Registry Lock für Domain-Reseller und Hoster: ein Praxisleitfaden

Registry Lock ist ein zusätzlicher Sicherheitsdienst, der Transfer, Löschung und Änderungen an Registrierungsdaten wie Nameservern direkt bei der Registry blockiert. Die Registry ist der zentrale Betreiber einer Domain-Endung; bei .com und .net ist das Verisign. Die üblichen Berechtigungen im Kundenmenü oder in der API des Registrars reichen allein nicht aus, um die Sperre aufzuheben; dafür ist das zusätzliche Prüfverfahren der Registry nötig. Für Reseller und Hoster ist Registry Lock Chance und Verantwortung zugleich: Sie bieten Kunden mit geschäftskritischen Domains einen handfesten Schutz und sind selbst Teil des Prüfverfahrens, weil Entsperranfragen über Ihren Support laufen.

Was leistet Registry Lock technisch?

Registries und Registrare kommunizieren über EPP (Extensible Provisioning Protocol). Status mit dem Präfix „client“ setzt und entfernt der Registrar, Status mit dem Präfix „server“ die Registry – und diese kann der Registrar nicht ändern. Registry Lock nutzt genau diesen Unterschied und setzt in der Regel drei Status gemeinsam:

Status	Abgewiesener Vorgang
`serverTransferProhibited`	Transfer der Domain zu einem anderen Registrar
`serverUpdateProhibited`	Änderung der bei der Registry gespeicherten Daten wie Nameserver, Kontakte und Inhaber
`serverDeleteProhibited`	Löschung der Domain

Umfang und Ausnahmen hängen von der Registry ab. Verisign gibt an, dass bei seinen Endungen alle drei Status vorhanden sein müssen, damit der Dienst als aktiv gilt; dieselben Status können aber auch aus anderen Gründen gesetzt werden, etwa bei einem Rechtsstreit. Sagen Sie Kunden daher nicht „Wenn Sie diese Codes im WHOIS sehen, ist die Sperre aktiv“, sondern lassen Sie den Status von Ihrem Anbieter bestätigen. Die Verlängerung wird über einen eigenen Status (serverRenewProhibited) gesteuert, der nicht zum Standardumfang gehört; gesperrte Domains lassen sich daher meist ganz normal verlängern.

Die Prüfkette: Ihre Rolle als Reseller

Auf einer Reseller-Plattform ist eine Entsperrung kein einzelner Schritt, sondern durchläuft mehrere Stufen. Wer von Anfang an klar regelt, was auf jeder Stufe geprüft wird, vermeidet Sicherheitslücken ebenso wie unnötige Verzögerungen.

Stufe	Verantwortung	Worauf zu achten ist
Endkunde	Die berechtigte Person, die die Änderung beantragt	Der Antrag muss von einer Person auf der vorab vereinbarten Liste berechtigter Kontakte kommen.
Reseller / Hoster	Prüfen, ob der Antrag wirklich vom Kunden stammt, und ihn an den Anbieter weitergeben	Eine E-Mail im Ticket reicht nicht; nutzen Sie einen zweiten Kanal, etwa einen Rückruf an die hinterlegte Nummer.
Registrar	Antrag an die Registry weiterleiten und eigene Prüfung durchführen	Das Verfahren unterscheidet sich je nach Anbieter und läuft meist manuell.
Registry	Sperre nach eigenem Verfahren aufheben und wieder setzen	Verisign führt diesen Schritt über eine separate Prüfung außerhalb der EPP-Verbindung durch.

Der Faktor Mensch ist in diesem Ablauf ein echtes Risiko. Angreifer können versuchen, die Prüfung zu umgehen, indem sie den Support mit einer angeblich dringenden Änderung unter Druck setzen.

Nehmen Sie Entsperranfragen nur von Personen auf der schriftlichen Liste berechtigter Kontakte an.
Bestätigen Sie jede Anfrage über einen zweiten Kanal mit bereits hinterlegten Kontaktdaten, nie mit einer neuen Nummer oder Adresse aus der Anfrage selbst.
Lassen Sie „dringende“ Anfragen oder solche „im Auftrag der Geschäftsführung“ nicht am Standardprozess vorbei.
Dokumentieren Sie jede Anfrage mit der prüfenden Person und dem genutzten Kanal.

Was Registry Lock nicht schützt

Wer Erwartungen von Anfang an klar setzt, vermeidet spätere Missverständnisse. Registry Lock schützt die Daten bei der Registry; Folgendes liegt außerhalb seines Schutzbereichs:

DNS-Einträge: A-, MX- und TXT-Records liegen in der Zone beim DNS-Anbieter. Selbst bei gesperrten Nameservern kann jeder mit Zugriff auf das DNS-Panel Website- und E-Mail-Verkehr umleiten.
Ein kompromittiertes Reseller- oder Hosting-Panel: Wer darauf zugreift, kann DNS-Zonen, E-Mail-Konten oder Hosting-Dateien ändern.
Umzüge zwischen Konten: Wird eine Domain beim selben Registrar von einem Reseller-Konto in ein anderes verschoben, ist das bei der Registry kein Registrar-Wechsel; serverTransferProhibited greift dann womöglich nicht. Klären Sie mit Ihrem Anbieter, wie solche Umzüge abgesichert sind.
Abgelaufene Domains: Die Sperre garantiert nicht, dass eine nicht verlängerte Domain weiter funktioniert.
DDoS- und Anwendungsangriffe: Sie gehören auf Infrastruktur- und Anwendungsebene adressiert.

Welchen Kunden sollten Sie es anbieten?

Wie viel Registry Lock wert ist, hängt davon ab, was ein Domain-Ausfall den Kunden kosten würde.

Kundenprofil	Empfehlung	Begründung
E-Commerce, Zahlungsverkehr und Finanzen	Klarer Kandidat	Schon wenige Stunden Fehlleitung gefährden Umsatz und Kundendaten.
SaaS und Unternehmens-E-Mail	Klarer Kandidat	Single Sign-on (SSO) und E-Mail-Verifizierung hängen an der Domain.
Öffentliche Hand, Gesundheit und Bildung	Klarer Kandidat	Die Anforderungen an Vertrauen und Verfügbarkeit sind hoch.
Unternehmenswebsites ohne Transaktionen	Im Einzelfall prüfen	Hängt von der Bedeutung der Domain und der Änderungshäufigkeit ab.
Test-, Kampagnen- und kurzlebige Domains	Nach Risiko und Änderungshäufigkeit abwägen	Auch Kampagnendomains können kritisch sein; häufige Nameserver-Wechsel machen das Entsperren aber aufwendiger.

Welche Domain-Endungen unterstützen Registry Lock?

Den Dienst stellt die Registry bereit, den Zugang der Registrar; die Verfügbarkeit hängt also von der Endung ab. Beispiele aus der offiziellen Dokumentation der Registries:

Registry	Endungen	Quelle
Verisign	.com, .net, .cc, .name	Registry-Lock-Seite von Verisign
Switch	.ch, .li	Sicherheitsseite von Switch

Die Tabelle ist nicht vollständig; auch eine hier fehlende Endung kann den Dienst anbieten. Ob Registry Lock für die Endungen Ihrer Kunden bereitgestellt werden kann, klären Sie mit dem Team von Domain Name API.

Anfragen im Alltag abwickeln

Eine gesperrte Domain zu ändern heißt: Sperre vorübergehend aufheben, Änderung durchführen, Sperre wieder setzen. Auf Reseller-Seite empfiehlt sich dieser Ablauf:

Berechtigte von Anfang an festlegen: Lassen Sie sich bei der Aktivierung schriftlich bestätigen, wer eine Entsperrung beantragen darf, samt Kontaktdaten.
Anfrage dokumentieren: Lassen Sie die konkrete Änderung genau benennen, etwa die neuen Nameserver.
Über einen zweiten Kanal prüfen: Nutzen Sie eine vom Anfragekanal unabhängige Methode, zum Beispiel einen Rückruf an die hinterlegte Nummer.
An den Anbieter weitergeben: Folgen Sie dem Verfahren, das Ihr Anbieter festgelegt hat.
Erneute Sperre bestätigen: Lassen Sie sich nach Abschluss bestätigen, dass die Sperre wieder aktiv ist, und informieren Sie den Kunden.

Die zusätzliche Sicherheit entsteht nicht durch die Dauer des Vorgangs, sondern durch eine Berechtigungsprüfung außerhalb der üblichen Aktionen in Panel und API. Weil dabei meist Menschen beteiligt sind, schwankt die Dauer je nach Registry und Anbieter. Versprechen Sie in Ihrem Panel deshalb kein „Sperren und Entsperren per Klick“ und bitten Sie Kunden, Hosting-Umzüge oder Nameserver-Wechsel rechtzeitig anzukündigen.

So erklären Sie es Ihren Kunden

Eine kurze, ehrliche Erklärung erleichtert den Verkauf und erspart spätere Enttäuschungen. Drei Botschaften genügen:

Registry Lock stoppt Transfer, Löschung und Nameserver-Änderungen Ihrer Domain, auch wenn Ihr Panel-Passwort gestohlen wird.
DNS-Einträge, E-Mail- und Hosting-Konten schützt es nicht; dafür braucht es zusätzlich 2FA und saubere Zugriffsrechte.
Änderungen an einer gesperrten Domain erfordern eine zusätzliche Prüfung; teilen Sie uns geplante Arbeiten daher bitte vorab mit.

Zum Preis: Die Gebühren von Registry und Registrar unterscheiden sich je nach Endung. Holen Sie die aktuellen Kosten bei Ihrem Anbieter ein, bevor Sie einem Kunden ein Angebot machen.

Registry Lock im Zusammenspiel mit anderen Schutzebenen

Ebene	Was sie schützt	Grenze
Registry Lock	Transfer, Löschung und Änderungen bei der Registry	DNS-Zone, Hosting- und E-Mail-Konten
Transfersperre (Registrar)	Unbefugter Wechsel zu einem anderen Registrar	Wer Zugriff aufs Panel hat, kann sie aufheben
DNSSEC	Integrität von DNS-Antworten	Verhindert keine Änderungen über ein berechtigtes Konto
2FA	Anmeldung an Panels und Konten	Session-Diebstahl und Fehler berechtigter Nutzer

Seinen vollen Wert entfaltet Registry Lock erst, wenn alle diese Ebenen aktiv sind, in Ihrem eigenen Panel ebenso wie in den Konten Ihrer Kunden. Keine reicht für sich allein.

Registry-Lock-Optionen für Ihr Kundenportfolio

Nennen Sie dem Team von Domain Name API die Endungen, die Sie prüfen möchten, und erfahren Sie mehr über Verfügbarkeit, Reseller-Kosten und Bedingungen.

Registry Lock anfragen

Häufige Fragen

Kann ich Registry Lock über Domain Name API an meine Kunden weitergeben?

Verfügbarkeit und Bedingungen je Endung klären Sie mit dem Team von Domain Name API. Ob eine Domain infrage kommt, hängt von Registry und Endung ab.

Lässt sich Registry Lock über die API oder das WHMCS-Modul ein- und ausschalten?

Die üblichen API- oder Modulberechtigungen reichen allein nicht aus, um die Sperre aufzuheben; die zusätzliche Prüfung der Registry bleibt nötig. Wie Aktivierung und Entsperrung auf der Plattform ablaufen, erfahren Sie beim Team von Domain Name API.

Wer prüft Entsperranfragen?

Geprüft wird in mehreren Stufen: Der Reseller bestätigt, dass die Anfrage vom Kunden kommt; Registrar und Registry prüfen die Berechtigung nach eigenen Verfahren.

Sperrt Registry Lock auch DNS-Einträge?

Nein. A-, MX- und TXT-Records liegen beim DNS-Anbieter und außerhalb des Schutzbereichs von Registry Lock.

Lässt sich eine gesperrte Domain verlängern?

Die Standardstatus von Registry Lock blockieren keine Verlängerung; dafür gibt es einen eigenen EPP-Status. Klären Sie endungsspezifische Regeln vorab.

Kann ich eine gesperrte Domain in ein anderes Reseller-Konto verschieben?

Ein Umzug zwischen Konten beim selben Registrar ist bei der Registry kein Transfer; Registry Lock greift daher nicht in jedem Fall. Klären Sie mit Ihrem Anbieter, wie solche Umzüge abgewickelt und abgesichert werden.

Welche Entsperrzeit kann ich Kunden zusagen?

Keine feste. Sie hängt von Registry, Prüfmethode und Verfahren des Anbieters ab; bitten Sie Kunden, geplante Arbeiten rechtzeitig anzukündigen.