Malte ZanderInhalt
Versteckte Fake-Seiten zeigen ihren Inhalt nur unter bestimmten Bedingungen: mit dem richtigen Parameter im Link, nur auf dem Smartphone, nur aus bestimmten Ländern, nur nach einem Klick oder nur für Besucher, die wie echte Menschen wirken. Scanner und Prüfer sehen dann eine leere oder harmlose Seite. Am zuverlässigsten finden Sie solche Fälschungen über die Menschen, die den echten Link erhalten haben, und Sie melden sie mit dem vollständigen Link und einer Beschreibung, wie die Fälschung erscheint.
- In einer Analyse von 112.005 Phishing-Websites nutzten 31,3 % Tricks im Browser, um ihren Inhalt vor automatischer Prüfung zu verbergen (Zhang u. a., IEEE S&P 2021).
- Der Anteil solcher Seiten stieg im Studienzeitraum von 23,32 % im Jahr 2018 auf 33,70 % im Jahr 2019 (Zhang u. a., IEEE S&P 2021).
- In Tests mit 150 eigens erstellten Phishing-Seiten umgingen alle drei untersuchten Kategorien von Tricks die Phishing-Erkennung in Browsern (Zhang u. a., IEEE S&P 2021).
- Google Safe Browsing erkannte in einer großen Studie nur 18,41 % der Phishing-URLs von selbst (Lee u. a., WWW 2025).
Was ist eine versteckte Fake-Seite?
Eine Fälschung, die entscheidet, wem sie sich zeigt. Fachleute sprechen von Cloaking, also Tarnung. Die Seite prüft beim Aufruf, ob der Besucher ein mögliches Opfer ist oder ein Scanner, eine Prüferin oder ein Sicherheitsforscher. Opfer sehen das gefälschte Formular, alle anderen eine leere Seite, eine Fehlermeldung oder eine harmlose Weiterleitung, oft auf Ihre echte Website. Für Betreiber lohnt sich das, weil Erkennungssysteme und Abuse-Teams nichts finden, was sie sperren könnten.
Welche Tricks gibt es?
| Trick | Was geprüft wird | Wirkung |
|---|---|---|
| Parameter im Link | Eine Kennung, ein Name oder eine E-Mail-Adresse in der URL | Ohne den vollständigen Link bleibt die Seite leer |
| Einmal-Links | Ob der Link schon benutzt wurde | Beim zweiten Aufruf erscheint nichts mehr |
| Herkunft | Land oder Netz der IP-Adresse | Nur Besucher aus der Zielregion sehen die Fälschung |
| Gerät und Browser | Smartphone oder Desktop, Browsertyp | Oft nur mobile Besucher |
| Referrer | Von wo der Besucher kommt | Nur Besucher aus der Phishing-Mail oder Anzeige |
| Nutzerinteraktion | Ein Klick, eine Schaltfläche, ein Prüfschritt | Automatische Scanner kommen nicht weiter |
| Browsermerkmale | Typische Eigenschaften echter Browser | Automatisierte Browser werden erkannt |
| Verhalten | Mausbewegungen, Wartezeiten | Bots sehen etwas anderes als Menschen |
Die letzten drei Tricks laufen im Browser. Die CrawlPhish-Studie ordnete sie drei Gruppen zu: Nutzerinteraktion, Fingerprinting und Bot-Verhalten. Alle drei umgingen in Tests die Phishing-Erkennung von Browsern (Zhang u. a., IEEE S&P 2021).
Warum sind Links mit Parametern besonders tückisch?
Weil sie ganz ohne Technik auskommen und trotzdem fast alles verbergen. Ein typisches Beispiel sind gefälschte Prüfseiten für Zertifikate: Der QR-Code auf einem gefälschten Zeugnis führt zu einer Adresse mit einer Kennung, etwa ihre-marke-check.com/verify?id=48213. Mit dieser Kennung zeigt die Seite ein "gültiges" Zertifikat mit Namen und Abschluss. Ohne sie zeigt sie nichts oder eine neutrale Startseite. Ein Scanner, der nur Domains prüft, sieht nie die Fälschung. Sichtbar wird sie nur für die Personalabteilung oder Behörde, die den QR-Code scannt.
Dasselbe gilt für Phishing-Links, die die E-Mail-Adresse des Opfers enthalten, damit das Formular vorausgefüllt erscheint. Die vollständige Adresse kennen nur die Empfänger.
Wie finden Sie versteckte Seiten trotzdem?
Über die Menschen, die den Link haben:
Hinweise von außen: Kunden, Mitarbeitende, Partner und Prüfende, etwa Personalabteilungen, erhalten den vollständigen Link. Eine feste Meldestelle auf Ihrer Website, etwa ein Melde-Widget, macht aus ihnen Ihre beste Erkennungsquelle.
Den vollständigen Link prüfen: Rufen Sie die Seite genau mit dem gemeldeten Link auf, abgeschirmt und ohne Eingaben.
Gerät und Herkunft variieren: Prüfen Sie mobil und am Desktop und, wo möglich, aus der Zielregion.
Domains trotzdem beobachten: Auch versteckte Fälschungen brauchen Domains und Zertifikate, die in Registrierungsdaten und Transparenzlogs auftauchen.
Wie dokumentieren Sie eine versteckte Seite?
Mit den Bedingungen, unter denen sie erscheint. Halten Sie den vollständigen Link fest, Gerät, Browser, Ort und Zeitpunkt, dazu Screenshots mit und ohne Parameter, damit der Unterschied sichtbar wird. Archivieren Sie die Seite mit dem vollständigen Link. Enthält der Link Daten von Opfern, etwa eine E-Mail-Adresse, behandeln Sie ihn vertraulich und gehen Sie damit nicht in öffentliche Archive. Mehr in Screenshots als Beweis und Fake-Seiten archivieren.
Wie melden Sie eine versteckte Seite?
So, dass die Prüferin die Fälschung selbst sehen kann. Schreiben Sie ausdrücklich, dass die Seite ihren Inhalt nur unter bestimmten Bedingungen zeigt, geben Sie den vollständigen Link an und legen Sie die Screenshots bei. Bitten Sie den Hoster, die Dateien auf dem Server zu prüfen: Er sieht das Phishing-Kit unabhängig davon, was die Seite Besuchern zeigt. Ein Registrar kann eine eigens registrierte Lookalike-Domain sperren, auch wenn die Startseite harmlos aussieht. Fehler, die solche Meldungen scheitern lassen, beschreibt Warum Takedowns scheitern.
Wie hilft AI Fraud Protect?
AI Fraud Protect verbindet zwei Quellen: den Webscanner, der Lookalike-Domains, nachgebaute Seiten und gefälschte Prüfseiten findet, und das Melde-Widget, über das Kunden, Mitarbeitende und Prüfende verdächtige Links mit allen Parametern melden. So werden auch Fälschungen sichtbar, die sich vor Scannern verstecken. Jeder Fall bekommt ein Beweispaket, und ein Mensch prüft und versendet jede Meldung.
Starten Sie den kostenlosen Fraud-Scan für einen Kurzreport innerhalb von 48 Stunden oder fragen Sie eine Demo an, um Erkennung, Beweise und Takedown in der App zu sehen.
Häufige Fragen
Warum sieht unser Scanner die Seite nicht, obwohl Kunden sie melden?
Wahrscheinlich, weil sie ihren Inhalt nur mit dem vollständigen Link, nur mobil oder nur aus bestimmten Ländern zeigt. Prüfen Sie mit genau dem Link, den der Kunde gemeldet hat.
Darf ich die Tarnung umgehen, um die Seite zu sehen?
Sie dürfen den Link aufrufen, den Opfer erhalten haben. Geben Sie aber keine Daten ein und greifen Sie nicht in die Seite oder den Server ein.
Erkennen Hoster versteckte Phishing-Seiten?
Hoster können die Dateien auf ihren Servern prüfen. Deshalb lohnt es sich, in der Meldung ausdrücklich auf die Tarnung hinzuweisen.
Ist eine leere Seite unter einer Lookalike-Domain harmlos?
Nicht unbedingt. Sie kann eine versteckte Fälschung sein, die nur mit dem richtigen Link erscheint. Beobachten Sie solche Domains und sammeln Sie Hinweise.
Quellen
Zhang u. a.: CrawlPhish, Large-scale Analysis of Client-side Cloaking Techniques in Phishing, IEEE Symposium on Security and Privacy 2021
Lee, Lim, Kim, Kwon, Kim: 7 Days Later, Analyzing Phishing-Site Lifespan After Detected, ACM Web Conference 2025