So funktioniert’s
Lookalike-Domains sehen der echten Domain zum Verwechseln ähnlich: ein vertauschter oder fehlender Buchstabe (exmaple.com), „rn“ statt „m“ (exarnple.com), eine andere Endung (example.shop statt example.de), ein Bindestrich oder ein Zusatz wie example-login.com. Bei internationalisierten Domainnamen kommen Umlaute und Zeichen aus anderen Schriften dazu, die im Browser fast gleich aussehen (Homoglyphen).
Typosquatting setzt auf Tippfehler: Wer sich vertippt, landet auf der fremden Domain. Bei Phishing und Rechnungsbetrug zählt dagegen der flüchtige Blick: Eine Mail von buchhaltung@examp1e.de kann SPF, DKIM und DMARC bestehen – für die fremde Domain, die dem Angreifer gehört. Die Absicherung der echten Domain greift hier nicht.
Warum gefährlich
Lookalike-Domains sind das Werkzeug für CEO-Fraud und gefälschte Rechnungen: Angreifer schreiben Kunden, Lieferanten oder die Buchhaltung mit einer fast identischen Absenderadresse an, oft als Antwort in einem echten, zuvor mitgelesenen Mailverlauf. Bankdaten werden „geändert“, Zahlungen gehen an Fremde.
Dazu kommen Phishing-Seiten mit dem Logo des Kunden, abgegriffene Zugangsdaten und Schaden für die Marke. Weil die Domain einem Dritten gehört, helfen weder DMARC noch die eigenen DNS-Einstellungen – nur frühes Erkennen und Melden.
So vermeidest du es
- Naheliegende Varianten der wichtigsten Kundendomains vorsorglich selbst registrieren (andere Endungen, häufige Tippfehler) und auf die echte Domain weiterleiten.
- Neu registrierte Varianten mit Website oder Mailserver sofort ansehen und bei Missbrauch dem Registrar (Kontakt per RDAP) und dem Hoster melden.
- Phishing-Seiten an Google Safe Browsing melden und Kunden, Mitarbeiter und Buchhaltung konkret vorwarnen.
- Geänderte Bankverbindungen grundsätzlich über einen zweiten Kanal bestätigen lassen, etwa per Rückruf unter einer bekannten Nummer.
- Die echte Domain mit DMARC p=reject absichern, damit Angreifer auf Lookalikes ausweichen müssen – die lassen sich überwachen.
So erkennt DomainWarn es
Der Check „Ähnliche Domains“ erzeugt bis zu 250 Varianten der registrierbaren Domain (Homoglyphen, andere Endungen, Tippfehler, Bindestriche, gängige Zusätze, Umlaute als IDN) und prüft sie täglich per DNS: Eine Website (A- oder AAAA-Record) oder ein Mailserver (MX) heißt aktiv, nur Nameserver heißt geparkt. WHOIS-Abfragen oder Datenbanken Dritter nutzt er nicht.
Der erste Lauf ist die Ausgangslage; was dann schon existiert, gilt als Bestand und löst keine Warnung aus. Eine später registrierte aktive Variante ist eine Warnung und steht in der Zeitleiste, geparkte und wieder verschwundene Varianten sind Hinweise. Eigene überwachte Domains und als „gehört uns“ markierte Varianten meldet DomainWarn nie.
DomainWarn prüft das für alle deine Domains regelmäßig und meldet sich, wenn etwas fehlt oder sich ändert.