Malte ZanderInhalt
- Was verrät ein Zertifikat über eine Fake-Seite?
- Wie finden Sie das Zertifikat?
- Was sagen die Namen im Zertifikat?
- Was sagt das Ausstellungsdatum?
- Wie warnen Zertifikatslogs vor neuen Fälschungen?
- Ist die Zertifizierungsstelle ein Takedown-Kanal?
- Was gehört ins Beweispaket?
- Wie hilft AI Fraud Protect?
- Häufige Fragen
Das TLS-Zertifikat einer Fake-Seite zeigt, wann es ausgestellt wurde, von welcher Zertifizierungsstelle und für welche Namen. Diese Namen verraten oft weitere Domains desselben Betreibers, und das Ausstellungsdatum hilft, den Zeitpunkt des Angriffs einzugrenzen. Weil öffentlich vertrauenswürdige Zertifikate in Certificate-Transparency-Logs stehen müssen, können Sie dort auch neue Zertifikate mit Ihrem Markennamen finden, oft bevor die Fälschung live ist.
- Chrome vertraut öffentlich ausgestellten TLS-Zertifikaten nur, wenn sie in Certificate-Transparency-Logs stehen (Chrome).
- Öffentliche TLS-Zertifikate, die seit dem 15. März 2026 ausgestellt werden, dürfen höchstens 200 Tage gültig sein. Ab März 2027 sinkt die Grenze auf 100, ab März 2029 auf 47 Tage (CA/Browser Forum).
- Das Forschungssystem Phishpedia prüfte neue Domains aus dem Strom der Zertifikatslogs und fand in einem Monat 1.704 Phishing-Seiten, davon 1.133 bis dahin unbekannte (Phishpedia).
Was verrät ein Zertifikat über eine Fake-Seite?
Mehr, als das Schloss in der Adresszeile vermuten lässt. Ein TLS-Zertifikat bestätigt nur, dass der Antragsteller die Domain kontrolliert, nicht wer er ist oder ob die Seite seriös ist. Für Ermittlungen ist es trotzdem eine Fundgrube:
| Feld | Was es zeigt | Was es Ihnen sagt |
|---|---|---|
| Aussteller | Die Zertifizierungsstelle | Welche Stelle das Zertifikat ausgestellt hat und wie |
| Gültig ab | Ausstellungszeitpunkt | Wann der Betreiber die Seite vorbereitet hat |
| Gültig bis | Ablaufzeitpunkt | Bis wann er mindestens plant, ohne neues Zertifikat |
| Alternative Namen | Alle Domains und Subdomains im Zertifikat | Weitere Adressen desselben Betreibers |
| Seriennummer und Fingerabdruck | Eindeutige Kennung | Sicherer Bezug in Meldungen und Akten |
| Einträge in Transparenzlogs | Wann das Zertifikat öffentlich protokolliert wurde | Unabhängiger Zeitstempel |
Wie finden Sie das Zertifikat?
Auf zwei Wegen, ohne die Seite selbst nutzen zu müssen:
Im Browser: Ein Klick auf das Symbol neben der Adresse zeigt Details zur Verbindung und zum Zertifikat. Öffnen Sie die Fälschung dafür nur in einer abgeschirmten Umgebung und geben Sie nichts ein.
In den Transparenzlogs: Öffentliche Suchdienste wie crt.sh durchsuchen die Certificate-Transparency-Logs nach Domainnamen. Sie finden dort auch Zertifikate für Domains, die gerade nicht erreichbar sind, und ältere Zertifikate derselben Domain.
Der zweite Weg ist für Ermittlungen meist der bessere, weil er die Geschichte einer Domain zeigt und keinen Kontakt mit der Fälschung erfordert.
Was sagen die Namen im Zertifikat?
Oft mehr als die Domain selbst. Ein Zertifikat kann für viele Namen gelten. Betreiber legen manchmal mehrere Lookalike-Domains oder Subdomains in ein Zertifikat, etwa ihre-marke-login.com, ihre-marke-verify.com und ihre-marke-support.com. Damit verraten sie Adressen, die noch gar nicht in Gebrauch sind. Prüfen Sie jeden Namen in der Liste und nehmen Sie verdächtige auf Ihre Beobachtungsliste. Wie Sie solche Funde mit anderen Fällen verbinden, zeigt Fälle verknüpfen.
Was sagt das Ausstellungsdatum?
Es grenzt den Zeitraum ein. Liegt das Zertifikat zwei Tage vor der ersten Phishing-Mail, hat der Betreiber die Seite in diesen zwei Tagen vorbereitet. Liegt es Wochen davor, kann die Domain schon länger auf ihren Einsatz gewartet haben. Zusammen mit dem Registrierungsdatum aus RDAP entsteht eine Zeitleiste, die in jede Meldung und jedes Beweispaket gehört.
Seit März 2026 sind öffentliche Zertifikate höchstens 200 Tage gültig, und die Grenze sinkt weiter. Für Ermittlungen heißt das: Betreiber müssen Zertifikate häufiger erneuern, und jede Erneuerung erscheint in den Logs. Eine Fälschung, die über Monate läuft, hinterlässt dort eine Spur.
Wie warnen Zertifikatslogs vor neuen Fälschungen?
Indem Sie neue Einträge laufend nach Ihrem Markennamen durchsuchen. Fast jede Fälschung nutzt HTTPS, damit Browser nicht vor einer unsicheren Verbindung warnen. Das Zertifikat entsteht deshalb meist vor dem ersten Opfer. Wer die Logs beobachtet, sieht verdächtige Namen oft, bevor die Seite live ist. Das Forschungsprojekt Phishpedia zeigte das Prinzip: Es prüfte neue Domains aus dem Strom der Zertifikatslogs und fand in einem Monat 1.704 Phishing-Seiten (Phishpedia).
Rechnen Sie mit Rauschen. Viele Treffer sind harmlos, etwa Ihre eigenen Zertifikate, die Ihrer Partner oder zufällige Namensgleichheiten. Eine Ignorierliste und eine menschliche Prüfung gehören deshalb dazu, mehr dazu in Fehlalarme vermeiden.
Ist die Zertifizierungsstelle ein Takedown-Kanal?
Selten der richtige. Ein Zertifikat mit Domainvalidierung bestätigt nur die Kontrolle über die Domain. Selbst wenn ein Zertifikat widerrufen wird, bleibt die Seite unter ihrer Adresse erreichbar, und der Betreiber holt sich in Minuten ein neues. Konzentrieren Sie Ihre Meldungen auf Hoster, Registrar und Browserwarnungen, wie in Fake-Website entfernen lassen beschrieben. Das Zertifikat gehört in das Beweispaket, nicht in den Meldeweg.
Was gehört ins Beweispaket?
Aussteller, Seriennummer, Fingerabdruck, Gültigkeitszeitraum, die vollständige Liste der Namen und der Link zum Eintrag im Transparenzlog. Speichern Sie zusätzlich das Zertifikat selbst als Datei. Die übrigen Bestandteile stehen in Beweise einer Fake-Website sichern.
Wie hilft AI Fraud Protect?
AI Fraud Protect findet Lookalike-Domains, nachgebaute Websites, Phishing-Seiten und gefälschte Prüfseiten, die Ihren Namen nutzen, und nimmt die Zertifikatsdaten automatisch in das Beweispaket jedes Falls auf. Meldungen an Hoster, Registrar, DNS-Anbieter und Google Safe Browsing werden vorbereitet, und ein Mensch prüft und versendet jede Nachricht.
Starten Sie den kostenlosen Fraud-Scan für einen Kurzreport innerhalb von 48 Stunden oder fragen Sie eine Demo an, um Erkennung, Beweise und Takedown in der App zu sehen.
Häufige Fragen
Heißt ein Schloss in der Adresszeile, dass die Seite echt ist?
Nein. Das Schloss zeigt nur eine verschlüsselte Verbindung zu der Domain in der Adresszeile. Fast alle Fälschungen haben eines.
Kann ich herausfinden, wer ein Zertifikat beantragt hat?
Bei Zertifikaten mit Domainvalidierung nicht aus dem Zertifikat selbst. Es enthält keine Angaben zur Person. Hinweise liefern eher Registrierungsdaten, Hosting und Verknüpfungen mit anderen Fällen.
Warum hat eine Fake-Seite ein Zertifikat von einer seriösen Stelle?
Weil Zertifikate mit Domainvalidierung automatisch und oft kostenlos ausgestellt werden, sobald jemand die Kontrolle über die Domain nachweist. Das ist so gewollt und betrifft echte und gefälschte Seiten gleichermaßen.
Wie oft sollte ich die Zertifikatslogs prüfen?
Laufend, wenn möglich automatisiert. Neue Zertifikate entstehen täglich, und ein früher Fund verschafft Zeit, bevor die erste Phishing-Mail verschickt wird.
Quellen
CA/Browser Forum: Ballot SC081v3, Zeitplan zur Verkürzung der Gültigkeit, 11. April 2025
Phishpedia: A Hybrid Deep Learning Based Approach to Visually Identify Phishing Webpages, USENIX Security 2021