WHOIS-Abfrage

Was ist WHOIS?

WHOIS ist ein Abfrageprotokoll, das seit den Anfängen des Internets verwendet wird, um öffentlich zugängliche Informationen über die Registrierung von Domainnamen, IP-Adressen und autonomen Systemen abzurufen. Der Begriff steht wörtlich für die Frage „Who is?" — wer steckt hinter einer bestimmten Domain? Die Informationen werden von den jeweiligen Registraren und Regional Internet Registries (RIRs) bereitgestellt und umfassen typischerweise den Registrar, das Registrierungs- und Ablaufdatum, die Nameserver sowie — sofern nicht durch Privacy-Dienste geschützt — die Kontaktdaten des Domaininhabers.

Unser Tool nutzt das moderne RDAP-Protokoll (Registration Data Access Protocol), das WHOIS als technischen Standard ablöst. RDAP liefert strukturierte Daten im JSON-Format, unterstützt internationalisierte Domainnamen und bietet standardisierte Zugriffskontrollen. Für den Nutzer bleibt das Ergebnis vergleichbar — die Abfrage ist aber zuverlässiger und zukunftssicher.

Warum WHOIS-Daten für die IT-Sicherheit relevant sind

WHOIS-Abfragen sind ein grundlegendes Werkzeug der Sicherheitsanalyse. In der Praxis dienen sie dazu, verdächtige Domains zu untersuchen und potenzielle Bedrohungen frühzeitig zu erkennen. Wenn ein Mitarbeiter eine E-Mail mit einem unbekannten Link erhält, kann eine WHOIS-Abfrage schnell Aufschluss darüber geben, ob die Domain erst kürzlich registriert wurde — ein typisches Merkmal von Phishing-Kampagnen und Spoofing-Angriffen. Angreifer registrieren häufig Domains, die etablierten Marken ähneln (sogenanntes Typosquatting), und nutzen diese für wenige Tage oder Wochen, bevor sie wieder aufgegeben werden.

Auch für die Überprüfung von Geschäftspartnern und Lieferanten ist eine WHOIS-Abfrage aufschlussreich. Ein seriöses Unternehmen, dessen Domain erst vor wenigen Wochen registriert wurde, sollte Anlass zur Vorsicht geben. Im Kontext von NIS2 und der Absicherung der Lieferkette kann die Prüfung von Domain-Registrierungsdaten ein einfacher erster Schritt der Due Diligence sein.

DSGVO und Domain-Privacy

Seit Inkrafttreten der DSGVO im Mai 2018 hat sich die Verfügbarkeit personenbezogener Daten in WHOIS-Einträgen grundlegend verändert. Registrare sind verpflichtet, personenbezogene Daten wie Name, Adresse und Telefonnummer des Domaininhabers zu schützen und dürfen sie nicht ohne Rechtsgrundlage öffentlich anzeigen. Viele europäische Registrare blenden diese Informationen standardmäßig aus oder ersetzen sie durch einen Privacy-Service.

Das bedeutet in der Praxis: Eine WHOIS-Abfrage für eine .de-Domain zeigt in der Regel den Registrar, die Nameserver und die Registrierungsdaten, aber nicht den persönlichen Inhaber. Für Sicherheitszwecke sind die technischen Daten — insbesondere Registrierungsdatum, Ablaufdatum und Nameserver — dennoch äußerst wertvoll. Sie ermöglichen eine Einschätzung der Domain-Reputation, ohne dass personenbezogene Daten offengelegt werden müssen.

Domain-Ablaufdatum überwachen

Das Ablaufdatum einer Domain ist eine kritische Information, die häufig übersehen wird. Läuft eine Domain unbemerkt ab, kann sie von Dritten registriert und für Phishing oder Betrug missbraucht werden — sogenanntes Domain Hijacking. Besonders riskant ist dies für Domains, die noch in E-Mail-Signaturen, Backlinks oder Kundenkommunikation referenziert werden. Unser WHOIS-Tool zeigt das Ablaufdatum prominent an, damit Sie rechtzeitig handeln können.

Auch für Domains von Geschäftspartnern kann das Ablaufdatum relevant sein: Eine Domain, die in wenigen Tagen abläuft, deutet möglicherweise auf ein Unternehmen hin, das seine digitale Infrastruktur nicht aktiv pflegt — ein potenzielles Risikosignal in der Lieferkettenbewertung.

WHOIS und DNS im Zusammenspiel

Eine WHOIS-Abfrage liefert die Registrierungsdaten einer Domain, während ein DNS-Lookup die technische Konfiguration zeigt — also welche IP-Adressen, Mailserver und TXT-Records hinterlegt sind. Beide Abfragen ergänzen sich: WHOIS beantwortet die Frage, wem eine Domain gehört und wann sie registriert wurde, DNS zeigt, wohin die Domain technisch zeigt. Für eine vollständige Domain-Analyse empfiehlt es sich, beide Tools zu kombinieren und zusätzlich das SSL/TLS-Zertifikat zu prüfen, um ein umfassendes Bild der Domain-Sicherheit zu erhalten.