Was 8,2 Mio. .de-Domains über das deutsche Netz verraten

Zu jeder .de-Domain stehen öffentliche Einträge im DNS, dem Adressbuch des Internets: wer über sie Auskunft gibt, in welchem Netz ihr Server steht, wer ihre Mail annimmt. Für 8,2 Mio. .de-Domains habe ich diese Einträge ausgewertet, Stand 26.10.2026. Knapp ein Fünftel davon sind geparkte .de-Domains: Ihre Nameserver gehören einem Parking-Dienst. Im Netz von Hetzner, dem größten, ist es fast die Hälfte. DNSSEC, die Signatur fürs Adressbuch, hat nur jede 28. Domain.

Die Zählung erfasst knapp die Hälfte von .de#

Die DENIC, die Registrierungsstelle für .de, zählte am 30.9.2026 18.266.124 Domains¹; die 8.175.475 ausgewerteten sind 44,8 % davon. Domains mit eigener Website sind häufiger dabei. Von den ausgewerteten Domains sind 17,8 % geparkt, 7,4 % nutzen Nameserver von Cloudflare, 2,8 % haben keinen Nameserver-Eintrag. Jeder Anteil unten gilt für diese Domains, nicht für ganz .de.

All-Inkl, Cloudflare und IONOS geben am häufigsten Auskunft#

Ein Nameserver ist der Dienst, der für eine Domain sagt, wo ihre Website und ihre Mail liegen. Die meisten stellt All-Inkl mit 7,6 % der ausgewerteten Domains, knapp dahinter Cloudflare mit 7,4 % und IONOS mit 5,7 %. IONOS, Strato und der Parking-Dienst Sedo sind Marken von United Internet² und kommen zusammen auf 16,8 % der Nennungen. Eine Domain mit Nameservern bei mehreren Anbietern zählt bei jedem mit. Warum steht ein US-Anbieter bei deutschen Domains auf Platz zwei?

Geparkte .de-Domains haben oft Mail, aber fast nie DNSSEC#

1.455.879 Domains, 17,8 % der ausgewerteten, haben Nameserver eines von sieben Parking-Diensten, bei denen Domains meist geparkt oder zu verkaufen sind. Von ihnen haben 4,3 % IPv6 und genau eine DNSSEC, aber 58,8 % irgendeinen Mailserver-Eintrag.

Hetzner trägt die meisten Domains, gibt aber für wenige Auskunft#

Hetzner stellt unter zwei Namen die Nameserver für 250.345 Domains, gut 3 % der ausgewerteten. Im Netz von Hetzner, dem Adressbereich, in dem es Server betreibt, liegen aber 1.677.955 Domains, 21,0 % der Domains mit Adresse. Nur jede achte davon nutzt Hetzners Nameserver. Fast die Hälfte der Domains im Hetzner-Netz (44 %) hat Nameserver von drei Parking-Diensten. Auch ohne geparkte Domains und ohne solche ohne Nameserver bleibt Hetzner mit 13,2 % der übrigen Domains mit Adresse das größte Netz. Die drei Parking-Dienste heißen im DNS redirectdom.com, kv-gmbh.de und mxmpark.com, und praktisch alle ihre Domains stehen bei Hetzner. Wer hinter den gut 600.000 Hetzner-Domains mit fremden Nameservern steht, ist offen.

Auf zehn Server-Adressen liegt ein Fünftel der Domains#

Die Domains mit Adresse verteilen sich auf rund 430.000 Server-Adressen. Auf der größten liegen 208.871 Domains, auf den zehn größten 19,5 % und auf den hundert größten 44,3 % der Domains mit Adresse. Großenteils gehören diese Adressen Parking-Diensten und Cloudflare; Marktanteile von Hostern sind solche Zahlen nicht. Was alles hängt an einer einzigen Adresse?

Hinter Cloudflare zeigt das DNS keinen Server#

727.455 Domains, 9,1 % der Domains mit Adresse, zeigen ins Netz von Cloudflare. Cloudflare schaltet sich als Vorschaltdienst vor die Website. Im DNS steht dann nur Cloudflares Adresse, nicht die des eigentlichen Servers. Im Netz von DigitalOcean haben 105.163 von 292.629 Domains (35,9 %) gar keinen Nameserver-Eintrag. Wo die Server hinter dem Vorhang stehen, bleibt offen.

Die Mail nimmt vor allem All-Inkl an#

Ein Mailserver-Eintrag (MX) sagt, wer die Post einer Domain annimmt. Von den 5,39 Mio. Domains mit Mailserver nutzen 11,0 % All-Inkl, 7,9 % IONOS, 7,8 % Microsoft, 7,0 % Strato und 2,8 % Google. Ein Viertel der ausgewerteten Domains (25,2 %) hat gar keinen Mailserver-Eintrag.

Google steht öfter im DNS, als es Mail annimmt#

Wer Google oder Microsoft zeigen will, dass ihm eine Domain gehört, legt dafür einen Texteintrag an. Google-Einträge stehen bei 668.951 Domains (8,2 % der ausgewerteten), die Mail nimmt Google für 148.281 an. Bei Microsoft stehen 331.461 Einträge gegen 418.974 Domains mit Mail bei Microsoft, das die Bestätigung auch anders zulässt. Verifiziert bleibt laut Google³ nur, wer den Eintrag stehen lässt. Bei Domains mit Cloudflare-Nameservern hat jede fünfte einen Google-Eintrag (21,1 %), bei geparkten 0,9 %. Was verrät ein Eintrag, den jemand vergessen hat?

Strenger Mailschutz folgt dem Hoster#

Mit zwei Einträgen namens SPF und DMARC kann eine Domain fremden Servern sagen, Mails mit gefälschtem Absender abzuweisen. Streng eingestellt haben das nur 10,0 % der Domains mit Mailserver; unter denen mit Mail bei Strato setzen 89,4 % DMARC auf Abweisen, bei IONOS 0,8 %. Von den 2,8 Mio. Domains ohne nutzbaren Mailserver sind 70,5 % ungeschützt. Das BSI beschreibt dafür seit 2024 drei Einträge bsi.bund.de ↗; den ersten, einen Mailserver-Eintrag, der ins Leere zeigt (Null-MX), setzen 199.905. Wer ist zuständig: Inhaber, Hoster oder Parking-Dienst?

IPv6 hängt am Netz#

IPv6 ist die neue, größere Adressform des Internets. Eine IPv6-Adresse haben 28,8 % der ausgewerteten Domains, ohne die geparkten 34,1 %. Im drittgrößten Netz, NMM-AS, haben es 6 von 606.227 nicht geparkten Domains, bei Strato 85,4 %. Laut APNIC⁴ können 72,7 % der Menschen, die in Deutschland online sind, IPv6. Wer entscheidet darüber, der Inhaber oder sein Netz?

Signiert ist jede 28. ausgewertete Domain, und der 5. Mai traf auch die anderen#

DNSSEC versieht die Antworten des DNS mit einer Signatur, damit sie unterwegs niemand fälscht. Signiert sind 3,6 % der ausgewerteten Domains, laut DENIC denic.de ↗ 2,5 % aller .de-Domains. Die 3,6 % liegen zu hoch, weil die Auswertung 64,5 % aller signierten .de-Domains enthält (291.630 von 451.958), aber nur 44,8 % aller .de-Domains. Am 5. Mai 2026 erzeugte die DENIC bei einem Schlüsselwechsel teils ungültige Signaturen für die Zone .de. Laut ihrer Analyse⁵ waren für ca. drei Stunden auch Secondlevel-Domains nicht auflösbar, „für die gar kein DNSSEC eingesetzt wird“, für alle, deren DNS-Dienst Signaturen prüft. Im Mai kamen 11.074 signierte .de-Domains dazu. Hält das Vertrauen in die Signatur, wenn der Fehler ganz oben passiert?

Geparkte Domains regeln öfter, wer das Schloss ausstellt#

Mit einem CAA-Eintrag legt der Inhaber fest, welche Stellen für seine Domain die Bescheinigung hinter dem Schloss im Browser ausstellen dürfen (RFC 8659⁶). 4,2 % der ausgewerteten Domains haben einen, unter den geparkten 5,8 %, unter allen anderen 3,8 %. Warum regelt ausgerechnet geparkte Ware das öfter?

Die DENIC liefert Gegenzahlen nur für Bestand und DNSSEC#

Die DENIC veröffentlicht den Bestand und die Zahl signierter Domains, aber nichts zu Nameservern, Netzen oder IPv6. Jede andere Zahl hier steht für sich. Ob IPv6, CAA und Mailschutz in der fehlenden Hälfte von .de höher oder niedriger liegen, hängt davon ab, wie viel dort geparkt ist.