Lookalike-Domains und Typosquatting: So erkennen Sie Domains, die Ihr Unternehmen imitieren

Eine Lookalike-Domain ist ein Domainname, der so registriert wurde, dass er auf den ersten Blick wie Ihrer aussieht: examp1e.com statt example.com, example-billing.com, example.co oder eine Variante, bei der ein lateinischer Buchstabe durch ein ähnliches Zeichen aus einem anderen Alphabet ersetzt ist. Typosquatting ist die älteste Form davon: Jemand registriert die Domain, auf der Ihre Kunden landen, wenn sie sich bei Ihrer vertippen.

Die meisten dieser Registrierungen sind harmlos oder geparkt. Relevant sind die, bei denen Mailserver konfiguriert sind, ein TLS-Zertifikat existiert oder eine Webseite Ihr Design kopiert. Genau diese Domains werden genutzt, um gefälschte Rechnungen in Ihrem Namen zu verschicken, eine gefälschte Login-Seite zu hosten oder E-Mails abzufangen, die eigentlich für Sie bestimmt waren.

Die gute Nachricht: Sie können solche Domains mit wenigen Befehlen selbst finden, und es gibt einen klaren Weg, die gefährlichen entfernen zu lassen.

Wie Lookalike-Domains aufgebaut sind

Angreifer und Trittbrettfahrer nutzen eine Handvoll vorhersehbarer Muster:

• Vertauschte Zeichen: 1 statt l, 0 statt o, rn statt m (exarnple.com).
• Ausgelassene und doppelte Buchstaben: ein fehlender oder verdoppelter Buchstabe (exmple.com, exaample.com).
• Zusätzliche Wörter: example-login.com, example-support.com, secure-example.com.
• Andere Top-Level-Domains: example.co, example.net, example.io.
• Homoglyphen: internationalisierte Domainnamen mit kyrillischen oder griechischen Zeichen, die fast wie lateinische aussehen. Im DNS erscheinen sie als Punycode, beginnend mit xn--.
• Subdomain-Tricks: example.com.account-verify.net, wobei die tatsächlich registrierte Domain der Teil am Ende ist.

Weil die Muster vorhersehbar sind, lassen sie sich automatisch erzeugen und prüfen.

So prüfen Sie selbst auf Lookalikes

Das Open-Source-Tool dnstwist erzeugt Permutationen Ihrer Domain und prüft, welche davon tatsächlich existieren. Ein guter erster Durchlauf zeigt nur registrierte Varianten:

dnstwist --registered example.com

Um zu sehen, welche davon eine Seite ähnlich Ihrer ausliefern, kann das Tool das HTML jeder Website per Fuzzy Hashing mit Ihrem vergleichen:

dnstwist --lsh example.com

Prüfen Sie bei jeder registrierten Lookalike-Domain 3 Dinge:

1. Mail-Einträge. Eine Lookalike-Domain mit MX-Einträgen kann E-Mails empfangen. Prüfen Sie das mit dig MX examp1e.com +short. Erst die Mailfähigkeit macht aus einer geparkten Domain ein Werkzeug für Rechnungsbetrug.
2. Zertifikate. Ein für die Lookalike-Domain ausgestelltes Zertifikat deutet darauf hin, dass jemand darüber HTTPS anbieten will. Certificate-Transparency-Logs verzeichnen ausgestellte Zertifikate, und Sie können sie auf crt.sh durchsuchen. Wie das geht, erklärt unser Artikel zu Certificate-Transparency-Logs.
3. Inhalt. Öffnen Sie die Website in einem isolierten Browser oder prüfen Sie sie über einen Screenshot-Dienst. Eine Kopie Ihres Logos, Ihres Login-Formulars oder Ihres Rechnungsportals ist das deutlichste Signal.

Wiederholen Sie die Prüfung danach regelmäßig. Eine Lookalike-Domain, die letzten Monat registriert wurde und heute ruhig ist, kann morgen Mail-Einträge und eine Login-Seite haben.

Welche Funde Handlungsbedarf auslösen

Nicht jede Variante erfordert eine Reaktion. Eine sinnvolle Einteilung:

• Beobachten: registriert, geparkt, kein MX, kein Zertifikat. Notieren und später erneut prüfen.
• Untersuchen: MX-Einträge vorhanden, ein frisches Zertifikat oder ein Registrierungsdatum in den letzten Wochen.
• Sofort handeln: eine Seite, die Ihre Marke imitiert, ein Login-Formular oder Meldungen von Kunden oder Mitarbeitenden, die E-Mails von der Domain erhalten haben.

Wenn eine Lookalike-Domain in Ihrem Namen E-Mails verschickt, informieren Sie auch Ihre Buchhaltung und wichtige Kunden, auf welche Domain sie achten sollen. Ein kurzer Hinweis („wir stellen Rechnungen nur von example.com aus“) verhindert mehr Schaden als jede Löschung.

So lassen Sie eine Lookalike-Domain entfernen

Bei einer aktiven Phishing-Seite beginnen Sie mit den schnellsten Wegen:

• Melden Sie die URL bei Google Safe Browsing und Microsoft, damit Browser Besucher warnen.
• Melden Sie sie beim Registrar der Domain. Von ICANN akkreditierte Registrare müssen einen Abuse-Kontakt veröffentlichen und nach dem Registrar Accreditation Agreement von 2013 (Abschnitt 3.18) angemessene und zügige Schritte unternehmen, um Missbrauchsmeldungen zu untersuchen.
• Melden Sie sie beim Hosting-Anbieter, den Sie über die IP-Adresse der Website ermitteln.

Bei einer Domain, die Ihre Marke verletzt, aber nicht offensichtlich bösartig ist, führt der übliche Weg für generische Top-Level-Domains über die Uniform Domain Name Dispute Resolution Policy (UDRP). Der Beschwerdeführer muss darlegen, dass die Domain mit einer Marke, an der er Rechte hat, identisch oder verwechselbar ähnlich ist, dass der Inhaber keine Rechte oder berechtigten Interessen daran hat und dass sie bösgläubig registriert wurde und genutzt wird. Mögliche Folgen sind die Löschung oder die Übertragung der Domain. Das ist ein rechtlicher Schritt, ziehen Sie also Ihre Anwältin oder Ihren Anwalt hinzu.

Unser Artikel über gefälschte Login-Seiten mit Ihrer Marke beschreibt den Löschungsprozess genauer.

Den Schaden begrenzen, bevor er entsteht

Sie können niemanden daran hindern, Domains zu registrieren, aber Sie können Lookalikes weniger nützlich machen:

• Registrieren Sie die naheliegenden Varianten Ihrer Hauptdomain: die häufigsten Tippfehler und die Top-Level-Domains, die Ihre Kunden wahrscheinlich eintippen.
• Veröffentlichen Sie eine strenge E-Mail-Authentifizierung für Ihre echte Domain. SPF, DKIM und eine DMARC-Richtlinie mit quarantine oder reject stoppen keine Lookalike-Domain, aber sie verhindern das exakte Fälschen Ihrer eigenen Domain und lassen dem Angreifer nur noch die Lookalike als Option. Siehe SPF, DKIM und DMARC erklärt.
• Vereinbaren Sie eine Zahlungsverifizierung. Jede Änderung der Bankverbindung wird telefonisch über eine Nummer bestätigt, die Sie bereits haben, nie über eine aus der E-Mail.
• Nennen Sie Ihren Kunden Ihre offiziellen Domains auf Ihrer Website und in Rechnungen.

Checkliste

• Führen Sie dnstwist --registered für jede Ihrer Domains aus.
• Prüfen Sie bei jedem Treffer MX-Einträge, Zertifikate auf crt.sh und den Seiteninhalt.
• Melden Sie aktives Phishing bei Google, Microsoft, dem Registrar und dem Hoster.
• Erwägen Sie bei Markenmissbrauch mit Ihrer Anwältin oder Ihrem Anwalt ein UDRP-Verfahren.
• Registrieren Sie wichtige Varianten und setzen Sie DMARC auf Ihrer echten Domain durch.
• Wiederholen Sie die Suche regelmäßig, nicht nur einmal.

Wie Datahorses hilft

Datahorses überwacht Ihr Unternehmen jeden Tag von außen, auch neu registrierte Domains, die Ihrer ähneln, ob diese E-Mails empfangen können und ob eine Seite auftaucht, die Ihren Login imitiert. Wir greifen nicht auf Ihre Systeme zu und benötigen keinen Zugang. Wenn sich etwas ändert, prüft es ein Mensch, und Sie erhalten den Fund mit klaren nächsten Schritten, wie unter was passiert, wenn wir etwas finden beschrieben. Die vollständige Liste finden Sie unter was wir überwachen.