# Was ist ein IDN-Homograph-Angriff?

> IDN-Homograph-Angriffe ersetzen lateinische Buchstaben durch Look-alikes anderer Schriften; Punycode (xn--), Chrome prüft pro Label.

- URL: https://wardmint.com/de/what-is-an-idn-homograph-attack/
- Zuletzt aktualisiert: 2026-11-12
- Herausgeber: Wardmint (https://wardmint.com)

Zwei Domain-Namen können auf dem Bildschirm identisch aussehen und verschiedene Zeichenketten sein. Diese Seite zeigt, wie, was das Präfix xn-- bedeutet und wo der Browser eingreift.

**Schnelle Antwort — Was ist ein IDN-Homograph-Angriff?**

Ein IDN-Homograph-Angriff registriert einen internationalisierten Domain-Namen, dessen kyrillische oder griechische Buchstaben wie lateinische aussehen, sodass exаmplecoin.com wie examplecoin.com gelesen wird. Er wird als Punycode gespeichert, der mit xn-- beginnt. Chrome zeigt diese Rohform für Labels mit gemischten Schriften und ignoriert seit Version 51 die Spracheinstellung des Nutzers. **Wardmint** registriert die ASCII-Varianten Ihres Namens.

## Die gleich aussehenden Namen und was das System speichert

*Die Beispiele verwenden die fiktive Marke examplecoin. Die ASCII-Formen wurden am 12. November 2026 mit Node.js (url.domainToASCII) berechnet.*

| Angezeigt als | Was sich unterscheidet | Im DNS gespeichert als |
| --- | --- | --- |
| examplecoin.com | Reine lateinische Buchstaben, der echte Name | examplecoin.com |
| exаmplecoin.com | Der zweite Buchstabe ist das kyrillische а (U+0430), gemischt mit lateinischen Buchstaben | xn--exmplecoin-0qi.com |
| еxamplecoin.com | Der erste Buchstabe ist das kyrillische е (U+0435), gemischt mit lateinischen Buchstaben | xn--xamplecoin-jsi.com |
| аррӏе.com | Jeder Buchstabe ist kyrillisch: а, р, р, ӏ, е | xn--80ak6aa92e.com |

*Einen verdächtigen Namen in seine gespeicherte Form umwandeln*

```bash
node -e "console.log(require('url').domainToASCII('аррӏе.com'))"
# xn--80ak6aa92e.com
```

## Wie funktioniert ein IDN-Homograph-Angriff?

**Er funktioniert, weil Unicode Buchstaben aus verschiedenen Alphabeten enthält, die gleich aussehen, und das Domain-System jedem erlaubt, Namen mit ihnen zu registrieren.** Ein internationalisierter Domain-Name (IDN) ist ein Name mit Nicht-ASCII-Zeichen. Das DNS verarbeitet nur ASCII, daher wird jedes solche Label in Punycode umgewandelt, eine Zeichenkette, die mit xn-- beginnt, gefolgt von einer kodierten Form. Ein Mensch sieht die Unicode-Version, wenn der Browser sich zur Anzeige entscheidet; Software, die den Namen speichert oder protokolliert, sieht die Form xn--.

Der Angreifer registriert einen Namen, in dem ein oder mehrere lateinische Buchstaben durch einen Look-alike ersetzt sind: zum Beispiel kyrillisches а statt lateinischem a. Die Registry und der Registrar akzeptieren ihn, weil er ein gültiger Name ist. Der Besucher liest examplecoin.com und signiert eine Transaktion auf einer Kopie Ihrer Seite.

## Was bedeutet das Präfix xn--?

**Das Präfix xn-- kennzeichnet ein Label, das Nicht-ASCII-Zeichen in kodierter Form enthält.** In den obigen Beispielen ist xn--exmplecoin-0qi.com die gespeicherte Form von exаmplecoin.com: Die ASCII-Buchstaben des Labels stehen zuerst, und das kodierte kyrillische Zeichen folgt nach dem Bindestrich. Ein Name, der mit xn-- beginnt, ist nicht an sich bösartig; viele legitime Seiten in anderen Sprachen verwenden ihn. Entscheidend ist, ob die dekodierte Zeichenkette eine Marke imitiert. Sie können jeden verdächtigen Namen mit einem Skript wie dem obigen dekodieren oder in ein Nachschlagewerkzeug einfügen, bevor Sie klicken.

## Wie entscheidet Chrome, ob Unicode oder Punycode angezeigt wird?

**Chrome entscheidet für jedes Label einzeln und zeigt die Form xn--, sobald eine Prüfung fehlschlägt.** Die dokumentierten Prüfungen umfassen das Mischen von Schriften, die sich nicht mischen sollen (Lateinisch mit Kyrillisch oder Griechisch), gemischtschriftige Verwechselbare aus den Unicode-Sicherheitsdaten und Labels, die nur aus Look-alike-Buchstaben einer Schrift bestehen, wenn die Endung nicht in dieser Schrift ist. Chrome weist außerdem Labels zurück, die nur aus Ziffern oder Ziffern-Look-alikes bestehen, und Labels, die nach Entfernen der Akzente einer Top-Domain entsprechen. Bestehen alle Prüfungen, wird das Label in Unicode angezeigt. Die Richtlinie hängt nicht von der Spracheinstellung des Nutzers ab.

Das rein kyrillische аррӏе.com in der Tabelle ist der Fall der ganzen Schrift: Es mischt nichts, sodass eine Regel für gemischte Schriften es nicht erfasst, und Chrome verlässt sich auf seine gesonderte Prüfung auf ganze Schriften. Andere Browser haben eigene Richtlinien, die Wardmint nicht gelesen hat, daher dokumentiert diese Seite nur Chrome. Das verwandte Risiko der Adressverwechslung im Allgemeinen steht in [Welche Arten von Look-alike-Domains Phisher registrieren](https://wardmint.com/de/lookalike-domain-types/ "What kinds of look-alike domains do phishers register?").

## Wie schütze ich meine Marke vor Homograph-Domains?

**Registrieren Sie die ASCII-Varianten, die Sie können, überwachen Sie den Rest und melden Sie, was Sie finden.** Einen Homograph-Namen können Sie nicht im Voraus in jeder Schrift registrieren, denn die Kombinationen sind zu viele. Sie können aber nach ihnen suchen: dnstwist erzeugt Homoglyphen-Namen aus einem erforschten Satz von Unicode-Zeichen und prüft, welche existieren, und Zertifikatslogs zeigen Namen, die Ihre Marke in dekodierter Form tragen. [Die Anleitung zum Finden von Look-alike-Domains](https://wardmint.com/de/guides/find-lookalike-domains-of-your-brand/ "How to find look-alike domains of your brand") enthält die Befehle, und [So überwachen Sie Certificate Transparency](https://wardmint.com/de/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand") behandelt die Logs.

Die Seiten von Wardmint beschreiben Registrierungen von ASCII-Namen und behaupten keine IDN-Registrierung. Für die ASCII-Homoglyphen (1 statt l, rn statt m) gilt dieselbe Abdeckung wie für jeden Tippfehler: siehe [So schützen Sie Ihre Marke vor Typosquatting](https://wardmint.com/de/typosquatting-protection/ "How do I protect my brand from typosquatting?").

## Was sagen Wardmints Zahlen dazu?

Wardmint hat die Chromium-Richtlinie am 12. November 2026 geprüft und ihre Regeln in 5 Prüffamilien gruppiert, die zwischen Unicode und Punycode entscheiden: Umwandlung und Gültigkeit, Schriftmischung, Ziffern und unsichtbare Zeichen, Verwechselbare sowie Ziffern, Muster und Top-Domains. Die Gruppierung stammt von Wardmint; die Regeln sind die von Chromium.

Eine Homograph-Domain ist ein Domain-Name, dessen Buchstaben sich von einem bekannten Namen unterscheiden, für einen Leser aber identisch aussehen. Ein IDN-Homograph-Angriff ist die Nutzung eines solchen Namens, um eine Marke zu imitieren. Punycode ist die ASCII-Kodierung, beginnend mit xn--, die das DNS für Namen mit Nicht-ASCII-Buchstaben speichert.

## Fragen zu Homograph-Angriffen

### Kann ich den echten Namen hinter einer Unicode-Domain sehen?

Ja. Wandeln Sie ihn mit einem Einzeiler-Skript oder einem Nachschlagewerkzeug in seine gespeicherte Form um und lesen Sie die Zeichenkette xn-- und die Registrar-Daten. Eine Abweichung vom erwarteten Namen ist eine Warnung.

### Schützt mich das HTTPS-Schloss vor einer Homograph-Seite?

Nein. Eine Look-alike-Domain kann wie jede andere ein Zertifikat erhalten, daher beweist das Schloss eine verschlüsselte Verbindung, nicht die Identität der Seite.

### Blockiert Chrome jede Homograph-Domain?

Nein. Es wendet einen dokumentierten Satz von Prüfungen an und zeigt Punycode, wenn eine fehlschlägt. Ein Name, der alle besteht, wird in Unicode angezeigt, behandeln Sie daher unbekannte Links mit Vorsicht.

### Kann ich einen IDN-Look-alike wie jede andere Phishing-Domain melden?

Ja. Nutzen Sie den Missbrauchsweg beim Registrar mit dem gespeicherten Namen xn--, dem dekodierten Namen und einem Screenshot. Die Schritte sind dieselben wie bei jeder Phishing-Domain.

**Zusammenfassung**

- Ein IDN-Homograph-Angriff ersetzt lateinische Buchstaben durch Look-alikes aus anderen Schriften.
- Das DNS speichert den Namen als Punycode, beginnend mit xn--.
- Chrome entscheidet pro Label und ignoriert seit Version 51 die Sprache des Nutzers.
- Gemischte Labels aus Lateinisch und Kyrillisch zeigt Chrome als xn--.
- HTTPS beweist nicht, wem ein Look-alike gehört.
- Finden Sie sie mit dnstwist und Zertifikatslogs; melden Sie sie als Phishing-Domains.
- Wardmint registriert die ASCII-Varianten Ihres eigenen Namens in 29 Endungen.

## Quellen

1. [Chromium IDN display policy (docs/idn.md)](https://chromium.googlesource.com/chromium/src/+/main/docs/idn.md) — The Chromium Projects (abgelesen am 2026-11-12)
2. [dnstwist, domain name permutation engine](https://github.com/elceef/dnstwist) — GitHub (elceef/dnstwist) (abgelesen am 2026-11-12)

---

Wardmint: Wardmint registriert die defensiven Domains, die ein Krypto-Projekt braucht — den eigenen Namen unter den Endungen, die Phisher nutzen, sowie eigene Tippfehler- und Look-alike-Varianten — bezahlt in Krypto und ohne KYC: kein ID-Dokument, nur eine verifizierte E-Mail-Adresse pro Domain. Betrieben wird Wardmint von DomaineGoat LLC, einem in Panama eingetragenen Unternehmen; die Domains werden über dessen ICANN-akkreditierten Registrar-Partner registriert. Eine .com kostet 12,49 $/Jahr, jedes Jahr derselbe Preis.