nic.at informiert derzeit alle Inhaber von .at-Domains per E-Mail über neue Geschäftsbedingungen. Der Anlass: Am 1. Oktober 2026 tritt das Netz- und Informationssystemsicherheitsgesetz (NISG 2026) in Kraft, Österreichs Umsetzung der EU-Richtlinie NIS2. Für Domain-Inhaber bedeutet das eine Telefonnummer-Pflicht, verbindliche Datenprüfungen und ein Widerrufsrisiko, wenn du bei der Prüfung nicht mitwirkst. Das größte Risiko daran ist banal: eine veraltete E-Mail-Adresse im Domain-Datensatz.
Die NIS2-Richtlinie stammt aus dem Jahr 2022 und hätte bis 17. Oktober 2024 in nationales Recht übersetzt sein müssen. Österreich hat sich Zeit gelassen: Der Nationalrat beschloss das NISG 2026 am 12. Dezember 2025, kundgemacht wurde es am 23. Dezember 2025 als BGBl I Nr. 94/2025, wirksam wird es am 1. Oktober 2026. Dass jede .at-Domain betroffen ist, liegt an Artikel 28 der Richtlinie: Er verpflichtet Registrierungsstellen wie nic.at und deren Registrare, für vollständige und korrekte Domain-Inhaberdaten zu sorgen. Prüfen lässt sich das nur mit Mitwirkung der Inhaber, also mit deiner. Davon getrennt ist die Frage, ob dein Unternehmen selbst unter die Sicherheitspflichten des Gesetzes fällt; die treffen rund 4.000 Unternehmen ab mittlerer Größe aus 18 Sektoren. Hier geht es um den Teil, der jeden mit einer .at-Domain betrifft.
Was sich für .at-Domains ab 1. Oktober 2026 ändert
Die neuen nic.at-AGB treten zeitgleich mit dem Gesetz in Kraft und bringen im Kern fünf Neuerungen:
Telefonnummer wird Pflicht. Bei Neuregistrierungen ist sie ab 1. Oktober 2026 ein Pflichtfeld; wer bei bestehenden Domains noch keine hinterlegt hat, muss sie ab diesem Datum ergänzen.
Mitwirkungspflicht bei der Datenprüfung. Fordert dich dein Registrar, also der Provider, über den deine Domain läuft, oder nic.at zur Verifizierung auf, musst du belegen, dass die hinterlegten Daten stimmen, oder sie korrigieren und die neuen Daten nachweisen.
Widerruf als Sanktion. Wirkst du nicht mit, kann nic.at den Domainvertrag auflösen. Das gilt selbst dann, wenn deine Daten eigentlich korrekt wären.
Freischaltung unter Vorbehalt. nic.at behält sich laut Aussendung vor, eine Domain erst zu delegieren, sie also im Netz aktiv zu schalten, wenn die Inhaberdaten geprüft sind.
Mehr Öffentlichkeit im Whois. Bei juristischen Personen stehen ab 1. Oktober 2026 neben Domain und Namen verpflichtend auch Telefonnummer und E-Mail-Adresse in der öffentlichen Datenbank.
Die geänderten AGB stehen bereits auf nic.at, inklusive einer Fassung mit markierten Änderungen. Aktiv zustimmen musst du nicht, wer nichts tut, akzeptiert. Genauso wichtig ist, was am 1. Oktober nicht passiert: Es werden nicht alle Inhaber flächendeckend zur Prüfung aufgefordert, sondern nur dort, wo bei der Überprüfung Unstimmigkeiten auffallen. Solange keine Aufforderung kommt, musst du auch nichts einsenden.
Von der ersten Aufforderung bis zur Abschaltung sind es drei Wochen
Kommt eine Aufforderung und bleibt sie liegen, geht es schnell. Nach der ersten Aufforderung hast du 14 Tage Zeit für Nachweise oder Korrekturen, danach folgt eine letzte Nachfrist von sieben Tagen. Liegt nach insgesamt 21 Tagen keine erfolgreiche Verifizierung vor, deaktiviert nic.at die Domain im DNS (Status „serverHold“): Der Vertrag besteht dann noch, aber Website und E-Mail-Adressen unter der Domain sind offline. Ab diesem Punkt bleiben 30 Tage, um die Daten doch noch zu verifizieren, sonst wird die Domain widerrufen.
Drei Wochen sind kurz. Vor allem, wenn die Aufforderung niemanden erreicht. In Website-Projekten sehen wir regelmäßig Domain-Datensätze, die auf die Agentur von damals zeigen, auf ein ausgeschiedenes Teammitglied oder auf ein Postfach, das seit Jahren niemand öffnet.
Typisiertes Beispiel: Ein Handelsbetrieb ließ seine Domain 2013 vom damaligen Webdesigner registrieren, im Datensatz steht bis heute dessen Büro-Mail. Geht die Aufforderung dorthin, läuft die Frist ohne den Betrieb. Rechtlich hilft das nicht weiter, denn Mitteilungen von nic.at gelten schon nach den bisherigen AGB als zugestellt, wenn sie an die zuletzt bekannt gegebene Kontaktadresse gesendet wurden.
Verpflichtet, korrekte Daten anzugeben und aktuell zu halten, waren Inhaber übrigens immer schon; auch das steht seit jeher in den nic.at-AGB. Neu ist, dass die Registrierungsstelle die Richtigkeit aktiv sicherstellen muss und ein scharfes Druckmittel hat. Aus einer Karteileiche wird damit ein Geschäftsrisiko.
Whois zeigt künftig mehr: Kontaktdaten von Unternehmen werden öffentlich
Seit der DSGVO im Jahr 2018 zeigt die Whois-Datenbank von nic.at die Daten von Privatpersonen nicht mehr öffentlich an; daran ändert sich nichts. Bei juristischen Personen, also etwa einer GmbH oder einem Verein, konnten Telefonnummer und E-Mail-Adresse bisher ausgeblendet werden. Ab 1. Oktober 2026 müssen sie veröffentlicht werden.
Praktisch heißt das: Was du hinterlegst, kann jeder abrufen, auch Adresshändler und Kaltakquise. Hinterlege deshalb Rollenkontakte, eine zentrale Firmennummer und ein Funktionspostfach wie office@, keine Durchwahlen und keine persönlichen Adressen. Das empfiehlt nic.at selbst, und es ist auch datenschutzrechtlich die sauberere Wahl, weil persönliche Kontaktdaten einzelner Personen schnell wieder personenbezogen sind, selbst im Firmenkontext. Die Faxnummer verschwindet dabei ersatzlos aus den Datensätzen. Vermissen wird sie niemand.
Echte Aufforderung oder Phishing?
Sobald Datenprüfungen zum Normalfall werden, werden Kriminelle sie nachbauen. Die Verteidigung gegen Phishing ist ein fixer Prüfweg: Bestätige oder ändere Daten nie über Links aus einer E-Mail, sondern melde dich direkt im Kundenportal deines Registrars an oder frag deine Domain über die Whois-Suche von nic.at ab.
Hilfreich ist die offizielle Reihenfolge: Bei Registrar-Domains meldet sich zuerst der Registrar; erst wenn nach 14 Tagen keine Verifizierung vorliegt, kontaktiert nic.at zusätzlich direkt. Verifizierungs-Mails von nic.at kommen dabei immer von der Absender-Domain nic.at. Im Zweifel ruf deinen Registrar über die Nummer auf dessen Website an, nicht über eine Nummer aus der Mail. Und ein Warnsignal ist verlässlich: Wenn eine angebliche Datenprüfung Zahlungsdaten verlangt, ist es keine.
Berechtigte Pflicht oder Bürokratie auf deine Kosten?
Der stärkste Einwand lautet: Drei Wochen bis zur Abschaltung sind hart für ein Datenproblem, das oft nur aus einem Büroumzug besteht. Wer nichts falsch gemacht hat, trägt Aufwand und Risiko, damit eine Registrierungsstelle ihre gesetzlichen Pflichten erfüllt. Das stimmt, und wir finden die Taktung streng. Zwei Dinge relativieren sie: Geprüft wird nur bei Unstimmigkeiten, nicht flächendeckend, und selbst nach der Abschaltung bleibt ein 30-Tage-Fenster zur Rettung. Der Zweck dahinter ist legitim: Hinter jeder Domain soll jemand erreichbar sein, wenn es um Sicherheitsvorfälle, Missbrauch oder Rechtsdurchsetzung geht. Genau das will Artikel 28 der NIS2-Richtlinie.
Ehrlich benennen muss man auch das Widerspruchsrecht. Verbraucher können den neuen AGB laut Aussendung binnen eines Monats widersprechen, nur kündigt nic.at für diesen Fall den Widerruf der Domain an, weil die Registry sonst gegen das Gesetz verstoßen würde. Ein Wahlrecht, dessen einzige Alternative der Verlust der Domain ist, ist keines. Die Ursache dafür liegt allerdings im Gesetz, nicht in Willkür der Registrierungsstelle. Wer seine .at-Domain behalten will, stimmt zu und bringt seine Daten in Ordnung.
Was das für dich heißt
Warte nicht auf die Aufforderung. Fünf Dinge kannst du diese Woche erledigen:
- Inhaberschaft klären. Frag deine Domain über die Whois-Suche von nic.at ab und prüfe im Kundenportal deines Registrars, wer als Inhaber mit welchen Kontaktdaten eingetragen ist. Dieselbe Sorgfalt lohnt bei allen Stammdaten, wie der Ratgeber zu Branchenverzeichnissen in Österreich zeigt.
- E-Mail-Adresse testen. Wird das hinterlegte Postfach tatsächlich gelesen? Wenn nicht, ändern.
- Telefonnummer ergänzen. Bei Unternehmen eine zentrale Nummer, kein privates Handy, siehe oben.
- Fremde Inhaberschaft zurückholen. Läuft die Domain noch auf eine frühere Agentur oder ein Ex-Teammitglied, übertrag die Inhaberschaft auf dein Unternehmen. Dein Registrar kennt das Verfahren.
- Das Team briefen. Ab Herbst 2026 sind Verifizierungs-Mails zu erwarten. Ernst nehmen, aber über den fixen Prüfweg von oben verifizieren statt in der Mail zu klicken.
Und wenn du rund um den Oktober einen Website-Launch mit neuer Domain planst: Registriere sie mit Puffer. nic.at kann die Freischaltung an die Datenprüfung knüpfen.
Der nächste Schritt
Du weißt nicht, wer bei deinen Domains eingetragen ist, oder willst Inhaberschaft und Kontakte im Zuge eines Website-Projekts neu ordnen? Bring das Thema ins Erstgespräch mit, wir gehen es gemeinsam durch.
Hinweis: Dieser Beitrag ist allgemeine Information zu NISG 2026, nic.at-AGB und Datenschutz, keine Rechtsberatung. Was das für deinen konkreten Fall bedeutet, klärst du mit deinem Registrar beziehungsweise mit rechtlicher Beratung.
