Malte ZanderInhalt
- Wer kann eine Fake-Website überhaupt entfernen?
- Wann ist der Registrar der stärkste Hebel?
- Wann ist der Hoster der richtige erste Adressat?
- Welche Rolle spielen DNS-Anbieter und CDN?
- Wie erkennen Sie, welcher Fall vorliegt?
- Warum nicht einfach alle gleichzeitig melden?
- Wie hilft AI Fraud Protect?
- Häufige Fragen
Melden Sie zuerst dort, wo der Missbrauch sitzt. Wurde die Domain nur registriert, um Sie zu imitieren, ist der Registrar Ihr stärkster Hebel, weil er die ganze Domain sperren kann. Liegt die Fälschung auf einer gehackten, sonst echten Website, ist der Hoster der richtige erste Adressat. DNS-Anbieter und CDN helfen beim Weiterleiten und Auffinden. Am schnellsten wird es, wenn Sie alle zuständigen Stellen am selben Tag melden.
- Seit dem 5. April 2024 müssen Registrare generischer Domains wie .com bei belastbaren Hinweisen auf Phishing umgehend handeln (ICANN).
- Hostingdienste in der EU müssen ein Melde- und Abhilfeverfahren anbieten und über Meldungen zeitnah, sorgfältig, willkürfrei und objektiv entscheiden (DSA, Artikel 16).
- Cloudflare entfernt keine Inhalte, die es nicht hostet. Es leitet Meldungen an Seitenbetreiber und Hoster weiter und nennt dem Hoster die Ursprungs-IP (Cloudflare).
- Die DENIC, Registry für .de, kann nach eigenen Angaben keine Phishing-Seiten entfernen (DENIC).
Wer kann eine Fake-Website überhaupt entfernen?
Vier Stellen, und jede an einem anderen Punkt. Der Hoster entscheidet über den Inhalt auf seinen Servern. Der Registrar entscheidet über die Domain. Der DNS-Anbieter entscheidet über die Einträge, die eine Domain auf einen Server zeigen lassen. Ein CDN liefert die Seite nur aus und hostet sie nicht.
| Stelle | Was sie tun kann | Was sie nicht tun kann |
|---|---|---|
| Hoster | Seite, Dateien oder das ganze Konto entfernen | Die Domain sperren |
| Registrar | Die Domain sperren, sodass sie nirgends mehr auflöst | Einzelne Dateien auf einem fremden Server löschen |
| DNS-Anbieter | Einträge entfernen oder die Zone abschalten | Inhalte beim Hoster löschen |
| CDN | Meldungen weiterleiten, den Hoster nennen, Dienste beenden | Inhalte entfernen, die es nicht hostet |
Daraus folgt die wichtigste Regel: Fragen Sie jede Stelle nur nach dem, was sie tun kann. Eine Bitte an ein CDN, eine Seite zu löschen, landet am Ende doch beim Hoster. Eine Bitte an den Registrar, eine einzelne Unterseite zu entfernen, kann er nicht erfüllen.
Wann ist der Registrar der stärkste Hebel?
Wenn die Domain selbst Teil des Betrugs ist. Typische Beispiele sind Lookalike-Domains wie ihre-marke-login.com, Tippfehler-Domains und Adressen mit verwechselbaren Zeichen. Solche Domains haben keinen legitimen Zweck, und eine Sperrung beim Registrar nimmt die Seite auf einen Schlag vom Netz, egal bei welchem Hoster sie liegt und wie oft sie umzieht.
Für generische Domains wie .com, .net oder .shop gelten seit April 2024 die Pflichten aus dem Registrarvertrag der ICANN. Registrare müssen bei belastbaren Hinweisen auf Phishing umgehend handeln. Der ICANN-Leitfaden nennt als Beispiel eine Sperrung innerhalb von zwei Werktagen für eine Domain, die nur für Phishing registriert wurde, und betont, dass dies keine vertragliche Frist ist (ICANN).
Bei Länderdomains wie .de, .at oder .ch gelten die Regeln der jeweiligen Registry. Für .de sind der Hoster und der Registrar, der die Domain im Auftrag des Inhabers verwaltet, Ihre Ansprechpartner. Die DENIC selbst entfernt keine Phishing-Seiten.
Wann ist der Hoster der richtige erste Adressat?
Wenn die Domain einem unbeteiligten Dritten gehört. Kriminelle laden Phishing-Kits häufig auf gehackte Websites, etwa einen Blog oder einen kleinen Shop mit veralteter Software. Die Domain ist dann legitim, nur ein Verzeichnis darauf ist es nicht. Eine Sperrung der Domain würde dem Inhaber schaden, der selbst Opfer ist. Hier gehört die Meldung an den Hoster und, wenn erreichbar, an den Betreiber der Website.
Für Hoster in der EU gilt Artikel 16 des Digital Services Act. Eine Meldung mit Begründung, genauer URL, Name, E-Mail-Adresse und einer Erklärung zum guten Glauben verpflichtet den Hoster, zeitnah und sorgfältig zu entscheiden. Er muss Ihnen den Eingang bestätigen, wenn Sie elektronische Kontaktdaten angeben, und Ihnen seine Entscheidung mitteilen (DSA, Artikel 16).
Auch bei Fake-Shops und gefälschten Prüfseiten auf eigens gemieteten Servern ist der Hoster ein starker Hebel. Er kann das ganze Konto des Betreibers sperren, nicht nur eine Seite.
Welche Rolle spielen DNS-Anbieter und CDN?
Sie sind Wegweiser, selten die Endstation. Der DNS-Anbieter steht in den Nameserver-Einträgen der Domain. Oft ist es der Registrar selbst, manchmal ein eigener Dienst. Ein DNS-Anbieter kann die Einträge entfernen, und die Seite ist dann unter dieser Domain nicht mehr erreichbar. Das ist sinnvoll, wenn der Registrar langsam reagiert.
Ein CDN wie Cloudflare steht zwischen Besuchern und dem eigentlichen Server. Die IP-Adresse der Domain gehört dann dem CDN, nicht dem Hoster. Cloudflare leitet vollständige Meldungen an Seitenbetreiber und Hoster weiter und gibt dem Hoster die Ursprungs-IP, damit er die Inhalte findet (Cloudflare). Wie das konkret geht, steht in Phishing-Seite hinter Cloudflare melden.
Wie erkennen Sie, welcher Fall vorliegt?
Mit fünf Fragen, die Sie in wenigen Minuten beantworten:
Wie alt ist die Domain? Das Registrierungsdatum steht in den RDAP-Daten, etwa im Lookup-Tool der ICANN. Eine Domain, die erst vor wenigen Tagen registriert wurde, ist meist eigens für den Betrug angelegt.
Ähnelt der Name Ihrer Marke? Tippfehler, Zusätze wie -login oder -support und verwechselbare Zeichen sprechen für eine missbräuchliche Registrierung.
Gibt es auf der Domain noch andere Inhalte? Ein echter Blog mit der Fälschung in einem Unterordner spricht für eine gehackte Website.
Wohin zeigt die IP-Adresse? Gehört sie einem CDN, brauchen Sie den Hoster dahinter. Gehört sie einem Hoster, steht sein Abuse-Kontakt in den Netzdaten.
Wer betreibt das DNS? Die Nameserver verraten, ob der Registrar oder ein eigener Anbieter zuständig ist.
| Befund | Erster Adressat | Parallel melden |
|---|---|---|
| Lookalike-Domain, eigens registriert | Registrar | Hoster, Google Safe Browsing |
| Gehackte echte Website | Hoster und Betreiber | Google Safe Browsing, kein Sperrantrag beim Registrar |
| Seite hinter Cloudflare | Cloudflare zur Weiterleitung, Hoster sobald bekannt | Registrar bei Lookalike-Domain, Safe Browsing |
| Kostenloser Website-Baukasten oder Cloud-Speicher | Die Plattform selbst | Safe Browsing |
Warum nicht einfach alle gleichzeitig melden?
Genau das sollten Sie tun, mit der richtigen Bitte an jede Stelle. Jede Stelle arbeitet ihre eigene Warteschlange ab, und der schnellste Kanal beendet den Schaden. Wer erst auf die Antwort des Hosters wartet, bevor er den Registrar anschreibt, verliert Tage. Eine Meldung bei Google Safe Browsing gehört immer dazu, weil eine Browserwarnung Besucher schützt, bevor die Seite entfernt ist.
Die Ausnahme ist die gehackte Website. Dort bitten Sie den Registrar nicht um eine Sperrung, sondern informieren Hoster und Betreiber. Mehr zur Begründung lesen Sie in Ein Fund, viele Meldungen: warum parallele Takedowns schneller wirken.
Wie hilft AI Fraud Protect?
AI Fraud Protect ermittelt für jeden Fund Registrar, Hoster, DNS-Anbieter und CDN und erstellt das Beweispaket automatisch. Die Meldungen werden für jeden Kanal mit dem passenden Framing vorbereitet, also Sperrung beim Registrar für missbräuchliche Domains und Entfernung beim Hoster für gehackte Seiten. Jede Nachricht prüft und versendet ein Mensch, und offene Fälle bleiben auf der Nachfassliste, bis die Fälschung weg ist.
Starten Sie den kostenlosen Fraud-Scan für einen Kurzreport innerhalb von 48 Stunden oder fragen Sie eine Demo an, um Erkennung, Beweise und Takedown in der App zu sehen.
Häufige Fragen
Kann der Registrar eine Seite auf einer gehackten Website entfernen?
Nein. Er kann nur die ganze Domain sperren, und das trifft den unbeteiligten Inhaber. Für gehackte Websites sind Hoster und Betreiber zuständig.
Wo finde ich den Abuse-Kontakt eines Registrars?
In den RDAP-Daten der Domain. Das Lookup-Tool der ICANN zeigt Registrar und Abuse-Kontakt für generische Domains. Bei Länderdomains hilft die Whois- oder RDAP-Abfrage der jeweiligen Registry.
Muss ich zuerst den Seitenbetreiber anschreiben?
Bei eigens registrierten Fake-Domains nicht, denn der Betreiber ist der Täter, und eine Nachricht warnt ihn nur. Bei gehackten Websites ist der Betreiber dagegen oft dankbar für den Hinweis.
Was, wenn Hoster und Registrar dasselbe Unternehmen sind?
Dann reicht oft eine Meldung an das Abuse-Team, das beide Hebel hat. Nennen Sie trotzdem ausdrücklich, ob Sie die Sperrung der Domain, die Entfernung der Inhalte oder beides verlangen.
Quellen
ICANN-Leitfaden zu den Pflichten gegen DNS-Missbrauch, 5. Februar 2024
Digital Services Act, Artikel 16, mit dem amtlichen Text auf EUR-Lex