Malte ZanderInhalt
Fake-Websites kommen zurück, weil eine neue Domain wenige Euro kostet und die Betreiber ihre Vorlagen, Server und Abläufe einfach weiterverwenden. Ein Takedown entfernt eine Kopie, nicht den Betreiber. Wer abgeschlossene Fälle weiter beobachtet, neue Domains und Zertifikate mit Ihrem Namen verfolgt und Rückkehrer mit Verweis auf den alten Fall meldet, verkürzt jede neue Runde deutlich.
- Die 2024 zerschlagene Phishing-Plattform LabHost bot mehr als 170 Vorlagen für gefälschte Websites an (The Record).
- Ermittler brachten mindestens 40.000 Phishing-Domains und rund 10.000 Nutzer mit LabHost in Verbindung (BleepingComputer).
- Phishing-Seiten, deren Aussehen sich mehr als 100-mal änderte, blieben im Median 17 Tage online, gegenüber 1,93 Stunden bei Seiten mit kaum Änderungen (Lee u. a., WWW 2025).
- Chrome vertraut öffentlich ausgestellten Zertifikaten nur, wenn sie in Certificate-Transparency-Logs stehen. Neue Zertifikate für Lookalike-Domains sind deshalb öffentlich sichtbar (Chrome).
Warum kommen Fake-Seiten zurück?
Weil der Takedown nur die Hülle trifft. Der Betreiber verliert eine Domain oder ein Hosting-Konto, behält aber alles, was er für die nächste Kopie braucht: das Phishing-Kit oder die Shop-Vorlage, die Liste der Opfer, die Zahlungswege und die Erfahrung, welche Anbieter langsam reagieren. Eine neue Domain ist in Minuten registriert und kostet oft nur wenige Euro.
Hinzu kommt die Arbeitsteilung im Betrug. Plattformen wie LabHost verkauften fertige Vorlagen an Tausende Nutzer, und Ermittler fanden mindestens 40.000 Domains, die mit dieser einen Plattform verbunden waren. Fällt eine Kopie, setzt derselbe oder ein anderer Nutzer die nächste auf. Was in solchen Kits steckt, erklärt Phishing-Kits.
Woran erkennen Sie, dass es dieselbe Fälschung ist?
An Spuren, die Betreiber selten ändern:
Dieselben Dateien: Bilder, Skripte und Stylesheets mit identischem Inhalt oder Dateinamen.
Dieselben Texte: Formulierungen, Tippfehler und Übersetzungsfehler wiederholen sich.
Dieselbe Infrastruktur: Hoster, IP-Bereich, Nameserver oder Registrar ändern sich oft weniger als die Domain.
Dasselbe Namensmuster: ihre-marke-login, ihre-marke-service, ihre-marke-verify mit wechselnden Endungen.
Derselbe Köder: dieselbe Mail-Vorlage, dieselbe Anzeige, derselbe QR-Code-Aufkleber.
Je mehr dieser Merkmale übereinstimmen, desto sicherer ist die Zuordnung. Wie Sie Fälle systematisch verknüpfen, zeigt Fälle verknüpfen: wenn mehrere Fälschungen vom selben Täter kommen.
Wo tauchen Kopien wieder auf?
Meist in der Nähe der letzten. Typische Muster sind dieselbe Domain mit anderer Endung, etwa .net statt .com, ein ähnlicher Name mit anderem Zusatz, eine Subdomain auf einem kostenlosen Hosting-Dienst oder dieselbe Seite bei einem Anbieter, der langsamer reagiert. Kampagnen mit QR-Codes oder Anzeigen tauschen oft nur das Ziel aus, während der Köder bleibt.
Hartnäckig sind vor allem gepflegte Fälschungen. In einer Studie der ACM Web Conference 2025 blieben Phishing-Seiten, die ihr Aussehen ständig anpassten, im Median 17 Tage online, während kaum veränderte Seiten nach knapp zwei Stunden verschwanden (Lee u. a., WWW 2025). Wer seine Seite so pflegt, setzt sie auch nach einem Takedown wieder auf.
Wie beobachten Sie abgeschlossene Fälle?
Mit einer kurzen Liste fester Prüfpunkte:
Alte Adressen: Rufen Sie entfernte URLs in regelmäßigen Abständen ab. Manche Seiten kehren unter derselben Adresse zurück, wenn ein gesperrtes Konto reaktiviert wird.
Neue Domains: Beobachten Sie Registrierungen mit Ihrem Namen, typischen Tippfehlern und verwechselbaren Zeichen.
Zertifikate: Fast jede Fälschung nutzt HTTPS, und öffentliche Zertifikate stehen in Certificate-Transparency-Logs. Ein neues Zertifikat für einen verwechselbaren Namen ist oft das erste Signal.
Infrastruktur: Prüfen Sie, ob auf bekannten IP-Bereichen oder Nameservern früherer Fälle neue Domains mit Ihrem Namen auftauchen.
Hinweise von außen: Kunden, Partner und Prüfende sehen Links, die Ihr Monitoring nicht sieht. Ein Melde-Widget auf Ihrer Website gibt ihnen eine feste Stelle dafür, mehr dazu in Das Melde-Widget.
Wie melden Sie eine Rückkehr?
Mit Verweis auf den alten Fall. Nennen Sie die frühere Adresse, das Datum der ersten Meldung und die Vorgangsnummer, und zeigen Sie, welche Merkmale übereinstimmen. Für Hoster und Registrare ist das ein starkes Signal: Sie sehen, dass es sich um ein Muster handelt, nicht um einen Einzelfall. Fragen Sie den Registrar ausdrücklich, ob derselbe Inhaber weitere Domains registriert hat, die Ihre Marke imitieren.
| Situation | Bitte an den Anbieter |
|---|---|
| Gleiche Seite, neue Domain beim selben Registrar | Sperrung und Prüfung weiterer Domains desselben Inhabers |
| Gleiche Seite, neuer Hoster | Entfernung mit Verweis auf den früheren Fall und dessen Belege |
| Alte Adresse wieder aktiv | Erneute Sperrung und Prüfung, wie das Konto reaktiviert wurde |
| Neue Lookalike-Domain ohne Inhalt | Beobachten und Belege sammeln, Meldung sobald Inhalte erscheinen |
Was hilft dauerhaft gegen die Wiederkehr?
Keine einzelne Maßnahme, aber eine Kombination. Ein UDRP-Verfahren holt eine besonders schädliche Domain zu Ihnen, sodass sie nicht erneut genutzt werden kann. Eine eingetragene Marke stärkt jede Meldung und jedes Streitverfahren. Wer typische Tippfehler-Domains selbst registriert, nimmt den Betreibern die naheliegendsten Adressen. Und klare Hinweise an Ihre Kunden, welche Adressen echt sind, machen jede neue Kopie weniger wirksam. Ob sich der Rechtsweg lohnt, zeigt Takedown oder Rechtsweg.
Wie hilft AI Fraud Protect?
AI Fraud Protect lässt abgeschlossene Fälle nicht aus dem Blick. Neue Funde werden mit früheren Fällen abgeglichen und als Rückkehr zugeordnet. Die neue Meldung wird mit Verweis auf den alten Fall vorbereitet, ein Mensch prüft und versendet sie. Hinweise über das Melde-Widget fließen in dieselbe Fallliste.
Starten Sie den kostenlosen Fraud-Scan für einen Kurzreport innerhalb von 48 Stunden oder fragen Sie eine Demo an, um Erkennung, Beweise und Takedown in der App zu sehen.
Häufige Fragen
Wie lange sollte ich einen abgeschlossenen Fall beobachten?
Mindestens einige Wochen, bei hartnäckigen Fälschungen dauerhaft. Viele Rückkehrer erscheinen in den Tagen nach dem Takedown, gepflegte Kampagnen auch Monate später.
Kann ich verhindern, dass jemand eine ähnliche Domain registriert?
Nicht vollständig. Sie können typische Varianten selbst registrieren und bei eingetragener Marke gegen missbräuchliche Registrierungen vorgehen. Wichtiger ist, neue Registrierungen früh zu sehen.
Bringt es etwas, denselben Hoster erneut zu melden?
Ja, besonders mit Verweis auf den alten Fall. Reagiert ein Hoster wiederholt nicht, konzentrieren Sie sich auf Registrar, Browserwarnungen und die Eskalation.
Ist eine wiederkehrende Fälschung ein Fall für die Polizei?
Wenn es Geschädigte gibt, ja. Eine Strafanzeige dokumentiert den Fall, und verknüpfte Fälle mit gemeinsamen Spuren sind für Ermittler besonders wertvoll.
Quellen
The Record: LabHost in weltweiter Aktion abgeschaltet, 18. April 2024
BleepingComputer: LabHost zerschlagen, 18. April 2024
Lee, Lim, Kim, Kwon, Kim: 7 Days Later, Analyzing Phishing-Site Lifespan After Detected, ACM Web Conference 2025