Schnelle Antwort
Welche Arten von Look-alike-Domains registrieren Phisher?
Phisher registrieren sieben Arten von Look-alikes: Tippfehler, Auslassung, Bindestrich, Endungstausch, Combosquatting, Homoglyphe und Bitsquatting. Für die fiktive Marke examplecoin.com sind examplecoin.co und examplecoin-login.com zwei davon. Wardmint verkauft 29 Endungen und eine Massensuche mit bis zu 50 Namen, damit ein Team eigene Versionen von jeder registrieren kann.
Sieben Arten von Look-alikes, mit Beispielen zu examplecoin.com
| Art | Beispiel | So funktioniert es | Wen es trifft |
|---|---|---|---|
| Tippfehler (Vertauschung oder Nachbartaste) | examplecion.com | Zwei Buchstaben vertauscht oder eine Taste neben der richtigen | Ein Nutzer, der die Adresse eintippt |
| Auslassung | exmplecoin.com | Ein Buchstabe weggelassen | Ein Nutzer, der schnell tippt |
| Bindestrich | example-coin.com | Ein Bindestrich zwischen Wörtern eingefügt | Ein Nutzer, der eine Adresse in einem Beitrag liest |
| Endungstausch | examplecoin.co, examplecoin.cm | Derselbe Name unter einer anderen Endung | Ein Nutzer, der die Endung annimmt |
| Combosquatting | examplecoin-login.com, claim-examplecoin.com | Der Name plus ein Wort, das eine Handlung nahelegt | Ein Nutzer, der einer Nachricht oder Anzeige folgt |
| Homoglyphe | examp1ecoin.com, exarnplecoin.com | Ein Zeichen, das wie ein anderes aussieht: 1 statt l, rn statt m | Ein Nutzer, der die Adresse liest |
| Bitsquatting | dxamplecoin.com | Ein Bit in einem Buchstaben gekippt, zum Beispiel e (01100101) zu d (01100100) | Ein Gerät, dessen Speicher ein Bit kippt |
Was ist eine Tippfehler- oder Auslassungs-Domain?
Eine Tippfehler-Domain unterscheidet sich von der echten durch einen Tastaturfehler; eine Auslassungs-Domain lässt einen Buchstaben weg. examplecion.com vertauscht die letzten zwei Buchstaben der Marke, und exmplecoin.com lässt das erste a weg. Ihr Wert für einen Angreifer ist Traffic, der von selbst ankommt: Menschen tippen Adressen ein, und manche machen den Fehler. Ein Permutationswerkzeug erzeugt all dies automatisch, weshalb die Liste billig zu erstellen und billig zu verteidigen ist. Für den Verteidiger sind sie die ersten Namen, die man nach den Kern-Endungen registriert. Die Anleitung zum Finden von Look-alike-Domains zeigt, wie Sie sie mit dnstwist erzeugen.
Was ist ein Endungstausch?
Ein Endungstausch behält den Namen und ändert die Endung: examplecoin.co statt examplecoin.com. Der Angreifer wettet darauf, dass ein Leser den fehlenden Buchstaben nicht bemerkt oder annimmt, das Projekt besitze diese Endung. Das Risiko ist am höchsten bei Endungen, die wie .com aussehen oder zu Ihrer Branche passen. Nach Wardmints Erhebung vom 12. November 2026 werden 6 der 10 Endungen mit den meisten Phishing-Domains in den Interisle-Daten von Mai 2025 bis April 2026 hier verkauft: .com, .pro, .info, .xyz, .shop und .icu. Die Auswahl der Endungen wird in Welche Domains ein Krypto-Projekt registrieren sollte erklärt.
Was ist Combosquatting?
Combosquatting fügt der Marke ein echtes Wort hinzu, etwa login, support, claim oder airdrop, und passt zu den Nachrichten, die Betrüger senden. examplecoin-login.com sieht aus wie eine Seite, die ein Projekt besitzen könnte. Ein gefälschter Airdrop-Beitrag trägt einen Link zu examplecoin-claim.com, und der Besucher erwartet, die Marke in der Adresse zu sehen. Da die möglichen Wörter zahlreich sind, können Sie nicht alle Kombinationen registrieren: Wählen Sie die Wörter, die in den bereits auf Ihre Branche gerichteten Betrügereien vorkommen, und fügen Sie die anderen hinzu, wenn das Monitoring sie findet. Wörter gibt es auch als Endungen, weshalb .support und .live im Endungssatz auftauchen; siehe Registrierung von Defensiv-Domains, wie ein Satz aufgebaut wird.
Was ist eine Homoglyphen-Domain?
Eine Homoglyphen-Domain tauscht ein Zeichen gegen eines, das gleich aussieht: die Ziffer 1 für l oder die zwei Buchstaben rn für m. examp1ecoin.com und exarnplecoin.com sind reines ASCII und brauchen keine Sonderbehandlung. Eine zweite Familie verwendet Buchstaben aus anderen Alphabeten, etwa ein kyrillisches а anstelle eines lateinischen a. Diese Namen werden in der Punycode-Form xn-- gespeichert und in Was ein IDN-Homograph-Angriff ist behandelt. dnstwist erzeugt seine Homoglyphen-Namen aus einem erforschten Bereich von Unicode-Zeichen, die so gewählt sind, dass die Ergebnisse registriert werden können.
Was ist Bitsquatting?
Bitsquatting registriert einen Namen, der sich von Ihrem durch ein gekipptes Bit unterscheidet, und beruht auf Speicherfehlern statt auf menschlichen. Der Buchstabe e ist in ASCII 01100101 und d ist 01100100, daher ist dxamplecoin.com ein Bit von examplecoin.com entfernt. Ein Rechner, dessen Speicher dieses Bit kippt, während er die Adresse hält, fragt den falschen Namen ab. Wardmint hat in den gelesenen Quellen keine öffentliche Zahl zu Bitsquatting gefunden, daher steht es in einer Defensiv-Liste zuletzt; die anderen sechs nutzen aus, was ein Mensch liest oder tippt.
Wie verteidige ich mich gegen alle sieben?
Besitzen Sie die wahrscheinlichsten jeder Art, leiten Sie sie um und nutzen Sie kostenlose Werkzeuge für den Rest. Die Registrierung schließt die Namen, die Sie halten: Sammelsuche für bis zu 50 Namen gleichzeitig, danach ein Warenkorb und eine Zahlung für alle, zu $128.94 pro Jahr für die sechs Kernnamen. Für jeden Namen, den Sie besitzen, eine „Keine-E-Mail“-DNS-Vorlage (Null-MX, SPF -all, DMARC p=reject), damit eine defensive Domain nicht zum Fälschen Ihrer E-Mails missbraucht werden kann, kostenlose URL-Weiterleitung, die jede Variante auf Ihre Hauptseite leitet, und automatische Verlängerung aus Ihrem Guthaben, damit keine Variante ausläuft. Eine Reihe von Look-alike-Typen ist eine Checkliste, die Sie in einer Stunde an Ihrer eigenen Marke durchgehen können, und die vollständige Liste erstellen Sie mit den Schritten in So schützen Sie Ihre Marke vor Typosquatting.
Welche Look-alike-Typen verkauft Wardmint?
Wardmint registriert die ASCII-Namen der eigenen Tippfehler-, Auslassungs-, Bindestrich-, Endungs-, Kombinations- und Homoglyphen-Varianten einer Marke innerhalb der 29 verkauften Endungen. Es registriert keine Look-alikes der Marke eines anderen, und seine Richtlinie zur akzeptablen Nutzung verbietet das. Eine Look-alike-Domain ist ein registrierter Name, der gebaut wurde, um mit einem anderen verwechselt zu werden; eine eigene Variante ist derselbe Name, gehalten von der Marke, die er nachahmt.
Fragen zu Look-alike-Domains
Welche Art von Look-alike ist beim Krypto-Phishing am häufigsten?
Wardmint hat in den gelesenen Quellen keine öffentliche Zählung nach Art gefunden. Combosquatting und Endungstausch sind die Arten, die zu gefälschten Airdrop- und Support-Nachrichten gehören, registrieren Sie diese also zuerst.
Ist jede Look-alike-Domain illegal?
Nein. Manche sind geparkt, manche gehören unabhängigen Inhabern. Ob eine verletzt, hängt vom Recht ab und bei einer UDRP von den drei Prüfpunkten der Richtlinie.
Kann ein Look-alike ein gültiges HTTPS-Zertifikat verwenden?
Ja. Jede Domain kann eines erhalten, daher beweist ein Schloss nichts über den Inhaber. Zertifikatslogs zeigen ausgestellte Zertifikate, was Ihnen hilft, neue Namen zu entdecken.
Sollte ich jeden Tippfehler meines Namens registrieren?
Nein. Registrieren Sie die wahrscheinlichsten, leiten Sie sie um und beobachten Sie den Rest. Eine Liste mit 50 Namen passt in eine Massensuche.
Zusammenfassung
- Sieben Arten: Tippfehler, Auslassung, Bindestrich, Endungstausch, Combosquatting, Homoglyphe, Bitsquatting.
- Combosquatting und Endungstausch passen am besten zu gefälschten Airdrop- und Support-Nachrichten.
- Homoglyphen umfassen rn statt m, 1 statt l und nicht-lateinische Buchstaben, die als xn-- gespeichert werden.
- Bitsquatting braucht einen Speicherfehler: ein gekipptes Bit.
- 6 der 10 Endungen mit den meisten Phishing-Domains (Interisle) werden bei Wardmint verkauft.
- Wardmint registriert nur die eigenen Varianten einer Marke, nie die einer anderen Marke.
Quellen (2)
- dnstwist, domain name permutation engine — GitHub (elceef/dnstwist) (abgelesen am 2026-11-12)
- Phishing-Aktivität in TLDs, Mai 2025 bis April 2026 — Cybercrime Information Center (abgelesen am 2026-11-12)