DNS-Abuse: Wie Domains zu Werkzeugen für Phishing und Malware werden und wer dagegen vorgeht

Hinter jeder Browser-Eingabe, jeder versendeten E-Mail und jedem Onlineshop-Besuch arbeitet ein System, das im Verborgenen bleibt: das Domain Name System (DNS). Es übersetzt leicht zu merkende Namen wie ionos.de in die IP-Adressen, die Computer tatsächlich verwenden, eine Art Telefonbuch des Internets. Weil das DNS so zentral und so unsichtbar ist, wird es aber auch missbraucht. Dieser Missbrauch hat einen Namen: DNS-Abuse.

Für Domain- und Website-Betreiber ist das keine abstrakte Branchendebatte. DNS-Abuse ist der Grund, warum Phishing-Mails im Postfach landen und warum eine gepflegte Website plötzlich Schadsoftware verteilt. Höchste Zeit, das Thema verständlich aufzuschlüsseln: Was ist DNS-Abuse, wer ist zuständig, was sagen die aktuellen Zahlen, und was kann man selbst tun?

Was ist DNS-Abuse?

Das Domain Name System ermöglicht die Vernetzung, auf die wir uns täglich verlassen, und ist wie jedes System im Internet nicht vor Missbrauch gefeit. Die Branche hat sich auf eine Definition von technischem DNS-Abuse geeinigt, die fünf Kategorien schädlicher Aktivitäten umfasst:

Phishing – gefälschte Websites und E-Mails, die Zugangs- oder Bankdaten abgreifen
Pharming – die heimliche Umleitung auf gefälschte Seiten
Malware – die Verbreitung von Schadsoftware wie Trojanern oder Ransomware
Botnets – Netzwerke gekaperter Rechner, die ferngesteuert werden
Spam – aber nur in Verbindung mit einer der übrigen Bedrohungen

Diese fünf Kategorien bilden heute die gemeinsame globale Grundlage. Sie finden sich auch in den Verträgen wieder, die die Internet-Verwaltungsorganisation ICANN mit Registries und Registraren schließt.

Der Stand der Debatte über DNS-Abuse

Lange war diese Definition umstritten, doch nach Jahren der Konsensbildung ist der Streit weitgehend beigelegt: Seit April 2024 sind Registries und Registrare vertraglich verpflichtet, gut belegte Meldungen zügig zu bearbeiten. Damit ist aus einer ehemaligen freiwilligen Best Practice eine verbindliche Pflicht geworden – das Ergebnis jahrelanger Arbeit an der Definition, Prävention und Mitigation von DNS-Abuse.

Offen bleibt vor allem eine Frage: Wo endet der technische Missbrauch, und wo beginnt die Debatte um problematische Inhalte? Ein Phishing-Angriff besteht aus beidem, einer böswillig registrierten Domain und einer betrügerischen Website. Das schärfste Werkzeug auf DNS-Ebene, die Suspendierung einer Domain, bedeutet: Eine Domain wird global vom Netz genommen, mit Website, E-Mail und allen Subdomains, es werden aber keine Inhalte entfernt. Wird versehentlich ein legitimer Dienst getroffen, richtet die „Lösung“ mehr Schaden an als das Problem. Genau deshalb konzentriert sich die aktuelle ICANN-Policy bewusst auf klar umrissene technische Schäden und überlässt Inhaltsfragen anderen, dafür geeigneten Verfahren.

Kompromittierte oder böswillig registrierte Domains?

Für die Praxis ist eine Unterscheidung zentral: Wurde eine Domain von vornherein böswillig registriert, um Schaden anzurichten? Oder handelt es sich um eine legitime, kompromittierte Domain, eine echte Website, die gehackt wurde? Der Unterschied entscheidet über die richtige Reaktion. Bei einer frisch registrierten Betrugsdomain kann schnell und risikoarm gehandelt werden. Hinter einer kompromittierten Website steht dagegen ein unschuldiger Registrant, der selbst Opfer ist – eine Suspendierung würde die Falschen treffen. Meist passiert die Kompromittierung über eine nicht geschlossene Sicherheitslücke im CMS; das „Fenster“ lässt sich nur gemeinsam mit Hoster und Betreiber schließen.

Der praktische Rat: Wer die eigene Website pflegt, senkt das Risiko erheblich, ungewollt Teil des Problems zu werden. Regelmäßige Updates von CMS und Plug-ins sind dabei der wirksamste Schutz vor Malware.

Wer ist zuständig?

Das ist die vielleicht wichtigste und am häufigsten missverstandene Frage. Rowena Schoo vom NetBeacon Institute hat dafür im Interview „It’s all about domains“ eine einfache Formel: „richtiger Akteur, richtige Ebene“. Die Faustregel: zuerst die Stelle kontaktieren, die dem Inhalt am nächsten ist, und sich nur bei Untätigkeit die Kette nach oben arbeiten:

Content- bzw. Hosting-Ebene: der Webhoster, der die schädlichen Inhalte ausliefert
DNS-Anbieter
Registrar: die Stelle, bei der die Domain registriert wurde
Registry: die Verwaltungsstelle der Top-Level-Domain

Nicht jeder Schaden gehört auf die DNS-Ebene. Bei Markenrechtsverletzungen etwa fehlt Registraren und Registries die juristische Zuständigkeit; solche Fälle laufen über eigene Verfahren wie die UDRP, wie Charlotte Spencer (WIPO) erläutert.

Wer einen Missbrauchsfall melden möchte, findet im Leitfaden Internet-Abuse erkennen und richtig melden eine Schritt-für-Schritt-Anleitung inklusive Werkzeugen wie dem kostenlosen NetBeacon Reporter.

Die Zahlen von DNS-Abuse für 2026

Für den Global Domain Report 2026 hat das NetBeacon Institute Daten von Dezember 2024 bis November 2025 ausgewertet:

Phishing dominiert: Rund 98 % aller Fälle entfielen auf Phishing, nur knapp 2 % auf Malware.
Die meisten Fälle sind Absicht: Etwa 85 % der missbräuchlichen Domains waren böswillig registriert, nur rund 15 % kompromittiert. Bei New gTLDs lag der böswillige Anteil bei 98 %, bei Legacy gTLDs und ccTLD-Domains niedriger (69 % bzw. 76 %). Dort sind anteilig mehr legitime, gehackte Websites betroffen.
Der Missbrauch bleibt beherrschbar: Im Schnitt waren nur rund 8,2 von 100.000 Domains betroffen, und große, gut geführte Namespaces wie .de zählen zu den sichersten der Welt.

Die Fälle werden zunehmend besser behoben. Bei den böswillig registrierten Domains stieg die Behebungsrate auf zuletzt rund 91 % (nach etwa 80 % im Vorjahr), bei den kompromittierten Domains liegt sie stabil bei rund 52 %. Etwa 73 % aller Fälle wurden binnen 72 Stunden entschärft, ein großer Teil schon in den ersten 24 Stunden. Mehr Kontext und die vollständige Auswertung liefert der Global Domain Report 2026.

Was bedeutet das in der Praxis?

Gegen DNS-Abuse gibt konkrete Hebel, und die wichtigsten liegen näher, als man denkt:

Phishing erkennen: Ein prüfender Blick auf Absenderadresse und tatsächliches Linkziel entlarvt die meisten Betrugsversuche – so erkennen Sie Phishing-Mails.
Website aktuell halten: Kompromittierte Domains entstehen fast immer durch veraltete Software.
E-Mail-Domain absichern: SPF, DKIM und DMARC erschweren den Missbrauch der eigenen Domain für den E-Mail-Versand.
DNSSEC nutzen: Die signierte Namensauflösung schützt vor Manipulationen wie DNS-Spoofing.
Missbrauch melden: Eine gute Meldung hilft dem ganzen Ökosystem.

Vertrauen ist die eigentliche Währung

DNS-Abuse ist die leise Schattenseite des Internets und ein gutes Beispiel dafür, wie das Netz seine Probleme angeht: nicht per Knopfdruck, sondern durch klare Zuständigkeiten und messbare Fortschritte. Die Zahlen für 2026 zeigen, dass dieses Modell funktioniert.

Für Domain-Inhaber bleibt eine Erkenntnis zentral: In einer Welt aus Deepfakes und KI-generierten Fake-Seiten wird die Domain zum entscheidenden Vertrauensanker. Wer sie sauber und sicher führt, schützt nicht nur sich selbst, sondern trägt zu einem Internet bei, dem man vertrauen kann.