- Eine 27 Jahre lang betriebene Domain wurde ohne Vorwarnung auf ein anderes GoDaddy-Konto verschoben, wodurch die zugehörige Website und E-Mail vier Tage lang ausfielen
- Im Konto war die doppelte Zwei-Faktor-Authentifizierung aktiviert, und auch der Domainschutz war eingeschaltet. Im Audit-Log stand jedoch, dass ein Internal User
Transfer to Another GoDaddy Accountausgeführt hatte, und die Verifizierung blieb als nicht erfolgt vermerkt - Im Verlauf der Streitfallmeldung verwies GoDaddy wiederholt auf verschiedene E-Mail-Adressen und neue Fallnummern. Vier Tage später wurde der Vorgang mit dem Hinweis geschlossen, die erforderlichen Unterlagen seien eingereicht worden, ohne offenzulegen, um welche Unterlagen es sich handelte
- Die tatsächliche Wiederherstellung erfolgte nicht durch das GoDaddy-Team, sondern weil die Person, die die Domain irrtümlich erhalten hatte, in ihrem Konto eine falsche Domain entdeckte und selbst kooperierte. Durch eine Konten-zu-Konten-Übertragung war die Domain in weniger als fünf Minuten wieder im ursprünglichen Konto
- Weil eine solche Übertragung offenbar auch ohne eingereichte Unterlagen genehmigt wurde, traten erhebliche Sicherheitsrisiken zutage, darunter Abfangen von E-Mails, Passwort-Resets und Änderungen von Zahlungswegen, was die Sorge verstärkt, dass sich dieselbe Art von Bedrohung künftig kaum verhindern lässt
Überblick über den Vorfall
- Eine 27 Jahre lang genutzte Domain wurde ohne Vorwarnung aus einem GoDaddy-Konto in ein anderes GoDaddy-Konto verschoben, wodurch die Website und E-Mail der betreffenden Organisation vier Tage lang ausfielen
- Im Konto war die doppelte Zwei-Faktor-Authentifizierung aktiviert, und für die Domain war GoDaddys Full Domain Privacy and Protection aktiv
- Im Audit-Log waren
Transfer to Another GoDaddy Account, als ausführende Instanz Internal User undChange Validated: Novermerkt
- Unmittelbar nach der Verschiebung setzte GoDaddy die DNS-Zone auf den Standardwert zurück, sodass trotz gleichbleibender Nameserver die Zone-Datei leer war und der gesamte Dienst offline ging
- Die Domain war die übergeordnete Domain, die von 20 Niederlassungen in den USA genutzt wurde, und die Websites sowie E-Mails aller Niederlassungen hingen von deren Subdomains ab
- Die E-Mail zur Wiederherstellung des Kontos traf am Samstag um 13:39 Uhr ein, drei Minuten später begann die Übertragung, vier Minuten später war sie abgeschlossen
- Die betroffene Seite führte 32 Telefonate mit insgesamt 9,6 Stunden Gesprächszeit und verschickte 17 E-Mails, erhielt aber kein einziges Mal einen Rückruf
Reaktion von GoDaddy und Bearbeitung des Streitfalls
- Bei der ersten Anfrage bestätigte GoDaddy, dass sich die Domain nicht mehr im Konto befand, teilte aber unter Verweis auf Datenschutz nicht mit, wohin sie verschoben worden war
- Zunächst wurde angewiesen, sich an undo@godaddy.com zu wenden, doch es kam keine Antwort
- Danach wechselte die Empfehlung zu transferdisputes@godaddy.com und anschließend zu artreview@godaddy.com
- Bei jeder Kontaktaufnahme wurde eine neue Fallnummer erstellt, sodass die bisherige Historie nicht fortgeführt wurde und jede Eskalation wieder von vorn beginnen musste
- Im Text sind tatsächliche Fallnummern wie
01368489,894760,01376819,01373017,01376804,01373134und01370012aufgeführt
- Im Text sind tatsächliche Fallnummern wie
- Der Domain-Streitfall wurde über den Pfad
cas.godaddy.com/Form/TransferDisputeeingereicht; die anfragende Seite übermittelte den Namen des Domaininhabers, einen Führerschein und Geschäftsunterlagen- Bei jeder Einreichung wurde erneut eine erwartete Antwortzeit von 48 bis 72 Stunden genannt
- Vier Tage später verschickte GoDaddy lediglich eine E-Mail mit dem Hinweis, der Inhaber habe die erforderlichen Unterlagen bereitgestellt, deshalb sei die Kontoänderung durchgeführt worden und der Fall sei abgeschlossen
- Welche Unterlagen eingereicht worden waren, wurde letztlich nicht erläutert
- Als weitere Hinweise wurden nur Links zu WHOIS-Abfrage, ICANN-Schlichtungsanbietern und einer Seite zur Beauftragung eines Anwalts übermittelt
Betriebsausfall und provisorische Wiederherstellung
- Nachdem GoDaddy das Ende des Falls mitgeteilt hatte, begann die betroffene Organisation mit einem Notumzug auf eine neue Domain
- Über Nacht wurde auf neue E-Mail-Adressen und eine neue Website-Adresse umgestellt
- Da keine Kontrolle mehr über die bestehende Domain bestand, verschärften sich die Schäden an sämtlichen E-Mail-Adressen, Marketingmaterialien und den angesammelten SEO-Werten
- An die bisherigen Adressen gesendete E-Mails konnten nur zurückgewiesen werden
- Die bisherige Domain auf Drucksachen und in externen Materialien wurde überall zu falscher Information
- Nachdem die ursprüngliche Domain zurückgekehrt war, mussten E-Mail und Website wieder auf die ursprüngliche Domain zurückgestellt werden, um die am Vortag erledigten Arbeiten erneut rückgängig zu machen
Tatsächliche Ursache und Wiederherstellungsweg
- Am nächsten Morgen entdeckte eine andere Person, 2.000 Meilen vom Hauptsitz der betroffenen Organisation entfernt, dass sich in ihrem GoDaddy-Konto eine falsche Domain befand
- Diese Person versuchte gerade, eine andere Domain zurückzuerlangen, die von einem ehemaligen Mitarbeiter genutzt worden war
- In Zusammenarbeit mit dieser Person wurde eine Konten-zu-Konten-Übertragung bei GoDaddy ausgeführt; die Domain war in weniger als fünf Minuten wieder im ursprünglichen Konto, und auch DNS begann sich sofort zu erholen
- Die tatsächliche Lösung kam nicht vom GoDaddy-Support, dem Streitfall-Team oder dem CEO-Office-Team, sondern dadurch, dass die Person, die die Domain irrtümlich erhalten hatte, das Problem erkannte und selbst Kontakt aufnahm
Ohne Unterlagen genehmigte Übertragung
- Die Seite, die die Domain irrtümlich erhalten hatte, war eine regionale Niederlassung desselben Netzwerks und hatte GoDaddy zwei Wochen zuvor um die Wiederherstellung einer anderen Domain gebeten
- Angefordert wurde
HELPNETWORKLOCAL.ORG, tatsächlich übertragen wurde jedochHELPNETWORKINC.ORG
- Angefordert wurde
- In der E-Mail-Signatur dieser Person befand sich die Subdomain-Website von
HELPNETWORKINC.ORG; offenbar sah das GoDaddy-Wiederherstellungsteam die in der Signatur stehende übergeordnete Domain und verschob genau diese Domain in das Konto - GoDaddy schickte zwar einen Link zum Hochladen von Nachweisen, doch dieser war bereits vor der Nutzung abgelaufen
- Selbst nachdem ein neuer Link angefordert worden war, traf die E-Mail zur Genehmigung der Domainübertragung noch vor dem neuen Link ein
- Im Ergebnis reichte diese Person weder für die eigentlich zurückzufordernde Domain noch für die tatsächlich erhaltene Domain auch nur ein einziges Dokument ein
- Trotzdem verschob GoDaddy die Domain einer 27 Jahre alten Non-Profit-Organisation auf ein anderes Konto und erklärte den Streitfall anschließend für erledigt
Sicherheitsauswirkungen
- Im Text heißt es, bei einem böswilligen Empfänger wären Abfangen von E-Mails, Passwort-Resets, Empfang von MFA-Codes, Phishing, Verteilung von Malware und sogar Änderungen von Zahlungswegen möglich gewesen
- Während die betroffene Organisation den Aufenthaltsort der Domain nicht kannte, musste sie sich darauf vorbereiten, alle Nutzer anzuweisen, die kompromittierte Domain aus wichtigen Dienstkonten zu entfernen
- Dazu gehörten Banken, Amazon, IRS, Lohnabrechnungssysteme, Dropbox, E-Mail-Konten und sogar das GoDaddy-Konto selbst
- Dass eine solche Übertragung ohne Unterlagen genehmigt wurde, erwies sich an sich schon als schwerwiegendes Sicherheitsproblem
Probleme beim Security-Meldeweg und weitere Maßnahmen
- Um die Untersuchungsergebnisse vor der Veröffentlichung direkt an das Sicherheitsteam von GoDaddy zu senden, wurde eine E-Mail an security@godaddy.com geschickt, die jedoch zurückgewiesen wurde
- Die automatische Antwort erklärte, dieses Postfach werde nicht mehr überwacht, und verwies stattdessen auf das Abuse Reporting Form sowie auf https://hackerone.com/godaddy-vdp
- Derselbe Bericht wurde schließlich über HackerOne eingereicht; im Text ist report #3696718 genannt
- Dass offizielle Kanäle nicht funktionieren und nur Personen mit Kenntnis von Umwegen die tatsächlich zuständigen Ansprechpartner erreichen können, wiederholte sich im selben Muster wie bei der Reaktion auf den viertägigen Ausfall
- Die im Original geforderten weiteren Schritte sind klar
- Flagstream Technologies müsse direkt von einer namentlich bekannten zuständigen Person kontaktiert werden
- Statt eines allgemeinen öffentlichen Postfachs müsse eine antwortfähige E-Mail-Adresse und Telefonnummer hinterlassen werden
- Die Übertragungs-Verifizierungsverfahren und die Umstände der Genehmigung ohne Unterlagen müssten intern überprüft werden
Weitere verbleibende Handlungsrichtung
- Die größere Sorge der betroffenen Seite ist, dass sich dieselbe Art von Bedrohung künftig solange keine Domain von GoDaddy weggezogen wird, offenbar nicht wirksam verhindern lässt
- Im Text steht, dass Flagstream seine Domains wahrscheinlich vollständig von GoDaddy weg transferieren wird
- Wer Domains bei GoDaddy hat, sollte selbst prüfen, wie im Fall reagiert werden kann, dass eine Domain aus dem Konto verschwindet und dadurch der gesamte Geschäftsbetrieb stillsteht
2 Kommentare
Jedes Mal, wenn ich so etwas sehe, frage ich mich, ob es wirklich so schwer ist, Systeme so zu gestalten, dass Umgehungen oder Fehlschläge möglichst unmöglich sind, selbst wenn man keine Dokumentation oder Ähnliches liest.
Hacker-News-Kommentare
GoDaddy hat einen so schlechten Ruf, dass es sogar einen eigenen Wikipedia-Artikel dafür gibt
https://en.wikipedia.org/wiki/Controversies_surrounding_GoDaddy
GoDaddys Vorgeschichte ist so schlecht, dass schon frühere Fälle genug Kontext liefern
Jan 2017: Godaddy has issued at least 8850 SSL certificates without validating anything
Jan 2019: GoDaddy injecting JavaScript into websites and how to stop it
Aug 2022: Tell HN: Godaddy canceled my domain, gave me 2h to respond, then charged €150
Dec 2022: GoDaddy buying domains when they expire to extort their own users
Jul 2023: Godaddy just stole my domain
Jan 2024: Tell HN: GoDaddy Stole My Domain
https://www.reddit.com/r/technology/comments/npair/godaddy_has_not_withdrawn_its_official/
Es wirkte immer wie eine Firma, bei der Selbstdarstellung wichtiger ist als Technik, und auch die technischen Mitarbeiter schienen nur ihr Gehalt abzuholen und sich weder für Kunden noch für Qualität groß zu interessieren — und das tatsächliche Verhalten zeigt genau das
Dann konnte man aus bestimmten Ländern unter Umständen nicht einmal mehr die eigene Kunden-Website erreichen
Es ist teuer und bietet so wenig Wert, dass ich nicht verstehe, warum es jemand nutzt
Der aktuelle Link zeigt auf diesen Thread selbst
Seit der Zeit, als ich meinen ersten Computer hatte, war GoDaddy für mich schon NoDaddy
Einer der wenigen Fälle aus den frühen bis mittleren 2000ern, in denen Programmierer offen von Frauenfeindlichkeit sprachen, bezog sich auf den GoDaddy-Stand auf einer Messe, und daran erinnere ich mich bis heute
Am Anfang wirkt es wie ein Inside Job
Bei AWS wurde trotz vollständig konfigurierter Sicherheit schon einmal mein Konto kompromittiert, und später stellte sich heraus, dass interne Auftragnehmer die Ursache waren
Bis dahin hatte AWS mir ohne jede Grundlage einfach die Schuld gegeben, und erst nachdem ich das Büro des Generalstaatsanwalts des Bundesstaats kontaktiert hatte, wurde überhaupt ermittelt und ein Manager kümmerte sich ernsthaft darum
Ein anderer GoDaddy-Kunde hatte einen Transfer einer ähnlich aussehenden Domain beantragt, und dabei wurde die falsche Domain übertragen
Ein Mitarbeiter hat die Verfahren überhaupt nicht eingehalten und die E-Mail absurd falsch gelesen, sodass am Ende die völlig falsche Domain transferiert wurde
Rückgängig gemacht werden konnte es am Ende nur, weil die Person, die die Domain erhalten hatte, GoDaddy selbst darauf hingewiesen hat, dass sie irrtümlich übertragen worden war
Ich verstehe nicht, wie man das als internes Komplott sehen kann
In keinem Sinn wirkt das wie ein inside job
Selbst der Empfänger hat sich bemüht, sie dem ursprünglichen Eigentümer zurückzugeben, daher ist die Erklärung einer absichtlichen Entwendung schwer haltbar
Im Beitrag werden alle E-Mail-Adressen ungültig, sämtliche Marketingmaterialien falsch und Verlust von SEO genannt, aber ich finde, der größte Punkt fehlt
Wenn man die Domain verliert, sind sofort alle Online-Konten gesperrt, bei denen Bestätigungscodes für verdächtige Logins per E-Mail eingehen
Von Banken über CRM bis zu diversen Business-Services kann dann alles nacheinander ausfallen
Solange die Domain mir gehört, kann ich sie schließlich überall hosten, also klang das ideal
Aber wenn man über solche Katastrophenszenarien nachdenkt, bleibt am Ende doch nur, zusätzlich wieder Gmail zu behalten
Zum Glück wird in der EU die Prüfung des tatsächlichen Eigentümers noch ziemlich ernst genommen, sodass sich so ein Fehler wahrscheinlich innerhalb weniger Stunden beheben ließe
Wenn alles an dieser E-Mail hängt, ist es schlimmer als den eigenen Telefonanschluss oder die SIM zu verlieren, ähnlich wie wenn man im Ausland seine Nummer nicht nutzen kann, nur noch schlimmer
E-Mail und verschiedenste Kontakte laufen über dieselbe Domain, also könnte ein Betrüger Antworten einfach nahtlos fortführen, als wäre nichts passiert
Noch beängstigender ist der Gedanke, dass man über Nacht zum crypto billionaire werden könnte, wenn GoDaddy zum Beispiel einfach npmjs.com an jemand anderen übertragen würde
Ich halte es für besser, die Domain als Marke eintragen zu lassen
Das kostet ein paar hundert Dollar und geht auch online, und damit ist man gegenüber ICANN, Domain-Dieben, Typosquattern, Registraren und vor Gericht deutlich besser abgesichert
Man kann ein scharf formuliertes Anwaltsschreiben schicken und die Support-Ebene überspringen, um schneller in die juristische Eskalation zu kommen
ANIMATS®
Man muss also noch mehr Geld zahlen, um überhaupt mehr Schutz für das Eigentum zu haben
Meiner persönlichen Ansicht nach sollte man Marken in solchen Streitfällen lieber nicht hineinziehen
Sobald man einen Markenanspruch geltend macht, wird die Domain zur Verhinderung von Änderungen gesperrt, und man bekommt normalerweise gesagt, man solle ein UDRP-Verfahren einleiten
Bis eine Entscheidung vorliegt, können Monate vergehen
Bei Anwaltsschreiben ist es ähnlich: Außer in sehr begrenzten Fällen sind wir nicht verpflichtet, Geld für eine juristische Antwort auszugeben
Aber sobald man unter Berufung auf rechtliche Ansprüche eine bestimmte Bearbeitung verlangt, können wir am Ende nur noch sagen, dass man sich an das zuständige Gericht oder an ein formales Verfahren wenden soll
In Kanada braucht man dafür faktisch einen Anwalt, und während der Rückstände nach Corona musste man teils vier Jahre auf die Eintragung warten
Wenn man das wirklich einfach online registrieren könnte, wäre das großartig
In meinem Fall hatte ich eine in den USA eingetragene Marke, und obwohl sie zeitlich Vorrang hatte, hat Facebook meine Website trotzdem abgeschaltet
Ich verstehe nicht, warum jemand heute noch GoDaddy nutzt, ganz zu schweigen von vor zehn Jahren
Aus Unternehmenssicht funktioniert die Strategie, den bekanntesten Anbieter zu wählen, meistens ziemlich gut, weil man erwartet, dass es Prozesse für alle möglichen Fälle gibt
Deshalb wirkt dieser Vorfall noch schwerwiegender
Domains sind für ein Geschäft extrem wichtig, aber pro Kunde wird in dieser Branche kaum Umsatz gemacht
Die gesamte Infrastruktur hängt daran, aber es sind vielleicht 15 Dollar im Jahr, und schon ein einziges Support-Ticket kann den Kunden unrentabel machen
Wenn man 100 Leute fragt, wo sie eine Domain kaufen würden, ist GoDaddy wahrscheinlich mit großem Abstand die Nummer eins
Von Markenskandalen oder Sicherheitsvorfällen wissen die meisten wahrscheinlich nichts
Über die Formulierung kompetenter IT-Verantwortlicher musste ich ein wenig lachen
Ich kann mich kaum erinnern, jemals etwas Gutes über GoDaddy gehört zu haben
Und der Support für Managed Hosting ist überraschenderweise ziemlich ordentlich
Ich mag den Service selbst nicht, aber einige meiner Kunden verwenden ihn, und bei Serverproblemen hat der Support Dinge oft schnell behoben, viel bequemer, als wenn ich selbst hätte eingreifen müssen
Zumindest bisher war das kein ausgelagerter Auslands-Support, sondern lokaler Support
Ein nichttechnischer Gründer googelt einfach buy a domain und geht zu dem Anbieter, der zuerst auftaucht
Wenn die IT-Struktur später reifer wird, sollte man zu einem besseren Anbieter wechseln, aber Registrierungen laufen über Jahre, mit automatischer Verlängerung, und solange alles ohne Probleme funktioniert, haben akute Aufgaben eben Vorrang vor theoretischen Risiken
Ganz offen gesagt passen Kompetenz und Kundendomains bei GoDaddy für mich nicht gut zusammen
Das ist zwar ein Fehler, aber ein sehr häufiges Muster
Wenn alles schon gut läuft, ist es schwer, einen Kunden, der nie Probleme hatte, davon zu überzeugen, jetzt DNS, Hosting und E-Mail umzuziehen
Ich verwende seit der Übernahme von Google Domains oft Squarespace, weil der Preis in Ordnung ist und vor allem, weil es bereits läuft
Es mag bessere Tools geben, aber Migration kostet Zeit, birgt Ausfallrisiken beim Kunden und verursacht Stress
Es geht nicht darum, dass ich keinen VPS aufsetzen könnte, sondern darum, dass es kaum einen Grund gibt, ein paar Stunden unbezahlte Arbeit hineinzustecken
Hier könnte es ähnlich gewesen sein, und selbst wenn Lee extrem kompetent ist, könnte einfach eine lange unbemerkte foot gun irgendwann losgegangen sein
Nicht ideal, aber in der Realität absolut plausibel, und wenigstens weiß ich nach diesem Vorfall noch klarer, welche Anbieter ich künftig meiden werde
27 Jahre sind eine sehr lange Zeit
Ein kompetenter IT-Verantwortlicher kann Backup-Pläne für vorhersehbare Ausfälle machen, aber Fehler auf Registrar-Ebene kann er nicht kontrollieren
Selbst Unternehmen wie MarkMonitor, die sich als bulletproof domains vermarkten, hatten schon schwere Vorfälle
Und es ist leicht zu sagen, man solle eine neue Domain bei X registrieren, aber eine alte Domain von Y wegzuholen ist viel schwieriger
GoDaddy ist immerhin ein akkreditierter Registrar, und der Kunde hatte sogar doppelte MFA aktiviert
Der Kunde hat also alles getan, was man tun konnte
Ich habe schon von merkwürdigen Fehlern bei GoDaddy gehört, aber noch nie von einer so absurden Fehlübertragung
Dem Opfer in so einer Situation die Schuld zu geben, ist kaum etwas anderes, als zu sagen, wer die Tür nicht abschließt, sei selbst schuld, wenn eingebrochen wird
Gegen die Regeln verstoßen hat GoDaddy, und genau dafür bezahlt der Kunde: dass diese Regeln eingehalten werden
Wenn man in Richtung Victim Blaming kippt, steht man meistens auf der falschen Seite
Schon die falsche Domain-Übertragung an sich ist Inkompetenz, und wenn das ohne ein einziges erforderliches Dokument passiert ist, dann ist das klar fahrlässig
Das ist auf mehreren Ebenen ernst
Deshalb bevorzuge ich eher verantwortungsbewusste Registrare wie porkbun, auch wenn sie nicht riesig sind
Das gilt für mich erst recht, seit ich einmal bei einem Registrar aus der Kategorie „cheap name“ eine Domain verloren habe
Das ist nur meine persönliche Erfahrung, und ich habe kein Verhältnis zu den beiden genannten Unternehmen
GoDaddy hat schon vor langer Zeit selbst bewiesen, dass es ein verdorbenes Unternehmen ist
Wenn Kunden nicht rechtzeitig zahlten, hielten sie deren Domains fest und stellten sie später mit riesigem Aufpreis wieder zur Auktion, und solche üblen Geschichten gibt es nicht nur ein oder zwei
Meine Hauptdomain liegt immer noch bei nic.ddn.mil / rs.internic.net, also bei dem, was heute im Grunde Network Solutions ist
Früher gab es wenigstens noch die Ethik, für künftige Generationen pro physischem Standort nur eine Domain zu vergeben, aber als ein Pharmakonzern auf einmal etwa 90 kaufen wollte, war diese Ethik sofort verschwunden
Trotzdem wirken selbst diese alten Prozesse, die sich trotz jahrzehntelanger Einnahmen nie verbessert haben, auf mich vertrauenswürdiger als GoDaddy
Unter Leuten, die sich auskannten, war GoDaddy schon vor sehr langer Zeit ein alter Witz