Malte ZanderInhalt
Eine gefälschte Login-Seite verrät sich meist, bevor das erste Opfer ein Passwort eingibt. Achten Sie auf vier Signale: eine neue Domain mit Ihrem Namen, ein frisches TLS-Zertifikat in öffentlichen Logs, eine unbekannte Seite, die Ihr Logo oder Ihre Skripte lädt, und den ersten verunsicherten Kunden. Gleichen Sie den Klon mit Ihrer echten Seite ab und melden Sie ihn noch am selben Tag.
- Chrome verlangt, dass alle öffentlich vertrauenswürdigen TLS-Zertifikate in Certificate-Transparency-Logs stehen. Zertifikate für Fake-Login-Domains landen deshalb in öffentlichen Verzeichnissen (Chrome).
- Logins sind das Hauptziel: Im vierten Quartal 2025 waren Social-Media-Marken sowie SaaS- und Webmail-Anbieter mit je 20,3 % die am stärksten angegriffenen Branchen (APWG).
- Im Juli 2025 fand Okta KI-generierte Nachbauten von Anmeldeseiten mehrerer Marken, darunter eines Okta-Kunden (Okta).
Wie kopieren Kriminelle eine Login-Seite?
Sie kopieren, was Menschen wiedererkennen, und ändern, was niemand sieht. Logo, Layout, Texte und Farben bleiben, aber das Formular schickt Benutzernamen und Passwörter an die Täter.
Drei Varianten sind verbreitet:
Statische Kopie: eine gespeicherte oder per KI erzeugte Version Ihrer Seite auf einer Lookalike-Domain oder einer gehackten Website.
Echtzeit-Proxy: Die Täter leiten Ihre echte Anmeldeseite durch und fangen dabei Passwörter, Codes und Session-Cookies ab. Microsoft beobachtete eine solche Kampagne gegen mehr als 10.000 Organisationen (Microsoft). Mehr dazu in Warum Zwei-Faktor-Login nicht jede Phishing-Seite stoppt.
Versteckte Kopie: Die Fälschung erscheint nur für Zielpersonen, etwa mit den richtigen Parametern im Link oder aus bestimmten Ländern. Alle anderen sehen eine harmlose Seite. Siehe versteckte Fälschungen.
Welche Signale verraten eine gefälschte Login-Seite früh?
Jeder Klon hinterlässt Spuren in öffentlicher Infrastruktur oder in Ihren eigenen Systemen, bevor er wirken kann. Je früher ein Signal, desto weniger beweist es, kombinieren Sie deshalb mehrere.
| Signal | Wo Sie es sehen | Wann es auftaucht | Was es Ihnen sagt |
|---|---|---|---|
| Neue Lookalike-Domain | Registrierungsdaten, Domain-Scans | Oft Tage vor dem Start | Absicht, noch kein Beweis |
| Neues TLS-Zertifikat für einen ähnlichen Namen | Certificate-Transparency-Logs | Rund um die Ausstellung, oft vor der Kampagne | Die Seite geht bald online |
| Unbekannte Seite lädt Ihre Dateien | Webserver- oder CDN-Logs, Referrer-Daten | Wenn der Klon getestet wird oder live ist | Eine Kopie existiert und zeigt noch auf Sie |
| Ungewöhnliche Anmeldungen | Logs Ihres Identity Providers | Wenn gestohlene Daten genutzt werden | Zugangsdaten sind bereits im Umlauf |
| Meldungen von Kunden oder Beschäftigten | Support-Postfach, soziale Netzwerke, Meldeformular | Mit den ersten Opfern | Eine laufende Kampagne, oft mit vollständigem Link |
| Anzeigen und Suchtreffer mit Ihrem Namen | Suchmaschinen, Anzeigenbibliotheken | Während der Verbreitung | Wie Menschen zum Klon gelangen |
Bei Proxy-Angriffen sind die Anmeldelogs das aussagekräftigste Signal. Microsoft empfiehlt, nach Anmeldungen mit ungewöhnlichem Standort, Provider oder User-Agent zu suchen und nach verdächtigen Posteingangsregeln danach (Microsoft).
Wie prüfen Sie, ob eine verdächtige Seite Ihre kopiert?
Sie vergleichen sie mit Ihrer echten Seite und schauen hinter die Oberfläche, ohne je Daten einzugeben:
Aussehen vergleichen, auf Desktop und Smartphone: Logo, Layout, Texte, Farben, Formularfelder.
Adresse lesen: Domain, Subdomains und Pfad. Ihr Markenname vor einer fremden Domain ist ein klassischer Trick.
Zertifikat prüfen: Aussteller, Ausstellungsdatum und weitere Namen auf demselben Zertifikat. Unser Leitfaden zum Auswerten von SSL-Zertifikaten zeigt, was sie verraten.
Quelltext ansehen: wohin das Formular seine Daten sendet und ob Bilder oder Skripte noch von Ihren Servern geladen werden.
Alter und Hosting prüfen: Eine Domain, die letzte Woche bei einem Billig-Hoster registriert wurde, ist im Zusammenhang ein starkes Signal.
HTTPS beweist hier nichts. Das Schloss bedeutet eine verschlüsselte Verbindung, nicht, dass die Seite Ihnen gehört.
Wie überwachen Sie Ihre Login-Seiten?
Beginnen Sie mit einer kurzen Liste dessen, was Angreifer kopieren würden, und beobachten Sie jedes Signal regelmäßig.
Login-Flächen auflisten: Kunden-Login, Partnerportal, Single Sign-on, Passwort-Reset und Seiten zur MFA-Einrichtung.
Domain-Varianten beobachten: Tippfehler, ähnlich aussehende Zeichen, Zusätze wie login, secure oder verify und andere Endungen. Siehe Lookalike-Domains.
Certificate-Transparency-Logs durchsuchen, nach Ihren Markenbegriffen, bei wichtigen Logins täglich.
Bei unbekannten Referrern alarmieren, die Ihr Logo, Ihre Schriften oder Skripte laden. Ein eindeutiges Bild auf der Login-Seite macht Kopien in Logs leicht erkennbar.
In Anmeldelogs suchen, nach durchgeleiteten Sitzungen und neuen IP-Bereichen von Hostern.
Melden leicht machen: Bieten Sie auf Login- und Hilfeseiten sichtbar an, einen verdächtigen Link zu melden.
Was tun Sie, wenn Sie einen Klon finden?
Handeln Sie am selben Tag, denn ein aktiver Klon sammelt jede Stunde Zugangsdaten.
Beweise sichern: vollständige URL, Screenshots, Zertifikat, Hosting- und DNS-Daten.
Parallel melden: an Hoster, Registrar, Google Safe Browsing und Microsoft. Registrare generischer Domains müssen bei belastbaren Hinweisen wie einem Screenshot und der vollständigen URL umgehend handeln (ICANN).
Konten schützen: die Domain in E-Mail- und Webfiltern sperren, Anmeldungen aus der Infrastruktur des Klons prüfen und betroffene Zugangsdaten und Sitzungen zurücksetzen.
Kunden warnen, wenn sie Ziel sind. Unser Leitfaden zum Warnen ohne Panik enthält eine Vorlage.
Weiter beobachten, denn Klone kehren auf neuen Domains zurück.
Den vollständigen Ablauf mit Zuständigkeiten zeigt unser Notfallplan für die ersten 24 Stunden.
Starten Sie den kostenlosen Fraud-Scan: Wir prüfen Ihre Marke auf Lookalike-Domains sowie nachgebaute Login-, Website- und Prüfseiten und schicken Ihnen innerhalb von 48 Stunden einen Kurzreport.
Häufige Fragen
Bedeutet HTTPS, dass eine Login-Seite echt ist?
Nein. HTTPS verschlüsselt nur die Verbindung. Phishing-Seiten bekommen TLS-Zertifikate so leicht wie echte Seiten, und genau deshalb helfen Certificate-Transparency-Logs, sie zu finden.
Kann ich verhindern, dass meine Login-Seite kopiert wird?
Nicht vollständig, denn alles, was ein Browser anzeigt, lässt sich kopieren. Sie können Kopien aber leichter erkennbar machen, etwa durch Referrer-Alarme, und weniger nützlich, indem Sie auf phishingresistente Anmeldeverfahren umstellen.
Wie oft sollte ich nach gefälschten Login-Seiten suchen?
Mindestens wöchentlich, und täglich bei Logins, die Zahlungen, persönliche Daten oder Admin-Rechte öffnen. Je früher Sie eine neue Domain oder ein neues Zertifikat sehen, desto mehr Zeit haben Sie.
Kann ich herausfinden, wer den Klon gebaut hat?
Selten mit Namen, denn Registrierungsdaten sind oft geschwärzt. Hosting, Zertifikate und gemeinsamer Code verbinden aber Fälle, und das hilft Hostern, Registraren und Ermittlern beim Handeln.
Quellen
APWG Phishing Activity Trends Report, Q4 2025, veröffentlicht am 18. Februar 2026
Okta Threat Intelligence: v0 als Werkzeug für Phishing-Seiten, 1. Juli 2025
Microsoft Security: AiTM-Phishing als Einstieg in Finanzbetrug, 12. Juli 2022
ICANN-Leitfaden zu den Pflichten gegen DNS-Missbrauch, 5. Februar 2024