Malte ZanderInhalt
Melden Sie eine bestätigte Fälschung am selben Tag bei allen Stellen, die sie stoppen können: Hoster, Registrar, DNS-Anbieter oder CDN und Google Safe Browsing. Jede Stelle arbeitet ihre eigene Warteschlange ab, und schon der schnellste Kanal beendet den Schaden. Wer nacheinander meldet und jeweils auf Antwort wartet, verschenkt Tage. Die wichtige Ausnahme sind gehackte, sonst echte Websites: Dort wird der Registrar nicht um eine Sperrung gebeten.
- In einer Studie mit 286.237 Phishing-URLs war die Hälfte der Seiten nach 5,46 Stunden offline. Die Zeit der meisten Fälschungen bemisst sich also in Stunden, nicht in Tagen (Lee u. a., WWW 2025).
- Google Safe Browsing erkannte in derselben Studie nur 18,41 % der Phishing-URLs von selbst, im Schnitt nach 108,73 Stunden (Lee u. a., WWW 2025).
- Registrare generischer Domains müssen bei belastbaren Hinweisen auf Phishing umgehend handeln, unabhängig davon, was der Hoster tut (ICANN).
- Hoster in der EU müssen über vollständige Meldungen zeitnah und sorgfältig entscheiden (DSA, Artikel 16).
Was heißt parallel melden?
Ein Fund, ein Beweispaket, mehrere Meldungen am selben Tag. Statt erst den Hoster anzuschreiben und abzuwarten, bevor der Registrar drankommt, schicken Sie jeder zuständigen Stelle gleichzeitig eine eigene Meldung mit der Bitte, die nur sie erfüllen kann. Der Hoster soll Inhalte entfernen, der Registrar die missbräuchliche Domain sperren, Google Safe Browsing eine Warnung anzeigen. Welche Stelle was kann, erklärt Hoster, Registrar oder DNS.
Warum wirkt das schneller?
Aus drei Gründen.
Erstens hängen die Kanäle nicht voneinander ab. Jeder Anbieter hat sein eigenes Abuse-Team, seine eigene Warteschlange und sein eigenes Tempo. Ein Registrar, der eine Lookalike-Domain sperrt, nimmt die Seite vom Netz, egal ob der Hoster schon gelesen hat. Eine Browserwarnung schützt Besucher, egal ob die Domain noch auflöst. Jeder einzelne Hebel reicht, um den Schaden zu stoppen.
Zweitens zählt jede Stunde. Wenn die Hälfte der Phishing-Seiten in einer großen Studie nach gut fünf Stunden verschwunden war, entsteht bei diesen Seiten der gesamte Schaden in genau diesem Zeitraum. Ein Ablauf, der Tage auf Antworten wartet, kommt für viele Opfer zu spät.
Drittens fängt Redundanz Ausfälle ab. Manche Hoster reagieren nicht, manche Registrare langsam, manche Meldungen gehen unter. Wer parallel meldet, ist nicht vom schwächsten Glied abhängig.
Ist das nicht doppelte Arbeit für die Anbieter?
Nein, solange jede Meldung an die richtige Stelle mit der richtigen Bitte geht. Doppelt wäre es, denselben Anbieter über mehrere Formulare und Postfächer gleichzeitig anzuschreiben. Das sollten Sie vermeiden, denn es erzeugt mehrere Vorgänge für denselben Fall und verlangsamt die Bearbeitung. Eine Meldung pro Anbieter, mit Verweis auf dieselben Belege, ist der richtige Weg. Wenn Hoster und Registrar dasselbe Unternehmen sind, reicht eine Meldung, die beide Bitten nennt.
Wann sollten Sie nicht alles gleichzeitig melden?
In drei Situationen ist Zurückhaltung richtig:
Gehackte echte Website: Die Domain gehört einem unbeteiligten Dritten. Bitten Sie den Registrar nicht um eine Sperrung, sondern informieren Sie Hoster und Betreiber. Google Safe Browsing können Sie trotzdem melden, denn die Warnung gilt der konkreten Adresse.
Unklarer Fall: Könnte die Seite einem Partner, Wiederverkäufer oder Fan gehören? Dann erst prüfen, dann melden. Eine falsche Meldung an fünf Stellen ist fünfmal so schädlich.
Domain ohne Inhalt: Eine geparkte Lookalike-Domain ohne Fälschung ist ein Fall für die Beobachtung, nicht für den Takedown. Melden Sie, sobald Inhalte erscheinen.
Wie organisieren Sie parallele Meldungen?
Mit einem festen Ablauf, der in der ersten Stunde passt:
Beweise sichern. Ein Paket für alle Kanäle: Screenshots, vollständige URL, Quelltext, Registrierungs-, DNS-, Hosting- und Zertifikatsdaten. Die Liste steht in Beweise einer Fake-Website sichern.
Zuständige ermitteln. Hoster, Registrar, DNS-Anbieter, CDN, bei Bedarf Werbeplattform oder soziales Netzwerk.
Meldungen je Kanal formulieren. Gleiche Fakten, unterschiedliche Bitte. Vorlagen für jeden Kanal finden Sie in Abuse-Meldung schreiben.
Alles am selben Tag senden. Notieren Sie je Kanal Uhrzeit, Empfänger und Vorgangsnummer.
Je Kanal nachfassen. Jeder Kanal bekommt einen eigenen Termin zum Nachfassen.
| Kanal | Bitte | Kernbeleg |
|---|---|---|
| Hoster | Inhalte entfernen, Konto sperren | Screenshots, URL, IP im Netz des Hosters |
| Registrar | Domain sperren (nur bei missbräuchlicher Registrierung) | Registrierungsdatum, Namensähnlichkeit, Screenshots |
| DNS-Anbieter | Einträge entfernen | Nameserver, Screenshots |
| CDN | Weiterleiten an den Hoster | Vollständige URL, Screenshots |
| Google Safe Browsing | Browserwarnung | Vollständige URL |
Was ändert sich durch parallele Meldungen am Ergebnis?
Vor allem die Zeit bis zur Schutzwirkung. Der endgültige Takedown kann weiterhin vom langsamsten Anbieter abhängen, aber Besucher sind geschützt, sobald der schnellste Kanal greift. Messen Sie deshalb beides getrennt: die Zeit bis zur ersten Schutzwirkung und die Zeit bis zur endgültigen Entfernung. Wie das geht, zeigt Takedown-Erfolg messen.
Wie hilft AI Fraud Protect?
AI Fraud Protect ist auf parallele Takedowns ausgelegt. Für jeden Fund werden Hoster, Registrar, DNS-Anbieter, CDN und Google Safe Browsing ermittelt, das Beweispaket einmal erstellt und die Meldungen je Kanal mit dem passenden Framing vorbereitet. Bei gehackten Websites wird der Registrar nicht um eine Sperrung gebeten. Ein Mensch prüft und versendet jede Nachricht, und jeder Kanal hat seinen eigenen Nachfasstermin.
Starten Sie den kostenlosen Fraud-Scan für einen Kurzreport innerhalb von 48 Stunden oder fragen Sie eine Demo an, um Erkennung, Beweise und Takedown in der App zu sehen.
Häufige Fragen
Soll ich den Anbietern sagen, dass ich auch andere gemeldet habe?
Das ist nicht nötig, schadet aber nicht. Wichtiger ist, dass jede Meldung für sich vollständig ist.
Was, wenn ein Kanal schneller ist als die anderen?
Dann ist der Schaden gestoppt. Lassen Sie die anderen Meldungen trotzdem laufen, denn eine gesperrte Domain hindert den Betreiber nicht daran, die Inhalte beim Hoster weiterzunutzen.
Kann ich parallel melden, wenn ich nur wenig Zeit habe?
Ja, mit Vorlagen und einem fertigen Beweispaket dauert eine Meldung je Kanal wenige Minuten. Der größte Aufwand ist die Ermittlung der Zuständigen.
Gilt das auch für Fake-Anzeigen und Social Media?
Ja. Melden Sie die Anzeige bei der Werbeplattform und die Zielseite gleichzeitig bei Hoster, Registrar und Browsern.
Quellen
Lee, Lim, Kim, Kwon, Kim: 7 Days Later, Analyzing Phishing-Site Lifespan After Detected, ACM Web Conference 2025
ICANN-Leitfaden zu den Pflichten gegen DNS-Missbrauch, 5. Februar 2024
Digital Services Act, Artikel 16, mit dem amtlichen Text auf EUR-Lex