Malte ZanderInhalt
- Die Ausgangslage
- Tag 0, 08:12 Uhr: die Meldung
- Tag 0, wenige Minuten später: die Analyse
- Tag 0: Beweise und Framing
- Tag 0, 09:30 Uhr: vier Meldungen, ein Klick je Kanal
- Tag 1 bis 3: Antworten und Nachfassen
- Tag 18: die Kopie kommt zurück
- Was die Akademie danach geändert hat
- Was zeigt der Fall?
- Wie hilft AI Fraud Protect?
- Häufige Fragen
Dieses fiktive Fallbeispiel zeigt einen Takedown von Anfang bis Ende. Eine Personalabteilung meldet über das Melde-Widget einer Sprachakademie den Link aus dem QR-Code eines vorgelegten B2-Zertifikats. Die Seite zeigt nur mit diesem Link „Zertifikat gültig“. Mit Beweispaket, dem Framing Zertifikatsfälschung und parallelen Meldungen an Hoster, Registrar, DNS-Anbieter und Google ist sie im Beispiel am dritten Tag offline. Als dieselbe Vorlage unter neuer Domain zurückkommt, ist der zweite Takedown am selben Tag eingeleitet.
- Gefälschte B1-Zertifikate in Einbürgerungsverfahren wurden nach Angaben der Bundesregierung 2025 zum Thema der großen Einbürgerungsbehörden (Deutscher Bundestag).
- In einer Untersuchung von 112.005 Phishing-Seiten zeigten 31,3 % ihren Inhalt nur unter bestimmten Bedingungen (CrawlPhish).
- Hoster brauchen für eine Meldung nach dem Digital Services Act unter anderem die genaue URL (DSA, Artikel 16).
- Google Safe Browsing brauchte in einer Studie im Schnitt 108,73 Stunden, um Phishing-Seiten selbst zu erkennen (Lee u. a., WWW 2025).
Die Ausgangslage
Die Akademie Muster GmbH nimmt Sprachprüfungen von B1 bis C1 ab. Unternehmen, Ämter und Hochschulen prüfen ihre Zertifikate auf einer eigenen Prüfseite unter pruefung.akademie-muster.example. Seit dem Frühjahr ist dort das Melde-Widget eingebunden, die eigenen Domains und die Domains der Partner-Testzentren stehen auf der Ignorierliste, und der Domain-Scanner prüft wöchentlich Varianten der Akademie-Domains.
Wichtig: Die Akademie, alle Domains, Personen und Zeitangaben in diesem Beispiel sind erfunden. Der Ablauf folgt Mustern, wie sie bei gefälschten Prüfseiten typisch sind.
Tag 0, 08:12 Uhr: die Meldung
Eine Personalreferentin prüft die Bewerbung für eine Stelle, die Deutsch auf B2-Niveau verlangt. Der QR-Code auf dem Zertifikat führt zu einer Seite mit dem Logo der Akademie und dem Hinweis „Zertifikat gültig“. Etwas stört sie: Die Adresse beginnt zwar mit akademie-muster, endet aber auf einer fremden Domain. Sie tippt die Prüfadresse von der Website der Akademie selbst ein, findet das Melde-Widget und meldet den Link:
akademie-muster.ergebnis-check.[zufall].com/results?cid=K7Q2MX9AP4LW
Dazu lädt sie das Zertifikat als PDF hoch und schreibt: „Bewerbungsunterlage, Prüfung zeigt gültig.“ Mehr braucht die Meldung nicht.
Tag 0, wenige Minuten später: die Analyse
Die KI ruft den Link mit allen Parametern auf und sichert einen Screenshot. Die Seite zeigt „Zertifikat gültig“, das Logo der Akademie und die Angaben aus dem Zertifikat. Ohne die Parameter erscheint dieselbe Adresse als neutrale Seite ohne Logo, typisch für versteckte Fälschungen, siehe Versteckte Fake-Seiten.
Der Vergleich mit der echten Prüfseite nennt, was kopiert wurde: Logo und Wortmarke, die Überschrift „Zertifikat prüfen“ und die Felder für Teilnehmer-ID und Geburtsdatum. Risiko: kritisch. Die Prüfungsverwaltung bestätigt parallel, dass die Zertifikatsnummer aus dem PDF in ihren Daten nicht existiert. Die Meldung wird als neuer Fall übernommen.
Tag 0: Beweise und Framing
Das Beweispaket entsteht automatisch: Screenshots auf Desktop und Mobil, mit und ohne Parameter, der vollständige Link aus der Meldung, Registrierungsdaten mit dem Registrierungsdatum der Domain, DNS-Einträge, Hosting bei Muster Hosting B.V. in den Niederlanden, das TLS-Zertifikat, der KI-Analysebericht und der Markennachweis der Akademie. Der Fall wird als Zertifikatsfälschung eingeordnet, denn die Seite bestätigt gefälschte Zertifikate. Warum das Framing zählt, erklärt Takedown-Framing.
Tag 0, 09:30 Uhr: vier Meldungen, ein Klick je Kanal
Die zuständige Mitarbeiterin der Akademie prüft die vorbereiteten Meldungen und versendet sie:
| Kanal | Weg | Begründung |
|---|---|---|
| Hoster | E-Mail an den Abuse-Kontakt | Meldung nach Artikel 16 des Digital Services Act, mit genauer URL und Parametern |
| Registrar | E-Mail an den Abuse-Kontakt | Betrug mit gefälschter Prüfseite unter Missbrauch der Marke |
| DNS-Anbieter | Abuse-Formular | Hinweis auf die Fälschung mit Beweispaket |
| Google Safe Browsing | Meldeformular | Schutz der Besucher, solange die Seite online ist |
Gleichzeitig erhält die Personalreferentin eine Antwort: Das Zertifikat ist gefälscht, und die richtige Prüfadresse ist pruefung.akademie-muster.example.
Tag 1 bis 3: Antworten und Nachfassen
Am ersten Tag antwortet der DNS-Anbieter, dass er die Meldung an den Hoster weitergeleitet hat. Der Hoster eröffnet ein Ticket. Google Safe Browsing nimmt die Seite auf, und Browser warnen nun vor ihr, auch für alle, die den QR-Code auf einem anderen gefälschten Zertifikat scannen. Vom Registrar kommt keine Antwort, deshalb geht am zweiten Tag eine Nachfassung raus. Am dritten Tag bestätigt der Hoster die Entfernung, und der Registrar sperrt die Domain. Der Live-Status zeigt alle vier Kanäle als bestätigt, der Fall wird geschlossen und bleibt unter Beobachtung.
Die Zeitangaben sind ein Beispiel. Wie lange ein echter Takedown dauert, hängt vor allem von Hoster, Registrar und Land ab, siehe Wie lange dauert ein Takedown?.
Tag 18: die Kopie kommt zurück
Eine Behörde meldet über dasselbe Widget einen neuen Link: akademie-muster-zertifikat.[zufall].com/check?nr=B2-0417. Die KI erkennt dieselbe Vorlage wie im ersten Fall, und die Meldung wird mit dem bestehenden Fall verknüpft. Die Beweise aus dem ersten Fall liegen vor, das neue Beweispaket ist in Minuten ergänzt, und der zweite Takedown ist noch am selben Tag eingeleitet. Wie solche Verbindungen helfen, zeigt Fälle verknüpfen.
Was die Akademie danach geändert hat
QR-Codes führen nur noch auf die eigene Domain, und neben dem Code steht die Prüfadresse in Klartext.
Ein Satz auf jedem Zertifikat: „Prüfen Sie dieses Zertifikat nur unter pruefung.akademie-muster.example.“
Personalabteilungen und Behörden wurden informiert, mit einem kurzen Hinweis auf Prüfweg und Melde-Widget.
Naheliegende Varianten der Prüfdomain wurden registriert.
Digital signierte Zertifikate sind in Planung, damit die Echtheit nicht mehr an einer Webseite hängt.
Was zeigt der Fall?
Fünf Lehren, die sich auf echte Fälle übertragen lassen:
Den Fund lieferte ein Mensch, nicht ein Scan. Die Seite war ohne Parameter unsichtbar. Siehe Melde-Widget.
Der vollständige Link war entscheidend, für die Analyse und für den Hoster.
Parallele Meldungen haben Zeit gespart, und die Browser-Warnung hat geschützt, während der Hoster prüfte.
Die menschliche Freigabe kostete Sekunden, weil alles vorbereitet war.
Ein geschlossener Fall ist kein erledigter Fall. Die Kopie kam zurück und wurde schnell erkannt.
Wie hilft AI Fraud Protect?
Der Ablauf in diesem Beispiel entspricht dem, was AI Fraud Protect leistet: Das Melde-Widget nimmt Links und PDFs entgegen, die KI analysiert jede Meldung mit Screenshot und vergleicht die Seite mit Ihrer echten, und das Beweispaket mit Screenshots, WHOIS, DNS, Hosting, TLS-Zertifikat, KI-Analysebericht und Markennachweis entsteht automatisch. Die Meldungen an Hoster, Registrar, DNS-Anbieter und Google sind passend zum Framing vorbereitet, jede Nachricht prüft und versendet ein Mensch, und der Live-Status zeigt je Kanal, was gesendet, bestätigt oder offen ist. Auch geschlossene Fälle werden weiter gescannt, und ein erneuter Takedown lässt sich mit den vorhandenen Beweisen sofort einleiten.
Starten Sie den kostenlosen Fraud-Scan für einen Kurzreport innerhalb von 48 Stunden oder fragen Sie eine Demo an, um Dashboard, Melde-Widget und einen Takedown von der Meldung bis zur Entfernung zu sehen.
Häufige Fragen
Ist das ein echter Fall?
Nein. Die Akademie, die Domains, die Personen und die Zeitangaben sind erfunden. Der Ablauf folgt aber den Mustern, die bei gefälschten Prüfseiten typisch sind, und den Schritten, die in echten Takedowns nötig sind.
Wie lange dauert ein echter Takedown?
Das hängt vor allem von Hoster, Registrar und Land ab. Parallele Meldungen und vollständige Belege verkürzen die Zeit, eine Browser-Warnung schützt schon vorher.
Was, wenn der Hoster nicht reagiert?
Dann wird nachgefasst und eskaliert, etwa über den Registrar, den Upstream-Anbieter oder eine Beschwerde. Siehe Hoster reagiert nicht auf die Abuse-Meldung.
Was passiert mit der Person, die das gefälschte Zertifikat vorgelegt hat?
Darüber entscheiden das Unternehmen und gegebenenfalls die Akademie mit ihren Rechtsabteilungen, etwa über eine Strafanzeige. Das ist keine Rechtsberatung.
Quellen
Zhang u. a.: CrawlPhish, IEEE Symposium on Security and Privacy 2021
Lee u. a.: Studie zur Lebensdauer von Phishing-Seiten, The Web Conference 2025