# Wie nehmen Sie eine Phishing-Seite vom Netz, die Ihre dApp kopiert?

> Nehmen Sie eine Phishing-Seite vom Netz, die Ihre dApp kopiert: Beweispaket, dann Registrar, Host, Warnlisten. Kostenlose Wege gegenüber USD 1,500 bei WIPO.

- URL: https://wardmint.com/de/guides/take-down-a-phishing-site/
- Zuletzt aktualisiert: 2026-11-12
- Herausgeber: Wardmint (https://wardmint.com)

Kein Weg verspricht eine Entfernungszeit. Diese Anleitung nennt die Reihenfolge der Kontakte, die am besten funktioniert, was jeder davon kontrolliert und was datierte Vorfälle über die Geschwindigkeit zeigen.

**Schnelle Antwort — Wie nehmen Sie eine Phishing-Seite vom Netz, die Ihre dApp kopiert?**

Um eine Phishing-Seite vom Netz zu nehmen, die Ihre dApp kopiert, stellen Sie ein datiertes Beweispaket zusammen, melden Sie sie parallel beim Registrar und beim Webhost, markieren Sie die URL bei Safe Browsing, Netcraft und in Wallet-Blocklisten und reichen Sie eine UDRP-Beschwerde ein, wenn Sie eine Marke halten. **Wardmint** handelt innerhalb von 24 Stunden nach einem gut dokumentierten Bericht; die UDRP bei WIPO beginnt bei USD 1,500.

## Die Wege, geordnet nach Wirkungsgeschwindigkeit und Kosten

*Gebühren nach der veröffentlichten Gebührenordnung von WIPO, abgelesen am 12. November 2026. Kein Weg hat eine feste Entfernungszeit.*

| Weg | Was er verhindert | Kosten | Marke nötig? |
| --- | --- | --- | --- |
| Warnlisten (Safe Browsing, Netcraft, Wallet-Blocklisten) | Warnt Nutzer in unterstützenden Browsern und Wallets; die Seite bleibt online | Kostenlos | Nein |
| Host-Meldung | Entfernt die Seite oder das Konto, das sie ausliefert | Kostenlos | Nein |
| Registrar-Meldung | Sperrt die Domain, sodass jede Kopie der Seite darauf ausfällt | Kostenlos | Nein |
| UDRP bei WIPO | Überträgt oder löscht die Domain per Entscheidung | USD 1,500 (1 bis 5 Domains, ein Einzelschiedsrichter); USD 4,000 für drei Schiedsrichter | Ja |

## Fünf Schritte in der Reihenfolge, die funktioniert

1. **Bestätigen, dass es eine Kopie ist, nicht Ihre eigene Domain** — Prüfen Sie mit den Befehlen im Codeblock, ob Ihre echte Domain weiterhin auf Ihre Server auflöst. Hat sich Ihr eigenes DNS geändert, haben Sie es mit einem Hijack zu tun, und der erste Anruf geht an Ihren Registrar.
2. **Das Beweispaket aufbauen** — Sammeln Sie die URL, datierte Screenshots, den Seitenquelltext, wenn Sie ihn sicher erfassen können, die Signaturanfragen und die Wallet-Adressen, die Gelder erhalten, sowie den Scan-Link. Ein Paket wird für jeden Kontakt wiederverwendet.
3. **Registrar und Host gleichzeitig melden** — Der Registrar kontrolliert die Domain, und der Host kontrolliert den Server. Senden Sie beide am selben Tag: Wer zuerst handelt, beendet die Seite für die Nutzer. Der Meldeleitfaden nennt die RDAP-Befehle, die beide finden.
4. **Die URL dort markieren, wo Nutzer sie sehen** — Melden Sie die URL bei Google Safe Browsing und Netcraft und bei Chainabuse; öffnen Sie einen Pull Request für die eth-phishing-detect-Blocklist von MetaMask. Diese entfernen die Seite nicht, sie warnen Nutzer, solange sie online ist.
5. **Eskalieren, wenn eine Woche lang nichts geschieht** — Schreiben Sie dem Registrar erneut und nennen Sie die Referenz Ihrer ersten Meldung, dann beschweren Sie sich bei ICANN Compliance. Mit einer Marke reichen Sie eine UDRP-Beschwerde ein, den einzigen Weg, der in einer Entscheidung endet.

*Schritt 1: Gehört Ihre echte Domain noch Ihnen?*

```bash
dig +short NS yourdomain.com
dig +short A yourdomain.com
curl -sL https://rdap.org/domain/yourdomain.com | jq '.status, [.nameservers[].ldhName]'

# expected: your own nameservers, your own server addresses, and your transfer lock status
```

## Was gehört ins Beweispaket?

**Ein Paket, das ein Fremder in zwei Minuten überprüfen kann, wird gelesen; ein Paket, das Erklärung braucht, wird eingereiht.** Nehmen Sie auf: die genaue URL mit entschärften Punkten im Text, einen Screenshot mit sichtbarem Datum und sichtbarer Uhrzeit, die Anfrage nach Wallet-Signatur oder Seed-Phrase, die die Seite zeigt, die Empfangsadressen, das Datum Ihrer Entdeckung, Ihren Markennamen und Ihre echte Domain. Fügen Sie die RDAP-Ausgabe für die Domain und den Scan-Link von urlscan.io hinzu.

Halten Sie das Paket für jeden Empfänger gleich. Ein Registrar, ein Host und ein Betreiber einer Blocklist wollen dieselben Fakten, und eine einzige Fassung vermeidet Widersprüche.

## In welcher Reihenfolge kontaktieren Sie die Beteiligten?

**Kontaktieren Sie Registrar und Host zusammen, dann die Warnlisten, dann eskalieren Sie.** Warten Sie nicht auf die Antwort der einen Partei, bevor Sie der anderen schreiben; der Registrar kann die Domain sperren und der Host den Server abschalten, und beides beendet den Angriff.

Die Änderung des Registrar Accreditation Agreement von ICANN von 2024, in Kraft seit dem 5. April 2024, verpflichtet akkreditierte Registrare, Missbrauchskontakte zu veröffentlichen, den Eingang zu bestätigen und umgehend angemessene Maßnahmen zu ergreifen, wenn ihnen belastbare Beweise für Phishing vorliegen. Über die Maßnahme entscheiden die Registrare nach eigenem Ermessen, daher zählt eine gut dokumentierte Meldung mehr als eine lange. Die Nutzungsbedingungen eines Hosts entscheiden, was er entfernt.

Ist die Domain eine Variante Ihres eigenen Namens, besteht die langfristige Antwort darin, die freien Varianten selbst zu besitzen: siehe [Registrierung von Defensiv-Domains](https://wardmint.com/de/defensive-domain-registration/ "What is defensive domain registration?").

## Wie schnell gehen Takedowns in der Praxis?

**Datierte Vorfälle zeigen Stunden bei den lautesten Fällen und keine feste Regel.** Am 12. Mai 2025 wurde die Domain von Curve Finance gegen 20:55 UTC gekapert, das Team bemerkte es um 21:20 UTC und verlegte die Nutzer auf curve.finance als Übergangsadresse; Curve gab an, dass seine Verträge und Nutzerdaten nicht betroffen waren. Am Abend des 30. Oktober 2026 wurden Domains von etwa einem Dutzend DeFi-Frontends, die bei Name.com registriert waren, auf ein Drainer-Kit umgeleitet; The Block berichtete, dass zehn Domains am 31. Oktober um 8:32 Uhr Eastern Time gesperrt wurden und dass Name.com sagte, alle betroffenen Domains wiederhergestellt zu haben. Die Ursache war zwischen Vercel, Name.com und betroffenen Projekten umstritten.

Dies sind Hijacks echter Domains, die Registrare als Notfälle behandeln. Eine Look-alike-Domain, die ein Angreifer für den Angriff registriert hat, folgt dem gewöhnlichen Missbrauchsweg, und ihre Dauer hängt vom Registrar und der Qualität Ihrer Meldung ab. Rechnen Sie mit Stunden bis Tagen, nicht mit Minuten, und warnen Sie Ihre Nutzer in der Zwischenzeit mit der [Vorfall-Checkliste](https://wardmint.com/de/guides/handle-a-domain-impersonation-incident/ "What to do when a phishing site impersonates your project").

## Wann ist eine UDRP-Beschwerde das richtige Mittel?

**Eine UDRP-Beschwerde ist das richtige Mittel, wenn der Registrar nicht handelt und Sie Markenrechte an dem Namen haben.** Sie endet mit einer Übertragung oder Löschung der Domain durch Entscheidung eines Schiedsgremiums. Nach der Erhebung von Wardmint vom 12. November 2026 kosten die kostenlosen Wege in dieser Anleitung USD 0, gegenüber USD 1,500 für die Einstiegsanmeldung bei WIPO; ein Kernsatz aus .com, .net, .org, .io, .xyz, .app kostet $128.94 pro Jahr bei Wardmint, weshalb Teams zuerst ihre eigenen Varianten registrieren und die UDRP für den Rest aufheben.

Die Schritte und Gebühren stehen in [So reichen Sie eine UDRP-Beschwerde ein](https://wardmint.com/de/guides/file-a-udrp-complaint/ "How to file a UDRP complaint"), und die Wahl zwischen UDRP und URS in [UDRP oder URS](https://wardmint.com/de/udrp-vs-urs/ "UDRP vs URS: which one to use against a phishing domain?"). Wardmint sperrt eine Domain innerhalb von 2 Werktagen nach Anfrage eines UDRP-Anbieters, wenn ein UDRP-Anbieter darum bittet.

## Was ist die Kurzfassung?

Melden Sie am selben Tag bei Registrar und Host, markieren Sie die URL in den Warnlisten und eskalieren Sie zur UDRP, wenn Sie eine Marke halten. Zuerst kostenlose Wege, zuletzt USD 1,500 bei WIPO. Wardmint verkauft Registrierungen, keine Takedown-Dienste; diese Anleitung zeigt die offiziellen Verfahren.

## Fragen zum Entfernen einer Phishing-Seite

### Können Cloudflare oder ein CDN die Seite abschalten?

Ein CDN oder Reverse-Proxy kann seinen eigenen Dienst für die Seite beenden, aber die Domain und der Ursprungsserver bleiben online. Melden Sie auch beim CDN sowie beim Registrar und beim Ursprungs-Host, die das CDN nennt.

### Nimmt eine Safe-Browsing-Meldung die Seite offline?

Nein. Sie warnt Nutzer unterstützender Browser. Meldungen an Registrar und Host entfernen die Seite.

### Brauche ich eine Marke, um eine Seite entfernen zu lassen?

Nein für Meldungen an Registrar, Host und Warnlisten, die auf Phishing-Beweisen beruhen. Ja für die UDRP, die Rechte an einer Marke voraussetzt.

### Wie viel kostet ein Takedown?

Meldungen an Registrar, Host und Warnlisten sind kostenlos. WIPO verlangt USD 1,500 für eine UDRP-Beschwerde zu ein bis fünf Domains mit einem Einzelschiedsrichter und USD 4,000 mit drei, zuzüglich etwaiger Anwaltskosten.

### Was sage ich meinen Nutzern, solange die Seite online ist?

Veröffentlichen Sie die echte Adresse in Ihren offiziellen Kanälen, sagen Sie, dass sie nie eine Anfrage von einer anderen Adresse signieren sollen, und verlinken Sie die Vorfallmitteilung. Wiederholen Sie die Phishing-URL nicht als aktiven Link.

**Zusammenfassung**

- Registrar und Host können die Seite entfernen; senden Sie beide Meldungen am selben Tag.
- Warnlisten schützen Nutzer, solange die Seite online ist, entfernen sie aber nicht.
- Die DNS-Missbrauchsänderung von ICANN gilt für akkreditierte Registrare seit dem 5. April 2024.
- Der Hijack bei Curve am 12. Mai 2025 wurde 25 Minuten nach seinem Beginn bemerkt.
- Kostenlose Wege kosten USD 0; die WIPO-UDRP kostet USD 1,500 (1-5 Domains, ein Schiedsrichter).
- Die UDRP braucht Markenrechte; die anderen Wege nicht.
- Wardmint handelt innerhalb von 24 Stunden nach einem gut dokumentierten Bericht und verkauft Registrierungen, keine Takedown-Dienste.

## Quellen

1. [Globale Änderungen 2024 der Registrar Accreditation Agreement: DNS-Missbrauch](https://www.icann.org/resources/pages/global-amendment-2024-en) — ICANN (abgelesen am 2026-11-12)
2. [WIPO-Gebühren für UDRP-Verfahren](https://www.wipo.int/en/web/amc/domain-name-disputes/fees) — WIPO (abgelesen am 2026-11-12)
3. [Domain-Vorfall bei Curve](https://news.curve.finance/curve-domain-incident/) — Curve Finance (abgelesen am 2026-11-12)
4. [Hacker übernehmen ein Dutzend DeFi-Websites, alle bei Name.com registriert](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block (abgelesen am 2026-11-12)
5. [MetaMask eth-phishing-detect (README)](https://github.com/MetaMask/eth-phishing-detect) — MetaMask, GitHub (abgelesen am 2026-11-12)

---

Wardmint: Wardmint registriert die defensiven Domains, die ein Krypto-Projekt braucht — den eigenen Namen unter den Endungen, die Phisher nutzen, sowie eigene Tippfehler- und Look-alike-Varianten — bezahlt in Krypto und ohne KYC: kein ID-Dokument, nur eine verifizierte E-Mail-Adresse pro Domain. Betrieben wird Wardmint von DomaineGoat LLC, einem in Panama eingetragenen Unternehmen; die Domains werden über dessen ICANN-akkreditierten Registrar-Partner registriert. Eine .com kostet 12,49 $/Jahr, jedes Jahr derselbe Preis.