Malte ZanderInhalt
Den Erfolg von Takedowns messen Sie mit wenigen, klar definierten Zeitspannen und Quoten: Zeit bis zur Erkennung, bis zur ersten Meldung, bis zur Browserwarnung und bis zur Entfernung, dazu Antwortquote je Kanal, Erfolgsquote, Rückkehrrate und Fehlalarmquote. Berichten Sie Zeiten als Median, nicht nur als Durchschnitt, denn wenige hartnäckige Fälle verzerren den Mittelwert stark.
- In einer Studie mit 286.237 Phishing-URLs lag die mittlere Lebensdauer nach der Entdeckung bei 5,46 Stunden, der Durchschnitt bei 54 Stunden (Lee u. a., WWW 2025).
- In derselben Studie erkannte Google Safe Browsing Phishing-Seiten im Durchschnitt nach 108,73 Stunden, im Median nach 5,80 Stunden (Lee u. a., WWW 2025).
- Hoster in der EU müssen den Eingang einer Meldung bestätigen, wenn Sie elektronische Kontaktdaten angeben, und Ihnen ihre Entscheidung mitteilen. Beides liefert Zeitstempel für Ihre Messung (DSA, Artikel 16).
Welche Kennzahlen zählen wirklich?
Die, die zeigen, wie lange Menschen der Fälschung ausgesetzt sind und wie gut Ihr Ablauf funktioniert:
| Kennzahl | Von | Bis | Warum sie zählt |
|---|---|---|---|
| Zeit bis zur Erkennung | Erstes Signal, etwa Zertifikat oder Registrierung | Fund im System | Zeigt, wie früh Sie hinschauen |
| Zeit bis zur Meldung | Fund | Erste Meldung versendet | Zeigt, wie schnell Ihr Team handelt |
| Zeit bis zur Schutzwirkung | Erste Meldung | Browserwarnung oder erste Sperre | Ab hier sind Besucher geschützt |
| Zeit bis zur Entfernung | Erste Meldung | Seite dauerhaft nicht erreichbar | Das eigentliche Ziel |
| Antwortquote je Kanal | Meldungen an einen Anbieter | Bestätigungen und Entscheidungen | Zeigt, wo Sie eskalieren müssen |
| Erfolgsquote | Gemeldete Fälle | Entfernte Fälle | Gesamtwirkung des Programms |
| Rückkehrrate | Entfernte Fälle | Fälle mit Rückkehr | Zeigt, ob Beobachtung nötig ist |
| Fehlalarmquote | Gemeldete Funde | Funde, die keine Fälschung waren | Schützt Ihren Ruf bei Anbietern |
Wann ist eine Seite wirklich entfernt?
Erst wenn sie dauerhaft nicht mehr erreichbar ist. Viele Seiten fallen kurz aus und kommen zurück, etwa wenn ein Hoster eine Datei löscht, der Betreiber sie aber neu hochlädt. Unterscheiden Sie deshalb zwischen dem ersten Ausfall und der endgültigen Entfernung. Für den Bericht zählt die endgültige Entfernung: Prüfen Sie die Adresse nach einigen Tagen erneut, bevor Sie einen Fall schließen.
Ebenso wichtig ist die Schutzwirkung vor der Entfernung. Eine Browserwarnung oder eine Domainsperre kann Besucher schützen, während Inhalte noch auf einem Server liegen. Messen Sie diesen Zeitpunkt getrennt, denn er zeigt, wie schnell Ihre Meldungen tatsächlich wirken.
Warum Median statt Durchschnitt?
Weil Takedown-Zeiten extrem schief verteilt sind. In der genannten Studie war die Hälfte der Phishing-Seiten nach 5,46 Stunden offline, der Durchschnitt lag aber bei 54 Stunden (Lee u. a., WWW 2025). Ein einziger Fall, der drei Wochen offen bleibt, kann den Durchschnitt eines Monats verdoppeln. Berichten Sie deshalb den Median und zeigen Sie die langsamsten Fälle getrennt, etwa die fünf ältesten offenen Fälle mit Grund. So sieht das Management sowohl den typischen Fall als auch die Problemfälle.
Wie erfassen Sie die Zeitstempel sauber?
Mit einem Fallprotokoll, in dem jeder Statuswechsel einen Zeitstempel bekommt:
Fund: Datum und Uhrzeit, Quelle des Hinweises, etwa Monitoring, Kunde oder Melde-Widget.
Bestätigt: Wer hat geprüft, dass es eine Fälschung ist.
Gemeldet: je Kanal Zeitpunkt, Empfänger und Vorgangsnummer.
Bestätigung erhalten: je Kanal, aus der Eingangsbestätigung des Anbieters.
Schutzwirkung: Zeitpunkt der Browserwarnung, der Domainsperre oder der ersten Entfernung.
Entfernt: Zeitpunkt, ab dem die Seite dauerhaft nicht erreichbar ist.
Rückkehr: neue Adresse mit Verweis auf den alten Fall.
Nutzen Sie überall dieselbe Zeitzone. Ohne dieses Protokoll lassen sich Kennzahlen später nur schätzen, und Schätzungen überzeugen weder Management noch Rechtsabteilung.
Welche Kennzahlen gehören in den Monatsbericht?
Wenige, die Entscheidungen auslösen. Bewährt haben sich die Zahl neuer Fälle, die mediane Zeit bis zur Entfernung, die Erfolgsquote, die Zahl offener Fälle mit ihrem Alter und die Rückkehrrate. Ergänzen Sie eine Liste der Anbieter mit der schlechtesten Antwortquote, denn dort lohnen sich Eskalation oder ein anderer Kanal. Eine Vorlage für den Bericht finden Sie in Markenschutz-Reporting für die Geschäftsführung.
Welche Fehler verzerren die Zahlen?
Vier häufige:
Uneinheitliche Startpunkte: Wer einmal ab Fund, einmal ab Meldung misst, vergleicht Äpfel mit Birnen.
Fälle zu früh schließen: Eine Seite, die nach zwei Tagen zurückkommt, war nicht entfernt.
Nur erfolgreiche Fälle zählen: Offene und gescheiterte Fälle gehören in jede Auswertung.
Fehlalarme ignorieren: Eine hohe Fehlalarmquote kostet Vertrauen bei Anbietern und verlangsamt künftige Meldungen.
Wie hilft AI Fraud Protect?
AI Fraud Protect protokolliert jeden Fall vom Fund über die Meldungen bis zur Entfernung mit Zeitstempeln je Kanal. Offene Fälle bleiben auf der Nachfassliste, Rückkehrer werden früheren Fällen zugeordnet, und Partner auf der Ignorierliste halten die Fehlalarmquote niedrig. Jede Meldung prüft und versendet ein Mensch. So entstehen die Zahlen für Ihren Bericht nebenbei.
Starten Sie den kostenlosen Fraud-Scan für einen Kurzreport innerhalb von 48 Stunden oder fragen Sie eine Demo an, um Erkennung, Beweise und Takedown in der App zu sehen.
Häufige Fragen
Welche Kennzahl ist die wichtigste?
Die mediane Zeit von der ersten Meldung bis zur Schutzwirkung. Sie zeigt, wie lange Menschen der Fälschung ungeschützt ausgesetzt sind.
Wie oft sollte ich berichten?
Monatlich für das Management, wöchentlich im Team. Bei einem akuten Vorfall berichten Sie zusätzlich, bis der Fall geschlossen ist.
Was ist eine gute Erfolgsquote?
Das hängt von der Art der Fälle ab. Wichtiger als ein Zielwert ist der Verlauf über die Zeit und eine Erklärung für jeden Fall, der offen bleibt.
Sollten wir Zeiten mit anderen Unternehmen vergleichen?
Nur vorsichtig. Anbieter und Studien messen mit unterschiedlichen Startpunkten. Vergleichen Sie sich vor allem mit Ihren eigenen Vormonaten.
Quellen
Lee, Lim, Kim, Kwon, Kim: 7 Days Later, Analyzing Phishing-Site Lifespan After Detected, ACM Web Conference 2025
Digital Services Act, Artikel 16, mit dem amtlichen Text auf EUR-Lex