Eine Domain aus zweiter Hand: das E-Mail-Erbe, das mitkommt

Von Thomas · virtueller CISO · 31. August 2026

Ein Domainname wechselt den Besitzer wie ein Ladenlokal: Die Adresse gefällt, die Lage stimmt, und niemand fragt, was der Vormieter dort getrieben hat. Doch eine Domain hat ein Vorleben, und dieses Vorleben ist vor allem ein E-Mail-Leben. Jahre des Versands — Newsletter, Rechnungen, mehr oder weniger saubere Kampagnen — haben Spuren bei Gmail, Microsoft, Yahoo und allen großen Postfachanbietern hinterlassen. Eine Domain zu kaufen heißt, dieses Gedächtnis mitzukaufen: eine Versenderreputation, glänzend oder verheerend, die in keinem Kaufvertrag steht und die kein Registrar an der Kasse anzeigt.

Das Erbe endet nicht bei der Reputation. Die Domain kann auf Sperrlisten stehen, als Kulisse für Spoofing-Kampagnen gedient haben, vergessene DNS-Einträge mitschleppen — ein SPF, das noch die Versandplattformen des Vorbesitzers autorisiert, verwaiste DKIM-Schlüssel, deren privater Teil in unbekannten Händen liegt, Subdomains, die auf längst gekündigte Dienste zeigen. Nichts davon ist auf der Auktionsseite oder im Transferformular zu sehen.

Die gute Nachricht: Ein Großteil dieses Erbes lässt sich vor dem Kauf auditieren, und der Rest danach methodisch zurücksetzen. Dieser Leitfaden geht beide Phasen durch — was vor der Unterschrift zu prüfen ist, dann die Übernahmesequenz — mit ihren zwei Varianten: die Domain, die versenden soll und aufgewärmt werden muss, und die Domain, die genau deshalb gekauft wurde, damit sie nie versendet, und die noch am Übergabetag verriegelt gehört.

Eine gebrauchte Domain ist nie unbeschrieben

Die Versenderreputation hängt am Domainnamen ebenso wie an den versendenden IP-Adressen. Die großen Postfachanbieter führen eine Verhaltenshistorie pro Domain: Beschwerderaten, Regelmäßigkeit der Volumina, Authentifizierungsergebnisse, Alter. Dieser Zähler springt beim Besitzerwechsel nicht auf null — der Filter sieht einen Namen, keinen Kaufvertrag. Eine Domain, die zehn Jahre sauber versendet hat, vererbt echtes Kapital; eine Domain, die gespammt hat, vererbt eine Schuld, und diese Schuld wird ab den ersten Sendungen des Nachfolgers beglichen, in Nachrichten, die ohne sichtbare Erklärung im Spam landen.

Drei weitere Schichten türmen sich darauf. Domain-Sperrlisten — Spamhaus DBL, SURBL — merken sich Namen, die mit Spam oder Phishing in Verbindung standen; ein aktiver Eintrag kostet sofort, ein vergangener hinterlässt Narben in den Filtern. Dann die Spoofing-Historie: Ein Name, der massenhaft in Phishing-Kampagnen imitiert wurde, schleppt eine negative Assoziation mit, selbst wenn der damalige Besitzer nichts dafür konnte. Schließlich die geerbten Einträge, die konkreteste Schicht: Ein noch aktives SPF-include oder ein veröffentlichter DKIM-Schlüssel würde es einem Dritten erlauben, perfekt authentifizierte Post unter dem frisch erworbenen Namen zu versenden. Eine vom Vorbewohner offen gelassene Tür bleibt eine offene Tür.

Das Audit vor dem Kauf

Ein guter Teil der Geschichte einer Domain lässt sich lesen, ohne sie zu besitzen, und diese Vorprüfung sollte in der Kaufentscheidung so viel wiegen wie der geforderte Preis. Passive-DNS-Datenbanken und DNS-Historiendienste zeigen die früheren Einträge: Die Abfolge der MX-Einträge verrät, ob die Domain Post empfing und bei wem, die Abfolge der SPF-Einträge listet die über die Jahre genutzten Versandplattformen, und abrupte Brüche verraten Besitzerwechsel. Die Webarchive (Wayback Machine) erzählen, was die Website beherbergte — ein Zwischenspiel aus Online-Casino oder dubioser Pharmazie zwischen zwei legitimen Perioden ist ein ernstes Alarmsignal. Die Certificate-Transparency-Logs schließlich listen die jemals ausgestellten Zertifikate, also die Subdomains, die existierten, und die Dienste dahinter.

Dazu kommen die direkten Prüfungen: die Abfrage der Domain-Sperrlisten, die Suche des Namens in öffentlichen Phishing-Meldungen und die Lektüre der aktuell veröffentlichten DNS-Zone — SPF, gängige DKIM-Selektoren, DMARC, MX. Eine Lücke in der Historie verdient besondere Aufmerksamkeit: Eine abgelaufene und neu registrierte Domain kann durch mehrere Hände gegangen sein, und jede davon kann Spuren hinterlassen haben. Was von außen nicht sichtbar ist — die interne Reputation bei jedem großen Anbieter, die Präsenz auf den Unterdrückungslisten der Versanddienstleister — zeigt sich erst nach dem Kauf, im laufenden Betrieb. Das Vorab-Audit verspricht also keine Gewissheit, aber es sortiert die schlimmsten Fälle aus, bevor sie auch nur einen Euro kosten.

Der Restverkehr, sichtbar ab dem ersten p=none

Der erste Handgriff nach dem Transfer, vor jedem Versandprojekt: die Veröffentlichung eines DMARC-Beobachtungseintrags.

_dmarc.beispiel.de.  IN TXT  "v=DMARC1; p=none; rua=mailto:berichte@beispiel.de"

Bei p=none wird nichts blockiert, aber die Empfänger beginnen, aggregierte Berichte zu senden — und diese Berichte erzählen die Gegenwart der Domain: wer, irgendwo auf der Welt, Nachrichten unter diesem Namen ausgibt. Bei einer gekauften Domain überrascht die Bestandsaufnahme fast immer. Automatismen des Vorbesitzers laufen noch irgendwo — ein vergessenes CRM, eine Überwachung, die benachrichtigt, ein nie gekündigter SaaS-Dienst. Dritte fälschen den Namen, manchmal seit Jahren. Legitim wirkende Flüsse laufen weiter, die niemand je abgeschaltet hat.

Diese Lauschphase ist die einzige verlässliche Bestandsaufnahme des Restverkehrs. Wenige Wochen an Berichten genügen, um drei Kategorien zu trennen: was gekappt werden muss (die Überbleibsel des Vorbewohners), was übernommen werden muss (ein Dienst, der bleiben soll), und was reine Fälschung ist. Nichts zwingt zum Warten — der Eintrag lässt sich am Übergabetag veröffentlichen, kostet nichts und berührt keinen bestehenden Fluss.

Der methodische Neustart

Die Übernahme folgt einer präzisen Reihenfolge, und die Reihenfolge zählt. Zuerst die vollständige Inventur der geerbten Zone, dann die Bereinigung: Entfernen der SPF-include-Mechanismen, die auf die Dienstleister des Vorbesitzers zeigen, Zurückziehen der veröffentlichten DKIM-Schlüssel — es gibt keinen Grund, einen Schlüssel online zu lassen, dessen privater Teil in unbekannten Händen liegt —, Aufräumen der MX-Einträge und der Subdomains, die auf verlassene Dienste zeigen. Jeder behaltene Eintrag braucht eine schriftliche Begründung; im Zweifel wird gelöscht.

Dann der minimale Wiederaufbau: ein SPF, reduziert auf das, was wirklich versenden wird — und solange nichts versendet, die strengste Form, v=spf1 -all —, der oben beschriebene DMARC-Beobachtungseintrag, und mehrere Wochen Lauschen vor der ersten Nachricht. Es ist dieselbe Disziplin wie bei einem Wechsel des E-Mail-Anbieters: erst beobachten, dann senden. Die vollständige Reihenfolge der Schritte, von der Inventur bis zur finalen Verschärfung, ist die der Checkliste für 2026 — eine gekaufte Domain spielt sie schlicht vom Startfeld an durch, mit einem zusätzlichen Bereinigungsschritt. Ein Zeitdetail für die zu schreibenden Einträge: Der aktuelle Standard ist DMARCbis, in dem der Testmodus über das Tag t= läuft — das alte pct ist verschwunden — und nicht existierende Subdomains über np abgedeckt werden.

Gekauft, um nie zu senden: die sofortige Verriegelung

Viele Käufe sind defensiv: der Tippfehler direkt neben der Marke, der frühere Firmenname, die .com, die die .de doppelt. Eine Domain, die nie versenden wird, verdient keine Übergangsphase — sie wird am Übergabetag verriegelt. Das Besteck passt in drei Einträge: ein leeres SPF (v=spf1 -all), ein Null-MX (0 ., RFC 7505), der ankündigt, dass keine Post angenommen wird, und eine DMARC-Reject-Policy:

_dmarc.beispiel.de.  IN TXT  "v=DMARC1; p=reject; np=reject; rua=mailto:berichte@beispiel.de"

Die rua-Adresse bleibt bestehen: Auch verriegelt meldet die Domain, wer sie zu fälschen versucht, und dieses Signal hat Wert — dort zeigt sich oft schwarz auf weiß, warum der defensive Kauf eine gute Idee war. Die vollständige Behandlung dieses Falls, die ganze Flotte schlafender Domains inklusive, steht in dem Schutz geparkter Domains.

Das Aufwärmen, wenn die Domain senden soll

Eine Domain, die versenden soll, startet nicht mit vollem Volumen, schon gar nicht mit einer Vergangenheit. Die Filter urteilen nach Aktenlage: Ein Name ohne jüngere Historie — oder mit einer schlechten —, der plötzlich Zehntausende Nachrichten hinausschiebt, hakt jedes Spammer-Kästchen ab, das es gibt. Das Aufwärmen baut eine neue Reputation durch Regelmäßigkeit auf: niedrige Volumina zu Beginn, ein progressiver Anstieg über mehrere Wochen, engagierte Empfänger zuerst (die Kontakte, die öffnen und antworten), und eine tadellose Authentifizierung ab der ersten Nachricht — SPF und DKIM ausgerichtet, DMARC veröffentlicht.

Die Anmeldung der Domain in Google Postmaster Tools liefert auf Gmail-Seite die Reputationsmessung während des gesamten Hochfahrens; die Mechanik dieses Urteils, und wie sich Kollisionen mit ihr vermeiden lassen, wird in dem Gmail-Zustellbarkeitsleitfaden ausgebreitet. Mit schwerer Vergangenheit — ein alter Sperrlisteneintrag, eine Spam-Episode in der Historie — fällt das Aufwärmen langsamer aus, und das ist zu akzeptieren: Volumen auf eine beschädigte Reputation zu zwingen beschädigt sie weiter. In Extremfällen lautet das ehrliche Fazit des Vorab-Audits, vom Kauf abzusehen — ein anderer Name kostet weniger als die Rehabilitation dieses einen.

Die verbleibenden Fallen

Zuerst das Drop-Catching. Abgelaufene Domains werden von spezialisierten Diensten sekundenschnell eingefangen, und Spammer schätzen Namen mit sauberer Historie: Eine gebrauchte Domain kann zwischen zwei legitimen Besitzern Monate in deren Händen verbracht haben, gerade lange genug, um Reputation und Backlinks für Spam oder zweifelhafte Weiterleitungen auszubeuten. DNS-Historie und Webarchive decken diese Episode oft auf; die Rechnung dafür wird in Reputation beglichen.

Dann die historischen Adressen. Dritte schreiben weiter an die Adressen des Vorbesitzers — Rechnungen, Passwort-Zurücksetzungen, private Korrespondenz — und manche Dienste erwarten diese Adressen noch als Anmelde- oder Wiederherstellungskennungen. Wer den Empfang aktiviert, erhält also Post, die nicht für ihn bestimmt ist, mit den juristischen und ethischen Fragen, die daran hängen; ohne geplanten Empfang kappt der Null-MX das Problem an der Wurzel.

Zuletzt die Unterdrückungslisten. Versandplattformen bewahren das Gedächtnis der Beschwerden und Abmeldungen, die mit einer Domain verknüpft sind: Ein Name, der bei einem Dienstleister Beschwerden erzeugt hat, kann seine neuen Nachrichten von ebendiesem Dienstleister gefiltert sehen, unabhängig von der öffentlichen Reputation. Diese Last zeigt sich erst im Betrieb — ein Grund mehr, klein anzufangen und die Berichte auf jeder Stufe zu lesen.

Fazit

Eine gekaufte Domain kommt mit ihrem Gedächtnis an: eine gute oder schlechte Versenderreputation, mögliche Sperrlisteneinträge, eine Spoofing-Historie und vergessene DNS-Einträge. Das Vorab-Audit — öffentliche DNS-Historie, Webarchive, Sperrlisten — erhellt die Kaufentscheidung; der methodische Neustart — Bereinigung der Zone, minimales SPF, DMARC auf p=none, Lauschphase — sichert die Übernahme ab. Die defensive Domain wird noch am selben Tag verriegelt (v=spf1 -all, Null-MX, p=reject); die Domain, die senden soll, wird schrittweise aufgewärmt, unter Beobachtung. Und die klassischen Fallen — Drop-Catching, von Dritten noch erwartete historische Adressen, Unterdrückungslisten — lassen sich umso leichter umgehen, je früher sie bekannt sind.

Der Reflex kostet nichts: Ein Durchlauf der begehrten — oder frisch erworbenen — Domain durch eine kostenlose DMARC-Analyse zeigt in Sekunden den realen Zustand der Zone, geerbtes SPF, fehlendes oder fehlerhaftes DMARC und zweifelhafte Einträge inklusive. Für alles Weitere erlaubt die Eröffnung eines Kontos, die Berichte ab dem ersten p=none zu sammeln, den Restverkehr zu inventarisieren und den Neustart bis p=reject durchzuziehen.