Ratgeber · Link-Risiko · Oktober 2026 · von Stefan Tsezarov

Die Domain, die richtig aussieht

Eine Doppelgänger-Adresse muss keine sorgfältige Prüfung überstehen. Sie muss nur für einen Moment vertraut wirken.

Eine Nachricht sagt, mit deinem Börsenkonto gebe es ein Problem. Du prüfst das Logo, wirfst einen Blick auf den Link und erkennst den Namen.

Auf genau diesen Moment des Wiedererkennens setzt eine Doppelgänger-Domain.

Die Adresse muss keine sorgfältige Prüfung überstehen. Sie muss nur lange genug vertraut wirken, damit du sie öffnest, ein Passwort eingibst oder deine Wallet verbindest.

So funktioniert die Tarnung — und das solltest du prüfen, bevor du ihr vertraust.

01Finde die Domain, auf die es ankommt

Sieh dir diese Adresse an:

Du siehst paypal.com, aber du besuchst nicht PayPal. Die registrierte Domain ist secure-verify.xyz. Wer diese Domain kontrolliert, kann vertraute Wörter davorsetzen.

Diese zusätzlichen Teile heißen Subdomains. Sie können eine Adresse offiziell aussehen lassen, ohne jede Verbindung zu dem genannten Unternehmen.

Beginne bei normalen Webadressen mit dem Hostnamen — dem Teil nach https:// und vor dem nächsten /. Lies diesen Teil von rechts.

Nimm nicht einfach die letzten zwei Teile. Manche Endungen wie co.uk bestehen aus mehr als einem. Browser erkennen diese Grenzen mit einer gepflegten Public Suffix List. Erklärung der Public Suffix List (Englisch).

Die registrierte Domain zu finden sagt dir, welchen Namen du besuchst. Sie beweist nicht, wer die Seite betreibt oder ob sie vertrauenswürdig ist.

02Vertraute Buchstaben aus einem anderen Alphabet

Manche Buchstaben aus verschiedenen Schriftsystemen sehen fast gleich aus.

Ein kyrillisches а kann wie ein lateinisches a aussehen. Ein kyrillisches р wie ein lateinisches p. Je nach Schrift ist der Unterschied kaum zu sehen.

Zum Beispiel:

• paypal.com verwendet lateinische Buchstaben.
• раypal.com beginnt mit kyrillischem р und а.

Sie sehen ähnlich aus, sind aber verschiedene Domainnamen.

Das nennt man oft einen Homograph-Angriff: Verschiedene Zeichen ergeben einen vertraut aussehenden Namen. Die Sicherheitshinweise von Unicode beschreiben sowohl Doppelgänger aus gemischten Alphabeten als auch Namen, die ganz in einem Alphabet geschrieben sind und einem anderen ähneln. Unicode Technical Standard #39 (Englisch).

Dein Browser zeigt eine internationalisierte Domain vielleicht in einer kodierten Form an, die mit xn-- beginnt. Das Verhalten ist unterschiedlich, verlass dich also nicht darauf, dass der Browser jede Tarnung offensichtlich macht.

Und nimm nicht an, dass nichtlateinische Buchstaben Betrug bedeuten. Viele seriöse Websites verwenden sie. Das Problem ist die Nachahmung, nicht das Alphabet.

03Auch gewöhnliche Zeichen können täuschen

Ein täuschender Name braucht keine ungewöhnlichen Zeichen.

Auf den ersten Blick:

• 1 kann als kleines l durchgehen: paypa1
• 0 kann als o durchgehen
• rn kann wie m aussehen: rnicrosoft
• vv kann wie w aussehen

Diese Ersetzungen nutzen aus, dass wir vertraute Wörter erkennen, ohne jedes Zeichen zu prüfen.

Die Beispiele zeigen Schreibtricks. Sie behaupten nicht, dass eine bestimmte Domain derzeit bösartig ist.

Wenn eine Adresse wichtig ist, reicht Vertrautheit nicht. Vergleiche sie mit einer Adresse, der du schon vertraust.

04Ein einziger Tippfehler

Andere Doppelgänger nutzen einen zusätzlichen Buchstaben, einen fehlenden oder ein vertauschtes Paar:

• gooogle statt google
• coinbsae statt coinbase

Das nennt man üblicherweise Typosquatting. Es kann jemanden erwischen, der eine Adresse falsch eintippt, oder jemanden, der den Fehler in einer Nachricht übersieht.

Eine ähnliche Schreibweise ist ein Grund nachzuforschen, kein Beweis für Betrug. Auch voneinander unabhängige Unternehmen können ähnliche Namen haben.

Bei einer Börsenanmeldung oder einer Wallet-Verbindung ist ein kleiner Schreibunterschied aber Grund genug, aufzuhören und den Dienst auf dem üblichen Weg zu öffnen.

05Der richtige Name an der falschen Stelle

Ein echter Markenname kann in einer Adresse stehen, ohne die Website zu bezeichnen.

Vergleiche:

In der ersten Adresse steht paypal.com zwischen den Subdomains. In der zweiten steht paypal im Pfad — dem Teil nach dem Hostnamen.

Keine der beiden Adressen gehört PayPal, nur weil der Name darin vorkommt.

Eine Marke im Pfad kann ganz normal sein: Nachrichtenartikel, Bewertungen und Hilfeseiten nennen jeden Tag Unternehmen. Der Zusammenhang zählt.

Denk auch daran, dass die Wörter in einer Nachricht nicht unbedingt ihr Ziel sind. Ein Link mit der Beschriftung „Coinbase öffnen“ kann woanders hinführen.

Prüfe die Zieladresse, nicht nur die Beschriftung des Links.

06Was Bedrohungslisten sagen können

Sicherheitswerkzeuge können Domains mit Listen gemeldeter Phishing-, Betrugs- und Malware-Seiten vergleichen.

Ein Treffer ist ein starker Grund aufzuhören. Kein Treffer ist keine Sicherheitsgarantie.

Eine neue Phishing-Domain wurde vielleicht noch nicht gemeldet. Auch eine seriöse Website kann kompromittiert sein. Keines der beiden Probleme braucht einen offensichtlichen Schreibtrick.

Betrachte einen Scanner als eine weitere Beweisquelle. Er kann einen unbekannten Link nicht zu einem vertrauenswürdigen machen, nur weil er keine Warnung findet.

07Gewohnheiten, die das Risiko senken

Du musst nicht jede mögliche Tarnung erkennen. Ein paar Gewohnheiten sorgen dafür, dass du diese Entscheidung seltener treffen musst.

• Öffne heikle Dienste selbst. Für eine Börse, einen Zahlungsdienst oder eine Wallet-App nimm ein Lesezeichen, das du von einer geprüften Adresse angelegt hast, oder öffne direkt die offizielle App.
• Prüfe die Adresse, bevor du Zugangsdaten eingibst oder eine Wallet verbindest. Ein kopiertes Logo und eine überzeugende Gestaltung sagen wenig.
• Achte darauf, wenn sich dein Passwortmanager anders verhält. Passwortmanager ordnen gespeicherte Logins in der Regel Webadressen zu. Wenn deiner sonst einen Login anbietet und plötzlich nicht, forsche nach, bevor du das Passwort von Hand kopierst. Das Verhalten beim automatischen Ausfüllen hängt vom Produkt und seinen Einstellungen ab. 1Password erklärt die Zuordnung nach Domain und ihre Grenzen (Englisch).
• Lass dir den nächsten Schritt nicht von Zeitdruck vorgeben. Wenn eine Nachricht mit Kontosperrung droht oder behauptet, dein Geld sei in Gefahr, prüfe über den Dienst selbst.
• Lies auch die Anfrage der Wallet. Die Domain zu prüfen ersetzt nicht, zu prüfen, was eine Transaktion oder Signatur erlaubt.

Wenn eine Nachricht dich auffordert, dich anzumelden, Geld zu bewegen oder eine Wallet zu verbinden, ist dein nächster Schritt einfach: Öffne den Dienst selbst und prüfe die Behauptung dort.

Adressen in diesem Ratgeber, die einen Trick zeigen, stehen als Text da, nicht als Links. Sie zeigen Schreibtricks und behaupten nicht, dass eine bestimmte Domain derzeit bösartig ist. Dieser Artikel dient der Aufklärung und ist keine Finanzberatung.

Liest du eine verdächtige Nachricht im Browser? Das Lesezeichen zum Prüfen markierten Textes prüft sie ohne Kopieren und Einfügen, und der Text bleibt in deinem Browser.