Domain geklaut: Muss der Provider die Domain zurückkaufen?

Eine Unternehmenswebsite ist plötzlich nicht mehr erreichbar, geschäftliche E-Mails kommen nicht an, und im Kundenkonto fehlt die bisherige Internetadresse. Möglicherweise hat ein Angreifer eine Änderung der Domainverwaltung oder einen Inhaberwechsel veranlasst. In anderen Fällen wurde die Registrierung nach einem Fehler des Providers beendet und die Domain anschließend von einem Dritten registriert. Verlangt dieser Geld für eine Übertragung, stellt sich die Frage: Muss der bisherige Provider die Domain zurückkaufen?

Eine allgemeine gesetzliche Rückkaufpflicht besteht nicht. Je nach Vertragsinhalt und Schadensursache kann der Provider jedoch verpflichtet sein, die Wiederherstellung der bisherigen Rechtsposition zu veranlassen, erforderliche Wiederbeschaffungskosten zu ersetzen oder für andere Schäden einzustehen. Maßgeblich sind insbesondere der vereinbarte Leistungsumfang, eine mögliche Pflichtverletzung, deren Vertretenmüssen und die verfügbaren Möglichkeiten der Rückgewinnung. Daneben können Ansprüche gegen den aktuellen Domaininhaber bestehen.

Die Prüfung muss technische Vorgänge und rechtliche Positionen auseinanderhalten. Nicht jeder Ausfall bedeutet einen Domainverlust. Nicht jede unerwünschte Registrierung verletzt Rechte. Auch lässt sich nicht jeder unberechtigte Wechsel durch eine einfache Anweisung an die Registrierungsstelle rückgängig machen. Die nachfolgenden Ausführungen betreffen grundsätzlich die Beurteilung nach deutschem Recht; bei grenzüberschreitenden Sachverhalten ist dessen Anwendbarkeit gesondert zu klären.

Begriffsklärung: Was bedeutet „Domain geklaut“?

Domain, Website und Hosting sind unterschiedliche Leistungen

Eine Domain ist eine nach den Regeln des Domain Name System aufgebaute Bezeichnung, der technische Informationen zugeordnet werden können. Sie ist weder mit der darunter betriebenen Website noch mit dem Speicherplatz beim Hostingunternehmen identisch. Auch E-Mail-Dienste können unabhängig von der Website eingerichtet sein.

An der Bereitstellung können mehrere Unternehmen beteiligt sein: die zentrale Registrierungsstelle der jeweiligen Domainendung, ein Registrar, ein vermittelnder Provider und ein gesonderter Hostinganbieter. Bei Domains unter „.de“ ist die DENIC die zentrale Registrierungsstelle. Welche Leistungen der eigene Anbieter schuldet, ergibt sich aus den einschlägigen Verträgen und wirksam einbezogenen Bedingungen.

Ein Providerwechsel bedeutet nicht zwangsläufig einen Inhaberwechsel. Ebenso wenig beweist eine veränderte Website, dass die Registrierung auf eine andere Person übergegangen ist. Ein ausgefallener Webserver, manipulierte DNS-Einträge und eine gelöschte Domainregistrierung sind technisch und rechtlich unterschiedliche Vorgänge.

Kein Eigentum wie an einer körperlichen Sache

Domains sind keine Sachen im Sinne des § 90 BGB. Der auf körperliche Sachen bezogene Eigentumsherausgabeanspruch aus § 985 BGB ist deshalb auf eine Domain nicht unmittelbar anwendbar. Eine Rückgewinnung muss auf anderen Anspruchsgrundlagen beruhen.

Die wirtschaftlich wertvolle Position des Domaininhabers ergibt sich insbesondere aus vertraglichen Ansprüchen im Registrierungsverhältnis. Hinzukommen können Namensrechte, Unternehmenskennzeichen oder Markenrechte. Diese Rechtspositionen schützen unterschiedliche Interessen: Die Registrierung betrifft die Zuordnung und Verwaltung der Domain; das Namens- und Kennzeichenrecht betrifft unter seinen jeweiligen Voraussetzungen die Verwendung bestimmter Bezeichnungen.

Die umgangssprachliche Bezeichnung „Diebstahl“ ersetzt diese Einordnung nicht. Insbesondere ist der Verlust einer Domain nicht schon deshalb ein Diebstahl im strafrechtlichen Sinne. Andere Straftatbestände können abhängig vom Vorgehen erfüllt sein.

Typische Formen des Domainverlusts

Unter dem Schlagwort Domain-Diebstahl werden insbesondere folgende Vorgänge zusammengefasst:

• Ein Angreifer übernimmt ein Kundenkonto und veranlasst unberechtigte Änderungen.
• Ein Anbieter führt einen Provider- oder Inhaberwechsel aufgrund gefälschter Erklärungen durch.
• Eine Registrierung wird entgegen dem Auftrag beendet oder eine erforderliche Verlängerung unterlassen.
• Ein ehemaliger Mitarbeiter oder Dienstleister verweigert die geschuldete Mitwirkung an der Domainverwaltung.
• Ein Dritter registriert eine tatsächlich frei gewordene Domain.
• DNS-Einträge werden verändert, während die Inhaberposition unverändert bleibt.

Nicht jeder dieser Vorgänge begründet dieselben Ansprüche. Zunächst müssen daher Registrierungsstatus, Inhaberzuordnung, Verwaltungszugriff und technische Erreichbarkeit getrennt festgestellt werden.

Vertraglicher Rahmen: Welche Pflichten hat der Provider?

Maßgeblich ist der vereinbarte Leistungsumfang

Domainverträge können Leistungen unterschiedlicher rechtlicher Einordnung umfassen. Eine pauschale Behandlung sämtlicher Leistungen als Kauf-, Dienst- oder Werkvertrag wäre unzutreffend. Zu unterscheiden sind insbesondere die erstmalige Registrierung, laufende Verwaltung, gegebenenfalls erforderliche Verlängerungen, technische Konfigurationen und Hostingdienste.

Hat ein Anbieter die fortlaufende Verwaltung übernommen, können dazu die Erhaltung der Registrierung nach den vereinbarten Bedingungen und ein ordnungsgemäßer Umgang mit Änderungsaufträgen gehören. Aus § 241 Abs. 2 BGB können außerdem Rücksichtnahme- und Schutzpflichten folgen. Deren Inhalt richtet sich nach dem Vertragsverhältnis und den erkennbaren Interessen der Beteiligten.

Nicht jede Domainregistrierung muss jährlich durch einen gesonderten Verlängerungsakt aufrechterhalten werden. Die Verfahren unterscheiden sich nach Domainendung und Vertragsmodell. Ein jährlicher Abrechnungszeitraum des Providers ist deshalb nicht mit einer entsprechenden technischen Löschungsfrist gleichzusetzen.

Kein Vertrag garantiert ohne Weiteres den Fortbestand der Registrierung unter allen Umständen. Zahlungspflichten, erforderliche Mitwirkung, Kündigungsregelungen und Registrierungsbedingungen müssen einbezogen werden. Eine unberechtigte Sperre oder Löschung wird allerdings nicht allein dadurch rechtmäßig, dass irgendeine Forderung des Providers offen ist.

Identitätsprüfung, Sicherheit und Organisation

Welche Prüfung ein Anbieter vor einer Änderung vornehmen muss, hängt vom Vertragsinhalt, dem vorgesehenen Verfahren und den Umständen ab. Bedeutung haben insbesondere das erkennbare Missbrauchsrisiko, die Sensibilität der Änderung und mögliche Auffälligkeiten.

Ein Provider muss nicht jeden denkbaren Angriff verhindern. Eine Pflichtverletzung kann aber vorliegen, wenn er eindeutige Warnzeichen ignoriert, Berechtigungen unzureichend organisiert oder eine sicherheitsrelevante Änderung ohne die erforderliche Legitimation ausführt. Ob bestimmte zusätzliche Sicherheitsmaßnahmen geschuldet sind, lässt sich nicht für alle Anbieter und Leistungen einheitlich beantworten.

Das Verschulden von Personen, die der Anbieter zur Erfüllung seiner Verbindlichkeiten einsetzt, wird ihm unter den Voraussetzungen des § 278 BGB zugerechnet. Das kann Mitarbeiter und externe Dienstleister betreffen. Nicht jeder technisch beteiligte Dritte ist jedoch automatisch Erfüllungsgehilfe hinsichtlich jeder Pflicht. Ein außenstehender Angreifer wird insbesondere nicht dadurch zum Erfüllungsgehilfen, dass er das System missbraucht.

Allgemeine Geschäftsbedingungen und Haftungsausschlüsse

Vertragsbedingungen können Zuständigkeiten, Mitwirkungspflichten und Sicherheitsabläufe konkretisieren. Vorformulierte Klauseln unterliegen jedoch, soweit die gesetzlichen Voraussetzungen vorliegen, der Kontrolle nach §§ 305 ff. BGB.

§ 307 BGB ist auch im unternehmerischen Geschäftsverkehr relevant. Dabei sind die Besonderheiten des § 310 BGB zu beachten. § 309 Nr. 7 BGB setzt im Rahmen seiner unmittelbaren Anwendbarkeit insbesondere Grenzen für Haftungsausschlüsse bei Schäden an Leben, Körper oder Gesundheit sowie bei sonstigen Schäden aufgrund groben Verschuldens. Im unternehmerischen Verkehr kann die Wertung dieser Vorschrift im Rahmen des § 307 BGB Bedeutung erlangen.

Die Haftung des Schuldners für eigenen Vorsatz kann nach § 276 Abs. 3 BGB nicht im Voraus erlassen werden. Für das Verschulden gesetzlicher Vertreter und Erfüllungsgehilfen ist zusätzlich § 278 Satz 2 BGB zu berücksichtigen; auch insoweit bleiben die Grenzen der AGB-Kontrolle relevant.

Ob eine Begrenzung auf bestimmte Schadensarten oder Höchstbeträge wirksam ist, erfordert deshalb eine Prüfung der konkreten Klausel und des Vertragszusammenhangs.

Muss der Provider die Domain zurückkaufen?

Keine automatische Pflicht, aber mögliche Wiederherstellungspflicht

Rechtlich ist zunächst zu fragen, ob der Provider die frühere Domainposition wiederherstellen oder dafür erforderliche Kosten ersetzen muss. Ein entgeltlicher Rückerwerb ist lediglich ein möglicher tatsächlicher Weg.

Besteht eine weiterhin erfüllbare vertragliche Leistungspflicht, kann deren Erfüllung grundsätzlich verlangt werden. Dieser Anspruch setzt nicht schon als solcher ein Verschulden voraus. Schadensersatz nach § 280 Abs. 1 BGB verlangt dagegen eine Pflichtverletzung, einen dadurch verursachten Schaden und Vertretenmüssen, wobei die gesetzliche Entlastungsregel zu beachten ist. Je nach Anspruchsziel müssen zusätzliche Voraussetzungen erfüllt sein.

Nach § 249 Abs. 1 BGB ist bei bestehender Schadensersatzpflicht grundsätzlich der Zustand herzustellen, der ohne das schädigende Ereignis bestehen würde. Hat ein Provider die Registrierung pflichtwidrig beendet, kann dazu die Wiederherstellung der vorherigen Domainposition gehören. Daraus folgt jedoch keine Pflicht, jeden von einem Dritten geforderten Preis zu akzeptieren.

Beschaffungshindernisse und Grenzen der Leistungspflicht

Der Provider kann einen rechtlich selbstständigen Dritten nicht nach Belieben zur Übertragung zwingen. Ist die Mitwirkung des aktuellen Inhabers dauerhaft nicht erreichbar und besteht auch kein durchsetzbarer Weg zur Rückgewinnung, kann Unmöglichkeit nach § 275 Abs. 1 BGB vorliegen. Eine erste ablehnende Antwort oder eine hohe Preisforderung belegt dies noch nicht zwingend.

Nach § 275 Abs. 2 BGB kann der Schuldner eine Leistung unter besonderen Voraussetzungen verweigern, wenn der erforderliche Aufwand in einem groben Missverhältnis zum Leistungsinteresse des Gläubigers steht. Dabei ist auch zu berücksichtigen, ob der Schuldner das Hindernis zu vertreten hat.

Die ursprüngliche Registrierungsgebühr ist hierfür nicht allein maßgeblich. Eine eingeführte Unternehmensdomain kann für Kommunikation und Geschäftsbetrieb erheblich wichtiger sein, als ihr laufender Verwaltungspreis vermuten lässt.

Der Ausschluss einer Leistungspflicht nach § 275 BGB beseitigt außerdem nicht automatisch Schadensersatzansprüche. Bei nachträglicher Unmöglichkeit können insbesondere § 280 Abs. 1 und 3 BGB in Verbindung mit § 283 BGB einschlägig sein.

Geldersatz statt tatsächlicher Wiederherstellung

Für den schadensrechtlichen Wiederherstellungsanspruch enthält § 251 BGB eigenständige Regeln. Soweit Herstellung unmöglich oder zur Entschädigung nicht genügend ist, sieht § 251 Abs. 1 BGB Geldentschädigung vor. § 251 Abs. 2 BGB ermöglicht unter seinen Voraussetzungen Geldentschädigung anstelle einer mit unverhältnismäßigen Aufwendungen verbundenen Herstellung.

Die Grenzen des ursprünglichen Leistungsanspruchs nach § 275 BGB und diejenigen der schadensrechtlichen Naturalrestitution nach §§ 249, 251 BGB dürfen nicht gleichgesetzt werden.

Auch § 249 Abs. 2 Satz 1 BGB eröffnet für den Verlust einer Domainposition nicht ohne Weiteres dieselbe Wahlmöglichkeit wie bei einer Personenverletzung oder Sachbeschädigung. Unter den Voraussetzungen des § 250 BGB kann ein auf Herstellung gerichteter Schadensersatzanspruch nach Fristsetzung mit Ablehnungsandrohung in einen Geldanspruch übergehen.

Ein Verkaufsangebot des neuen Inhabers beweist weder den objektiven Domainwert noch die Erforderlichkeit des verlangten Betrags. Maßgeblich sind die Anspruchsgrundlage, die erreichbaren Alternativen und das konkrete Wiederherstellungsinteresse.

Eigenmächtiger Rückkauf durch den Kunden

Beschafft der Kunde die Domain selbst zurück, kann eine Kostenerstattung in Betracht kommen. Gesichert ist sie dadurch nicht. Entscheidend sind insbesondere Ursächlichkeit, Erforderlichkeit, Angemessenheit und die Frage, ob dem Provider zuvor Gelegenheit zur geschuldeten Leistung oder Wiederherstellung gegeben werden musste.

Werden die Kosten als Schadensersatz statt der Leistung verlangt, können § 280 Abs. 1 und 3 BGB sowie § 281 BGB einschlägig sein. Dann ist grundsätzlich eine erfolglose angemessene Frist zur Leistung oder Nacherfüllung erforderlich, soweit keine gesetzliche Ausnahme besteht. Für einen bereits bestehenden schadensrechtlichen Herstellungsanspruch kann dagegen § 250 BGB Bedeutung haben.

Bei akuter Gefahr können sofortige Maßnahmen zur Schadensbegrenzung gerechtfertigt sein. Dringlichkeit, erreichbare Alternativen und Kontaktversuche sollten dokumentiert werden. Eine bloße hohe Preisforderung genügt weder als Nachweis besonderer Eile noch als Beleg dafür, dass die Zahlung vollständig erstattungsfähig ist.

Haftungsvoraussetzungen und ersatzfähige Schäden

Pflichtverletzung, Verschulden und Ursächlichkeit

Der Anspruchsteller muss grundsätzlich die anspruchsbegründenden Tatsachen darlegen und beweisen. Dazu gehören insbesondere das maßgebliche Vertragsverhältnis, die Pflichtverletzung und der verursachte Schaden. Gesetzliche Beweiserleichterungen und die unterschiedlichen Anforderungen an die Feststellung von Haftungsgrund und Schadensumfang bleiben zu berücksichtigen.

Steht die Pflichtverletzung fest, muss sich der Provider nach § 280 Abs. 1 Satz 2 BGB hinsichtlich des Vertretenmüssens entlasten. Eine Haftung kann außerdem durch die Übernahme einer Garantie oder eines Beschaffungsrisikos beeinflusst werden; eine solche Übernahme darf nicht ohne Grundlage unterstellt werden.

Der bloße Zugriffsverlust beweist noch keinen Fehler des Providers. Umgekehrt belegt die Verwendung richtiger Zugangsdaten nicht abschließend, dass der Kunde die Änderung selbst autorisiert hat. Authentifizierung, rechtsgeschäftliche Zurechnung und die Beachtung erkennbarer Missbrauchshinweise sind gesonderte Fragen.

Wiederherstellungskosten, Betriebsunterbrechung und Gewinnverlust

Ersatzfähig können erforderliche Aufwendungen zur Sicherung, Wiederherstellung und Schadensbegrenzung sein. Notwendige und zweckmäßige Rechtsverfolgungskosten können hinzukommen, wenn die Voraussetzungen ihrer Erstattung vorliegen. Nicht jede nach dem Vorfall veranlasste Ausgabe ist allein wegen ihres zeitlichen Zusammenhangs ersatzfähig.

Bei Unternehmensdomains kommen Schäden durch Betriebsunterbrechungen, verlorene Aufträge oder gestörte E-Mail-Kommunikation in Betracht. Entgangener Gewinn ist nach § 252 BGB grundsätzlich ersatzfähig. Umsatzverluste sind jedoch nicht mit Gewinnverlusten gleichzusetzen; insbesondere sind ersparte Aufwendungen zu berücksichtigen.

Frühere Geschäftsergebnisse, konkrete Bestellungen und nachvollziehbare Ausfallzeiträume können eine Schätzung ermöglichen. § 287 ZPO erleichtert die gerichtliche Feststellung von Schadenseintritt und Schadenshöhe im Rahmen seines Anwendungsbereichs, ersetzt aber keine ausreichenden tatsächlichen Anknüpfungspunkte.

Ein abstrakter Reputationsverlust begründet nicht ohne Weiteres einen Geldersatzanspruch. Konkrete wirtschaftliche Folgen müssen von bloßer Verärgerung oder unbelegten Zukunftserwartungen unterschieden werden.

Mitverschulden und Schadensminderung

Nach § 254 BGB kann ein zurechenbares Mitverschulden den Ersatzanspruch mindern. Relevant können etwa unsachgemäßer Umgang mit Zugangsdaten, veraltete Kontaktdaten oder das Ignorieren konkreter Warnungen sein. Erforderlich bleibt, dass das Verhalten für den Schaden oder dessen Umfang mitursächlich war.

Auch nach dem Vorfall ist die Schadensminderungsobliegenheit zu beachten. Naheliegende Schritte können die Sicherung weiterer Konten, alternative Kontaktwege und eine angemessene Information betroffener Geschäftspartner sein. Welche Maßnahmen zumutbar sind, hängt insbesondere von Gefahr, Aufwand und Handlungsmöglichkeiten ab.

Nicht jede verfügbare Sicherheitsfunktion ist automatisch rechtlich verpflichtend. Ebenso wenig muss der Geschädigte jeden Rückkaufpreis akzeptieren oder auf eigene Kosten einen aussichtslosen Rechtsstreit führen. Bei ungewöhnlich hohen Schadensrisiken kann allerdings auch ein unterlassener Hinweis an den Vertragspartner Bedeutung haben.

Ansprüche gegen den aktuellen Domaininhaber

Namensrecht nach § 12 BGB

§ 12 BGB schützt gegen bestimmte unbefugte Beeinträchtigungen des Namensrechts. Bei Domains kann eine Namensanmaßung vorliegen, wenn ein Nichtberechtigter einen geschützten Namen verwendet, dadurch eine Zuordnungsverwirrung entsteht und schutzwürdige Interessen des Namensträgers beeinträchtigt werden.

Namensschutz kommt nicht nur natürlichen Personen zugute. Auch juristische Personen und weitere namensrechtlich geschützte Organisationen können sich darauf berufen. Ob eine bestimmte Bezeichnung als Name geschützt ist, muss allerdings eigenständig geprüft werden.

Eine frühere Domainregistrierung allein verschafft kein umfassendes Namensrecht. Bei einer rein beschreibenden Zeichenfolge entsteht insbesondere nicht schon durch deren frühere Registrierung ein Ausschließlichkeitsrecht gegenüber jedem späteren Registranten.

Bei mehreren berechtigten Namensträgern können Priorität, Bekanntheit und besondere Interessen Bedeutung gewinnen. Eine schematische Gleichsetzung von Namensgleichheit und Rechtsverletzung wäre unzutreffend.

Markenrecht und Unternehmenskennzeichen

Bei einer Verwendung im geschäftlichen Verkehr können § 14 MarkenG und § 15 MarkenG eingreifen. Zu prüfen sind insbesondere das geschützte Zeichen, dessen Rang, die konkrete Benutzungsform und der einschlägige Verletzungstatbestand.

Eine eingetragene Marke macht nicht jede gleichlautende Domainregistrierung rechtswidrig. Die bloße Registrierung ohne entsprechende Benutzung genügt insbesondere nicht stets für eine Markenverletzung. Bedeutung haben die geschützten Waren oder Dienstleistungen, die kennzeichenrechtliche Funktion der Verwendung und gegebenenfalls Verwechslungsgefahr.

Für bekannte Marken und geschäftliche Bezeichnungen bestehen unter den gesetzlichen Voraussetzungen weitergehende Schutzmöglichkeiten. Auch eine zur Täuschung von Kunden eingesetzte Domain kann kennzeichenrechtlich relevant sein.

Das Kennzeichenrecht vermittelt somit keinen von Benutzungsform und Schutzbereich unabhängigen Anspruch auf jede passende Internetadresse.

Wettbewerbsrecht, Deliktsrecht und Anspruchsziel

Bei Vorliegen der wettbewerbsrechtlichen Voraussetzungen kann eine gezielte Behinderung nach § 4 Nr. 4 UWG in Betracht kommen. Erforderlich sind insbesondere die einschlägige geschäftliche Handlung und das entsprechende Wettbewerbsverhältnis. Nicht jede Registrierung durch einen Domainhändler erfüllt diese Anforderungen.

Bei vorsätzlicher sittenwidriger Schädigung ist § 826 BGB zu prüfen. Eine hohe Preisforderung allein genügt dafür nicht. Erforderlich sind weitere Umstände, die Sittenwidrigkeit, Schädigungsvorsatz und einen verursachten Schaden begründen.

Unterlassung, Beseitigung, Einwilligung in die Löschung und Übertragung sind unterschiedliche Anspruchsziele. Ein namens- oder kennzeichenrechtlicher Abwehranspruch führt nicht automatisch zu einem Übertragungsanspruch. Eine Löschung kommt insbesondere nicht schon deshalb in Betracht, weil lediglich eine bestimmte Nutzung rechtswidrig ist.

Eine Verpflichtung zur Übertragung oder entsprechenden Mitwirkung kann sich dagegen aus einem Vertrag oder, abhängig vom Sachverhalt, aus anderen Anspruchsgrundlagen ergeben. Sie muss gesondert begründet werden.

Rechtsprechungslinien und ihre Bedeutung

„shell.de“: Namensrecht und Gleichnamigkeit

Der Bundesgerichtshof behandelte im Urteil vom 22. November 2001 – I ZR 138/99, „shell.de“, einen namensrechtlichen Konflikt zwischen berechtigten Namensträgern. Die Entscheidung zeigt, dass der grundsätzlich bedeutsame Vorrang der früheren Registrierung bei Gleichnamigkeit ausnahmsweise zurücktreten kann.

Für die Ausnahme waren besondere Umstände entscheidend, insbesondere die überragende Bekanntheit des Unternehmensnamens und die damit verbundene Zuordnungserwartung. Daraus lässt sich kein allgemeiner Vorrang wirtschaftlich stärkerer oder bekannterer Beteiligter ableiten.

Für Domainverluste bedeutet die Entscheidung vor allem, dass die Registrierungsreihenfolge nicht jede Berechtigungsfrage abschließend beantwortet. Eine Rückkaufpflicht des Providers war dagegen nicht Gegenstand dieser Entscheidung.

„ambiente.de“: Begrenzte Prüfungspflichten der Registrierungsstelle

Im Urteil vom 17. Mai 2001 – I ZR 216/99, „ambiente.de“, befasste sich der Bundesgerichtshof mit der Verantwortlichkeit der DENIC bei behaupteten Kennzeichenverletzungen.

Die Entscheidung begrenzt die Prüfpflichten der Registrierungsstelle. Eine umfassende rechtliche Vorabprüfung jeder angemeldeten Domain wird nicht verlangt. Auch nach einem Hinweis auf fremde Rechte besteht nicht ohne Weiteres eine Pflicht, schwierige Rechtsfragen selbst zu entscheiden; maßgeblich sind insbesondere die Voraussetzungen einer offenkundigen und ohne Weiteres feststellbaren Rechtsverletzung.

Diese Aussagen betreffen einen anderen Pflichtenkreis als die vertragsgemäße Verwaltung einer Kundendomain. Ein Provider kann sich deshalb nicht allein mit Hinweis auf begrenzte kennzeichenrechtliche Prüfpflichten der Registrierungsstelle von eigenen vertraglichen Pflichten entlasten.

Keine schematische Übertragung einzelner Entscheidungen

Domainstreitigkeiten betreffen unterschiedliche Rechtsverhältnisse. Namensrechtliche Abwehransprüche, Fehler bei der Registrierung, nicht autorisierte Änderungen und wettbewerbsrechtliche Behinderungen müssen getrennt eingeordnet werden.

Für die Rückkauffrage sind insbesondere Vertragsinhalt, Verlustursache, Verantwortlichkeit, Rückgewinnungsmöglichkeiten und Schadensumfang zu untersuchen. Die genannten Entscheidungen liefern keine allgemeine Preisgrenze und keine pauschale Beschaffungsgarantie.

Auch ähnliche äußere Abläufe können rechtlich unterschiedlich zu beurteilen sein, wenn etwa im einen Fall lediglich die Verwaltung wechselt, im anderen aber ein Registrierungsvertrag endet und eine neue Registrierung erfolgt.

Typische Fallkonstellationen

Der Provider versäumt die vereinbarte Verlängerung

Setzt die betreffende Domainendung oder Vertragsgestaltung eine Verlängerung voraus und hat der Provider deren Durchführung übernommen, kann ein vorwerfbares Versäumnis eine Schadensersatzpflicht begründen. Entsprechendes gilt für eine unberechtigte Löschung bei einer auf Fortbestand angelegten Registrierung.

Vorausgesetzt werden muss, dass die Verwaltungspflicht tatsächlich fortbestand. Offene Zahlungen, Kündigungen und erforderliche Mitwirkung sind zu prüfen; sie rechtfertigen eine Beendigung nicht unabhängig von den vertraglichen und gesetzlichen Voraussetzungen.

Noch verfügbare Wiederherstellungsverfahren können Vorrang vor einem Erwerb vom neuen Inhaber haben. Welche Verfahren und Zeitfenster bestehen, richtet sich nach Domainendung und Registrierungsstatus.

Ist die Domain bereits neu vergeben, kommen Verhandlungen und gegebenenfalls rechtliche Schritte in Betracht. Ob der Provider einen Erwerbspreis tragen muss, richtet sich nach den Regeln über Leistung und Schadensersatz. Die ursprüngliche Jahresgebühr begrenzt den Schaden nicht automatisch.

Ein Angreifer übernimmt das Kundenkonto

Hier ist der Angriffsweg besonders bedeutsam. Eine vorwerfbare Sicherheitslücke im Verantwortungsbereich des Providers kann dessen Haftung begründen. Wurden ausschließlich Zugangsdaten außerhalb dieses Bereichs entwendet, folgt daraus dagegen nicht automatisch eine Pflichtverletzung des Anbieters.

Auch dann können weitere Umstände relevant sein: etwa ungewöhnliche Änderungsaufträge, erkennbare Widersprüche oder eine unterlassene Reaktion auf rechtzeitige Warnungen. Die Wirksamkeit einer vermeintlichen Kundenerklärung ist gesondert zu beurteilen.

Nach Kenntnis des Vorfalls können im Rahmen des Vertragsverhältnisses Schutz- und Unterstützungspflichten bestehen. Ihr Umfang hängt von Zuständigkeit, Eingriffsmöglichkeiten und Zumutbarkeit ab. Der Provider ist nicht ohne Weiteres befugt, auf bloße Behauptung hin die Rechte eines anderen registrierten Inhabers zu beseitigen.

Eine Agentur oder ein früherer Mitarbeiter hält die Domain

Wurde die Domain für einen Auftraggeber, aber auf den Namen eines Dienstleisters registriert, ist zunächst das Innenverhältnis maßgeblich. Bei einer entsprechenden Geschäftsbesorgung können sich Herausgabe- und Mitwirkungspflichten aus § 675 Abs. 1 BGB in Verbindung mit § 667 BGB ergeben.

Welche Rechtsposition herauszugeben und welche Erklärung abzugeben ist, hängt vom Auftrag und der tatsächlichen Registrierung ab. Die bloße technische Zugriffsmöglichkeit ist ebenso wenig abschließend wie die Bezeichnung eines Kontos im Kundenportal.

Bei Mitarbeitern sind zusätzlich arbeitsvertragliche Vereinbarungen und betriebliche Zuständigkeiten zu berücksichtigen. Fehlende Dokumentation erschwert die Beweisführung, beseitigt aber nicht notwendig einen bestehenden Anspruch.

Ein Zurückbehaltungsrecht wegen offener Vergütung ist gesondert zu prüfen, insbesondere anhand der Voraussetzungen des § 273 BGB und möglicher vertraglicher Beschränkungen. Nicht jede offene Rechnung berechtigt zur Blockade der Domain.

Rechtmäßige Beendigung und anschließende Neuregistrierung

Wurde die maßgebliche Registrierung wirksam und ordnungsgemäß beendet, entsteht nicht allein deshalb ein Rückkaufanspruch, weil der frühere Kunde seine Entscheidung später bereut.

Eine Kündigung des Hostingvertrags muss allerdings nicht zwangsläufig die Beendigung des Registrierungsverhältnisses einschließen. Ob die Domain behalten, übertragen oder freigegeben werden sollte, ist anhand der Erklärungen und Vertragsbedingungen festzustellen.

Auch bei wirksamer Beendigung können Fehler in der Abwicklung oder verletzte Informationspflichten zu prüfen sein. Unabhängig davon kann der neue Registrant fremde Namens- oder Kennzeichenrechte verletzen.

Ansprüche gegen den bisherigen Provider und gegen den neuen Inhaber bleiben deshalb rechtlich selbstständig.

Verfahren, Sicherungsmaßnahmen und Fristen

Beweissicherung und außergerichtliche Aufforderung

Zu sichern sind insbesondere Vertragsunterlagen, Rechnungen, Verwaltungsvereinbarungen, Kündigungen, Supportnachrichten und Änderungsmitteilungen. Technische Protokolle können zeigen, wann und über welchen Zugang Änderungen veranlasst wurden.

Ergänzend können dokumentierte DNS-Abfragen, Statusmeldungen und Bildschirmaufnahmen hilfreich sein. Solche Informationen belegen jedoch nicht stets die rechtliche Inhaberschaft oder die Person des Handelnden. Insbesondere beweist eine protokollierte IP-Adresse für sich genommen noch nicht, wer eine Erklärung abgegeben hat.

Eine Aufforderung an den Provider sollte Domain, Zeitpunkt, festgestellte Änderungen und die bestrittene Autorisierung konkret benennen. Auch die rechtlich zulässige Sicherung relevanter Protokolle kann verlangt beziehungsweise angeregt werden. Ein solches Verlangen schafft allerdings keine unbegrenzte Speicherbefugnis und keinen automatischen Anspruch auf Herausgabe sämtlicher Daten.

DISPUTE-Eintrag bei .de-Domains

Die DENIC bietet für .de-Domains unter ihren Verfahrensvoraussetzungen einen DISPUTE-Eintrag an. Der Antragsteller muss insbesondere seine geltend gemachte Rechtsposition nach den Anforderungen der DENIC glaubhaft machen; eine bloße Interessensbekundung reicht nicht.

Der Eintrag verhindert einen Wechsel des Domaininhabers. Ein bloßer Providerwechsel ist davon zu unterscheiden. Der bisherige Inhaber kann die Domain grundsätzlich weiter nutzen, sodass rechtsverletzende Inhalte oder E-Mail-Verwendungen durch den Eintrag allein nicht unterbunden werden.

Bei einer Löschung fällt die Domain nach dem vorgesehenen DENIC-Verfahren dem DISPUTE-Inhaber zu, statt wieder zur freien Registrierung verfügbar zu werden. Die Voraussetzungen und die erforderliche Abwicklung richten sich nach den maßgeblichen DENIC-Bedingungen.

Der Eintrag entscheidet den materiellen Rechtsstreit nicht. Seine Befristung und die Anforderungen einer Verlängerung müssen anhand der jeweils geltenden Verfahrensinformationen überwacht werden.

Einstweiliger Rechtsschutz und Hauptsacheverfahren

Bei drohenden weiteren Verfügungen oder fortdauernden Rechtsverletzungen kann eine einstweilige Verfügung nach §§ 935, 940 ZPO in Betracht kommen. Erforderlich sind grundsätzlich ein Verfügungsanspruch und ein Verfügungsgrund; die maßgeblichen Tatsachen sind nach den einschlägigen Verfahrensregeln glaubhaft zu machen.

Eine endgültige Übertragung im Eilverfahren kann an den Grenzen einer Vorwegnahme der Hauptsache scheitern. Dieses Verbot gilt jedoch nicht ausnahmslos. Ob ausnahmsweise eine vorläufige Regelung mit weitreichender Wirkung zulässig ist, hängt von den besonderen Voraussetzungen des Einzelfalls ab.

Nutzungsverbote und Maßnahmen gegen weitere Inhaberwechsel sind vom endgültigen Übertragungsbegehren zu unterscheiden. Eine einheitliche gesetzliche „Domain-Eilfrist“ besteht nicht. Zuwarten kann aber die Annahme besonderer Dringlichkeit infrage stellen.

Verjährung und internationale Besonderheiten

Für viele vertragliche Schadensersatzansprüche gilt die regelmäßige Verjährungsfrist von drei Jahren nach § 195 BGB. Nach § 199 Abs. 1 BGB beginnt sie grundsätzlich mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Gläubiger die anspruchsbegründenden Umstände sowie die Person des Schuldners kennt oder ohne grobe Fahrlässigkeit kennen müsste.

Kenntnisunabhängige Höchstfristen, besondere Verjährungsvorschriften und die rechtliche Einordnung der konkreten Leistung können zu abweichenden Ergebnissen führen. Für wettbewerbsrechtliche Ansprüche enthält insbesondere § 11 UWG besondere Regelungen.

Eine bloße Beschwerde beim Provider oder eine Strafanzeige hemmt die zivilrechtliche Verjährung nicht automatisch. Verhandlungen können unter § 203 BGB fallen; bestimmte Maßnahmen der Rechtsverfolgung können nach § 204 BGB eine Hemmung bewirken.

Andere Domainendungen können eigene Wiederherstellungs- und Streitbeilegungsverfahren vorsehen. Deren Voraussetzungen, mögliche Rechtsfolgen und Fristen sind gesondert zu prüfen. Internationale Zuständigkeit, anwendbares Recht und Vollstreckbarkeit dürfen ebenfalls nicht vorausgesetzt werden.

Weitere Rechtsfolgen und praktische Handlungsschritte

Strafrecht und Datenschutz

Abhängig vom technischen Vorgehen können insbesondere das Ausspähen von Daten nach § 202a StGB, Computerbetrug nach § 263a StGB oder Datenveränderung nach § 303a StGB einschlägig sein. Jeder Tatbestand hat eigenständige Voraussetzungen. Ein bloßer Vertragsverstoß oder eine streitige Registrierung genügt dafür nicht.

Eine hohe Zahlungsforderung ist für sich genommen keine Erpressung. Eine Strafanzeige bewirkt außerdem weder automatisch die Rückübertragung noch die Sicherung zivilrechtlicher Ansprüche.

Sind personenbezogene Daten betroffen, ist zu prüfen, ob eine Verletzung ihres Schutzes vorliegt. Dazu kann nicht nur unbefugter Zugriff, sondern auch ein sicherheitsbedingter Verlust ihrer Verfügbarkeit gehören.

Nach Art. 33 Abs. 1 DSGVO muss der Verantwortliche eine Datenschutzverletzung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde melden. Die Meldepflicht entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Eine verspätete Meldung ist zu begründen. Für Auftragsverarbeiter gilt nach Art. 33 Abs. 2 DSGVO die Pflicht zur unverzüglichen Meldung an den Verantwortlichen.

Art. 34 DSGVO verlangt bei voraussichtlich hohem Risiko grundsätzlich eine unverzügliche Benachrichtigung betroffener Personen, sieht aber Ausnahmen vor. Welche Rolle ein Provider datenschutzrechtlich einnimmt, ist für die betroffene Verarbeitung gesondert festzustellen.

Geordnete Reaktion statt vorschneller Zahlung

Ein sachgerechtes Vorgehen kann folgende Schritte umfassen:

• Status feststellen: DNS-Störung, Zugangssperre, Providerwechsel, Löschung und Inhaberwechsel unterscheiden.
• Zugänge sichern: Betroffene und verbundene Konten überprüfen, Zugangsdaten erneuern und unberechtigte Sitzungen beenden.
• Beweise erhalten: Vertragsunterlagen, Nachrichten, Zeitangaben und verfügbare technische Informationen dokumentieren.
• Provider verständigen: Aufklärung, mögliche Sicherungen und verfügbare Rückgewinnungsverfahren konkret ansprechen.
• Weitere Änderungen begrenzen: Voraussetzungen eines DISPUTE-Eintrags, anderer Registrierungsverfahren und gerichtlicher Sicherung prüfen.
• Betrieb stabilisieren: Verlässliche Ersatzkontakte bereitstellen und konkrete Täuschungs- oder Datenrisiken begrenzen.
• Kosten und Ansprüche klären: Vor einem Rückerwerb Alternativen, Durchführung, Kostentragung und mögliche Anspruchsverluste untersuchen.

Ein Übertragungs- oder Vergleichsvertrag sollte nicht nur den Preis regeln. Relevant sind auch die Verfügungsbefugnis des Vertragspartners, die technisch und rechtlich gesicherte Durchführung sowie die Reichweite etwaiger Verzichts- oder Erledigungsklauseln.

Eine Zahlung allein garantiert keine wirksame Übertragung. Auch nach einem erfolgreichen Rückerwerb können gesonderte Maßnahmen zur Wiederherstellung sicherer DNS- und E-Mail-Einstellungen erforderlich sein.

Offene Streitfragen und Bewertungsprobleme

Domainwert und wirtschaftliches Wiederherstellungsinteresse

Der Wert einer Domain lässt sich häufig nicht aus einem verlässlichen allgemeinen Marktpreis ableiten. Zeichenfolge, Bekanntheit, bisherige Nutzung und Einbindung in Geschäftsprozesse können unterschiedliche Bedeutung haben.

Für die Schadensberechnung ist zwischen einem möglichen Verkehrswert und dem konkreten wirtschaftlichen Nachteil des Betroffenen zu unterscheiden. Erforderliche Umstellungskosten oder nachgewiesene Gewinnausfälle können auch dann relevant sein, wenn die Domain für unbeteiligte Erwerber wenig attraktiv wäre.

Umgekehrt ist nicht jeder subjektiv angesetzte Wert rechtlich ersatzfähig. Eine hohe persönliche oder betriebliche Bedeutung ersetzt weder die Prüfung der Anspruchsgrundlage noch die Feststellung konkreter Nachteile.

Doppelte Entschädigung ist zu vermeiden. Werden Rückerwerbskosten ersetzt und die frühere Position vollständig wiederhergestellt, kann nicht ohne Weiteres zusätzlich deren voller dauerhafter Verlustwert verlangt werden. Eigenständige zwischenzeitliche Folgeschäden bleiben gesondert zu prüfen.

Sicherheitsstandard und Beweiszugang

Welche Sicherheitsmaßnahmen geschuldet sind, hängt von Leistung, Vertragsinhalt, erkennbaren Risiken und gegebenenfalls besonderen gesetzlichen Anforderungen ab. Technische Empfehlungen können Anhaltspunkte liefern, sind aber nicht automatisch in jeder Einzelheit verbindlicher Vertragsstandard.

Schwierig ist häufig die Informationsverteilung. Relevante Protokolle und interne Abläufe liegen beim Provider oder weiteren Dienstleistern, während der Kunde lediglich die Folgen erkennt. Unter bestimmten prozessualen Voraussetzungen kann daraus eine sekundäre Darlegungslast entstehen. Sie ist jedoch keine pauschale Umkehr der Beweislast.

Auch die Vorlage vorhandener Unterlagen oder Auskunftsansprüche setzt eine konkrete rechtliche Grundlage voraus. Es gibt keinen allgemeinen Anspruch auf unbegrenzte Offenlegung aller internen Sicherheitsinformationen.

Frühzeitige Beweissicherung bleibt deshalb wichtig. Zugleich müssen Datenschutz, Rechte Dritter und gesetzliche Grenzen der Speicherung oder Offenlegung beachtet werden.

Zusammenfassung

Ein Provider muss eine verlorene Domain nicht generell und nicht zu jedem Preis zurückkaufen. Je nach Vertrag können aber Erfüllungsansprüche bestehen. Bei einer zu vertretenden Pflichtverletzung kommen Wiederherstellung und Schadensersatz in Betracht, im Einzelfall einschließlich erforderlicher Rückerwerbskosten.

Entscheidend sind der tatsächliche Verlustvorgang, der geschuldete Leistungsumfang und die verfügbaren Rückgewinnungsmöglichkeiten. Unmöglichkeit, unverhältnismäßiger Aufwand, notwendige Fristsetzungen und Mitverschulden können die Ansprüche beeinflussen. Der geringe ursprüngliche Registrierungspreis begrenzt den Schaden nicht automatisch.

Ansprüche gegen den aktuellen Inhaber können insbesondere auf Vertrags-, Namens-, Kennzeichen-, Wettbewerbs- oder Deliktsrecht beruhen. Ein Unterlassungs- oder Löschungsanspruch ist jedoch nicht ohne Weiteres ein Anspruch auf Übertragung.

Praktisch sind die Sicherung von Zugängen und Beweisen, die Klärung des Registrierungsstatus und rechtzeitig verfügbare Sicherungsmaßnahmen besonders bedeutsam. Ein Rückerwerb sollte nicht losgelöst von Alternativen, Erstattungsrisiken und der gesicherten Durchführung beurteilt werden.