Das kaputte System

Jede Missbrauchsmeldung, die wir versenden, folgt einem klaren Protokoll: Domain-URL, Kategorie (Possibly phishing, Krypto-Drainer, gefälschtes Casino), Anzahl der Erkennungen bei VirusTotal, Screenshot-Beweismaterial und Status auf der Blacklist. Das sind keine vagen Beschwerden – es handelt sich um forensische Dossiers. Und dennoch bleibt eine Domain nach der anderen online für Wochen und Monate nach dem ersten Bericht.

Es gibt keinen einheitlichen Standard dafür, wie Registrare mit Missbrauchsmeldungen umgehen müssen. Keine SLA. Keine vorgeschriebene Reaktionszeit. Keine Kennzahl zur Rechenschaftspflicht. Jeder Registrar entscheidet selbst, ob eine Domain, die von 16 Antiviren-Engines verdient Beachtung – oder eine Standardantwort und ein geschlossenes Ticket.

Wer setzt sich über 16 Antiviren-Engines hinweg?

Das ist die Frage, die kein Registrar beantworten möchte. Wenn Kaspersky, ESET, Fortinet, BitDefender, Sophos, G-Data und zehn weitere Sicherheitsanbieter stufen eine Domain auf VirusTotal als bösartig ein – woraufhin das Abuse-Team des Registrars beschließt, „Keine Maßnahmen erforderlich“ — Wer genau hat diesen Anruf getätigt?

Man stelle sich einmal diese Absurdität vor: Ein einziger Missbrauchsanalyst bei einer Registrierungsstelle setzt sich über die gesammelten Erkenntnisse der Bedrohungsanalyse von 16 unabhängige Antiviren-Engines, die jeweils über Milliarden von Datenpunkten, eigene Forschungslabore und jahrzehntelange Erfahrung verfügen. Auf welcher Grundlage? Über welche Scan-Infrastruktur verfügt ein Missbrauchsbekämpfungsteam bei IANA #3765 oder GlobalDomainGroup, die die von Kaspersky übertrifft?

Die Antwort ist einfach: keine. Sie prüfen nicht. Sie verifizieren nicht. Entweder sehen sie sich den Bericht gar nicht erst an, oder sie ziehen eine finanzielle Bilanz: Eine aktive Domain generiert Einnahmen, eine gesperrte Domain hingegen nicht.

Lassen Sie uns ganz klar sagen, was das bedeutet: Jemand bei der Registrierungsstelle hat sich die Beweise von 13 unabhängigen Sicherheitsanbietern und 13 separaten Missbrauchsmeldungen angesehen – und entschieden, dass das eigene Urteil darüber steht. Das ist kein Fehler. Das ist eine Richtlinie.

Keine Autorität, die sie respektieren

Nennen Sie mir einen einzigen Antiviren-Anbieter, den Registrare als maßgebend ansehen. Das können Sie nicht – denn es gibt keinen.

• Kaspersky — Erkennt die Domain? Wird ignoriert.
• ESET — wird es als Possibly phishing markiert? Ignoriert.
• Fortinet — blockiert es auf Netzwerkebene? Wird ignoriert.
• BitDefender — warnt Millionen von Nutzern? Wird ignoriert.
• Google Safe Browsing — das größte Web-Sicherheitssystem der Welt? Wird immer noch ignoriert.

Es gibt keine Nachweisgrenze in denen ein Registrar zum Handeln verpflichtet ist. Nicht 5 Suchmaschinen. Nicht 10. Nicht 16. Eine Domain kann von jedem Antiviren-Anbieter auf VirusTotal markiert sein, auf mehreren Blacklists stehen und ein Dutzend Missbrauchsmeldungen erhalten haben – und der Registrar ist dennoch zu keinerlei Maßnahmen verpflichtet.

Das ist keine Lücke im System. Das ist das System. Die Domain-Registrierungsbranche hat es erfolgreich vermieden, sich an verbindliche Standards halten zu müssen, die sie dazu verpflichten würden, die Erkenntnisse von Sicherheitsforschern, Antiviren-Anbietern oder Threat-Intelligence-Plattformen zu berücksichtigen. Wenn 16 von 70 Scannern eine Domain erkennen – dann ist das kein „vielleicht“. Das ist ein Konsens. Und das Missbrauchsteam des Registrars, das über keinerlei Scan-Infrastruktur verfügt und ein finanzielles Interesse daran hat, die Domain am Leben zu erhalten, setzt sich über diesen Konsens hinweg.

Der finanzielle Anreiz

Domain-Registrare erheben für jede Domain jährliche Gebühren. Jede Sperrung bedeutet einen Einnahmeverlust. Jede Abschaltung birgt das Risiko einer Rückerstattung. Es gibt einen direkten, messbaren finanziellen Anreiz, Domains aktiv zu halten – und keine finanziellen Sanktionen für das Ignorieren von Missbrauchsmeldungen.

Das gilt jedoch nicht für alle Infrastrukturanbieter. IANA #1910… bearbeitet beispielsweise Missbrauchsmeldungen effizient und erzielt keine Einnahmen aus Domain-Registrierungen in gleicher Weise. Dieser Unterschied ist von Bedeutung: Wenn das Unternehmen, das Ihre Meldung bearbeitet, davon profitiert, dass die Domain online bleibt, liegt ein struktureller Interessenkonflikt vor.

Die Fakten: Live-Daten aus unseren Berichten

Nachfolgend finden Sie einen Auszug aus unserem Eskalationsprotokoll für Missbrauchsfälle vom März 2026. Jeder Eintrag steht für eine echte Possibly phishing-Domain, die noch aktiv zum Zeitpunkt der Berichterstattung, trotz früherer Berichte und bestätigter Nachweise.

VT = VirusTotal erkannte Bedrohungen, ermittelt anhand von ca. 70 Scan-Engines. „Aktiv“ = Stunden seit der ersten Erkennung zum Zeitpunkt der Eskalation. Daten: THE ENABLERS REGISTRY-Eskalationsprotokoll für Missbrauchsfälle, 19.–21. März 2026.

Die Zahlen lügen nicht

Die Wiederholungstäter: Aufschlüsselung nach Standesämtern

Nicht alle Registrare sind gleich. Unsere Daten zeigen deutliche Muster – einige Registrare tauchen immer wieder unter den Einträgen mit der schlechtesten Leistung auf.

Gesamtzahl der Stunden, in denen der Registrator untätig war

Gesamtzahl der aktiven Stunden aller gemeldeten Domains pro Registrar in unserem Datensatz vom März 2026. Dies entspricht nicht dem gesamten Missbrauch durch Registrare – sondern lediglich dem, was wir in einer Stichprobe festgestellt haben.

Was wir senden vs. was sie tun

Jede Missbrauchsmeldung bei THE ENABLERS REGISTRY enthält:

Nachdem die Registrierungsstelle nicht reagiert hat, eskalieren wir den Fall an Einhaltung der ICANN-Vorgaben (compliance@icann.org). In jedem der oben genannten Fälle wurde die ICANN im zweiten oder einem der nachfolgenden Berichte in Kopie gesetzt. Das Ergebnis? Ebenso keine Reaktion.

Der ICANN-Standard, den es nicht gibt

ICANNs Registrar-Akkreditierungsvereinbarung (RAA), Abschnitt 3.18 verpflichtet Registrare dazu, eine Kontaktstelle für Missbrauchsfälle zu unterhalten und „angemessene und unverzügliche Maßnahmen zu ergreifen, um Meldungen über Missbrauch zu untersuchen und angemessen darauf zu reagieren“.

In der Praxis bedeutet „angemessen und unverzüglich“ das, was der Registrator darunter versteht. Es gibt:

• Keine maximale Antwortzeit — Ein Registrierungsdienstleister kann wochenlang warten und behaupten, dies sei „angemessen“ gewesen
• Keine Schwelle für eine obligatorische Sperre — 16 VT-Erkennungen lösen nicht automatisch irgendetwas aus
• Keine Verpflichtung zur öffentlichen Berichterstattung — Die Registrierstellen müssen weder veröffentlichen, wie viele Meldungen sie erhalten, noch, welche Maßnahmen sie daraufhin ergreifen.
• Keine nennenswerte Strafe — Die ICANN hat bisher nur selten eine Akkreditierung wegen Untätigkeit bei Missbrauchsfällen entzogen

Das Ergebnis: Registrare betrachten die Bearbeitung von Missbrauchsfällen als Kostenfaktor, den es zu minimieren gilt, und nicht als Sicherheitsverpflichtung, die es zu erfüllen gilt.

Sie gehen gegen Typosquatting vor – aber nicht gegen Possibly phishing

Und das macht die Sache noch absurder. Einige derselben Registrare, die Possibly phishing-Meldungen monatelang ignorieren, gehen bei einer bestimmten Art von Missbrauch äußerst effizient vor: Typosquatting — Domains, die verwechselbar ähnlich zu etablierten Markennamen sind.

Warum? Weil Typosquatting darauf abzielt, Unternehmen mit Rechtsbudgets. Wenn Google, Apple oder Microsoft eine UDRP-Beschwerde wegen einer ähnlich klingenden Domain einreichen, reagieren die Registrare innerhalb weniger Tage. Die Gefahr von Rechtsstreitigkeiten und ICANN-Sanktionen wegen Markenmissbrauchs ist real und unmittelbar.

Aber was ist, wenn eine Possibly phishing-Domain einzelnen Opfern Geld stiehlt? Wenn ein „Crypto Drainer“ jemandem die gesamten Ersparnisse raubt? Wenn ein gefälschtes Casino Kreditkartendaten von Spielern stiehlt? Keine Rechtsabteilung des Unternehmens. Keine UDRP-Klage. Keine Dringlichkeit. Die Abteilung für Missbrauchsfälle der Registrierungsstelle wendet einen anderen Maßstab an – einen, bei dem der finanzielle Schaden des Opfers nicht dieselbe Reaktion auslöst wie die Bedenken einer Marke hinsichtlich ihrer Markenrechte.

Die Botschaft ist klar: Registrare schützen Marken, nicht Menschen. Sie reagieren auf rechtliche Befugnisse, nicht auf Nachweise für einen Schaden. Unsere Berichte enthalten mehr objektive Beweise als jede UDRP-Klage – VirusTotal-Scans, Antiviren-Erkennungen, Bestätigungen von Blacklists, Screenshots – und dennoch bleiben sie unbeantwortet.

Wir machen ihre Arbeit – kostenlos

THE ENABLERS REGISTRY ist ein unabhängiges, nichtkommerzielles Projekt. Wir scannen Domains. Wir klassifizieren Bedrohungen. Wir erstellen VirusTotal-Berichte. Wir machen Screenshots. Wir verfassen detaillierte Missbrauchsberichte und senden diese an Registrare, Registries und die ICANN. Wir übernehmen die Sicherheitsaufgaben, die eigentlich von den Registrierungsstellen selbst erledigt werden sollten.

Und hier ist die unangenehme Wahrheit: Einige Registrare übernehmen diese Aufgabe tatsächlich. Einige Registrare betreiben ihre eigene Infrastruktur zur Domain-Überprüfung, nutzen private Threat-Intelligence-Feeds und sperren bösartige Domains proaktiv, noch bevor sie überhaupt gemeldet werden. Es gibt sie. Sie beweisen, dass es möglich ist.

Die Frage ist nicht, ob eine schnelle Reaktion auf Missbrauch möglich ist. Das ist es. Die Frage ist, warum sich manche Registrare dagegen entscheiden. Und die Antwort führt jedes Mal wieder auf denselben strukturellen Anreiz zurück: Aktive Domains generieren Einnahmen. Gesperrte Domains tun dies nicht.

Maßgebliche Standards, die gelten sollten

Der Rahmen für die Rechenschaftspflicht von Registrierstellen ist bereits vorhanden – er wird nur nicht durchgesetzt:

50.000 Domains – und es werden immer mehr

Die obigen Beispiele sind ein Auszug aus einer einzelnen Woche. Das tatsächliche Ausmaß ist atemberaubend.

Unser ständig aktualisierter Bedrohungs-Feed unter content_active.txt enthält über 50.000 Domains, die als bösartig gemeldet wurden. Für jede davon ging mindestens eine Missbrauchsmeldung ein. Bei vielen waren es sogar mehrere. Die Registrare erhielten die Beweise – die VirusTotal-Scans, die Screenshots, die Bestätigungen der Aufnahme in die Blacklist – und entschieden sich dennoch für ihre Kunden statt für die Sicherheit der Öffentlichkeit.

Denn genau darum geht es hier: eine Wahl. Der Kunde des Registrars ist die Person, die die Domain registriert hat – der Betrüger. Der Kunde des Registrars ist nicht die Großmutter, die ihre Ersparnisse auf einer gefälschten Bankseite verloren hat, oder der Krypto-Nutzer, dessen Wallet leergeräumt wurde, oder der Gamer, dessen [REDACTED]-Konto gestohlen wurde. Der Registrar hat sich für den Betrüger entschieden. Jedes Mal.

Von der Meldung bis zur Hilfe für die Opfer: Jede Stunde zählt

Sobald wir eine Missbrauchsmeldung absenden, läuft eine Frist an. Ab diesem Zeitpunkt ist die Registrierungsstelle offiziell bekannt dass eine von ihnen verwaltete Domain für betrügerische Zwecke genutzt wird. Jede Stunde, in der nach dieser Benachrichtigung nichts unternommen wird, ist eine Stunde, in der bewusste Mittäterschaft.

Viele Domains in unserem Datensatz überstehen nicht nur einige wenige Meldungen – sie bestehen so lange, bis ihre Die Anmeldefrist läuft ab. Sie durchlaufen den gesamten Zyklus: Registrierung, Betrug, Meldung, erneute Meldung, Eskalation an die ICANN, Fortsetzung des Betrugs, natürliches Ablaufen der Registrierung. Der Registrar hat die Registrierungsgebühr eingestrichen. Der Betrüger hat das gestohlene Geld eingestrichen. Die Opfer gingen leer aus.

Eine rechtzeitige Domain-Sperrung ist nicht nur eine Verwaltungsmaßnahme. Sie ist nicht nur „eine Unannehmlichkeit für den Registranten“. Es handelt sich um eine Rettungsaktion. Jede rechtzeitig gesperrte Domain bedeutet eine nicht leergeräumte Geldbörse, keine gestohlenen Zugangsdaten und kein leergeräumtes Sparkonto. Registrare, die solche Abschaltungen als „Zensur“ oder „Geschäftsbeeinträchtigung“ darstellen, zeigen damit deutlich, wessen Interessen sie vertreten.

Sollten Registrare den Opfern eine Entschädigung zahlen?

Hier ist die Frage, mit der sich die gesamte Domain-Registrierungsbranche nicht auseinandersetzen will:

Denken Sie mal darüber nach. Sobald die Registrierungsstelle den Bericht erhält, ist sie nicht mehr unwissend. Ihnen wurde unter Vorlage von Beweisen mitgeteilt, dass eine unter ihrer Kontrolle stehende Domain dazu genutzt wird, Geld, Zugangsdaten und Identitäten zu stehlen. Von diesem Moment an ist anhaltende Untätigkeit keine Fahrlässigkeit mehr – sie ist eine bewusste Entscheidung um Schaden zuzulassen.

• Ist der Registrator bereit, die Haftung zu übernehmen? für jeden Dollar, der über eine Domain gestohlen wurde, vor der sie gewarnt worden waren?
• Ist die Registrierungsstelle bereit, den Opfern eine Entschädigung zu zahlen? Wer hat Geld verloren, nachdem die Missbrauchsanzeige erstattet und ignoriert wurde?
• Ist die Rechtsabteilung des Registrars Verstehen Sie, dass die Aussage „Wir haben das geprüft und keine Probleme festgestellt“ – obwohl 16 Antiviren-Engines zu einem anderen Ergebnis kommen – keine vertretbare Position ist?

Wenn die Antwort auf alle drei Fragen „nein“ lautet, gibt es keinen triftigen Grund, die Domain weiterhin aktiv zu halten. Erst suspendieren, dann untersuchen. So arbeiten verantwortungsbewusste Infrastrukturanbieter. So arbeitet IANA #1910. So arbeiten Hosting-Anbieter wie Hetzner und IANA #433 zunehmend. Nur Domain-Registrare halten an einem Modell fest, bei dem die Bequemlichkeit des Betrügers Vorrang vor der Sicherheit des Opfers hat.

Wer zahlt den Preis?

Jede Stunde, in der eine Possibly phishing-Domain online bleibt, bedeutet direkt neue Opfer:

• Domains, die Kryptowährungen abziehen (farewex, perowex, xerowex, naebex) – Geldbörsen, die innerhalb von Sekunden leergeräumt wurden. Die insgesamt 4.658 Stunden, die die Domains von [REDACTED] in Betrieb waren, stehen für Tausende potenzieller Geldbörsenplünderungen.
• Gefälschte Casinos / CS:GO-Betrugsmaschen (casebattle-Varianten, csgomy, ggddrop, tastdrop) – Kreditkartenbetrug, Identitätsdiebstahl und manipulierte Spielergebnisse, die sich gegen Gamer richten.
• Vortäuschung einer falschen Dienstidentität (dexscreener[.]at, [REDACTED][.]receipts[.]sh, amlbot[.]im, [REDACTED]) – Vortäuschung einer Markenidentität, die zum Diebstahl von Zugangsdaten und finanziellen Verlusten führt.
• Kardierinfrastruktur (patricksstash, stashhpatrick) – Verkauf gestohlener Zahlungsdaten an andere Kriminelle.

Was sich ändern muss

Das derzeitige Modell ist von Grund auf fehlerhaft. Registrare profitieren davon, dass Domains aktiv bleiben. Die ICANN verfügt über keine Durchsetzungsbefugnisse. Die Betroffenen haben keine Handhabe. Folgendes würde Abhilfe schaffen:

1. Verbindliche SLA für die Reaktion auf Missbrauch: Bestätigung innerhalb von 24 Stunden, erste Maßnahmen innerhalb von 72 Stunden, Eskalationspfad innerhalb von 7 Tagen. Messbar. Nachprüfbar.
2. Schwellenwert für die automatische Sperrung: Jede Domain mit ≥10 Erkennungen bei VirusTotal und mindestens 2 unabhängigen Meldungen muss bis zur Überprüfung gesperrt werden – nicht umgekehrt.
3. Öffentliche Berichte zur Transparenz bei Missbrauchsfällen: Jeder von der ICANN akkreditierte Registrar muss vierteljährlich folgende Angaben veröffentlichen: eingegangene Meldungen, durchschnittliche Bearbeitungszeit, ergriffene Maßnahmen, gesperrte Domains.
4. Geldstrafen bei Nichteinhaltung: Gestaffelte Bußgelder für Registrare, die systematisch ihren Verpflichtungen nicht nachkommen. Entzug der Akkreditierung bei Wiederholungstätern.
5. Unabhängiger Ombudsmann für Missbrauchsfälle: Eine unabhängige Stelle, die Entscheidungen von Registrierstellen überprüfen, Untätigkeit außer Kraft setzen und bei kritischen Bedrohungen Sperrungen im Eilverfahren veranlassen kann.
6. Sperrliste für mehrere Registrare: Wird bei einem Registranten festgestellt, dass er ein Serientäter ist, sollten alle akkreditierten Registrare darüber informiert werden. Kein „Domain-Shopping“ mehr.

Was THE ENABLERS REGISTRY dagegen unternommen hat

Wir verfassen keine Berichte und warten nicht darauf, dass sich die Branche von selbst reformiert. Wir entwickeln Systeme, die Transparenz erzwingen und Konsequenzen für Untätigkeit nach sich ziehen.

THE ENABLERS REGISTRY – wir schützen keine Marken. Wir setzen uns nicht für Opfer ein. Wir zerstören Possibly phishing- und Betrugsinfrastrukturen.

Fazit

Wenn 16 Antiviren-Engines eine Domain als bösartig einstufen und ein Registrar „keine Maßnahmen“ ergreift, handelt der Registrar nicht nach eigenem Ermessen – er schützt vielmehr seine Einnahmen. Wenn 13 separate Missbrauchsmeldungen unbeantwortet bleiben und eine Domain 1.352 Stunden lang aktiv bleibt, arbeitet der Registrar nicht einen Rückstand ab – er ermöglicht damit Kriminalität.

Die Daten in diesem Artikel sind nicht theoretischer Natur. Es handelt sich um unser Echtzeit-Protokoll zur Eskalation von Missbrauchsfällen aus einer einzigen Woche im März 2026 – und dahinter stehen Über 50.000 gemeldete Domains in unserem ständig aktualisierten Bedrohungs-Feed. Dies ist kein isoliertes Problem, das nur einen Registrar betrifft. Es handelt sich um ein branchenweites Versagen dass das Ökosystem der Domainregistrierung kein Interesse daran hat, dies zu beheben, da das derzeitige Modell profitabel ist.

Es gibt keinen Antiviren-Anbieter, dessen Feststellungen die Registrare berücksichtigen müssen. Es gibt keine Erkennungsschwelle, die zwingende Maßnahmen auslöst. Es gibt kein SLA, keine Rechenschaftspflicht, keine Konsequenzen. Der Registrar kassiert die Gebühr, ignoriert die Berichte, und die Opfer zahlen den Preis.

Registrare sind keine neutralen Infrastrukturanbieter. Sie sind die „Gatekeeper“, die sich – jeden Tag, mit jeder ignorierten Meldung – dafür entscheiden, kriminelle Infrastrukturen online zu lassen. Sie wissen um den Schaden. Sie haben die Macht, ihn zu stoppen. Sie entscheiden sich dagegen. Und solange niemand ihnen die einzige Frage stellt, auf die es ankommt – „Sind Sie bereit, die Opfer der Domains, deren Sperrung Sie abgelehnt haben, zu entschädigen?“ — Es wird sich nichts ändern.

Das Schweigen der Branche zu dieser Frage ist die deutlichste Antwort von allen.