Typosquatting: Tippfehler-Domains erkennen und abwehren

Ein fehlender Buchstabe reicht. Wer sich bei musterbank.de vertippt und musterbnk.de eingibt, landet auf einer Seite, die jemand anderem gehört. Im harmlosen Fall ist es eine Werbeseite. Im schlechten Fall ein Login-Formular, das genauso aussieht wie das echte. Das ist Typosquatting, und es ist eine der ältesten Methoden im Domain-Missbrauch.

Was ist Typosquatting?

Typosquatting bezeichnet die Registrierung von Domains, die einer bekannten Adresse zum Verwechseln ähnlich sind. Die Idee dahinter ist simpel: Bei Millionen Aufrufen am Tag vertippen sich genug Menschen, um aus einer Tippfehler-Domain ein Geschäft zu machen.

Genutzt werden solche Domains vor allem für vier Dinge:

• Phishing. Die Tippfehler-Domain zeigt eine Kopie der echten Login-Seite.
• E-Mail-Abfang. Wer musterbnk.de besitzt und einen MX-Eintrag setzt, empfängt jede Mail, bei der sich der Absender in der Adresse vertippt hat.
• Werbung und Affiliate-Links. Die Besucher werden zur Konkurrenz oder auf Werbeseiten weitergeleitet.
• Schadsoftware. Ausgerechnet Entwickler sind betroffen, wenn Paketnamen in npm oder PyPI nach demselben Prinzip gefälscht werden.

Die typischen Tippfehler-Varianten

Für eine erfundene Marke musterbank.de sehen die häufigsten Muster so aus:

Dazu kommt Combosquatting, also die richtig geschriebene Marke plus ein Wort: musterbank-login.de, musterbank-support.com. Diese Variante ist für Phishing besonders beliebt, weil der Markenname korrekt dasteht. Wie du solche Adressen als Nutzer auseinanderhältst, erklärt Phishing-Domain erkennen. Eine Steigerung sind Zeichen aus anderen Alphabeten, die im Homograph-Angriff genutzt werden.

Varianten der eigenen Domain finden

Von Hand kommt man auf zehn, zwanzig Varianten. Das Open-Source-Werkzeug dnstwist erzeugt systematisch hunderte und prüft, welche davon registriert sind und DNS-Einträge haben. Es ist für genau diesen Zweck gedacht: Markeninhaber und Sicherheitsteams sollen sehen, was es gibt.

pip install dnstwist
dnstwist --registered musterbank.de

Mit --registered zeigt das Werkzeug nur Varianten, die tatsächlich registriert sind, mit IP-Adressen und Mailservern. Interessant sind vor allem Treffer mit MX-Eintrag: Die können Mails empfangen, die eigentlich an dich gehen sollten.

Wichtig beim Lesen der Ergebnisse: Nicht jede registrierte Variante ist böswillig. muster-bank.de kann eine echte, andere Firma sein. Verdächtig wird es, wenn die Domain neu ist, eine Kopie deiner Seite zeigt oder auf eine fremde Seite weiterleitet.

Typosquatting-Schutz: was du registrieren solltest

Niemand kann jede Variante registrieren. Bei einem achtstelligen Namen gibt es allein mit Nachbartasten, Auslassungen und Doppelungen weit über hundert Möglichkeiten, multipliziert mit jeder Endung. Ein vernünftiges Paket für ein kleines oder mittleres Unternehmen in Deutschland:

1. Die eigene Marke unter .de und .com, gegebenenfalls .eu.
2. Die Variante mit und ohne Bindestrich.
3. Zwei bis drei Tippfehler, die bei deinem Namen besonders nahe liegen. Schau in deine Server-Logs oder frag den Support, welche Fehler Kunden tatsächlich machen.
4. Varianten, die schon einmal für Phishing genutzt wurden, sobald sie wieder frei werden.

Die Kosten sind überschaubar. Fünf .de-Domains kosten bei betadomain 5 × 2,99 € im Jahr, eine .com-Domain als Schutzvariante liegt bei 14,99 €. Weil der Preis bei der Verlängerung gleich bleibt, gibt es nach dem ersten Jahr keine Überraschung. Schutzdomains leitest du per Weiterleitung auf die Hauptdomain, und für Mail setzt du einen Null-MX-Eintrag oder gar keinen, damit dort nichts angenommen wird.

Ob die naheliegenden Varianten frei sind, zeigt eine Suche nach Schreibvarianten deiner Marke.

Wenn jemand deine Variante schon besitzt

Hast du eine Tippfehler-Domain gefunden, die für Phishing genutzt wird, ist der schnellste Weg eine Missbrauchsmeldung an Registrar und Hoster. Seit April 2024 müssen ICANN-akkreditierte Registrare bei belegtem DNS-Missbrauch, zu dem Phishing zählt, zeitnah eingreifen. Wie du das richtig formulierst, steht unter Phishing-Seite melden.

Geht es nicht um Phishing, sondern um Markenausnutzung, ist der Weg länger. Bei gTLDs wie .com steht das UDRP-Verfahren offen, das Schiedsstellen wie das WIPO Arbitration and Mediation Center durchführen. Die Voraussetzungen sind eng: Verwechslungsgefahr mit deiner Marke, kein eigenes berechtigtes Interesse des Inhabers und Bösgläubigkeit bei Registrierung und Nutzung. Für .de gibt es kein UDRP. Dort bleiben die Abmahnung auf Basis von Markengesetz oder § 12 BGB, ein Dispute-Eintrag bei der DENIC, der einen Inhaberwechsel blockiert, und der Gang vor Gericht. Das ist ein Fall für einen Fachanwalt.

Beobachten statt alles kaufen

Für alles, was du nicht registrierst, hilft Beobachtung. dnstwist lässt sich regelmäßig per Cronjob laufen lassen, und neue Treffer landen per Mail bei dir. Ergänzend kannst du die Certificate-Transparency-Logs für Namen beobachten, die deine Marke enthalten. Ein neues Zertifikat für musterbank-login.de taucht dort auf, bevor die erste Phishing-Mail verschickt ist.

Als nächsten Schritt nimm dir zehn Minuten, lass dnstwist einmal über deine Hauptdomain laufen und vergleiche die Treffer mit der Liste der Endungen und Jahrespreise. Danach weißt du, welche Lücken du schließen willst.