Stellen Sie sich vor: Es ist Anfang des Jahres, und Sie gehen als IT-Manager oder Unternehmer Ihre Fixkosten durch. Unter den Abonnements fällt Ihnen eine Reihe von Domainnamen ins Auge. Einer von einem Unternehmen, das Sie vor Jahren übernommen haben. Einer von einem alten Produktnamen. Einer aus der Zeit vor dem letzten Rebranding. Niemand nutzt sie mehr, die Websites sind längst offline. Also denken Sie sich: Warum zahlen wir eigentlich noch dafür? Ein paar Klicks später sind sie gekündigt und Sie haben ein paar Zehner pro Jahr gespart.
Es wirkt wie eine logische Bereinigung. Und genau darin liegt das Problem.
Anfang Juni 2026 veröffentlichte RTL Nieuws eine Untersuchung, die dies schmerzlich deutlich machte. Ein ethischer Hacker registrierte abgelaufene Domainnamen von Insolvenzverwaltern neu. Innerhalb weniger Wochen verschaffte er sich Zugang zu 258 Finanzakten von verschuldeten Personen, einschließlich Namen, Adressen, Bankkontonummern und sogar medizinischer Informationen. Die Vermögensverwalter hatten ihre alten Domains gekündigt, um Kosten zu sparen. Einer von ihnen hatte zwölf Domains gekündigt, was einer Einsparung von 120 Euro pro Jahr entsprach. Dadurch gerieten die Daten von Hunderten schutzbedürftiger Menschen in die Öffentlichkeit.
Dies ist kein Problem, das ausschließlich Verwalter betrifft. Es kann jeder Organisation passieren, die jemals einen Domainnamen genutzt und diesen später gekündigt hat. In diesem Artikel erläutere ich, was genau schiefgeht, welche Risiken Sie eingehen und was Sie stattdessen tun sollten.
Was bedeutet es eigentlich, wenn man einen Domainnamen kündigt?
Ein Domainname ist mehr als nur die Adresse Ihrer Website. An dieselbe Domain ist auch Ihre E-Mail-Adresse geknüpft. Denken Sie beispielsweise an [email protected] oder die E-Mail-Adresse eines Mitarbeiters. Solange Sie Eigentümer der Domain sind, gehen diese E-Mails bei Ihnen ein.
Wenn Sie eine Domain kündigen, geschieht etwas, das vielen Menschen nicht bewusst ist. Die Registrierung läuft aus und die Domain wird freigegeben. Jeder auf der Welt kann sie danach erneut registrieren, oft schon für ein paar Euro. Wer die Domain registriert, erhält ab diesem Zeitpunkt alle neuen E-Mails, die noch an diese Adresse gesendet werden. Nicht Ihre alten, bereits zugestellten Nachrichten, denn diese sind längst zugestellt und gelöscht. Aber alles, was Kunden, Lieferanten, Banken und Behörden weiterhin versenden, weil sie die Adresse noch in ihrem System gespeichert haben.
Der Unterschied zwischen den beiden Optionen ist groß:
- Kündigen und vergessen: Sie sparen zwar ein paar Euro, verlieren aber jegliche Kontrolle darüber, wer später an Ihrer alten Adresse mitliest.
- Behalten und ordentlich verwalten: Sie zahlen einen geringen Betrag pro Jahr, behalten aber die Kontrolle über die Domain und die E-Mails, die weiterhin dort eingehen.
Welche Risiken gehen Sie ein, wenn Sie einen alten Domainnamen verfallen lassen?
Die Risiken sind größer, als die meisten Organisationen annehmen. Hier die wichtigsten im Überblick:
- Abgefangene E-Mail. Ein neuer Inhaber der Domain liest alle eingehenden E-Mails mit. Dabei kann es sich um Rechnungen, Verträge oder sensible personenbezogene Daten handeln.
- Eine meldepflichtige Datenpanne. Gelangen personenbezogene Daten in die falschen Hände, liegt eine Datenpanne vor, die Sie der niederländischen Datenschutzbehörde melden müssen. Das kostet Zeit, Geld und Vertrauen.
- Übernahme von Konten. Viele Dienste senden die Passwort-Wiederherstellung an eine E-Mail-Adresse. Wer die E-Mail-Adresse einer alten Domain verwaltet, kann in manchen Fällen alte Konten übernehmen.
- Missbrauch Ihres Namens. Böswillige Personen können von Ihrer alten Domain aus Phishing-E-Mails versenden, die vertrauenswürdig wirken und Ihren Firmennamen enthalten.
Dass es sich hierbei nicht um ein theoretisches Risiko handelt, belegen die Zahlen. Im Jahr 2024 gingen bei der niederländischen Datenschutzbehörde eine Rekordzahl von 37.839 Meldungen über Datenschutzverletzungen ein, was einem Anstieg von fast fünfzig Prozent gegenüber dem Vorjahr entspricht. Fehler im E-Mail-Verkehr und Phishing gehören bereits seit Jahren zu den Hauptursachen. Quelle: niederländische Datenschutzbehörde, Bericht über Datenschutzverletzungen 2024 (https://www.autoriteitpersoonsgegevens.nl/documenten/rapportage-datalekken-2024).
Und ein Vorfall ist kostspielig. Die durchschnittlichen Kosten eines Cyberangriffs für ein betroffenes Unternehmen liegen bei rund 103.976 Euro, wobei der Medianwert des Schadens bei 30.000 Euro liegt. Quelle: Lumen Group auf der Grundlage des AP-Berichts 2024 (https://www.lumengroup.nl/ap-datalekken-rapportage-2024/). Im Vergleich zu zehn Euro pro Jahr für eine Domain ist die Rechnung schnell gemacht.
Wie können Sie alte Domainnamen sicher verwahren, ohne unnötigen Aufwand?
Die gute Nachricht ist, dass die Lösung einfach und kostengünstig ist. Sie erfordert vor allem Aufmerksamkeit, kein großes Budget. Der Kernpunkt besteht darin, dass Sie eine alte Domain nicht kündigen, sondern bewusst und schrittweise auslaufen lassen.
Beginnen Sie damit, die Domain zunächst einfach registriert zu lassen und die eingehenden E-Mails eine Zeit lang zu überwachen. So sehen Sie genau, wer weiterhin E-Mails an die alten Adressen sendet. Diese Absender kontaktieren Sie anschließend aktiv und weisen sie darauf hin, dass die Adresse nicht mehr verwendet wird, wobei Sie die richtige Alternative angeben. Dadurch nimmt der E-Mail-Eingangsfluss von selbst ab.
Erst wenn kaum noch E-Mails eingehen, löschen Sie die E-Mail-Einträge (MX). Absender erhalten dann eine ordentliche Rückmeldung und wissen, dass die Adresse nicht mehr existiert. Die Domain selbst behalten Sie danach registriert und überwachen sie als geschützte, inaktive Domain, damit sie niemals für jemand anderen freigegeben wird. Dieser Ansatz wird auch als Domainnamenschutz bezeichnet.
Sind zehn Euro pro Jahr nicht verschwendet für eine Domain, die Sie nicht nutzen?
Das ist eine berechtigte Frage, die mir oft gestellt wird. Im Folgenden finden Sie die am häufigsten vorgebrachten Einwände sowie eine ehrliche Antwort darauf.
„Diese Domain nutzen wir doch gar nicht mehr.“ Das stimmt, aber die Außenwelt weiß das nicht. Kunden, Lieferanten und Behörden senden weiterhin E-Mails an alte Adressen, manchmal über Jahre hinweg. Der ethische Hacker aus der RTL-Untersuchung war selbst überrascht, wie viele E-Mails noch immer in Postfächer eingingen, die offiziell nicht mehr in Gebrauch waren.
„Das ist etwas für große Unternehmen, nicht für KMU.“ Hier möchte ich ehrlich sein. Kleinere Unternehmen melden zwar weniger Datenschutzverletzungen, doch das bedeutet nicht, dass sie sicherer sind. Oftmals ist gerade weniger klar, wer für die Verwaltung zuständig ist. Eine gekündigte Domain ist keine Frage der Unternehmensgröße, sondern davon, ob jemand darauf achtet.
„Unser IT-Partner kümmert sich schon darum.“ Vielleicht. Doch die Domainverwaltung fällt oft durch das Raster, insbesondere nach einer Übernahme oder wenn ein Dienst ausläuft. Fragen Sie konkret nach, wer für die Domains verantwortlich ist, die Sie jemals besessen haben – nicht nur für die Domains, die Sie derzeit nutzen.
„Wir haben fusioniert, der alte Name existiert nicht mehr.“ Dass der Name nicht mehr existiert, bedeutet nicht, dass die E-Mails verschwunden sind. Wie der IT-Rechtsanwalt Arnoud Engelfriet in der RTL-Untersuchung anmerkt: Man kann nicht einfach behaupten, ein Name sei abgeschafft worden, und es dabei belassen. Die Verantwortung für die Daten bleibt bestehen.
Was sollten Sie mit Domainnamen tun, die Sie nicht mehr nutzen?
Eine praktische Checkliste, um dieses Risiko in Ihrem Unternehmen zu beseitigen:
- Erstellen Sie eine Übersicht über alle Domainnamen, die Sie besitzen oder jemals besessen haben, einschließlich der Domains von übernommenen Unternehmen und ehemaliger Markennamen.
- Überwachen Sie in der ersten Zeit die eingehenden E-Mails an die alten Adressen, damit Sie wissen, wer noch dorthin schreibt.
- Wenden Sie sich an die Absender und teilen Sie ihnen mit, dass die Adresse nicht mehr gültig ist, und geben Sie dabei die richtige Alternative an.
- Erst deutlich später, wenn der E-Mail-Verkehr versiegt ist, sollten Sie die E-Mail-Einträge (MX) löschen. Absender erhalten dann eine Rückmeldung, und die Domain bleibt weiterhin registriert.
- Halten Sie die Domain anschließend als geschützte, inaktive Domain registriert und überwacht, damit sie niemals für andere freigegeben wird.
- Legen Sie fest, wer die Verwaltung und das Eigentumsrecht innehat, damit diese nicht unbestimmt bleiben.
- Beziehen Sie die Domainverwaltung standardmäßig in jede Fusion, Übernahme, Migration und Umfirmierung mit ein.
- Reagieren Sie auf Warnungen von SIDN, der Organisation, die niederländische Domainnamen verwaltet, wenn eine wichtige Domain abzulaufen droht.
Wer überwacht Ihre alten Domains?
Die Domainverwaltung ist kein exotisches Spezialgebiet. Sie ist einfach ein Bestandteil einer guten IT-Verwaltung. Dennoch stellen wir bei mittelständischen Unternehmen regelmäßig fest, dass alte Domains zwischen den Stühlen landen. Nicht aus Unwillen, sondern weil sie zwischen all den Migrationen und Übernahmen einfach aus dem Blickfeld geraten sind. Gerade diese vergessenen Ecken stellen das größte Risiko dar, da niemand mehr darauf achtet.
Als MSP kümmern wir uns standardmäßig um solche Angelegenheiten für unsere Kunden. Alte Domains als geschützte, inaktive Domains registriert und überwacht zu halten, gehört unserer Meinung nach einfach zu einer verantwortungsvollen IT-Verwaltung.
Möchten Sie kurz über Ihre Domains sprechen?
Sind Sie sich unsicher, ob Ihre Organisation noch alte Domains besitzt, die ein Risiko darstellen? Dann ist dies ein guter Zeitpunkt, sich dies einmal genauer anzusehen. Die Warnung der Branchenverbände nach der RTL-Recherche zeigt, dass dies bereits jetzt ein aktuelles Problem ist und nicht erst irgendwann in der Zukunft. Eine vergessene Domain, deren Laufzeit heute abläuft, kann bereits morgen von jemand anderem registriert worden sein.
Wir würden uns freuen, ein unverbindliches Gespräch mit Ihnen zu führen. In einem kurzen Kennenlerngespräch erörtern wir gemeinsam, wo die Risiken liegen und was ein sinnvoller erster Schritt ist. Besuchen Sie newyard.nl oder vereinbaren Sie direkt einen Termin für ein Kennenlerngespräch.