Malte ZanderInhalt
Automatischer Bildvergleich nimmt einen Screenshot der verdächtigen Seite auf, erkennt Logos, Layout, Farben, Texte und Formularfelder und vergleicht sie mit Ihren echten Referenzseiten. Hohe Ähnlichkeit auf einer fremden Domain ist ein starkes Signal für eine Fälschung. Entscheiden müssen trotzdem Menschen, denn Partner, Händler, Presse und Vergleichsportale zeigen Ihr Logo oft ganz legitim.
- Das Forschungssystem Phishpedia erkennt Phishing-Seiten, indem es Logos auf Screenshots findet und mit den Logos bekannter Marken vergleicht. Es braucht dafür kein Training mit Phishing-Beispielen (USENIX Security 2021).
- Eingesetzt auf neue Domains aus den Zertifikatslogs, fand Phishpedia in einem Monat 1.704 Phishing-Seiten, davon 1.133 bis dahin unbekannte (Phishpedia).
- Im Juli 2025 berichtete Okta, dass Angreifer mit dem KI-Werkzeug v0 Anmeldeseiten mehrerer Marken nachbauten (Okta).
- In einer Analyse von 112.005 Phishing-Websites nutzten 31,3 % Tricks, die den Inhalt nur bestimmten Besuchern zeigen (Zhang u. a., IEEE S&P 2021).
Warum reicht der Domainname nicht?
Weil viele Fälschungen keine verräterische Domain haben. Lookalike-Domains wie ihre-marke-login.com lassen sich über den Namen finden. Aber Phishing-Seiten liegen auch auf gehackten Websites mit völlig anderem Namen, auf zufälligen Domains oder auf Subdomains von Plattformen. Was all diese Fälschungen gemeinsam haben, ist ihr Aussehen: Sie müssen wie Ihre Seite aussehen, sonst fällt niemand darauf herein. Genau dort setzt der Bildvergleich an.
Was wird verglichen?
| Merkmal | Was geprüft wird | Grenze |
|---|---|---|
| Logo | Ob Ihr Logo oder eine Variante sichtbar ist | Seiten ohne Logo oder mit leicht verändertem Logo |
| Layout | Aufbau, Abstände, Anordnung der Elemente | Neu gestaltete Fälschungen, etwa per KI |
| Farben und Schrift | Typische Gestaltung Ihrer Marke | Viele Marken nutzen ähnliche Farben |
| Texte | Überschriften, Hinweise, Fußzeilen | Übersetzte oder umformulierte Texte |
| Formularfelder | Felder für Passwort, Karte, Code | Formulare erst nach einem Klick |
| Eingebundene Dateien | Identische Bilder und Stylesheets | Fälschungen mit eigenen Kopien |
Ein einzelnes Merkmal sagt wenig. Erst die Kombination aus hoher Ähnlichkeit, einer fremden Domain und einem Formular für sensible Daten ergibt einen belastbaren Verdacht.
Wie funktioniert der Vergleich technisch?
In vier Schritten. Ein Crawler ruft die verdächtige Adresse auf und erstellt einen Screenshot. Ein Modell sucht darin Logos und Formularfelder. Die gefundenen Elemente und die Seite als Ganzes werden mit Ihren Referenzseiten verglichen und in einen Ähnlichkeitswert übersetzt. Zuletzt fließen weitere Signale ein, etwa das Alter der Domain, das Zertifikat und ob die Domain zu Ihnen oder einem Partner gehört.
Die Forschung nennt das referenzbasierte Erkennung: Statt nur "Phishing ja oder nein" zu melden, sagt das System, welche Marke imitiert wird. Phishpedia hat gezeigt, dass das ohne Training mit Phishing-Beispielen funktioniert und in einem Monat über tausend bis dahin unbekannte Phishing-Seiten findet (Phishpedia).
Warum sind Referenzseiten so wichtig?
Weil das System nur erkennen kann, was es kennt. Hinterlegen Sie die Seiten, die Betrüger am liebsten kopieren: Login, Kasse, Kontaktformular, Support-Seite und, wenn Sie Zertifikate ausstellen, die Prüfseite. Berücksichtigen Sie Sprachversionen und mobile Ansichten, denn Fälschungen kopieren oft die mobile Fassung. Aktualisieren Sie die Referenzen, wenn Sie Ihr Design ändern, sonst sehen alte Fälschungen Ihrer neuen Seite weniger ähnlich als Ihre eigene alte Seite.
Wo liegen die Grenzen?
An vier Stellen:
Versteckte Inhalte: Zeigt eine Seite dem Crawler etwas anderes als Opfern, vergleicht das System die falsche Seite. Fast jede dritte Phishing-Website in der CrawlPhish-Studie nutzte solche Tricks. Mehr dazu in Versteckte Fake-Seiten.
Seiten ohne Logo: Manche Fälschungen kommen ohne Logo aus, etwa reine Textseiten mit falschem Support.
Neu gestaltete Fälschungen: KI-Werkzeuge bauen Seiten nach, die Ihrem Design nur ähneln, statt es zu kopieren. Der Abstand zur Referenz wird größer.
Dynamische Seiten: Inhalte, die erst nach Klicks erscheinen, fehlen auf einem einfachen Screenshot.
Deshalb gehört der Bildvergleich in eine Kette mit anderen Signalen: Domainbeobachtung, Zertifikatslogs und Hinweise von Kunden über ein Melde-Widget.
Wo entscheiden Menschen?
Bei allem, was über den Verdacht hinausgeht. Ihr Logo erscheint legitim bei Händlern, Partnern, in Presseartikeln, auf Vergleichsportalen und in Schulungsunterlagen. Eine Maschine sieht dort hohe Ähnlichkeit, ein Mensch erkennt den Zusammenhang. Prüfen Sie deshalb jeden Treffer, bevor gemeldet wird, und führen Sie eine Ignorierliste für bekannte Partner. Warum das so wichtig ist, erklärt Human in the Loop.
Was bringt der Vergleich für die Meldung?
Ein starkes Beweisstück. Eine Gegenüberstellung von Fälschung und Original, Seite an Seite mit markierten Übereinstimmungen, überzeugt Abuse-Teams schneller als jede Beschreibung. Legen Sie sie jeder Meldung bei, zusammen mit Screenshot, vollständiger URL und den Daten aus Beweise einer Fake-Website sichern.
Wie hilft AI Fraud Protect?
AI Fraud Protect vergleicht verdächtige Seiten mit Ihren Referenzseiten und markiert nachgebaute Websites, Phishing-Seiten und gefälschte Prüfseiten. Jeder Treffer wird mit Beweispaket angelegt, Partner stehen auf einer Ignorierliste, und ein Mensch prüft jeden Fall, bevor Meldungen an Hoster, Registrar, DNS-Anbieter und Google Safe Browsing rausgehen.
Starten Sie den kostenlosen Fraud-Scan für einen Kurzreport innerhalb von 48 Stunden oder fragen Sie eine Demo an, um Erkennung, Beweise und Takedown in der App zu sehen.
Häufige Fragen
Erkennt KI jede Fake-Seite?
Nein. Bildvergleich findet viele Fälschungen, die über den Domainnamen nicht auffallen, scheitert aber an versteckten Inhalten und stark veränderten Kopien. Kombinieren Sie ihn mit anderen Quellen.
Wie viele Fehlalarme entstehen?
Das hängt von Schwellenwerten, Referenzen und Ignorierlisten ab. Ohne menschliche Prüfung sollte kein Treffer gemeldet werden.
Brauche ich eigene Referenzseiten für jede Sprache?
Ja, wenn sich die Seiten deutlich unterscheiden. Fälschungen kopieren oft die Sprache ihrer Zielgruppe.
Ist der Vergleich auch ein Beweis?
Er ist ein starkes Indiz und eine gute Anlage zur Meldung. Für Verfahren gehören Rohdaten, Protokoll und Prüfsummen dazu.
Quellen
Lin u. a.: Phishpedia, A Hybrid Deep Learning Based Approach to Visually Identify Phishing Webpages, USENIX Security 2021
Okta Threat Intelligence: v0 als Werkzeug für Phishing-Seiten, 1. Juli 2025
Zhang u. a.: CrawlPhish, Large-scale Analysis of Client-side Cloaking Techniques in Phishing, IEEE Symposium on Security and Privacy 2021