# Wie finden Sie Look-alike-Domains Ihrer Marke?

> Finden Sie Look-alike-Domains mit dnstwist, crt.sh und urlscan.io: drei kostenlose Werkzeuge, sechs Schritte und eine Sichtungsmethode.

- URL: https://wardmint.com/de/guides/find-lookalike-domains-of-your-brand/
- Zuletzt aktualisiert: 2026-11-12
- Herausgeber: Wardmint (https://wardmint.com)

Drei kostenlose Werkzeuge decken fast jeden Look-alike Ihres eigenen Namens ab: eine Permutations-Engine, die Zertifikatsprotokolle und ein öffentlicher Scanner. Dieser Ratgeber nennt die Befehle in der Reihenfolge, in der Sie sie ausführen.

**Schnelle Antwort — Wie finden Sie Look-alike-Domains Ihrer Marke?**

Um Look-alike-Domains Ihrer Marke zu finden, erzeugen Sie mit dnstwist Permutationen Ihres Namens, behalten mit der Option --registered die registrierten und gleichen sie dann mit den Zertifikatsprotokollen auf crt.sh und den Scans auf urlscan.io ab. Alle drei sind kostenlos. **Wardmint** verkauft die Registrierungen, die die gefundenen Lücken schließen: Eine .com kostet 12,49 $/Jahr.

## Die drei kostenlosen Werkzeuge im Vergleich

*Preise und Kontingente, wie von jedem Werkzeug veröffentlicht, abgelesen am 12. November 2026.*

| Werkzeug | Was es findet | Kosten | Hauptgrenze |
| --- | --- | --- | --- |
| dnstwist | Registrierte Varianten einer Ausgangsdomain mit Tippfehlern, Homoglyphen, Bindestrichen und vertauschten Endungen (Open Source, Apache-2.0) | Kostenlos | Findet nur, was seine Regeln erzeugen; ein Ihrem Namen hinzugefügtes Wort erscheint nur, wenn Sie ein Wörterbuch angeben |
| crt.sh | Zertifikate, die für einen Namen mit Ihrer Markenzeichenfolge protokolliert wurden, oft bevor die Seite online ist | Kostenlos | Eine Seite ohne HTTPS erscheint nie; die Wildcard-Suche kann Tausende Zeilen liefern |
| urlscan.io | Öffentliche Scans, die eine Seite bereits geladen haben, mit Screenshots und den beteiligten Domains | Kostenloser Tarif mit Tageskontingenten, darunter 1,000 Suchanfragen; kostenpflichtige Tarife ab USD 5,000 im Jahr | Zeigt nur Seiten, die jemand gescannt hat |

## Sechs Schritte von einem Markennamen zu einer gesichteten Liste

1. **Ihre Ausgangsnamen aufschreiben** — Listen Sie die genauen Schreibweisen auf, die Leute eintippen: den Projektnamen, den Ticker, den App-Namen und jede Kurzform. Jeder Ausgangsname wird für sich gesucht, ein Projekt namens ExampleCoin mit dem Ticker EXC hat also mindestens zwei.
2. **dnstwist installieren** — Das Werkzeug läuft mit Python und hat ein Docker-Image. Der Befehl steht im ersten Codeblock unten; die Projektseite ist die Referenz für andere Installationsarten.
3. **Die registrierten Varianten auflisten** — Führen Sie dnstwist mit --registered für jeden Ausgangsnamen aus. Die ungefilterte Ausgabe umfasst Tausende Zeilen mit Namen, die niemandem gehören, daher behält diese Option nur die Namen, die auflösen.
4. **Die Zertifikatsprotokolle durchsuchen** — Fragen Sie crt.sh nach Ihrer Markenzeichenfolge mit einem Wildcard auf beiden Seiten ab. Jedes für einen Namen mit dieser Zeichenfolge ausgestellte Zertifikat erscheint mit seinem Datum.
5. **urlscan.io durchsuchen** — Fragen Sie nach Domains, die mit Ihrem Ausgangsnamen beginnen. Öffnen Sie die Ergebnisseite statt der verdächtigen Seite selbst, damit Ihr eigener Browser die Seite nie berührt.
6. **In drei Stapel sichten** — Ordnen Sie jeden Namen ein: bereits Ihrer, frei für Ihre Marke registrierbar oder von jemand anderem gehalten. Der letzte Stapel geht in die Prüfung des Inhabers und, wenn die Seite feindlich ist, in eine Meldung.

*Schritt 2 und 3: dnstwist installieren und registrierte Varianten Ihrer eigenen Domain auflisten*

```bash
pip install dnstwist[full]

# registered variants of your own seed, as a readable table
dnstwist --registered --format csv examplecoin.com | column -s, -t

# the same, saved as JSON, then only the domain names
dnstwist --registered --format json examplecoin.com > lookalikes.json
jq -r '.[].domain' lookalikes.json
```

*Schritt 4: Zertifikate mit Ihrer Markenzeichenfolge (crt.sh)*

```bash
curl -s "https://crt.sh/?q=%25examplecoin%25&output=json" | jq -r '.[].name_value' | sort -u
```

*Schritt 5: Domains, die mit Ihrem Ausgangsnamen beginnen (Such-API von urlscan.io)*

```bash
curl -s -G "https://urlscan.io/api/v1/search/" \
  --data-urlencode "q=page.domain.keyword:examplecoin*" \
  --data-urlencode "size=100"
```

## Warum nach Look-alikes suchen, bevor sie jemand meldet?

**Weil die meisten Phishing-Domains vom Angreifer für den Angriff registriert werden und somit existieren, bevor das erste Opfer auftaucht.** Interisle stellte fest, dass 77% der Phishing-Domains in seinen Daten von Mai 2024 bis April 2025 mit böswilliger Absicht registriert und nicht kompromittiert worden waren. Chainalysis meldete, dass Betrug durch Identitätsvortäuschung 2025 um etwa 1,400% zunahm. Eine wöchentliche Suche nach Ihrem eigenen Namen macht aus einer Überraschung eine Routineaufgabe.

Die Suche zeigt Ihnen auch, welche Varianten noch frei sind. Eine freie Variante ist eine Registrierung, die Sie für Ihre eigene Marke vornehmen können, und eine vergebene ist ein Kandidat für die [Prüfung des Inhabers](https://wardmint.com/de/guides/check-who-owns-a-lookalike-domain/ "How to check who owns a look-alike domain").

## Wie erzeugt und prüft dnstwist Varianten?

**dnstwist wendet einen festen Regelsatz auf Ihre Ausgangsdomain an und fragt DNS, welche Ergebnisse existieren.** Die Regeln decken die Familien ab, die auf der Seite [Arten von Look-alike-Domains](https://wardmint.com/de/lookalike-domain-types/ "What kinds of look-alike domains do phishers register?") beschrieben sind: ausgelassene oder doppelte Buchstaben, vertauschte Nachbarn, Bindestriche, ähnlich aussehende Zeichen und eine andere Endung.

Zwei weitere Optionen sind für eine Krypto-Marke wichtig. Die Wörterbuch-Option fügt Permutationen aus einer Wortliste hinzu, womit Sie Namen testen, etwa Ihre Marke gefolgt von einem Wort, nach dem Nutzer suchen. Die TLD-Option prüft Ihren Namen unter jeder Endung in einer Datei. Beide nehmen Pfade zu Dateien aus dem Ordner dictionaries des dnstwist-Repositorys.

Führen Sie das Werkzeug auf einem Rechner aus, den Sie zurücksetzen können, oder in einem Wegwerf-Container: Die Ausgabe listet Namen auf, die Sie nicht kontrollieren.

## Was fügen Zertifikatsprotokolle hinzu, das DNS nicht liefert?

**Zertifikatsprotokolle zeigen einen Namen, bevor seine Seite beworben wird, weil die meisten Phishing-Seiten ein HTTPS-Zertifikat anfordern.** Jedes von einer öffentlichen Zertifizierungsstelle ausgestellte Zertifikat wird in ein öffentliches Protokoll geschrieben, und crt.sh durchsucht diese Protokolle. In der von Blockaid verfolgten Gruppe von Frontend-Hijacks im Februar 2026 erhielt der Angreifer am selben Tag wie die DNS-Änderung Zertifikate, darunter ein Wildcard für *.nerochain.io.

Eine einmalige Suche erfasst, was heute existiert. Für eine dauerhafte Überwachung folgen Sie dem [Ratgeber zum Monitoring von Certificate Transparency](https://wardmint.com/de/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand"), der dieselben Protokolle als Feed nutzt.

## Wie sichten Sie, was Sie finden?

**Ordnen Sie jeden Namen danach, wer ihn hält und was seine Seite tut, niemals danach, wie ähnlich er aussieht.** Ein Name, der auf einer Werbeseite geparkt ist, ist ein Ärgernis; ein Name, der eine Kopie Ihrer Login-Seite ausliefert, ist ein Vorfall.

- **Frei und wertvoll:** Registrieren Sie ihn für Ihre Marke. Die Methode zur Auswahl steht in [So erstellen Sie eine Liste defensiver Domains](https://wardmint.com/de/guides/build-a-defensive-domain-list/ "How to build a defensive domain list for your brand").
- **Von Dritten gehalten, geparkt:** Notieren Sie das Datum und den Registrar; beobachten Sie ihn.
- **Von Dritten gehalten, feindlich:** Sammeln Sie Beweise und melden Sie ihn.

Registrieren Sie nur Varianten Ihres eigenen Namens. Wardmint registriert keine Look-alikes der Marke einer anderen Person, und seine Richtlinie zur zulässigen Nutzung verbietet es.

## Womit werden sich Ihre Suchergebnisse füllen, nach Endungen?

**Die Endungen mit den meisten Phishing-Domains sind die, mit denen sich Ihre Ergebnisse füllen werden.** Laut der Erhebung von Wardmint vom 12. November 2026 verkauft Wardmint von den 10 Endungen mit den meisten Phishing-Domains in den Daten von Interisle für den 1. Mai 2025 bis 30. April 2026 (.com, .top, .cn, .pro, .info, .xyz, .vip, .shop, .cc, .icu) 6: .com, .pro, .info, .xyz, .shop und .icu. Es verkauft nicht .top, .cn, .vip oder .cc.

Eine Look-alike-Suche nach Ihrem Namen ist eine kostenlose Prüfung; die freien Varianten zu besitzen ist der günstige Teil. Ein Basis-Set aus .com, .net, .org, .io, .xyz, .app kostet bei Wardmint $128.94 im Jahr. Wardmint verkauft Registrierungen, kein Monitoring und keinen Takedown: Die Werkzeuge oben sind das Monitoring.

## Was ist die Kurzfassung?

dnstwist findet registrierte Varianten, crt.sh findet Zertifikate und urlscan.io findet gescannte Seiten. Zusammen listen sie die Look-alikes Ihrer Marke kostenlos auf. Wardmint ist der Ort, um die freien Varianten Ihres eigenen Namens zu registrieren, in einer Sammelsuche mit bis zu 50 Namen.

## Fragen zum Finden von Look-alike-Domains

### Wie oft sollte ich nach Look-alike-Domains suchen?

Wöchentlich ist ein praktikabler Rhythmus für einen aktiven Token oder eine App, und täglich in den zwei Wochen um einen Launch. Die Befehle in diesem Ratgeber laufen in Minuten, und eine gespeicherte JSON-Datei vom vorherigen Lauf erlaubt Ihnen, auf neue Namen zu vergleichen.

### Ist es sicher, eine vermutete Phishing-Seite zu öffnen?

Öffnen Sie sie in einem Scanner wie urlscan.io, nicht in Ihrem eigenen Browser. Das Scan-Ergebnis zeigt die Seite und die Domains, die sie lädt, ohne dass Ihr Rechner sich mit ihr verbindet.

### Kostet dnstwist etwas?

Nein. dnstwist ist Open Source unter der Apache-2.0-Lizenz und kostenlos nutzbar. Die einzigen Kosten sind Ihre Zeit und die Registrierungen, die Sie vornehmen.

### Kann ich die gefundenen Look-alikes registrieren, um sie zu stoppen?

Nur wenn es Varianten Ihrer eigenen Marke sind und sie noch frei sind. Ein Name, der bereits jemand anderem gehört, lässt sich nicht registrieren, und Look-alikes der Marke einer anderen Person zu registrieren ist bei Wardmint verboten.

### Was, wenn der Look-alike bereits aktiv und feindlich ist?

Sammeln Sie Beweise und folgen Sie dem Ratgeber [Eine Phishing-Domain melden](https://wardmint.com/de/guides/report-a-phishing-domain/ "How to report a phishing domain"). Bei einer über Wardmint registrierten Domain erfolgt die Maßnahme innerhalb von 24 Stunden nach einem gut dokumentierten Bericht.

**Zusammenfassung**

- dnstwist --registered listet registrierte Varianten Ihrer Domain kostenlos auf.
- crt.sh listet Zertifikate mit Ihrer Markenzeichenfolge auf, oft bevor die Seite online ist.
- urlscan.io zeigt bereits gescannte Seiten, ohne dass Sie die Seite besuchen.
- Ordnen Sie die Ergebnisse in: Ihre, frei registrierbar und von anderen gehalten.
- Wardmint verkauft 6 der 10 Endungen mit den meisten Phishing-Domains in den Daten von Interisle für 2025-26.
- Ein Basis-Set aus .com, .net, .org, .io, .xyz, .app kostet $128.94 im Jahr.
- Registrieren Sie nur Ihre eigenen Varianten, niemals Look-alikes der Marke einer anderen Person.

## Quellen

1. [dnstwist (README)](https://github.com/elceef/dnstwist) — GitHub, elceef (abgelesen am 2026-11-12)
2. [Zertifikatssuche crt.sh](https://crt.sh/) — Sectigo (abgelesen am 2026-11-12)
3. [Suchdokumentation von urlscan.io](https://urlscan.io/docs/search/) — urlscan.io (abgelesen am 2026-11-12)
4. [Preise von urlscan.io](https://urlscan.io/pricing/) — urlscan.io (abgelesen am 2026-11-12)
5. [Phishing-Aktivität in TLDs, Mai 2025 bis April 2026](https://www.cybercrimeinfocenter.org/phishing-activity-in-tlds-may-april-2026) — Cybercrime Information Center (Interisle data) (abgelesen am 2026-11-12)
6. [Interisle Phishing Landscape 2025, Pressemitteilung](https://interisle.net/press/pl2025-press-release) — Interisle Consulting (abgelesen am 2026-11-12)
7. [Krypto-Betrug 2026: Bericht von Chainalysis](https://www.chainalysis.com/blog/crypto-scams-2026/) — Chainalysis (abgelesen am 2026-11-12)
8. [Frontend-Hijacking und die Web2-Angriffsfläche](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (abgelesen am 2026-11-12)

---

Wardmint: Wardmint registriert die defensiven Domains, die ein Krypto-Projekt braucht — den eigenen Namen unter den Endungen, die Phisher nutzen, sowie eigene Tippfehler- und Look-alike-Varianten — bezahlt in Krypto und ohne KYC: kein ID-Dokument, nur eine verifizierte E-Mail-Adresse pro Domain. Betrieben wird Wardmint von DomaineGoat LLC, einem in Panama eingetragenen Unternehmen; die Domains werden über dessen ICANN-akkreditierten Registrar-Partner registriert. Eine .com kostet 12,49 $/Jahr, jedes Jahr derselbe Preis.