13.431 .de-Domains zeigen auf Nameserver, die sie nicht kennen

Kriminelle kapern weltweit Domains, ohne ein Passwort zu knacken. Die Sicherheitsfirma Infoblox nennt sie „Sitting Ducks“, sitzende Enten: 2024 waren rund 800.000 Domains so angreifbar und rund 70.000 bereits gekapert¹. Der Fehler dahinter ist banal. Die Domain zeigt auf einen Nameserver, der sie nicht kennt.

Der Nameserver ist der Wegweiser einer Domain. Er sagt Browser und Mailprogramm, wo Webseite und Post liegen. Welcher Nameserver zuständig ist, steht bei der Registrierungsstelle DENIC. Wer den Anbieter wechselt oder ein Konto kündigt und den Eintrag dort vergisst, hat einen Wegweiser ins Leere. Fachleute nennen das verwaiste Delegation (lame delegation). Unter .de betrifft es 13.431 Domains, etwa jede 640. der vermessenen.

Verwaist heißt nicht gekapert. Gefährlich wird es erst, wenn der Anbieter hinter dem Wegweiser nicht prüft, wer eine Domain bei ihm neu einrichtet. Dann kann ein Fremder sie dort anlegen und bestimmt, wohin Webseite und Post gehen. Manche Anbieter verlangen einen Besitznachweis. Fast zwei Drittel der verwaisten Domains liegen bei nur vier Anbietern, deren Prüfung entscheidet also über die meisten.

Ein eigener Fall sind die 27 Domains, deren Nameserver alle in Domains liegen, die es im DNS nicht gibt. Hier braucht es keinen nachlässigen Anbieter, es kommt darauf an, ob diese Namen frei sind. Das zeigt DNS nicht.

Die Lücken sind jung. Ein Zertifikat bekommt eine Domain meist nur, wenn sie bei der Prüfung antwortet, und fast jede fünfte verwaiste Domain bekam ihr letztes erst im Oktober oder November. Manche Stellen nutzen eine alte Prüfung allerdings monatelang weiter. Dass solche Lücken verbreitet sind und lange bleiben, zeigten Forscher um Gautam Akiwate 2020 in der Studie „Unresolved Issues“².

Die Zählung ist eine Untergrenze, denn nicht alle .de-Domains sind vermessen. Und eine verwaiste Domain kann morgen repariert sein.

Repariert wird beim Registrar, dem Domain-Händler: Nameserver eintragen, die die Domain kennen, oder die Domain kündigen. Wer umzieht, richtet sie erst beim neuen Anbieter ein und trägt dann den Nameserver um.