WHOIS Lookup Erklärt: Ein Vollständiger Technischer Leitfaden für 2025

Eine WHOIS-Abfrage ist ein Abfrage-Antwort-Protokoll, das verwendet wird, um Registrierungsdaten abzurufen, die mit einem Domainnamen, einer IP-Adresse oder einer Autonomous System Number (ASN) aus einer öffentlich zugänglichen Datenbank verknüpft sind. Das Ergebnis enthält die Identität des Registranten, administrative Kontakte, Registrierungs- und Ablaufdaten, Nameserver und den zuständigen Registrar – alles wichtige Informationen für die Domain-Verwaltung, Missbrauchsuntersuchungen und Netzwerkdiagnosen.

Für jeden Systemadministrator, Sicherheitsforscher oder Domain-Inhaber ist WHOIS nicht nur ein Nachschlagewerkzeug – es ist eine grundlegende Schicht der Internettransparenz-Infrastruktur. Zu verstehen, wie es auf Protokollebene funktioniert, welche Daten es offenlegt (und warum einige davon jetzt geschwärzt sind) und wie es in verschiedenen Umgebungen effektiv genutzt werden kann, ist wesentliches Wissen für jeden, der internetfähige Ressourcen verwaltet.

Welche Informationen liefert eine WHOIS-Abfrage?

Die von einer WHOIS-Abfrage zurückgegebenen Daten variieren je nach Registry, TLD (Top-Level-Domain) und den Datenschutzrichtlinien des Registrars. In einem vollständig ungeschwärzten Datensatz können Sie folgende Felder erwarten:

Registranteninformationen

• Vollständiger rechtlicher Name oder Organisationsname
• Physische Postanschrift
• E-Mail-Adresse und Telefonnummer
• Registrierungsland

Administrative und technische Kontakte

• Separate Kontaktdatensätze für die administrativen und technischen Rollen
• Diese werden für die Autorisierung von Domain-Transfers, die Verifizierung von DNS-Änderungen und die Eskalation von Missbrauchsfällen verwendet

Domain-Registrierungsdetails

• Erstellungsdatum: Der ursprüngliche Registrierungszeitstempel (UTC)
• Aktualisierungsdatum: Die letzte Änderung am Datensatz
• Ablaufdatum: Das Datum, an dem die Domain verfällt, wenn sie nicht erneuert wird – entscheidend für Drop-Catching-Strategien

Nameserver-Einträge

• Die autoritativen DNS-Server für die Domain
• Nameserver-Daten werden niemals geschwärzt, auch nicht unter der DSGVO, da sie betrieblich notwendig sind

Registrar-Informationen

• Der ICANN-akkreditierte Registrar, der die Domain verwaltet (z. B. GoDaddy, Namecheap, Tucows)
• IANA-Registrar-ID zur Querverweisierung

Domain-Statuscodes

• EPP-Statuscodes wie `clientTransferProhibited`, `serverHold` oder `pendingDelete` – diese werden oft übersehen, haben aber erhebliche betriebliche Bedeutung

Wie das WHOIS-Protokoll funktioniert: Hinter den Kulissen

WHOIS arbeitet über TCP-Port 43 mit einem einfachen Klartext-Anfrage-Antwort-Modell, das in RFC 3912 definiert ist. Es ist älter als das moderne Web und bleibt eines der ältesten aktiven Internetprotokolle, das noch weit verbreitet genutzt wird.

Hier ist der vollständige Abfragelebenszyklus:

1. Der Client initiiert eine TCP-Verbindung zu einem WHOIS-Server auf Port 43
2. Der Client überträgt den Abfragestring (z. B. `example.comrn`) im Klartext
3. Der WHOIS-Server führt eine Datenbankabfrage gegen seine Registry-Daten durch
4. Der Server gibt den Datensatz als Klartextstream zurück und schließt die Verbindung

Bei generischen TLDs (gTLDs) wie `.com` und `.net` trifft die Abfrage zunächst auf Verisigns Thin-WHOIS-Server, der nur die Registrar- und Nameserver-Daten zurückgibt. Eine zweite Abfrage wird dann an den eigenen Thick-WHOIS-Server des Registrars gerichtet, um den vollständigen Registrantendatensatz abzurufen. Diese zweistufige Architektur ist der Grund, warum einige Tools nur Teildaten anzeigen, sofern sie nicht beide Abfragen automatisch durchführen.

Bei Ländercode-TLDs (ccTLDs) wie `.de`, `.uk` oder `.fr` betreibt die Registry selbst oft einen Thick-WHOIS-Server mit eigenem Schema und eigenen Zugriffsrichtlinien.

WHOIS vs. RDAP: Der moderne Nachfolger

Das Registration Data Access Protocol (RDAP) ist der IETF-standardisierte Ersatz für WHOIS, definiert in RFC 7480–7484. Im Gegensatz zu WHOIS gibt RDAP strukturierte JSON-Antworten zurück, unterstützt Authentifizierung für abgestuften Zugriff und verarbeitet internationalisierte Domainnamen (IDNs) nativ.

ICANN hat RDAP-Unterstützung für alle gTLD-Registries und Registrare ab August 2019 vorgeschrieben. WHOIS bleibt jedoch parallel in Betrieb und ist nach wie vor die dominierende Methode, die von Befehlszeilentools und Legacy-Systemen verwendet wird. Für neue Tools sollte RDAP das bevorzugte Protokoll sein.

Arten von WHOIS-Abfragen

Domain-WHOIS-Abfrage

Der häufigste Typ. Fragt die Registry- und Registrar-Datenbanken für eine bestimmte Second-Level-Domain ab (z. B. `alexhost.com`). Gibt den vollständigen Registrierungsdatensatz wie oben beschrieben zurück.

IP-Adress-WHOIS-Abfrage

Fragt Regional Internet Registry (RIR)-Datenbanken ab – ARIN (Nordamerika), RIPE NCC (Europa/Naher Osten), APNIC (Asien-Pazifik), LACNIC (Lateinamerika) oder AFRINIC (Afrika) – um die Organisation zu identifizieren, die einen bestimmten IP-Block hält. Dies ist unverzichtbar für Missbrauchsmeldungen, Geolokalisierungsvalidierung und BGP-Fehlerbehebung.

ASN-WHOIS-Abfrage

Eine Autonomous System Number (ASN) identifiziert eine Sammlung von IP-Routing-Präfixen unter einer einzigen administrativen Domäne. Die Abfrage einer ASN zeigt den Netzbetreiber, seine Routing-Richtlinie und die von ihm angekündigten IP-Bereiche. Dies wird bei der BGP-Analyse, Peering-Entscheidungen und der DDoS-Quellzuordnung verwendet.

Reverse-WHOIS-Abfrage

Eine weniger häufig diskutierte, aber äußerst wertvolle Technik: Anstatt nach Domain oder IP zu suchen, suchen Sie nach Registrantenname, E-Mail-Adresse oder Organisation. Dies gibt alle unter dieser Entität registrierten Domains zurück – leistungsstark für Markenschutz, Betrugsinvestigationen und Wettbewerbsinformationen. Tools wie DomainTools und ViewDNS.info unterstützen dies. Standard-WHOIS-Server nicht.

So führen Sie eine WHOIS-Abfrage durch: Alle Methoden

Methode 1: Befehlszeilenschnittstelle (Empfohlen für Sysadmins)

Der `whois`-Befehl ist nativ auf Linux und macOS verfügbar. In einer VPS Hosting-Umgebung mit Debian oder Ubuntu muss das Paket möglicherweise installiert werden:

“`bash

sudo apt install whois -y

“`

Einfache Domain-Abfrage:

“`bash

whois example.com

“`

Einen bestimmten WHOIS-Server direkt abfragen (nützlich, wenn der Standardserver nur Thin-Daten zurückgibt):

“`bash

whois -h whois.verisign-grs.com example.com

“`

IP-Adress-Abfrage:

“`bash

whois 93.184.216.34

“`

ASN-Abfrage:

“`bash

whois AS15169

“`

Unter Windows ist das native `whois.exe` von Microsoft Sysinternals die sauberste Option:

“`powershell

whois.exe example.com

“`

Profi-Tipp für Sysadmins: Beim Skripten von Massen-WHOIS-Abfragen sollten Sie immer Rate-Limiting implementieren (mindestens 1–2 Sekunden zwischen Abfragen). Die meisten WHOIS-Server erzwingen harte Rate-Limits und werden Ihre IP bei aggressiven Abfragen vorübergehend sperren. Für Abfragen mit hohem Volumen ist RDAP mit geeigneten HTTP-Caching-Headern eine bessere architektonische Wahl.

Methode 2: Online-WHOIS-Tools

Für einmalige Abfragen ohne Terminalzugang gibt es mehrere autoritative webbasierte Tools:

• ICANN Lookup (`lookup.icann.org`) – die kanonische Quelle; fragt sowohl WHOIS als auch RDAP ab
• ARIN WHOIS (`search.arin.net`) – für nordamerikanische IP- und ASN-Daten
• RIPE NCC-Datenbank (`apps.db.ripe.net`) – für europäische und nahöstliche IP-Ressourcen
• DomainTools – kommerzielle Plattform mit Reverse-WHOIS, historischen Datensätzen und Überwachung
• MXToolbox – nützlich für die Kombination von WHOIS mit DNS- und Blacklist-Abfragen in einem einzigen Workflow

Methode 3: cPanel-WHOIS-Integration

Wenn Sie Domains über ein Kontrollpanel verwalten, zeigen die meisten Registrar-Integrationen WHOIS-Daten direkt an. Auf einem VPS mit cPanel bietet die WHM-Oberfläche Domain-Lookup-Dienstprogramme im Bereich DNS-Funktionen, die es Administratoren ermöglichen, die Nameserver-Delegation und den Registrierungsstatus zu überprüfen, ohne das Panel zu verlassen.

Methode 4: Programmatischer API-Zugriff

Für automatisierte Überwachungs-Pipelines stehen mehrere RDAP- und WHOIS-APIs zur Verfügung:

“`python

import requests

domain = "example.com"

response = requests.get(f"https://rdap.org/domain/{domain}")

data = response.json()

print(data["ldhName"]) # Domain name

print(data["events"]) # Creation, expiration, last changed

print(data["nameservers"]) # Authoritative nameservers

“`

Der `rdap.org`-Bootstrap-Dienst leitet Ihre Abfrage automatisch an den richtigen Registry-RDAP-Endpunkt weiter und eliminiert die Notwendigkeit, Serveradressen fest zu kodieren.

EPP-Statuscodes interpretieren: Was die meisten Anleitungen überspringen

Die Extensible Provisioning Protocol (EPP)-Statuscodes in einem WHOIS-Datensatz werden häufig missverstanden. Sie beeinflussen direkt, welche Operationen an einer Domain durchgeführt werden können:

Eine Domain, die nur den `ok`-Status ohne Transfer-Sperren anzeigt, ist ein Sicherheitsrisiko – es ist trivial einfach, einen unbefugten Transfer einzuleiten. Stellen Sie immer sicher, dass `clientTransferProhibited` auf Produktionsdomains gesetzt ist.

WHOIS-Datenschutz, DSGVO und das SSAD-Framework

Die Datenschutz-Grundverordnung (DSGVO), die im Mai 2018 in Kraft trat, hat die öffentliche Verfügbarkeit von WHOIS-Daten für Registranten im Europäischen Wirtschaftsraum grundlegend verändert. Die Auswirkungen erstrecken sich global, da die meisten großen Registrare Schwärzungsrichtlinien universell angewendet haben, anstatt auf einer geografischen Basis pro Registrant.

Was sich geändert hat:

• Persönliche Registrantendaten (Name, E-Mail, Telefon, Adresse) werden durch `REDACTED FOR PRIVACY` ersetzt oder über einen Datenschutz-Proxy-Dienst geleitet
• Vom Registrar bereitgestellte Proxy-E-Mail-Adressen (z. B. `abc123@proxy.registrar.com`) ersetzen direkte Kontakt-E-Mails
• Die Nameserver-Daten, Registrar-Identität und EPP-Statuscodes bleiben öffentlich sichtbar

Was noch nicht gelöst wurde:

ICANNs System for Standardized Access/Disclosure (SSAD) wurde als Mechanismus vorgeschlagen, um geprüften Parteien (Strafverfolgungsbehörden, IP-Anwälten, Cybersicherheitsforschern) den Zugang zu nicht-öffentlichen WHOIS-Daten über ein zentrales Gateway zu ermöglichen. Stand 2025 ist die SSAD-Implementierung noch unvollständig, was eine erhebliche Lücke in den Workflows zur Missbrauchsuntersuchung schafft. Sicherheitsteams berichten häufig, dass die Verfolgung von Phishing-Infrastruktur und Spam-Kampagnen nach der DSGVO aufgrund des Fehlens eines funktionalen Offenlegungsmechanismus erheblich schwieriger ist.

Praktische Konsequenz: Wenn Sie auf einen vollständig geschwärzten WHOIS-Datensatz stoßen, führt Ihr Eskalationsweg für Missbrauch über den Missbrauchskontakt des Registrars (immer aufgeführt, niemals geschwärzt) oder über das Missbrauchsmeldesystem der Registry. Der Registrar ist vertraglich gemäß ICANN-Richtlinien verpflichtet, Missbrauchsbeschwerden an den Registranten weiterzuleiten.

Warum WHOIS-Abfragen wichtig sind: Reale Anwendungsfälle

Domain-Akquisition und Due Diligence

Vor dem Kauf einer Domain auf dem Nachmarkt zeigt eine WHOIS-Abfrage das Ablaufdatum, den aktuellen Registrar und den Transfer-Sperrstatus. Die Überprüfung der historischen WHOIS-Datensätze der Domain (über DomainTools oder die Wayback Machine) kann frühere Verwendung für Spam oder Malware-Verteilung aufdecken, was möglicherweise zu einer Blacklistung geführt hat.

DNS-Fehlerbehebung

Wenn eine Domain nicht korrekt aufgelöst wird, sind die WHOIS-Nameserver-Felder der erste Diagnosekontrollpunkt. Eine Diskrepanz zwischen den in WHOIS aufgeführten Nameservern und den tatsächlichen autoritativen Servern in der DNS-Delegationskette ist eine häufige Ursache für Auflösungsfehler. Dies ist besonders relevant beim Migrieren von Hosting zwischen Anbietern – zum Beispiel erfordert der Wechsel zu einer Dedicated Server-Umgebung die Aktualisierung sowohl der Nameserver-Einträge des Registrars als auch der DNS-Zonenkonfiguration.

SSL-Zertifikatsausstellungsvalidierung

Zertifizierungsstellen, die Domain-Validierungsprüfungen (DV) durchführen, können WHOIS-Daten zur Querverweisierung heranziehen. Wenn Ihre Domain über Datenschutzschutz verfügt, stellen Sie sicher, dass der Proxy-Dienst Ihres Registrars Validierungs-E-Mails korrekt weiterleitet. Fehlkonfigurationen hier sind eine häufige Ursache für fehlgeschlagene SSL-Zertifikat-Ausstellungen, insbesondere für Wildcard- und Multi-Domain-Zertifikate.

Phishing- und Missbrauchsuntersuchungen

Sicherheitsteams verwenden WHOIS, um bösartige Domains mit bekannten Bedrohungsakteuren zu korrelieren. Gemeinsame Registranten-E-Mail-Adressen, Nameserver-Muster und Registrierungszeitcluster sind Indikatoren für koordinierte Infrastruktur. Selbst mit DSGVO-Schwärzung bieten Nameserver- und Registrar-Daten oft ausreichende Ausgangspunkte.

Markenschutz und Markenrechtsdurchsetzung

Rechtsteams verwenden WHOIS, um Cybersquatter zu identifizieren und UDRP-Beschwerden (Uniform Domain-Name Dispute-Resolution Policy) bei ICANN einzureichen. Die Proxy-Kontaktadresse des Registranten ist ausreichend, um formelle Verfahren einzuleiten.

Wettbewerbsorientiertes Domain-Monitoring

Die Verfolgung, wann Konkurrenz-Domains registriert, erneuert oder übertragen werden, kann strategische Signale liefern. Eine Domain, die zu einem neuen Registrar oder Nameserver-Anbieter wechselt, kann auf eine Plattformmigration oder Infrastrukturänderung hinweisen.

Beispiel-WHOIS-Ausgabe: Kommentiert

Nachfolgend ist ein repräsentativer WHOIS-Datensatz mit Anmerkungen, die die Bedeutung jedes Feldes erläutern:

“`

Domain Name: EXAMPLE.COM

Registry Domain ID: 2336799_DOMAIN_COM-VRSN ← Verisign registry ID

Registrar WHOIS Server: whois.registrar.com

Registrar URL: https://www.registrar.com

Updated Date: 2024-08-15T10:22:00Z ← Last record modification

Creation Date: 2000-01-01T00:00:00Z ← Original registration

Registry Expiry Date: 2026-01-01T00:00:00Z ← Renewal deadline

Registrar: Example Registrar, Inc.

Registrar IANA ID: 1234

Registrar Abuse Contact Email: abuse@registrar.com ← Always public

Registrar Abuse Contact Phone: +1.8005551234

Domain Status: clientDeleteProhibited ← Transfer/delete locks

Domain Status: clientTransferProhibited

Domain Status: clientUpdateProhibited

Name Server: NS1.EXAMPLEHOST.COM ← Authoritative DNS

Name Server: NS2.EXAMPLEHOST.COM

DNSSEC: unsigned ← No DNSSEC — potential risk

“`

Das `DNSSEC: unsigned`-Feld ist besonders hervorzuheben. Eine Domain ohne DNSSEC ist anfällig für DNS-Cache-Poisoning-Angriffe. Für jede Domain, die Finanztransaktionen oder sensible Benutzerdaten verarbeitet, sollte die DNSSEC-Signierung als obligatorisch betrachtet werden.

WHOIS für die Validierung der E-Mail-Infrastruktur

Eine weniger diskutierte Anwendung von WHOIS ist die Validierung der Legitimität von Absender-Domains in E-Mail-Sicherheits-Workflows. Bei der Konfiguration von E-Mail-Hosting oder der Analyse eingehender E-Mails kann die Querverweisierung des WHOIS-Registrierungsalters der Absender-Domain mit ihrem E-Mail-Volumen neu registrierte Domains (weniger als 30 Tage alt) kennzeichnen, die unverhältnismäßig aktiv sind – ein starker Indikator für Spam- oder Phishing-Infrastruktur.

Mail-Transfer-Agenten und Anti-Spam-Plattformen integrieren zunehmend WHOIS-Altersdaten in ihre Bewertungsmodelle neben SPF-, DKIM- und DMARC-Validierung.

Technische Entscheidungsmatrix: Auswahl Ihrer WHOIS-Methode

Praktische Checkliste: WHOIS-Best-Practices für Domain-Inhaber

• Registrar-Transfer-Sperre (`clientTransferProhibited`) auf allen Produktionsdomains unmittelbar nach der Registrierung aktivieren
• WHOIS-Datenschutzschutz einrichten, um die Offenlegung persönlicher Daten zu verhindern, aber sicherstellen, dass der Proxy Ihres Registrars Missbrauchs- und Validierungs-E-Mails korrekt weiterleitet
• Ablaufdaten mit automatisierten Benachrichtigungen überwachen – die meisten Registrare bieten dies an, aber ein sekundäres Überwachungstool bietet Redundanz
• Nameserver-Genauigkeit in WHOIS nach jeder DNS-Migration überprüfen; die Propagierung kann bis zu 48 Stunden dauern, aber der WHOIS-Datensatz sollte sich innerhalb von Minuten aktualisieren
• DNSSEC-Status prüfen und Signierung aktivieren, wenn Ihr Registrar und DNS-Anbieter dies unterstützen
• EPP-Statuscodes regelmäßig überprüfen – unerwartete Statusänderungen können auf unbefugten Kontozugriff hinweisen
• Für Domains, die über Domain-Registrierungsdienste registriert wurden, sicherstellen, dass der Missbrauchskontakt des Registrars reaktionsfähig ist, bevor ein Vorfall eintritt
• Den WHOIS-Datensatz Ihrer Domain nach einem Sicherheitsvorfall mit Blacklist-Datenbanken abgleichen, um die Auswirkungen auf den Ruf zu bewerten

FAQ

Was ist der Unterschied zwischen einem Thin- und einem Thick-WHOIS-Datensatz?

Ein Thin-WHOIS-Datensatz, der von der Registry zurückgegeben wird (z. B. Verisign für `.com`), enthält nur den Registrarnamen, Nameserver und Statuscodes. Ein Thick-WHOIS-Datensatz, der vom eigenen WHOIS-Server des Registrars zurückgegeben wird, enthält die vollständigen Registrantenkontaktdaten. Die meisten Lookup-Tools führen beide Abfragen automatisch durch, aber die direkte Abfrage des Registry-Servers gibt nur Thin-Daten zurück.

Warum zeigt eine WHOIS-Abfrage „REDACTED FOR PRIVACY” anstelle von Kontaktdaten?

Nach der DSGVO wenden die meisten Registrare weltweit standardmäßig oder als Opt-in-Dienst Datenschutzschwärzungen auf persönliche Registrantendaten an. Der Missbrauchskontakt des Registrars bleibt sichtbar. Um den Domain-Inhaber zu erreichen, verwenden Sie die im Datensatz angegebene Proxy-E-Mail-Adresse oder das Kontaktformular.

Können WHOIS-Daten als rechtlicher Nachweis des Domain-Eigentums verwendet werden?

WHOIS-Datensätze sind für sich allein kein rechtlich maßgeblicher Eigentumsnachweis – sie spiegeln Registrierungsdaten wider, keinen Titel. In UDRP-Verfahren und Gerichtsverfahren werden WHOIS-Datensätze als unterstützende Beweise zusammen mit Registrar-Kontodaten verwendet, die die autoritative Quelle sind. Registrar-Kontodaten erfordern einen formellen Rechtsantrag zur Erlangung.

Wie oft werden WHOIS-Daten nach einer Änderung aktualisiert?

Registrar-WHOIS-Datenbanken spiegeln Änderungen typischerweise innerhalb von Minuten bis wenigen Stunden nach einer Modifikation wider. Daten auf Registry-Ebene (Nameserver, Statuscodes) werden innerhalb von Minuten auf den Registry-WHOIS-Server propagiert. Drittanbieter-WHOIS-Aggregatoren und Caching-Proxies können jedoch bis zu 24–48 Stunden veraltete Daten liefern.

Was bedeutet der Status „pendingDelete” und kann die Domain noch wiederhergestellt werden?

`pendingDelete` bedeutet, dass die Domain ihre Ablauf-Gnadenfrist und Wiederherstellungsfrist überschritten hat und von der Registry zur Löschung in die Warteschlange gestellt wurde. Bei `.com`- und `.net`-Domains dauert diese Phase ungefähr 5 Tage. Während dieses Zeitraums kann der ursprüngliche Registrant die Domain nicht wiederherstellen – sie kann nur von jedem registriert werden, sobald sie freigegeben wird. Der `redemptionPeriod`-Status, der `pendingDelete` vorausgeht, ist das letzte Zeitfenster für die Wiederherstellung, typischerweise gegen eine erhebliche Prämiengebühr des Registrars.