WHOIS-Abfrage: Domaininhaber finden und den Eintrag lesen

Was ist eine WHOIS-Abfrage?

Eine WHOIS-Abfrage ist eine Anfrage an die öffentliche Registrierungsdatenbank eines Domainnamens. Jede Domain unter einer generischen Top-Level-Domain wie .com, .net oder .org muss einen Eintrag bei ihrer Registry und ihrem Registrar haben, und jeder darf den öffentlichen Teil dieses Eintrags lesen. Die Abfrage liefert, wer der Registrar ist, wann die Domain angelegt wurde, wann sie abläuft, welche Nameserver sie nutzt, und eine Reihe von Statuscodes, die verraten, ob sie gesperrt, stillgelegt oder kurz vor der Löschung ist.

Der Name stammt vom ursprünglichen Unix-Befehl. 1982 beschrieb RFC 812 den NICNAME/WHOIS-Dienst des ARPANET auf TCP-Port 43, den man abfragte, indem man whois gefolgt von einem Namen eintippte; RFC 3912 ist die aktuelle Spezifikation dieses reinen Textprotokolls. Der Begriff ist geblieben, obwohl sich das Protokoll darunter geändert hat: Seit dem 28. Januar 2025 verlangt ICANN von gTLD-Registries und Registraren nicht mehr, einen WHOIS-Dienst auf Port 43 zu betreiben (außer für .com, .name und .post), und dieselben Daten werden über RDAP ausgeliefert, eine JSON-API. Die meisten Werkzeuge, darunter DNS Robots WHOIS Lookup, fragen zuerst RDAP ab und nennen das Ergebnis trotzdem WHOIS-Eintrag.

Was eine WHOIS-Abfrage in der Regel nicht mehr liefert, sind Name, Anschrift und E-Mail-Adresse des Inhabers. Seit die DSGVO (GDPR) im Mai 2018 in Kraft trat, schwärzen Registrare personenbezogene Kontaktdaten weltweit standardmäßig. Der Rest dieses Leitfadens zeigt, was trotzdem noch dasteht, wie Sie es lesen und wie Sie einen Inhaber erreichen, wenn in den Kontaktfeldern nur REDACTED FOR PRIVACY steht.

Was ein WHOIS-Eintrag enthält

Hier ist ein echter Registry-Eintrag für example.com, am 27. Oktober 2026 mit dem Befehl whois unter macOS abgerufen. Jeder gTLD-Eintrag hat dieselbe Form: Wer diesen hier lesen kann, kann jeden lesen:

Domain Name: EXAMPLE.COM
Registry Domain ID: 2336799_DOMAIN_COM-VRSN
Registrar WHOIS Server: whois.iana.org
Registrar URL: http://res-dom.iana.org
Updated Date: 2026-08-14T08:01:43Z
Creation Date: 1995-08-14T04:00:00Z
Registry Expiry Date: 2027-08-13T04:00:00Z
Registrar: RESERVED-Internet Assigned Numbers Authority
Registrar IANA ID: 376
Domain Status: clientDeleteProhibited https://icann.org/epp#clientDeleteProhibited
Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited
Domain Status: clientUpdateProhibited https://icann.org/epp#clientUpdateProhibited
Name Server: ELLIOTT.NS.CLOUDFLARE.COM
Name Server: HERA.NS.CLOUDFLARE.COM
DNSSEC: signedDelegation
DNSSEC DS Data: 2371 13 2 C988EC423E3880EB8DD8A46FE06CA230EE23F35B578D64E78B29C3E1C83D245A
>>> Last update of whois database: 2026-10-26T19:13:27Z <<<

Der Eintrag zerfällt in fünf Gruppen, und jede beantwortet eine andere Frage:

• Identität — Domain Name und Registry Domain ID. Die ID ist der interne Schlüssel der Registry und ändert sich nie, auch nicht beim Besitzerwechsel.
• Registrar — das Unternehmen, an das der Domaininhaber zahlt. Registrar IANA ID ist die eindeutige Nummer des Registrars in der IANA-Registrarliste; im Registrar WHOIS Server liegen die Kontaktfelder, denn bei .com und .net speichert die Registry selbst keine Kontakte.
• Daten — Creation Date, Updated Date und Registry Expiry Date. Alle drei in UTC. Das Erstellungsdatum ist der Wert, den ein Domain-Alter-Checker ausgibt.
• Status — ein oder mehrere EPP-Statuscodes. Sie sind der nützlichste und zugleich der am häufigsten falsch gelesene Teil des Eintrags; weiter unten bekommen sie einen eigenen Abschnitt.
• Delegation — die Nameserver und das DNSSEC-Kennzeichen. Das ist die Brücke zwischen WHOIS und DNS: Ändern Sie hier die Nameserver, wandert jeder DNS-Eintrag der Domain mit.

So führen Sie eine WHOIS-Abfrage durch

Es gibt drei Wege, eine Abfrage zu starten, und alle drei liefern dieselben Daten. Wählen Sie danach, wie oft Sie sie brauchen und ob Sie die Rohausgabe sehen wollen.

Methode 1: Ein Online-WHOIS-Tool nutzen

Öffnen Sie DNS Robots WHOIS Lookup, geben Sie eine Domain ein (eine eingefügte URL oder E-Mail-Adresse funktioniert ebenfalls: Das Tool liest daraus die registrierte Domain) und drücken Sie die Eingabetaste. Das Tool fragt den RDAP-Server der Registry selbst ab (aus der IANA-Liste, dazu Registries wie DENIC, die RDAP außerhalb davon betreiben) und danach den Eintrag des Registrars für die Kontaktfelder; für TLDs ohne RDAP, das sind etwa zwei von drei Länderendungen (darunter .jp, .ru, .it und .eu), fragt es stattdessen den Port-43-Server der Registry. Sie erhalten den Registrar mit seinem Abuse-Kontakt, Erstellungs-, Änderungs- und Ablaufdatum, Statuscodes mit verständlicher Erklärung, Nameserver, DNSSEC-Status und das Alter der Domain.

ICANN Lookup ist die offizielle Alternative. Es ist für jede gTLD maßgeblich, deckt aber nur die Länderdomains ab, deren Registry RDAP betreibt, und bietet weder Verlauf noch Massenabfrage noch Verknüpfung mit DNS-Daten. Auch Registrar-Seiten wie GoDaddy und Namecheap bieten WHOIS-Seiten, die dieselben öffentlichen Einträge lesen; sie funktionieren, sind aber darauf angelegt, Ihnen die Domain zu verkaufen, wenn sie frei ist.

Methode 2: Der Befehl whois (macOS, Linux, Windows)

macOS bringt einen whois-Client mit, und Linux-Distributionen stellen einen bereit. Er spricht Port-43-WHOIS, folgt den Verweisen zum Registrar automatisch und gibt die Einträge direkt hintereinander aus (macOS beginnt bei der IANA, Sie erhalten also drei):

# Basic lookup (follows registry -> registrar referral)
whois example.com

# Query one specific server and skip the referral
whois -h whois.verisign-grs.com example.com

# Only the lines you usually care about
whois example.com | grep -iE 'Registrar:|Creation Date|Expiry|Domain Status|Name Server'

# Debian/Ubuntu: install if missing
sudo apt install whois

Windows hat kein eingebautes whois. Die zwei sauberen Optionen sind Microsofts eigenes Sysinternals-Werkzeug und eine RDAP-Abfrage mit dem curl, das Windows 10 und 11 mitbringen:

Windows: Sysinternals whois oder curl

Laden Sie whois.exe aus der Sysinternals-Suite herunter und legen Sie es in Ihren PATH. -v folgt dem Verweis zum Registrar, und ein bestimmter Server steht hinter der Domain (whois example.com whois.verisign-grs.com) statt hinter -h. Wenn Sie lieber nichts installieren möchten, fragen Sie den RDAP-Server direkt ab und lassen Sie PowerShell das JSON formatieren:

# Sysinternals whois (after download)
whois -v example.com

# No install: query RDAP and pretty-print the JSON
curl.exe -sL -H "Accept: application/rdap+json" https://rdap.org/domain/example.com | ConvertFrom-Json | Select-Object ldhName, status, events, nameservers

Methode 3: RDAP direkt abfragen (für Skripte)

Wenn Sie WHOIS-Daten in einem Skript brauchen, lassen Sie das Textformat weg und rufen RDAP auf. Die Antwort ist JSON mit festem Schema, Sie kommen also ohne reguläre Ausdrücke an die Felder. Die Registry für .com antwortet unter rdap.verisign.com; für jede andere TLD ermittelt rdap.org den richtigen Server aus der IANA-Bootstrap-Datei und leitet Sie dorthin weiter:

# Registry record for a .com, straight from Verisign
curl -s -H 'Accept: application/rdap+json' \
  https://rdap.verisign.com/com/v1/domain/example.com | jq '{status, events, nameservers: [.nameservers[].ldhName]}'

# Any TLD: let rdap.org find the authoritative server
curl -sL https://rdap.org/domain/example.org | jq '.events'

# Output of the first command (trimmed: Verisign also returns a "last update of RDAP database" event)
{
  "status": ["client delete prohibited", "client transfer prohibited", "client update prohibited"],
  "events": [
    { "eventAction": "registration", "eventDate": "1995-08-14T04:00:00Z" },
    { "eventAction": "expiration",   "eventDate": "2027-08-13T04:00:00Z" },
    { "eventAction": "last changed", "eventDate": "2026-08-14T08:01:43Z" }
  ],
  "nameservers": ["ELLIOTT.NS.CLOUDFLARE.COM", "HERA.NS.CLOUDFLARE.COM"]
}

Das Array links in einer Registry-Antwort enthält einen related-Link zum RDAP-Server des Registrars. Folgen Sie ihm, und Sie erhalten die Kontaktobjekte — geschwärzt oder nicht. Genau das erledigt ein gut gebautes Web-Tool in einem Zug für Sie. Wenn Sie darauf aufbauen: Die sechs Schritte aus So testen Sie einen öffentlichen API-Endpunkt gelten für RDAP-Server genauso wie für jede andere JSON-API.

So lesen Sie das Ergebnis (Feld für Feld)

Die meisten Menschen starten eine Abfrage, um eine von vier Fragen zu beantworten. Hier steht, wo die Antwort im Eintrag liegt.

Ist die Domain vergeben? Wenn überhaupt ein Eintrag zurückkommt: ja. Eine registrierte Domain hat immer ein Creation Date. Meldet die Registry No match for domain oder antwortet RDAP mit HTTP 404, ist der Name nicht registriert — oder von der Registry reserviert, was bei kurzen Namen und Wörterbuchbegriffen häufig vorkommt. Ein Domain-Verfügbarkeitscheck unterscheidet beides, weil er zusätzlich über DNS prüft.

Wann läuft sie ab, und wird sie freigegeben? Lesen Sie das Ablaufdatum, dann die Statuscodes. Eine Domain in autoRenewPeriod oder redemptionPeriod wurde nicht freigegeben; der Inhaber kann sie noch verlängern oder wiederherstellen. Nur pendingDelete bedeutet, dass sie freigegeben wird, und das dauert meist noch fünf Tage. Der Abschnitt zum Ablauf-Lebenszyklus weiter unten zeigt den gesamten Zeitplan. Verlassen Sie sich nicht allein auf das Datum der Registry: Läuft eine gTLD-Domain ab, verlängert die Registry sie automatisch um ein Jahr, sodass Registry Expiry Date schon das nächste Jahr zeigen kann, während der Eintrag des Registrars (Registrar Registration Expiration Date) noch den Tag nennt, an dem der Inhaber aufgehört hat zu zahlen. Weichen beide voneinander ab, entscheiden die Statuscodes, ob die Domain freigegeben wird.

Wer verwaltet sie? Registrar ist das Unternehmen, an das Sie sich wenden, und Registrar Abuse Contact Email samt Telefonnummer wird selbst dann veröffentlicht, wenn alles andere geschwärzt ist. Das ist Absicht: ICANNs Registration Data Policy schreibt vor, dass diese Felder öffentlich bleiben.

Hat sich zuletzt etwas geändert? Updated Date springt jedes Mal, wenn der Registrar eine Änderung durchreicht: eine Verlängerung, einen Nameserver-Wechsel, eine gesetzte oder entfernte Sperre. Eine Domain, die letzte Woche die Nameserver gewechselt hat und nächsten Monat abläuft, ist ein ganz anderes Risiko als eine, die seit 2015 unangetastet ist. Haben sich die Nameserver geändert, zeigt ein NS-Lookup, wo das DNS jetzt liegt.

Domain-Statuscodes erklärt (EPP)

Statuscodes sind die wertvollste Zeile eines WHOIS-Eintrags — und die, die am häufigsten falsch verstanden wird. Sie sind im EPP-Protokoll definiert, und jeder Code hat eine feste, von ICANN veröffentlichte Bedeutung. Ein Code, der mit client beginnt, wurde vom Registrar gesetzt, meist auf Wunsch des Domaininhabers; ein Code, der mit server beginnt, kommt von der Registry, und nur die Registry kann ihn wieder entfernen.

Das Muster zum Merken: clientTransferProhibited + clientUpdateProhibited + clientDeleteProhibited ist gesund und unspektakulär. Eine Domain, die plötzlich ins Leere läuft und clientHold zeigt, braucht einen Inhaber, der sein Postfach prüft, nicht sein DNS. Und wenn Sie auf eine Domain warten, die jemand hat verfallen lassen, lohnt es sich nicht, vor pendingDelete hinzusehen.

Warum WHOIS "REDACTED FOR PRIVACY" anzeigt

Bis 2018 nannte ein WHOIS-Eintrag zu einer .com-Domain typischerweise den vollständigen Namen des Domaininhabers, seine Postanschrift, Telefonnummer und E-Mail-Adresse. Registrare verkauften WHOIS-Privacy als Zusatzoption, die diese Felder durch die Daten eines Proxy-Dienstes ersetzte. Dann trat am 25. Mai 2018 die DSGVO (GDPR) in Kraft, am selben Tag wie eine Temporary Specification, die ICANN eine Woche zuvor verabschiedet hatte, und die Registrare begannen, personenbezogene Daten für alle zu schwärzen, statt zu entscheiden, wer unter die Verordnung fällt. Diese Übergangsregel wurde durch ICANNs Registration Data Policy abgelöst, seit dem 21. August 2025 vollständig in Kraft: Registrare müssen personenbezogene Daten schwärzen, wo das Datenschutzrecht es verlangt, und dürfen es auch für alle anderen tun.

Das liefert der RDAP-Eintrag von cloudflare.com auf Registrar-Ebene heute für den Inhaber (gekürzt):

{
  "objectClassName": "entity",
  "roles": ["registrant"],
  "vcardArray": ["vcard", [
    ["fn",  {}, "text", "DATA REDACTED"],
    ["org", {"type": "work"}, "text", "DATA REDACTED"],
    ["adr", {"cc": "US", "type": "work"}, "text",
      ["", "", ["DATA REDACTED", "DATA REDACTED"], "DATA REDACTED", "CA", "DATA REDACTED", ""]],
    ["contact-uri", {}, "uri", "https://domaincontact.registrar.cloudflare.com/cloudflare.com"]
  ]],
  "remarks": [{ "title": "REDACTED FOR PRIVACY",
                "description": ["Some of the data in this object has been removed"] }]
}

Die Richtlinie legt genau fest, was öffentlich bleibt. Diese Felder müssen bei einer gTLD-Domain immer veröffentlicht werden: Domainname, Registrarname und IANA-ID, Registrar-URL, Abuse-E-Mail und -Telefonnummer des Registrars, Erstellungsdatum, Ablaufdatum, Nameserver und Statuscodes. Die Schwärzung ist außerdem nie vollständig: Die Richtlinie verlangt, dass Bundesland/Region und Land des Inhabers veröffentlicht werden, und auch der Name der Organisation, wenn der Inhaber der Veröffentlichung zugestimmt hat. Ein geschwärzter Eintrag kann Ihnen also trotzdem verraten, dass der Inhaber in Kalifornien oder in Bayern sitzt. Im Eintrag oben sind das CA und US, dazu ein contact-uri-Link zum Kontaktformular von Cloudflare.

Der praktische Unterschied zwischen Privacy und Schwärzung: Ein bezahlter WHOIS-Privacy-Dienst leitet an seine Proxy-Adresse gesendete Post weiter, während bei bloßer Schwärzung die E-Mail-Adresse entfällt und je nach Registrar durch einen Link zu einem Kontaktformular oder eine anonymisierte Weiterleitungsadresse ersetzt wird. In beiden Fällen erhält ein Außenstehender einen Weg, dem Inhaber zu schreiben, ohne zu erfahren, wer er ist.

Wem gehört eine Domain? So finden Sie es trotz Schwärzung heraus

Die Schwärzung hat die Vordertür geschlossen, aber eine Domain hinterlässt überall sonst Spuren. Gehen Sie diese Schritte der Reihe nach durch; jeder dauert eine Minute.

• Lesen Sie, was nicht geschwärzt ist. Bundesland/Region und Land werden immer veröffentlicht, die Organisation ebenfalls, wenn der Inhaber zugestimmt hat. Auch der Registrar selbst grenzt ein: Eine Domain bei MarkMonitor oder CSC gehört einem Großkonzern; eine bei Cloudflare Registrar eher einem Entwickler oder Start-up.
• Nutzen Sie das Kontakt-Relay des Registrars. Jeder Registrar muss Ihnen einen Weg zum Domaininhaber geben: eine anonymisierte Adresse wie abc123@contact.gandi.net oder ein Webformular, das aus der WHOIS-Ausgabe heraus verlinkt ist. Seriöse Nachrichten werden weitergeleitet.
• Prüfen Sie das SSL-Zertifikat. Organisationsvalidierte (OV) und Extended-Validation-Zertifikate (EV) tragen den Namen der juristischen Person im Feld Subject. Schicken Sie die Domain durch einen SSL-Checker und lesen Sie die Zertifikatskette; der Leitfaden zur SSL-Zertifikatskette zeigt, an welcher Stelle die Organisation steht.
• Schauen Sie ins DNS. Das Feld RNAME im SOA-Eintrag ist die E-Mail-Adresse der Zonenverwaltung, bei der das @ durch einen Punkt ersetzt wurde. TXT-Einträge verraten den Mailanbieter, Verifizierungs-Token von Google, Microsoft und Facebook und manchmal direkt einen Firmennamen. Ein DNS-Lookup auf SOA und TXT dauert Sekunden, und ein Subdomain-Finder fördert Hostnamen wie mail., crm. oder jira. zutage, die verraten, welche Werkzeuge ein Unternehmen betreibt.
• Prüfen Sie die WHOIS-Historie. Einträge vor Mai 2018 waren öffentlich und wurden von mehreren kommerziellen Diensten archiviert. Eine Domain, die lange vorher registriert wurde, hat oft einen ungeschwärzten historischen Eintrag mit dem ursprünglichen Inhaber, es sei denn, sie nutzte schon damals einen Privacy-Dienst.
• Reverse WHOIS. Wenn Sie ein einziges Detail kennen (einen Firmennamen oder eine erhalten gebliebene E-Mail-Adresse), durchsuchen Reverse-WHOIS-Dienste alle Domains, die es je aufgeführt haben. Teuer, aber genau so kartieren Markenschutz-Teams das Portfolio eines Domaingrabbers.
• Stellen Sie eine Anfrage. Bei einem rechtlichen Anliegen wie Markenstreit, Phishing oder Betrug leitet ICANNs Registration Data Request Service (RDRS) eine förmliche Auskunftsanfrage an den Registrar weiter. Das funktioniert nur für gTLDs und nur mit teilnehmenden Registraren. In der zweijährigen Pilotphase (28. November 2023 bis 30. November 2025) wurden mehr als 3.700 Anfragen gestellt, davon 26 % bewilligt und 55 % abgelehnt (ICANN); ICANN betreibt ihn weiter, während die Community über das weitere Vorgehen entscheidet.

WHOIS vs. RDAP: Was sich 2025 geändert hat

RDAP (Registration Data Access Protocol) wurde von der IETF entworfen, um alles zu beheben, was an WHOIS auf Port 43 kaputt war — und es ist das, was Ihr Abfragewerkzeug heute tatsächlich nutzt. Die Unterschiede zählen, sobald Sie auf den Daten aufbauen:

Zwei praktische Folgen. Erstens: Wenn ein Skript von Ihnen die whois-Textausgabe auswertet, lebt es auf Abruf: Außer bei .com, .name und .post können Registries und Registrare ihren Port-43-Dienst jederzeit abschalten, und manche haben es schon getan. whois.nic.google von Google Registry, das .app und .dev bediente, löst nicht einmal mehr auf, und der WHOIS-Server des Registrars GoDaddy beantwortet jede Anfrage mit „This WHOIS server is being retired. Please use our RDAP service instead.“ (beides am 27. Oktober 2026 geprüft).

Zweitens löst der RDAP-Bootstrap das Problem, das WHOIS nie gelöst hat: Für example.museum lädt ein Client einmal data.iana.org/rdap/dns.json herunter, findet den Eintrag für museum und fragt den maßgeblichen Server ab, ganz ohne fest einprogrammiertes Wissen. Der Wechsel zeigt sich im Datenverkehr: Laut ICANNs Monatsberichten stiegen gTLD-RDAP-Abfragen von rund 7 Milliarden pro Monat im Januar 2025 auf 65 Milliarden im August 2025 und überholten das Port-43-WHOIS im Juni 2025 (APNIC).

Länderdomains: Jede Registry macht es anders

ICANNs Richtlinien binden nur gTLDs. Länderendungen (.de, .uk, .br, .jp und rund 300 weitere) setzen eigene Regeln, und eine WHOIS-Abfrage bei einer ccTLD kann alles liefern, von einer vollständig geprüften Identität bis zu fast nichts. Das lieferte eine öffentliche Abfrage am 27. Oktober 2026 bei acht Registries:

Am anderen Ende der Skala steht DENICs gesamte Port-43-Antwort für example.de:

% The DENIC whois service on port 43 doesn't disclose any information concerning
% the domain holder, general request and abuse contact.
% This information can be obtained through use of our web-based whois service
% available at the DENIC website:
% https://webwhois.denic.de/?lang=en

Domain: example.de
Nserver: ns1078.ui-dns.biz
Nserver: ns1078.ui-dns.com
Nserver: ns1078.ui-dns.de
Nserver: ns1078.ui-dns.org
Status: connect
Changed: 2018-08-10T05:24:12+02:00

Kein Registrar, kein Erstellungs- oder Ablaufdatum, kein Inhaber, und das Statusvokabular (connect) ist DENICs eigenes statt EPP.

IP-WHOIS-Abfrage: Wem gehört eine IP-Adresse?

Derselbe Befehl whois funktioniert auch mit einer IP-Adresse, die Antwort kommt dann allerdings aus einer anderen Datenbank. Domainnamen verwalten Registries und Registrare; IP-Adressblöcke vergeben die fünf Regional Internet Registries (ARIN für Nordamerika, RIPE NCC für Europa und den Nahen Osten, APNIC für Asien-Pazifik, LACNIC für Lateinamerika und AFRINIC für Afrika). Ein IP-WHOIS-Eintrag nennt die Organisation, die den Block hält, dessen Größe, das Land der Zuweisung und den Abuse-Kontakt — genau das, was Sie brauchen, wenn eine Adresse Ihren Server angreift oder Ihnen Spam schickt.

# Port-43 WHOIS: the client finds the right RIR automatically
whois 1.1.1.1

# RDAP: rdap.org redirects to the right RIR (APNIC here)
curl -sL https://rdap.org/ip/1.1.1.1 | jq '{name, handle, startAddress, endAddress, country, type}'

# Output
{
  "name": "APNIC-LABS",
  "handle": "1.1.1.0 - 1.1.1.255",
  "startAddress": "1.1.1.0",
  "endAddress": "1.1.1.255",
  "country": "AU",
  "type": "ASSIGNED PORTABLE"
}

Ein IP-Eintrag verrät nie, welche Websites auf der Adresse liegen; eine einzelne Cloud-IP kann Tausende Domains bedienen. Er nennt auch nicht den Aufenthaltsort des Nutzers, sondern nur, wo der Block registriert wurde. Für eine schnelle Antwort ohne Kommandozeile kombiniert IP Lookup die RIR-Daten mit der Geolokalisierung, und ASN Lookup zeigt, aus welchem Netz der Block angekündigt wird. Um von einer IP zurück zum Hostnamen zu kommen, nutzen Sie Reverse DNS — das liest den PTR-Eintrag statt WHOIS.

Ablaufdaten lesen: der Lebenszyklus einer Domain

Die Statuscodes ergeben erst vor der Zeitleiste Sinn, die eine gTLD-Domain durchläuft, nachdem ihr Inhaber aufhört zu zahlen. ICANNs Expired Registration Recovery Policy setzt die Mindestfristen, Registries und Registrare legen eigene Puffer obendrauf, und heraus kommt ein längerer Weg, als die meisten erwarten:

• About 30 days and again about 7 days before expiry — the registrar must email the owner. A third notice follows within 5 days after expiry.
• Day 0 (expiry) — the registry auto-renews the domain and sets autoRenewPeriod. The registrar has up to 45 days to keep it or delete it. Before deleting it, the registrar must stop it resolving for at least the last 8 days (or from expiry, if it deletes sooner), so the site goes dark; many registrars park it on a page that says the domain has expired.
• Day 1–45 (registrar grace) — the owner can still renew. ICANN only guarantees this while the domain is interrupted (ERRP); how long the registrar allows beyond that, and at what price, is its own policy, and it must publish its post-expiry fees on its website.
• Deletion → redemptionPeriod (30 days) — the registrar deleted it. The owner can still restore it, for a restore fee the registrar must show on its website, on top of the renewal. Nobody else can register it.
• pendingDelete (5 days) — restoration is no longer possible. At the end of this window, at a time the registry does not announce, the name is purged and becomes available.
• Drop — the domain is free to register, and drop-catching services that have been polling the registry compete for it within milliseconds.

Eine Domain, deren Registrar-Eintrag ein Ablaufdatum von vor zwei Wochen zeigt, kann also noch etwa 35 bis 66 Tage davon entfernt sein, tatsächlich verfügbar zu werden, und womöglich wird sie es nie: Der Inhaber kann sie bis pendingDelete jederzeit zurückholen. Beobachten Sie die Statuszeile, nicht das Ablaufdatum. Es genügt, einmal am Tag eine WHOIS-Abfrage auszuführen und den Statuswechsel zu notieren.

Wofür WHOIS-Abfragen in der Praxis genutzt werden

Jenseits der Frage, ob ein Name noch frei ist, tauchen einige Aufgaben in Support-Warteschlangen und Security-Teams immer wieder auf.

Eine Website prüfen, bevor Sie ihr vertrauen. Ein Shop, der mit zehn Jahren Erfahrung wirbt, dessen Domain aber vor drei Wochen angelegt wurde, sagt damit einiges über sich. Erstellungsdatum, Registrar und Nameserver sind in zehn Sekunden geprüft und im Registry-Eintrag nicht fälschbar.

Eine Website prüfen, die nicht mehr auflöst. Bevor Sie am DNS etwas ändern, vergewissern Sie sich, dass die Domain weder abgelaufen noch auf clientHold ist; wenn doch, hilft keine DNS-Änderung. Nach einem Nameserver-Umzug bestätigen die Name Server-Zeilen im WHOIS, dass der Registrar die Änderung tatsächlich übernommen hat; Resolver können die alten Nameserver bis zu 48 Stunden zwischenspeichern, der TTL der .com-Delegationseinträge. Eine NS-Abfrage zeigt, was die Welt jetzt sieht.

Eine vergebene Domain kaufen. WHOIS nennt Ihnen den Registrar (manche betreiben einen Maklerdienst), ob die Domain gesperrt ist, wie lange der jetzige Inhaber sie hält und ob sie auf den Ablauf zusteuert.

Phishing oder Missbrauch untersuchen. Die Registrar Abuse Contact Email wird genau deshalb veröffentlicht, damit Sie eine bösartige Domain bei der Stelle melden können, die sie abschalten kann. Kombinieren Sie sie mit dem Abuse-Kontakt aus dem IP-WHOIS des Hosters.

Das eigene Portfolio prüfen. Domains gehen an abgelaufene Kreditkarten ebenso verloren wie an Hacker. Eine vierteljährliche WHOIS-Runde über alle Ihre Domains, mit Blick auf Ablaufdaten und Sperrstatus, ist eine günstige Versicherung.

WHOIS-Feldreferenz

Eine Kurzreferenz zu jedem Feld, das Ihnen in einem gTLD-Eintrag begegnet, samt RDAP-Entsprechung für alle, die das JSON parsen:

Passt ein Eintrag, den Sie vor sich haben, nicht in diese Tabelle, sehen Sie mit ziemlicher Sicherheit eine ccTLD — dann ist die Dokumentation der jeweiligen Registry die Referenz.