Expired Domain Hijacking: Wie Fake-Shops auf Ihren alten URLs landen

Die meisten Markenteams denken beim Domainschutz an Typosquatting und Lookalike-URLs, die von Betrügern registriert werden. Das ist ein echtes Problem, doch es gibt ein leiseres, das oft unbemerkt bleibt, bis sich ein Kunde beschwert: Die Domain, die Ihnen früher gehörte, verknüpft mit einem Produktlaunch oder einer Saisonkampagne von vor drei Jahren, hostet jetzt einen Fake-Shop, der unter Ihrem Namen Fälschungen verkauft.

Sie wurden nicht gehackt. Sie haben schlicht vergessen, die Domain zu verlängern.

Die Bedrohung ist häufiger, als die meisten Markenteams annehmen. Die WIPO verzeichnete 2025 mehr als 6.000 Domainstreitigkeiten, so viele wie nie zuvor. Viele der Domains, auf die Betrüger es abgesehen haben, sind nicht die Haupt-URL des Unternehmens. Es geht um die Domains, die durchs Raster gefallen sind: die Microsite für ein eingestelltes Produkt, die Kampagnen-URL einer abgelaufenen Aktion, die regionale Landingpage, an deren Verlängerung niemand gedacht hat.

Dieser Artikel erklärt, wie es dazu kommt, warum solche alten Domains für Betrüger so wertvoll sind und wie eine praxistaugliche Richtlinie für Verlängerung und Monitoring aussieht.

Am stärksten gefährdet sind die Domains, die Sie längst vergessen haben

Jedes Unternehmen sammelt eine lange Liste an Nebendomains an. Das ist nicht die zentrale Marken-URL, die in der Regel automatisch verlängert wird. Es ist die unterstützende Infrastruktur rund um bestimmte Anlässe:

• Kampagnen-Microsites für Produktlaunches oder Saisonaktionen
• Regionale Landingpages für ein bestimmtes Gebiet
• Produktspezifische URLs, die beim Start einer neuen Produktlinie registriert wurden
• Event- und Partnerschaftsseiten für eine einzelne Aktion

Wenn die Kampagne endet, rücken diese Domains in den Hintergrund. Verlängerungserinnerungen gehen an eine E-Mail-Adresse, die es nicht mehr gibt, oder das Team, das sie registriert hat, ist längst weitergezogen. Die Domain läuft aus, landet in einer öffentlich einsehbaren Löschwarteschlange, und genau dort beginnt das Drop-Catching.

So funktioniert Drop-Catching

Drop-Catching ist die automatisierte Praxis, Domain-Registries auf Namen zu überwachen, die in die letzte Löschphase eintreten, und sie in dem Moment zu registrieren, in dem sie frei werden. Das ist an sich nicht illegal. Domaininvestoren nutzen es routinemäßig. Das Problem ist, dass Betrüger genau dieselbe Infrastruktur verwenden.

Der Ablauf nach dem Auslaufen, den Betrüger ausnutzen

Wird eine Domain nicht verlängert, durchläuft sie mehrere Phasen:

• Grace Period: Der Inhaber kann die Domain noch verlängern, meist zu den normalen Kosten
• Redemption Period: Eine Verlängerung ist noch möglich, aber gegen eine deutlich höhere Gebühr
• Pending Delete: Die Domain steht zur Freigabe an, in der Regel für fünf Tage
• Drop: Die Domain wird für den freien Markt freigegeben

Domain-Registries veröffentlichen täglich Listen mit Namen, die in die Pending-Delete-Phase eintreten. Automatisierte Drop-Catching-Bots überwachen diese Listen, filtern nach Domains mit Markenbezug, bestehenden Backlinks oder früherem Traffic und versuchen dann, sie im Moment der Freigabe zu registrieren. Das Zeitfenster zwischen dem Drop einer Domain und ihrer Übernahme durch einen Bot lässt sich in Sekunden messen.

Hat ein Drop-Catcher Ihre alte Kampagnendomain gesichert, kann sie verkauft, geparkt oder, immer häufiger, fast sofort als betrügerischer Shop umfunktioniert werden.

Wichtig: Der Prozess ist vollständig automatisiert. Wenn in Ihrem Unternehmen jemand bemerkt, dass die Domain ausgelaufen ist, ist sie mit ziemlicher Sicherheit schon weg.

Warum Ihre alten Domains für Betrüger so wertvoll sind

Eine ausgelaufene Kampagnendomain ist nicht nur eine URL. Sie trägt eine Historie, die Betrüger direkt ausnutzen können.

Übernommene Suchautorität

Eine Domain, die zwei oder drei Jahre aktiv war, hat Backlinks, indexierte Seiten und Suchautorität gesammelt. Baut ein Betrüger auf dieser URL einen Fake-Shop auf, erkennen Suchmaschinen den Eigentümerwechsel nicht sofort. Die Domain kann für Ihren Markennamen und Ihre Produktsuchen ranken, bevor überhaupt ein Takedown beginnt.

Restvertrauen bei Nutzern

Kunden, die Ihre alte Microsite als Lesezeichen gespeichert oder die URL in einer Marketing-E-Mail erhalten haben, rufen sie womöglich weiterhin auf. Sie landen auf etwas, das wie Ihre Marke aussieht, und haben zunächst keinen Grund, misstrauisch zu werden.

Bestehende eingehende Links

Backlinks aus Presseberichten und von Partnerseiten verschwinden nicht, wenn eine Domain ausläuft. Ein Betrüger, der sie registriert, übernimmt diese Linksignale und beschleunigt so, wie schnell die gefälschte Seite in den Suchergebnissen erscheint.

Eine ausgelaufene Markendomain ist in den falschen Händen weitaus gefährlicher als ein neu registrierter Lookalike.

Deshalb muss die Erkennung und Entfernung gefälschter Websites über das Monitoring von Lookalike-URLs hinausgehen. Das eigentliche Risiko liegt oft in Ihrem eigenen historischen Domainportfolio.

Eine Richtlinie für Verlängerung und Monitoring, die wirklich funktioniert

Die meisten Unternehmen haben eine Verlängerungsrichtlinie für ihre Hauptdomain. Nur sehr wenige haben eine, die das gesamte Portfolio an Neben- und Altdomains abdeckt. So sieht eine praxistaugliche Richtlinie aus.

Schritt 1: Prüfen Sie Ihr gesamtes Domainportfolio

Erfassen Sie jede Domain, die Ihre Organisation jemals registriert hat, einschließlich aktiver Domains, geparkter oder weiterleitender Domains, Kampagnen- und Produkt-URLs sowie regionaler Varianten. Viele Unternehmen stellen überrascht fest, dass Domains, die sie noch zu besitzen glaubten, längst ausgelaufen sind.

Schritt 2: Nach Risiko einstufen

Teilen Sie Ihre Domains in Stufen ein, damit der Aufwand dorthin fließt, wo er am meisten zählt:

• Kritisch: Ihre Hauptmarkendomain und jede Domain, die mit aktiver Kundenkommunikation verknüpft ist
• Aktiv, nachrangig: Kampagnen- oder Produktdomains, die noch Traffic erhalten oder in aktuellen Materialien genannt werden
• Historisch: frühere Kampagnendomains ohne aktiven Traffic, aber mit Markenbezug oder Backlinks
• Geringes Risiko: Domains ohne Traffic, ohne Backlinks und ohne Bezug zum Markennamen

Kritische und aktive nachrangige Domains sollten mit automatischer Verlängerung und einem Puffer von mehreren Jahren laufen. Für historische Domains braucht es eine Entscheidung: verlängern und weiterleiten oder das Risiko des Auslaufens bewusst in Kauf nehmen.

Schritt 3: Domain-Monitoring einrichten

Die Verlängerungsverwaltung ist nur die halbe Antwort. Sie müssen auch wissen, wann eine Domain, die Ihnen früher gehörte, mit neuen Inhalten wieder auftaucht. Die Markenschutzplattform von Remove.tech überwacht Domain-Registrare und Suchmaschinen rund um die Uhr und markiert Domains, die Ihre Marke ausnutzen. Taucht etwas auf, leitet die Plattform Takedown und Deindexierung ein, bevor die gefälschte Seite in der Suche Fuß fasst.

Schritt 4: Einen Prozess für das Abschalten von Kampagnen aufsetzen

Wenn eine Kampagne oder Microsite endet:

• Leiten Sie die Domain mindestens 12 Monate lang auf Ihre Hauptwebsite weiter
• Halten Sie die Domain nach Kampagnenende noch zwei bis drei Jahre registriert
• Lösen Sie Registrar-Konten von persönlichen oder rollenbasierten E-Mail-Adressen
• Erfassen Sie die Domain in einem zentralen Asset-Register mit einer verantwortlichen Person und dem Verlängerungsdatum

Erwischt werden oft die Marken, bei denen niemand das Domainmanagement in die Abschluss-Checkliste eines beendeten Projekts aufgenommen hat.

Was tun, wenn eine Domain bereits übernommen wurde?

Stellen Sie fest, dass auf einer ausgelaufenen Markendomain bereits ein Fake-Shop läuft, handeln Sie schnell. Ihre wichtigsten Optionen:

• UDRP-Beschwerde: Mit der Uniform Domain Name Dispute Resolution Policy können Markeninhaber bösgläubig registrierte Domains anfechten, auch wenn das Verfahren in der Regel mehrere Wochen dauert.
• Abuse-Meldung beim Registrar: Die meisten Registrare sperren Domains, die für Phishing oder Betrug genutzt werden, nach ihren eigenen Nutzungsbedingungen, oft schneller als ein formelles Streitverfahren.
• Deindexierung in Suchmaschinen: Wird die gefälschte Seite aus den Suchergebnissen entfernt, sinkt ihre Reichweite, während der Domainstreit noch läuft.
• Durchsetzung über einen Markenschutzanbieter: Remove.tech kann Takedown-Verfahren und Anträge auf Deindexierung einleiten und so die Zeit zwischen Entdeckung und Lösung verkürzen.

Eine Rückgewinnung ist möglich, dauert aber länger und kostet mehr als Vorbeugung. Wenn Sie nicht sicher sind, ob Ihre historischen Domains überwacht werden, ist ein kostenloses Marken-Audit von Remove.tech ein praktischer Ausgangspunkt.

Häufig gestellte Fragen

Was ist Expired Domain Hijacking?

Von Expired Domain Hijacking spricht man, wenn ein Betrüger eine Domain registriert, die eine seriöse Marke hat auslaufen lassen, und darauf einen Fake-Shop, eine Phishing-Seite oder eine Imitationsseite betreibt. Da die Domain bereits eine Historie hat, kann sie übernommene Suchautorität und Nutzervertrauen mitbringen.

Wie schnell kann eine ausgelaufene Domain übernommen werden?

Drop-Catching-Bots können eine Domain innerhalb von Sekunden nach der Freigabe durch die Registry registrieren. Sobald eine Domain in die Pending-Delete-Phase eintritt, sollte sie als gefährdet gelten.

Kann ich meine alte Domain zurückbekommen?

Ja, aber das ist nicht einfach. Zu den Optionen gehören eine UDRP-Beschwerde über die WIPO oder direkte Verhandlungen mit dem Domaininhaber. Beides kostet Zeit und Geld. Vorbeugung durch rechtzeitige Verlängerung ist deutlich einfacher.

Wie unterstützt Remove.tech bei domainbasiertem Markenmissbrauch?

Die Markenschutzplattform von Remove.tech überwacht Domain-Registrare und Suchmaschinen rund um die Uhr und markiert Domains, die Ihre Marke ausnutzen. Wird eine gefälschte Seite identifiziert, leitet die Plattform Takedown- und Deindexierungsverfahren ein, um den Schaden so schnell wie möglich zu begrenzen.

‍