Gefälschte Links erkennen: So prüfen Sie URLs, bevor Sie klicken

Ein gefälschter Link ist eine URL, die optisch einer bekannten Adresse gleicht, technisch aber auf eine fremde Domain führt. Entscheidend für die Echtheit ist ausschliesslich die registrierbare Domain unmittelbar links der Top-Level-Domain — nicht die Subdomain, nicht der Pfad und nicht das Schloss-Symbol im Browser. 

Wer eine URL von rechts nach links liest und die Domain isoliert, erkennt die meisten Fälschungen in wenigen Sekunden. Angreifer nutzen dafür sechs wiederkehrende Techniken: TLD-, Subdomain-, Sound-, Combo- und Typosquatting sowie homographische Attacken mit optisch identischen Zeichen. HTTPS ist dabei kein Echtheitsnachweis, sondern belegt lediglich eine verschlüsselte Verbindung.

Warum gefälschte Links so wirksam sind

Ein gefälschter Link verlangt vom Opfer keine technische Unkenntnis, sondern lediglich einen Moment der Unaufmerksamkeit. Die Angriffe funktionieren, weil sie zwei menschliche Muster ausnutzen: Wir lesen URLs von links nach rechts und brechen ab, sobald wir einen vertrauten Markennamen erkennen. Und wir handeln unter Zeitdruck, wenn eine Nachricht eine gesperrte Karte, eine offene Rechnung oder ein ablaufendes Passwort ankündigt.

Der Schaden ist selten auf einen Datensatz begrenzt. Werden Zugangsdaten zu einem Hosting- oder Domainkonto abgegriffen, kann ein Angreifer DNS-Einträge ändern, Mailverkehr umleiten oder eine Website vollständig übernehmen. In Unternehmen ist der Klick eines einzelnen Mitarbeitenden regelmässig der Einstiegspunkt für Ransomware oder CEO-Fraud.

Die gute Nachricht: Anders als bei vielen anderen Angriffsformen existiert für gefälschte Links ein deterministisches Prüfverfahren. Wer den Aufbau einer URL versteht, kann die Echtheit einer Adresse zuverlässig beurteilen — ohne zusätzliche Software.

Wie eine URL aufgebaut ist

Jede Adresse in der Browserzeile lässt sich in klar abgegrenzte Bestandteile zerlegen. Als Beispiel dient hier eine fiktive Fälschung: