--- id: CP-015 slug: typosquatting-combosquatting-doppelgaenger-domains lang: de title: Typosquatting und Combosquatting description: Wie Angreifer eine Domain registrieren, die der einer Marke ähnelt, um Zugangsdaten zu stehlen, und wie Sie die präparierte Adresse erkennen. canonical_url: https://startbrain.io/cyberpedia/de/articles/typosquatting-combosquatting-doppelgaenger-domains/ markdown_url: https://startbrain.io/cyberpedia/de/articles/typosquatting-combosquatting-doppelgaenger-domains.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Typosquatting und Combosquatting“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/typosquatting-combosquatting-doppelgaenger-domains/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-005 schema: G1 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/typosquatting-combosquatting-doppelgaenger-domains/ fr: https://startbrain.io/cyberpedia/fr/articles/typosquatting-combosquatting-domaines-sosies/ en: https://startbrain.io/cyberpedia/en/articles/typosquatting-combosquatting-lookalike-domains/ es: https://startbrain.io/cyberpedia/es/articles/typosquatting-combosquatting-dominios-gemelos/ sources: - "n": 1 title: "Acquire Infrastructure: Domains, Sub-technique T1583.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1583/001/ accessed: "2026-11-03" - "n": 2 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 3 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 4 title: "Phishing for Information: Spearphishing Link, Sub-technique T1598.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/003/ accessed: "2026-11-03" - "n": 5 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 6 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" --- # Typosquatting und Combosquatting Ein Domainname ist die lesbare Adresse einer Website, zum Beispiel der Teil nach dem „@“ in einer E-Mail-Adresse oder der Name, der in der Adressleiste des Browsers erscheint. Eine Domain lässt sich kaufen und in einigen Fällen auch kostenlos erhalten [1]. Angreifer wählen mitunter eine Domain, die der eines legitimen Unternehmens ähnelt: Buchstaben werden durch ähnlich aussehende Zeichen ersetzt (Homoglyphen) oder die Endung ist eine andere, etwa .co statt .com [1]. Domains, die einer legitimen Domain ähneln, können dazu dienen, über eine Drive-by-Kompromittierung einer Website Schadcode zu verbreiten [1]. ## In 30 Sekunden - Wo es vorkommt: in einer E-Mail, einer SMS oder einer Nachricht, deren Absenderadresse oder Link ein bekanntes Unternehmen nachahmt. Die Adresse kann der echten sehr nah kommen, mit ein paar veränderten oder fehlenden Zeichen [2]. - Was der Angreifer will: Sie auf eine gefälschte Website locken, um persönliche Informationen zu erbeuten, oft Zugangsdaten [4]. - Der Reflex: die Adresse vollständig lesen, dem erhaltenen Link nicht folgen, um persönliche oder finanzielle Angaben zu machen [2], den Dienst stattdessen über Ihre Lesezeichen öffnen (Empfehlung von Brain) und die Nachricht melden. - Wenn es schon passiert ist: die zuständigen Personen in der Organisation informieren und die eingegebenen Passwörter sofort ändern, ebenso die Passwörter anderer Konten, bei denen dasselbe Passwort verwendet wird [2]. ## Direkte Fragen ### Was ist eine Doppelgänger-Domain? Das ist ein Domainname, der so registriert wurde, dass er dem einer realen Organisation ähnelt. MITRE ATT&CK beschreibt Domains, die legitimen Domains ähneln und mit Homoglyphen oder einer anderen Endung erzeugt werden [1]. Die CISA beschreibt Absenderadressen, die der Adresse eines angesehenen Unternehmens stark ähneln, indem einige Zeichen verändert oder weggelassen werden [2]. ### Was ist ein Homoglyph? Das ist ein Zeichen, das einem anderen optisch ähnelt. MITRE nennt die „IDN homograph attacks“: Der Angreifer nutzt internationalisierte Domainnamen und andere Alphabete (kyrillisch, griechisch), um Domains zu erzeugen, die dem Original optisch gleichen [1]. Dem Anschein nach harmlose Links, die Sonderzeichen missbrauchen, um eine legitime Website nachzuahmen, gehören zur selben Technik [3]. ### Beweist ein Schloss im Browser, dass die Website die richtige ist? Die hier zitierte CISA-Quelle empfiehlt, auf eine Adresse mit „https“ und ein geschlossenes Schloss zu achten, Zeichen dafür, dass die Informationen verschlüsselt werden [2]. Sie spricht von Verschlüsselung, nicht von der Identität der Website: Derselbe Text verlangt, auch die Schreibweise der Adresse und die Domain zu prüfen [2]. Das Schloss ersetzt also nicht das Lesen der Adresse. ### Kann eine E-Mail mit einem Doppelgänger-Link auch Schadsoftware installieren? Ja. MITRE gibt an, dass Typosquatting dazu dienen kann, beim Besuch einer Website Schadcode auszuliefern [1]. Der Link kann auch zu einer Seite führen, die den Download einer Datei anbietet [3]. ### Was tun, wenn ich glaube, geklickt zu haben? Wenn Informationen der Organisation offengelegt worden sein könnten, rät die CISA, die Betroffenen zu informieren, darunter die Netzwerkadministratoren, die dann auf ungewöhnliche Aktivitäten achten können [2]. Offengelegte Passwörter werden sofort geändert [2]. ## In der Haut des Angreifers Der Angreifer wählt zuerst einen Namen, der dem seines Ziels ähnelt. MITRE beschreibt mehrere Varianten: Homoglyphen, eine andere Endung, andere Alphabete [1]. Die Gruppe EXOTIC LILY etwa gab sich als andere Organisationen aus, indem sie die Endung in „.us“, „.co“ oder „.biz“ änderte [1]. Dann kauft er die Domain. Die Registrare führen jeweils eine öffentliche Datenbank, die die Kontaktdaten jeder registrierten Domain anzeigt. Private WHOIS-Dienste zeigen stattdessen ihre eigenen Angaben an, was den Inhaber verbirgt. Der Angreifer kann außerdem die Registrierungsangaben und die Registrare wechseln, um die Verfolgung seiner Infrastruktur zu erschweren [1]. Manche Domains sind für den einmaligen Gebrauch gedacht: MITRE weist darauf hin, dass Adressen dynamisch erzeugt werden können, um schädliche Inhalte nur an ein einziges Opfer auszuliefern, auch mit Domainnamen für den einmaligen Gebrauch [1]. Andere Angreifer kaufen abgelaufene Domains, die von Verteidigern aufgrund ihrer Historie womöglich bereits zugelassen oder als vertrauenswürdig eingestuft sind [1]. Bleibt die Website selbst. Die Zielseite kann ein Klon eines legitimen Anmeldeportals sein oder ihm so weit ähneln, dass ihre Adresse Bestandteile der echten Website enthält [4]. Die begleitende Nachricht soll zum Klicken bewegen, manchmal mit mehreren Nachrichten, die dringend wirken [4]. ## Was Sie auf dem Bildschirm sehen Die Nachricht scheint von einer bekannten Organisation zu stammen. Die CISA nennt Hinweise: eine Absenderadresse, die einer echten Adresse nahekommt, eine allgemeine Anrede wie „Dear Valued Customer“, eine Signatur ohne Kontaktdaten, Rechtschreibfehler und ein uneinheitliches Layout [2]. Der Link ist die Schwachstelle. Wenn Sie den Mauszeiger darüber bewegen und die angezeigte Adresse nicht zum Linktext passt, kann er gefälscht sein. Eine schädliche Website kann dem Original gleichen, aber ihre Adresse hat eine andere Schreibweise oder eine andere Domain, etwa .com statt .net [2]. Auch ein Dienst zum Kürzen von Adressen kann das wirkliche Ziel verbergen [2]. Die Anmeldeseite kann eine Kopie des legitimen Portals sein: Die in die Formulare eingegebenen Informationen werden erfasst und an den Angreifer gesendet [4]. Bei manchen Phishing-Kits (EvilProxy, Evilginx2) wird das Opfer anschließend auf die echte Website umgeleitet, und der Angreifer erfasst zusätzlich zu Benutzername und Passwort auch das Sitzungs-Cookie [4]. Die Sichtprüfung hat Grenzen. MITRE räumt ein, dass Homoglyphen, sowohl in ASCII als auch in internationalisierten Domains, sowie die Verschleierung von Adressen eine manuelle Prüfung erschweren können [3]. Deshalb sind Hilfsmittel nützlich: Warnbanner bei E-Mails von außerhalb, Filter und die Anti-Phishing-Funktionen von Browser und Mailsystem [2][3]. ## Unter der Haube Der technische Ablauf besteht aus wenigen Schritten, die die Quellen getrennt beschreiben. Der Angreifer erwirbt eine Domain, die dem Ziel ähnelt [1]. Er bereitet eine Website vor, die ein legitimes Portal klont oder dessen Aussehen nachahmt [4]. Er versendet eine E-Mail mit einem Link und einem Text, der zum Klicken oder zum Kopieren der Adresse in den Browser drängt [4]. Die Website sammelt dann die Zugangsdaten oder bietet je nach Vorwand den Download einer Datei an [3][4]. Der Link kann sein Ziel auch auf andere Weise verbergen. MITRE nennt das Adressformat mit Ganzzahlen oder hexadezimalen Zahlen als Hostnamen und die Tatsache, dass der Text vor einem „@“ ignoriert wird. Hier eine neutralisierte Illustration dieser Art von Adresse, übernommen aus dem Beispiel von MITRE [4]: ```text Illustration (neutralisierte Adresse): hxxp://google[.]com@1157586937 [der Browser ignoriert „google.com“ vor dem @ und verbindet sich mit der numerischen Adresse] ``` Auf der Verteidigungsseite einer Organisation schlägt MITRE vor, freiwillig Domains zu registrieren, die den eigenen ähneln, um Typosquatting abzuschrecken [1], kürzlich erstellte Domains mit ähnlicher Struktur wie die eigene zu überwachen, auch unter anderer Endung [1], und SPF, DKIM und DMARC zu nutzen, um Nachrichten anhand der Gültigkeit der Absenderdomain zu filtern [6]. ## Fallanalysen Die Seiten von MITRE nennen reale Fälle ohne Datum der Kampagne: Das Datum der letzten Änderung einer Seite datiert den Vorfall nicht. Die folgenden Fälle werden daher ohne Datum dargestellt. ### FIN7: ein Typosquatting-Link zu einem gefälschten Werkzeug (Datum von der Quelle nicht angegeben) MITRE berichtet, dass FIN7 gezielte Phishing-E-Mails mit einem Typosquatting-Link auf „ip-sccanner[.]com“ versandte [3]. Die Gruppe registrierte außerdem eine schädliche Domain, advanced-ip-sccanner[.]com, die auf ein vom Angreifer kontrolliertes Dropbox mit der schädlichen ausführbaren Datei weiterleitete [1]. ### Magic Hound: für bestimmte Opfer gewählte Domains (Datum von der Quelle nicht angegeben) Magic Hound registrierte betrügerische Domains wie „mail-newyorker[.]com“ und „news12[.]com.recover-session-service[.]site“, um bestimmte Opfer mit Phishing-Angriffen ins Visier zu nehmen [1]. ### Scattered Spider und Silent Librarian (Datum von der Quelle nicht angegeben) Scattered Spider registrierte Domains, um Anmeldeportale von Unternehmen vorzutäuschen [1]. Silent Librarian erwarb Domains für Seiten zum Abgreifen von Zugangsdaten, die oft die angegriffene Organisation vortäuschen, mit kostenlosen Endungen: .TK, .ML, .GA, .CF und .GQ [1]. ## Was Sie tun - Lesen Sie die Adresse vor dem Klicken vollständig, von links nach rechts. Bewegen Sie den Mauszeiger über den Link und vergleichen Sie ihn mit dem angezeigten Text [2]. - Öffnen Sie den Dienst nicht über den erhaltenen Link: Die CISA empfiehlt, Links aus E-Mails nicht zu folgen, um persönliche oder finanzielle Angaben zu machen [2]. Brain rät, den Weg über Ihre Lesezeichen zu nehmen. Die CISA empfiehlt außerdem, die Anfrage bei der Organisation zu überprüfen, mit Kontaktdaten aus einem früheren Austausch, nicht von der Website aus der Nachricht [2]. - Aktivieren Sie die Multifaktor-Authentifizierung, wenn es sie gibt [2]. - Melden Sie die Nachricht. Das britische NCSC gibt an, dass das Melden eines Betrugs kostenlos ist, eine Minute dauert und hilft, andere Menschen zu schützen [5]. Es kann E-Mail-Adressen und betrügerische Websites untersuchen und deren Entfernung veranlassen [5]. In einem Unternehmen folgen Sie zuerst dem internen Meldeverfahren. ## Die Fallstricke - Sich allein auf das Schloss verlassen: siehe oben, die Quelle spricht von Verschlüsselung [2]. - Nach dem Layout urteilen: Eine Website kann ein originalgetreuer Klon des legitimen Portals sein [4]. - Sich auf das Auge verlassen: Homoglyphen erschweren eine manuelle Prüfung [3]. - Ein Passwort mehrfach verwenden: Wird ein auf einer gefälschten Website eingegebenes Passwort anderswo genutzt, muss es überall geändert werden [2]. - Zu viele Informationen über sich selbst veröffentlichen: Das NCSC weist darauf hin, dass Kriminelle online verfügbare Informationen, auch aus sozialen Netzwerken, nutzen, um ihre Nachrichten überzeugender zu machen [5]. ## Quellen 1. MITRE ATT&CK, „Acquire Infrastructure: Domains, Sub-technique T1583.001 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1583/001/ (abgerufen am 3. November 2026) 2. CISA, „Avoiding Social Engineering and Phishing Attacks“, 1. Februar 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (abgerufen am 3. November 2026) 3. MITRE ATT&CK, „Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1566/002/ (abgerufen am 3. November 2026) 4. MITRE ATT&CK, „Phishing for Information: Spearphishing Link, Sub-technique T1598.003 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1598/003/ (abgerufen am 3. November 2026) 5. NCSC (Royaume-Uni), „Phishing scams: how to spot and report them“, 26. November 2021. https://www.ncsc.gov.uk/collection/phishing-scams (abgerufen am 3. November 2026) 6. MITRE ATT&CK, „Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1566/ (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/typosquatting-combosquatting-doppelgaenger-domains/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.