Beweise einer Fake-Website sichern: was, wie, wofür

Inhalt

Warum Beweise sichern, bevor Sie melden?
Was gehört in ein Beweispaket?
Wie machen Sie Screenshots, die halten?
Wie erfassen Sie Domain-, DNS-, Hosting- und Zertifikatsdaten?
Was tun bei Seiten, die nur mit dem richtigen Link erscheinen?
Wie bewahren Sie Beweise glaubwürdig auf?
Was braucht Ihre Kanzlei von Ihnen?
Welche Fehler schwächen Beweise?
Wie hilft AI Fraud Protect?
Häufige Fragen

Kurz gesagt

Um eine Fake-Website zu dokumentieren, sichern Sie die vollständige URL, Screenshots auf Desktop und Mobil mit Datum und Uhrzeit, den Quelltext, die Domainregistrierung, die DNS-Einträge, den Hoster und das TLS-Zertifikat, dazu die E-Mail, Anzeige oder den QR-Code, über die Menschen auf die Seite kamen. Legen Sie alle Dateien unverändert ab, notieren Sie zu jeder eine Prüfsumme und führen Sie ein Protokoll, wer was wann erfasst hat.

Die wichtigsten Fakten

ISO/IEC 27037 ist der internationale Leitfaden zum Identifizieren, Sammeln, Erfassen und Sichern digitaler Beweise. Die Ausgabe von 2012 wurde zuletzt 2018 überprüft und bestätigt (ISO).
Das Berkeley-Protokoll des Human Rights Center der UC Berkeley und des UN-Menschenrechtsbüros legt Mindeststandards für das Finden, Sammeln, Sichern und Prüfen von Online-Informationen fest (UC Berkeley).
Seit dem 28. Januar 2025 ist RDAP die maßgebliche Quelle für Registrierungsdaten generischer Domains und ersetzt WHOIS (ICANN).
Chrome vertraut öffentlich ausgestellten Zertifikaten nur, wenn sie in Certificate-Transparency-Logs stehen. Das Zertifikat fast jeder Fake-Seite ist deshalb öffentlich sichtbar (Chrome).

Warum Beweise sichern, bevor Sie melden?

Weil die Seite, die Sie heute melden, morgen verschwunden oder verändert sein kann. Betreiber verschieben Kits zwischen Hostern, tauschen Domains und zeigen neutrale Inhalte, sobald sie Aufmerksamkeit bemerken. Ohne Beweise können Sie nicht belegen, was dort stand, keine neue Kopie einem alten Fall zuordnen und Ihrer Kanzlei nichts in die Hand geben.

Beweise machen auch die Meldung selbst stärker. Registrare brauchen belastbare Belege, bevor sie eine Domain sperren, und die ICANN nennt einen Screenshot und die vollständige URL als nützliche Beispiele (ICANN). Eine Meldung an einen Hoster in der EU muss den genauen Ort der Inhalte nennen (DSA, Artikel 16). Erst sichern, dann melden.

Was gehört in ein Beweispaket?

Ein vollständiges Paket beantwortet vier Fragen: Was zeigte die Seite, wo lag sie, wer betreibt die Infrastruktur und wie kamen Menschen dorthin? Diese elf Bestandteile decken das ab:

Bestandteil	Warum er zählt	So erfassen Sie ihn
Vollständige URL	Belegt den genauen Ort, mit Pfad und Parametern	Aus der Adresszeile kopieren, nie abtippen
Screenshots Desktop und Mobil	Zeigen, was Besucher auf beiden Gerätearten sahen	Ganzseitig, mit sichtbarer Adresszeile, Datum und Uhrzeit
Quelltext und Dateien	Belegen kopierten Code, Logos und Texte	HTML und die geladenen Dateien speichern
Weiterleitungen und HTTP-Header	Zeigen den Weg vom Köder zur Zielseite	Jede Station mit Statuscode und Server-Header notieren
Domainregistrierung	Nennt Registrar, Daten und Abuse-Kontakt	RDAP-Abfrage über lookup.icann.org
DNS-Einträge	Zeigen IP-Adresse, Nameserver und Mail-Einrichtung	A-, AAAA-, NS-, MX- und TXT-Einträge mit Abfragezeit
Hosting und Netz	Nennen den Anbieter, der Inhalte entfernen kann	IP-Abfrage mit Netzbetreiber und Abuse-Kontakt
TLS-Zertifikat	Zeigt Aussteller, Ausstellungsdatum und verwandte Domains	Zertifikatsdetails plus Eintrag im Certificate-Transparency-Log
Der Köder	Zeigt, wie Opfer auf die Seite kamen	E-Mail mit vollständigen Headern, Anzeige, QR-Code, SMS
Zahlungs- und Kontaktdaten	Verbinden die Fälschung mit Geldflüssen und anderen Fällen	Bankverbindung, Telefonnummern, Messenger-Kennungen auf der Seite
Ihr Rechtenachweis	Zeigt, warum Sie die Entfernung verlangen dürfen	Markeneintragung, Ihre Originalseite, Ihre offiziellen Domains

Wie machen Sie Screenshots, die halten?

Vollständig, unbearbeitet und im Kontext. Ein zugeschnittenes Bild eines Login-Formulars belegt wenig. Eine ganzseitige Aufnahme mit Adresszeile, Datum und Uhrzeit belegt, wo und wann:

Sauberen, isolierten Browser nutzen. Ein eigenes Profil oder eine virtuelle Maschine hält die Fälschung von Ihren Konten und Ihrem Netz fern. Geben Sie auf einer verdächtigen Seite nie echte Zugangsdaten oder persönliche Daten ein.
Die ganze Seite zweimal erfassen. Einmal auf dem Desktop und einmal mit einem mobilen Browser oder mobiler Emulation, denn viele Kits zeigen je nach Gerät andere Inhalte.
Kontext sichtbar lassen. Vollständige Adresszeile, Datum und Uhrzeit mit Zeitzone sowie der Seitentitel gehören ins Bild.
Dateien nicht bearbeiten. Kein Zuschneiden, keine Pfeile, keine Komprimierung. Für Markierungen eine Kopie anlegen und das Original behalten.
Die Seite selbst speichern. Legen Sie HTML oder eine MHTML-Datei neben die Screenshots und erstellen Sie, wo es gefahrlos geht, eine öffentliche Archivkopie mit Save Page Now des Internet Archive. Archive scheitern oft an Seiten, die Parameter brauchen. Sie ergänzen Ihre eigenen Dateien, ersetzen sie aber nicht.

Wie erfassen Sie Domain-, DNS-, Hosting- und Zertifikatsdaten?

Fragen Sie die öffentlichen Quellen ab und speichern Sie die Rohantworten mit dem Zeitpunkt der Abfrage:

Registrierung: Das Lookup-Tool der ICANN liefert für generische Domains Registrar, Erstellungsdatum, Status und Abuse-Kontakt über RDAP. Länder-Registries wie DENIC für .de veröffentlichen weniger. Notieren Sie dann Registrar und Nameserver.
DNS: Halten Sie die A- und AAAA-Einträge für die IP-Adressen fest, die NS-Einträge für den DNS-Anbieter und die MX-Einträge, die zeigen, ob die Domain für E-Mail eingerichtet ist.
Hosting: Ermitteln Sie das Netz, zu dem die IP-Adresse gehört. Gehört sie einem CDN wie Cloudflare, ist der echte Hoster dahinter verborgen, und das Abuse-Verfahren des CDN legt ihn offen. So finden Sie den Hosting-Anbieter einer Website auch dann, wenn ein CDN davorsteht.
Zertifikat: Speichern Sie die Zertifikatsdetails aus dem Browser und suchen Sie die Domain in einem Certificate-Transparency-Log wie crt.sh. Weitere Domains auf demselben Zertifikat oder Zertifikate vom selben Tag gehören oft zum selben Betreiber. Deshalb lohnt es sich, die SSL-Zertifikate von Phishing-Seiten zu analysieren, bevor Sie einen Fall schließen.

Was tun bei Seiten, die nur mit dem richtigen Link erscheinen?

Manche Phishing-Seiten sind gebaut, um sich zu verstecken. Sie zeigen eine leere oder harmlose Seite, solange der Besuch nicht mit dem genauen Link, dem passenden Gerät oder aus dem passenden Land kommt. Gefälschte Prüfseiten für Zertifikate funktionieren so: Das gefälschte Zertifikat trägt einen QR-Code mit Parametern, und nur dieser vollständige Link zeigt „Zertifikat gültig“ mit Ihrem Logo.

Dokumentieren Sie solche Seiten mit dem genauen Link aus dem Köder, nicht mit einer gekürzten Fassung. Erfassen Sie auch die neutrale Version, denn der Unterschied ist selbst ein Beleg für die Täuschung. Notieren Sie Gerät, Browser und Netz, damit andere das Ergebnis nachvollziehen können. Weil Suchmaschinen und Scanner solche Seiten selten sehen, sind die Menschen mit dem Link Ihre beste Quelle. Dafür gibt es ein Melde-Widget auf Ihrer eigenen Website.

Wie bewahren Sie Beweise glaubwürdig auf?

So, dass jeder sehen kann, dass sie sich seit der Erfassung nicht verändert haben. Drei Gewohnheiten reichen für die meisten Markenfälle:

Ein Ordner pro Fall, mit schreibgeschützten Originalen und einem eigenen Ordner für markierte Kopien.
Eine Prüfsumme pro Datei. Ein SHA-256-Hash, bei der Erfassung notiert, zeigt später, dass eine Datei unverändert ist.
Ein Beweisprotokoll, das festhält, wer was wann mit welchem Werkzeug und aus welchem Netz erfasst hat. Dieses Protokoll ist Ihre Beweiskette.

Vorlage

Beweisprotokoll: Fall [Nummer], [Domain]
Bestandteil: [Screenshot Desktop / Screenshot Mobil / Quelltext / RDAP / DNS / Zertifikat / Köder]
Dateiname: [Dateiname] · SHA-256: [Prüfsumme]
Erfasst am: [Datum, Uhrzeit, Zeitzone] · Von: [Name, Funktion]
Werkzeug und Umgebung: [Browser, Version, Gerät oder Emulation, Netz oder VPN-Standort]
Quelle: [vollständige URL oder Abfragedienst, Abfrage]
Hinweise: [Auffälligkeiten, etwa Inhalte, die sich je nach Gerät oder Land unterscheiden]

In Beweisen können personenbezogene Daten von Opfern landen, etwa in weitergeleiteten E-Mails. Behalten Sie nur, was der Fall braucht, und beschränken Sie den Zugriff auf die Menschen, die daran arbeiten.

Was braucht Ihre Kanzlei von Ihnen?

Ihre Kanzlei braucht eine Akte, die sie ohne Rückfragen lesen kann: eine kurze Zusammenfassung des Falls, Ihren Rechtenachweis, das Beweispaket mit Protokoll, jede versendete Meldung mit Datum und jede erhaltene Antwort. Für Streitverfahren um eine Domain zählen vor allem die Registrierungsdaten und Screenshots, die eine bösgläubige Nutzung zeigen.

Welche Fehler schwächen Beweise?

Schwache Beweise scheitern meist an einfachen Dingen:

Ein Screenshot ohne Adresszeile, Datum oder Uhrzeit.
Eine gekürzte oder abgetippte URL, die nicht mehr dem Original entspricht.
Nur eine Aufnahme, also kein Beleg für die mobile Version oder für Veränderungen über die Zeit.
Bearbeitete oder komprimierte Bilder ohne Original.
Echte Zugangsdaten oder Testdaten auf der Fake-Seite eingegeben. Das kann den Betreiber warnen und Konten gefährden.
Dateien verstreut über Postfächer und Chats statt in einem Fallordner.

Wie hilft AI Fraud Protect?

AI Fraud Protect erstellt für jeden Fund ab dem ersten Scan ein Beweispaket: Screenshots auf Desktop und Mobil, Registrierungsdaten, DNS-Einträge, Hosting und IP, das TLS-Zertifikat, einen KI-Analysebericht mit den kopierten Elementen und Ihren Markennachweis. Das Paket hängt automatisch an jeder Meldung, und die Historie hält fest, wer welche Meldung wann versendet hat. Neue Kopien werden über gemeinsame Infrastruktur und Seitenvorlagen früheren Fällen zugeordnet.

Sichern Sie den Beweis, bevor die Fälschung umzieht.

Starten Sie den kostenlosen Fraud-Scan für einen Kurzreport innerhalb von 48 Stunden oder fragen Sie eine Demo an, um ein Beweispaket in der App zu sehen.

Kostenlosen Fraud-Scan starten Demo anfragen

Häufige Fragen

Reichen Screenshots als Beweis?

Allein nicht. Screenshots zeigen, wie eine Seite aussah. Registrierungs-, DNS-, Hosting- und Zertifikatsdaten zeigen, wer verantwortlich ist und wo Sie melden. Zusammen mit der vollständigen URL und einem Protokoll entsteht ein Fall, mit dem Anbieter und Kanzleien arbeiten können.

Darf ich eine Phishing-Seite erfassen?

Eine öffentlich erreichbare Seite anzusehen und zu dokumentieren gehört in der Regel zum Schutz Ihrer Rechte. Geben Sie nie echte Daten ein, versuchen Sie nicht, in geschützte Bereiche zu gelangen, und nutzen Sie einen isolierten Browser. Das ist keine Rechtsberatung. Über Grenzfälle entscheidet Ihre Rechtsabteilung.

Kann ich die Wayback Machine als Beweis nutzen?

Als Ergänzung, ja. Eine öffentliche Archivkopie zeigt, dass ein Dritter die Seite zu einem bestimmten Zeitpunkt gesehen hat. An Seiten, die Parameter brauchen oder Crawler blockieren, scheitert sie oft. Behalten Sie deshalb auch Ihre eigenen Aufnahmen.

Wie lange sollten wir Beweise aufbewahren?

So lange, wie ein Fall, ein Streit oder ein Anspruch noch folgen kann, und im Einklang mit Ihren Aufbewahrungsregeln. Löschen Sie personenbezogene Daten, die der Fall nicht mehr braucht.

Brauchen wir eine Forensikerin oder einen Forensiker?

Für die meisten Takedowns nicht. Sorgfältige Aufnahmen, Prüfsummen und ein Protokoll reichen den Anbietern. Bei Gerichtsverfahren oder Strafanzeigen entscheidet Ihre Kanzlei, ob ein forensisches Gutachten oder eine notarielle Sicherung mehr Gewicht bringt.

Quellen

Mehr aus dieser Reihe

Zur Blog-Übersicht Read in English