Malte ZanderInhalt
Ein Takedown dauert zwischen wenigen Stunden und mehreren Wochen. Viele Phishing-Seiten verschwinden innerhalb eines Tages, ein kleiner Teil bleibt deutlich länger online. Eine feste Frist gibt es nicht: Hoster in der EU müssen zeitnah entscheiden, Registrare generischer Domains umgehend handeln. Die Dauer bestimmen vor allem drei Dinge: wie vollständig Ihre Meldung ist, ob sie an der richtigen Stelle landet und ob Sie mehrere Kanäle gleichzeitig nutzen.
- Eine Studie mit 286.237 Phishing-URLs aus fünf Monaten maß eine durchschnittliche Lebensdauer nach der Entdeckung von 54 Stunden, der Median lag bei 5,46 Stunden (Lee u. a., WWW 2025).
- Seiten, deren Aussehen sich mehr als 100-mal änderte, blieben im Median 17 Tage online, Seiten mit kaum Änderungen 1,93 Stunden (Lee u. a., WWW 2025).
- Der ICANN-Leitfaden nennt als Beispiel eine Sperrung innerhalb von zwei Werktagen für eine nur für Phishing registrierte Domain, ausdrücklich ohne vertragliche Frist (ICANN).
- Hoster in der EU müssen Meldungen zeitnah, sorgfältig, willkürfrei und objektiv bearbeiten (DSA, Artikel 16).
Gibt es eine feste Frist für einen Takedown?
Nein. Weder der Digital Services Act noch die Verträge der ICANN nennen Stunden oder Tage. Der DSA verlangt von Hostern eine zeitnahe Entscheidung und eine Eingangsbestätigung, wenn Sie elektronische Kontaktdaten angeben. Die ICANN verlangt von Registraren umgehendes Handeln bei belastbaren Hinweisen und nennt Beispiele, keine Fristen.
In der Praxis setzt jeder Anbieter eigene Ziele. Große Hoster und Registrare haben eigene Abuse-Teams, die Phishing-Meldungen oft am selben Tag bearbeiten. Kleine Anbieter haben ein Postfach, das einmal in der Woche jemand liest. Und einige Anbieter ignorieren Meldungen absichtlich, weil ihr Geschäft davon lebt.
Wie lange bleiben Phishing-Seiten tatsächlich online?
Meist kurz, manchmal sehr lange. Die Verteilung ist stark schief. In einer Studie der ACM Web Conference 2025 lag die mittlere Lebensdauer von Phishing-Seiten nach ihrer Entdeckung bei 5,46 Stunden, der Durchschnitt aber bei 54 Stunden (Lee u. a., WWW 2025). Die Hälfte der Seiten war also nach wenigen Stunden weg, während ein kleiner Teil tagelang durchhielt und den Durchschnitt nach oben zog.
Auffällig ist, welche Seiten lange überleben: solche, die ihr Aussehen ständig ändern. Seiten mit mehr als 100 sichtbaren Änderungen blieben im Median 17 Tage online. Betreiber, die ihre Seiten pflegen und gegen Erkennung anpassen, sind die hartnäckigen Fälle, und genau die brauchen Ihre Meldung.
Was macht einen Takedown langsam?
Fast immer einer dieser Gründe:
| Grund | Was passiert | Was hilft |
|---|---|---|
| Unvollständige Meldung | Rückfragen oder stilles Ablegen | Volle URL, Screenshots, klare Begründung |
| Falscher Adressat | Weiterleitung oder Ablehnung | Vorher prüfen: Hoster, Registrar, DNS oder CDN |
| Seite zeigt beim Prüfer nichts | Meldung wird als unbegründet geschlossen | Vollständigen Link mit Parametern und Beweise mitschicken |
| Gehackte echte Website | Der Hoster muss erst den Betreiber erreichen | Betreiber direkt informieren, Browserwarnung beantragen |
| Länderdomain | Die ICANN-Regeln gelten nicht | Hoster und verwaltenden Registrar ansprechen |
| Unkooperativer Hoster | Keine Antwort | Registrar, Netzbetreiber und Browser parallel melden |
Die häufigsten Ursachen liegen bei der Meldung selbst. Die ICANN berichtete im Oktober 2025, dass viele Beschwerden ungültig oder unvollständig sind oder zu wenig Details enthalten, um handeln zu können (ICANN). Welche Fehler am meisten kosten, zeigt Warum Takedowns scheitern.
Was macht einen Takedown schnell?
Vier Dinge, die alle in Ihrer Hand liegen:
Eine vollständige Meldung beim ersten Versuch. Begründung, genaue URL, Belege, Name und Kontakt. Eine Prüferin soll ohne Rückfrage entscheiden können.
Das richtige Framing. Phishing, Fake-Shop oder gefälschte Prüfseite verlangen unterschiedliche Begründungen und Kanäle.
Parallele Meldungen. Hoster, Registrar und Google Safe Browsing am selben Tag. Der schnellste Kanal beendet den Schaden.
Konsequentes Nachfassen. Eine Erinnerung mit Vorgangsnummer nach ein bis zwei Werktagen ohne Reaktion bringt viele Fälle in Bewegung.
Wie sieht ein typischer Ablauf aus?
So läuft ein gut gemeldeter Fall in den ersten Tagen:
Stunde 0 bis 1: Beweise sichern, Zuständige ermitteln, Meldungen an Hoster, Registrar, DNS-Anbieter und Google Safe Browsing senden.
Stunde 1 bis 24: Eingangsbestätigungen kommen. Bei klaren Phishing-Fällen sperren aktive Registrare oder Hoster oft schon jetzt.
Tag 2 bis 3: Nachfassen bei allen Kanälen ohne Reaktion. Eine Browserwarnung schützt Besucher, falls die Seite noch erreichbar ist.
Ab Tag 4: Eskalieren, etwa beim vorgelagerten Netzbetreiber, bei der Registry oder über die Beschwerdestelle der ICANN. Hinweise dazu in Hoster reagiert nicht auf die Abuse-Meldung.
Danach: Den Fall beobachten, denn Kopien kommen oft unter neuen Domains zurück.
Wie lange dauert der Rechtsweg?
Deutlich länger. Ein beschleunigtes UDRP-Verfahren bei der WIPO verspricht eine Entscheidung innerhalb eines Monats und kostet 4.000 US-Dollar. Das Standardverfahren kostet ab 1.500 US-Dollar und dauert länger (WIPO). Gerichtsverfahren dauern Monate. Für akutes Phishing ist der Takedown deshalb der richtige Weg, der Rechtsweg dient dazu, eine Domain dauerhaft zurückzuholen. Den Vergleich finden Sie in Takedown oder Rechtsweg.
Wie hilft AI Fraud Protect?
AI Fraud Protect verkürzt die Zeit, die Sie selbst beeinflussen: Funde werden mit vollständigem Beweispaket angelegt, die zuständigen Stellen ermittelt und die Meldungen für alle Kanäle gleichzeitig vorbereitet. Ein Mensch prüft und versendet jede Nachricht. Für jeden Kanal läuft ein eigener Nachfasstermin, und neue Kopien werden früheren Fällen zugeordnet.
Starten Sie den kostenlosen Fraud-Scan für einen Kurzreport innerhalb von 48 Stunden oder fragen Sie eine Demo an, um Erkennung, Beweise und Takedown in der App zu sehen.
Häufige Fragen
Wie schnell muss ein Hoster auf eine Abuse-Meldung reagieren?
Eine feste Frist gibt es nicht. In der EU muss ein Hoster den Eingang einer Meldung umgehend bestätigen, wenn Sie elektronische Kontaktdaten angeben, und zeitnah entscheiden. Viele Hoster bearbeiten klare Phishing-Fälle innerhalb eines Werktags.
Warum ist meine Meldung nach einer Woche noch offen?
Häufig fehlen Belege, die Meldung ging an die falsche Stelle oder die Seite zeigt beim Prüfer keine Inhalte. Prüfen Sie diese Punkte, erinnern Sie mit Vorgangsnummer und nutzen Sie parallel die anderen Kanäle.
Ist eine Seite mit Browserwarnung schon entfernt?
Nein. Die Warnung schützt Besucher in Browsern, die Google Safe Browsing nutzen, die Seite bleibt aber erreichbar, bis Hoster oder Registrar handeln.
Kann ein Takedown am Wochenende klappen?
Ja, viele große Anbieter bearbeiten Phishing-Meldungen rund um die Uhr. Kleinere Anbieter reagieren oft erst am nächsten Werktag. Senden Sie die Meldung trotzdem sofort, damit sie vorne in der Warteschlange steht.
Quellen
Lee, Lim, Kim, Kwon, Kim: 7 Days Later, Analyzing Phishing-Site Lifespan After Detected, ACM Web Conference 2025
ICANN-Leitfaden zu den Pflichten gegen DNS-Missbrauch, 5. Februar 2024
ICANN: Fortschritte und nächste Schritte bei der Durchsetzung der Regeln gegen DNS-Missbrauch, 20. Oktober 2025
Digital Services Act, Artikel 16, mit dem amtlichen Text auf EUR-Lex