▸ Wie man neu registrierte Domains bekommt

Es gibt keinen einzelnen Feed mit „jeder in der letzten Stunde registrierten Domain“. Registries veröffentlichen keinen, und die ICANN verlangt das auch nicht. Was es stattdessen gibt, sind Beobachtungen, und eine Liste kürzlich registrierter Domains bauen Sie, indem Sie die Beobachtung wählen, die zu Ihrer Verzögerungstoleranz und Ihrem Abdeckungsbedarf passt:

• ▸ Sie brauchen Verbindlichkeit und Vollständigkeit für gTLDs? Registry-Zonendateien diffen. 24-Stunden-Untergrenze, kostenlos, echte Arbeit.
• ▸ Sie brauchen Tempo und jede TLD? Certificate Transparency. Sekunden hinter der Ausstellung, aber blind für Domains ohne Zertifikat.
• ▸ Sie brauchen es noch heute Nachmittag? Laden Sie eine fertige Liste herunter - unsere steht unten, die Alternativen ebenfalls.

Drei verschiedene Zeitstempel werden gleich genannt, und ihre Vermischung ist der häufigste Grund, warum eine Liste neu registrierter Domains nicht zur Liste von jemand anderem passt:

• 1. Registrierungsdatum - wann die Registry den Datensatz angelegt hat. Verbindlich, pro Domain über RDAP/WHOIS abrufbar, von niemandem in Massen veröffentlicht.
• 2. Erscheinen in der Zone - wann die Domain erstmals Nameserver in der TLD-Zone hatte. Meist Minuten bis Stunden nach der Registrierung, aber eine registrierte und nie irgendwohin gezeigte Domain taucht überhaupt nicht auf.
• 3. Erste Beobachtung - wann ein Zertifikatslog, ein Resolver oder ein Crawler sie erstmals gesehen hat. Genau das enthält jeder herunterladbare Feed tatsächlich, unserer eingeschlossen.

Das, was der Grundwahrheit am nächsten kommt. gTLD-Registries sind vertraglich verpflichtet, ihre Zonendateien über den Centralized Zone Data Service (CZDS) der ICANN bereitzustellen. Sie legen ein Konto an, stellen je TLD einen Antrag mit Zweckangabe, und jede Registry genehmigt oder lehnt ab - Genehmigungen gelten üblicherweise ein Jahr und müssen dann erneuert werden. Rund 1.150 gTLDs sind auf diesem Weg erreichbar, darunter .com und .net. Die meisten ccTLDs sind es nicht: eine Handvoll (Schwedens .se und .nu, die Schweizer .ch) veröffentlicht offen, der Rest veröffentlicht nichts.

Eine Zonendatei listet Delegierungen, keine Registrierungen. Das Rezept lautet also: die heute delegierten Namen normalisieren und die von gestern abziehen.

# 1. Fetch today's zone (CZDS gives you a per-TLD download URL + API token)
curl -s -H "Authorization: Bearer $CZDS_TOKEN" \
     -o com.txt.gz "https://czds-api.icann.org/czds/downloads/com.zone"

# 2. Reduce the zone to a sorted list of delegated second-level names
zcat com.txt.gz \
  | awk '$4=="NS" {print tolower($1)}' \
  | sed 's/\.$//' \
  | sort -u > zone.today

# 3. Everything present today and absent yesterday is a new delegation
comm -13 zone.yesterday zone.today > new-domains-$(date +%F).txt
wc -l new-domains-$(date +%F).txt

# 4. Roll the window
mv zone.today zone.yesterday

Beachten Sie $4=="NS" statt $3: Zonenzeilen tragen eine optionale TTL, wodurch sich der Spaltenindex verschiebt. Prüfen Sie ein paar Zeilen Ihrer echten Datei, bevor Sie der Feldnummer vertrauen - das ist der Fehler, der Ihre Liste stillschweigend leert.

Realitätscheck Speicher: allein die .com-Zone umfasst rund 160 Millionen delegierte Namen, jede sortierte Tageskopie ist also unkomprimiert mehrere Gigabyte groß. Zwei Tage plus eine dauerhafte Gesehen-Menge sind der minimal tragfähige Fußabdruck.

Jedes öffentlich vertrauenswürdige TLS-Zertifikat wird in nur anfügbare Certificate Transparency-Logs eingereicht, und diese Logs sind öffentlich. Weil eine neu registrierte Domain, die tatsächlich eingerichtet wird, fast immer binnen Minuten ein Zertifikat erhält - das Hosting-Panel oder der Reverse Proxy fordert es automatisch an -, ist CT der schnellste breite Erkennungskanal, den es kostenlos gibt, und anders als Zonendateien deckt er jede TLD ab, ccTLDs eingeschlossen.

Die zwei praktikablen Zugänge:

# A. Consume an aggregated CT firehose (easiest)
#    e.g. CertStream-compatible websocket endpoints
websocat wss://certstream.calidog.io \
  | jq -r '.data.leaf_cert.all_domains[]?' \
  | sed 's/^\*\.//' \
  | sort -u

# B. Read the logs directly (RFC 6962) - no third party in the path
#    Each log exposes its tree head and a paged entries endpoint:
curl -s https://ct.googleapis.com/logs/us/argon2026h2/ct/v1/get-sth | jq .tree_size
curl -s "https://ct.googleapis.com/logs/us/argon2026h2/ct/v1/get-entries?start=0&end=9"

Variante B betreibt DNSniffer. Sie ist aufwendiger - Sie pflegen je Log einen Offset, parsen die Leaf-Strukturen und kommen mit Logs zurecht, die Raten begrenzen oder Einträge pro Anfrage deckeln -, aber Sie hängen nicht davon ab, dass der Aggregator eines anderen erreichbar bleibt.

Das ist die Seite, auf der Sie sich befinden, nehmen Sie diesen Abschnitt also entsprechend - der Grund, warum er auf die Liste gehört, ist aber, dass er die Kombination der beiden vorigen Methoden ist, bereits im Betrieb. DNSniffer liest gTLD-Zonendateien ein, liest die Certificate-Transparency-Logs direkt, führt beides in einer Domain-Tabelle zusammen - derzeit 360.705.531 aktive Domains über 10.629 TLDs, und veröffentlicht den neu erkannten Ausschnitt als einfaches CSV.

Tagesexport zuletzt neu erstellt am 15. Oktober 2026 · täglich neu erzeugt

Drei Wege der Nutzung, keiner davon braucht ein Konto:

# 1. List the newly-detected exports and grab the current download URL
curl -s 'https://dnsniffer.com/api/v1/datasets?category=newly_detected' \
  | jq -r '.data[] | "\(.periodicity)\t\(.row_count)\t\(.download_url)"'

# 2. Download and read the daily file (zipped CSV)
URL=$(curl -s 'https://dnsniffer.com/api/v1/datasets?category=newly_detected' \
      | jq -r '.data[] | select(.periodicity=="daily") | .download_url')
curl -sL "https://dnsniffer.com$URL" -o nrd-daily.zip
unzip -p nrd-daily.zip | head

# 3. Filter to one TLD without downloading everything
unzip -p nrd-daily.zip | awk -F, 'NR==1 || $1 ~ /\.com$/'

Wenn Sie nur Namen brauchen, die zu Ihrer Marke oder einem Schlüsselwort passen, filtert die Funktion Monitor serverseitig und führt eine Trefferhistorie, die Sie über die API abrufen können - dafür braucht es ein kostenloses Konto statt eines anonymen Downloads, aber es ist weit günstiger, als täglich 300.000 Zeilen zu ziehen und nach einer Zeichenkette zu greppen. Die Seite neueste Domains zeigt denselben Strom im Browser, und der MCP-Server stellt ihn Claude, ChatGPT und anderen Agenten direkt bereit.

Mehrere Sicherheitsanbieter und Hobbyisten veröffentlichen täglich eine Liste neuer Domains als Text- oder ZIP-Datei - typischerweise die Registrierungen von gestern, gTLD-lastig, nach festem Zeitplan. Als Basis ohne Aufwand sind sie wirklich nützlich, und sie teilen drei Schwächen, die man kennen sollte, bevor man darauf aufbaut: der Anbieter dokumentiert selten, welche TLDs abgedeckt sind, die Datei erscheint 24-48 Stunden nach dem Ereignis, und kostenlose Stufen verschwinden oder wandern ohne Vorwarnung hinter eine Anmeldung.

Wenn eine kostenlose Liste Ihre Hauptquelle ist, spiegeln Sie sie täglich in Ihren eigenen Speicher. Der Wert liegt in der aufgelaufenen Historie, und einen verschwundenen Feed können Sie nicht nachträglich füllen.

Anbieter wie WhoisXML API, DomainTools und diverse Threat-Intelligence-Plattformen verkaufen Feeds neu registrierter Domains, meist täglich geliefert mit angehängten WHOIS-Feldern - Registrar, Registrierungsdatum, Nameserver, teils Kontaktdaten, soweit sie nicht geschwärzt sind. Bezahlt wird dreierlei: ccTLD-Abdeckung, die Sie selbst nicht erreichen; das Registrierungsdatum als Feld statt als Nachschlagearbeit pro Domain; und dass jemand anderes die Erhebung betreibt.

Fragen, die es vor einer Unterschrift zu stellen lohnt:

• ▸ Welche TLDs genau, und ist die Liste veröffentlicht oder nur „repräsentativ“?
• ▸ Ist das Datum das Registrierungsdatum der Registry oder deren erste Beobachtung?
• ▸ Wie lauten Redaktionsschluss und Lieferverzug, in Stunden?
• ▸ Dürfen Sie abgeleitete Daten weitergeben oder nur intern nutzen?

Passive-DNS-Anbieter erfassen Auflösungen, die kooperierende rekursive Resolver beobachten, und liefern Ihnen je Namen einen Erstsichtungszeitstempel. Das fängt ein, was Zonendateien verpassen - Subdomains, ccTLDs und Domains, die bereits auflösen, bevor sie je ein Zertifikat bekommen - und ist konstruktionsbedingt verzerrt: Sie sehen nur, was das Sensornetz des Anbieters sieht, eine von hundert Leuten in einem Land genutzte Domain kann also gar nicht auftauchen. Behandeln Sie es als starke Ergänzung zu CT statt als eigenständige Erkennungsquelle, und rechnen Sie damit, für echtes Volumen zu bezahlen.

RDAP ist der strukturierte Nachfolger von WHOIS und der einzige Ort, an dem das tatsächliche Registrierungsdatum liegt. Es kann nicht aufzählen - eine Abfrage „liste alle heute registrierten Domains“ gibt es bewusst nicht -, aber es klärt die Frage für jeden konkreten Namen:

# rdap.org follows the IANA bootstrap, so you need not know the registry
curl -s https://rdap.org/domain/example.com \
  | jq -r '.events[] | select(.eventAction=="registration") | .eventDate'

# Filter a candidate list down to genuinely new registrations
while read -r d; do
  created=$(curl -s "https://rdap.org/domain/$d" \
            | jq -r '.events[]? | select(.eventAction=="registration") | .eventDate')
  [ -n "$created" ] && echo "$d,$created"
  sleep 1        # be polite: registry RDAP endpoints rate-limit aggressively
done < new-domains.txt > verified.csv

Welche Quellen Sie auch wählen: dieselben fünf Schritte trennen eine dauerhaft brauchbare Liste von einer, die still vor sich hin verrottet:

1. 1. Normalisieren. Kleinschreiben, den abschließenden Punkt entfernen, IDNs nach Punycode wandeln (xn--) und jeden Namen über die Public Suffix List auf seine registrierbare Form reduzieren. Example.CO.UK., www.example.co.uk und example.co.uk sind eine Domain.
2. 2. Eine dauerhafte Gesehen-Menge führen. „Neu“ bemisst sich an allem, was Sie je erfasst haben, nicht an der Datei von gestern. Ohne das melden Sie alte Domains erneut, sobald eine Quelle ihre Form ändert.
3. 3. Erstsichtung und Quelle getrennt speichern. Eine Domain, die um 09:00 in CT und am nächsten Tag um 03:00 im Zonen-Diff auftaucht, ist eine Zeile mit zwei Beobachtungen. Überschreiben verliert das früheste Signal - genau das, auf das es ankommt.
4. 4. Bewerten, bevor Sie handeln. Das rohe NRD-Volumen ist viel zu groß für eine Durchsicht. Filtern Sie auf das, was Sie brauchen - markennahe Zeichenketten, Tippfehler-Ähnlichkeiten, verdächtige TLDs, Schlüsselwortkombinationen - und verifizieren Sie diese Auswahl dann mit RDAP.
5. 5. Rechnen Sie mit Fluktuation. Ein großer Teil neu registrierter Domains läuft binnen Tagen aus, und durch Drop-Catching taucht derselbe Name immer wieder auf. Prüfen Sie die Erreichbarkeit erneut, bevor Sie einen Eintrag als aktives Asset behandeln.

• ▸ Punkte zählen, um die registrierbare Domain zu finden. foo.co.uk und foo.uk haben beide eine zweiteilige registrierbare Form, aber nach unterschiedlichen Regeln. Nutzen Sie die Public Suffix List.
• ▸ Fehlen in der Zone als Nichtexistenz deuten. Eine registrierte, nicht delegierte Domain ist für jede zonenbasierte Methode unsichtbar.
• ▸ Zeitzone und Redaktionsschluss ignorieren. Zonendateien sind Snapshots zu einem von der Registry festgelegten Moment; „gestern“ in Ihrer Pipeline und in der Datei sind nicht dasselbe Fenster.
• ▸ Die CT-Erstsichtung mit der Registrierung gleichsetzen. Ein guter Näherungswert und eine schlechte Tatsache.
• ▸ Einen ganzen NRD-Feed sperren. Hunderttausende legitimer Domains werden täglich registriert; pauschales Sperren erzeugt weit mehr Fehlalarme, als es Vorfälle verhindert. Erst bewerten, dann handeln.

Der Zonendatei-Zugang über CZDS wird unter Bedingungen gewährt, die Sie je Registry akzeptieren, und sie beschränken die Weitergabe - Sie dürfen die Daten in der Regel nutzen, aber die Zone nicht erneut veröffentlichen. WHOIS- und RDAP-Kontaktdaten sind personenbezogene Daten nach DSGVO und sind für die meisten Registrierungen standardmäßig geschwärzt; das Registrierungsdatum ist kein personenbezogenes Datum, die Registranten-Felder schon. Wenn Sie ein Produkt auf einem Feed aufbauen, lesen Sie die Weitergabeklausel, bevor Sie den Export entwerfen.