Konto-Wiederherstellung per E-Mail: Risiko eigene Domain

Eine eigene Domain für die E-Mail ist eine gute Idee. Sie macht dich unabhängig vom Mail-Anbieter, du kannst umziehen, ohne die Adresse zu ändern, und mit Catch-all erkennst du Datenlecks. Der Preis dafür ist eine neue Verantwortung, über die kaum jemand spricht: Die Domain wird zum Generalschlüssel für die Konto-Wiederherstellung per E-Mail.

Warum die Wiederherstellungs-E-Mail der wunde Punkt ist

Fast jeder Dienst hat einen Link „Passwort vergessen“. Er schickt eine Mail mit einem Reset-Link an die hinterlegte Adresse. Wer diese Mail lesen kann, kommt ins Konto, ganz ohne dein Passwort. Bei Diensten ohne Zwei-Faktor-Anmeldung reicht das komplett, bei vielen anderen auch, weil sich 2FA über denselben Weg zurücksetzen lässt.

Bei einer Freemail-Adresse hängt dieser Weg an deinem Konto beim Anbieter. Bei einer eigenen Domain hängt er an drei Dingen gleichzeitig:

Der erste Fall ist der unterschätzte. Er braucht keinen Angreifer, der dich gezielt aussucht. Er braucht nur eine abgelaufene Kreditkarte und eine Erinnerungsmail, die an genau die Adresse geht, die gerade nicht mehr funktioniert.

Was passiert, wenn eine Domain ausläuft

Bei .de regelt DENIC das Ende einer Registrierung. Wird eine Domain gelöscht, kommt sie für 30 Tage in die Redemption Grace Period. In dieser Zeit kann nur der letzte Inhaber sie zurückholen (oder ein Dritter, den er benennt). Die Wiederherstellung läuft über einen Registrar und kostet dort meist eine Gebühr. Nach den 30 Tagen ist die Domain frei. Details stehen bei der DENIC zur Redemption Grace Period.

Bei generischen Endungen wie .com sieht der Ablauf ähnlich aus, mit einer zusätzlichen Phase davor: Nach dem Ablaufdatum hält der Registrar die Domain oft noch einige Wochen, dann folgt die 30-tägige Redemption Grace Period der Registry und schließlich wenige Tage Pending Delete. Wie lange Website und Mail in dieser Zeit noch funktionieren, entscheidet der Registrar. Manche schalten sofort auf eine Parkseite um, und dann kommen keine Mails mehr an.

So erkennst du den Status einer .com-Domain auf der Kommandozeile, hier am Beispiel von example.com beim Whois-Server der Registry Verisign:

$ whois -h whois.verisign-grs.com example.com | grep -iE 'expir|status'
   Registry Expiry Date: 2027-08-13T04:00:00Z
   Domain Status: clientDeleteProhibited https://icann.org/epp#clientDeleteProhibited
   Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited
   Domain Status: clientUpdateProhibited https://icann.org/epp#clientUpdateProhibited

Steht dort redemptionPeriod oder pendingDelete, ist es höchste Zeit. Bei .de liefert whois aus Datenschutzgründen nur wenige Felder; den Status siehst du dort im Feld Status.

Wer abgelaufene Domains registriert

Abgelaufene Domains werden nicht zufällig neu registriert. Es gibt Dienste, die auslaufende Domains beobachten und sie in der ersten Sekunde registrieren, in der sie frei werden. Interessant sind vor allem Domains mit Backlinks, Verkehr oder eben Mail-Historie. Wer eine solche Domain bekommt, setzt einen Catch-all-Mailserver auf und sieht, was ankommt: Newsletter, Rechnungen, Reset-Mails. Sicherheitsforscher haben genau dieses Muster mehrfach öffentlich demonstriert.

Für dich heißt das: Eine Domain, an der Logins hängen, darf nie in die Löschphase kommen. Auch nicht, wenn du sie „eigentlich nicht mehr brauchst“. Solange irgendein Konto noch an einer Adresse dieser Domain hängt, behältst du sie.

Das Registrar-Konto absichern

Das Konto bei deinem Domain-Registrar ist mindestens so wichtig wie dein Postfach. Wer es übernimmt, kann die MX-Records ändern und Mails an deine Domain auf seinen eigenen Server leiten. Du merkst das erst, wenn keine Mails mehr kommen.

Darum gilt für das Registrar-Konto:

• Ein eigenes, zufälliges Passwort aus dem Passwort-Manager, nirgends sonst verwendet.
• Zwei-Faktor-Anmeldung, idealerweise per Passkey.
• Eine Kontaktadresse, die nicht auf der Domain selbst liegt. Sonst geht die Warnung „Ihre Domain läuft ab“ genau an das Postfach, das gleich nicht mehr funktioniert.
• Benachrichtigungen bei DNS-Änderungen, falls der Registrar das anbietet.

Den Rettungsweg doppelt legen

Eine einzige Wiederherstellungsadresse ist ein einziger Ausfallpunkt. Für die wichtigsten Konten (Google, Apple, Microsoft, Bank, Passwort-Manager) solltest du zwei Wege hinterlegen: die Adresse auf deiner Domain und eine zweite, etwa eine aktiv genutzte Freemail-Adresse oder eine Telefonnummer. Viele Dienste bieten außerdem Wiederherstellungscodes an. Drucke sie aus.

Bei der zweiten Adresse lauert eine Falle: Freemail-Konten, die du nie nutzt, löschen manche Anbieter nach längerer Inaktivität. Melde dich also gelegentlich an.

Im Ernstfall: Domain verloren

Hat jemand anderes deine Domain registriert, ist das ein Notfall. Ändere sofort bei allen Konten, die an Adressen dieser Domain hängen, die Mail-Adresse auf eine andere, beginnend mit Mail, Bank und Passwort-Manager. Wie du dabei vorgehst, ähnelt dem Ablauf nach einem Leak, siehe E-Mail in Datenleck: was tun. Liegt die Domain noch in der Redemption Grace Period, kontaktiere sofort deinen Registrar. Gegen eine Neuregistrierung durch Dritte hilft rechtlich nur etwas, wenn du Namens- oder Markenrechte hast, das klärt im Zweifel ein Anwalt.

Wenn du Catch-all-Adressen nutzt, wie in Catch-all-E-Mail beschrieben, hilft dir jetzt die Liste im Passwort-Manager, welche Adresse bei welchem Dienst hinterlegt war.

Vorbeugen kostet wenig

Gemessen am Risiko ist der Aufwand klein. Eine .de-Domain mit fester Verlängerung kostet bei betadomain 2,99 € im Jahr, ohne Lockpreis im ersten Jahr und ohne Aufschlag danach. Wer mehrere Jahre im Voraus verlängern will, sieht in der Liste der Domain-Preise, was das für .com oder .eu bedeutet. DNSSEC lässt sich dort ebenfalls aktivieren. Prüfe als Nächstes, ob deine Domain auf automatische Verlängerung steht, und wenn du noch keine hast, such dir eine Domain, die du lange behalten willst.

Schritt für Schritt

1. Automatische Verlängerung einschaltenAktiviere beim Registrar die automatische Verlängerung und hinterlege eine Zahlungsart, die nicht in den nächsten Monaten abläuft.
2. Registrar-Konto absichernGib dem Registrar-Konto ein eigenes, zufälliges Passwort und schalte Zwei-Faktor-Anmeldung ein, am besten per Passkey oder Authenticator-App.
3. Kontaktadresse beim Registrar prüfenHinterlege beim Registrar eine Kontaktadresse, die nicht auf der Domain selbst liegt, damit Erinnerungen auch ankommen, wenn die Domain ausfällt.
4. Zweite Wiederherstellungsadresse ergänzenTrage bei den wichtigsten Konten zusätzlich eine zweite Adresse oder Telefonnummer ein und speichere die Wiederherstellungscodes offline.
5. Konten inventarisierenListe im Passwort-Manager auf, welche Konten an Adressen deiner Domain hängen, damit du im Notfall weißt, was betroffen ist.
6. DNSSEC und Registry Lock prüfenAktiviere DNSSEC für die Domain und prüfe, ob für wertvolle Domains ein Schutz gegen unautorisierte Änderungen angeboten wird.