Zwischen dem 3. und dem 7. November sind in der Redaktion vier E-Mails eingegangen, die den Ablauf einer Firmendomain behaupteten und zur sofortigen Verlängerung aufforderten. Als Anzeigename stand in allen Fällen Cloudflare im Postfach. Die tatsächlichen Absenderadressen lauteten auf fremde Domains: nexhub.lol, mine.tools, thriveni.com und kembangin.id. Drei der Mails trafen am 3. November innerhalb von 43 Minuten ein.

Die Masche ist nicht neu, aber sie wird genauer. Die Mails nennen den Domainnamen des Empfängers korrekt — diese Angabe ist öffentlich und lässt sich maschinell aus Registrierungsdaten abgreifen. Dadurch wirkt die Nachricht persönlich, obwohl sie massenhaft verschickt wird. Dazu kommt Zeitdruck: „Heute verlängern“, „Dienstende“, ein Knopf, der angeblich zur Zahlung führt.

Warum das gerade Baubetriebe trifft

In vielen Betrieben wurde die Firmendomain vor Jahren einmal registriert, oft von einer Person, die längst eine andere Aufgabe hat oder nicht mehr im Unternehmen ist. Wann die Verlängerung ansteht und bei welchem Anbieter die Domain überhaupt liegt, weiß dann niemand aus dem Kopf. Genau in diese Lücke zielt die Mail: Sie behauptet eine Frist, die sich im Moment des Lesens nicht widerlegen lässt.

Woran sich die Mails erkennen lassen

Entscheidend ist die Absenderadresse, nicht der Anzeigename. Ein Registrar schreibt von seiner eigenen Domain, nicht von einer Endung wie .lol oder .id. Zweitens stimmt der Zeitpunkt selten: Verlängerungen kündigen sich Wochen vorher an, nicht „heute“. Drittens führt der Weg zur Prüfung nie über den Link in der Mail, sondern über die direkte Anmeldung beim Anbieter, bei dem die Domain liegt — dort steht das Ablaufdatum.

Im selben Zeitraum ging zusätzlich eine gefälschte Bankmail ein, die das Ablaufen einer SecureGo-Anmeldung behauptete. Auch hier gilt dasselbe Vorgehen: nicht dem Link folgen, sondern die App oder das Online-Banking direkt öffnen.

Allgemeine Hinweise zum Erkennen solcher Nachrichten veröffentlicht das Bundesamt für Sicherheit in der Informationstechnik unter bsi.bund.de.

Wer unsicher ist, ob eine Domain wirklich ausläuft, findet das Datum in der öffentlichen WHOIS-Auskunft oder im Kundenkonto des Registrars. Beides dauert eine Minute und kostet nichts — anders als die Zahlung an einen fremden Empfänger.