Domain wählen und absichern: Namen, Endungen, Zertifikate

Was Sie vorab brauchen

• zwei bis drei Namensvarianten und die Entscheidung, welche Endung führen soll
• die Inhaberdaten in der Form, die die Registrierungsstelle verlangt: bei natürlichen Personen Vor- und Nachname, sonst der vollständige Firmenname samt Rechtsform, dazu Anschrift, E-Mail-Adresse und Telefonnummer (DENIC-Domainrichtlinien Ziffer VI; nic.at AGB Ziffer 1.3; SWITCH-AGB Ziffern 3.1.1 und 5.1)
• einen Registrar, über den Registrierung und spätere Verwaltung laufen, mit Zugang zur Inhaberverwaltung
• Zugriff auf die DNS-Verwaltung des Domain-Namens und auf die Konfiguration des Webservers
• eine Liste aller Namen, unter denen der Shop erreichbar sein soll, mindestens mit und ohne www
• Zeit für eine Registerrecherche, bevor der Name auf Verpackungen und Rechnungen erscheint

Schritt für Schritt: von der Namensidee zum abgesicherten Shop

Schritt 1: Den Namen festlegen

Sprechen Sie jeden Kandidaten vor, in einem Satz wie “Sie finden uns unter …”, und lassen Sie ihn von jemandem aufschreiben, der ihn nicht kennt. Wird ein anderes Wort notiert, prüfen Sie die Umschrift. Ziffern und Bindestriche sind erlaubt, müssen am Telefon aber angesagt werden; verzichten Sie darauf, wo der Name mündlich weitergegeben wird (redaktionelle Empfehlung).

Die Zeichenregeln sind je Land verschieden: Erlaubt sind Buchstaben, Ziffern und Bindestriche nach der Zeichenliste der Registrierungsstelle; Umlaute und Akzente stehen bei .de und .ch in einer Anlage und bei .at in einer eigenen IDN-Liste (TAV Ziffer 3.1; nic.at Registrierungsrichtlinien Punkt 2). Wer Umlaute in Rechnungen führt, sollte zusätzlich die Umschrift mit ae, oe und ue sichern, weil nicht jede Anwendung Umlaut-Domains verarbeitet (nic.at Registrierungsrichtlinien Punkt 9).

Schritt 2: Die Endung wählen

Die Endung entscheidet, welche Registrierungsstelle die Regeln setzt und welche Pflichten den Inhaber treffen. Die Übersicht zeigt, was für einen Shop in Deutschland, Österreich oder der Schweiz praktisch wird.

Endung	Registrierungsstelle	Was für Ihren Shop gilt
.de	DENIC eG	Ein Sitz in Deutschland ist nicht nötig; hat der Inhaber keinen, kann DENIC auf Aufforderung binnen zwei Wochen einen in Deutschland ansässigen Zustellungsbevollmächtigten verlangen (§ 3 Abs. 4 DENIC-Domainbedingungen). Daten von Inhabern, die keine natürlichen Personen sind, stehen in der öffentlichen Domainabfrage (DENIC-Domainrichtlinien Ziffer VII Abs. 3).
.at	nic.at GmbH	Verlangt eine ladungsfähige physische Adresse, eine funktionierende E-Mail-Adresse und eine Telefonnummer; eine Postfachadresse genügt nicht (AGB Ziffer 1.3). Ist der Inhaber eine Organisation mit eigener Rechtspersönlichkeit und als solche gekennzeichnet, veröffentlicht nic.at Name und Kontaktdaten (Registrierungsrichtlinien Punkt 8).
.ch	SWITCH, im Auftrag des Bundesamts für Kommunikation	Drei bis 63 Zeichen; Kantons-, Gemeinde- und Ortschaftsnamen sind reserviert, ebenso einzelne Zwei-Buchstaben-Namen (TAV Ziffern 4.1 und 4.2; SWITCH-AGB Ziffer 3.1.2). Ein Inhaber ohne gültige Schweizer Korrespondenzadresse muss auf Verlangen einer Behörde innert 30 Tagen eine solche bezeichnen und seine Identität bekannt geben (SWITCH-AGB Ziffer 2.6).
.com, .shop und andere generische Endungen	die jeweilige Registry im Rahmen der ICANN-Vorgaben	Vertragsverhältnis, Laufzeit und Kündigung weichen von den Länderendungen ab (nic.at, Domain policy)

Bei .de wird der Vertrag auf unbestimmte Zeit geschlossen und der Inhaber kann jederzeit kündigen (§ 7 Abs. 1 DENIC-Domainbedingungen); eine .ch-Registrierung ist grundsätzlich unbefristet und endet mit Löschung oder Übertragung (SWITCH-AGB Ziffer 2.4). Berechtigt an der Domain ist der Inhaber, nicht der Registrar oder der Dienstleister, der sie einrichtet (DENIC-Domainrichtlinien Ziffer VI; nic.at AGB Ziffer 1.3).

Schritt 3: Kennzeichenrechte prüfen

Keine der drei Länderregistrierungsstellen prüft, ob ein gewünschter Name Rechte Dritter verletzt. DENIC ist dazu zu keinem Zeitpunkt verpflichtet (§ 2 Abs. 2 DENIC-Domainbedingungen), nic.at führt keine Prüfung durch und lehnt nur offensichtliche Rechtsverletzungen ab (AGB Ziffer 1.6), SWITCH beurteilt die Berechtigung nicht (AGB Ziffer 2.3). Reservierte Namen wie die Schweizer Kantons- und Gemeindenamen prüft SWITCH dagegen nach der Liste der TAV (Ziffern 4.1 und 4.2). Mit dem Antrag versichert der Inhaber stattdessen, dass Registrierung und Nutzung keine fremden Rechte verletzen (§ 3 Abs. 1 DENIC-Domainbedingungen; nic.at AGB Ziffer 1.6; SWITCH-AGB Ziffer 2.3).

Suchen Sie deshalb selbst, und zwar im Land, in dem Sie verkaufen: Marken im DPMAregister (Deutschland), in der Selbstrecherche des Österreichischen Patentamts (Österreich) und in swissreg (Schweiz), Firmennamen im Firmenindex zefix (die Register nennt SWITCH unter Rechtliches). Nach der Beschreibung des IGE enthält swissreg auch die internationalen Marken mit Benennung Schweiz; ähnlich geschriebene, ähnlich gestaltete oder ähnlich ausgesprochene Marken lassen sich dort aber nur beschränkt oder gar nicht recherchieren, weshalb das IGE für verlässliche Entscheidungsgrundlagen eine Recherche durch Spezialisten verlangt.

Wird der Name streitig, greifen die Verfahren der Registrierungsstellen. DENIC kann einen Dispute-Eintrag setzen; er wirkt ein Jahr, ist verlängerbar und sperrt nur die Übertragung, nicht die Nutzung (§ 2 Abs. 3 DENIC-Domainbedingungen). nic.at setzt den Inhaberwechsel im Wartestatus 1 einen Monat aus und bei anhängigem Verfahren unbefristet (AGB Ziffern 2.1 und 2.3). Für .ch entscheidet ein kostenpflichtiger Streitbeilegungsdienst, dessen Entscheide für den Inhaber auch ohne dessen Beteiligung verbindlich sind (SWITCH-AGB Ziffern 4.1 und 4.2).

Schritt 4: Registrieren und Inhaberdaten pflegen

Tragen Sie die Daten vollständig beim Registrar ein, der die Domain verwaltet, und kontrollieren Sie danach selbst, was im Register steht: DENIC verlangt, dass der Inhaber seine Daten sofort über die Domainabfrage prüft und Korrekturen unverzüglich mitteilt (§ 3 Abs. 3 DENIC-Domainbedingungen). Falsche oder nicht feststellbare Inhaberdaten haben Folgen: DENIC kann aus wichtigem Grund kündigen (§ 7 Abs. 2 lit. f), SWITCH kann den Domain-Namen widerrufen (AGB Ziffer 2.5), nic.at kann die Delegation ablehnen oder widerrufen (AGB Ziffer 1.3). Halten Sie die Daten nach Umzug, Firmenänderung oder neuem Rechnungsempfänger aktuell. Am Ende dieses Schritts stimmen die im Register hinterlegten Inhaberdaten, und Rechnungen erreichen ein Postfach, das im Betrieb gelesen wird. Wo Sie Ihre eigenen Daten sehen, ist je Land verschieden: In der öffentlichen Domainabfrage von .de stehen Name und Anschrift nur, wenn der Inhaber keine natürliche Person ist, sonst bleiben die personenbezogenen Inhaberdaten geschützt (DENIC, Wissenswertes zur Domainabfrage; DENIC-Domainrichtlinien Ziffer VII Abs. 3), und die Personendaten des .ch-Registers sind grundsätzlich nicht öffentlich zugänglich (SWITCH-AGB Ziffer 5.2). Kontrollieren Sie Ihre Daten deshalb in der Inhaberverwaltung Ihres Registrars; als Kontaktperson haben Sie dort ein Auskunfts- und Berichtigungsrecht (SWITCH-AGB Ziffer 5.4).

Schritt 5: Nameserver und Weiterleitungen einrichten

Hinterlegen Sie die Nameserver Ihres Hostings: nic.at verlangt mindestens zwei und höchstens acht (Registrierungsrichtlinien Punkt 3), SWITCH fordert mindestens einen und empfiehlt mindestens zwei (AGB Ziffer 3.1.3). Wählen Sie danach eine kanonische Adresse, also entweder die Form mit www oder die ohne, und leiten Sie alles andere dauerhaft dorthin um.

Für dauerhafte Weiterleitungen stehen zwei Statuscodes zur Verfügung: 301 und 308 (RFC 9110, Ziffern 15.4.2 und 15.4.9). Der Unterschied betrifft Bestellformulare. Zu 301 vermerkt die Norm, dass ein Nutzeragent die Anfragemethode von POST auf GET ändern darf und dass stattdessen 308 verwendet werden kann, wenn das nicht gewünscht ist; 308 ist jünger und nicht überall bekannt. Senden Sie deshalb Formulare direkt an die kanonische https-Adresse und verwenden Sie 301 nur für normale Seitenaufrufe. Die DNS-Einträge für Bestellbestätigungen und Kontaktformulare gehören in denselben Zug; wie Sie sie gegen Spam-Aussortierung absichern, steht in E-Mail-Versand des Shops einrichten.

Am Ende dieses Schritts antworten http:// und die nicht gewählte www-Variante beide mit einem Weiterleitungscode auf dieselbe https://-Adresse.

Schritt 6: Zertifikat einrichten und erneuern

Der TLS-Handshake handelt die Schlüssel aus, mit denen der Datenverkehr verschlüsselt wird; das Serverzertifikat weist den Namen aus, unter dem der Shop erreichbar ist, und authentisiert damit den Server gegenüber diesem Namen (RFC 8446, Abschnitte 2 und 4.4.2). Der TLS-Standard liegt in Version 1.3 vor (RFC 8446, August 2018): Diese Fassung löst RFC 5246 ab und hat die statischen RSA- und Diffie-Hellman-Cipher-Suiten entfernt. Forward Secrecy bieten die Verfahren mit (EC)DHE-Schlüsselaustausch; ein vorab geteilter Schlüssel (PSK) ohne (EC)DHE verzichtet nach der Norm ausdrücklich darauf (RFC 8446, Ziffer 2.2). Für die Versionen gibt es eine Empfehlung, keine Rechtsvorschrift: Das BSI empfiehlt in der Technischen Richtlinie TR-02102-2 (Version 2026-01 vom 27. Januar 2026, Abschnitt 3.2) TLS 1.3 bevorzugt, TLS 1.2 nur noch bis Ende 2031 sowie TLS 1.0, TLS 1.1, SSL v2 und SSL v3 nicht mehr. Die Ausstellung lässt sich automatisieren: Das ACME-Protokoll (RFC 8555, März 2019) beschreibt Prüfung und Ausstellung; prüfen Sie in der Oberfläche Ihres Hostings, ob die Ausstellung dort automatisch läuft.

Laufzeit, Preis und Anfragegrenzen nennt die Dokumentation des Ausstellers, den Sie wählen. Für die Prüfung setzen Sie eine Datei unter http://<Ihre-Domain>/.well-known/acme-challenge/ bereit: Beim HTTP-Verfahren muss sie über TCP-Port 80 abrufbar sein (RFC 8555, Ziffer 8.3). Alternativ setzen Sie einen TXT-Eintrag mit dem Prüfwert unter _acme-challenge.<Ihre-Domain> in der Zone (DNS-Verfahren, RFC 8555, Ziffer 8.4). Ein Auftrag kann mehrere Namen umfassen (RFC 8555, Ziffer 7.1.3); das Zertifikat trägt sie im Feld Subject Alternative Name (Baseline Requirements Ziffer 7.1.2.7.12). Ein Wildcard-Zertifikat für alle Subdomains wird über eine Autorisierung der Grunddomain ausgestellt (RFC 8555, Ziffer 7.1.4).

Die zulässige Höchstlaufzeit sinkt in den nächsten Jahren in Stufen: Nach den Baseline Requirements des CA/Browser Forum dürfen Zertifikate, die ab dem 15. März 2026 ausgestellt werden, höchstens 200 Tage gelten, ab dem 15. März 2027 höchstens 100 Tage und ab dem 15. März 2029 höchstens 47 Tage (Version 2.3.1, Ziffer 6.3.2). Diese Vorgaben binden Zertifizierungsstellen erst, wenn die Anbieter vertrauenswürdiger Software sie übernehmen und durchsetzen. Planen Sie die Erneuerung deshalb automatisch und prüfen Sie nach jeder Änderung an Subdomains, ob das Zertifikat noch alle Namen abdeckt. Wenn Sie Zertifikate nur von einer Stelle beziehen, können Sie das mit einem CAA-Eintrag festlegen; er nennt die Zertifizierungsstellen, die für die Domain ausstellen dürfen (RFC 8659).

Schritt 7: HTTPS erzwingen und gemischte Inhalte entfernen

Leiten Sie jeden Aufruf über http:// auf die kanonische https://-Adresse um und prüfen Sie die Weiterleitung für jede Unterseite, nicht nur für die Startseite. Danach können Sie den HSTS-Header Strict-Transport-Security setzen: Er erklärt die Seite für die Dauer der angegebenen Sekunden als nur über sichere Verbindungen erreichbar; die Norm nennt als Beispiel max-age=31536000 für ein Jahr und die Ergänzung includeSubDomains (RFC 6797, Ziffer 6.2). Setzen Sie den Header erst, wenn auch alle Subdomains über HTTPS erreichbar sind, denn die Richtlinie gilt für die angegebene Dauer; mit max-age=0 löschen Sie sie wieder.

Zuletzt entfernen Sie Verweise auf unverschlüsselte Inhalte. Nach dem Entwurf des W3C zu gemischten Inhalten (Mixed Content, Candidate Recommendation Draft vom 23. Februar 2023) bricht der Browser das Laden von blockierbaren Inhalten wie Skripten mit einem Netzwerkfehler ab, während er aufwertbare Inhalte wie Bilder auf https umschreiben oder blockieren kann. Der Entwurf ist kein fertiger Standard, die Unterscheidung erklärt aber, warum ein einzelnes http://-Bild unauffällig bleibt und ein http://-Skript die Seite zerbricht.

Checkliste: Name, Rechte, Endung, Weiterleitungen

Prüfpunkt	Was zu prüfen ist	Beleg
Name	Kandidaten vorlesen lassen, mündlich ansagen, buchstabieren; Ziffern und Bindestriche nur, wo der Name sie braucht	redaktionelle Empfehlung
Zeichenregeln	.de und .at: 1 bis 63 Zeichen, .ch: 3 bis 63 Zeichen mit den in der TAV aufgeführten Zwei-Buchstaben-Ausnahmen; kein Bindestrich am Anfang oder Ende, keine zwei an dritter und vierter Stelle; unter .at ist der ACE-String einer IDN davon ausgenommen	DENIC-Domainrichtlinien Ziffer V, nic.at Registrierungsrichtlinien Punkt 3, SWITCH-AGB Ziffer 3.1.2, TAV Ziffern 3.1 und 4.2
Marken in Deutschland	Marken und ähnliche Zeichen im DPMAregister suchen	Deutsches Patent- und Markenamt
Marken in Österreich	Selbstrecherche des Österreichischen Patentamts nutzen	Österreichisches Patentamt
Marken und Firmen in der Schweiz	swissreg und zefix abfragen; ähnliche und ähnlich ausgesprochene Marken lassen sich in swissreg nur beschränkt oder gar nicht recherchieren, deshalb bei tragendem Namen eine professionelle Recherche beauftragen	Eidgenössisches Institut für Geistiges Eigentum (Swissreg-Markendatenbank)
Endung und Sitz	.de: Zustellungsbevollmächtigter in Deutschland nur auf Verlangen DENICs; .ch: Schweizer Korrespondenzadresse innert 30 Tagen auf Behördenverlangen	DENIC-Domainbedingungen § 3 Abs. 4, SWITCH-AGB Ziffer 2.6
Inhaberdaten	volle Firma mit Rechtsform oder Vor- und Nachname, Anschrift, E-Mail, Telefon; keine Postfachadresse; Daten nach der Registrierung selbst kontrollieren, bei .de und .ch über die Inhaberverwaltung des Registrars	DENIC-Domainrichtlinien Ziffer VI und § 3 Abs. 3 DENIC-Domainbedingungen, nic.at AGB Ziffer 1.3, SWITCH-AGB Ziffer 5.4
Streitfall	DENIC-Dispute-Eintrag, nic.at Wartestatus und SWITCH-Streitbeilegungsdienst kennen, bevor eine Abmahnung eintrifft	DENIC-Domainbedingungen § 2 Abs. 3, nic.at AGB Ziffern 2.1 und 2.3, SWITCH-AGB Ziffern 4.1 und 4.2
Weiterleitungen	eine kanonische Adresse wählen; HTTP und die andere www-Variante mit 301 oder 308 dorthin; Formulare direkt auf https senden	RFC 9110, Ziffern 15.4.2 und 15.4.9
Zertifikat	alle Namen im Zertifikat oder Wildcard über die Grunddomain; Erneuerung automatisch; Laufzeitgrenzen und CAA-Eintrag beachten; Laufzeit und Anfragegrenzen beim gewählten Aussteller prüfen	RFC 8555 Ziffern 7.1.3 und 7.1.4, CA/Browser Forum Ziffer 6.3.2, RFC 8659
TLS-Versionen	TLS 1.3 bevorzugt; TLS 1.2 nur noch bis Ende 2031; TLS 1.0, TLS 1.1, SSL v2 und SSL v3 abschalten	BSI TR-02102-2, Abschnitt 3.2 (Empfehlung, keine Rechtsvorschrift)

So prüfen Sie das Ergebnis

• Die Inhaberdaten stimmen mit den Angaben im Register überein, und Sie sehen Ihre eigenen Daten in der Inhaberverwaltung Ihres Registrars. Öffentlich ist nur ein Teil davon: In der .de-Abfrage sind die Daten natürlicher Personen nicht sichtbar, bei .at veröffentlicht nic.at nur Daten von Organisationen, und die Personendaten des .ch-Registers sind grundsätzlich nicht öffentlich zugänglich.
• Jede Shop-Seite lädt über https:// ohne Zertifikatswarnung; der Browser zeigt Aussteller und ein Ablaufdatum in der Zukunft.
• http://, die nicht gewählte www-Variante und jede Subdomain antworten mit 301 oder 308 auf dieselbe https://-Adresse.
• Die Entwicklerkonsole des Browsers meldet keine über http:// geladenen Skripte oder Bilder.
• Ein vollständiger Testkauf läuft über HTTPS, auch die Weiterleitung nach der Zahlung; die Szenarien dafür stehen in Testbestellungen vor dem Start.

Wenn etwas nicht klappt

Symptom	Ursache	Behebung
Zertifikatswarnung für www	Im Zertifikat steht nur der Name ohne www	www als zusätzlichen Namen aufnehmen oder ein Wildcard-Zertifikat für die Grunddomain ausstellen (RFC 8555, Ziffern 7.1.3 und 7.1.4)
Validierung schlägt fehl	Das HTTP-Verfahren liest die Prüfdatei über TCP-Port 80 und nur für den beantragten Namen	Port 80 öffnen oder auf das DNS-Verfahren mit TXT-Eintrag wechseln (RFC 8555, Ziffern 8.3 und 8.4)
Bestelldaten kommen leer an	Ein 301 auf einem Formular-POST erlaubt dem Nutzeragenten, auf GET zu wechseln	Formular auf 308 umstellen oder direkt an die https-Adresse senden
Zertifikat läuft ab	Erneuerung ist nicht automatisiert, oder die Anfragegrenzen des Ausstellers sind erreicht	Erneuerung im Hosting prüfen; Anfragegrenzen in der Dokumentation des Ausstellers nachsehen und Tests gegen dessen Testumgebung richten
Domain nicht erreichbar	Inhaberdaten sind unvollständig oder die Verifizierung ist offen	Daten über die Inhaberverwaltung des Registrars korrigieren und die Verifizierung abschließen
Seite wird als unsicher angezeigt, obwohl HTTPS läuft	Ein Verweis in der Seite zeigt auf http://	Verweise im Quelltext, in Vorlagen und in der Datenbank auf https:// umstellen

Wann Sie Hilfe holen sollten

Holen Sie eine Patent- oder Rechtsanwaltskanzlei dazu, wenn der Name Ihre Marke tragen soll und die Registerrecherche ähnliche Zeichen zeigt: Register geben Auskunft über eingetragene Rechte, nicht über den gesamten Bestand. Für DNS, Mail und Zertifikate ist Unterstützung sinnvoll, wenn mehrere Systeme beteiligt sind oder Sie eine bestehende Domain umziehen. Adressänderung, Verlängerung und Anbieterwechsel bei der Registrierungsstelle erledigen Sie nach den zitierten Regeln selbst.