Malte ZanderInhalt
Archivieren Sie eine Fake-Seite, bevor Sie sie melden, denn viele Fälschungen sind nach wenigen Stunden verschwunden oder verändert. Am belastbarsten ist eine Kombination: eine eigene vollständige Kopie mit allen Dateien, idealerweise im Archivformat WARC, dazu Screenshots und bei Bedarf eine Kopie in einem öffentlichen Webarchiv als unabhängiger Zeitstempel. Rufen Sie die Seite dabei mit dem vollständigen Link auf, den Opfer erhalten haben.
- Die Hälfte der Phishing-Seiten in einer Studie mit 286.237 URLs war nach 5,46 Stunden offline (Lee u. a., WWW 2025).
- Das Archivformat WARC ist als ISO 28500:2017 genormt. Es speichert Inhalte zusammen mit den Steuerdaten von Protokollen wie HTTP und DNS (ISO).
- In einer Analyse von 112.005 Phishing-Websites zeigten 31,3 % ihren Inhalt nur bestimmten Besuchern. Ein Archivdienst sieht dann womöglich eine leere Seite (Zhang u. a., IEEE S&P 2021).
Warum archivieren statt nur Screenshots?
Weil ein Screenshot ein Bild ist und eine Archivkopie die Seite selbst. In der Kopie stecken der Quelltext, die eingebundenen Dateien, Formularziele und oft Spuren des verwendeten Phishing-Kits. Damit lassen sich später Fragen beantworten, an die beim Fund niemand gedacht hat: Wohin hat das Formular die Daten geschickt? Welche Dateien teilt diese Fälschung mit einer früheren? Für Takedowns, Fallverknüpfung und Verfahren ist das Gold wert. Und weil viele Fälschungen nach Stunden verschwinden, gibt es oft nur eine Gelegenheit.
Öffentliches Archiv oder eigene Kopie?
Beides hat seinen Platz:
| Weg | Vorteile | Nachteile |
|---|---|---|
| Öffentliches Webarchiv, etwa Save Page Now des Internet Archive | Unabhängiger Zeitstempel, schnell, kostenlos | Kopie ist öffentlich, versteckte Inhalte fehlen oft, Betreiber können Archive blockieren |
| Eigene Kopie im WARC-Format | Vollständig, mit HTTP-Daten, genormt, privat | Braucht passende Werkzeuge |
| Seite als Datei speichern | Einfach, im Browser möglich | Unvollständig, dynamische Inhalte fehlen |
| Screenshots | Zeigen, was Menschen sahen | Kein Quelltext, keine Dateien |
Für die meisten Fälle empfiehlt sich: eigene Kopie und Screenshots immer, öffentliches Archiv zusätzlich, wenn die Kopie dort keine sensiblen Daten zeigt. Prüfen Sie vorher, ob die Seite Daten von Opfern anzeigt, etwa eine bereits ausgefüllte E-Mail-Adresse im Link. Solche Links gehören nicht in ein öffentliches Archiv.
Was gehört in eine vollständige Archivkopie?
Die vollständige URL mit Pfad und Parametern.
Die Weiterleitungskette, falls der Link über Zwischenstationen läuft.
Der Quelltext der Seite und aller Unterseiten, die der Ablauf zeigt.
Eingebundene Dateien: Bilder, Stylesheets, Skripte.
HTTP-Antworten mit Statuscodes und Kopfzeilen.
Zeitpunkt, Gerät und Standort des Abrufs.
Das WARC-Format bildet genau das ab: Es speichert Inhalte zusammen mit den Steuerdaten des Abrufs (ISO). Viele Werkzeuge zur Webarchivierung können WARC-Dateien erzeugen, vom Browser-Plugin bis zum Kommandozeilenprogramm.
Wie gehen Sie Schritt für Schritt vor?
Abgeschirmt arbeiten. Nutzen Sie einen separaten Browser oder eine virtuelle Maschine, geben Sie nichts ein und laden Sie nichts aus.
Den vollständigen Link verwenden. Fälschungen mit Parametern zeigen ohne sie oft nichts. Nutzen Sie den Link, den die Opfer erhalten haben.
Mobil und Desktop prüfen. Wenn die Seite je Gerät anders reagiert, archivieren Sie beide Varianten.
Die Kopie erstellen. Eigene WARC-Kopie oder vollständige Speicherung, dazu Screenshots der ganzen Seite.
Optional öffentlich archivieren. Wenn keine Opferdaten sichtbar sind.
Prüfsummen und Protokoll. SHA-256 jeder Datei, dazu wer, wann, womit. Mehr in Beweiskette für digitale Beweise.
Was, wenn die Seite beim Archivieren nichts zeigt?
Dann versteckt sie sich wahrscheinlich. Manche Fälschungen prüfen Herkunftsland, Gerät, Referrer oder einmalige Kennungen im Link und zeigen nur passenden Besuchern den Inhalt. Dokumentieren Sie den Versuch trotzdem, mit Screenshot der leeren Seite und Zeitpunkt, und beschreiben Sie, unter welchen Bedingungen Opfer die Fälschung sahen. Oft hilft ein zweiter Versuch mit Mobilgerät oder dem exakten Link aus der Phishing-Mail. Hintergründe in Versteckte Fake-Seiten.
Wie lange bewahren Sie Archivkopien auf?
So lange, wie der Fall wichtig sein kann. Mindestens bis die Fälschung entfernt und eine Rückkehr unwahrscheinlich ist, länger, wenn rechtliche Schritte möglich sind. Archivkopien helfen auch Monate später, wenn eine neue Fälschung auftaucht und Sie zeigen wollen, dass sie dieselben Dateien nutzt. Legen Sie eine Frist fest, schützen Sie die Kopien vor Veränderung und löschen Sie dokumentiert.
Wie hilft AI Fraud Protect?
AI Fraud Protect sichert jeden Fund automatisch mit Screenshots, vollständiger URL und Registrierungs-, DNS-, Hosting- und Zertifikatsdaten, bevor eine Meldung rausgeht. Das Beweispaket bleibt am Fall, auch wenn die Fälschung längst offline ist, und neue Funde werden mit früheren Fällen abgeglichen. Jede Meldung prüft und versendet ein Mensch.
Starten Sie den kostenlosen Fraud-Scan für einen Kurzreport innerhalb von 48 Stunden oder fragen Sie eine Demo an, um Erkennung, Beweise und Takedown in der App zu sehen.
Häufige Fragen
Ist eine Kopie im Internet Archive ein Beweis?
Sie ist ein unabhängiger Beleg dafür, dass eine Seite zu einem Zeitpunkt so aussah. Für Verfahren ergänzen Sie sie mit eigener Kopie, Protokoll und Prüfsummen.
Kann der Betreiber die öffentliche Kopie löschen lassen?
Webarchive haben eigene Regeln für Löschanfragen. Verlassen Sie sich deshalb nie allein auf ein öffentliches Archiv.
Darf ich eine Phishing-Seite herunterladen?
Das Sichern zu Beweiszwecken ist üblich. Führen Sie heruntergeladene Dateien aber nie aus und speichern Sie Kopien getrennt von Ihrem Arbeitsnetz.
Brauche ich WARC, oder reicht eine gespeicherte Webseite?
Für einfache Takedowns reicht oft die gespeicherte Seite mit Screenshots. Für Verfahren und Fallverknüpfung ist WARC deutlich stärker.
Quellen
Lee, Lim, Kim, Kwon, Kim: 7 Days Later, Analyzing Phishing-Site Lifespan After Detected, ACM Web Conference 2025
ISO 28500:2017, Information and documentation, WARC file format
Zhang u. a.: CrawlPhish, Large-scale Analysis of Client-side Cloaking Techniques in Phishing, IEEE Symposium on Security and Privacy 2021