Die dunkle Seite des DNS: Warum jeder fünfte neue Domainname gefährlich sein könnte

Jede Sekunde werden irgendwo auf der Welt Dutzende von Domains registriert. Jemand gründet ein Startup. Ein Entwickler richtet ein Portfolio ein. Ein Betrüger erstellt eine weitere Phishing-Seite, die darauf abzielt, Zugangsdaten zu stehlen. Der Prozess ist für alle identisch – ein paar Klicks, eine Zahlung, und plötzlich gibt es eine neue Adresse im Internet.

Die Geschwindigkeit und Zugänglichkeit der Domain-Registrierung ist wirklich bemerkenswert. Es ist eines der Dinge, die das moderne Web so dynamisch machen. Aber dieselbe Zugänglichkeit hat eine Schattenseite, mit der die Branche zu kämpfen hat.

Die Zahlen sind erschreckend

Eine kürzlich durchgeführte Analyse der Interisle Consulting Group untersuchte generische Top-Level-Domains (gTLDs) – die .coms, .websites und .funs dieser Welt – und stellte etwas Beunruhigendes fest. Von den 85 Millionen neuen Domain-Registrierungen im Jahr 2025 wurden bis Mai etwa 8,5 Millionen auf Sicherheits-Blocklisten gesetzt. Das entspricht 10 %, die als schädlich eingestuft wurden. Forscher gehen jedoch davon aus, dass die tatsächliche Zahl näher bei 20 % liegt, wenn man Domains berücksichtigt, die noch nicht erkannt oder mit markierten Seiten in Verbindung gebracht wurden.

Lassen Sie das auf sich wirken. Jeder fünfte neu registrierte Domainname mit einer gTLD ist wahrscheinlich an Betrug, Malware-Verbreitung oder anderen kriminellen Aktivitäten beteiligt.

Einige TLDs sind schlimmer als andere. Bei dreizehn Top-Level-Domains tauchte mehr als die Hälfte der Registrierungen auf Blocklisten auf. Erwartungsgemäß wiesen Domains wie .bid und .loan – die oft für gefälschte Bank- und Zahlungsabzocke genutzt werden – extrem hohe Missbrauchsraten auf. Doch das Auftreten von TLDs wie .mobi auf dieser Liste deutet darauf hin, dass das Problem nicht auf offensichtlich verdächtige Endungen beschränkt ist.

Warum Registrar-Mühe haben, Schritt zu halten

Bei NameOcean nehmen wir die Domain-Sicherheit ernst. Wir setzen Schutzmaßnahmen um, überwachen Missbrauchsmuster und arbeiten daran, dass unsere Plattform nicht für schädliche Zwecke genutzt wird. Aber hier ist die unbequeme Wahrheit: Kein Registrar kann alles abfangen, und die Ökonomie der Situation begünstigt Angreifer.

Wenn ein bösartiger Akteur eine Domain für eine Phishing-Kampagne registriert, nutzt er sie oft nur für 24–48 Stunden. Er versendet Millionen von Spam-E-Mails, erntet Zugangsdaten von ahnungslosen Opfern und gibt die Domain auf, bevor die meisten Blocklisten reagieren können. Bis unser Missbrauchsteam oder externe Sicherheitsdienste die Domain markieren, ist der Schaden bereits angerichtet.

So sieht DNS-Missbrauch in der Praxis aus:

• Phishing-Domains, die Banken, staatliche Dienste oder bekannte Marken imitieren
• Malware-Verbreitungsseiten, die als Software-Downloads oder Updates getarnt sind
• Command-and-Control-Domains, die von Botnetzen genutzt werden
• Typosquatting-Domains, die häufige Tippfehler ausnutzen (denken Sie an „g00gle.com“ oder „paypa1.com“)

Das Internet bewegt sich mit Lichtgeschwindigkeit. Der Missbrauch bewegt sich noch schneller.

Was funktioniert tatsächlich?

Die Forschung zeigt, dass die Suspendierungsquoten für auf Blocklisten gesetzte Domains zwischen nur 7,4 % und 16,3 % liegen – was bedeutet, dass die meisten bösartigen Domains auch nach der Markierung aktiv bleiben. Dies deutet darauf hin, dass der aktuelle reaktive Ansatz nicht funktioniert.

Was könnte also die Gleichung ändern?

Bessere Registrar-Richtlinien wären ein Anfang. Mehrere große Registrar-Unternehmen wurden dafür kritisiert, schwache Missbrauchsbearbeitung zu haben oder sogar wissentlich Betrug-Domains zu hosten. Registrar-Unternehmen, die in proaktive Überwachung, schnellere Reaktionszeiten und strengere Nutzungsbedingungen investieren, können den Missbrauch auf ihren Plattformen erheblich reduzieren.

Domain-Reputationssysteme, ähnlich wie E-Mail-Absender-Scores, könnten helfen. Wenn eine neu registrierte Domain keine Historie, keine Hosting-Spur aufweist und nur in DNS-Einträgen mit verdächtigen Mustern erscheint, könnten Browser und E-Mail-Anbieter sie mit angemessener Skepsis behandeln.

**Extended Validation (EV) SSL