Domaininhaber nach der DSGVO-bedingten WHOIS-Schwärzung ermitteln

Sie finden eine Website, die Fälschungen Ihres Produkts verkauft. Das Branding ist direkt von Ihrer Seite übernommen. Die Domain wurde vor drei Wochen registriert. Sie führen eine WHOIS-Abfrage durch und erhalten nur einen Datenschutzdienst zurück: eine allgemeine Registrar-Adresse, eine Proxy-E-Mail und nichts Brauchbares.

Das ist heute die Realität für die meisten Markenschutzteams. Seit Inkrafttreten der DSGVO werden personenbezogene Daten von Domaininhabern in öffentlichen WHOIS-Einträgen standardmäßig geschwärzt. Für Betrüger war das ein Geschenk. Für Markeninhaber entstand eine echte Mauer bei der Recherche.

Doch diese Mauer ist nicht undurchdringlich. Es gibt legitime Wege, herauszufinden, wer hinter einer Domain steckt, und die regulatorische Lage verändert sich zugunsten der Markeninhaber.

Dieser Artikel dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar. Holen Sie qualifizierten rechtlichen Rat ein, bevor Sie formelle Durchsetzungsmaßnahmen ergreifen.

Warum die WHOIS-Schwärzung für den Markenschutz wichtig ist

Vor 2018 lieferte eine WHOIS-Abfrage Name, E-Mail-Adresse, Telefonnummer und Postanschrift des Domaininhabers. Markenschutzteams nutzten das täglich: um Wiederholungstäter zu identifizieren, Abmahnungen zu versenden und Fälle für Takedowns und Gerichtsverfahren aufzubauen.

Die DSGVO hat das verändert. Registrare reagierten, indem sie alle personenbezogenen Daten standardmäßig schwärzten, unabhängig davon, wo der Domaininhaber ansässig war. Das Ergebnis war ein nahezu vollständiger Verlust öffentlich zugänglicher Inhaberdaten.

Die praktischen Folgen:

• Gefälschte Websites lassen sich weitgehend anonym registrieren und betreiben
• Wiederholungstäter lassen sich schwerer über mehrere Domains hinweg in Verbindung bringen
• Abmahnungen haben keinen verifizierten Empfänger
• Durchsetzungsmaßnahmen, die einen namentlich bekannten Beklagten erfordern, werden deutlich komplexer

Die Recherche ist nicht unmöglich. Sie erfordert mehr Schritte, mehr Tools und ein klareres Verständnis davon, welche Daten noch zugänglich sind und über welche Kanäle.

Beginnen Sie mit RDAP, nicht mit WHOIS

Die meisten Ermittler greifen aus Gewohnheit zu WHOIS. Der bessere Ausgangspunkt ist RDAP, das Registration Data Access Protocol, das das klassische WHOIS als Standard für die Abfrage von Domain-Registrierungsdaten abgelöst hat.

RDAP ist strukturiert, maschinenlesbar und liefert in manchen Fällen mehr Felder als eine herkömmliche WHOIS-Abfrage. Außerdem werden über RDAP formelle Anträge auf Datenzugang bearbeitet.

Was RDAP weiterhin öffentlich anzeigen kann:

• Name und IANA-ID des Registrars
• Erstellungs-, Aktualisierungs- und Ablaufdatum der Domain
• Statuscodes der Domain (gesperrt, im Transfer, in Streit)
• Nameserver-Informationen
• Den Namen der Organisation, sofern der Domaininhaber eine juristische und keine natürliche Person ist

Der letzte Punkt ist wichtig. Juristische Personen genießen nicht denselben DSGVO-Schutz wie natürliche Personen. Ist die gefälschte Domain also auf ein Unternehmen registriert, kann der Name der Organisation weiterhin öffentlich sichtbar sein.

Auskunftsersuchen an den Registrar

Reichen die öffentlichen RDAP-Daten nicht aus, stellen Sie ein formelles Auskunftsersuchen direkt beim Registrar. Jeder akkreditierte Registrar verfügt über den vollständigen Registrierungsdatensatz hinter dem Datenschutzdienst und ist verpflichtet, auf rechtmäßige Anfragen zu reagieren.

Ein glaubwürdiges Auskunftsersuchen sollte enthalten:

• Ihre Rechtsgrundlage (Markenrechte, Nachweise der Rechtsverletzung, Schaden für Verbraucher)
• Eine Dokumentation der rechtsverletzenden Aktivität (Screenshots, URLs, Daten)
• Die Identität Ihrer Organisation und ihre Verbindung zur betroffenen Marke
• Eine konkrete Anfrage nach Name und Kontaktdaten des Domaininhabers

Registrare gehen unterschiedlich mit solchen Anfragen um. Manche haben eigene Abuse-Prozesse, andere verlangen ein formelles anwaltliches Schreiben. Die Antwortzeiten sind uneinheitlich, doch eine gut belegte Anfrage an einen seriösen Registrar führt häufig zu einem Ergebnis, wenn die Rechtsverletzung eindeutig ist.

Was Artikel 28 der NIS-2-Richtlinie für Markeninhaber ändert

Die regulatorische Lage verbessert sich. Artikel 28 der NIS-2-Richtlinie führt Anforderungen an Domain-Registrierungsdaten ein, von denen Markenschutzteams direkt profitieren.

Nach Artikel 28 müssen die EU-Mitgliedstaaten sicherstellen, dass TLD-Registries und Anbieter von Domainregistrierungsdiensten:

• Genaue und vollständige Registrierungsdaten erheben und pflegen
• Über Verfahren zur Überprüfung der Richtigkeit dieser Daten verfügen
• Nicht personenbezogene Registrierungsdaten unverzüglich veröffentlichen
• Rechtmäßige Zugangsanfragen berechtigter Antragsteller innerhalb von 72 Stunden beantworten

Dieses 72-Stunden-Fenster ist bedeutend. Bisher gab es keine verbindliche Frist, innerhalb der Registrare antworten mussten. NIS-2 schafft eine solche Frist, zumindest für Registries, die der EU-Regulierung unterliegen.

Die entscheidende Veränderung: NIS-2 definiert berechtigte Zugangssuchende als jede Person, die eine Anfrage nach EU- oder nationalem Recht stellt, und Branchenverbände drängen die Mitgliedstaaten, ausdrücklich auch Rechteinhaber mit IP-Ansprüchen einzubeziehen. Eine Marke mit dokumentierten Nachweisen einer Rechtsverletzung steht damit besser da als allein unter der DSGVO, die genauen Regeln hängen jedoch von der Umsetzung im jeweiligen Land ab. Eine Marke mit dokumentierten Nachweisen einer Rechtsverletzung steht damit rechtlich auf festerem Boden als allein unter der DSGVO.

NIS-2 hebt die DSGVO nicht auf. Personenbezogene Daten bleiben geschützt. Die Richtlinie schafft jedoch einen strukturierten Zugangsrahmen, den es vorher nicht gab, und verpflichtet Registrare, die Richtigkeit der bei ihnen gespeicherten Daten zu überprüfen.

Hinweise aus der Infrastruktur: Was die Domain selbst verrät

Formelle Auskunftsersuchen brauchen Zeit. Während Sie warten, liefert die Infrastruktur der Domain oft nützliche Informationen. Gefälschte Websites werden selten von Grund auf neu gebaut. Sie nutzen Hosting-Umgebungen, Zertifikatsanbieter und Analytics-Konten wieder, die mehrere Domains mit einem einzigen Betreiber verbinden können.

Analyse von Hosting und IP-Adressen

Jede Domain verweist auf eine IP-Adresse, die einem Hosting-Anbieter gehört. Eine Reverse-IP-Abfrage kann andere Domains auf demselben Server anzeigen und manchmal ein ganzes Cluster gefälschter Seiten desselben Betreibers sichtbar machen.

Diese Schritte sollten Sie gehen:

• Ermitteln Sie mit einem DNS-Lookup-Tool den Hosting-Anbieter und die Nameserver
• Reichen Sie eine Abuse-Meldung mit Nachweisen der Rechtsverletzung ein
• Beantragen Sie die Herausgabe von Kontoinformationen oder die direkte Entfernung der Inhalte

Hosting-Anbieter unterliegen nicht denselben DSGVO-Einschränkungen wie Domain-Registrare, und viele reagieren auf gut belegte Abuse-Meldungen.

SSL-Zertifikate

Certificate-Transparency-Logs, die sich über crt.sh durchsuchen lassen, verzeichnen jedes für eine Domain ausgestellte Zertifikat. Sie können Folgendes offenlegen:

• Weitere Domains auf demselben Zertifikat (Subject Alternative Names)
• Die verwendete Zertifizierungsstelle
• Das genaue Ausstellungsdatum, das hilft, eine Zeitleiste zu erstellen

Ein Betrüger, der zehn gefälschte Domains registriert und mit einem einzigen Wildcard-Zertifikat abgesichert hat, hat alle zehn in einem öffentlichen Log miteinander verknüpft.

Analytics- und Tracking-IDs

Viele gefälschte Seiten nutzen auf mehreren Domains dieselbe Google-Analytics-ID oder dasselbe Tracking-Pixel. Wer den Quelltext einer Seite ansieht und eine gemeinsame Mess-ID findet, kann das gesamte Netzwerk von Seiten desselben Betreibers aufdecken. Diese Art von Infrastruktur-Fingerprinting gehört zu den zuverlässigsten Methoden, Wiederholungstäter zu verbinden, die unter verschiedenen Domainnamen auftreten.

Wann die Identifizierung des Inhabers für die Durchsetzung wirklich zählt

Nicht jede Recherche zu einer gefälschten Domain erfordert die Identifizierung des Inhabers. In vielen Fällen ist es wirksamer, die Inhalte entfernen oder die Domain deindexieren zu lassen, ohne je zu erfahren, wer sie registriert hat.

Der Service von Remove.tech zur Entfernung gefälschter Websites arbeitet nach diesem Prinzip: die Bedrohung beseitigen, nicht unbedingt die Person dahinter verfolgen. Für die meisten Marken ist eine gefälschte Seite, die abgeschaltet und aus dem Google-Index entfernt wurde, unschädlich gemacht.

Die Identifizierung des Inhabers wird in bestimmten Situationen entscheidend:

• Wiederholte Rechtsverletzungen: Derselbe Betreiber registriert nach jedem Takedown neue Domains
• Erheblicher finanzieller Schaden: Fälschungsverkäufe oder Phishing haben einen wesentlichen Schaden verursacht, und zivilrechtliche Ansprüche werden verfolgt
• Strafanzeige: Die Aktivität geht in Betrug oder organisierte Produktpiraterie über und erfordert die Einschaltung der Strafverfolgungsbehörden
• UDRP-Verfahren: Die Uniform Domain-Name Dispute-Resolution Policy verlangt einen namentlich benannten Domaininhaber als Antragsgegner

Bei Einzelfällen ist ein gut dokumentierter Takedown-Antrag in der Regel der schnellste Weg. Bei koordiniertem, anhaltendem Domain-Missbrauch werden die oben beschriebenen Rechercheschritte Teil einer längerfristigen Durchsetzungsstrategie.

Remove.tech überwacht kontinuierlich mehr als 100.000 Websites und Plattformen, markiert gefälschte Domains, sobald sie auftauchen, und begleitet die Durchsetzung von der Erkennung bis zur Entfernung.

Häufig gestellte Fragen

Kann ich herausfinden, wem eine Domain gehört, wenn die WHOIS-Daten verborgen sind?

Ja, in vielen Fällen. RDAP-Abfragen können bei Unternehmen weiterhin den Namen der Organisation liefern, außerdem Domaindaten, Nameserver-Daten und Registrar-Informationen. Für personenbezogene Daten des Domaininhabers stellen Sie ein formelles Auskunftsersuchen mit Nachweisen der Rechtsverletzung. Nach Artikel 28 der NIS-2-Richtlinie müssen Registrare, die der EU-Regulierung unterliegen, innerhalb von 72 Stunden antworten.

Was ist der Unterschied zwischen WHOIS und RDAP?

WHOIS ist das ältere Protokoll. RDAP ist sein strukturierter Nachfolger, eingeführt von der ICANN. Es liefert Daten in einem standardisierten Format, unterstützt abgestufte Zugriffsrechte und ist das System, über das formelle Auskunftsersuchen abgewickelt werden.

Zwingt NIS-2 Registrare dazu, personenbezogene Daten von Domaininhabern an Marken herauszugeben?

Nicht automatisch. NIS-2 schafft einen strukturierten Zugangsrahmen und eine Antwortpflicht innerhalb von 72 Stunden. Eine Herausgabe ist nicht in jedem Fall garantiert, und personenbezogene Daten bleiben durch die DSGVO geschützt.

Was kann ich recherchieren, ohne den Registrar zu kontaktieren?

Certificate-Transparency-Logs (über crt.sh) können weitere Domains auf demselben Zertifikat aufdecken. Reverse-IP-Abfragen zeigen andere Seiten auf demselben Server. Ein Blick in den Quelltext kann Analytics-IDs offenlegen, die mehrere gefälschte Domains gemeinsam nutzen.

Muss ich den Domaininhaber immer identifizieren, um eine Seite abschalten zu lassen?

Nein. Gefälschte Websites lassen sich oft deindexieren und beim Hoster entfernen, ohne den Domaininhaber zu identifizieren. Die Identifizierung zählt, wenn Sie gegen Wiederholungstäter vorgehen, zivilrechtliche Ansprüche verfolgen oder ein UDRP-Verfahren anstrengen.

Wie unterstützt Remove.tech bei der Durchsetzung gegen gefälschte Domains?

Remove.tech überwacht kontinuierlich mehr als 100.000 Websites und Plattformen und erkennt gefälschte Domains und Fälschungsseiten, sobald sie auftauchen. Die Plattform unterstützt die Durchsetzung über rechtliche Mitteilungen, Anträge auf Deindexierung und direkte Entfernungsmaßnahmen.

‍