Phishing-Links sind so gebaut, dass sie einen flüchtigen Blick überstehen. Der Markenname ist da, das Schloss-Symbol ist da, und die Seite sieht richtig aus. Eine URL so zu lesen, wie ein Browser sie liest, lernen Sie in wenigen Minuten – und damit erkennen Sie die meisten der folgenden Tricks.
Die Beispiele in diesem Artikel verwenden unsere eigene Domain angelforce.eu und reservierte Beispieldomains. Rufen Sie Doppelgänger-Domains nicht auf, um sie auszuprobieren.
Finden Sie den entscheidenden Teil: die registrierbare Domain
Eine Webadresse besteht aus mehreren Teilen. Nur einer davon sagt Ihnen, wer die Website kontrolliert.
https://login.angelforce.eu.account-check.example/session/verify?ref=angelforce.eu| Teil | Wert | Wer ihn kontrolliert |
|---|---|---|
| Schema | https | Sagt nichts darüber, wem die Website gehört |
| Subdomains | login.angelforce.eu | Wem die registrierbare Domain gehört |
| Registrierbare Domain | account-check.example | Der Domaininhaber – das ist die Website |
| Pfad und Query | /session/verify?ref=angelforce.eu | Der Domaininhaber, und er kann hier alles hineinschreiben |
Lesen Sie den Hostnamen von rechts nach links. Beginnen Sie am Ende, .example, und nehmen Sie ein weiteres Label nach links dazu. Dieses Paar ist die registrierbare Domain, und wer sie registriert hat, kontrolliert alles links davon. Unser Name kommt im Link oben zweimal vor, und keines der beiden Vorkommen hat etwas zu bedeuten.
Manche Endungen bestehen aus zwei oder mehr Labels. co.uk ist ein öffentliches Suffix, daher ist in shop.example.co.uk die registrierbare Domain example.co.uk. Browser stützen sich dafür auf die von der Community gepflegte Public Suffix List, zum Beispiel um den wichtigsten Teil einer Domain in der Adressleiste hervorzuheben.
Das Schloss-Symbol und https bedeuten nur, dass die Verbindung verschlüsselt ist. Jeder kann ein Zertifikat für eine Domain erhalten, die er kontrolliert, auch ein Angreifer.
Doppelgänger-Domains
Der einfachste Trick ist eine Domain, die auf den ersten Blick wie Ihre aussieht:
- ein vertauschter Buchstabe:
angeIforce.eumit großem I statt kleinem l, die sich in vielen Schriften gleichen - ein zusätzliches Wort:
angelforce-security.euoderangelforce-eu.com - eine andere Endung:
angelforce.costattangelforce.eu
Keine dieser Domains gehört uns. Jede könnte von irgendjemandem registriert werden.
Homographen und Punycode
Domainnamen können Buchstaben aus anderen Alphabeten enthalten. Im DNS werden sie in einer ASCII-Form gespeichert, die mit xn-- beginnt und von einem Algorithmus namens Punycode erzeugt wird. Der kyrillische Buchstabe „а“ sieht in den meisten Schriften genauso aus wie das lateinische „a“, also:
аngelforce.eu (first letter is Cyrillic)
xn--ngelforce-zyh.eu (what DNS actually sees)Die erste Zeile beginnt mit einem kyrillischen Buchstaben, die zweite zeigt, was das DNS tatsächlich sieht. Chrome zeigt ein Label in seiner xn---Form an, wenn es Schriften auf riskante Weise mischt, zum Beispiel Lateinisch mit Kyrillisch. Erkannt werden auch Namen, die vollständig aus ähnlich aussehenden Buchstaben bestehen, etwa аррӏе.com, das als xn--80ak6aa92e.com angezeigt wird, sowie Doppelgänger beliebter Domains.
Verlassen Sie sich nicht allein darauf. Diese Prüfungen schützen bekannte Domains am besten, und sie gelten nicht für den Text eines Links in einer E-Mail, der alles Mögliche anzeigen kann. Wenn Sie in einem unerwarteten Link xn-- sehen, behandeln Sie ihn als verdächtig.
Der @-Trick
Steht ein @-Zeichen vor dem ersten / nach https://, ist alles davor „Benutzerinformation“, nicht der Host. RFC 3986 warnt, dass dieser Teil so gestaltet werden kann, dass er wie ein vertrauenswürdiger Domainname aussieht.
https://www.angelforce.eu@203.0.113.50/loginDieser Link führt zum Server unter 203.0.113.50. Der Teil www.angelforce.eu wird als Benutzername behandelt, nicht als Ziel. Ein seriöser Dienst hat kaum einen Grund, Ihnen einen Link mit @ vor dem Host zu schicken.
Link-Verkürzer und QR-Codes
Kurz-URLs und QR-Codes verbergen das Ziel, bis Sie klicken oder scannen. Genau dafür sind sie da, und genau deshalb nutzen Angreifer sie. Das NCSC rät zur Vorsicht beim Scannen von QR-Codes in E-Mails. Lösen Sie eine Kurz-URL vor dem Öffnen mit einem Link-Prüftool auf oder rufen Sie den Dienst direkt auf.
Offene Weiterleitungen
Manche seriösen Websites haben eine Weiterleitungsfunktion, die Besucher an jede Adresse schickt, die in einem Parameter steht. Das OWASP-Cheat-Sheet zu nicht validierten Weiterleitungen zeigt ein Muster wie dieses:
https://example.com/example.php?url=https://malicious.example.comDer Link beginnt mit einer echten, vertrauenswürdigen Domain, und genau darum geht es. Achten Sie auf Parameter wie url=, next=, redirect= oder return=, die eine zweite vollständige Adresse enthalten. Dort landen Sie vermutlich.
Irreführende Pfade und Subdomains
Markennamen im Pfad oder in Subdomains kosten einen Angreifer nichts:
https://secure-login.example/angelforce.eu/microsoft365/signin
https://angelforce.eu.secure-login.example/Beide Links gehören zu secure-login.example. Lange Pfade mit Markennamen, Wörter wie „secure“, „verify“ oder „account“ und viele zufällige Zeichen beweisen kein Phishing, sind aber ein Grund, genauer hinzusehen.
Unbekannte Top-Level-Domains
Manche Top-Level-Domains sehen aus wie etwas anderes. .zip ist seit 2014 eine delegierte Top-Level-Domain; invoice.zip kann also eine Website statt einer Datei sein. Ein Link, der auf einen Dateinamen endet, ist womöglich gar keine Datei.
Gewohnheiten für den Alltag
- Fahren Sie mit der Maus über den Link oder drücken Sie lange darauf, bevor Sie klicken, und lesen Sie das tatsächliche Ziel, nicht den Linktext.
- Rufen Sie wichtige Websites selbst auf. Nutzen Sie Lesezeichen oder tippen Sie die Adresse ein – für Ihre Bank, die Lohnabrechnung und die Anmeldung bei Microsoft 365 oder Google.
- Fragen Sie beim Absender über einen bekannten Kanal nach. Das NCSC rät, die Organisation direkt über die Kontaktdaten auf ihrer offiziellen Website zu kontaktieren, nicht über die in der Nachricht.
- Nutzen Sie einen Passwort-Manager. Er füllt Passwörter nur auf der Website aus, auf der Sie sie gespeichert haben, und bietet Ihr Passwort auf einer Doppelgänger-Domain daher nicht an. Passkeys gehen weiter, denn jeder ist an die echte Website gebunden.
- Achten Sie auf Druck. Das NCSC nennt Autorität, Dringlichkeit, Emotionen, Knappheit und aktuelle Ereignisse als typische Köder in betrügerischen Nachrichten.
- Melden Sie es. Eine verdächtige Nachricht, die Sie melden, hilft, Ihre Kolleginnen und Kollegen zu schützen, auch wenn Sie nicht geklickt haben.
Wo Sie anfangen
Fügen Sie einen verdächtigen Link in unsere Phishing-Link-Analyse ein, um zu sehen, wohin er wirklich führt, ohne ihn zu öffnen. Wenn die E-Mail selbst verdächtig wirkt, zeigt unsere E-Mail-Header-Analyse, welche Server sie verarbeitet haben und ob SPF, DKIM und DMARC bestanden wurden.
Wenn Ihr Team lernen soll, Links auf diese Weise zu lesen, unterstützt Sie unser Angebot für Beratung und Schulung.
