Eine geparkte oder E-Mail-lose Domain schützen (p=reject)

Von Thomas · virtueller CISO · 14. August 2026

Fast jede Organisation besitzt mehr Domains, als sie zum E-Mail-Versand nutzt. Brachliegende Zweitmarken, „vorsichtshalber" gekaufte Tippfehler-Schutzdomains, aus einer Übernahme geerbte Namen, defensive Varianten (.net, .co, die Schreibweise ohne Bindestrich): Die meisten Organisationen tragen eine Konstellation ruhender Domains mit sich. Und genau dort lauert die Gefahr. Ein Angreifer weiß, dass eine Domain, die niemand nutzt, auch eine Domain ist, die niemand überwacht — ein idealer Startplatz, um im fremden Namen Phishing zu versenden, ohne je einen Alarm auszulösen. Die gute Nachricht: Eine geparkte Domain zu sperren ist einfacher, schneller und sicherer als eine aktive abzusichern. Drei DNS-Einträge genügen, und die strengste Richtlinie lässt sich vom ersten Tag an veröffentlichen, ganz ohne schrittweisen Hochlauf.

Warum eine E-Mail-lose Domain trotzdem ein Ziel ist

Das verbreitetste Missverständnis lautet, dass eine Domain, die keine E-Mails sendet, nichts zu schützen habe. Das ist falsch, und die Verwirrung entsteht durch die Vermischung von Senden und Fälschbarkeit. Das From:-Feld einer E-Mail ist freier Text: Jeder kann rechnung@vergessene-marke.com in einen Nachrichten-Header schreiben, egal ob diese Domain einen Mailserver hat oder nicht. Das Fehlen eines MX-Eintrags schützt nichts — es sagt nur, dass die Domain keine Post empfängt, nicht dass niemand vorgeben kann, von ihr zu senden.

Ohne veröffentlichtes SPF und DMARC ist eine ruhende Domain faktisch weit offen. Ein Angreifer kann Tausende Nachrichten versenden, die diese Domain fälschen, und da keine Richtlinie den Empfängern sagt, was damit zu tun ist, kommt ein Teil an. Die Mechanik der Bedrohung ist in E-Mail-Spoofing erklärt dargelegt: Das Prinzip ist bei einer geparkten Domain dasselbe, mit einem Detail, das alles verschlimmert. Niemand liest die Beschwerden. Bei einer aktiven Domain kommt eine Fälschungsspitze irgendwann ans Licht — ein Kunde macht sich Sorgen, der Support bekommt Rückmeldungen, ein Antwortpostfach quillt über. Bei einer Domain, die die Organisation vergessen hat, kann die Kampagne monatelang laufen, ohne dass es jemand bemerkt. Stille ist kein Schutz; sie ist ein Gelegenheitsfenster.

Tippfehler-Schutzdomains verdienen eine besondere Erwähnung. Gekauft wurden sie genau deshalb, weil sie der Hauptdomain ähneln — ein fehlender Buchstabe, ein zusätzlicher Bindestrich, eine benachbarte Endung. Genau das macht sie zu glaubwürdigen Phishing-Vehikeln: Das Opfer liest schnell, erkennt einen vertrauten Namen und klickt. Eine defensive Domain ohne DMARC-Richtlinie verteidigt gar nichts; sie reicht dem Angreifer einen fast perfekten Namen und die Freiheit, ihn zu fälschen.

Die drei Einträge, die die Tür schließen

Die Abhilfe läuft auf drei DNS-Einträge hinaus, plus einen Bonus. Das Ziel ist, der ganzen Welt so kategorisch wie möglich zu sagen: Diese Domain sendet keine legitime E-Mail, also weise alles ab, was vorgibt, von ihr zu kommen. Hier die Logik hinter jedem.

1. Ein SPF, das niemanden autorisiert

SPF erklärt, welche Server für eine Domain senden dürfen. Für eine Domain, die nichts sendet, ist die Antwort einfach: keiner. Der Eintrag reduziert sich auf seine strengste Form.

vergessene-marke.com.  TXT  "v=spf1 -all"

Das abschließende -all bedeutet „weise (Hardfail) jeden nicht gelisteten Absender ab" — und da davor nichts gelistet ist, deckt das buchstäblich jeden ab. Es ist der kategorischste SPF-Mechanismus; seine genaue Bedeutung und die Nuancen zwischen -all, ~all und ?all werden in den SPF-Mechanismen und der Bedeutung von -all seziert. Hier gibt es keinen Raum zum Zögern: Eine geparkte Domain hat keinen Grund, einen Softfail zu verwenden. Gefragt ist der Hardfail, und zwar sofort.

2. Ein DMARC auf sofortigem `p=reject`

Das ist das Herzstück der Sperre, und hier offenbart die geparkte Domain ihren entscheidenden Vorteil. Bei einer aktiven Domain wird p=reject niemals über Nacht gesetzt: Zuerst werden die Berichte beobachtet, jede legitime Quelle identifiziert (das CRM, das Marketing-Tool, die Rechnungsstellung, das Helpdesk), sichergestellt, dass sie alle ausgerichtet sind, und erst dann in Stufen angezogen. Diesen Schritt zu überspringen würde legitime Post abweisen — ein betrieblicher Reinfall. Diese ganze Hochlauf-Choreografie ist in p=reject erreichen, ohne die E-Mails zu brechen beschrieben.

Bei einer Domain, die nichts sendet, existiert dieses Risiko nicht. Es gibt keinen legitimen Verkehr zu brechen, also keinen Grund zu warten. Die maximale Richtlinie geht direkt raus.

_dmarc.vergessene-marke.com.  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@hauptdomain.com"

Zwei Details zählen. Erstens das sofortige p=reject: Es ist legitim, sicher und empfohlen, gerade weil die Domain ruhend ist. Es ist einer der seltenen Fälle in DMARC, in denen schrittweise Vorsicht sinnlos ist — die Unterscheidung von einer aktiven Domain ist wichtig, denn dieselbe Zaghaftigkeit hier anzuwenden würde den Schutz nur ohne Nutzen verzögern. Zweitens die rua-Kennung: Selbst eine ungenutzte Domain verdient ein wachsames Auge. Darauf kommen wir gleich zurück.

3. Ein widerrufenes DKIM: der leere öffentliche Schlüssel

SPF und DMARC decken das Wesentliche ab, aber ein zusätzliches Signal verstärkt die Haltung: einen DKIM-Eintrag zu veröffentlichen, der ausdrücklich erklärt, dass für diese Domain kein Signaturschlüssel gültig ist. Die Konvention ist ein Wildcard-Eintrag mit leerem öffentlichem Schlüssel.

*._domainkey.vergessene-marke.com.  TXT  "v=DKIM1; p="

Das wertlose p= bedeutet „leerer öffentlicher Schlüssel", also „dieser Schlüssel ist widerrufen / kein gültiger Schlüssel hier". Das Wildcard *._domainkey sorgt dafür, dass dieses Urteil für jeden Selektor gilt, den ein Angreifer aufzurufen versuchte. Im Klartext: Es wird nicht nur darauf verzichtet, einen DKIM-Schlüssel zu veröffentlichen — veröffentlicht wird die aktive Feststellung, dass keiner gültig ist. Das ist der Unterschied zwischen einer unverschlossenen und einer zugemauerten Tür.

Bonus: der Null-MX

Wenn die Domain schließlich auch keine E-Mails empfängt — was bei den meisten geparkten Domains der Fall ist — signalisiert das ein „Null"-MX-Eintrag, definiert in RFC 7505.

vergessene-marke.com.  MX  0 .

Der . als Ziel, mit Priorität 0, sagt ausdrücklich „diese Domain akzeptiert keine Post". Es ist streng genommen keine Anti-Fälschungs-Maßnahme, aber sie vervollständigt das Bild: Sendende Server hören auf, dorthin Nachrichten zuzustellen (einschließlich der Rückläufer einer Fälschungskampagne), und unnötiges Rauschen verschwindet. Es ist die Hygienegeste, die der Welt endgültig sagt: Hier gibt es keine E-Mail, weder eingehend noch ausgehend.

Warum die `rua`-Überwachung auf einer ungenutzten Domain behalten

Auf den ersten Blick scheint es überflüssig, auf einer ruhenden Domain eine rua-Adresse zu setzen — sie sendet nichts, was sollte sie also berichten? Genau das Gegenteil der naheliegenden Annahme trifft zu. Die aggregierten Berichte einer geparkten Domain zeigen nicht den legitimen Verkehr (es gibt keinen): Sie zeigen Fälschungsversuche. Jede Zeile eines RUA-Berichts auf einer solchen Domain ist per Definition eine IP-Adresse, die versucht hat, im Namen der Domain zu senden, und abgewiesen wurde. Das ist reine Aufklärung über die Angriffe auf die Marke.

Konkret zeigt das rua auf ein ohnehin gelesenes Postfach — typischerweise die Sammeladresse der Hauptdomain, um alles an einem Ort zu bündeln. Beginnt diese Adresse eines Tages, ein ungewöhnliches Volumen an Berichten für die Tippfehler-Schutzdomain zu empfangen, liegt ein starkes Signal vor: Jemand fährt eine aktive Kampagne, die die Marke imitiert. Ohne rua fände diese Abweisung trotzdem statt — aber in Stille, und der Angriff bliebe gänzlich unbemerkt. Die Berichte zu sammeln verwandelt eine passive Sperre in ein Alarmsystem. Die detaillierte Einrichtung dieser Adresse ist in ohne Fachjargon erklärt behandelt, das die Grundlagen des gesamten Mechanismus legt.

Ein Wort zur Last: Eine ordentlich gesperrte geparkte Domain erzeugt im Normalfall wenige Berichte, gerade weil es keinen Verkehr gibt. Das Volumen steigt nur, wenn Fälschung beginnt — was die Spitze umso besser lesbar macht. Für hundert ruhende Domains braucht es kein ausgefeiltes Dashboard; es braucht nur, dass sie alle an denselben Ort rufen, an dem Tag, an dem eine von ihnen angegriffen wird.

Der Fall inaktiver Subdomains

Die Argumentation der geparkten Domain gilt auch eine Ebene tiefer für die ungenutzten Subdomains. Die Hauptdomain mag aktiv und gut geschützt sein, aber was ist mit vpn.beispiel.com, old-crm.beispiel.com oder einer Subdomain, die überhaupt nie existiert hat? Angreifer lieben es, Adressen auf plausiblen Subdomains zu fälschen, gerade weil sie oft der Richtlinie der Wurzeldomain entgehen.

Zwei DMARC-Kennungen decken dieses Feld ab. Die sp-Kennung setzt die Richtlinie für bestehende, aber nicht ausdrücklich konfigurierte Subdomains — wie sie funktioniert, ist in der DMARC-Subdomain-Richtlinie dargelegt. Die neuere np-Kennung setzt die Richtlinie für nicht existierende Subdomains — jene, die kein DNS-Eintrag definiert und die trotzdem fälschbar sind. np=reject zu setzen schließt diese ganze Kategorie mit einer einzigen Geste, ohne jedes Risiko für die legitime Post, genau wie das p=reject einer geparkten Domain. Das Thema hat einen eigenen Artikel: die np-Kennung, um nicht existierende Subdomains zu sperren. Auf der Wurzeldomain einer Organisation sieht eine vollständige Richtlinie daher so aus.

_dmarc.beispiel.com.  TXT  "v=DMARC1; p=reject; sp=reject; np=reject; rua=mailto:dmarc@beispiel.com"

Dieses p + sp + np auf reject sperrt die Domain, ihre aktiven Subdomains und ihre Phantom-Subdomains in einem Zug. Für eine geparkte Domain, die ohnehin keine legitime Subdomain hat, lässt sich dieselbe Logik aus reiner Vorsicht anwenden: Nichts sendet, also wird alles abgewiesen.

Die Zusammenfassung: eine geparkte Domain vollständig gesperrt

Reihen wir alle vier Einträge für eine typische ruhende Domain aneinander, sagen wir meine-zweitmarke.com, die weder E-Mails sendet noch empfängt.

meine-zweitmarke.com.             TXT  "v=spf1 -all"
_dmarc.meine-zweitmarke.com.      TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@hauptdomain.com"
*._domainkey.meine-zweitmarke.com. TXT  "v=DKIM1; p="
meine-zweitmarke.com.             MX   0 .

Vier Zeilen, und die Domain geht von „weit offen" zu „zugemauert und überwacht". SPF sagt, dass kein Server senden darf; DMARC ordnet die Abweisung von allem an, was das Gegenteil behauptet, und holt die Versuche zurück; DKIM stellt fest, dass keine Signatur gültig ist; der Null-MX schließt den Empfang. Es gibt nichts im Alltag zu warten: keine Quelle auszurichten, keinen Hochlauf zu steuern. Es ist eine „einstellen und vergessen"-Operation, mit dem Unterschied, dass das rua-Postfach Alarm schlägt, wenn die Domain plötzlich für einen Angreifer interessant wird. Diese vier Zeilen sind allerdings nur so viel wert wie die Zone, die sie trägt: Wer dort gefälschte Einträge unterschieben kann, umgeht das Ganze, ohne es je brechen zu müssen — und diese letzte Tür schließt die DNSSEC-Signierung der Zone.

Der Fehler, den man vermeiden muss: eine geparkte wie eine aktive behandeln

Die einzige echte Falle ist fehl am Platz stehende Zaghaftigkeit. Manche Teams wenden aus Reflex auf ihre ruhenden Domains dieselbe Vorsicht an wie auf ihre Produktionsdomain: Sie setzen p=none, versprechen sich, „erst zu beobachten", und lassen die Domain monatelang im reinen Beobachtungsmodus. Das ist ein Denkfehler. p=none auf einer aktiven Domain ist ein legitimer Vorsichtsschritt, während die Quellen identifiziert werden; p=none auf einer geparkten Domain schützt strikt gar nichts, da es keine Quelle zu entdecken gibt. Die Fälschung wird dokumentiert, statt blockiert zu werden, ohne jeden Nutzen.

Die Unterscheidung ist grundlegend und lohnt es, verinnerlicht zu werden: Der schrittweise Hochlauf existiert ausschließlich, um keinen legitimen Verkehr zu brechen. Wo es keinen legitimen Verkehr gibt, gibt es keinen Grund, schrittweise hochzufahren. Eine geparkte Domain verdient p=reject ab der ersten Minute, Punkt. Dieses Prinzip zu erfassen hilft auch zu verstehen, warum eine aktive Domain ihrerseits Geduld verdient — die beiden Fälle sind zwei Seiten derselben Ausrichtungslogik, die sich über DMARC von Grund auf erklärt und die DMARC-Säule einordnen lässt.

Eine letzte Nuance zu Domains, die eines Tages aktiviert werden sollen. Wenn eine heute ruhende Zweitmarke in sechs Monaten Post senden soll, gehört sie trotzdem jetzt auf p=reject gesperrt. Am Tag der Aktivierung folgt das normale Inbetriebnahme-Verfahren — SPF mit den echten Servern veröffentlichen, DKIM mit einem echten Schlüssel aktivieren, dann den Hochlauf steuern. Nichts hindert daran, eine zugemauerte Tür wieder zu öffnen; eine „weil wir sie vielleicht nutzen"-weit offen gelassene Tür ist dagegen eine stehende Einladung. Standardmäßig sperren, auf Anfrage öffnen.

Die ruhenden Domains prüfen, bevor ein Angreifer sie findet

Der erste Reflex ist kostenlos und dauert Sekunden. Jede Domain — aktive wie ruhende — in unseren kostenlosen DMARC-Analyzer eingegeben, zeigt auf einen Blick, welche bereits gesperrt sind und welche weit offen bleiben. Die Überraschung ist meist groß, wie viele defensive Domains heute überhaupt keine Richtlinie haben. Um die Gesamthaltung dem eigenen Sektor gegenüberzustellen, zeigt das DMARC-Observatorium, wie sehr die Fälschung von Zweitdomains ein weit verbreiteter blinder Fleck bleibt.

Alle Domains zu kartieren, die aktiven von den ruhenden zu unterscheiden, das richtige DNS für jede zu erzeugen und die Fälschungsberichte zu überwachen, die von beiden zurückkommen: Genau das automatisiert Thomas, der virtuelle CISO. Er benennt jede Quelle auf den aktiven Domains, schlägt die vollständige Sperre auf den geparkten vor und schlägt Alarm, wenn eine von ihnen plötzlich zum Ziel wird. Eine Domain kostenlos analysieren · das Observatorium erkunden · mit Thomas beginnen.