Gefälschte Links erkennen: So prüfen Sie URLs, bevor Sie klicken

Warum gefälschte Links so wirksam sind

Ein gefälschter Link verlangt vom Opfer keine technische Unkenntnis, sondern lediglich einen Moment der Unaufmerksamkeit. Die Angriffe funktionieren, weil sie zwei menschliche Muster ausnutzen: Wir lesen URLs von links nach rechts und brechen ab, sobald wir einen vertrauten Markennamen erkennen. Und wir handeln unter Zeitdruck, wenn eine Nachricht eine gesperrte Karte, eine offene Rechnung oder ein ablaufendes Passwort ankündigt.

Der Schaden ist selten auf einen Datensatz begrenzt. Werden Zugangsdaten zu einem Hosting- oder Domainkonto abgegriffen, kann ein Angreifer DNS-Einträge ändern, Mailverkehr umleiten oder eine Website vollständig übernehmen. In Unternehmen ist der Klick eines einzelnen Mitarbeitenden regelmässig der Einstiegspunkt für Ransomware oder CEO-Fraud.

Die gute Nachricht: Anders als bei vielen anderen Angriffsformen existiert für gefälschte Links ein deterministisches Prüfverfahren. Wer den Aufbau einer URL versteht, kann die Echtheit einer Adresse zuverlässig beurteilen — ohne zusätzliche Software.

Wie eine URL aufgebaut ist

Jede Adresse in der Browserzeile lässt sich in klar abgegrenzte Bestandteile zerlegen. Als Beispiel dient hier eine fiktive Fälschung:

https://metanet.ch.login-sicherheit.example/kundencenter

Die Bestandteile im Überblick

Welcher Teil wirklich zählt

Nur ein einziger Abschnitt entscheidet über die Echtheit: die Kombination aus Domain und Top-Level-Domain. Diese Kombination ist weltweit einmalig registriert und lässt sich nicht fälschen. Alles links davon ist eine Subdomain und steht unter der vollständigen Kontrolle desjenigen, dem die Domain gehört.

Im Beispiel oben lautet die tatsächliche Domain also login-sicherheit.example. Der vorangestellte Bestandteil «metanet.ch» ist reine Kulisse — er suggeriert Vertrauen, hat aber technisch keinerlei Verbindung zu METANET.

Das Prüfschema in drei Schritten

Das folgende Verfahren funktioniert bei jeder URL, unabhängig von Länge und Komplexität.

Schritt 1: Den Adressteil isolieren

Suchen Sie vom Anfang der URL aus den ersten einzelnen Schrägstrich — also den ersten Slash nach dem doppelten Schrägstrich des Protokolls. Alles davor ist der Hostname und damit der einzige sicherheitsrelevante Teil. Enthält die URL keinen weiteren Schrägstrich, gilt das Ende der Adresse als Bezugspunkt.

Im Beispiel: metanet.ch.login-sicherheit.example

Schritt 2: Von rechts nach links lesen

Lesen Sie den isolierten Hostnamen nun rückwärts. Der letzte Abschnitt ist die Top-Level-Domain, der Abschnitt unmittelbar davor ist die registrierte Domain. Zusammen bilden sie den einzigen Teil der Adresse, den ein Angreifer nicht frei erfinden kann.

Im Beispiel: login-sicherheit.example

Schritt 3: Mit der erwarteten Adresse vergleichen

Stimmt die so ermittelte Domain exakt mit der Adresse überein, die Sie erwarten? «Exakt» bedeutet zeichengenau — ein zusätzlicher Bindestrich, ein vertauschter Buchstabe oder eine andere Endung machen daraus eine völlig andere Website.

Im Beispiel lautet die erwartete Domain metanet.ch, tatsächlich aufgerufen wird jedoch login-sicherheit.example. Die URL ist damit eindeutig als Fälschung identifiziert.

Sonderfall: mehrteilige Domainendungen

Bei einigen Ländern besteht die Endung aus zwei Abschnitten, etwa .co.uk oder .com.au. Hier liegt die registrierte Domain eine Ebene weiter links: Bei beispiel.co.uk ist «beispiel» die Domain, «co.uk» die Endung. Wer stur den zweiten Punkt von rechts sucht, kommt in diesen Fällen zu einem falschen Ergebnis. Im Zweifelsfall gibt die Public Suffix List Auskunft darüber, wo die registrierbare Ebene tatsächlich beginnt.

Die sechs Squatting-Methoden im Überblick

Als Squatting bezeichnet man die Registrierung von Domains, die einer bekannten Adresse zum Verwechseln ähnlich sehen. In der Praxis werden die Techniken kombiniert eingesetzt, um die Erfolgsquote zu erhöhen.

Homographische Attacken und Punycode

Die technisch anspruchsvollste Variante nutzt internationalisierte Domainnamen (IDN). Kyrillische, griechische und lateinische Alphabete enthalten Zeichen, die auf dem Bildschirm nicht unterscheidbar sind — das kyrillische «а» (U+0430) und das lateinische «a» (U+0061) etwa sind in den meisten Schriftarten optisch identisch.

Technisch werden solche Domains im Punycode-Format registriert und tragen das Präfix xn--. Moderne Browser erkennen gemischte Schriftsysteme in einer Domain und zeigen die Adresse dann in der Punycode-Schreibweise an — eine Adresse, die plötzlich als xn--metnet-x9d.ch erscheint, ist ein eindeutiges Warnsignal. Verlassen sollten Sie sich darauf allerdings nicht: Besteht die Domain vollständig aus Zeichen eines einzigen fremden Alphabets, greift der Schutzmechanismus nicht zuverlässig.

In Firefox lässt sich die Punycode-Anzeige erzwingen, indem in about:config der Wert network.IDN_show_punycode auf true gesetzt wird. Auf mobilen Geräten ist die Erkennung generell schwieriger, da gekürzte Adresszeilen und kleine Schriftgrade den Vergleich erschweren.

Links technisch prüfen: Werkzeuge und Handgriffe

Auf dem Desktop

Fahren Sie mit dem Mauszeiger über den Link, ohne zu klicken. Browser und die meisten Mailprogramme blenden das tatsächliche Ziel in der Statusleiste links unten ein. Weicht der angezeigte Linktext vom tatsächlichen Ziel ab, ist das ein starkes Indiz für einen Täuschungsversuch — ein sichtbarer Text wie «www.ihre-bank.ch» sagt nichts darüber aus, wohin der Link führt.

Alternativ kopieren Sie den Link über das Kontextmenü in einen Texteditor und prüfen ihn dort in Ruhe.

Auf dem Smartphone

Halten Sie den Link gedrückt, statt ihn anzutippen. iOS und Android zeigen daraufhin eine Vorschau mit der vollständigen Ziel-URL. Da mobile Adresszeilen aus Platzgründen gekürzt dargestellt werden, ist dieser Schritt auf dem Smartphone wichtiger als am Desktop.

Kurz-URLs auflösen

Verkürzte Links verbergen das Ziel vollständig. Dienste zur Auflösung von Kurz-URLs zeigen die endgültige Zieladresse an, ohne die Seite zu öffnen. Grundsätzlich gilt: Ein verkürzter Link in einer unerwarteten Nachricht von einem Absender, der normalerweise keine Kurz-URLs verwendet, ist bereits verdächtig.

Online-Prüfdienste

Für eine zusätzliche Einschätzung eignen sich Reputationsdienste, die URLs gegen mehrere Malware- und Phishing-Datenbanken abgleichen — etwa VirusTotal, Google Safe Browsing oder PhishTank. Diese Dienste arbeiten datenbankbasiert: Eine erst wenige Stunden alte Phishing-Domain ist dort in der Regel noch nicht erfasst. Ein negativer Befund ist deshalb kein Freibrief, ein positiver Befund hingegen ein klarer Stopp.

Domaininformationen abfragen

Über eine WHOIS- oder RDAP-Abfrage lässt sich unter anderem das Registrierungsdatum einer Domain ermitteln. Eine Domain, die vorgibt, zu einem etablierten Schweizer Unternehmen zu gehören, aber erst seit wenigen Tagen existiert, ist praktisch immer eine Fälschung. Beachten Sie, dass Halterdaten bei .ch-Domains aus Datenschutzgründen nur eingeschränkt ausgewiesen werden.

Betrügerische Websites erkennen

Manche Angriffe enden nicht bei der URL, sondern bestehen aus vollständig nachgebauten Websites — von gefälschten Onlineshops über Abo-Fallen bis zu Login-Seiten, die Zugangsdaten in Echtzeit weiterreichen.

Prüfliste für verdächtige Websites

Folgende Merkmale sollten Sie stutzig machen:

• Die Domain enthält ungewöhnliche Zusätze, Bindestriche oder Zahlen, die beim Original nicht vorkommen.
• Auf der Login-Seite werden neben Benutzername und Passwort weitere Daten abgefragt, etwa Kartennummern, TANs oder Sicherheitscodes.
• Das Design wirkt bekannt, weicht aber in Details ab — veraltete Logos, unscharfe Grafiken, inkonsistente Schriftarten.
• Der Browser meldet ein ungültiges oder abgelaufenes Zertifikat und fordert zur Bestätigung einer Sicherheitsausnahme auf.
• Ein Impressum fehlt vollständig oder enthält keine überprüfbare Firmenadresse.
• Es gibt keine belastbare Kontaktmöglichkeit, sondern lediglich ein anonymes Formular.
• Der Text enthält auffällige Rechtschreib- und Grammatikfehler oder wirkt maschinell übersetzt.
• Rabatte, Gewinne oder Renditen liegen weit ausserhalb jedes realistischen Rahmens.
• Als Zahlungsmethode wird ausschliesslich Vorkasse, Krypto-Überweisung oder ein Zahlungsdienst ohne Käuferschutz angeboten.

Bei Onlineshops lohnt sich zusätzlich die Suche nach unabhängigen Bewertungen ausserhalb der Website selbst sowie ein Blick in die Allgemeinen Geschäftsbedingungen und die Widerrufsregelungen.

Warum HTTPS kein Echtheitsbeweis ist

Ein verbreiteter Irrtum: Das Schloss-Symbol in der Adresszeile belege die Seriosität einer Website. Tatsächlich bestätigt ein domainvalidiertes Zertifikat ausschliesslich, dass die Verbindung verschlüsselt ist und der Betreiber Kontrolle über die Domain hat. Da solche Zertifikate automatisiert und kostenlos ausgestellt werden, verfügt heute praktisch jede Phishing-Seite über HTTPS.

Aussagekraft haben nur Zertifikate mit höherem Validierungsgrad. Bei einem OV- oder EV-Zertifikat (Organisation Validation beziehungsweise Extended Validation) prüft die Zertifizierungsstelle die Existenz und Identität des Unternehmens. Diese Angaben lassen sich im Browser über die Zertifikatsdetails einsehen — steht dort kein verifizierter Organisationsname, sondern nur die Domain, ist keinerlei Identitätsprüfung erfolgt.

Angriffswege jenseits der E-Mail

Gefälschte Links erreichen ihr Ziel längst nicht mehr nur per Mail.

Bei QR-Codes gilt: Verwenden Sie eine Scanner-App, welche die Ziel-URL vor dem Öffnen anzeigt, und prüfen Sie sie nach dem oben beschriebenen Schema. Im öffentlichen Raum lohnt zusätzlich ein Blick darauf, ob ein Aufkleber über einem Originalcode angebracht wurde.

Bei SMS reagieren Sie grundsätzlich nicht auf Links, sondern öffnen die betreffende App oder Website direkt über ein eigenes Lesezeichen. Dasselbe gilt für Anrufe: Legen Sie auf und rufen Sie unter der offiziell publizierten Nummer zurück.

Sofortmassnahmen nach einem Klick

Ein Klick allein führt in den meisten Fällen noch nicht zum Schaden — entscheidend ist, was danach passiert. Gehen Sie in dieser Reihenfolge vor:

1. Geben Sie keine Daten ein und laden Sie keine Anhänge herunter. Schliessen Sie das Fenster.
2. Haben Sie bereits Zugangsdaten eingegeben, ändern Sie diese sofort — zuerst beim betroffenen Dienst, anschliessend überall dort, wo Sie dasselbe Passwort verwendet haben.
3. Aktivieren Sie die Zwei-Faktor-Authentifizierung, vorzugsweise über eine Authenticator-App statt über SMS.
4. Prüfen Sie in den Kontoeinstellungen die aktiven Sitzungen und beenden Sie alle unbekannten Zugriffe.
5. Wurde eine Datei ausgeführt, trennen Sie das Gerät vom Netzwerk und führen Sie einen vollständigen Scan mit aktueller Sicherheitssoftware durch. In Unternehmensumgebungen informieren Sie zusätzlich die IT-Verantwortlichen.
6. Bei Bankdaten oder Kreditkartenangaben kontaktieren Sie umgehend Ihr Finanzinstitut und lassen Sie die Karte sperren.
7. Sichern Sie Beweise: Screenshots der Seite und der Adresszeile, die vollständige URL sowie die Kopfzeilen der Nachricht.

Meldestellen in der Schweiz

Verdächtige Links und Phishing-Nachrichten sollten gemeldet werden — das trägt dazu bei, dass betrügerische Domains schneller gesperrt werden.

• Bundesamt für Cybersicherheit (BACS): zentrale Anlaufstelle des Bundes für Cybervorfälle mit Meldeformular für Privatpersonen und Unternehmen.
• antiphishing.ch: Meldeportal für Phishing-URLs und -Mails, betrieben vom BACS.
• Kantonspolizei: bei finanziellem Schaden oder Identitätsdiebstahl über die Anzeigeportale der Kantone.
• Betroffene Marke: Die meisten Banken, Versicherungen und Logistikunternehmen betreiben eine eigene Abuse-Adresse.
• Provider: Läuft der Angriff über eine gehostete Domain, kann der Hoster die Inhalte prüfen und sperren.

Schutz auf Organisationsebene

Für Unternehmen ist die Sensibilisierung der Mitarbeitenden notwendig, aber nicht hinreichend. Technische Massnahmen reduzieren die Zahl der Nachrichten, die überhaupt in einem Postfach landen:

Eingehende Nachrichten filtern

Ein vorgelagerter Spam- und Phishing-Filter prüft Nachrichten anhand von Reputationsdaten, Signaturen und Verhaltensmustern, bevor sie zugestellt werden. Das senkt die Angriffsfläche unabhängig von der Aufmerksamkeit einzelner Personen.

Die eigene Domain gegen Missbrauch absichern

Mit den Mailauthentifizierungsverfahren SPF, DKIM und DMARC legen Sie fest, welche Server im Namen Ihrer Domain versenden dürfen und wie empfangende Systeme mit Verstössen umgehen sollen. Ohne diese Einträge kann Ihre Domain vergleichsweise einfach als Absender gefälscht werden.

Ähnliche Domains vorsorglich registrieren

Die naheliegendsten Tippfehlervarianten sowie zusätzliche Endungen wie .swiss oder .com selbst zu registrieren, entzieht Angreifern die attraktivsten Kandidaten für Typo- und TLD-Squatting. Ergänzend verhindert ein Transfer- und Löschschutz, dass Ihre bestehenden Domains unbemerkt verschoben werden.

Zugänge absichern

Verwenden Sie pro Dienst ein eigenes Passwort mit mindestens 15 Zeichen aus Gross- und Kleinbuchstaben, Ziffern und Sonderzeichen, verwaltet über einen Passwortmanager. Erzwungene Passwortwechsel in kurzen Intervallen sind nicht empfehlenswert — sie führen erfahrungsgemäss zu schwächeren, leichter erratbaren Kombinationen. Wesentlich wirksamer ist die Zwei-Faktor-Authentifizierung für alle administrativen Zugänge, insbesondere für Hosting-, Domain- und Mailkonten.