Was ist Registry Lock? So schützen Sie Ihre Domain vor unbefugten Änderungen

Registry Lock ist ein zusätzlicher Sicherheitsdienst, der Ihre Domain direkt bei der Registry sperrt. Die Registry ist der zentrale Betreiber einer Domain-Endung; die Datenbank hinter .com und .net betreibt zum Beispiel Verisign. Solange Registry Lock aktiv ist, lehnt die Registry jeden Versuch ab, die Domain zu einem anderen Registrar zu übertragen, sie zu löschen oder Daten wie Nameserver und Kontakte zu ändern. Möglich werden diese Änderungen erst, nachdem die Sperre in einem separaten Prüfverfahren zwischen Registrar und Registry aufgehoben wurde. Sinnvoll ist das vor allem für Onlinehändler, Finanzdienstleister und stark frequentierte Websites, bei denen ein Domain-Ausfall unmittelbar Umsatz und Vertrauen kostet.

Das Hauptrisiko, gegen das Registry Lock schützt, ist Domain-Hijacking. Wer Zugang zu Ihrem Konto beim Registrar erlangt, kann die Nameserver auf eigene Server umstellen und so Website- und E-Mail-Verkehr umleiten oder versuchen, die Domain zu einem anderen Registrar umzuziehen. Registry Lock knüpft diese Änderungen an eine Freigabe, die nicht von Ihrem Kontopasswort abhängt.

Wie funktioniert Registry Lock?

Registry Lock beruht auf Statuscodes, die die Registry an Ihre Domain setzt und die Ihr Registrar nicht eigenmächtig entfernen kann. Registrare kommunizieren mit Registries über das Standardprotokoll EPP (Extensible Provisioning Protocol). Dort gibt es zwei Arten von Domain-Status:

• Status mit dem Präfix „client“ setzt und entfernt der Registrar. Die Transfersperre in Ihrem Kundenmenü ist in der Regel clientTransferProhibited.
• Status mit dem Präfix „server“ setzt und entfernt die Registry. Nach dem EPP-Standard kann der Registrar sie nicht ändern.

Nach der Freigabe des Antrags setzt die Registry die server-Status; Transfer-, Lösch- oder Änderungsbefehle des Registrars werden ab dann abgewiesen. Um die Sperre aufzuheben, durchlaufen berechtigte Mitarbeitende des Registrars über einen vorab vereinbarten Kanal eine zusätzliche Prüfung bei der Registry. Verisign beschreibt diesen Schritt als Authentifizierung außerhalb der EPP-Verbindung.

Manche Registries können auch die unter Ihrer Domain registrierten Nameserver-Einträge sperren (Host-Objekte, etwa ns1.example.com). Bei Verisign sind Domain und jeder Host getrennte Sperren. Wenn Sie Ihre Nameserver unter der eigenen Domain betreiben, sollten Sie gezielt danach fragen.

Was blockiert Registry Lock?

Registry Lock besteht in der Regel aus drei EPP-Status, die gemeinsam gesetzt werden:

Umfang und Ausnahmen hängen vom Verfahren der jeweiligen Registry ab. Verisign gibt an, dass bei seinen Endungen alle drei server-Status gesetzt sein müssen, damit eine Domain als gesperrt gilt. Dieselben Status können allerdings auch aus anderen Gründen gesetzt werden, etwa bei einem Rechtsstreit oder einer anstehenden Löschung. Dass sie in einer WHOIS- oder RDAP-Abfrage erscheinen, belegt allein also noch nicht, dass der Dienst aktiv ist. Lassen Sie sich das von Ihrem Anbieter bestätigen.

Die Verlängerung fällt nicht unter diese drei Status. Dafür gibt es einen eigenen Status (serverRenewProhibited), der nicht zum Standardumfang von Registry Lock gehört. Eine gesperrte Domain lässt sich daher meist ganz normal verlängern; wie Ihre Endung das handhabt, sollten Sie dennoch klären.

Gesperrte Nameserver bedeuten keine gesperrten DNS-Einträge

Die Registry speichert, an welche Nameserver Ihre Domain delegiert ist. Die IP-Adresse Ihrer Website und Ihr Mailserver sind dagegen in der DNS-Zone bei Ihrem DNS-Anbieter hinterlegt.

Beispiel: Die Domain beispiel-shop.com ist an ns1.dns-anbieter.net und ns2.dns-anbieter.net delegiert. Registry Lock verhindert, dass diese beiden Nameserver ersetzt werden. Wer aber Zugriff auf Ihr Konto beim DNS-Anbieter hat, kann auf denselben Nameservern den A-Record auf eine andere IP-Adresse setzen, den MX-Record auf einen fremden Mailserver lenken oder TXT-Records ändern. Solche Änderungen liegen außerhalb des Schutzbereichs von Registry Lock.

Registry Lock, Transfersperre, DNSSEC und 2FA im Vergleich

Die vier Maßnahmen schützen unterschiedliche Ebenen; keine ersetzt eine andere. DNSSEC ist eine DNS-Erweiterung, die Antworten per digitaler Signatur überprüfbar macht. Die Zwei-Faktor-Authentifizierung (2FA) verlangt beim Login einen zweiten Nachweis.

Beispielszenario: Was ändert sich, wenn Ihr Domain-Konto gekapert wird?

Dieses Szenario dient nur der Veranschaulichung. Bei einem Onlinehändler wird das Passwort für das Domain-Verwaltungskonto über eine Phishing-Mail abgegriffen. Die Zwei-Faktor-Authentifizierung ist nicht aktiviert.

Ohne Registry Lock

Der Angreifer stellt die Nameserver im Kundenmenü auf eigene Server um. Sobald die Änderung bei der Registry ankommt, landen Website-Besucher und eingehende E-Mails nach und nach bei ihm. Da er das DNS kontrolliert, kann er versuchen, ein SSL-Zertifikat für die Domain zu bekommen oder Mails zum Zurücksetzen von Passwörtern mitzulesen. Anschließend kann er die Transfersperre aufheben und die Domain zu einem anderen Registrar umziehen. Wegen DNS-Caching wirkt selbst eine schnelle Rückänderung nicht sofort.

Mit Registry Lock

Der Angreifer versucht dieselbe Nameserver-Änderung oder denselben Transfer, doch die Registry weist die Befehle ab. Um die Sperre aufzuheben, müsste er an den vorab hinterlegten berechtigten Kontakten und an der separaten Prüfung zwischen Registrar und Registry vorbeikommen. Das Unternehmen gewinnt so Zeit, das Konto zurückzuholen und Passwörter zu ändern.

Für wen lohnt sich Registry Lock?

Registry Lock passt zu Domains, bei denen schon wenige Stunden Fehlleitung ernste Folgen hätten und deren technische Einstellungen sich selten ändern. Diese Fragen helfen bei der Entscheidung:

• Was würde es Sie an Umsatz, Kundenvertrauen oder rechtlichen Pflichten kosten, wenn die Domain einen Tag lang auf einen falschen Server zeigt?
• Hängen Firmen-E-Mail, Single Sign-on (SSO) oder Zahlungssysteme an dieser Domain?
• Wie oft im Jahr ändern sich Nameserver und Kontaktdaten?
• Wie viele Personen haben Zugriff auf das Domain-Verwaltungskonto?

Den größten Nutzen haben demnach Onlinehändler und Zahlungsanbieter, Banken und Finanzinstitute, öffentliche Verwaltung und Gesundheitswesen, SaaS-Anbieter sowie Marken mit viel Traffic. Bei Test- oder Kampagnendomains, deren Nameserver häufig wechseln, wird das Entsperren dagegen schnell zum unnötigen Aufwand.

Welche Domain-Endungen unterstützen Registry Lock?

Nicht jede Endung bietet Registry Lock an: Den Dienst stellt die Registry bereit, den Zugang dazu der Registrar. Die folgende Tabelle zeigt die wichtigsten Endungen, für die Registry Lock verfügbar ist. Den aktuellen Stand für Ihre Domain erfahren Sie beim Support von Atak Domain.

Endungen mit Registry Lock (Stand: 8. Oktober 2026)

Bitte beachten Sie:

• Die Liste ist nicht vollständig. Daraus, dass Endungen wie .org, .tr oder .tv fehlen, lässt sich nicht schließen, dass sie Registry Lock nicht unterstützen.
• Aus der .au-Familie enthält die Tabelle nur .au, .com.au, .net.au und .org.au; weitere .au-Endungen sind nicht aufgeführt.
• Steht eine Endung auf der Liste, heißt das nicht, dass jeder Registrar den Dienst dafür anbietet. Klären Sie den aktuellen Stand für Ihre Domain mit Ihrem Anbieter.
• Auch Verisign selbst nennt in seiner Dokumentation .com, .net, .cc und .name.

Wie ändere ich eine gesperrte Domain?

Die Sperre wird vorübergehend aufgehoben, die Änderung durchgeführt und die Sperre wieder gesetzt. Die Details unterscheiden sich je nach Registry und Anbieter, im Kern läuft es aber so ab:

1. Antrag: Eine vorab berechtigte Person beantragt die Änderung über den vom Anbieter festgelegten Kanal.
2. Prüfung: Der Anbieter stellt sicher, dass der Antrag tatsächlich von einer berechtigten Person kommt, etwa per Rückruf an eine hinterlegte Nummer, über ein unterschriebenes Formular oder ein vereinbartes Kennwort.
3. Freigabe durch die Registry: Der Registrar leitet den Antrag weiter; die Registry hebt die Sperre nach eigener Prüfung auf.
4. Änderung: Die Nameserver-, Kontakt- oder Transferänderung wird durchgeführt.
5. Erneut sperren und bestätigen: Die Sperre wird wieder gesetzt; manche Registries tun das nach einer festgelegten Frist automatisch. Lassen Sie sich vom Anbieter bestätigen, dass die Sperre wieder aktiv ist.

Die zusätzliche Sicherheit entsteht nicht dadurch, dass der Vorgang länger dauert, sondern durch eine Berechtigungsprüfung, die getrennt von normalen Aktionen im Kundenmenü läuft. Weil dabei meist Menschen beteiligt sind, hängt die Dauer von den Abläufen der Registry, der Prüfmethode und dem Verfahren des Anbieters ab. Geht ein zum Entsperren genutztes Kennwort oder ein Code verloren, greift ein registry-spezifisches Verfahren, das länger dauern kann.

Grenzen von Registry Lock und Planung im Betrieb

Registry Lock schützt die Registrierungsdaten bei der Registry. Für sich allein verhindert es nicht:

• Angriffe auf Ihren Hosting-Server oder Ihre Webanwendung.
• Die Übernahme Ihres Kontos beim DNS-Anbieter.
• Änderungen an Einträgen in Ihrer DNS-Zone.
• DDoS-Angriffe.
• Kompromittierte E-Mail-Konten.
• Risiken durch eine nicht überwachte Laufzeit. Eine Sperre garantiert nicht, dass eine nicht verlängerte Domain weiter funktioniert.

Änderungen vorausplanen

Bei Projekten mit Wechsel des Hosting- oder DNS-Anbieters, Rechenzentrumsumzug oder Nameserver-Update gehört die Zeit für das Entsperren in den Projektplan. Wer die Änderung in eine ruhige Phase legt, begrenzt die Folgen möglicher Verzögerungen.

Berechtigte Kontakte und Prüfkanäle aktuell halten

Die Liste der Personen, die eine Entsperrung beantragen dürfen, und deren Kontaktdaten müssen stets aktuell sein; scheidet jemand aus, passen Sie die Liste sofort an. Laufen alle Kontakt-E-Mails über die geschützte Domain, erreichen Sie Benachrichtigungen womöglich nicht, wenn genau diese Domain ein Problem hat. Mindestens eine Kontaktadresse unter einer anderen Domain verringert dieses Risiko.

Mit weiteren Schutzmaßnahmen kombinieren

Aktivieren Sie 2FA für Ihre Konten bei Registrar und DNS-Anbieter, beschränken Sie den Zugang zum Kundenmenü auf die Personen, die ihn brauchen, und prüfen Sie regelmäßig die automatische Verlängerung und die hinterlegte Zahlungsmethode.

Kommt Ihre Domain für Registry Lock infrage?

Nennen Sie dem Support-Team von Atak Domain Ihre Domain und erfahren Sie mehr über Verfügbarkeit, aktuelle Preise und Bedingungen.

Häufige Fragen

Was unterscheidet Registry Lock von einer normalen Transfersperre?

Eine Transfersperre lässt sich im Kundenmenü ein- und ausschalten, also auch von jemandem, der in Ihr Konto eindringt. Registry Lock liegt bei der Registry, lässt sich nur mit zusätzlicher Prüfung aufheben und deckt neben Transfers auch Löschung und Änderungen ab.

Kann ich bei aktivem Registry Lock die Nameserver ändern?

Nicht, solange die Sperre aktiv ist; serverUpdateProhibited verhindert das. Für die Änderung wird die Sperre vorübergehend aufgehoben.

Werden auch DNS-Einträge gesperrt?

Nein. Einträge wie A, MX, TXT und CNAME liegen bei Ihrem DNS-Anbieter; Registry Lock betrifft nur die Daten bei der Registry.

Lässt sich eine Domain mit Registry Lock verlängern?

Die Standardstatus von Registry Lock blockieren keine Verlängerung; dafür gibt es einen eigenen EPP-Status. In der Regel ist die Verlängerung möglich. Klären Sie die Regeln Ihrer Endung und Ihres Anbieters aber vorab.

Gibt es Registry Lock für jede Endung?

Nein. Die Registry muss den Dienst anbieten und Ihr Registrar den Zugang ermöglichen. Fragen Sie Ihren Anbieter nach Ihrer Endung.

Kostet Registry Lock extra?

Registries berechnen den Dienst meist gesondert; Endpreis und Abrechnungszeitraum richten sich nach den Bedingungen von Registry und Registrar. Den aktuellen Preis für Ihre Domain nennt Ihnen das Support-Team von Atak Domain.

Wie lange dauert das Entsperren?

Eine feste Dauer gibt es nicht; sie hängt von Registry und Anbieter ab. Da eine zusätzliche Prüfung und die Freigabe durch die Registry nötig sind, sollten Sie nicht mit wenigen Minuten rechnen und geplante Änderungen frühzeitig anstoßen.

Brauche ich Registry Lock, wenn ich DNSSEC und 2FA nutze?

Die Maßnahmen decken unterschiedliche Risiken ab. Wäre ein Domain-Ausfall für Ihr Unternehmen teuer, ist Registry Lock eine dritte Ebene, die kritische Änderungen auch bei kompromittiertem Konto stoppt.

Quellen

• ICANN – EPP Status Codes: What Do They Mean, and Why Should I Know?
• IETF RFC 5731 – EPP Domain Name Mapping (Abschnitt 2.3: Statuswerte)
• Verisign – Registry Lock Service
• Switch (.ch/.li registry) – Security: Registry Lock