Abrufen von Domain WHOIS-Verlaufsdaten nach der Redigierung

WHOIS-Daten sind nützlich, um Cyberbedrohungen aufzuspüren, die Eigentumsverhältnisse von Unternehmen zu überprüfen und den Missbrauch von Domain-Marken zu verhindern. Jahrzehntelang waren diese Informationen öffentlich zugänglich und leicht zu finden.

In letzter Zeit ist es deutlich schwieriger geworden, die Person hinter einem Domainnamen ausfindig zu machen. Eine gewöhnliche WHOIS-Abfrage liefert nur sehr wenige Informationen, da die meisten Angaben mittlerweile entweder geschwärzt oder datenschutzrechtlich geschützt sind (es handelt sich hierbei um unterschiedliche Mechanismen, auf die wir später noch näher eingehen werden).

In diesem Beitrag beschreiben wir einige Möglichkeiten, wie Cybersicherheitsforscher trotz der Schwärzung oder des Datenschutzes weiterhin Zugang zu echten WHOIS-Daten erhalten können. Wir werden auch darauf eingehen, warum WHOIS-Daten mittlerweile geschützt sind. 

WHOIS-Anonymisierung vs. WHOIS-Datenschutz

WHOIS-Anonymisierung und WHOIS-Datenschutz mögen sich ähnlich anhören, und in gewisser Weise trifft das auch zu – bei beiden werden die Daten des Registranten verborgen. Sie funktionieren jedoch unterschiedlich. 

Der WHOIS-Datenschutz ist ein Dienst – in manchen Fällen müssen Sie dafür tatsächlich bezahlen. Diese Dienste arbeiten mit Domain-Registraren zusammen und ersetzen Ihre persönlichen Daten durch die Kontaktdaten eines Proxy-Dienstes. Wenn jemand eine Domain mit Datenschutzfunktion abfragt, sieht erdie Angabe „Aus Datenschutzgründen nicht angezeigt“, „Domains by Proxy“ oder den Namen und die Adresse eines anderen Anbieters von WHOIS-Datenschutzdiensten, jedoch nicht den tatsächlichen Domaininhaber.

Die WHOIS-Anonymisierung funktioniert anders. Es handelt sich dabei nicht um eine Entscheidung des Nutzers, sondern um eine Richtlinie, die vom Registrar oder der Registrierungsstelle durchgesetzt wird. Durch die Anonymisierung werden die Informationen vollständig aus der öffentlichen Ansicht entfernt. Anstelle eines Proxy-Namens wird eine Kennzeichnung wie „Aus Datenschutzgründen anonymisiert“ angezeigt.

Warum werden WHOIS-Daten aus Datenschutzgründen unkenntlich gemacht?

Zwar gibt es WHOIS-Datenschutzdienste bereits seit Jahrzehnten (so wurde beispielsweise Domains by Proxy im Jahr 2004 gegründet), doch die Anonymisierung der Daten begann erst mit Inkrafttreten der Datenschutz-Grundverordnung (DSGVO). Als die DSGVO in Europa in Kraft trat, musste die Internet Corporation for Assigned Names and Numbers (ICANN) ihren Umgang mit Registrierungsdaten ändern.

Im Jahr 2018 führte die ICANN die vorläufige Spezifikation für Registrierungsdaten generischer Top-Level-Domains (gTLDs) ein. Diese Vorschrift verpflichtete Domain-Registrare und -Registries dazu, personenbezogene Daten zu verbergen, sofern der Inhaber des Domainnamens nicht ausdrücklich in deren Offenlegung eingewilligt hatte. Diese Richtlinie gilt für alle gTLD-Daten, auf die über das Standard-WHOIS oder das neuere Registration Data Access Protocol (RDAP) zugegriffen werden kann. Obwohl ccTLDs unabhängig geregelt werden, entschieden sich viele dennoch dafür, dem Beispiel der ICANN zu folgen.

Seitdem sind WHOIS-Abfragen komplizierter geworden. 

Früher dauerte es nur wenige Sekunden, die E-Mail-Adresse eines Domaininhabers zu ermitteln, und es war lediglich eine einzige reguläre WHOIS-Abfrage erforderlich – ganz gleich, ob man ein WHOIS-Abfragetool wie das unsere oder den Befehl „whois“ verwendete. Nach der Anonymisierung liefern WHOIS-Abfragen in vielen Fällen kaum noch nützliche Informationen. Wo früher die tatsächlichen Daten des Inhabers standen, sehen Sie nun immer wieder Platzhalter-E-Mail-Adressen von WHOIS-Datenschutzdiensten (die zwar für die Kontaktaufnahme mit dem Inhaber funktionieren, für Reverse-WHOIS oder andere Zwecke jedoch völlig nutzlos sind) oder Felder, in denen lediglich „Withheld for Privacy“ (Aus Datenschutzgründen zurückgehalten) oder „Redacted for Privacy“ (Aus Datenschutzgründen unkenntlich gemacht) steht. Dies schützt zwar die Privatsphäre der Inhaber, verursacht jedoch auch zahlreiche Probleme im Bereich der Cybersicherheit.

Werden alle WHOIS-Daten unkenntlich gemacht?

Glücklicherweise werden nicht alle Domain-Registrierungsdaten unkenntlich gemacht. Hier sind einige Fälle, in denen die WHOIS-Daten nicht unkenntlich gemacht oder durch den WHOIS-Datenschutz verborgen werden:

• WHOIS-Daten vor 2018: Während bei vielen vor 2018 registrierten Domains die meisten Felder ihres aktuellen WHOIS-Eintrags mit „REDACTED“ gekennzeichnet sind, verfügen sie dennoch über historische Einträge, die früher öffentlich zugänglich waren und damals nicht geschwärzt wurden. Diese alten Daten sind wahrscheinlich weiterhin über historische Archive wie unseren WHOIS-Verlaufsdatenbank-Download zugänglich. Sofern die Domain nicht den Besitzer gewechselt hat oder der Inhaber seine Kontaktdaten nicht geändert hat, können diese Informationen eine wahre Fundgrube für diejenigen sein, die nach den Angaben des Inhabers suchen. Domain-Inhaber, die vor 2018 WHOIS-Datenschutzdienste genutzt haben, verfügen jedoch weiterhin über ausgeblendete WHOIS-Einträge für ihre Domains.
• Domains mit bestimmten länderspezifischen Top-Level-Domains (ccTLDs): Bei einigen ccTLDs sind die WHOIS-Daten ungeschwärzt, da die Registrierungsstellen (gemäß den Gesetzen der jeweiligen Länder) keine Schwärzung zulassen. Beispiele hierfür sind Australien (.au, zumindest für das webbasierte WHOIS-Abfragetool der Registrierungsstelle ), Niue (.nu) und die Vereinigten Staaten (.us, obwohl es einen Vorschlag gibt, dies zu ändern). 
• Domains, bei denen die Inhaber sich dafür entschieden haben, ihre WHOIS-Daten ausdrücklich anzuzeigen: In vielen Fällen steht es dem Domain-Registranten frei, seinen WHOIS-Eintrag öffentlich anzuzeigen, wenn er dies wünscht. Größere Unternehmen, wie beispielsweise Microsoft, nutzen WHOIS als Vertrauenssignal, um zu zeigen, dass eine Domain tatsächlich ihnen gehört und nicht etwa Betrügern, die sich als sie ausgeben. 

Welche WHOIS-Daten werden unkenntlich gemacht?

Zu den geschwärzten WHOIS-Daten gehören personenbezogene Daten wie der Name des Registranten, die Organisation, die E-Mail-Adresse und die Postanschrift.

Die technischen Daten zur Domain bleiben jedoch öffentlich zugänglich. Dazu gehören Nameserver, Domain-Statuscodes, Datumsangaben, das Bundesland bzw. die Provinz des Registranten sowie das Land des Registranten.

Daten, die nicht geschwärzt wurden, gelten als nicht personenbezogen, sodass sie gemäß der DSGVO öffentlich zugänglich bleiben dürfen. 

So greifen Sie auf anonymisierte Registrantendaten und andere WHOIS-Daten zu

Wenn Sie unbedingt herausfinden müssen, wer hinter den geschwärzten WHOIS-Daten steht, stehen Ihnen einige Möglichkeiten zur Verfügung. Diese reichen von der Einreichung formeller Anträge bis hin zur Nutzung spezialisierter historischer Datenbanken. 

Einen Antrag auf Auskunft stellen

Die DSGVO gestattet es Domain-Registrierstellen, Registrierungsdaten weiterzugeben, sofern die Anfrage aus berechtigten Gründen erfolgt. 

Forscher im Bereich Cybersicherheit können beim Registrar einen Antrag bezüglich Domains stellen, die in illegale Aktivitäten wie Betrug, Cybersquatting oder Phishing verwickelt sind. Es gibt kein einheitliches System zur Bekämpfung von Missbrauch für die Einreichung solcher Anträge, da Domain-Registrare ihre eigenen Verfahren haben. 

Einige Beispiele hierfür sind:

• GoDaddy: Verwendet ein eigenes Formular zur Offenlegung nicht öffentlicher Daten.
• OVH: Das Verfahren wird hier ausführlich beschrieben; Anfragen sind an [email protected] zu richten.
• Cloudflare: Bearbeitet diese Anfragen über sein System zur Meldung von Missbrauch.
• Namecheap: Bietet verschiedene Verfahren für unterschiedliche Zwecke an, die in diesem Leitfaden ausführlich beschrieben werden.

In dem anonymisierten WHOIS-Eintrag ist zudem ein „Meldeschalter für Missbrauch“ aufgeführt, da Registrare verpflichtet sind, eine Möglichkeit zur Meldung von Missbrauch bereitzustellen, selbst wenn die persönlichen Daten des Inhabers verborgen sind. Dieser befindet sich in der Regel hinter dem Namen und der ID des Registrars.

Eine Vorladung einreichen und anschließend zustellen

Bei strafrechtlichen Ermittlungen ist die Einreichung einer Vorladung der erfolgversprechendste Weg. Dies ist zwar mit höheren Kosten verbunden und erfordert die Hinzuziehung eines Rechtsbeistands, stellt jedoch oft die einzige Möglichkeit dar, eine Antwort von einem Registrierungsdienst zu erhalten. Erhält ein Registrierungsdienst eine gültige gerichtliche Anordnung, ist er in der Regel verpflichtet, die ungeschwärzten Daten des Registranten herauszugeben.

Das FBI hat unter anderem zahlreiche Domain-Registrare vorgeladen. Im Jahr 2025 wurde eine Vorladung an Tucows zugestellt, um den Eigentümer von archive[.]today, archive[.]is und archive[.]ph ausfindig zu machen. 

WHOIS-Verlauf verwenden

Die schnellste und einfachste Methode ist die Nutzung historischer WHOIS-Daten. Damit können Cybersicherheitsforscher herausfinden, wie die WHOIS-Einträge vor der Schwärzung aussahen. Wenn beispielsweise ein Domainname im Jahr 2015 registriert und 2018 geschwärzt wurde, könnten die historischen Einträge aus diesen ersten drei Jahren eine wahre Fundgrube sein (vorausgesetzt, der Domaininhaber hat keine WHOIS-Datenschutzdienste in Anspruch genommen).

Im Folgenden zeigen wir Ihnen, wie Sie die WHOIS-Verlaufssuche nutzen können, die Teil der Domain Research Suite (DRS) ist, einer Plattform mit 10 Tools zur Domainsuche und -überwachung:

1. Melden Sie sich bei DRSein. Wenn Sie noch kein Konto haben, melden Sie sich kostenlos an und erhalten Sie 500 Gratis-Credits.

2. Geben Sie den Domainnamen ein. Wenn Sie beispielsweise die Domain xclyd[.]com untersuchen, die als „Silver Fox“-Indikator für eine Kompromittierung (IoC) gekennzeichnet ist, geben Sie diese in das Suchfeld ein.

3. Überprüfen Sie die Anzahl der Datensätze. Eine hohe Anzahl historischer Datensätze erhöht Ihre Chancen, eine ungeschwärzte Version zu finden.

4. Öffnen Sie den aktuellen WHOIS-Eintrag der Domain. In diesem Fall wäre das der oberste Eintrag vom 19. März 2026, bei dem die Angaben zu Registrant, administrativem und technischem Ansprechpartner aus Datenschutzgründen bereits unkenntlich gemacht wurden.

5. Suchen Sie nach älteren Einträgen. Blättern Sie zurück zu Einträgen, die vor Mai 2018 datiert sind. Der älteste Eintrag für xclyd[.]com stammt vom 10. April 2011 und enthält die ungeschwärzten Angaben zu Organisation, Name, E-Mail-Adresse und Postanschrift des Registranten sowie die Kontaktdaten für den administrativen, technischen und abrechnungstechnischen Ansprechpartner der Domain. 

Der aktuellste ungeschwärzte WHOIS-Eintrag für die Domain stammt vom 4. April 2018. Danach wurden die Angaben ausgeblendet. Dennoch lässt sich erkennen, dass die Domain bis zum 1. Februar 2026 in China registriert blieb.

6. Gehen Sie einen Schritt weiter. Nutzen Sie diese E-Mail-Adresse oder diesen Namen, um weitere Domains zu finden, die demselben Betreiber gehören. Eine historische Reverse-WHOIS-Abfrage für die aktuellste, nicht geschwärzte E-Mail-Adresse (****[email protected]) ergab fünf weitere Domains, die unter Verwendung dieser E-Mail-Adresse registriert wurden.

Andererseits ergab die älteste mit dieser Domain verknüpfte E-Mail-Adresse 3.168 verbundene Domains.

7. Überprüfen Sie die Gültigkeit der E-Mail-Adresse. Da Sie nun zwei E-Mail-Adressen haben, können Sie prüfen, ob diese noch aktiv sind. Eine kurze Überprüfung über „Email Verification Lookup“ zeigt, dass die E-Mail-Adresse weiterhin Nachrichten empfangen kann.

Das Gleiche gilt für die E-Mail-Adresse des Registranten aus dem Jahr 2018.

So können Sie WHOIS-Daten zu Domains nach einer Schwärzung abrufen. Die WHOIS-Verlaufsdaten der WhoisXML API stehen zudem in Form eines Suchtools, eines Datenbank-Downloads und einer API zur Verfügung.

Wenn Sie das oben genannte Beispiel mit der WHOIS-History-API mithilfe eines curl-Befehls nachbilden und die Ausgabe in eine JSON-Datei schreiben möchten, würde die Abfrage wie folgt aussehen:

curl "https://whois-history.whoisxmlapi.com/api/v1?apiKey=YOUR_API_KEY&domainName=google.com&mode=purchase" > output.json

Im obigen Beispiel müssen Sie IHR_API_SCHLÜSSEL mit Ihrem tatsächlichen API-Schlüssel, den Sie bei der Anmeldung erhalten.

Domain-Info-API verwenden

Die Domain-Info-API ist eine schlankere Alternative zur vollständigen WHOIS-Verlaufssuche. Während die WHOIS-Verlaufssuche Ihnen eine Zeitleiste aller Änderungen liefert, bietet die Domain-Info einen einzigen Datensatz, der die wichtigsten Daten zu einer Domain zusammenfasst. 

Es ist kostengünstiger und kann über eine API, ein Suchtool oder als Teil von DRS genutzt werden. Es hilft Ihnen dabei, Daten einzusehen, die durch eine Schwärzung verloren gegangen sind (sofern dies überhaupt der Fall war), umgeht jedoch keine kostenpflichtigen WHOIS-Datenschutzdienste. Sollte ein Domaininhaber einen Datenschutz-Proxy genutzt haben, zeigt das Tool dennoch die Proxy-Daten an.

Domain-Info ist in der Regel die einfachere Alternative zur WHOIS-Historie, wenn Sie diese in automatisierten Arbeitsabläufen verwenden möchten, da Sie nur einen einzigen WHOIS-Eintrag anstelle von Dutzenden erhalten. 

Eine Beispiel-API-Anfrage, mit der Sie das gleiche Ergebnis wie oben erhalten, sieht wie folgt aus:

curl „https://domain-info.whoisxmlapi.com/api/v1?apiKey=YOUR_API_KEY&domainName=xclyd.com“

Auch hier müssen Sie IHR_API_SCHLÜSSEL mit Ihrem tatsächlichen API-Schlüssel, der für die Domain-Info-API und die WHOIS-History-API identisch ist. Die Ausgabe ist ein JSON-Datensatz, der wie folgt aussieht:

{
  "domainName": "xclyd.com",
  "data": [
    {
      "fieldName": "createdDateISO8601",
      "fieldValue": "2015-05-14T02:01:42+00:00",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "updatedDateISO8601",
      "fieldValue": "2026-03-15T13:32:34+00:00",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "expiresDateISO8601",
      "fieldValue": "2026-05-14T02:01:42+00:00",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "createdDateRaw",
      "fieldValue": "2015-05-14 02:01:42 UTC",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "updatedDateRaw",
      "fieldValue": "2026-03-15 13:32:34 UTC",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "expiresDateRaw",
      "fieldValue": "2026-05-14 02:01:42 UTC",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "nameServers",
      "fieldValue": [
        "NAOMI.NS.CLOUDFLARE.COM",
        "VASILII.NS.CLOUDFLARE.COM"
      ],
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "whoisServer",
      "fieldValue": "whois.gname.com",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "registrarName",
      "fieldValue": "Gname.com Pte. Ltd.",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "status",
      "fieldValue": [
        "clientTransferProhibited"
      ],
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    }
  ],
  "registrantContact": [
    {
      "fieldName": "name",
      "fieldValue": "Registry Registrant ID: Not Available From Registry",
      "auditDate": "2022-04-29T07:16:11+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "organization",
      "fieldValue": "Zhe Jiang Li Yong Da Zhi Ling Ji Xie You Xian Gong Si",
      "auditDate": "2018-04-04T16:49:33+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "street",
      "fieldValue": "Xin Chang Cheng Dong Xin Qu Yu Lin Lu 18Hao",
      "auditDate": "2018-04-04T16:49:33+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "city",
      "fieldValue": "Shao Xing Shi",
      "auditDate": "2018-07-24T00:00:00+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "state",
      "fieldValue": "HUBEI",
      "auditDate": "2024-12-26T01:49:11+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "postalCode",
      "fieldValue": "...500",
      "auditDate": "2018-04-04T16:49:33+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "country",
      "fieldValue": "UNITED STATES",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "email",
      "fieldValue": "[email protected]",
      "auditDate": "2018-04-04T16:49:33+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "telephone",
      "fieldValue": "......6041483",
      "auditDate": "2018-04-04T16:49:33+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "telephoneExt",
      "fieldValue": null,
      "auditDate": null,
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "fax",
      "fieldValue": "......041483",
      "auditDate": "2018-04-04T16:49:33+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "faxExt",
      "fieldValue": null,
      "auditDate": null,
      "isEmptyOrRedactedNow": true
    }
  ]
}

Aus Datenschutzgründen haben wir einige Teile der Ausgabe in diesem Artikel redigiert, doch wenn Sie eine WHOIS-Verlaufssuche durchführen (sei es über DRS oder die API), werden die Daten dort zu finden sein.

Fazit

Die Anonymisierung von WHOIS-Daten hat das Internet für Nutzer privater gemacht, aber sie hat es Kriminellen auch erleichtert, sich zu verstecken – und Cybersicherheitsforschern die Ermittlungsarbeit erschwert. 

Wenn Sie bei der Untersuchung einer verdächtigen Domain auf einen unvollständigen Eintrag stoßen, sollten Sie zunächst die WHOIS-Historie nutzen, um alte, ungeschwärzte Daten zu finden. Sollte dies nicht gelingen, wenden Sie sich an die Missbrauchsstelle des Registrars oder ziehen Sie rechtliche Schritte wie eine Vorladung in Betracht.

Registrieren für WHOIS History oder Domain Info, um historische WHOIS-Einträge für die Domains auch nach der massenhaften Schwärzung abzurufen.