So funktioniert’s
Angreifer geben sich als Bank, Paketdienst, Software-Anbieter oder Geschäftspartner aus und drängen zu einer schnellen Handlung: Passwort bestätigen, Rechnung bezahlen, Anhang öffnen. Der Link führt auf eine nachgebaute Anmeldeseite, die alles abgreift, was dort eingegeben wird.
Als Absender nutzen sie die echte Domain, wenn kein DMARC sie schützt, eine ähnlich geschriebene Domain wie rechnung-example.com oder ein gehacktes Postfach. Die Phishing-Seite liegt oft auf einer frisch registrierten Lookalike-Domain oder in einem Unterordner einer gehackten Website.
Gezielte Varianten wie Spear-Phishing oder CEO-Fraud richten sich an einzelne Personen und greifen echte Namen und laufende Vorgänge auf, etwa die angeblich neue Bankverbindung eines Lieferanten.
Warum gefährlich
Deine Kunden können in zwei Rollen geraten: als Opfer, wenn Mitarbeiter auf eine Phishing-Seite hereinfallen, und als Werkzeug, wenn ihre Domain oder Website für Angriffe auf andere missbraucht wird. Im zweiten Fall setzt Google die Website auf seine Warnliste, Chrome, Firefox und Safari zeigen vor dem Öffnen eine rote Warnseite, und die Besucher bleiben weg.
Schon eine einzige Lookalike-Domain reicht, um Kunden eines Shops oder einer Agentur gefälschte Rechnungen zu schicken; Schaden und Aufklärung bleiben am echten Unternehmen hängen.
So vermeidest du es
- DMARC bis p=reject durchsetzen, damit niemand mit der exakten Absenderdomain phishen kann.
- Naheliegende Tippfehler- und Endungsvarianten der Domain selbst registrieren.
- CMS, Plugins und Zugänge aktuell halten und mit Zwei-Faktor-Anmeldung schützen, damit die Website nicht als Phishing-Host missbraucht wird.
- Neu auftauchende ähnliche Domains bei Registrar und Hoster melden und Kunden sowie Mitarbeiter vorwarnen.
- Zahlungsänderungen und ungewöhnliche Anfragen grundsätzlich über einen zweiten Kanal bestätigen.
So erkennt DomainWarn es
Phishing-Mails selbst sieht DomainWarn nicht. Der Check Ähnliche Domains erzeugt bis zu 250 Schreibweisen der Domain (Tippfehler, verwechselbare Zeichen, andere Endungen, Zusätze wie -login) und prüft täglich per DNS, welche registriert sind. Taucht nach dem ersten Lauf eine Variante mit Website oder Mailserver auf, gibt es eine Warnung, eine nur geparkte Variante ist ein Hinweis; was beim ersten Lauf schon existiert, zählt als Bestand.
Die Google-Warnliste fragt täglich Googles Web Risk API ab: Stuft Google die Website als Phishing, Malware oder unerwünschte Software ein, ist das kritisch und eröffnet sofort den Incident „Google warnt vor der Website“. Der DMARC-Check sorgt dafür, dass eine ungeschützte exakte Domain nicht unbemerkt bleibt.
DomainWarn prüft das für alle deine Domains regelmäßig und meldet sich, wenn etwas fehlt oder sich ändert.