Malte ZanderInhalt
Den Hoster einer Fake-Seite finden Sie in drei Schritten: Domain in ihre IP-Adresse auflösen, die Netzdaten dieser Adresse bei der zuständigen Internet-Registry abfragen und dort Netzbetreiber und Abuse-Kontakt ablesen. Gehört die IP einem CDN wie Cloudflare, ist das nicht der Hoster, sondern ein Vermittler, der Ihre Meldung weiterleitet. Notieren Sie Zeitpunkt und Ergebnis, denn IP-Adressen können sich schnell ändern.
- IP-Adressen werden weltweit von fünf regionalen Internet-Registries verwaltet: AFRINIC, APNIC, ARIN, LACNIC und RIPE NCC (RIPE NCC).
- Seit 2013 setzt das RIPE NCC durch, dass alle von ihm vergebenen Adressbereiche einen Abuse-Kontakt im Attribut "abuse-c" tragen (RIPE NCC).
- Liegt eine Seite hinter Cloudflare, leitet Cloudflare Meldungen an den Hoster weiter und nennt ihm die Ursprungs-IP (Cloudflare).
- Seit dem 28. Januar 2025 ist RDAP die maßgebliche Quelle für Registrierungsdaten generischer Domains (ICANN).
Was ist der Unterschied zwischen Registrar und Hoster?
Der Registrar verwaltet den Namen, der Hoster den Inhalt. Eine Domain wie ihre-marke-login.com ist bei einem Registrar registriert, die Seite dahinter liegt auf dem Server eines Hosters. Oft sind das zwei verschiedene Unternehmen in zwei verschiedenen Ländern. Für einen Takedown brauchen Sie beide: den Registrar, um eine missbräuchliche Domain sperren zu lassen, und den Hoster, um Inhalte und Konto entfernen zu lassen. Den Registrar finden Sie in den RDAP-Daten der Domain, den Hoster über die IP-Adresse.
Wie finden Sie den Hoster Schritt für Schritt?
Schritt 1: Die Domain in eine IP-Adresse auflösen
Fragen Sie die A-Einträge der Domain ab, für IPv6 die AAAA-Einträge. Das geht mit Befehlen wie nslookup oder dig oder mit einem der vielen DNS-Werkzeuge im Web. Prüfen Sie auch die genaue Subdomain aus dem Phishing-Link, denn ihre-marke.example.com kann auf einen anderen Server zeigen als example.com. Notieren Sie alle Adressen mit Datum und Uhrzeit.
Schritt 2: Die Netzdaten der IP abfragen
Jede IP-Adresse gehört zu einem Adressblock, den eine der fünf regionalen Registries an einen Netzbetreiber vergeben hat. Für Europa und den Nahen Osten ist das RIPE NCC zuständig, für Nordamerika ARIN. Eine Abfrage per RDAP oder WHOIS bei der zuständigen Registry nennt Netzname, Organisation und Abuse-Kontakt. Werkzeuge wie die RIPE-Datenbank oder RIPEstat zeigen zusätzlich das autonome System, über das der Block geroutet wird.
Schritt 3: Den Abuse-Kontakt ablesen
In der RIPE-Datenbank steht er im Attribut "abuse-c" mit einer Adresse im Feld "abuse-mailbox". Diese Adresse ist der offizielle Weg für Missbrauchsmeldungen an dieses Netz. Schreiben Sie sie an, nicht wahllos alle Kontakte des Netzes.
Woran erkennen Sie ein CDN oder einen Proxy?
Wenn die Netzdaten ein CDN als Inhaber nennen, etwa Cloudflare. Dann steht das CDN zwischen Besuchern und Hoster, und der eigentliche Server bleibt verborgen. Weitere Hinweise sind Nameserver des CDN und Antwort-Header, die typische Kennungen des Dienstes enthalten. In diesem Fall melden Sie über das Abuse-Formular des CDN, das Ihre Meldung an den Hoster weiterleitet. Die Schritte stehen in Phishing-Seite hinter Cloudflare melden.
Wie erkennen Sie Plattformen und Baukästen?
An Adresse und Netz zugleich. Liegt die Fälschung auf einer Subdomain eines Website-Baukastens, eines Cloud-Speichers oder eines Formulardienstes, ist die Plattform selbst der Hoster. Sie kann die Inhalte direkt entfernen, und die Meldung gehört an ihr Missbrauchsformular. Der Registrar der Plattform-Domain ist hier der falsche Adressat, denn die Domain gehört der Plattform und ist legitim.
| Befund | Wer ist der Hoster? | Wohin melden |
|---|---|---|
| IP gehört einem Hosting-Unternehmen | Dieses Unternehmen | Abuse-Kontakt aus den Netzdaten |
| IP gehört einem CDN | Unbekannt, hinter dem CDN | Abuse-Formular des CDN |
| Subdomain eines Baukastens oder Cloud-Speichers | Die Plattform | Missbrauchsformular der Plattform |
| Mehrere IPs in verschiedenen Netzen | Möglicherweise mehrere | Alle Netzbetreiber, oder zuerst prüfen, ob ein CDN dahintersteht |
Welche Stolperfallen gibt es?
Vier häufige:
Wechselnde Adressen: Betreiber ändern DNS-Einträge, oft mehrmals am Tag. Eine Abfrage ist eine Momentaufnahme. Wiederholen Sie sie vor jeder Meldung.
Geo-DNS: Je nach Standort können Besucher unterschiedliche Adressen erhalten. Halten Sie fest, von wo Sie abgefragt haben.
Weitergeleitete Netze: Manche Adressblöcke sind an Kunden weitervergeben. Der Netzbetreiber ist dann der Anbieter des Hosters. Melden Sie trotzdem beim eingetragenen Abuse-Kontakt, er leitet weiter.
Gehackte Websites: Liegt die Fälschung auf einer echten, gehackten Website, ist der Hoster der Website der richtige Adressat, zusammen mit dem Betreiber. Mehr dazu in Hoster, Registrar oder DNS.
Was gehört ins Beweispaket?
IP-Adressen mit Zeitpunkt der Abfrage, die vollständige Antwort der Registry mit Netzname, Organisation und Abuse-Kontakt sowie bei CDNs die Kennung des Dienstes. Speichern Sie die Rohdaten der Abfrage, nicht nur Ihre Zusammenfassung. So lässt sich später belegen, wo die Seite zum Zeitpunkt der Meldung lag. Die vollständige Liste steht in Beweise einer Fake-Website sichern.
Wie hilft AI Fraud Protect?
AI Fraud Protect ermittelt für jeden Fund Registrar, Hoster, DNS-Anbieter und CDN automatisch und nimmt die Netzdaten in das Beweispaket auf. Die Meldungen werden an die richtigen Kontakte vorbereitet, bei CDNs über deren Meldeweg. Ein Mensch prüft und versendet jede Nachricht, und offene Fälle bleiben auf der Nachfassliste, bis die Fälschung weg ist.
Starten Sie den kostenlosen Fraud-Scan für einen Kurzreport innerhalb von 48 Stunden oder fragen Sie eine Demo an, um Erkennung, Beweise und Takedown in der App zu sehen.
Häufige Fragen
Kann ich den Hoster über das Impressum der Fake-Seite finden?
Nein. Impressum und Kontaktdaten auf Fälschungen sind meist erfunden oder von Ihnen kopiert. Verlassen Sie sich auf IP-Adresse und Netzdaten.
Was, wenn der Hoster in einem Land ohne funktionierende Abuse-Abteilung sitzt?
Dann sind Registrar und Browserwarnungen Ihre stärksten Hebel. Eine gesperrte Domain macht die Seite unerreichbar, egal wo der Server steht.
Darf ich den Server der Fake-Seite selbst untersuchen?
Öffentliche Daten wie DNS, Netzdaten und Zertifikate dürfen Sie abfragen. Darüber hinaus sollten Sie nichts tun, keine Scans, keine Anmeldeversuche, keine Eingriffe.
Ist der Hoster auch für die E-Mails der Betrüger zuständig?
Nicht unbedingt. Wohin E-Mails einer Domain gehen, zeigen die MX-Einträge, und das kann ein anderer Anbieter sein. Mehr dazu in DNS-Einträge prüfen.
Quellen
ICANN: Start von RDAP, Ende von WHOIS, 27. Januar 2025