So funktioniert es
Lookalikes nutzen jeden Trick, der eine Domain als Ihre erscheinen lässt: alternative Endungen, eingefügte Bindestriche oder Wörter, vertauschte Zeichen oder Subdomains, die Ihre Brand verschleiern, etwa „ihrebrand.login-secure.com“. Einmal registriert, hosten sie Phishing, Fake-Shops oder gefälschte E-Mails.
Bezug zur Brand-Impersonation
Die Lookalike-Domain ist der häufigste Baustein der Brand-Impersonation. Neue bereits bei der Registrierung zu erkennen, ist der früheste mögliche Eingriffspunkt, bevor ein Opfer erreicht wird.
So hilft nebty
nebty entdeckt kontinuierlich Lookalike-Domains, die auf Ihre Brand zielen, bewertet sie nach Risiko und lässt Sie die gefährlichen in einen Takedown auf Abruf überführen, den Sie nur bei Erfolg bezahlen.
Die Trickkategorien, die Sie kennen sollten
Lookalike ist ein Oberbegriff, und die darunterliegenden Familien lohnt es zu kennen, weil jede eine andere Erkennungsregel braucht. Es gibt Tippfehler (ein verrutschter oder doppelter Buchstabe), Kombinationen (Ihre Brand plus ein Wort wie login oder pay), Homoglyphen (fremde Zeichen, die identisch aussehen) und alternative Endungen (Ihre Brand auf .net, .shop oder einem Ländercode, den Sie nicht besitzen). Eine raffiniertere Familie versteckt Ihre Brand in einer Subdomain, sodass ihrebrand.account-verify.com auf den ersten Blick richtig wirkt, obwohl der echte Inhaber account-verify.com ist. Keine einzelne Regel fängt all das, weshalb wirksames Monitoring jede Variantenfamilie getrennt erzeugt und die Ergebnisse dann bewertet, sodass die gefährlichen, einsatzbereiten Lookalikes über den geparkten oder harmlosen stehen.
Priorisieren Sie nach Einsatzbereitschaft, nicht nur nach Ähnlichkeit, denn ein Lookalike mit aktivem Hosting, Zertifikat und Mail-Einträgen ist eine Kampagne in Wartestellung, während ein geparkter meist warten kann.
Ein konkretes Beispiel
Ein Monitoring-Durchlauf rund um die Brand Solara Finance findet in einer Woche vier neue Domains: solarafinance.shop, solara-finanse.com, solara-finance-login.com und solarafinance.de. Drei sind geparkt und bekommen eine Beobachtungsmarkierung. Eine, solara-finance-login.com, hat bereits aktives Hosting, ein frisches TLS-Zertifikat und Mail-Einträge. Diese Kombination heißt: Jemand will sie gleich einsetzen. Sie geht direkt in den Takedown, und die Phishing-Kampagne, für die sie gebaut wurde, startet nie.
Erkennen & Abwehren
-
Beobachten Sie neue Domain-Registrierungen und Certificate-Transparency-Logs auf Namen nahe an Ihrem. Beides ist öffentlich und erkennt die meisten Lookalikes am ersten Tag.
-
Bewerten Sie Funde nach Einsatzbereitschaft, nicht allein nach Ähnlichkeit. Aktives Hosting, Zertifikat und Mail-Einträge kennzeichnen einen Lookalike, der gleich benutzt wird.
-
Eskalieren Sie die einsatzbereiten in einen Takedown, bevor die Kampagne startet. Einen geparkten Lookalike kann man beobachten; einen scharfen nicht.
Häufige Fragen
Sind Lookalike-Domains illegal?
Die Registrierung allein meist nicht. Sobald ein Lookalike aber Phishing, einen Fake-Shop oder gefälschte E-Mails hostet, verstößt er gegen Abuse-Richtlinien und oft gegen Marken- und Betrugsrecht. Darauf bauen Takedowns und UDRP-Verfahren auf.
Wie finde ich Lookalike-Domains, die auf meine Brand zielen?
Für Einzelchecks gibt es offene Tools, die Tippfehler- und Kombinationsvarianten erzeugen und WHOIS sowie DNS abfragen. Sobald etwas davon abhängt, ist kontinuierliches Monitoring von Registrierungen und Zertifikats-Logs der verlässliche Weg, denn neue Lookalikes entstehen täglich.
Was tue ich, wenn ich einen finde?
Dokumentieren Sie den Fund, prüfen Sie, ob die Domain geparkt oder scharf ist, und handeln Sie bei den scharfen: Registrar und Hoster melden, Phishing-Seiten an Blocklists übermitteln, Takedown einleiten. Geparkte weiter beobachten, denn sie können später scharf werden.
