Wie überwachen Sie Certificate Transparency für Ihre Marke?

Was ist Certificate Transparency, und warum hilft sie einem Krypto-Projekt?

Certificate Transparency ist ein System öffentlicher Logs, in dem Zertifizierungsstellen die Zertifikate festhalten, die sie ausstellen. Weil die Logs öffentlich sind, kann jeder sie nach einem Namen durchsuchen, auch nach einem Namen, der Ihren imitiert. Ein Phisher, der HTTPS auf einer Look-alike-Domain will, fordert in der Regel ein Zertifikat an, und diese Anforderung wird zu einem sichtbaren Eintrag.

Das ist in zwei Situationen wichtig. Die erste ist die Look-alike-Domain: Ein Angreifer registriert einen Namen, der Ihrem ähnelt, erhält ein Zertifikat und startet eine Kampagne. Die zweite ist der Hijack: Blockaid berichtete, dass bei den Frontend-Kompromittierungen im Februar 2026 die SSL-Zertifikate des Angreifers am selben Tag wie die DNS-Änderung ausgestellt wurden und dass Wildcard-Zertifikate für die Domain von Nerochain ausgestellt wurden. Ein Log-Eintrag für Ihre eigene Domain, den Sie nicht angefordert haben, ist ein Frühwarnsignal.

Eine zitierfähige Definition: Certificate-Transparency-Monitoring ist die Praxis, öffentliche Zertifikatslogs nach Namen zu durchsuchen, die Ihre Marke enthalten, damit Look-alike- und Hijack-Zertifikate gesehen werden, wenn sie ausgestellt werden, und nicht, wenn Nutzer zu Schaden kommen.

Wie durchsuchen Sie crt.sh nach Ihrer Marke?

Durchsuchen Sie crt.sh nach Identität, mit Ihrem Domainnamen und Ihrer Markenzeichenfolge, und prüfen Sie die Liste wöchentlich. crt.sh ist ein von Sectigo betriebener Zertifikatssuchdienst. Er akzeptiert einen Domainnamen oder Organisationsnamen als Identität, einen Zertifikats-Fingerabdruck oder eine crt.sh-ID.

Seine Seite „Advanced“ listet die Vergleichsoperatoren Autoselect, equals, ILIKE und LIKE, eine Auswahl des Umfangs, ein Kontrollkästchen zum Ausschließen abgelaufener Zertifikate und eines zum Entfernen von Duplikaten bei Zertifikat-Precertificate-Paaren auf. Die LIKE-Operatoren sind SQL-Operatoren, bei denen das Prozentzeichen beliebigen Text ersetzt, sodass ein Muster wie die Marke mit einem Prozentzeichen auf jeder Seite Namen auflistet, die sie enthalten. Die Seite von crt.sh dokumentiert die Mustersymbole nicht, bestätigen Sie das Verhalten also mit einer Testsuche nach einem Namen, der Ihnen gehört.

Halten Sie fest, was Sie finden. Führen Sie eine kurze Liste Ihrer eigenen rechtmäßigen Namen und Aussteller und prüfen Sie jeden anderen Eintrag. Für jeden Look-alike-Namen gehen Sie die nächsten Schritte aus So finden Sie Look-alike-Domains Ihrer Marke.

Wie streamen Sie neue Zertifikate mit CertStream?

CertStream liefert neue Certificate-Transparency-Einträge in Echtzeit, und ein kurzes Skript markiert diejenigen, die zu Ihrer Marke passen. Es ist schnell, aber laut, weil die meisten Zertifikate nichts damit zu tun haben, daher entscheidet die Abgleichsregel darüber, wie nützlich es ist.

Die Python-Bibliothek wird mit pip installiert. Ihr README registriert einen Callback, der eine Nachricht und einen Kontext erhält, prüft, ob der Nachrichtentyp certificate_update ist, und liest die Liste der Domains aus dem Leaf-Zertifikat. Das folgende Beispiel folgt dieser Struktur und fügt einen Markenabgleich hinzu.

# pip install certstream
import certstream

BRAND = 'examplecoin'

def on_cert(message, context):
    if message['message_type'] == 'certificate_update':
        for name in message['data']['leaf_cert']['all_domains']:
            if BRAND in name.lower():
                print(name)

certstream.listen_for_events(on_cert, url='wss://certstream.calidog.io/')

Welche Zeichenfolgen und Endungen sollten Sie beobachten?

Beobachten Sie Ihre exakte Marke, ihre gängigen Schreibfehler und die Marke in Kombination mit Wörtern wie login, claim, airdrop oder wallet. Nutzen Sie dnstwist, eine Open-Source-Permutations-Engine, um Varianten Ihres Namens mit Tippfehlern, Homoglyphen, Bindestrichen und vertauschten Endungen zu erzeugen, und geben Sie diese Zeichenfolgen an Ihren Abgleich weiter.

Gewichten Sie die Endungen nach Missbrauchsdaten. Laut der Erhebung von Wardmint vom 12. November 2026 werden 6 der 10 Endungen mit den meisten Phishing-Domains in den Daten von Interisle für den 1. Mai 2025 bis 30. April 2026 von Wardmint verkauft: .com (869,180 Domains), .pro (130,945), .info (99,602), .xyz (93,987), .shop (79,625) und .icu (74,786). Die anderen vier sind .top, .cn, .vip und .cc. Wardmint verkauft .top nicht. Die Endungen, die Sie verkaufen, im Voraus zu besitzen, beseitigt die Treffer, die ein Angreifer sonst übernehmen könnte.

Anzahl ist nicht Risiko. Der Phishing-Wert von Interisle pro 10,000 delegierter Domains setzt .icu bei 1,607 und .pro bei 1,200.1 gegenüber 53.7 für .com, ein Treffer bei einer kleinen, missbrauchten Endung verdient also einen schnelleren Blick als einer bei .com. Die Liste und die Werte stehen in Welche Domain-Endungen werden am häufigsten für Phishing genutzt.

Was tun Sie, wenn ein verdächtiges Zertifikat auftaucht?

Prüfen Sie den Namen, halten Sie die Beweise fest und handeln Sie in der Reihenfolge, die zum Fall passt. Bei einem Look-alike-Namen laden Sie ihn sicher, machen Screenshots, speichern den Zertifikatseintrag und die Seite und führen die Schritte zur Meldung aus. Bei einem unerwarteten Zertifikat auf Ihrer eigenen Domain prüfen Sie zuerst Ihre DNS-Einträge und Ihr Registrar-Konto, denn es kann bedeuten, dass jemand geändert hat, wohin Ihre Domain zeigt.

Der Reaktionsplan steht in Was tun, wenn eine Phishing-Seite Ihr Projekt imitiert. Ein CAA-Eintrag begrenzt, welche Stellen für Ihre eigenen Namen ausstellen dürfen, wie in So richten Sie CAA-Einträge ein beschrieben. Wardmint registriert Domains und DNS-Einträge; es betreibt keine Monitoring- oder Takedown-Dienste, weshalb dieser Ratgeber kostenlose Werkzeuge nutzt.