​Am 16. April 2025 erlebte Zoom einen erheblichen globalen Ausfall, der die Videokonferenzdienste und den Zugang zur Website für Tausende von Nutzern sowie die Firmen-E-Mail aller Mitarbeiter beeinträchtigte. Es wurde schnell als Problem des Domainnamen-Registrierungsstatus identifiziert. Obwohl es sich um einen kritischen Namen für Zoom handelt, wurde der Status irgendwie auf serverHold geändert. Die Störung begann gegen 14:40 Uhr EDT und dauerte fast zwei Stunden, in denen Nutzer auf „Unable to Connect“-Fehler stießen und sich nicht anmelden oder auf die Domain zoom.us zugreifen konnten.

Domainname: zoom.us

Registry Domain ID: D1813391-US

Registrar WHOIS Server: whois.markmonitor.com

Registrar URL: www.markmonitor.com

Aktualisierungsdatum: 2025-04-16T18:25:44Z

Erstellungsdatum: 2002-04-24T15:03:39Z

Ablaufdatum der Registrierung: 2027-04-23T23:59:59Z

Registrar: MarkMonitor, Inc.

Registrar IANA ID: 292

Registrar Abuse Contact E-Mail: registry.admin@markmonitor.com

Registrar Abuse Contact Telefon: +1.2083895740

Domainstatus: serverHold https://icann.org/epp#serverHold

Während Zoom das Problem behob und die Dienste bis etwa 17 Uhr ET wiederherstellte, verdeutlichte der Vorfall die Schwachstellen im Zusammenhang mit Domain- und DNS-Konfigurationen. Ein Reddit-Nutzer vermutete, dass dieser Status hauptsächlich bei Betrugs- und Rechtsfällen verwendet wird, und dass es ungewöhnlich sei, dass dies bei einem so kritischen Markennamen passiert.

serverHold ist ein Domainstatuscode, der von der Domain-Registry (nicht vom Registrar) gesetzt wird. Wenn eine Domain mit serverHold markiert ist, werden ihre DNS-Informationen nicht in der Root-Zone veröffentlicht, was bedeutet, dass die Domain effektiv aus dem Internet verschwindet. Kein Website-Zugriff, kein E-Mail-Routing, keine DNS-Auflösung – sie funktioniert einfach nicht mehr.

Der serverHold-Status wird typischerweise aus schwerwiegenden administrativen oder policybezogenen Gründen angewendet. Dazu können gehören:

• Verstöße gegen regulatorische Vorgaben
• Nachweise für Missbrauch (z. B. Phishing, Malware)
• Manuelles Eingreifen der Registry aufgrund von Verstößen gegen die Nutzungsbedingungen
• Gerichtsbeschlüsse

Da dieser Status auf Registry-Ebene angewendet wird, kann er nicht allein von Ihrem Registrar behoben werden – Sie müssen sich an dessen Support-Team wenden, um das Problem zu eskalieren.

Man kann Experte für DNS sein und dennoch von katastrophalen Ausfallzeiten betroffen sein, da vieles, was mit dem eigenen Domainnamen geschieht, außerhalb der eigenen Kontrolle liegt. In diesem Fall wurde der Domainstatus der Lieferkette zugeschrieben, die für die Domainnamen-Registrierung und die .us-TLD verantwortlich ist:

„Am 16. April, zwischen 14:25 Uhr ET und 16:12 Uhr ET, war die Domain zoom.us aufgrund einer Serversperre durch GoDaddy Registry nicht verfügbar. Diese Sperre war das Ergebnis eines Kommunikationsfehlers zwischen Zooms Domain-Registrar Markmonitor und GoDaddy Registry, wodurch GoDaddy Registry versehentlich die Domain zoom.us abschaltete.“

Es sind viele Organisationen daran beteiligt, sicherzustellen, dass eine Domain korrekt registriert ist. In diesem Vorfall handelte es sich um ein Problem zwischen MarkMonitor, das Zoom zur Verwaltung seiner Domains nutzt, und GoDaddy, mit dem das US-Handelsministerium einen Vertrag zur Verwaltung der .us-Top-Level-Domain hat.

Der Status der Domain sagt Ihnen, welche Vorgänge damit durchgeführt werden können sowie über den rechtlichen und technischen Zustand.

Es gibt zwei verschiedene Arten von EPP-Statuscodes: Client- und Server-Codes. Client-Statuscodes werden von Registraren gesetzt, Server-Codes von Registries. Wenn ein Server-Statuscode gesetzt ist, ist das ungewöhnlich und kann oft auf einen Streitfall hindeuten.

Eine vollständige Anleitung finden Sie hier, aber hier sind einige der häufigsten Status, die bei generischen Top-Level-Domains (gTLDs) vorkommen.

• ok: Bedeutet, dass keine Transfersperren oder andere Flags aktiviert sind, wodurch die Domain dem Risiko einer Übernahme durch Social Engineering ausgesetzt ist.
• Inactive: Löst nicht auf.
• autoRenewPeriod: Teil des Ablaufzyklus des Domainnamens; bedeutet, dass die Domain abgelaufen ist und sich in einer Karenzzeit befindet.
• pendingTransfer: Die Domain wird von einem Registrar zu einem anderen übertragen.
• redemptionPeriod: Eine weitere Karenzzeit. Die Domain steht kurz vor der Löschung, kann aber noch verlängert werden.
• pendingDelete: Es ist zu spät. Die Domain wird gelöscht und ist bald wieder verfügbar.

• clientHold: Meist ein Zeichen für einen rechtlichen oder Abrechnungsstreit; bedeutet, dass die Nameserver-Delegation der Domain entfernt wurde.
• clientDeleteProhibited: Löschanfragen können nicht bearbeitet werden, bis der Status entfernt wird.
• clientTransferProhibited: Transferanfragen können nicht bearbeitet werden, bis der Status entfernt wird.
• clientUpdateProhibited: Aktualisierungsanfragen können nicht bearbeitet werden, bis der Status entfernt wird.
• clientRenewProhibited: Die Domain kann in ihrem aktuellen Zustand nicht verlängert werden.

Aller Wahrscheinlichkeit nach nicht durch Zoom selbst. Nach derzeitigem Stand scheint das Problem ausschließlich innerhalb der Lieferkette zu liegen. Die .us-TLD selbst wird häufig genutzt und ist zuverlässig, und wie die meisten Unternehmen nutzt Zoom eine angesehene Organisation zur Verwaltung seines Domainnamen-Portfolios.

Es ist wahrscheinlich, dass diese Änderung so schnell geschah, dass kein Domain-Prüftool Zoom über dieses Problem informiert hätte, bevor es die Stimmen von 300 Millionen Nutzern taten.

Dennoch ist es für Unternehmen essenziell, sich nicht darauf zu verlassen, dass ihre Registrare ein aktuelles Inventar ihrer Domainnamen und deren Status führen. Die meisten Organisationen haben Domainnamen bei mehreren Registraren, und oft fehlt Sicherheitsteams eine zentrale Übersicht, die ihnen Auskunft über jeden einzelnen im Besitz befindlichen Domainnamen gibt und darüber, ob dieser korrekt registriert ist oder nicht.

Red Sift ASM bietet kontinuierliche Erkennung und Überwachung der extern zugänglichen Assets einer Organisation, einschließlich Domains und DNS-Konfigurationen. Durch die proaktive Identifizierung von Fehlkonfigurationen und potenziellen Schwachstellen ermöglicht Red Sift ASM Organisationen, Probleme zu beheben, bevor sie zu Ausfällen eskalieren.

Im Fall von Zoom hätte Red Sift ASM Anomalien im Domainregistrierungsstatus erkennen und so eine rechtzeitige Behebung ermöglichen und den Ausfall möglicherweise verhindern können.​

Der Zoom-Ausfall dient als Erinnerung an die Bedeutung eines proaktiven Attack Surface Managements. Die Implementierung von Lösungen wie Red Sift ASM kann Organisationen dabei helfen, die Integrität ihrer digitalen Assets zu wahren und einen unterbrechungsfreien Service für ihre Nutzer zu gewährleisten. Wenn Sie mehr erfahren möchten, fordern Sie noch heute eine Demo an.