Abuse-Kontakte von Registrar und Netzbetreiber für eine Domain oder IP aus RDAP ermitteln.
Netzwerk: RDAP + DoHNeu
Generator für Abuse-Meldungen
Läuft lokalNeu
Das Tool selbst ist auf Englisch; auf dieser Seite wird es in Ihrer Sprache erklärt.
Generator für Abuse-Meldungen verwenden
Was es bewirkt
Geben Sie URLs, IP-Adressen, Zeitangaben und Belege einer Phishing- oder Betrugsseite ein und erhalten Sie eine versandfertige Abuse-E-Mail an deren Registrar, Hosting-Provider oder CDN. Datei-Hashes werden in Ihrem Browser berechnet, und nichts wird irgendwohin gesendet.
Es läuft vollständig in Ihrem Browser: Es werden keine Ihrer Eingaben hochgeladen.
So verwenden Sie Generator für Abuse-Meldungen
- Empfängertyp und Angriff wählen. Wählen Sie unter Report to (Melden an) Registrar, Hosting provider oder CDN / reverse proxy. Wählen Sie unter Attack type (Angriffsart) die passendste von sechs Optionen, etwa Phishing oder Crypto wallet drainer.
- Eingeben, was Sie gesehen haben. Fügen Sie die URLs ein, eine pro Zeile; entschärfte Formen wie hxxps:// und [.] werden wieder in echte URLs umgewandelt. Lassen Sie Domain leer, um die registrierbare Domain der ersten URL zu verwenden, und ergänzen Sie IP-Adressen, wenn Sie sie kennen.
- Zeiten festlegen. Füllen Sie First seen und Last seen (zuerst und zuletzt gesehen) aus; die Angaben werden als UTC gelesen und unter jedem Feld im ISO-Format angezeigt. Now setzt Last seen auf die aktuelle Zeit.
- Belege hinzufügen. Fügen Sie Hashes ein, oder ziehen Sie Dateien hinein, um deren SHA-256 in Ihrem Browser zu erhalten. Ergänzen Sie Scan-Links und eine kurze Beschreibung dessen, was die Seite verlangt.
- Erstellen und korrigieren. Drücken Sie Generate report (Meldung erstellen). Rote Punkte unter Fix before sending blockieren die Meldung; gelbe Check-Punkte sind Hinweise. Nach der ersten Meldung wird der Text bei jeder Änderung aktualisiert.
- Absenden. Kopieren Sie Betreff und Text, öffnen Sie beides in Ihrem Mailprogramm, oder laden Sie .txt oder .json herunter. Bei Cloudflare fügen Sie den Text in dessen Abuse-Formular ein.
Beispiel
Wallet-Drainer auf einer Lookalike-Domain
hxxps://connect.wallet-verify[.]example/claimFind the registrar's abuse address with Abuse Contact Lookup. Section 3.18 of the RAA binds ICANN-accredited registrars of gTLDs (.com, .net, .xyz and the other generic TLDs); for country-code domains the report cites the registry's policy instead.
Subject
Abuse report: crypto wallet drainer domain wallet-verify[.]example (impersonating Example Wallet)
Body
Hello abuse team,
I am reporting the domain name wallet-verify.example, registered through your company. It is used for a crypto wallet drainer: a fake site that asks visitors to connect a wallet and sign transactions that send their funds to the attacker, impersonating Example Wallet.
Details
Attack type: Crypto wallet drainer
Brand: Example Wallet
Domain: wallet-verify.example
URLs: https://connect.wallet-verify.example/claim
IP addresses: 192.0.2.10
First seen: 2026-10-19T08:00:00Z (UTC)
Last seen: 2026-10-20T09:30:00Z (UTC)
Evidence
https://urlscan.io/result/00000000-0000-4000-8000-000000000000/
Description
The page copies the Example Wallet site and asks visitors to connect a wallet and sign a token approval for all their assets.
Request
Section 3.18 of the ICANN Registrar Accreditation Agreement requires accredited registrars to investigate abuse reports and, when there is actionable evidence that a domain name is used for DNS abuse such as phishing or malware, to take prompt mitigation action. Please suspend this domain name (for example with the clientHold status) so that it stops resolving, and lock it against transfer while you investigate.
Please confirm that
…Eine Registrar-Meldung zu wallet-verify.example: Der Betreff enthält die entschärfte Domain, der Text die echte URL, die IP 192.0.2.10, erstes und letztes Auftreten in UTC, einen urlscan.io-Link und eine Bitte um Sperrung unter Berufung auf Abschnitt 3.18 des ICANN RAA.
Was dabei geprüft wird
| Signal | Was das bedeutet |
|---|---|
| Report to | Registrar bittet um Sperrung (zum Beispiel clientHold) und eine Transfersperre. Hosting provider bittet, die Inhalte zu entfernen und Logs aufzubewahren. CDN bittet um Nennung des Ursprungshosts, um Weiterleitung und um eine Warnseite. |
| Attack type | Meldungen zu Phishing, Drainern und Malware an einen gTLD-Registrar berufen sich auf DNS-Missbrauch nach RAA-Abschnitt 3.18 und bitten um umgehende Abhilfe. Bei gefälschten Investments, Tech-Support- und anderem Betrug heißt es im Text nur, dass Registrare ermitteln und angemessen reagieren müssen. |
| Aus den URLs übernommene Domain | Die registrierbare Domain der ersten URL mit einem Hostnamen, ermittelt mit der Public Suffix List; aus connect.wallet-verify.example wird so wallet-verify.example. URLs mit einer bloßen IP-Adresse ergeben keine Domain. |
| Fix before sending | Zum Beispiel URLs ohne http://, https:// oder ftp://, ungültige IPs oder Hashes, fehlerhafte Datumsangaben, Last seen vor First seen, ungültige E-Mail-Adressen oder Beleglinks, die keine Weblinks sind. |
| Check-Warnungen | Eine länderspezifische TLD (das RAA gilt nicht), eine Domain auf einer gemeinsam genutzten Plattform (Hosting-Vorlage verwenden), ein Datum in der Zukunft, eine Registrar-Meldung ohne Domain oder noch keine Belege. |
| Einstellung zum Entschärfen | Standardmäßig nur der Betreff, damit Mailfilter Ihre Meldung nicht als Phishing einstufen, die Abuse-Abteilung aber trotzdem echte Links erhält. Sie können auch die Indikatoren im Text entschärfen oder gar nichts. |
| Beleg-Hashes | MD5, SHA-1, SHA-256 oder SHA-512 in Hex, einer pro Zeile, optional mit Dateinamen. Abgelegte Dateien bis jeweils 50 MB werden mit SHA-256 gehasht und nie hochgeladen. |
| Langer mailto-Link | Ist der Mail-Link länger als 2.000 Zeichen, warnt ein Hinweis, dass manche Mailprogramme ihn abschneiden. Verwenden Sie dann stattdessen Copy. |
Weitere Beispiele
Hosting-Meldung für eine Seite auf einer bloßen IP
Report to: Hosting provider · Attack: Phishing · URL: hxxp://198.51.100.23/secure/login.php · IP: 198.51.100.23 · Brand: Example Bank · First seen: 2026-10-21 14:05Betreff: Abuse report: phishing content at hxxp://198[.]51[.]100[.]23/secure/login[.]php on 198[.]51[.]100[.]23 (impersonating Example Bank). Der Text nennt die echte URL, die IP und First seen 2026-10-21T14:05:00Z (UTC) und bittet, die Inhalte zu entfernen und Logs aufzubewahren. Ein Check-Feld weist darauf hin, dass noch keine Belege hinzugefügt wurden.
CDN-Meldung für ein gefälschtes Update
Report to: CDN / reverse proxy · Attack: Malware delivery · URL: https://update.example.org/chrome-update.exe · Description: fake browser updateBetreff: Abuse report: malware delivery site example[.]org served through your network. Der Text bittet den Anbieter, den Hosting-Provider zu nennen, die Meldung weiterzuleiten und eine Warnseite anzuzeigen und Ihre Kontaktdaten nicht weiterzugeben.
Eingabe, die korrigiert werden muss
Report to: Registrar · URL: login.example.net/verify · First seen: 2026-10-21 10:00 · Last seen: 2026-10-20 10:00 · Hash: 12345 kit.zipKeine Meldung. Fix before sending listet auf: Not a URL (sie muss mit http://, https:// oder ftp:// beginnen), Not a hash und Last seen is earlier than first seen. Ein Check-Feld ergänzt: No evidence yet.
Häufig gestellte Fragen
Was verlangen die drei Vorlagen?
Die Registrar-Vorlage bittet um Sperrung der Domain (zum Beispiel clientHold) und eine Transfersperre und beruft sich auf Abschnitt 3.18 des ICANN Registrar Accreditation Agreement für generische TLDs. Die Hosting-Vorlage bittet um Entfernung der Inhalte und Sicherung der Logs, und die CDN-Vorlage bittet den Anbieter, den Ursprungshost zu nennen, die Meldung weiterzuleiten und eine Phishing-Warnung anzuzeigen.
Prüft der Generator, ob die Website bösartig ist?
Nein. Er formatiert Ihre Eingaben und prüft nur die Form: die Syntax von URL, IP-Adresse, Hash und Datum, ob das letzte Auftreten nach dem ersten liegt und ob bei Registrar-Meldungen eine Domain angegeben ist. Ob die Belege ausreichen, entscheiden Sie, und der Verweis auf das RAA gilt nur für ICANN-akkreditierte Registrare generischer TLDs.
Werden die Meldung oder meine Kontaktdaten irgendwohin gesendet?
Nein. Die Meldung wird in Ihrem Browser erstellt, und abgelegte Dateien werden lokal gehasht, ohne hochgeladen zu werden. Sie verlässt die Seite erst, wenn Sie sie kopieren, in Ihrem Mailprogramm öffnen oder herunterladen.
Soll ich an den Registrar, den Host oder das CDN melden?
Ein Registrar kann verhindern, dass die Domain aufgelöst wird; ein Host kann die Seite entfernen; ein CDN kann den tatsächlichen Host offenlegen und eine Warnung anzeigen. Üblich ist, getrennte Meldungen an den Registrar und an das Netz hinter der IP zu senden. Abuse Contact Lookup findet beide Adressen.
Wie melde ich eine Website hinter Cloudflare?
Wählen Sie die CDN-Vorlage. Cloudflare nimmt Abuse-Meldungen über sein Formular unter abuse.cloudflare.com entgegen, Kategorie Phishing & Malware; fügen Sie den erstellten Text dort ein, statt eine E-Mail zu senden.
Was steht in der heruntergeladenen JSON-Datei?
Der Zeitpunkt der Erstellung, die Vorlage, Angriffsart, Marke, Domain, URLs, IPs, erstes und letztes Auftreten, Beleglinks und Hashes, Beschreibung, Empfänger, Ihr Name und Ihre E-Mail-Adresse, falls angegeben, sowie Betreff und Text. Damit lässt sich gut nachverfolgen, was Sie wann gemeldet haben.