Phishing-Domain erkennen: Adressen richtig lesen

Die meisten Phishing-Mails sind nicht wegen ihres Textes gefährlich, sondern wegen einer einzigen Zeile: der Adresse, auf die der Button führt. Wer gelernt hat, eine Phishing-Domain zu erkennen, braucht dafür etwa zehn Sekunden. Der Trick ist, die Adresse nicht von links nach rechts zu lesen, wie wir es gewohnt sind.

Phishing-Domain erkennen: von rechts lesen

Eine Webadresse ist von rechts nach links aufgebaut. Ganz rechts steht die Endung (.de, .com), links daneben der Name, den jemand registriert hat. Erst diese beiden Teile zusammen sind die Domain. Alles, was weiter links steht, sind Subdomains, und die kann der Inhaber der Domain beliebig benennen.

Ein Beispiel mit einer erfundenen Bank, die unter musterbank.de erreichbar ist:

Die dritte Zeile ist der Klassiker. „musterbank.de“ steht vorne und sieht vertraut aus, die tatsächliche Domain ist aber konto-sicher.com. Die letzte Zeile ist seltener, aber gemein: In einer URL wird alles vor einem @ als Benutzername behandelt, der Browser geht zu kontocheck.info.

Die Anzeichen einer Phishing-Domain

Kein einzelnes Merkmal ist ein Beweis. Kommen zwei oder drei zusammen, lass die Finger davon.

• Marke plus Zusatzwort. musterbank-sicherheit.de, paketdienst-zustellung.com. Große Firmen bündeln ihre Dienste meist unter der Hauptdomain.
• Tippfehler und vertauschte Buchstaben. rn statt m, doppelte Buchstaben, fehlende Bindestriche. Mehr dazu im Artikel über Typosquatting.
• Ungewohnte Endung. Deine Bank ist unter .de bekannt, der Link führt auf .info, .top oder .xyz. Die Endung allein macht eine Seite nicht unseriös, der Bruch mit dem Gewohnten ist das Signal.
• Zeichen aus anderen Alphabeten. Ein kyrillisches „а“ sieht aus wie ein lateinisches „a“. Browser zeigen solche Adressen oft als xn--… an. Wie das funktioniert, steht unter Homograph-Angriff.
• Junges Registrierungsdatum. Phishing-Domains werden meist kurz vor der Kampagne registriert.
• Verkürzte Links und Weiterleitungen. Ein Kurzlink in einer Mail von „deiner Bank“ ist ungewöhnlich.

Alter und Inhaber einer Domain prüfen

Bei generischen Endungen zeigt eine Whois-Abfrage, wann die Domain registriert wurde und bei welchem Registrar sie liegt. Im Terminal:

whois verdaechtige-domain.com | grep -iE "creation date|registrar:|abuse"

Die Ausgabe enthält typischerweise Zeilen wie Creation Date, Registrar und Registrar Abuse Contact Email. Ist das Erstellungsdatum wenige Tage alt und die Seite gibt sich als etablierte Firma aus, hast du deine Antwort. Die Abuse-Adresse brauchst du, wenn du die Seite melden willst.

Bei .de-Domains ist die Abfrage knapper. Der Whois-Server der DENIC liefert Nameserver, Status und das Datum der letzten Änderung, aber weder Registrierungsdatum noch Inhaber. Für die Inhaber- und Abuse-Kontakte verweist die DENIC auf ihre Web-Abfrage.

Eine zweite, oft übersehene Quelle sind die Certificate-Transparency-Logs. Unter crt.sh siehst du für jede Domain, wann das erste TLS-Zertifikat ausgestellt wurde. Ein Zertifikat von gestern für eine angebliche Großbank ist ein deutliches Zeichen.

Ein Beispiel Schritt für Schritt

Angenommen, du bekommst eine Mail: „Ihr Konto wurde eingeschränkt. Bitte bestätigen Sie Ihre Daten.“ Der Button führt laut Vorschau auf https://sicherheit.musterbank.de-kundenkonto.info/verify.

So zerlegst du die Adresse. Zuerst alles nach dem ersten einzelnen Schrägstrich abschneiden, also /verify. Übrig bleibt sicherheit.musterbank.de-kundenkonto.info. Jetzt von rechts lesen: Die Endung ist .info, davor steht de-kundenkonto. Die Domain ist also de-kundenkonto.info. Der Teil sicherheit.musterbank ist nur eine Subdomain, die sich der Inhaber von de-kundenkonto.info ausgedacht hat. Mit der Musterbank hat diese Adresse nichts zu tun.

Der Trick dabei ist der Bindestrich nach .de. Das Auge liest musterbank.de und hört dort auf. Tatsächlich geht der Name weiter.

Willst du sicher sein, kannst du den Link kopieren, ohne ihn zu öffnen, und per Whois das Erstellungsdatum der Domain abfragen. Oder du gehst den einfachen Weg: Mail schließen, die Seite der Bank über dein Lesezeichen öffnen und nachsehen, ob dort wirklich eine Nachricht wartet. Echte Hinweise findest du in deinem Konto auch ohne Link.

Warum das Schloss im Browser nichts beweist

Viele haben gelernt: Schloss heißt sicher. Das stimmte nie ganz, und heute stimmt es gar nicht mehr. Seit Zertifizierungsstellen wie Let’s Encrypt kostenlose, automatisierte Zertifikate ausstellen, hat praktisch jede Phishing-Seite eines. Das Schloss bestätigt nur, dass du verschlüsselt mit konto-sicher.com sprichst. Wer hinter konto-sicher.com steckt, verrät es nicht.

Chrome hat das Schloss-Symbol in der Adressleiste deshalb 2023 durch ein neutrales Einstellungssymbol ersetzt. Der Grund laut Google: Zu viele Menschen hielten das Schloss für ein Vertrauenssiegel.

Mail-Absender: dieselbe Regel

Auch bei E-Mail-Adressen zählt die Domain nach dem @. [email protected] kommt von kundenservice-mail.com. Der angezeigte Name („Musterbank Kundenservice“) ist frei wählbar und sagt gar nichts. Tippe bei Mobil-Mailprogrammen auf den Namen, um die echte Adresse zu sehen.

Was du tun kannst, wenn du eine findest

Wenn du eine Phishing-Domain entdeckt hast, hilft eine Meldung anderen. Google Safe Browsing, die Abuse-Adresse des Registrars und der Hoster können die Seite sperren oder Warnungen anzeigen. Wie das geht und wer wofür zuständig ist, steht im Ratgeber Phishing-Seite melden.

Wenn du selbst eine Marke betreibst, dreh die Perspektive um: Welche Varianten deines Namens wären für Betrüger attraktiv? Mit einer Abfrage für deinen Markennamen mit Bindestrich siehst du, welche noch frei sind. Die typischen Kandidaten sind die eigene Marke unter .com und .de sowie die zwei, drei naheliegendsten Tippfehler. Was das bei festen Jahrespreisen kostet, zeigt die Preisübersicht aller Endungen.