Typosquatting (Lookalike-Domains)

Typosquatting bezeichnet das Registrieren von Domains, die einer bekannten Marke oder Unternehmensdomain zum Verwechseln ähnlich sehen, etwa durch vertauschte Buchstaben, andere Endungen, eingefügte Bindestriche oder Zeichen aus anderen Alphabeten. Solche Lookalike-Domains werden für Phishing gegen Mitarbeiter und Kunden, gefälschte Login-Seiten, Rechnungsbetrug (Business E-Mail Compromise), Malware-Verteilung oder schlicht zum Abfangen von Traffic genutzt.

Warum Typosquatting wichtig ist

Eine Lookalike-Domain ist die Infrastruktur, die ein Angriff braucht, bevor die erste Phishing-Mail verschickt wird. Wer sie früh erkennt, sieht den Angriff in Vorbereitung: Die Domain wird registriert, bekommt ein Zertifikat, dann MX-Einträge für E-Mail, dann eine Login-Seite, die Ihre echte Seite kopiert. Bei Rechnungsbetrug schreibt der Angreifer von „firma-gmbh.com“ statt „firma.com“ an Ihre Kunden und bittet um Überweisung auf ein neues Konto. Die Schäden sind regelmäßig erheblich, und die Reputation der Marke leidet, obwohl das Unternehmen selbst nicht kompromittiert wurde.

So funktioniert Typosquatting-Erkennung

1. Permutation: Aus der Originaldomain werden systematisch Varianten erzeugt: Tippfehler (blacklens → blacklnes), fehlende oder doppelte Buchstaben, Homoglyphen (l → 1, o → 0, kyrillische Zeichen), Bindestriche, Zusätze wie „-login“ oder „-support“ und alle relevanten Top-Level-Domains.
2. Prüfung: Für jede Variante wird geprüft, ob sie registriert ist (RDAP/WHOIS), ob DNS-Einträge existieren, ob ein Webserver oder Mailserver antwortet und wann die Registrierung erfolgte.
3. Bewertung: Screenshots, Seiteninhalte und Signale wie Passwortfelder, Formulare an fremde Domains, Verwendung des Markennamens, Weiterleitungen oder Parkseiten trennen echte Bedrohungen von harmlosen Registrierungen.
4. Reaktion: Beweise sammeln, Abuse-Meldung an Registrar oder Hoster, Blockierung in Mail-Gateway und Proxy, Warnung an Mitarbeiter und Kunden.

So setzt blacklens.io Typosquatting-Erkennung um

blacklens.io erzeugt täglich Domain-Permutationen über 357 Top-Level-Domains und 45 Sonderfälle, prüft RDAP, DNS und Reputation, erstellt Screenshots und lässt jede Domain durch die selbst gehostete KI bewerten (Impersonation, Verdächtig, Geparkt, Unabhängig, Unklar, jeweils mit Konfidenz). Objektive Signale wie Passwortfeld, domainfremdes Formular, Markenname, Weiterleitung, Parking und Prompt-Injection werden separat ausgewiesen. Ein Fünf-Kriterien-Beweisgate entscheidet, ob genügend Belege für einen Takedown vorliegen, und erzeugt eine vorbefüllte Abuse-Meldung. Domains ohne erneute Beobachtung werden nach 60 Tagen automatisch entfernt.

Kann ich Lookalike-Domains einfach selbst registrieren?

Für die wichtigsten Varianten (häufige Tippfehler, die üblichen Endungen) ist das sinnvoll und günstig. Vollständig geht es nicht: Aus einer Domain lassen sich tausende Varianten bilden, und neue TLDs kommen laufend hinzu. Defensive Registrierung und Überwachung ergänzen sich.

Was ist der Unterschied zwischen Typosquatting und Phishing?

Phishing ist der Angriff, Typosquatting eine seiner Vorbereitungen. Nicht jede Lookalike-Domain wird für Phishing genutzt; manche sind geparkt oder werden für Werbe-Traffic betrieben. Umgekehrt braucht Phishing nicht zwingend eine Lookalike-Domain. Die Kombination ist aber die häufigste Form von gezieltem Rechnungs- und Zugangsdatenbetrug.

Wie schnell lässt sich eine bösartige Domain abschalten?

Das hängt von Registrar und Hoster ab: von Stunden bei großen Anbietern mit klaren Abuse-Prozessen bis zu Wochen bei unkooperativen Registraren. Eine vollständige, belegte Abuse-Meldung mit Screenshots, Zeitstempeln und Nachweis der Markenrechte beschleunigt den Prozess erheblich.