Lookalike-Domains: Phishing erkennen, bevor die erste E-Mail kommt

Die wirksamsten Phishing-Kampagnen gegen kleine Unternehmen brechen nirgends ein. Jemand registriert ihre-firnma.de, wartet einige Tage, damit die Domain nicht mehr ganz neu ist, richtet einen Mailserver ein und schreibt Ihren Kunden oder Ihrem eigenen Steuerbüro von buchhaltung@ihre-firnma.de. Die Nachricht wirkt echt, weil sie es fast ist: Der Angreifer hat Ihre Signatur aus einer öffentlichen E-Mail kopiert. Nur die Domain ist falsch, um zwei Buchstaben.

Weil der Angreifer die Domain vor allem anderen braucht, ist die Registrierung das früheste Signal, das Sie je bekommen, meist Tage oder Wochen vor der ersten Nachricht. Sie zu beobachten kostet fast nichts. Perimetry tut es bei jedem Audit.

Die zehn Arten, eine Domain abzuwandeln

Ausgehend von beispiel.de entsteht die Liste der Kandidaten mechanisch:

Technik	Beispiele
Andere Endungen	beispiel.com, beispiel.net, beispiel.eu, beispiel.shop, beispiel.online
Auslassung	bispiel.de, beispie.de
Vertauschung	biespiel.de, beipsiel.de
Verdopplung	beispiell.de, beiispiel.de
Homoglyphen	beispie1.de (eine Eins für das l), beisplel.de (l für i), `beispie
Vertauschte Vokale	baispiel.de, beispeil.de
Angehängte Wörter	beispiel-login.de, beispiel-support.de, mein-beispiel.de, beispiel-zahlung.de
Nachbartasten	veispiel.de, beispiek.de
Bindestriche	bei-spiel.de, beis-piel.de
Punkt einer Subdomain	bei.spiel.de, beisp.iel.de

Eine einzelne Domain ergibt zwischen 150 und 300 plausible Kandidaten. Fast alle sind nicht registriert, was die gute Nachricht ist und der Grund, warum die Prüfung schnell geht: Eine nicht registrierte Domain hat keine Nameserver, und eine DNS-Abfrage sagt das in Millisekunden, ohne den Registrar zu kontaktieren.

Bei .de verdienen Umlaute zusätzlich Aufmerksamkeit: Seit dem 1. März 2004 lassen sich unter .de Domains mit Umlauten registrieren, und müller.de und mueller.de sind zwei verschiedene Domains mit möglicherweise verschiedenen Inhabern. Enthält Ihr Name einen Umlaut, sichern Sie beide Schreibweisen.

Was „registriert“ bedeutet und was nicht

Perimetry meldet einen Kandidaten als registriert, wenn er Nameserver hat. Das ist das erste Signal, kein Beweis für böse Absicht. Viele Lookalike-Domains gehören Domain-Händlern, die sie mit Werbung parken, Mitbewerbern oder Ihrem eigenen Unternehmen seit Jahren. Der Bericht ergänzt daher jede registrierte Lookalike-Domain um zwei Fakten:

• Hat sie einen Mailserver? Ein MX-Eintrag auf einer Lookalike-Domain bedeutet, dass jemand vorhat, unter ihr E-Mails zu senden oder zu empfangen. Genau diese Konfiguration braucht eine Phishing-Kampagne, eine geparkte Domain nicht.
• Hat sie eine Website? Der Bericht vermerkt, ob die Domain über HTTPS antwortet und welchen Seitentitel sie zeigt. Eine Kopie Ihrer eigenen Startseite ist unverkennbar.

Eine Lookalike-Domain mit eingerichteter E-Mail und kopierter Website ist ein Befund mit hohem Schweregrad. Eine registrierte Domain mit keinem von beiden ist mittel: einen Blick wert, kein Notfall.

Die, die Ihnen gehören

Viele Unternehmen registrieren vorsorglich eine Handvoll Varianten und leiten sie auf die Hauptwebsite um. In Perimetry können Sie diese als eigene Domains markieren; sie fallen dann aus dem Lookalike-Teil heraus und werden stattdessen als Ihre eigenen Domains geprüft, auch darauf, ob sie E-Mails korrekt abweisen (siehe SPF, DKIM und DMARC, Abschnitt „Domains, die nie E-Mails senden“). Eine vorsorglich registrierte Domain, die E-Mails annimmt, ist eine Domain, die ein Angreifer nicht mehr kaufen muss.

Wenn eine neue Lookalike-Domain auftaucht

Perimetry merkt sich, welche Lookalike-Domains beim vorherigen Audit registriert waren. Eine Domain, die letzte Woche frei war und diese Woche registriert ist, erscheint im Änderungsteil des Berichts, mit ihren Nameservern, ihrem Mailserver und ihrer Webseite. Das ist der Moment zu handeln, in dieser Reihenfolge:

1. Prüfen Sie, wer sie registriert hat. Die WHOIS-Angaben sind meist geschwärzt (bei .de zeigt die DENIC seit dem 25. Mai 2018 keine Inhaberdaten mehr öffentlich an), aber Registrar und Datum der Registrierung sind oft sichtbar. Eine Registrierung vor zwei Tagen über einen Anonymisierungsdienst mit bereits eingerichtetem Mailserver ist eine andere Lage als eine seit fünf Jahren geparkte Domain.
2. Warnen Sie die, die angegriffen würden. Ihre Buchhaltung, Ihre Kunden, Ihre Lieferanten. Eine kurze Nachricht („Wir schreiben Ihnen nie von einer anderen Domain als beispiel.de; wenn Sie etwas von einer ähnlichen Adresse erhalten, rufen Sie uns an“) kostet nichts und vereitelt die meisten Kampagnen.
3. Sperren Sie sie an Ihrem Mail-Gateway. Setzen Sie die Lookalike-Domain auf die Sperrliste Ihrer Organisation, damit intern niemand E-Mails von ihr erhält.
4. Melden Sie sie. Hostet die Domain eine Kopie Ihrer Website oder eine Anmeldeseite, melden Sie sie an die Abuse-Adresse des Registrars und an den Hoster. Die meisten nehmen offensichtliches Phishing innerhalb eines Tages vom Netz. Google Safe Browsing und Microsoft SmartScreen nehmen ebenfalls Meldungen an; ist die Domain dort gelistet, warnen Browser die Besucher. Phishing-E-Mails, die Ihre Kunden bereits erreicht haben, können sie an das Phishing-Radar der Verbraucherzentrale NRW weiterleiten (phishing@verbraucherzentrale.nrw).
5. Erwägen Sie rechtliche Schritte. Für Domains unter generischen Endungen wie .com führt das UDRP-Verfahren meist zum Ziel, wenn die Domain Ihre Marke nutzt und Ihre Kunden ins Visier nimmt; es dauert aber Wochen und kostet mehr als die Domain. Für .de gibt es kein solches Schiedsverfahren: Der Weg führt über eine Einigung mit dem Inhaber oder ein Gerichtsverfahren. Begleitend können Sie bei der DENIC einen DISPUTE-Eintrag beantragen: Er verhindert, dass die Domain während des Rechtsstreits übertragen wird, und lässt sie an Sie fallen, wenn der Inhaber sie löscht; der Inhaber darf sie bis zur Klärung weiter nutzen. Behalten Sie diese Wege den Domains vor, die online bleiben.

Was Sie nicht können, und was Sie stattdessen tun

Sie können nicht jede Variante registrieren; die Liste ist offen, und Endungen kommen jedes Jahr hinzu. Registrieren Sie die Handvoll, die zählt (Ihren Namen unter .de, .com, .eu, die Landesendung jedes Landes, in dem Sie tätig sind, bei Umlauten beide Schreibweisen, die zwei oder drei wahrscheinlichsten Tippfehler), und beobachten Sie den Rest.

Sie können niemanden daran hindern, eine Lookalike-Domain zu registrieren. Sie können dafür sorgen, dass sie nicht funktioniert: Veröffentlichen Sie auf Ihrer echten Domain eine strenge DMARC-Richtlinie, damit Angreifer nicht einfach Ihre Adresse fälschen können und auf eine Lookalike-Domain ausweichen müssen, die sichtbar ist; und sagen Sie Ihren Kunden einmal schriftlich, welche Domain Ihre ist.

Für Einrichtungen unter NIS2 gehört das Thema zur Bewältigung von Sicherheitsvorfällen (§ 30 Abs. 2 Nr. 2 BSIG): Eine laufende Phishing-Kampagne in Ihrem Namen ist ein Vorfall, den Sie bewerten und dokumentieren sollten.

So sieht der Bericht aus

Neue Lookalike-Domain registriert: ihre-firnma.de — hoch Seit dem Audit dieser Woche registriert (Nameserver bei einem auf Anonymität ausgerichteten Registrar). Hat einen Mailserver (mx1.example-host.net) und antwortet über HTTPS mit dem Titel „Ihre Firma — Anmeldung“. Als aktiven Phishing-Aufbau behandeln: Kunden und Team warnen, die Domain am Mail-Gateway sperren, an Registrar und Hoster melden.

Kandidaten, die nicht registriert bleiben, werden nicht aufgeführt; sie würden die wenigen verdecken, die zählen.