Ratgeber · Link-Risiko · · von Stefan Tsezarov
Lies von rechts
Eine Webadresse sagt genau, wohin sie führt. Nur nicht in der Reihenfolge, in der du sie liest.
Man hat dir gesagt, du sollst einen Link vor dem Klicken prüfen. Das ist ein guter Rat, aber die meisten prüfen den falschen Teil.
Ein Link kann einen vertrauten Firmennamen tragen und trotzdem ganz woanders landen. Der Name steht vielleicht in einer Subdomain, im Pfad oder vor einem @-Zeichen. Auf einem Handy ist die echte Domain womöglich abgeschnitten, bis du den Link aufklappst.
Eine Gewohnheit löst das meiste davon:
Lies die Domain von rechts.
Dieser Ratgeber zeigt dir, wie du einen Link prüfst, ohne ihn zu öffnen. Er beweist nicht, dass ein Link sicher ist. Er hilft dir, die üblichen Tricks zu erkennen, bevor du klickst.
Unten: die wichtigsten Tricks, wie du jeden prüfst, ohne etwas zu öffnen, und was eine strukturelle Prüfung sagen kann und was nicht.
01Wohin eine Adresse zeigt
Nimm diese Adresse:
Der Browser zerlegt sie in ein Schema, einen Host und einen Pfad. Der Host ist das, womit du dich wirklich verbindest. Den Pfad wählt, wer diesen Host betreibt, und er kann sagen, was er will.
https://Schemametamask.io.Subdomain — vom Eigentümer rechts gewähltsecure-verify.exampleregistrierbare Domain — das Ziel/loginPfad — vom selben Eigentümer gewählt
Die vier Teile von https://metamask.io.secure-verify.example/login, der Reihe nach.
In diesem Host ist die registrierbare Domain secure-verify.example. Alles links davon ist eine Subdomain, kontrolliert von dem, dem secure-verify.example gehört. Ein Eigentümer kann so viele Subdomains anlegen, wie er will, und sie mehr oder weniger frei benennen — auch eine mit dem Namen metamask.io.
metamask.io ist hier also nicht das Ziel. Es ist nur ein Etikett auf der linken Seite.
Was „registrierbare Domain“ bedeutet
Entscheidend ist die registrierbare Domain: der Name, den eine Person oder ein Unternehmen tatsächlich registrieren kann. Sie besteht aus der öffentlichen Endung plus dem einen Label davor. Oft sieht das aus wie example.com. Bei manchen Länderstrukturen wie example.co.uk oder example.com.au.
Browser und Sicherheitswerkzeuge finden diese Grenze mit Daten über öffentliche Endungen. Nimm nicht an, dass jede Endung gleich viele Labels hat. Die praktische Anleitung lautet:
dann nimm das Label direkt davor.
Das ist die registrierbare Domain.
Diese Grenze ist keine Fußnote. Unser eigener Scanner zählte bis zum 19. September 2026 Labels, hielt co.uk für den Eigentümer von coinbase.co.uk und markierte einen gewöhnlichen seriösen Link als Markennachahmung. Ein Werkzeug, das bei echten Websites Alarm schlägt, wird abgeschaltet, und dann schützt es niemanden. Was sich geändert hat und was es immer noch nicht herausfinden kann, steht in Technische Transparenz.
02Der Name auf der linken Seite
Ein vertrauter Name kann in einer Subdomain oder im Pfad stehen, ohne irgendetwas zu kontrollieren.
https://metamask.io/download
https://metamask.io.wallet-check.example/download
Derselbe Trick funktioniert im Pfad, wo er sich noch natürlicher liest:
In beiden irreführenden Beispielen ist die registrierbare Domain wallet-check.example oder cdn-assets-9931.example. Der Markenname steht nur an einer Stelle, die der Eigentümer dieser Domain frei füllen darf.
Auf einem Handy kann eine lange Adresse die echte Domain aus dem Blickfeld schieben. Klapp den Link auf oder kopiere ihn, bevor du urteilst.
03Doppelgänger-Zeichen
Hier passiert in der Adresse nichts Raffiniertes. Jemand registriert eine Domain, die einfach wie eine andere aussieht.
| Vertraute Schreibweise | Doppelgänger | Was geändert ist |
|---|---|---|
metamask | metarnask | rn kann als m durchgehen |
paypal | paypa1 | Ziffer 1 kann als kleines l durchgehen |
binance | b1nance | Ziffer 1 kann als kleines i durchgehen |
In dieser Größe ist der Unterschied offensichtlich. In einer Adressleiste oft nicht.
Eine Doppelgänger-Domain ist eine echte Domain. Das ist kein Browserfehler. Es funktioniert, weil unsere Augen ähnliche Formen glätten.
Sieh dir die dritte Zeile an: Dasselbe Zeichen steht für einen anderen Buchstaben als in der zweiten. Deshalb ist die maschinelle Erkennung schwerer, als sie klingt — korrigierst du eine Schreibweise, fängst du paypa1 und läufst direkt an b1nance vorbei. Unser Scanner probiert mehrere Lesarten eines Namens, statt ihn auf eine zu reduzieren.
Eine verwandte Variante braucht gar keine Doppelgänger-Zeichen. Sie hängt einfach Wörter an den echten Namen:
Jede davon setzt die Marke an die Stelle der registrierbaren Domain. Der Name ist weder verschoben noch falsch geschrieben. Er hat nur Gesellschaft. Unternehmen betreiben tatsächlich mehrere Domains, für sich allein beweist das also nichts — aber eine unbekannte Domain aus Marke plus Wort sollte nicht als offiziell gelten, nur weil die Marke darin steht.
Trau nicht nur deinen Augen. Vergleiche die Domain mit etwas, dem du schon vertraust: einem gespeicherten Lesezeichen oder der offiziellen App.
04Internationalisierte und Punycode-Domains
Internationalisierte Domainnamen erlauben Domains in Schriften wie Griechisch, Kyrillisch, Arabisch und Chinesisch. Damit ältere Systeme weiter funktionieren, haben viele dieser Namen auch eine ASCII-Form, die mit xn-- beginnt. Das ist Punycode.
Punycode ist nicht automatisch ein Warnsignal. Viele seriöse Organisationen nutzen internationalisierte Domains. Aber ein unerwarteter Punycode-Link verdient einen genaueren Blick, besonders in einer ungefragten Nachricht über Geld, Kontozugriff oder eine dringende Bestätigung.
Mehrere kyrillische Buchstaben sehen den lateinischen sehr ähnlich — а, е, о, р, с —, sodass ein Name mit ersetzten Buchstaben auf dem Bildschirm fast gleich aussehen kann und im Netz trotzdem eine ganz andere Domain ist.
Browser zeigen je nach Domain und eigenen Regeln die Unicode- oder die ASCII-Form. Ein Scanner kann Punycode erkennen, ohne beweisen zu können, wie der angezeigte Name aussieht. Eine Punycode-Markierung kennzeichnet etwas zur Prüfung; sie beweist keinen Betrug.
05Das @-Zeichen
In einer HTTP- oder HTTPS-URL ist alles vor @ Benutzerinformation. Es ist nicht der Ziel-Host.
https://Schemaledger.comBenutzerinformation — nicht das Ziel@Trennzeichenledgerlive-verify.exampleHost — die Seite, die du erreichst/devicePfad
Die fünf Teile von https://ledger.com@ledgerlive-verify.example/device, der Reihe nach.
Der Host ist ledgerlive-verify.example. Der Text ledger.com ist nicht die Seite, die du besuchst.
Dieser Trick übersteht auch sorgfältiges Lesen, denn der vertraute Name steht wirklich da, ist wirklich Teil der Adresse und ist wirklich richtig geschrieben. Ein vertrauter Name vor @ beweist nichts darüber, wem der Link gehört.
06Kurzlinks und QR-Codes
Ein Kurzlink verbirgt das Ziel, bis du ihn auflöst oder ihm folgst. Dienste wie bit.ly, t.co und cutt.ly sind gewöhnlich und aus guten Gründen weit verbreitet — was sie zu einer nützlichen Tarnung macht.
Ein QR-Code verbirgt die Adresse vollständig. Der Code kann in Ordnung sein, aber am Bild kannst du das Ziel nicht prüfen.
Unser Scanner markiert Kurzlink-Dienste, die er erkennt, löst sie aber nicht für dich auf. Würde er dem Link eines Fremden folgen, würde er den Server des Angreifers kontaktieren und ihm verraten, dass der Link geprüft wurde.
Wenn du einen Kurzlink auflösen musst, nutze einen Dienst, dem du vertraust, und betrachte das Ergebnis als nicht vertrauenswürdig, bis du es geprüft hast.
07Ein durchgespieltes Beispiel
Lies es so, wie es wirklich ankäme: auf einem Handy, als Benachrichtigung, zu einem Gerät, das dir gehört.
Erfundenes Beispiel · reservierte Domains
Nichts in dieser Nachricht fragt nach etwas Geheimem. Keine Wiederherstellungsphrase, kein privater Schlüssel, kein Passwort. Sie will einen Klick — und das ist der Angriff, denn die Seite auf der anderen Seite kann die nächste Bitte stellen, sobald du dort bist.
Zeig mir, was daran falsch ist
Die Nachricht nutzt mehrere Tricks zugleich:
- Der Hauptlink setzt
ledger.comvor@, wo es Benutzerinformation ist und nicht das Ziel. Der Host istledgerlive-verify.example. - Dieser Host trägt den Markennamen mit angehängten Wörtern an der Stelle der registrierbaren Domain — er wirkt also auch dann noch offiziell, wenn du den richtigen Teil der Adresse gefunden hast.
- Der Ausweichlink nutzt eine Punycode-Domain, angeboten als hilfreicher Spiegel. Der Satz davor erklärt im Voraus, warum der erste Link scheitern könnte, sodass ein Scheitern erwartet wirkt statt verdächtig.
- Sie fügt Dringlichkeit und eine Folge hinzu: 48 Stunden und als pausiert beschriebene ausgehende Überweisungen.
- Sie will nur einen Klick. Die Seite auf der anderen Seite stellt die nächste Bitte, sobald du dort bist.
Das Detail, das die meiste Arbeit leistet, ist die Einschränkung selbst. Die Nachricht gibt eine technisch klingende Erklärung für einen Zustand, den der Empfänger nicht selbst prüfen kann, und ihr zu glauben kostet im Moment nichts.
Unsere Engine liefert für diese Nachricht FAIL — wegen des @-Links, des Punycode-Hosts und der Domain aus Marke plus Wörtern. Sie kommt dahin, ohne einen einzigen Satz des englischen Textes zu deuten.
08So liest du eine Adresse, bevor du sie öffnest
Halte am ersten einzelnen Schrägstrich nach Beginn des Hosts an
Alles nach diesem Schrägstrich ist der Pfad. Er kann alles sagen und beweist nichts darüber, wem die Seite gehört. Wenn vor dem Pfad ein @ steht, ignoriere beim Bestimmen des Hosts alles links davon.
Finde den Host und lies ihn von rechts nach links
Finde die öffentliche Endung und das Label direkt davor. Zusammen sind sie die registrierbare Domain.
Vergleiche sie mit der genauen Domain, die du besuchen wolltest
Nicht „sieht das offiziell aus“ und nicht „enthält es die Marke“.
Wenn die Adresse abgeschnitten ist, klapp sie auf, bevor du entscheidest
Noch besser: Öffne den Dienst über dein eigenes Lesezeichen, deine gespeicherte App oder eine selbst eingegebene Adresse.
Nicht erst klicken und dann prüfen.
Prüfen, bevor du ankommst.
09Was die Prüfung sagen kann und was nicht
Füge eine Nachricht in den Scanner ein, und er prüft die Struktur der Adressen und Links, die er abdeckt, auf die üblichen Warnzeichen.
Die Prüfung selbst kontaktiert nichts. Sie läuft in deinem Browser, und kein Link aus der Nachricht wird abgerufen oder aufgelöst. Wenn du dann bei einer gefundenen Krypto-Adresse auf Diese Adresse prüfen drückst, geht diese Adresse — und sonst nichts aus der Nachricht — an den Anbieter der Adresssicherheit. Das ist ein eigener Schritt, den du wählst, und Technische Transparenz listet genau, was jeder Anbieter erhält.
| Die Prüfung kann erkennen helfen | Die Prüfung kann nicht beweisen |
|---|---|
Tricks mit Benutzerinformation und @ | Dass eine strukturell normale Seite seriös ist |
| Bloße IP-Adressen als Host | Dass der Absender ist, wer er behauptet |
| Erkannte Kurzlink-Dienste | Dass ein gekürztes Ziel ohne Auflösung sicher ist |
| Punycode-Hinweise | Wie jede Punycode-Domain angezeigt aussieht |
| Markennamen an verdächtigen Stellen | Dass ein einfacher Tippfehler bösartig ist |
| Markennamen mit angehängten Wörtern | Dass ein sauberes Ergebnis heißt, es gebe keinen Betrug |
| Manche verwechselbaren Zeichen | Dass sich eine Website nach dem Öffnen sicher verhält |
| Verdächtig kodierte Inhalte in URLs | Wem eine Domain mit einer nicht auflösbaren Endung gehört |
| Unterstützte Krypto-Adressen in der Nachricht | Dass eine Adresse ohne Befunde dem gehört, dem du sie zuordnest |
Struktur ist nicht Reputation.
Ein sauberes Ergebnis heißt nur, dass im eingereichten Text kein abgedeckter struktureller Trick aufgetaucht ist. Es heißt nicht, dass der Link, die Website, der Absender oder das Angebot sicher ist.
Drei Grenzen verdienen es, eigens genannt zu werden.
Eine Domain ohne Trick ist für eine strukturelle Prüfung unsichtbar. wallet-refund-centre.example hat kein Doppelgänger-Zeichen, keinen Markennamen, nichts Auffälliges. Heute Morgen registriert und mit einer überzeugenden Kopie einer Wallet-Anmeldeseite, würde sie diese Prüfung und die meisten ähnlichen bestehen. Reputationssysteme — Dienste mit Listen bekannter schlechter Adressen — beantworten eine andere Frage, und dieser Scanner erledigt nicht ihre Aufgabe.
Einfache Tippfehler werden nicht verlässlich erkannt. metamsk.io ist ein Tippfehler, keine Ersetzung durch verwechselbare Zeichen. Der Scanner erkennt nicht jeden davon. Das ist eine bekannte Grenze, kein stilles Versprechen.
Punycode wird erkannt, nicht übersetzt. Der Scanner kann dir sagen, dass eine Domain in Punycode-Form vorliegt. Er kann dir nicht immer sagen, welchen Namen diese Form ergibt.
Die Regel
Dass der vertraute Name da steht, ist kein Beleg. Finde die registrierbare Domain.
Er ist das Billigste, was man in die ganze Adresse schreiben kann — und der Teil, an dem ein Leser am ehesten hängen bleibt.
Jede Adresse in diesem Ratgeber, die einen Trick zeigt, verweist auf eine reservierte Beispieldomain. Diese Ziele werden nicht aufgelöst und sind keine echten Dienste. Die einzige echte Domain hier ist metamask.io, die tatsächliche Seite von MetaMask. Sie erscheint in Abschnitt 2 als richtiger Fall, weil man eine echte Adresse braucht, um zu zeigen, wo ein Markenname wirklich hingehört.
Die Beispielnachricht ist erfunden. Verwandt: was die Seite am anderen Ende eines Links meist verlangt, Text, der als gar nichts erscheint, und Anweisungen, die für eine KI geschrieben wurden statt für dich. Dieser Artikel dient der Aufklärung und ist keine Finanzberatung.
Liest du eine verdächtige Nachricht im Browser? Das Lesezeichen zum Prüfen markierten Textes prüft sie ohne Kopieren und Einfügen, und der Text bleibt in deinem Browser.