Im Posteingang erscheint eine Nachricht, die wie eine routinemäßige Mitteilung Ihres Anbieters aussieht. Sie enthält Ihren Namen, den exakten Namen Ihrer Domain und ein Ablaufdatum, das tatsächlich stimmt. Darunter die Warnung: Die Kartenzahlung sei fehlgeschlagen, und falls die Daten nicht innerhalb von 24 Stunden aktualisiert werden, würden Website und geschäftliche E-Mail abgeschaltet.

Der Absender wirkt offiziell - der Name eines großen Hosting- oder Domainanbieters, im Kopf eine Adresse, die korrekt erscheint. Die Schaltfläche „Domain verlängern“ führt zu einer Seite, die dem echten Kundenportal zum Verwechseln ähnlich sieht. Dort werden Benutzername, Passwort und Kartendaten abgefragt.

Alles, was Sie auf dieser Seite eingeben, landet direkt beim Angreifer: der Zugang zum Portal und häufig auch die Kreditkarte. Mit Zugriff auf die Domainverwaltung kann der Angreifer Website und E-Mail umleiten und die Domain sogar auf ein anderes Konto übertragen.

Woher kennen die Angreifer meine Daten?

Am meisten irritiert die Genauigkeit der Nachricht. Doch nichts davon ist geheim.

WHOIS-Register. Jede registrierte Domain hat einen öffentlichen Eintrag in der WHOIS-Datenbank: bei welchem Registrar sie registriert ist, wann sie abläuft und welche Nameserver sie nutzt. Persönliche Angaben werden heute aus Datenschutzgründen bei vielen Registraren teilweise ausgeblendet, doch Ablaufdatum, Registrar und oft auch Firmenname oder Kontakt-E-Mail bleiben sichtbar. Zudem gibt es Dienste, die historische WHOIS-Einträge aus der Zeit speichern, als diese Angaben noch vollständig öffentlich waren.

Automatisierte Bots. Angreifer suchen ihre Opfer nicht von Hand. Programme scannen täglich Millionen von Domains, erfassen Ablaufdaten, sammeln E-Mail-Adressen von Websites und Kontaktseiten und versenden Nachrichten automatisch genau dann, wenn eine Verlängerung tatsächlich ansteht.

Die Website selbst verrät viel. Der Name der Inhaberin oder des Inhabers im Impressum, die E-Mail-Adresse auf der Kontaktseite, der Hostinganbieter, der sich aus den DNS-Einträgen ablesen lässt - all das ist öffentlich und lässt sich mühelos zu einer persönlichen Nachricht zusammenfügen.

Warum Sie Post von einem Anbieter erhalten, den Sie gar nicht nutzen

Häufig trifft eine Mitteilung im Namen eines großen, bekannten Hosting- oder Domainanbieters ein, obwohl die Domain dort gar nicht registriert ist. Das ist kein Fehler der Angreifer, sondern Kalkül.

Werden hunderttausend Nachrichten im Namen großer, bekannter Unternehmen versendet, ist ein Teil der Empfänger tatsächlich Kunde, und ein anderer Teil weiß schlicht nicht mehr, wo was registriert wurde. Es genügt, wenn ein kleiner Prozentsatz klickt. Wichtig ist auch: Der Anbieter selbst wurde in diesem Fall nicht gehackt - die Angreifer missbrauchen lediglich seinen Namen.

Der technische Trick: Wie der Absender gefälscht wird

Eine E-Mail enthält mehrere Felder, die ähnlich aussehen, aber Unterschiedliches bedeuten. Genau dort liegen die meisten Täuschungen.

• Anzeigename (Display Name). Der Text vor der Adresse, etwa „Hosting Support“. Hier kann beliebiger Text stehen - geprüft wird nichts.
• From. Die als Absender angezeigte Adresse. Sie lässt sich fälschen, und oft wird eine Adresse verwendet, die der echten nur ähnelt - etwa mit einem abweichenden Buchstaben oder einem Zusatz wie „-billing“ oder „-secure“.
• Reply-To. Die Adresse, an die Ihre Antwort geht. Bei Betrugsversuchen weicht sie häufig von der From-Adresse ab und führt direkt zum Angreifer.
• Tatsächlicher Absenderserver. Er ist erst im vollständigen Nachrichtenkopf sichtbar und zeigt, woher die E-Mail wirklich stammt - meist von einem kompromittierten Server oder einem günstigen Massenversanddienst.

Seriöse Anbieter schützen ihre Domains heute mit Regeln (SPF, DKIM und DMARC), die das direkte Fälschen ihrer exakten Adresse erschweren. Deshalb greifen Angreifer zunehmend auf Adressen und Domains zurück, die den echten lediglich ähneln. Auf dem Smartphone, wo die Adresse oft nicht vollständig angezeigt wird, fällt der Unterschied kaum jemandem auf.

Anatomie einer gefälschten Nachricht

Nahezu jede dieser Nachrichten enthält dieselben Bestandteile:

• Dringlichkeit: „Ihre Website und E-Mail werden in 24 Stunden abgeschaltet.“
• Ein korrektes Detail: die echte Domain und das echte Ablaufdatum, damit die Nachricht überprüfbar wirkt.
• Ein Zahlungsproblem: „Karte abgelehnt“ oder „Zahlung fehlgeschlagen“, damit die Abfrage der Kartendaten plausibel erscheint.
• Eine große Schaltfläche: „Jetzt verlängern“ oder „Daten bestätigen“, die zur gefälschten Seite führt.

Bewegen Sie vor dem Klick stets den Mauszeiger über die Schaltfläche (auf dem Smartphone: den Link lange gedrückt halten) und prüfen Sie die tatsächliche Adresse. Führt sie zu einer unbekannten Domain, einer ungewöhnlichen Subdomain oder einer Adresse mit zusätzlichen Wörtern vor oder nach dem Anbieternamen, handelt es sich um Betrug. Die echte Domain liest man immer rechts, direkt vor dem ersten Schrägstrich: In der Adresse anbieter.com.domain-verlaengerung.net lautet die echte Domain domain-verlaengerung.net, nicht anbieter.com.

Echte Mitteilung oder Phishing - so unterscheiden Sie

Prüfen und reagieren in vier Schritten

1. Nichts in der E-Mail anklicken. Weder Schaltfläche noch Link noch Anhang - auch dann nicht, wenn alle Angaben stimmen.

2. Absender und Reply-To prüfen. Öffnen Sie die vollständigen Nachrichtendetails (in Gmail: „Original anzeigen“, in Outlook: „Nachrichteneigenschaften“). Vergleichen Sie From- und Reply-To-Adresse und sehen Sie sich die Prüfergebnisse an - steht dort, dass SPF, DKIM oder DMARC nicht bestanden wurden, ist die E-Mail mit großer Sicherheit gefälscht.

3. Direkt anmelden. Geben Sie die Adresse des Portals Ihres Registrars oder Hosters selbst im Browser ein oder nutzen Sie ein gespeichertes Lesezeichen - niemals den Link aus der E-Mail.

4. Status im Portal prüfen. Läuft die Domain tatsächlich ab oder ist eine Zahlung wirklich fehlgeschlagen, sehen Sie das in Ihrem Konto. Ist dort alles in Ordnung, löschen Sie die E-Mail und melden Sie sie als Phishing.

Falls Sie Ihre Daten bereits auf der gefälschten Seite eingegeben haben: Ändern Sie umgehend das Passwort im echten Portal, aktivieren Sie die Zwei-Faktor-Authentifizierung, lassen Sie die Karte bei Ihrer Bank sperren und prüfen Sie, ob DNS-Einträge oder Kontaktdaten der Domain verändert wurden.

Dauerhafter Schutz: DNS-Regeln und Gewohnheiten im Team

Für die eigene Domain lohnt es sich, drei DNS-Einträge einzurichten, die es erschweren, E-Mails in Ihrem Namen zu versenden:

• SPF - eine Liste der Server, die E-Mails im Namen Ihrer Domain versenden dürfen.
• DKIM - eine digitale Signatur, die belegt, dass die Nachricht unverändert ist und tatsächlich von Ihrem Server stammt.
• DMARC - eine Regel, die empfangenden Servern vorgibt, wie mit Nachrichten umzugehen ist, die die Prüfungen nicht bestehen: zustellen, in den Spam verschieben oder abweisen.

Darüber hinaus empfiehlt es sich, die Zwei-Faktor-Authentifizierung für Registrar, Hosting und geschäftliche E-Mail zu aktivieren, die automatische Verlängerung der Domain sowie die Transfersperre (Transfer Lock) einzuschalten, sofern der Registrar dies anbietet, und im Team festzulegen, dass jede E-Mail zu Zahlungen oder „dringenden“ Änderungen direkt im Portal überprüft wird.

Die Domain ist die Adresse des gesamten Unternehmens im Internet - Website, E-Mail und Reputation hängen an ihr. Eine einzige Regel schützt vor den meisten dieser Angriffe: Mitteilungen werden nicht per Klick geprüft, sondern per Anmeldung.