WHOIS oder RDAP: So findest du heraus, wem eine IP oder Domain gehört

Geschrieben von Aldo · Threat Hunter im Blue Team
Zuletzt aktualisiert am 9. November 2026 · 3 Min. Lesezeit

Wann immer du wissen willst, wer für eine IP-Adresse oder Domain verantwortlich ist, landest du bei einem Register. Vierzig Jahre lang hieß der Weg dorthin WHOIS. Heute heißt er RDAP. Es lohnt sich, beide zu kennen, denn dir werden beide begegnen.

Der Unterschied an einem Beispiel

Hier ein Teil dessen, was der RDAP-Dienst von ARIN, dem Register für Nordamerika, am 9. November 2026 für 8.8.8.8 geliefert hat (auf die nützlichen Felder gekürzt):

{
  "objectClassName": "ip network",
  "handle": "NET-8-8-8-0-2",
  "startAddress": "8.8.8.0",
  "endAddress": "8.8.8.255",
  "name": "GOGL",
  "type": "DIRECT ALLOCATION",
  "parentHandle": "NET-8-0-0-0-0",
  "events": [
    { "eventAction": "registration", "eventDate": "2023-12-28T17:24:33-05:00" },
    { "eventAction": "last changed", "eventDate": "2023-12-28T17:24:56-05:00" }
  ],
  "entities": [
    { "handle": "GOGL", "roles": ["registrant"], "fn": "Google LLC",
      "entities": [
        { "roles": ["abuse"], "email": "network-abuse@google.com" },
        { "roles": ["technical", "administrative"], "email": "arin-contact@google.com" }
      ] }
  ],
  "port43": "whois.arin.net"
}

(In der echten Antwort stecken Namen und E-Mails in einem Format namens jCard; wir haben sie zur besseren Lesbarkeit flach gemacht.) Jedes Feld bedeutet bei jedem Register dasselbe. Der Block reicht von 8.8.8.0 bis 8.8.8.255; es ist eine direkte Zuteilung namens GOGL, herausgeschnitten aus einem größeren übergeordneten Block; der Registrant ist Google LLC; und der Abuse-Kontakt ist eine eigene Rolle. Die letzte Zeile, port43, nennt den alten WHOIS-Server für dieselben Daten.

Ein whois 8.8.8.8 liefert ähnliche Informationen als Textzeilen, im Format von ARIN. Fragst du RIPE NCC oder APNIC nach einer ihrer Adressen, ändern sich Feldnamen, Reihenfolge und Wortlaut. Für Menschen ist das in Ordnung, für Programme eine Qual. Genau das löst RDAP.

RDAP selbst abfragen

Du musst nicht wissen, welches Register eine Adresse hält. Der Community-Dienst rdap.org leitet jede Anfrage an das richtige weiter (für 8.8.8.8 landeten wir bei rdap.arin.net):

curl -sL https://rdap.org/ip/8.8.8.8
curl -sL https://rdap.org/autnum/15169
curl -sL https://rdap.org/domain/example.com

Die Pfade gehören zum Standard: /ip/ für Adressen, /autnum/ für Netznummern (ASNs), /domain/ für Domainnamen. Häng | jq '.name, .startAddress, .endAddress' an, um Felder herauszuziehen, wenn du jq installiert hast. Unter Windows macht Invoke-RestMethod https://rdap.org/ip/8.8.8.8 in PowerShell aus dem JSON ein Objekt, das du durchsuchen kannst.

Ein Browser geht auch: Öffne https://rdap.org/ip/8.8.8.8, und die meisten Browser zeigen das JSON lesbar an.

WHOIS abfragen

Unter macOS und den meisten Linux-Systemen ist whois ein Befehl:

whois 8.8.8.8
whois example.com

Windows bringt keinen mit; nutz die Webseiten der Register oder RDAP. Rechne damit, dass WHOIS-Antworten für Domains mit der Zeit weiter schrumpfen: Für die generischen Top-Level-Domains (.com, .net, .org und ähnliche) hat die ICANN RDAP zur offiziellen Quelle gemacht und lässt WHOIS dafür auslaufen. Länderdomains wie .de folgen den Regeln ihrer eigenen Register.

Was dir jedes verrät

Du fragst ab	Du bekommst	Du bekommst meist nicht
Die IP-Adresse eines Unternehmens oder einer Cloud	Die Organisation, den Block, Abuse- und Technik-Kontakte, Daten	Welcher Kunde einer Cloud sie benutzt hat
Die IP-Adresse eines Festnetz- oder Mobilanschlusses	Den Provider und den großen Block, zu dem sie gehört	Name oder Anschrift des Kunden: Provider registrieren Blöcke, keine Haushalte
Einen Domainnamen	Den Registrar, wichtige Daten (angelegt, läuft ab), Nameserver, Status	Die persönlichen Daten des Inhabers, meist aus Datenschutzgründen ausgeblendet
Eine Netznummer (ASN)	Die Organisation, die das Netz betreibt, und ihre Kontakte	Welche Adressen sie heute ankündigt (dafür brauchst du ein Routing-Tool)

Wenn du …

Missbrauch von einer Adresse melden willst: Frag die Adresse ab und schreib an den Kontakt mit der Rolle abuse. Die IP-Abfrage von iplover zeigt ihn direkt an.
herausfinden willst, wer das Netz betreibt, statt wer den Block registriert hat: Frag zusätzlich die ASN ab. Unser Ratgeber zu ASNs zeigt, warum beides auseinandergehen kann.
den Inhaber einer Domain kontaktieren willst: Nutz das Kontaktformular oder die Mail-Weiterleitung, die der Registrar in seiner RDAP- oder WHOIS-Antwort anbietet, denn die eigene Adresse des Inhabers ist meist verborgen.
prüfen willst, wann eine Domain abläuft oder ob sie gesperrt ist: Daten und Statuscodes sind immer öffentlich; der Domain-Report von iplover liest sie für dich aus.

Was keins von beiden verrät

Registrierungsdaten beschreiben, wer laut Register für einen Adressblock oder eine Domain verantwortlich ist. Sie verfolgen keine Geräte, werden nicht jedes Mal aktualisiert, wenn ein Provider eine Adresse einem neuen Kunden gibt, und enthalten bei einem Privatanschluss nie eine Wohnadresse. Wenn eine Seite behauptet, die Person hinter einer IP zu finden, rät sie anhand derselben öffentlichen Daten, die du selbst lesen kannst.

Quellen

Offizielle Dokumente, mit denen wir die Fakten in diesem Ratgeber geprüft haben.