Bei .de steht kein Ablaufdatum

Eine Domain läuft aus. Was dabei verloren geht, ist selten das, woran man zuerst denkt. Die Website ist der sichtbare Teil, aber an der Domain hängen auch der E-Mail-Empfang und die Möglichkeit, sich Zertifikate darauf ausstellen zu lassen. Wer sie nach dem Ablauf registriert, bekommt beides mit.

Der einfachste Schutz dagegen ist ein Ablaufdatum mit einem Namen daneben. Genau dort wird es im DACH-Raum unangenehm.

Was die Registry herausgibt, und was nicht

Registrierungsdaten lassen sich maschinell abfragen, über RDAP, den Nachfolger von WHOIS. Bei den generischen Endungen liefert das, was man erwartet: Ein Abruf für eine .com-Domain gibt Registrierungsdatum, Ablaufdatum und letzte Änderung zurück, dazu den Status, einschließlich client transfer prohibited für einen gesetzten Transfer-Lock.

Bei .de sieht dieselbe Abfrage anders aus. Die DENIC beantwortet sie, aber die Antwort enthält als einziges Ereignis last changed und als Status active. Kein Ablaufdatum. Kein Transfer-Lock. Nameserver und DNSSEC-Angaben sind da, die kaufmännisch interessanten Felder nicht. Wer es selbst sehen will: ein Abruf gegen rdap.denic.de für eine beliebige .de-Domain genügt.

Das ist keine Störung und kein Sonderfall einzelner Domains, sondern die Auskunftspraxis der Registry. Für den eigenen Bestand heißt es: Ausgerechnet bei den Domains, die in einem deutschen Haus meist die wichtigsten sind, bleibt das Ablaufdatum leer, bis jemand beim Registrar nachsieht und es einträgt.

Ein leeres Feld ist keine Fälligkeit

Daraus folgt eine Entscheidung, die zunächst falsch aussieht: Eine Domain ohne Ablaufdatum erscheint nicht in der Wiedervorlage. Nicht als überfällig, nicht als bald fällig, gar nicht.

Das ist Absicht. Ohne Datum gibt es keine Aussage über den Ablauf, sondern nur die Abwesenheit einer Angabe. Würde daraus eine Fälligkeit, stünden am Tag der Einführung sämtliche .de-Domains in der Mahnliste, und die Liste wäre wertlos, bevor sie zum ersten Mal gelesen wird.

Stattdessen ist ohne Ablaufdatum eine eigene Kennzahl im Cockpit, neben vier weiteren Lücken: ohne Verantwortlichen, ohne Vertrag, ohne Transfer-Lock, ohne DNSSEC. Das sind Arbeitsvorräte, die einmal abgearbeitet werden, keine Alarme, die täglich weggeklickt werden.

Automatische Verlängerung nimmt heraus

Die Wiedervorlage greift, wenn der Ablauf innerhalb des Vorlaufs liegt und die Domain sich nicht automatisch verlängert. Läuft die Verlängerung automatisch, taucht sie weder im Cockpit noch im Dashboard-Widget auf. Der Vorlauf beträgt 90 Tage und lässt sich ändern.

Auch das ist bewusst so, hat aber eine Grenze, die man kennen sollte: Automatisch verlängert wird nur, solange die hinterlegte Zahlung durchgeht. Das Häkchen im Register hält fest, was vereinbart ist, nicht was tatsächlich passiert ist. Eine abgelehnte Kreditkarte steht in keinem Verzeichnis.

Drei Sichten, kein doppelter Bestand

Domains kommen an drei Stellen vor, mit getrennten Aufgaben. Die Angriffsfläche sieht technisch hin: DNS, DNSSEC, SPF und DMARC, TLS, ähnlich geschriebene Domains, dazu die Registrierungsdaten aus RDAP. Das Zertifikatsmanagement führt Ausstellung und Erneuerung. Die Domainverwaltung übernimmt die kaufmännische Hälfte: Registrar, Vertrag, Laufzeit und Kündigungsfrist, Kosten, Verantwortliche.

Doppelt gepflegt wird nichts. Auf der Detailseite holt Registrierungsdaten übernehmen Registrar, Ablaufdatum, Transfer-Lock, DNSSEC-Status und Nameserver aus der Angriffsfläche, wo diese Werte ohnehin erhoben werden. Bei .de bleiben genau die beiden Felder leer, die die Registry nicht herausgibt. Dort fängt die Handarbeit an, und dort hört sie auch wieder auf.

Mehr auf der Modulseite zur Domainverwaltung.