lock einzurichten ist unkompliziert, wenn Sie einer festgelegten Reihenfolge folgen. Hier ist die Abfolge in der richtigen Reihenfolge.

1. Geschäftskritische Domains identifizieren und priorisieren. Arbeiten Sie von Ihrem gestaffelten Inventar aus und wählen Sie die Domains aus, die den „Können wir es uns leisten, diese zu verlieren?”-Test im obigen Triage-Schritt nicht bestanden haben.
2. Registry-Lock-Unterstützung für jede relevante TLD bestätigen. Führen Sie diese Überprüfung für jede Endung einzeln durch, da Verfügbarkeit und Terminologie je nach Registry variieren. Gehen Sie nicht davon aus, dass die Unterstützung einer TLD die Unterstützung einer anderen impliziert.
3. Autorisierte Kontaktpersonen benennen und den Out-of-Band-Verifizierungskanal festlegen. Benennen Sie die konkreten Personen, die Änderungen autorisieren dürfen und vereinbaren Sie die Verifizierungsmethode mit Ihrem Anbieter – zum Beispiel einen Rückruf an eine bekannte Nummer sowie eine gemeinsame Passphrase. Das ist der menschliche Anker des gesamten Systems, wählen Sie ihn daher sorgfältig aus.
4. Den Lock über Ihren Registrar oder Anbieter beantragen. Der Anbieter veranlasst, dass die drei serverseitigen Codes (serverUpdateProhibited, serverTransferProhibited und serverDeleteProhibited) bei der Registry gesetzt werden.
5. Das Entsperrungsverfahren und die erwartete Bearbeitungszeit dokumentieren. Halten Sie genau fest, wie eine legitime Änderung beantragt wird, wer sie genehmigen muss und wie lange die Verifizierung dauert, damit eine notwendige Änderung in einem Vorfall nicht versehentlich durch Ihre eigenen Schutzmaßnahmen blockiert wird.
6. Den Prozess zuerst an einer nicht kritischen, gesperrten Domain testen. Führen Sie einen vollständigen Zyklus aus Entsperren – Ändern – Wiedersperren an einer nicht kritischen Domain durch, bevor Sie sich auf den Prozess verlassen. Eventuelle Probleme sollten Sie im Rahmen eines Testlaufs aufdecken und nicht erst in einem echten Notfall.

Wie der Registry-Lock bei InterNetX funktioniert

Der Registry-Lock bei InterNetX wird über AutoDNS abgewickelt. Der genaue Ablauf hängt von der Registry hinter jeder Endung ab, sodass die Schritte von TLD zu TLD variieren. Hier erfahren Sie, wie die Aktivierung, Änderungen und Aufhebung für .com, .net und .de funktionieren.

Wie funktioniert der Registry-Lock für .com und .net?

Bei .com und .net aktiviert unser Domain-Services-Team den Lock in Ihrem Auftrag. Wenn Sie eine Änderung vornehmen müssen, heben wir den Lock auf, Sie aktualisieren die Domain und wir aktivieren den Lock erneut, sobald die Aktualisierung abgeschlossen ist. Die Deaktivierung läuft ebenfalls über unser Team.

Wie funktioniert der Registry-Lock für .de?

Bei .de beginnt die Aktivierung mit einem schriftlichen Lock-Formular. Sie reichen das Formular ein und unser Team aktiviert den Lock. Auf dem Formular benennen Sie eine Kontaktperson – die Person, die über jede beantragte Änderung an der Domain benachrichtigt wird und diese autorisiert. Da der Prozess mit Ihrem Formular beginnt, muss der Domain-Inhaber den ersten Schritt unternehmen.

Sobald der Lock aktiv ist, können Sie die Domain zwar weiterhin aktualisieren, aber jede Änderung muss separat von Ihrer Kontaktperson bestätigt werden, die per SMS und E-Mail erreichbar sein muss. Wenn Sie die Kontaktperson ändern müssen, wird diese Anfrage schriftlich abgewickelt. Um den Lock aufzuheben, reichen Sie ein schriftliches Entsperrungsformular ein und unser Team kümmert sich um den Rest.

Wir bieten auch andere TLDs an. Weitere Informationen finden Sie unter Registry-Lock in unserem Help Center.

Wie Sie bestätigen, ob eine Domain mit einem Registry-Lock versehen ist

Sie können einen Registry-Lock unabhängig überprüfen, indem Sie den öffentlichen Statuseintrag der Domain lesen. Sowohl WHOIS als auch sein Nachfolger RDAP (Registration Data Access Protocol) zeigen die EPP-Statuscodes einer Domain an. Suchen Sie nach den drei serverseitigen Codes. Das Vorhandensein aller drei Codes ist ein sicheres Anzeichen für einen aktiven Registry-Lock. Wenn Sie nur die clientseitigen Entsprechungen sehen, hat die Domain einen Registrar-Lock, keinen Registry-Lock. Für Ihr eigenes Domain-Portfolio ist das Dashboard Ihres Anbieters die maßgebliche interne Quelle, da es den Lock-Status aller Ihrer Domains auf einen Blick anzeigt, anstatt dass Sie jede Domain einzeln nachschlagen müssen.

Ein kurzer Hinweis: Die Statusanzeige kann zwischen Registrys und zwischen WHOIS- und RDAP-Output leicht variieren – wenn die Codes bei einer Quelle fehlen, prüfen Sie daher den RDAP-Eintrag oder das Dashboard Ihres Anbieters, bevor Sie schlussfolgern, dass kein Lock vorhanden ist.

Die Kosten eines Registry-Locks – und ob er sich lohnt

Ein Registry-Lock ist ein manueller Premium-Dienst, was sich auch in der Preisgestaltung widerspiegelt. Die Gebühr wird in der Regel pro Domain und Jahr berechnet, wobei der genaue Betrag je nach Registry und Anbieter variiert. Da die Preise je nach TLD unterschiedlich sind, sollten Sie sich am besten über die aktuellen Preise für die spezifischen Domains informieren, die Sie schützen möchten.

Die wichtigere Frage ist, ob es sich lohnt und das lässt sich nur durch einen Vergleich der Gebühr mit den möglichen Risiken klären. Wägen Sie die moderaten jährlichen Kosten pro Domain gegen die tatsächlichen Kosten ab, die der Verlust einer primären Domain mit sich bringt: Umsatzausfälle, ein Ausfall der Unternehmens-E-Mail, der Aufwand und die Störung durch Incident-Response, potenzielle Datenoffenlegung und dauerhafter Markenschaden. Bei einer kritischen Domain ist dieser Vergleich eindeutig.

Es gibt einen zweiten Kostenfaktor, der ehrlich erwähnt werden sollte – und er ist nicht finanzieller Natur. Es ist der operative Aufwand. Änderungen an einer registry-gesperrten Domain dauern naturgemäß länger, weil sie durch manuelle Verifizierung geleitet werden. Für die richtigen Domains ist das ein Preis, der sich durchaus lohnt. Für die falschen ist es unnötiger Widerstand.

Registry-Lock als eine Komponente einer umfassenderen Domain-Sicherheitsstrategie

Ein Registry-Lock ist kein Allheilmittel. Er ist die stärkste Einzelkomponente für Ihre wichtigsten Domains, funktioniert jedoch am besten innerhalb eines Defense-in-Depth-Ansatzes, bei dem jede Maßnahme einen anderen Fehlerfall abdeckt:

• Strenge Sicherheitsvorkehrungen für das Registrar-Account und MFA als Grundlage, um einfache Angreifer vom Account fernzuhalten.
• Registrar- und Transfer-Lock für jede Domain, um versehentliche und unkomplizierte Änderungen zu verhindern.
• Registry-Lock für Ihre geschäftskritischen Domains, damit diese selbst eine vollständige Account-Kompromittierung überstehen.
• DNSSEC zum Schutz der Integrität der DNS-Auflösung, damit korrekte Einträge nicht während der Übertragung gefälscht werden können.
• Kontinuierliches Monitoring über das gesamte Domain-Portfolio hinweg, damit versuchte Änderungen und Anomalien frühzeitig erkannt werden – auch bei Domains ohne vollständigen Lock.

Lock und Monitoring ergänzen sich gegenseitig. Ein Lock verhindert eine Änderung. Monitoring teilt Ihnen mit, dass ein Versuch unternommen wurde und erkennt Abweichungen, bevor sie zu einem Vorfall werden. Nichts davon ist ungewöhnlich: Das ICANN-Security and Stability-Advisory-Committee befürwortet seit langem Sicherheitsmaßnahmen auf Registry-Ebene, und CISAs Leitlinien zur Eindämmung von Manipulationen an der DNS-Infrastruktur zeigen in dieselbe Richtung. Aus der Sicht eines Praktikers ist unser Interview mit Klaus Darilion von nic.at lesenswert und unser Domain-Security-Hub fasst das Gesamtbild zusammen. 

Vernachlässigen Sie nicht den menschlichen Faktor. Dokumentierte Änderungsverfahren, benannte autorisierte Kontaktpersonen und ein einstudiertes Incident-Playbook sind das, was Out-of-Band-Verifizierung bedeutungsvoll macht. Für geschäftskritische Domains ist ein Registry-Lock die bewusste Wahl: die Kontrollmaßnahme, die bei der Registry standhält, selbst wenn auf Account-Ebene bereits alles versagt hat.

Schützen Sie Ihre Domains in AutoDNS