Die oben abgebildete netcup Warn-E-Mail habe ich hingegen nicht bekommen, sollte diese nicht an alle Kunde herausgegangen sein?
Offenbar nur an Abonnenten des Newsletters:
Bud Wenn Du so weitermachst, überholst Du mich 2028. Das ist inakzeptabel! 
Das muss früher passieren! Also ran an die Tasten, Du lahme Spencer-Ente. 
Newsletter von netcup…
Soll ich jetzt lachen oder weinen, was mein Spamfilter nach wie vor dazu sagt? 
Web: <a href="https://mautic.netcup.news/r/[…]" style="text-decoration: underline; color: #00C8BE; font-weight: 500">https://www.netcup.de</a></p>Wie komme ich in meinen Account, wenn mein Smartphone weg ist ?
Backup des "Secrets" haben und dann mit einem anderen Gerät verwenden? Zur Not gibt es ja auch Apps für den PC.
Einfach ein manuelles Backup indem man das Secret (bzw. den QR-Code) beim Aktivieren händisch aufschreibt oder ausdruckt, und an einem sicheren Ort verwahrt. Einige 2FA-Apps haben auch eine Option für den (verschlüsselten) Export aller hinterlegten Zugänge.
Falls alles fehl schlägt, bleibt Dir nur noch die Deaktivierung von 2FA über den Support. Dafür musst Du aber afaik auf einen Brief auf dem Postweg warten.
Virinum Und was hätte 2FA in diesem konkreten Fall gebracht?
Wenn der Angreifer den Login direkt im Hintergrund ausprobiert, fragt er diesen Code halt auch noch ab. Die gültige CCP-Session nutzt er dann einfach in den nächsten Minuten (automatisiert) aus und ändert z.B. Zugangsdaten von Direktlogins ohne 2FA ab. (Plesk, FTP, Mailaccounts, …)
Eine andere Möglichkeit hat man ja nicht, oder?
Doch, aber die ist aufwändiger:
Für Letzteres gibt es z.B. hier ein Beispiel:
Und die nächste erste Mail an eine info-Adresse (Catchall): Domain liegt bei der Konkurrenz, A/AAAA Records zeigen auf einen RS bei netcup.
Lustigerweise taucht der Phishinglink in meinem Ticketsystem (osTicket) gar nicht auf, nur die nicht existierende Domain customercontrolpanel-netcup.eu. 
EDIT: Kein Wunder, die versenden den Phishinglink ausschließlich in der HTML-Variante. In der Textversion ist er gar nicht enthalten…
Bei mir wollten die bei Bestellung von einer Storage-Box nichts haben...
Bei mir war's glaube ich ein Account für die Cloud. Wirklich kostenpflichtig bestellt habe ich erst zwei Jahre später, nämlich eine Storage Box.
Und überhaupt finde ich Plesk nicht so prickelnd.
Willkommen bei den Guten
Nein, ernsthaft: Früher war das meiner Meinung nach in Plesk auch besser gelöst. Diese Auslagerung von Teilen ins CCP dürfte eher aus der Not heraus entstanden sein, weil manche von netcup gewünschten Features bei Plesk nicht mehr wie gewohnt umsetzbar waren.
Aus Adminsicht mache ich jedenfalls einen großen Bogen um Plesk. Als User kann ich noch halbwegs damit leben…
Ich bin mir jetzt nicht sicher, aber im Gegensatz zu netcup musste ich mich dort glaube ich nie verifizieren...
Das rote H wollte vor Freischaltung des Accounts eine Ausweiskopie von mir haben. Ist aber auch schon einige Jahre her.
Oder sind das alles gekaperte IP´s?!
Im Zweifel würde ich immer davon ausgehen.
Ich habe in den letzten Jahren nämlich (leider!
Korrektur: Ich hatte bereits am 12.04. eine erhalten, was zu diesen Berichten nebenan passt. Die landete aber in einem speziellen Junk-Ordner, den ich nur alle paar Wochen mal ansehe. 
Kam über einen Yandex-Mailserver rein und wurde an eine Mailadresse verschickt, die ausschließlich bei meiner Mastodon-Instanz als Kontakt-Adresse angegeben ist. (Die Instanz läuft auf einem netcup VPS.)
Im Hinterkopf jetzt natürlich doch bissl Bammel, dass ich mir nun durch den Linkbesuch irgendwas eingefangen habe. Hat da irgendjemand welche Erfahrungen was da wirklich passiert wenn man mal draufgeklickt hat?
Wenn der Browser (sowie das Betriebssystem) aktuell sind und (so lese ich das heraus) sogar JavaScript bei unbekannten Domains blockiert wird, dürfte das Risiko eher gegen Null tendieren. Im Normalfall wollen die unbemerkt Zugangsdaten mit dem Formular abgreifen und nicht schon vorher alle Virenscanner Alarm schlagen lassen.
Alle Angaben ohne Gewähr, ein Restrisiko lässt sich nie ganz ausschließen. Aber das gilt dann für jede geöffnete Seite im Browser.
Eine Weiterleitung per htaccess ist aber nicht möglich, da ich im Webhostingcontrolpanel keinen separaten Webspace für die Subdomain www einrichten kann.
Die WWW-Variante zeigt auf den gleichen Dokumentenstamm, warum sollte dort mit einer .htaccess-Datei keine Weiterleitung möglich sein? Mit mod_rewrite geht das ganz leicht, Stichwort RewriteCond und RewriteRule. Dazu gibt es zig Beispiele im Internet und sogar im Forum.
Bedenke aber, dass Du manuelle Änderungen an der .htaccess-Datei nach einem Nextcloud-Update erneut hinzufügen musst!
Aber das war davor immer bei 100 Nachrichten pro Stunde.
Ok, jetzt können wir es Dir ja langsam sagen: Das erhöht sich automatisch anhand der Beitragszahlen im Forum. 
Frage nur woher haben die die Domain Namen mit den Email Adressen? Gab es da ein Lag bei Netcup?
Ich zitiere mich einmal selbst…
Es gibt im Internet (gegen Geld) Listen von Domainnamen, oder man baut sich selbst einen Bot zum Durchsuchen des Webs, ähnlich einer Suchmaschine. Domainnamen sind ja auch nicht wirklich privat und z.B. auch durch Certificate Transparency Logs schnell bekannt.
Impressum, Datenschutzerklärungen, Kontaktseiten, … – irgendwo steht sicher eine.
Oder stumpfes ausprobieren von info@, support@, contact@, usw.
EDIT: Oder z.B. auch gehackte Mailaccounts bei Personen, mit denen man Kontakt hat. Wenn die Domain der E-Mail-Adresse dann im DNS auf netcup zeigt…
Ergänzend, das was nexus schreibt:
Wahrscheinlich wurde vorher geprüft, ob die jeweilige Domain einen A-Record zu einer netcup-IP hat.
Aber kann ich die automatische www-Subdomain auch löschen?
Wozu? Dann gibt es auch keine Weiterleitung mehr! 
Sprich: Was willst Du erreichen? HTTP Error 4xx? Das schafft man bei Bedarf auch anders (Stichwort: .htaccess Datei)
Oder soll die Subdomain erst gar nicht über DNS auflösen? Auch das könnte man mit einem Trick erreichen.
Oder habe ich etwas nicht beachtet?
Wenn ein Browser jetzt https://meine-domain.de/ aufrufen würde, was manche Browser im HTTPS-Only-Modus machen, wird es nicht klappen.
Der Aufruf von http://meine-domain.de/ funktioniert natürlich. Wenn Dir das für die Aliasdomain reicht, ist alles gut.
Kann man das mit dem Hosting auch machen, oder wird das benötigt?
Wenn Du die deaktivierst, funktionieren z.B. Cronjobs nicht mehr!
Bessere Lösung: In einen eigenen (leeren) Dokumentenstamm packen.
Filtern diese Angreifer ihre Datensätze anhand der IP-Adressen eigentlich explizit nach Webhostings? Oder hat das auch schon mal jemand bekommen, der nur VPS/RS bei netcup hat? Ich habe in den letzten Jahren nämlich (leider! ) noch nie so eine E-Mail bekommen.
an den Domain-Namen und
Es gibt im Internet (gegen Geld) Listen von Domainnamen, oder man baut sich selbst einen Bot zum Durchsuchen des Webs, ähnlich einer Suchmaschine. Domainnamen sind ja auch nicht wirklich privat und z.B. auch durch Certificate Transparency Logs schnell bekannt.
an die E-Mail-Adresse gelangt?
Impressum, Datenschutzerklärungen, Kontaktseiten, … – irgendwo steht sicher eine.
Oder stumpfes ausprobieren von info@, support@, contact@, usw. 
EDIT: Oder z.B. auch gehackte Mailaccounts bei Personen, mit denen man Kontakt hat. Wenn die Domain der E-Mail-Adresse dann im DNS auf netcup zeigt…
Wer denkt sich sowas aus?
Plesk. Schätzungsweise vor mehr als einem Jahrzehnt, als HTTPS-Only mangels Verbreitung nicht einmal ein Traum war.
Nur zur Klarstellung für alle Mitleser: Das Ziel der Weiterleitung kann natürlich trotzdem ein HTTPS-Link sein! Darum geht's nicht.
Bitte trotzdem für beide Domains ein eigenes SSL Zertifikat (ohne Wildcard!) einrichten.
Was beim Hosting-Typ "Weiterleitung" aber leider nicht geht: Die Alias-Domain wird somit über HTTPS aufgerufen nicht (korrekt) weiterleiten, nur über HTTP.
Will man für die Alias-Domain ebenfalls HTTPS, muss man die Weiterleitung über eine .htaccess-Datei selbst vornehmen.
