Malte ZanderInhalt
Dieses Glossar erklärt die 40 Begriffe, die im Markenschutz und bei Takedowns immer wieder auftauchen, in einem oder zwei Sätzen. Es ist nach Themen geordnet: Angriffsformen, Erkennung, Beweise, Takedown und Meldewege sowie Recht und Verfahren. Wo ein Begriff ausführlicher erklärt wird, führt ein Link zum passenden Artikel.
- Seit dem 28. Januar 2025 ist RDAP die maßgebliche Quelle für Registrierungsdaten generischer Domains und löst WHOIS ab (ICANN).
- Als DNS-Missbrauch gelten für ICANN-Verträge Malware, Botnetze, Phishing, Pharming und Spam als Transportweg dafür (ICANN).
- Chrome vertraut nur TLS-Zertifikaten, die in Certificate-Transparency-Logs stehen (Chrome).
- Google Safe Browsing schützt nach Angaben von Google täglich mehr als fünf Milliarden Geräte (Google Safe Browsing).
Angriffsformen
AiTM (Adversary in the Middle): Eine Phishing-Seite, die zwischen Opfer und echter Website sitzt, die Anmeldung live durchreicht und dabei Passwort, Code und Session-Cookie abgreift. Deshalb stoppt ein klassischer Zwei-Faktor-Login sie nicht. Siehe Warum Zwei-Faktor-Login nicht jede Phishing-Seite stoppt.
Cloaking: Eine Technik, mit der eine Seite ihren eigentlichen Inhalt nur bestimmten Besuchern zeigt und Scannern eine harmlose Seite. Siehe Versteckte Fake-Seiten.
Fake-Shop: Ein Online-Shop, der Zahlungen annimmt, aber nichts oder Fälschungen liefert, oft mit Namen oder Auftritt echter Marken. Siehe Fake-Shop entfernen lassen.
Gefälschte Prüfseite: Eine Seite, die gefälschte Zertifikate, Abschlüsse oder Registereinträge als gültig bestätigt, meist erreichbar über einen QR-Code auf der Fälschung. Siehe Gefälschte Zertifikatsregister.
Homoglyph: Ein Zeichen, das einem anderen zum Verwechseln ähnlich sieht, etwa „rn“ statt „m“ oder ein kyrillisches „а“ statt des lateinischen „a“. Beliebt für Lookalike-Domains.
Klonfirma: Eine Scheinfirma, die Namen, Adresse und Registernummer eines echten zugelassenen Unternehmens nutzt, vor allem im Finanzbereich. Siehe Identitätsmissbrauch bei Banken und Versicherern.
Klon-Website: Eine Kopie Ihrer Website auf fremder Domain, mit Logo, Texten und Gestaltung. Siehe Klon-Website oder Phishing-Seite.
Lookalike-Domain: Eine Domain, die Ihrer zum Verwechseln ähnelt, durch Tippfehler (Typosquatting), Homoglyphen, andere Endungen oder Zusätze wie login, shop oder support.
Phishing: Täuschung mit dem Ziel, Zugangsdaten, Zahlungsdaten oder andere sensible Angaben zu erbeuten, meist über eine nachgebaute Seite. Siehe Von der Phishing-Mail zur Fake-Seite.
Phishing-Kit: Ein fertiges Paket aus Dateien und Skripten, mit dem sich Phishing-Seiten in Serie aufsetzen lassen. Siehe Phishing-Kits.
Quishing: Phishing über QR-Codes, etwa auf Briefen, Aushängen oder gefälschten Zertifikaten. Siehe Quishing.
Erkennung
Certificate Transparency (CT): Öffentliche Logs, in denen neu ausgestellte TLS-Zertifikate erscheinen. Darüber lassen sich neue Domains mit Ihrem Namen früh finden. Siehe TLS-Zertifikate lesen.
Domain-Scanner: Ein Werkzeug, das Varianten Ihrer Domains erzeugt, etwa mit Tippfehlern, Homoglyphen und Zusätzen, und prüft, ob sie registriert sind und was dort zu sehen ist.
Fehlalarm: Ein Fund, der wie eine Fälschung aussieht, aber keine ist, etwa die Domain eines Partners. Siehe Fehlalarme im Markenschutz.
Ignorierliste: Eine Liste Ihrer eigenen Domains und der Domains Ihrer Partner, die nie gemeldet werden.
Melde-Widget: Ein Formular auf Ihrer Website, über das Kunden, Prüfende und Mitarbeitende verdächtige Links oder Dokumente in einem Schritt melden. Siehe Melde-Widget.
OSINT: Ermittlung mit öffentlich zugänglichen Quellen, etwa Registrierungsdaten, DNS, Zertifikatslogs und Webarchiven. Siehe OSINT-Grundlagen für Markenschutz-Teams.
Visuelle Ähnlichkeit: Der Vergleich des Erscheinungsbilds einer verdächtigen Seite mit Ihrer echten Seite, heute meist mit KI. Siehe Visuelle Ähnlichkeit.
Watchlist: Eine Liste risikoreicher, aber noch nicht aktiver Domains, etwa geparkt oder zum Verkauf, die bei jedem Scan neu bewertet werden.
Beweise
Beweiskette (Chain of Custody): Die lückenlose Dokumentation, wer wann welche Beweise gesichert, weitergegeben und verändert hat. Siehe Beweiskette für digitale Beweise.
Beweispaket: Alle Belege zu einem Fall an einer Stelle, etwa Screenshots, Registrierungsdaten, DNS, Hosting, TLS-Zertifikat und Markennachweis. Siehe Das Beweispaket, das Ihre Kanzlei wirklich braucht.
Hashwert: Ein digitaler Fingerabdruck einer Datei, etwa nach SHA-256. Ändert sich die Datei, ändert sich der Hashwert, so lässt sich die Unverändertheit eines Beweises belegen.
RDAP: Das Protokoll für Registrierungsdaten von Domains und IP-Adressen. Für generische Domains hat es WHOIS als maßgebliche Quelle abgelöst.
WARC: Ein genormtes Dateiformat zur Archivierung von Webseiten mit allen Anfragen und Antworten. Siehe Fake-Seiten archivieren.
Takedown und Meldewege
Abuse-Kontakt: Die Meldeadresse eines Anbieters für Missbrauch. Für IP-Netze in Europa steht sie im Objekt abuse-c der RIPE-Datenbank. Siehe Hosting-Anbieter finden.
CDN: Ein Netzwerk, das Inhalte zwischenspeichert und ausliefert und dabei den eigentlichen Hoster verbirgt, etwa Cloudflare. Siehe Phishing-Seite hinter Cloudflare melden.
Framing: Die Einordnung eines Falls als Phishing, Markenfälschung oder Zertifikatsfälschung. Sie bestimmt Kanäle, Begründung und Belege. Siehe Takedown-Framing.
Google Safe Browsing: Ein Dienst von Google, über den Browser vor gefährlichen Seiten warnen. Eine Aufnahme schützt Besucher, bevor die Seite entfernt ist. Siehe Google Safe Browsing.
Hoster: Der Anbieter, auf dessen Servern eine Seite liegt. Er kann Inhalte entfernen und ist meist der schnellste Hebel.
Human in the Loop: Ein Ablauf, in dem Software findet und vorbereitet und ein Mensch entscheidet und versendet. Siehe Human in the Loop beim Takedown.
Parallele Takedowns: Die gleichzeitige Meldung an Hoster, Registrar, DNS-Anbieter und Google, statt nacheinander. Siehe Parallele Takedowns.
Registrar: Der Anbieter, über den eine Domain registriert ist. Er kann die Domain sperren und so alle Inhalte unter ihr unerreichbar machen.
Registry: Der Betreiber einer Domainendung, etwa die DENIC für .de. Sie verwaltet die Endung, entfernt aber in der Regel keine Inhalte.
Takedown: Die Entfernung einer Fälschung durch die zuständigen Anbieter, auf Grundlage einer Meldung. Siehe Fake-Website entfernen lassen.
Recht und Verfahren
DENIC-Dispute: Ein Eintrag bei der DENIC, der verhindert, dass eine .de-Domain während eines Rechtsstreits an Dritte übertragen wird.
Digital Services Act (DSA): Die EU-Verordnung über digitale Dienste. Ihr Artikel 16 verpflichtet Hoster zu einem Melde- und Abhilfeverfahren für rechtswidrige Inhalte. Siehe Hoster, Registrar oder DNS.
DNS-Missbrauch: In ICANN-Verträgen Malware, Botnetze, Phishing, Pharming und Spam als Transportweg dafür. Seit April 2024 müssen Registrare bei belastbaren Belegen dagegen vorgehen.
Trademark Clearinghouse (TMCH): Eine Datenbank für Marken, die bei neuen generischen Endungen Vorrangregistrierungen ermöglicht und in den ersten mindestens 90 Tagen über passende Registrierungen informiert.
Trusted Flagger: Ein vertrauenswürdiger Hinweisgeber nach dem DSA, dessen Meldungen Online-Plattformen vorrangig behandeln müssen. Den Status vergeben nationale Koordinatoren.
UDRP: Das Streitbeilegungsverfahren für generische Domains bei Markenverletzungen, geführt etwa bei der WIPO. Es kann zur Übertragung oder Löschung einer Domain führen. Siehe Takedown oder Rechtsweg.
Wie hilft AI Fraud Protect?
AI Fraud Protect verbindet viele dieser Begriffe in einem Ablauf: Der Domain-Scanner und das Melde-Widget finden Lookalike-Domains, Klon-Websites, Phishing-Seiten und gefälschte Prüfseiten, die KI vergleicht jeden Fund visuell mit Ihrer echten Seite, und Domains mit Risiko bleiben auf der Watchlist. Für jeden Fall entsteht ein Beweispaket, Sie wählen das Framing, und die Meldungen an Hoster, Registrar, DNS-Anbieter und Google Safe Browsing gehen parallel raus, nachdem ein Mensch sie geprüft hat. Ihre Domains und Partner stehen auf der Ignorierliste.
Starten Sie den kostenlosen Fraud-Scan für einen Kurzreport innerhalb von 48 Stunden oder fragen Sie eine Demo an, um den Ablauf in der App zu sehen.
Häufige Fragen
Was ist der Unterschied zwischen Registrar und Registry?
Die Registry betreibt eine Endung, etwa .de oder .com. Der Registrar verkauft und verwaltet Domains unter dieser Endung für seine Kunden. Für einen Takedown ist meist der Registrar der richtige Ansprechpartner.
Ist eine Lookalike-Domain immer illegal?
Nein. Erst wenn sie zur Täuschung genutzt wird oder Markenrechte verletzt, ist sie ein Fall. Viele Lookalike-Domains gehören auf die Watchlist, nicht in einen Takedown. Das ist keine Rechtsberatung.
Gibt es WHOIS noch?
Für generische Domains ist seit Januar 2025 RDAP die maßgebliche Quelle. Viele Werkzeuge sprechen umgangssprachlich weiter von WHOIS, meinen aber Registrierungsdaten, die heute oft über RDAP kommen.
Was ist der Unterschied zwischen Phishing und Markenfälschung?
Phishing will Daten erbeuten, Markenfälschung nutzt Ihren Auftritt, um sich als Sie auszugeben, etwa in einem Fake-Shop. Die Unterscheidung bestimmt, welche Anbieter Sie mit welcher Begründung melden.
Quellen
ICANN: Start von RDAP, Ende von WHOIS, 27. Januar 2025
ICANN: Advisory zu den Pflichten gegen DNS-Missbrauch, 5. Februar 2024