Domain vor Hijacking schützen: der Agentur-Check

Es ist der Anruf, den keine Agentur bekommen will: Die Website eines Kunden leitet plötzlich auf eine fremde Seite um, E-Mails kommen nicht mehr an, und im Browser prangt eine Warnung vor Schadsoftware. Der Server ist unberührt, das WordPress sauber – und trotzdem ist der Kunde aus dem Netz verschwunden. Angegriffen wurde nicht die Website, sondern die Ebene darunter: die Domain und ihr DNS.

Diese Ebene wird in kleinen Agenturen oft stiefmütterlich behandelt. Man kümmert sich um Backups, Plugins und SSL, aber die Domain gilt als „läuft ja". Genau das macht sie zum lohnenden Ziel. Wer die Kontrolle über eine Domain übernimmt, braucht kein Passwort der Website mehr – er lenkt einfach den gesamten Verkehr um.

Domain vor Hijacking schützen: warum das Thema 2026 drängt

Domain-Hijacking heißt: Ein Angreifer übernimmt die Kontrolle über eine Domain, ohne den eigentlichen Webserver zu berühren. Das gelingt über gekaperte Registrar-Konten, abgefangene Auth-Codes für Domainumzüge oder manipulierte DNS-Einträge. Der Effekt ist dramatischer als ein gehacktes CMS, weil er alles auf einmal trifft: Website, E-Mail, oft auch die Login-Systeme, die an der Domain hängen.

Wie unterschätzt die Domain-Ebene ist, zeigt der Bericht zur Domainsicherheit 2026 von CSC, veröffentlicht am 27. Januar 2026. Untersucht wurden die Forbes-Global-2000-Konzerne – also Unternehmen mit eigenen Sicherheitsabteilungen. Das Ergebnis: 67 Prozent von ihnen hatten weniger als die Hälfte von acht zentralen Domain-Sicherheitsmaßnahmen umgesetzt. Wenn schon Großkonzerne hier lückenhaft sind, kann man sich ausmalen, wie es um die Domain eines mittelständischen Kundenbetriebs steht, um die sich nie jemand systematisch gekümmert hat.

Zwei Zahlen aus demselben Bericht stechen heraus. Nur elf Prozent der untersuchten Unternehmen setzten DNSSEC ein, eine Technik, die DNS-Antworten fälschungssicher signiert. Und 88 Prozent der sogenannten Homoglyph-Domains – Fälschungen mit optisch ähnlichen Zeichen – befanden sich in der Hand Dritter, also potenziell von Angreifern, die eine Marke für Phishing missbrauchen wollen.

Wie ein solcher Angriff in der Praxis abläuft

Das klingt abstrakt, bis man sich reale Fälle ansieht. Der Anbieter do.de dokumentiert in seinem Beitrag zum Domain-Schutz zwei aufschlussreiche Vorfälle aus dem Mai 2025. Bei der sogenannten Hazy-Hawk-Kampagne übernahmen Angreifer verwaiste DNS-Einträge großer Organisationen – darunter Bose, Deloitte, PwC und Panasonic. Sie registrierten vergessene Cloud-Ressourcen neu und kontrollierten so echt wirkende Subdomains, über die sie Schadsoftware als angebliche Virenwarnung verteilten.

Im zweiten Fall, dem DeFi-Anbieter Curve Finance, wurde der DNS-Eintrag direkt beim Registrar auf eine bösartige IP-Adresse umgebogen. Nutzer landeten auf einer manipulierten Seite und gaben dort ahnungslos ihre Zugangsdaten ein. Die Lehre aus beiden Fällen fasst do.de treffend zusammen: Das DNS war der Einstiegspunkt für den Missbrauch – nicht der Server.

Für dich als Agentur bedeutet das eine Verschiebung des Blickwinkels: Der beste Malware-Scanner nützt nichts, wenn jemand die Domain umlenkt, bevor der Besucher überhaupt auf dem Server ankommt. Verwaiste Subdomains und alte DNS-Einträge, die auf längst gekündigte Dienste zeigen, sind dabei eine unterschätzte Einladung – jeder aufgeräumte DNS-Zonendatensatz ist gelebte Sicherheit.

Die vier Schutzebenen, die wirklich zählen

Domain-Sicherheit ist kein einzelnes Produkt, sondern eine Kette von Maßnahmen. Vier davon solltest du bei jedem Kunden kennen und je nach Risiko einsetzen.

1. Das Registrar-Konto absichern

Die Domain wird über ein Konto beim Registrar verwaltet – und dieses Konto ist der Generalschlüssel. Wer es übernimmt, kann Nameserver ändern, Auth-Codes erzeugen und die Domain umziehen. Deshalb gehört hierher die stärkste Absicherung, die verfügbar ist: ein einzigartiges, langes Passwort und zwingend eine Zwei-Faktor-Authentifizierung. Wie du Dutzende solcher Zugänge über das ganze Kundenportfolio hinweg sauber verwaltest, beschreibt unser Beitrag zum Passwort-Manager für Agenturen. Für die höchste Stufe unterstützen manche Registrare physische Sicherheitsschlüssel; wie passwortlose Verfahren funktionieren, erklärt der Beitrag zu Passkeys für Kundenseiten.

2. Transfer- und Registry-Lock setzen

Ein Transfer-Lock (auch Domain-Lock oder Registrar-Lock) verhindert, dass eine Domain ohne ausdrückliche Entsperrung zu einem anderen Anbieter umzieht. Er ist bei den meisten Registraren kostenlos aktivierbar und sollte der Standard für jede Kundendomain sein. Eine Stufe höher steht der Registry-Lock, bei dem Änderungen nur nach einem manuellen, mehrstufigen Verfahren direkt bei der Registry möglich sind. Laut CSC-Bericht setzen Unternehmen, die auf professionelle Enterprise-Registrare vertrauen, den Registry-Lock rund sechsmal häufiger ein als Nutzer von Consumer-Angeboten – ein deutlicher Hinweis darauf, wo die Sicherheitslücke im Massenmarkt liegt.

3. Den Auth-Code schützen

Jeder Domainumzug braucht einen Auth-Code (bei .de-Domains der AuthInfo-Code der Registry DENIC). Wer diesen Code besitzt, kann die Domain unter Umständen zu sich holen. Der Code darf deshalb nie ungeschützt per E-Mail oder Chat kursieren und sollte nur bei einem tatsächlichen Umzug erzeugt und danach als verbraucht behandelt werden. Gute Anbieter erzeugen ihn ohnehin nur nach einer zweiten Bestätigung.

4. DNSSEC aktivieren

DNSSEC signiert DNS-Antworten kryptografisch und macht es Angreifern schwer, gefälschte Einträge unterzuschieben. Dass laut CSC-Bericht die Verbreitung über sechs Jahre nur von einem sehr niedrigen Niveau aus auf elf Prozent gestiegen ist, zeigt zweierlei: DNSSEC ist wichtig, aber in der Fläche noch die Ausnahme. Ob es sinnvoll ist, hängt vom Hosting ab – nicht jeder DNS-Anbieter unterstützt es gleich komfortabel. Und es will sauber betrieben sein: Ein Fachbeitrag von IT-Administrator beschreibt eine DENIC-Störung im Mai 2026, bei der fehlerhafte Signaturen ausgerechnet Nutzer mit validierenden Resolvern aussperrten – ein Hinweis darauf, dass DNSSEC Sorgfalt statt Aktionismus verlangt. Als Agentur solltest du wissen, ob deine Kunden es nutzen könnten, und es zumindest zur Sprache bringen.

E-Mail und Domain hängen zusammen

Ein Punkt, der oft übersehen wird: Wer die Domain kontrolliert, kontrolliert auch die E-Mail. Deshalb greifen Domain-Sicherheit und E-Mail-Authentifizierung ineinander. Die gute Nachricht aus dem CSC-Bericht: DMARC, das gefälschte Absender erschwert, ist unter den Großkonzernen von 39 Prozent im Jahr 2020 auf 80 Prozent gestiegen. Das ist die eine Domain-Maßnahme, die sich breit durchgesetzt hat – auch weil Google und Yahoo sie faktisch erzwingen. Wie du SPF, DKIM und DMARC für Kundenpostfächer richtig aufsetzt, steht im Beitrag zur E-Mail-Zustellbarkeit.

Woran du einen Angriff früh erkennst

Je früher ein Domain- oder DNS-Angriff auffällt, desto kleiner der Schaden. Ein paar Warnzeichen solltest du deinen Kunden mitgeben – und selbst im Blick behalten. Unerwartete E-Mails vom Registrar über eine Passwortänderung, einen angeforderten Auth-Code oder einen eingeleiteten Umzug sind das deutlichste Signal: Hier versucht gerade jemand, die Domain zu bewegen. Solche Mails gehören nie ignoriert, auch wenn gerade „nichts ansteht".

Ebenso verdächtig sind plötzlich ausbleibende E-Mails, eine Website, die auf einmal anders aussieht oder umleitet, sowie Browser- oder Google-Warnungen, obwohl am Server nichts geändert wurde. Ein regelmäßiger, automatisierter Blick auf die wichtigsten DNS-Einträge – Nameserver, A-Record, MX-Record – deckt Manipulationen auf, bevor sie ein Kunde bemerkt. Für kritische Kundendomains lohnt sich ein Monitoring, das genau diese Werte überwacht und bei Abweichungen Alarm schlägt.

Aus Domain-Sicherheit ein Standbein machen

Der eigentliche Reiz für kleine Agenturen liegt darin, dass diese Maßnahmen einmalig eingerichtet und danach dauerhaft überwacht werden müssen. Ein jährlicher Domain-Sicherheits-Check – Transfer-Lock geprüft, Zwei-Faktor aktiv, DNS-Einträge aufgeräumt, Ablaufdaten der Domains im Blick, DMARC gesetzt – lässt sich gut in einen Wartungsvertrag einbinden. Der Aufwand ist überschaubar, der Schaden im Ernstfall enorm.

Denn ein Klassiker richtet Kunden regelmäßig zugrunde: die vergessene Domainverlängerung. Läuft eine Domain aus, weil die Zahlungsdaten veraltet waren oder die Erinnerungs-Mail im Spam landete, kann sie binnen Tagen von Domain-Händlern geschnappt werden. Das ist zwar kein Hijacking im engeren Sinne, aber für den Kunden genauso fatal – und für dich ein leicht vermeidbarer Reputationsschaden. Ein simples Monitoring der Ablaufdaten ist deshalb die günstigste Versicherung, die du anbieten kannst.

Domain- und DNS-Sicherheit ist keine Raketenwissenschaft. Sie scheitert selten an der Technik und fast immer daran, dass sich niemand zuständig fühlt. Genau diese Lücke kannst du füllen – bevor der Anruf kommt, den keine Agentur bekommen will.

Dieser Beitrag ersetzt keine individuelle Sicherheits- oder Rechtsberatung. Welche Maßnahmen im Einzelfall angemessen und geboten sind, hängt vom konkreten Kundenprojekt und den Vorgaben des jeweiligen Registrars ab.