Wissen · Tool-Anleitungen

Wem gehört eine Domain? Whois und RDAP richtig lesen

Öffentliche Registerdaten verraten Registrar, Alter und Status einer Domain — und wo ihre Auskunft endet.

Eine unbekannte Webadresse taucht in einer E-Mail auf, ein Online-Shop verlangt Vorkasse, oder ein Nachrichtenportal wirkt verdächtig professionell für eine Seite, die es erst seit gestern zu geben scheint. In all diesen Fällen stellt sich dieselbe Frage: Wem gehört eine Domain eigentlich — und seit wann? Einen Teil der Antwort liefern öffentliche Registerdaten. Früher fragte man sie über das «Whois»-Protokoll ab, heute liefert das modernere RDAP dieselben Fakten in sauberer, maschinenlesbarer Form. Unser Werkzeug «RDAP-Whois» in der Werkzeug-Übersicht ruft genau diese Daten ab und bereitet sie lesbar auf.

Vom alten Whois zu RDAP

Das klassische Whois war Freitext: Jede Registrierungsstelle formatierte ihre Auskunft anders, was das Auslesen mühsam und fehleranfällig machte. RDAP (Registration Data Access Protocol) ist der von der IETF standardisierte Nachfolger. Es antwortet über HTTPS in strukturiertem JSON mit klar benannten Feldern, und ein zentrales IANA-Verzeichnis weist jeder Top-Level-Domain den zuständigen RDAP-Server zu. Für die grossen generischen Endungen wie .com, .net oder .org ist RDAP inzwischen verpflichtend; das alte Whois wird dort schrittweise abgeschaltet.

Zuverlässig erhalten Sie damit die technischen Eckdaten einer Registrierung:

• den Registrar, über den die Domain verwaltet wird;
• das Erstellungs-, Änderungs- und Ablaufdatum;
• die Statuscodes der Domain;
• die Nameserver, die auf den Hosting- oder DNS-Anbieter hindeuten.

Was seit der DSGVO dagegen meist fehlt, sind Name, Anschrift und E-Mail des Inhabers. Bei Privatpersonen werden diese Felder aus Datenschutzgründen geschwärzt und erscheinen als «REDACTED FOR PRIVACY». RDAP zeigt also in der Regel die technischen Spuren des Betreibers — selten die Person dahinter.

So sieht eine RDAP-Abfrage aus

Das folgende (erfundene) Ergebnis für einen fiktiven Shop zeigt, worauf es beim Lesen ankommt:

Interessant ist hier das Zusammenspiel: Die Domain ist erst 19 Tage alt, hat die kürzestmögliche Laufzeit von einem Jahr, der Inhaber ist verdeckt, und die Nameserver deuten auf ein günstiges Massenhosting. Jedes dieser Merkmale ist für sich harmlos — gemeinsam mit einer Vorkasse-Aufforderung ergeben sie ein Bild, das genauere Prüfung verdient. Genau solche Muster gleicht auch unser Betrugswarner ab.

Statuscodes und Nameserver deuten

Die Statuscodes stammen aus dem EPP-Standard und beschreiben, was mit der Domain gerade möglich ist:

• ok — Normalzustand, keine Einschränkung gesetzt. clientTransferProhibited — ebenfalls üblich; sperrt lediglich einen Umzug zu einem anderen Registrar.
• clientHold / serverHold — die Domain ist aus dem DNS genommen und derzeit nicht erreichbar; das kann auf einen Streitfall oder eine Sperre hindeuten.
• redemptionPeriod / pendingDelete — die Registrierung läuft aus und steht kurz vor der Löschung.

Die Nameserver verraten oft den Hosting- oder DNS-Anbieter. Tauchen dort dieselben Server auf wie bei anderen bekannten Betrugsseiten, ist das ein Anhaltspunkt — mehr aber auch nicht, denn grosse Anbieter beherbergen Millionen völlig seriöser Domains.