Am 24. Juli 2026 erschien auf Hacker News ein beunruhigender Beitrag. Der Titel war direkt: „Tell HN: Namecheap hat mein Konto an einen ungeprüften Dritten weitergegeben.”
Der Autor, der sich Thrashed nennt, sagte, er sei seit 13 Jahren Kunde bei Namecheap. 13 Jahre lang hatte er für eine Studentenverbindung eine .com-Domain treuhänderisch verwaltet – registriert auf seinen Namen, mit seiner Adresse und Telefonnummer.
Es war ein gut gemeinter Freundschaftsdienst: In Studentenverbindungen wechseln die Mitglieder ständig, und wenn jemand die Verlängerung vergisst, schnappt sich ein Domain-Grabbing-Dienst die Adresse. Also zahlte er aus eigener Tasche weiter.
Bis eines Tages der Vorstand der Verbindung wechselte.
Der neue Verantwortliche wollte die DNS-Einstellungen der Domain ändern, wusste aber nicht, wer sie verwaltete. Er fand heraus, dass die Domain bei Namecheap lag, und löste über die „Passwort vergessen”-Funktion eine Zurücksetzung aus. Thrashed bekam die E-Mail und meldete sofort ein Ticket: „Ich habe das nicht angefragt.”
Der Namecheap-Support rief tatsächlich zurück – sie erreichten Thrashed, bestätigten, dass er der Ticket-Einreicher war, und schickten eine Standard-E-Mail mit dem Rat, „sein Antivirenprogramm zu überprüfen”.
Bis hierhin war die Geschichte noch normal.
Doch was dann geschah, ist der wahre Schocker.
Thrasheds Beitrag auf Hacker News erhielt 301 Upvotes und 105 Kommentare. Zum Zeitpunkt der Veröffentlichung gaben zahlreiche Nutzer an, ihre Domains zu migrieren.
Ein Anruf, ein Konto
Der neue Verbindungsvorstand gab nicht auf. Er rief direkt bei der Namecheap-Hotline an.
Am Telefon überzeugte er den Kundendienstmitarbeiter: Die Domain sei zwar auf den Namen eines anderen registriert, gehöre aber in Wirklichkeit der Studentenverbindung.
Und dann tat Namecheap etwas, das alle Anwesenden sprachlos machte:
Ohne Rückruf, ohne zusätzliche Identitätsprüfung, nur weil „die andere Seite überzeugend klang”, änderte Namecheap das Passwort von Thrasheds Konto und gleich auch die hinterlegte E-Mail-Adresse.
Ja, richtig gelesen: Passwort und E-Mail wurden in einem Zug geändert.
Was bedeutet das? Selbst wenn Thrashed das neue Passwort gekannt hätte – er wäre nicht mehr reingekommen, weil der Zurücksetzungslink an die neue Adresse ging. Sein Konto war ihm vollständig entrissen worden – und Namecheap hatte nicht einmal angerufen, um bei ihm nachzufragen.
„Namecheap hat durchaus die Fähigkeit, mich anzurufen (das haben sie ja bereits getan)”, schrieb Thrashed. „Aber wenn jemand anders anruft und sagt ‘Ich möchte dieses Konto wirklich haben’, machen sie sich nicht einmal die Mühe, es zu überprüfen?”
Er fügte einen Satz hinzu, der jedem Leser einen Schauer über den Rücken jagt: „Ich will das nicht einmal Social Engineering nennen. Das ist ein massives Sicherheitsloch – jeder Dritte kann ohne Weiteres dein Namecheap-Konto übernehmen: Einfach nett reden reicht.”
Ein Support-System, das leichter zu täuschen ist als jeder Betrüger
Schlüsseln wir den Vorfall auf.
Namecheaps Sicherheitsmechanismus versagte an der kritischsten Stelle.
Als Thrashed das Ticket zur Passwortzurücksetzung einreichte, rief Namecheap tatsächlich zurück – zur Bestätigung. Das zeigt, dass Namecheap einen Rückruf-Prozess hat.
Doch als der „Angreifer” (in diesem Fall ein gutgläubiger Student) von sich aus anrief, gab es keinen Prozess, der den Mitarbeiter verpflichtete, die im Account hinterlegte Telefonnummer zurückzurufen und zu überprüfen. Der Mitarbeiter ließ sich am Telefon allein durch „Überzeugungskraft” zur Aktion bewegen.
Das offenbart ein systemisches Problem: Namecheaps Sicherheitsablauf ist nur in eine Richtung abgesichert – es wird nur geprüft, wer ein Ticket einreicht, nicht aber, wer anruft.
Mit anderen Worten: Namecheaps Sicherheit gleicht einer Tür, die nur auf einer Seite abgeschlossen ist:
- Von innen nach außen: mit Prüfung (Rückrufbestätigung)
- Von außen nach innen: ohne Prüfung (jeder, der anruft, wird durchgestellt)
Diese asymmetrische Sicherheitsarchitektur macht das gesamte Abwehrsystem wirkungslos.
Noch beunruhigender: Namecheap änderte nicht nur das Passwort, sondern auch die hinterlegte E-Mail. Selbst wenn der Account eine Zwei-Faktor-Authentifizierung (2FA) hatte, hätte das diesen Angriff nicht unbedingt verhindert – denn wer die neue E-Mail kontrolliert, kontrolliert den gesamten Passwort-Zurücksetzungsprozess. 2FA kann nach der Übernahme sogar zum Hindernis für den rechtmäßigen Besitzer werden, sein Konto zurückzuerlangen.
In den Kommentaren fragte jemand, ob Thrashed 2FA aktiviert hatte. Seine Antwort: „Ja, aber ich weiß nicht, wie viel das in diesem Fall gebracht hätte.”
Warum ist eine Domain wertvoller als ein Passwort?
Der Autor möchte an dieser Stelle erklären, was viele Normalnutzer nicht wissen: Ihre Domain ist weit wertvoller als Ihr Passwort.
Sie haben Dutzende von Konten – E-Mail, soziale Netzwerke, Online-Banking – jedes mit einem Passwort geschützt. Wird eines gestohlen, verlieren Sie maximal das, was auf dieser Plattform liegt. Sie ändern das Passwort, kontaktieren den Support, und bekommen es in der Regel zurück.
Aber eine Domain ist etwas anderes.
Eine Domain ist der Generalschlüssel zu Ihrem gesamten digitalen Leben. Wenn Ihnen example.com gehört:
- Alle Ihre E-Mail-Konten ([email protected]) unterstehen dieser Domain
- Alle Inhalte Ihrer Website unterstehen dieser Domain
- Jeder Einstiegspunkt, über den andere Sie im Internet finden, untersteht dieser Domain
Sobald jemand die Domain in Händen hält, kann er:
- Ihre gesamte E-Mail auf seine Server umleiten
- Mit Ihrer E-Mail die Passwörter aller Ihrer Plattformen zurücksetzen
- Ihre Website auf eine Phishing-Seite umleiten
- Die Domain sogar an Dritte verkaufen
Mit anderen Worten: Die Kontrolle über die Domain zu verlieren bedeutet, seine gesamte digitale Identität zu verlieren.
Genau deshalb sollten die Sicherheitsanforderungen eines Domain-Registrars höher sein als die einer Bank – aber die Realität sieht oft anders aus.
Wer trägt die Verantwortung? Drei Bruchstellen in der Sicherheitskette
Erste Bruchstelle: Unzureichende Schulung des Supports
Namecheaps Kundendienstmitarbeiter scheinen keinerlei Schulung zur „Account-Takeover-Abwehr” erhalten zu haben. Sie ließen sich von einem Fremden am Telefon überzeugen, das Passwort und die E-Mail eines Kontos zu ändern. Das zeigt, dass in Namecheaps Standard Operating Procedures (SOPs) schlicht kein Prozess für „Kontoübernahme durch Dritte” existiert.
Jeder verantwortungsvolle Domain-Registrar müsste eine eiserne Regel haben: Bei jedem telefonischen Antrag auf Änderung von Kerninformationen eines Kontos (Passwort, E-Mail) muss der Support die im Account hinterlegte Telefonnummer zurückrufen und bestätigen.
Das ist die absolut grundlegende Schutzmaßnahme. Namecheap hatte sie nicht.
Zweite Bruchstelle: Systemdesign-Fehler
Thrashed wies darauf hin, dass Namecheaps Passwort-Zurücksetzungsseite es erlaubt, eine Zurücksetzung allein mit dem Domainnamen auszulösen – ohne Benutzernamen, ohne E-Mail, ohne eine Information, die nur der Kontoinhaber wissen kann. Das ist, als stünde auf dem Zahlenrad eines Safes: „Code vergessen? Sagen Sie einfach die Safenummer.”
Ein Nutzer in den Kommentaren merkte an, dass Namecheap einen Whois-Privatschutz (der die Domain-Registrierungsdaten verbirgt) anbietet – aber das hilft in diesem Szenario nichts, denn der Angreifer muss nicht die Whois-Daten abfragen. Er muss nur den Domainnamen kennen, um die Zurücksetzung auszulösen.
Das bedeutet: Namecheaps Passwort-Zurücksetzungslogik ist von Grund auf unsicher.
Dritte Bruchstelle: Folgen der Übernahme durch Private Equity
Mehrere Kommentatoren wiesen auf einen wichtigen Hintergrund hin: Im September 2025 erwarb die Private-Equity-Gesellschaft CVC Capital Partners eine Mehrheitsbeteiligung an Namecheap (bewertet mit 1,5 Milliarden US-Dollar). Der Gründer und CEO trat im Dezember 2025 zurück.
Die Logik von Private Equity ist simpel: Gewinne steigern, Sicherheit ist Kosten. Sicherheitsbudgets zu kürzen, fällt kurzfristig nicht auf – bis etwas passiert.
Warum trifft es die Normalnutzer am härtesten?
Dieser Vorfall enthält ein feines Detail: Thrashed war eigentlich ein „Guter”. Er hielt die Domain treuhänderisch, zahlte die Verlängerung aus eigener Tasche – ein reiner Gefallen für die Studentenverbindung. Am Ende war er auch bereit, die Domain an die neue Verbindung zu übertragen. Aber Namecheap wusste das nicht. In seinem System war Thrashed ein treuer Kunde, der 13 Jahre lang seine Rechnungen bezahlt hatte. Und als jemand anrief und die Übernahme des Kontos verlangte, entschied Namecheap, dem Anrufer zu glauben.
Ein Nutzer in den Kommentaren schrieb: „Der Kundendienstmitarbeiter verdient Drittweltgehälter und es ist ihm egal, wer der wahre Domain-Inhaber ist. Er will einfach nur den Anruf beenden und seine Fünf-Sterne-Bewertung bekommen.”
Das ist der Kern des Problems: Wenn die Leistungsziele des Supports auf „Lösungsrate” und „Gesprächsdauer” lauten und nicht auf „Sicherheit”, dann ist „den Anrufer zufriedenstellen” das einzige Ziel.
Die große Domain-Abwanderung
Zum Zeitpunkt der Veröffentlichung hatte Thrasheds Beitrag auf Hacker News 301 Upvotes und 105 Kommentare erhalten. Die Kommentarspalte war voller ähnlicher Erlebnisse:
- Ein Nutzer berichtete, dass seine Domain von Namecheap fälschlicherweise gesperrt wurde, weil ein Systemfehler einen nicht unterstützten Whois-Privatschutz aktivierte
- Ein anderer verlor seine Domain bei Namecheap, nur weil er sein 2FA-Handy verloren hatte
- Wieder ein anderer sagte, Namecheap zwinge Kunden bei der Zahlung auf die Drittanbieter-Plattform Link, die eine Registrierung und SMS-Verifikation verlange
Zahlreiche Nutzer gaben an, ihre Domains zu migrieren. Cloudflare war das heißeste Ziel – weil es Domains zum Selbstkostenpreis anbietet (.com für nur 10,46 USD pro Jahr) und für seine bessere Sicherheit bekannt ist. Porkbun, NearlyFreeSpeech und Dynadot wurden ebenfalls häufig genannt.
Doch es gab auch nüchterne Stimmen. Ein Nutzer erinnerte: „Cloudflare hat eine Einschränkung – man kann die Nameserver nicht ändern, man muss Cloudflares eigene DNS verwenden. Das bedeutet, man gibt die Kontrolle ab.”
Andere stellten eine grundsätzlichere Frage: „Wir brauchen einen gemeinnützigen Domain-Registrar, damit wir nicht alle paar Jahre umziehen müssen.”
Die Realität ist: Das Domain-Registrierungsgeschäft ist eine Branche mit niedrigen Margen und hoher Verantwortung. Google hat Google Domains eingestellt (an Squarespace verkauft). Cloudflare betreibt es nur als Beiwerk zu seinem Ökosystem. Unternehmen, die sich wirklich auf die Domain-Registrierung konzentrieren, werden entweder von Private Equity übernommen oder müssen die Preise erhöhen, um zu überleben.
In der Hacker-News-Diskussion berichteten mehrere Nutzer von ähnlichen Sicherheitsproblemen und diskutierten Migrationsmöglichkeiten.
Was können wir tun?
Dieser Artikel soll Namecheap nicht an den Pranger stellen – auch wenn es Kritik verdient hat. Der Autor möchte vielmehr sagen: Die Sicherheit Ihrer Domain können Sie nicht dem Gewissen Ihres Domain-Registrars überlassen.
Hier sind einige Maßnahmen, die im bestehenden System helfen:
1. Keine treuhänderische Domainverwaltung
Wenn Sie eine Domain für jemand anderen verwalten, übertragen Sie sie so schnell wie möglich formell. Treuhandverhältnisse sind rechtlich vage und sicherheitstechnisch anfällig.
2. Zwei-Faktor-Authentifizierung aktivieren
2FA ist immer noch der wirksamste Schutz gegen Passwortdiebstahl. Bevorzugen Sie Hardware-Sicherheitsschlüssel oder TOTP-Apps, vermeiden Sie SMS-Codes.
3. Registry Lock nutzen
Registry Lock ist der stärkste verfügbare Domain-Schutz. Jede Änderung erfordert eine zusätzliche Offline-Verifizierung. Für kritische Domains ist diese Gebühr gut angelegt.
4. Registrar nach Sicherheitsruf auswählen
Prüfen Sie die Support-Verifizierungsprozesse, die Sicherheitshistorie und die Haltung gegenüber Private-Equity-Übernahmen.
5. Dedizierte E-Mail für die Registrar-Registrierung
Verwenden Sie nicht die Domain-E-Mail, um das Domain-Konto zu registrieren. Sobald die Domain übernommen ist, ist der Rückweg zur Wiederherstellung des Kontos vollständig versperrt.
Nachspiel
Thrashed schrieb abschließend, er habe schließlich Kontakt zum neuen Verbindungsvorstand aufgenommen und die Angelegenheit gütlich gelöst. Die Domain wurde formell auf die Verbindung übertragen. „Ich war froh, sie ihnen zu geben”, sagte er. „Aber Namecheap hatte keine Möglichkeit, das zu wissen. In ihren Augen war das einfach mein persönliches Konto.”
Dieser Satz fasst das ganze Absurde des Vorfalls zusammen: Jemand, der alles richtig gemacht hatte (bezahlt, verlängert, 2FA aktiviert, rechtzeitig ein Ticket eingereicht), verlor sein 13 Jahre altes Konto durch einen einzigen Anruf eines Dritten.
Das hat nichts mit Social Engineering zu tun. Nichts mit Passwortstärke. Nicht einmal mit einer Handlung des Nutzers.
Es war ein systemisches Sicherheitsversagen – und den Preis dafür zahlt das Vertrauen der Kunden in ihren Registrar.
Referenzen:
- HN Diskussion: Namecheap gave my account to an unverified third party (item?id=49028037)
- Namecheap offizielle Sicherheitshinweise: Two-Factor Authentication und Kontoschutz
- Cloudflare Domain-Registrierung: Sicherheitsempfehlungen
- Namesilo Blog: Social Engineering Bypasses Domain Locks
- dn.org Report: Analyse der Top-10-Domain-Konto-Übernahmen 2026
