Namecheap: Ein Nutzer erzählt, wie sein Konto auf einfache Anfrage an einen nicht verifizierten Dritten übertragen wurde

Ein Nutzer behauptet auf Hacker News, dass der Registrar Namecheap sein Konto an eine Person übertragen hat, die behauptete, er zu sein, ohne eine ernsthafte Überprüfungsprozedur. Wenn sich die Tatsachen bestätigen, wirft die Angelegenheit erneut die Frage des schwächsten Glieds im DNS-Modell auf: den Kundensupport des Registrars.

Ein am 23. Juli 2026 auf der Titelseite von Hacker News veröffentlichter Beitrag erzählt eine beunruhigende Erfahrung mit Namecheap, einem der weltweit am häufigsten genutzten Registrare für die Öffentlichkeit. Laut dem Autor hätte der Support von Namecheap einem Dritten den Zugriff auf sein Konto gewährt ohne robuste Identitätsprüfung, lediglich auf dessen Anfrage hin.

Was behauptet wird

Der Autor des Beitrags berichtet, dass sich eine Person als er beim Namecheap-Support ausgegeben, die Rückgabe des Kontos verlangt und dies nach einem, wie er es beschreibt, sehr schwachen Verifizierungsverfahren erhalten hätte. Die Folgen können für das Opfer schwerwiegend sein: Zugriff auf die Domainnamen des Kontos (also auf das DNS, also auf die E-Mails und die damit verbundene Hosting-Dienste), auf die Abrechnungsgeschichte und potenziell auf gespeicherte Zahlungsmethoden.

Fakten:

• Quelle: Originalbeitrag auf der Titelseite von Hacker News, 2026-07-23, Artikel-ID 49028037 (URL unten).
• Offizielle Antwort von Namecheap: Zum Zeitpunkt der Veröffentlichung dieses Artikels haben wir keine offizielle öffentliche Stellungnahme des Registrars, die die Geschichte widerlegt oder bestätigt.
• Unabhängige Überprüfung: Die Geschichte stammt von einer einzigen Partei und ist noch nicht durch veröffentlichte Logs oder eine Stellungnahme des Registrars bestätigt.

Es ist wichtig, diesen Punkt zu betonen: In diesem Stadium berichten wir über die Behauptungen des Nutzers. Sie sind schwerwiegend, sie verdienen es, bekannt und diskutiert zu werden, aber sie stellen keine Bestätigung eines dokumentierten Verfahrensfehlers bei Namecheap dar.

Analyse: Das wahre schwache Glied des DNS

Die Geschichte hallt nach, weil sie eine strukturelle bekannte Schwäche des gesamten Registrar-Ökosystems anspricht: Die Konto-Wiederherstellungsverfahren basieren am Ende der Kette auf Menschen im Support, die zwischen Benutzerfreundlichkeit für echte Nutzer, die ihre Anmeldeinformationen verlieren (häufiger Fall), und Sicherheit gegen Angreifer, die Social Engineering betreiben (seltener, aber verheerender Fall), abwägen müssen.

Es gibt einen Präzedenzfall, den wir schon lange verfolgen: Der Diebstahl von Kryptowährungs-Konten durch SIM-Swap nutzt genau dasselbe Primitive auf Seiten der Telekommunikationsanbieter. Und es gab historisch mehrere öffentliche Vorfälle bei Registraren (darunter 2020 eine Kompromittierung von Konten bei GoDaddy durch Social Engineering des Supports). Der Angestellte-Registrar ist ein Klassiker und schwer automatisch abzusichern.

Für den Angreifer ist das Ziel lukrativ: Die Kontrolle über eine Domain zu übernehmen, bedeutet, die MX-Einträge (E-Mail-Interception) ändern, die Website umleiten (A / AAAA), oder sogar zu einem vollständigen Takeover der SaaS-Dienste, die mit dieser Domain verbunden sind (Google Workspace, Microsoft 365, alles, was you@yourdomain.com als Identifikator verwendet), zu gelangen.

Was jetzt zu tun ist

Egal, welcher Ihr Registrar ist, wenn Sie wichtige Domains verwalten:

• Aktivieren Sie die Registrar-Sperre (clientTransferProhibited) für alle Ihre Domains: Dies blockiert ausgehende Transfers, einschließlich derer, die von Ihrem Konto aus initiiert werden, solange die Sperre nicht ausdrücklich aufgehoben wird.
• Aktivieren Sie die verstärkte 2FA - Anwendung TOTP (Authy, Aegis, Bitwarden) und nicht SMS. SMS kann durch SIM-Swap geknackt werden.
• Erwägen Sie einen „corporate“-Registrar für Ihre kritischen Domains: MarkMonitor, CSC Global, Gandi Corporate bieten dokumentierte Konto-Wiederherstellungsverfahren mit starker Identitätsprüfung (Ausweisdokumente, Codewörter, vordefinierte Kontakte) - zum Preis einer bewussten Reibung und eines höheren Tarifs.
• Überwachen Sie Ihre WHOIS- und DNS-Daten mit einem Alarmservice (DNSTwist, GoDaddy Domain Monitoring oder einfacher Cron auf dig): Eine nicht angeforderte Änderung sollte Ihnen innerhalb einer Stunde gemeldet werden.
• Trennen Sie die kritischen Produktionsdomains vom Rest. Die Domain, auf der Ihr Unternehmen basiert, sollte nicht im selben Konto wie die persönliche Domain sein, die Sie 2018 für ein Nebenprojekt genommen haben.

Wir werden die mögliche Antwort von Namecheap verfolgen und diesen Artikel aktualisieren. Wir ermutigen auch den Registrar, seine Version der Ereignisse zu veröffentlichen - so machen wir kollektiv Fortschritte.