Malte ZanderInhalt
Viele Fälschungen sind für Suchmaschinen und Scanner unsichtbar, weil sie nur mit einem bestimmten Link funktionieren, etwa aus einem QR-Code oder einer Phishing-Mail. Die Menschen, die diesen Link vor sich haben, sind deshalb Ihre beste Quelle: Kundinnen und Kunden, Prüfende, Behörden, Partner und eigene Mitarbeitende. Ein Melde-Widget auf Ihrer Website macht aus ihrem Verdacht in einem Schritt einen Fall, mit vollständigem Link und ohne verstreute Mails.
- In einer Untersuchung von 112.005 Phishing-Seiten nutzten 31,3 % clientseitiges Cloaking, zeigten ihren Inhalt also nur unter bestimmten Bedingungen (CrawlPhish).
- Google Safe Browsing erkannte in einer Studie mit 286.237 Phishing-URLs nur 18,41 % der Seiten (Lee u. a., WWW 2025).
- Beim Schweizer Bundesamt für Cybersicherheit gingen 2024 über antiphishing.ch 975.309 Meldungen ein, bestätigt wurden 20.872 Phishing-Seiten (BACS).
- Hoster brauchen für eine Meldung nach dem Digital Services Act unter anderem die genaue URL (DSA, Artikel 16).
Warum findet keine Suche diese Fälschungen?
Weil sie so gebaut sind, dass nur ihr Opfer sie sieht. Eine gefälschte Prüfseite zeigt „Zertifikat gültig“ nur, wenn sie mit den Parametern aus dem QR-Code aufgerufen wird. Eine Phishing-Seite prüft, ob ein Mensch mit dem passenden Link kommt, und zeigt Scannern eine harmlose Seite. Hinzu kommen lange Subdomains, in denen Ihr Name vorne steht, unter einer Domain, die mit Ihnen nichts zu tun hat.
Für Domain-Scanner und Suchmaschinen gibt es da wenig zu finden. Keine Variante Ihrer Domain führt dorthin, und ohne die Parameter zeigt die Seite nichts, was auf Sie hinweist. Wie solche Seiten funktionieren, erklärt Versteckte Fake-Seiten.
Wer sieht den Link zuerst?
Fast nie Sie selbst. Fünf Gruppen haben die Fälschung früher vor Augen:
| Gruppe | Wo sie den Link sieht | Was sie melden kann |
|---|---|---|
| Kundinnen und Kunden | In Mails, SMS, Anzeigen oder Chats | Den Link aus der Nachricht, oft mit Screenshot |
| Prüfende in Personalabteilungen und Behörden | Im QR-Code oder Link auf einem vorgelegten Zertifikat | Den vollständigen Link oder das Zertifikat als PDF |
| Partner und Wiederverkäufer | In Anfragen ihrer eigenen Kunden | Domains und Angebote, die sich als Sie ausgeben |
| Eigene Mitarbeitende und Support | In Tickets und Rückfragen | Links aus Kundenanfragen |
| Sicherheitsforschende | In ihren eigenen Untersuchungen | Ganze Gruppen verwandter Seiten |
Jede dieser Gruppen hat einen Teil des Bildes, das Ihnen fehlt. Ein Melde-Widget gibt allen denselben Weg, ihn an Sie weiterzugeben.
Was macht ein gutes Melde-Widget aus?
Sechs Eigenschaften entscheiden, ob es genutzt wird und ob die Meldungen etwas taugen:
Es steht dort, wo gezweifelt wird: auf Ihrer Website, auf der Anmeldeseite und auf der Ergebnis- oder Prüfseite.
Es fragt nach dem vollständigen Link, denn nur damit findet ein Hoster eine Seite, die ohne Parameter nichts zeigt. Wer ein Zertifikat vor sich hat, kann es als PDF hochladen.
Es braucht nur einen Schritt, ohne Konto und ohne lange Formulare.
Es hält Spam fern, etwa mit einem Captcha und einem Limit pro Absender.
Es spricht die Sprache der Meldenden.
Alle Meldungen landen an einer Stelle, statt verstreut in Postfächern einzelner Teams.
Was passiert mit einer Meldung?
Sie wird zum Fall, wenn sie einer ist, und sonst sauber aussortiert. Ein bewährter Ablauf:
Eingang: Link oder PDF kommen mit Zeitpunkt und optionaler Beschreibung an.
Analyse: Die Seite wird aufgerufen, mit Screenshot gesichert und mit Ihrer echten Seite verglichen.
Abgleich: Ist die Domain Ihre eigene oder die eines Partners, endet die Meldung hier. Gehört sie zu einem bekannten Fall, wird sie damit verknüpft.
Übernahme: Eine neue Fälschung wird als Fall angelegt, mit Beweispaket.
Takedown: Meldungen an Hoster, Registrar, DNS-Anbieter und Google, bis die Seite offline ist.
Die Zahlen aus der Schweiz zeigen, warum die ersten drei Schritte zählen: Von fast einer Million Meldungen an antiphishing.ch betrafen rund 21.000 bestätigte Phishing-Seiten. Ohne automatische Analyse und Abgleich ertrinkt jedes Team in Hinweisen.
Wie machen Sie das Widget bekannt?
Ein Widget, das niemand kennt, meldet nichts. Diese Orte haben sich bewährt:
Auf Zertifikaten und Prüfseiten ein kurzer Satz: „Zweifel an diesem Zertifikat? Melden Sie es hier.“
Auf Ihrer Sicherheitsseite, neben der Liste Ihrer offiziellen Domains.
In Warnungen an Kunden, wenn Sie vor einer Fälschung warnen. Siehe Kunden vor einer Fake-Website warnen.
In Textbausteinen Ihres Supports, damit verdächtige Links nicht im Ticket enden.
Bei Personalabteilungen, Behörden und Partnern, die Ihre Zertifikate oder Angebote regelmäßig prüfen.
Wie hilft AI Fraud Protect?
Das Melde-Widget von AI Fraud Protect binden Sie mit einer Zeile Code auf Ihrer Website, Ihrer Anmeldeseite und Ihrer Prüfseite ein. Position, Farbe und Sprache stellen Sie selbst ein, auf Deutsch oder Englisch. Wer zweifelt, meldet den Link oder lädt das Zertifikat als PDF hoch, und ein Bild-Captcha und ein Limit pro IP-Adresse halten Spam fern. Die KI analysiert jede Meldung mit Screenshot, Ihre eigenen Domains und Partner stehen auf der Ignorierliste, und neue Fälschungen werden zu Fällen mit Beweispaket. Bei Meldungen über das Widget gehört der vollständige Link automatisch dazu.
Starten Sie den kostenlosen Fraud-Scan für einen Kurzreport innerhalb von 48 Stunden oder fragen Sie eine Demo an, um das Melde-Widget in der App zu sehen.
Häufige Fragen
Wo sollte das Melde-Widget stehen?
Dort, wo Menschen zweifeln: auf Ihrer Website, Ihrer Anmeldeseite und Ihrer Ergebnis- oder Prüfseite. Auf der Prüfseite ist es am wichtigsten, weil dort Arbeitgeber und Behörden mit dem verdächtigen Zertifikat ankommen.
Wie verhindern wir Spam?
Mit einem Captcha und einem Limit pro Absender. Doppelte und harmlose Meldungen sortiert der automatische Abgleich aus, bevor ein Mensch sie ansehen muss.
Was brauchen Meldende?
Nur den Link oder das Zertifikat. Eine kurze Beschreibung hilft, ist aber optional. Je weniger das Formular verlangt, desto öfter wird es genutzt.
Was gilt für den Datenschutz?
Erheben Sie nur, was für die Prüfung nötig ist, und informieren Sie in Ihrer Datenschutzerklärung über das Formular. Die Einzelheiten klären Sie mit Ihrer Datenschutzstelle. Das ist keine Rechtsberatung.
Quellen
Zhang u. a.: CrawlPhish, IEEE Symposium on Security and Privacy 2021
Lee u. a.: Studie zur Lebensdauer von Phishing-Seiten, The Web Conference 2025