Wissensdatenbank

Absender-Recherche & täuschend ähnliche Domains

Wer ist das, in fünfzig Wörtern, und ist die Domain eine Nachahmung?

Details

Klicken Sie in einer Nachricht auf den Namen des Absenders, um eine Websuche zu der Person und der Domain dahinter auszuführen.
Das Urteil aus dem Eingang steht über der Antwort, denn nur eines von beiden ist maßgeblich: Unsere eigenen Prüfungen lesen die Header dieser Nachricht und ihre Links, während die Suche das Hintergrundwissen eines Modells zu einem Namen ist und die Nachricht nie gesehen hat.
Knapp danebenliegende Domains werden benannt: paypaI.com mit einem großen i, wo das l stehen sollte, oder paypal-secure.com, aufgefüllt, damit man darüber hinwegliest. Der Test lautet: zwei Änderungen vom Markennamen entfernt oder der Markenname mit etwas Angehängtem.
Der Markenvergleich läuft gegen zwanzig Namen, die sich zu imitieren lohnen: paypal, microsoft, apple, dhl, chase und die übrigen. Eine Nachahmung der Domain Ihres Steuerberaters steht nicht auf dieser Liste und könnte es nie, sie wird deshalb anders gefasst: Jede Domain, die innerhalb eines einzigen Wortes Alphabete mischt, wird für sich allein benannt, wen auch immer sie imitiert. Das Mischen von Schriften ist die Technik und nicht das Ziel, und eine vollständig in Kyrillisch oder Griechisch geschriebene Domain ist eine normale Domain und bleibt unangetastet.
Domains, die aus einem anderen Alphabet buchstabiert sind, werden vor dem Vergleich dekodiert. pаypal.com mit einem kyrillischen а reist als xn--pypal-4ve.com, was siebzehn Änderungen von paypal entfernt ist und auf nichts passt, der Name wird deshalb zurück in das dekodiert, was ein Mensch sehen würde, nachahmende Buchstaben werden auf die lateinischen gefaltet, die sie kopieren, und das Ergebnis wird mit der Marke verglichen. Es wiegt schwerer als ein gewöhnlicher Beinahe-Treffer: Eine Schreibweise, die aus zwei Alphabeten zusammengesetzt werden musste, hat keine harmlose Variante.
Eine Nachahmung, die DMARC und DKIM für sich selbst besteht, was einen Angreifer nichts kostet, da es seine eigene Domain ist, bekommt ihre Identitätssignale auf 45 % ihres Gewichts abgewertet, und aus 40 werden 18 gegen einen Warnschwellenwert von 30. Etwas anderes in der Nachricht muss ebenfalls auslösen, und es muss etwas sein, das die Abwertung nicht berührt: Ein Link, der nach der einen Domain aussieht und auf eine andere führt, reißt die Latte für sich allein, und ein ausführbarer Anhang ebenso. Ein nicht authentifizierter Hop kann dieses Etwas nicht sein, denn er löst nur bei einer Domain aus, die DMARC und DKIM nicht bestanden hat, also dem Gegenteil der abgewerteten, und eine einzelne Dringlichkeitsformel reicht ebenfalls nicht: Ein „Ihr Konto wurde gesperrt“ ergibt zehn gegen einen Schwellenwert von dreißig, es braucht also zwei davon plus einen Link.