So funktioniert die Erkennung gefälschter Domains: DNS, CT-Logs und Webcrawler

Die meisten Markenteams erfahren auf die denkbar schlechteste Weise von einer Lookalike-Domain: Ein Kunde schreibt, dass er auf einer Seite bestellt hat, die er für Ihre Website hielt, und seine Bestellung nie angekommen ist. Zu diesem Zeitpunkt ist die gefälschte Seite oft schon seit Wochen online, kassiert Zahlungen und untergräbt das Vertrauen in Ihren Namen.

Die Frage ist nicht, ob Lookalike-Domains auf Ihre Marke registriert werden. Das passiert. Die eigentliche Frage ist, wie schnell Sie sie finden.

Bei der Erkennung zählt jede Stunde. Auf einer Domain, die heute registriert wird, kann innerhalb weniger Stunden ein funktionierender Fake-Shop laufen. Darauf zu warten, dass Kunden ihn melden, ist keine Strategie. Wirksam ist, die Infrastruktur zu überwachen, die Betrüger nutzen müssen, sobald sie eine Domain registrieren, noch bevor die Seite überhaupt gebaut ist.

Dieser Artikel erklärt die vier technischen Signale, die eine frühe Erkennung gefälschter Domains möglich machen, und warum nur ihre Kombination das gesamte Spektrum an Bedrohungen zuverlässig erfasst.

Feeds neu registrierter Domains: Das früheste Warnsignal

Jede Domainregistrierung läuft über ein globales System akkreditierter Registrare, und diese Daten bleiben nicht privat. Zonendateien und Feeds neu registrierter Domains (NRD) veröffentlichen täglich eine Liste aller Domains, die gerade neu im Internet hinzugekommen sind. Für den Markenschutz ist das die größte Annäherung an eine Echtzeitwarnung.

Die Überwachung läuft so ab:

• NRD-Feeds werden kontinuierlich ausgewertet und decken Hunderttausende neue Registrierungen pro Tag ab
• Jede Domain wird mit den bekannten Kennzeichen einer Marke abgeglichen: Firmenname, Produktnamen, gängige Falschschreibungen und Varianten der Domain-Endung
• Domains oberhalb eines Ähnlichkeitsschwellenwerts werden zur Prüfung markiert
• Treffer mit hoher Sicherheit lösen eine sofortige Untersuchung aus; Grenzfälle gehen in die manuelle Validierung

Der entscheidende Vorteil ist das Timing. Eine Domain in einem NRD-Feed wurde in der Regel innerhalb der letzten 24 bis 48 Stunden registriert. Der Betrüger hat die Seite noch nicht gebaut, keine Anzeigen geschaltet und noch kein einziges Opfer erreicht. In diesem Zeitfenster ist die Durchsetzung am günstigsten und am schnellsten.

Die Schwäche von NRD-Feeds allein ist die Abdeckung. Nicht jeder Registrar veröffentlicht Zonendaten im gleichen Rhythmus, und manche länderspezifischen Top-Level-Domains (ccTLDs) haben eingeschränkte oder verzögerte Feeds. Hier werden die anderen Signale unverzichtbar.

Certificate-Transparency-Logs: Domains erkennen, sobald sie auf HTTPS umstellen

Jede Website, die seriös wirken will, braucht ein SSL/TLS-Zertifikat. Ohne Zertifikat zeigen moderne Browser eine Sicherheitswarnung an, die die Glaubwürdigkeit eines Fake-Shops sofort zunichtemacht. Um ein Zertifikat zu erhalten, muss der Betreiber es bei einer Zertifizierungsstelle (Certificate Authority, CA) beantragen, und jedes ausgestellte Zertifikat wird in öffentlich zugänglichen Certificate-Transparency-Logs (CT-Logs) protokolliert.

Warum CT-Logs für die Erkennung gefälschter Domains wichtig sind

Erwirbt ein Betrüger ein SSL-Zertifikat für eine Lookalike-Domain, wird das innerhalb von Minuten in einem CT-Log festgehalten. Der Eintrag enthält:

• Den exakten Domainnamen einschließlich aller Subdomains
• Die ausstellende Zertifizierungsstelle
• Datum und Uhrzeit der Ausstellung
• Die Gültigkeitsdauer des Zertifikats

Werden CT-Logs nahezu in Echtzeit überwacht, kann ein Markenschutzsystem eine gefälschte Domain genau in dem Moment erkennen, in dem der Betreiber versucht, sie vertrauenswürdig aussehen zu lassen. Das ist besonders wertvoll für Domains, die wegen Verzögerungen bei Registraren oder Lücken bei ccTLDs nicht in NRD-Feeds auftauchen.

CT-Logs decken auch Missbrauch auf Subdomain-Ebene auf. Ein Betrüger könnte eine neutrale Domain registrieren und eine Subdomain wie „ihremarke.fakesite.com“ anlegen. NRD-Feeds würden die Hauptdomain nicht als Markentreffer markieren, die Überwachung der CT-Logs erfasst die Subdomain jedoch, sobald ihr Zertifikat ausgestellt wird.

Für Marken, die in mehreren Märkten aktiv sind, gilt: Gefälschte Seiten, die sich an Kunden in Deutschland, Frankreich oder Großbritannien richten, nutzen oft lokale ccTLDs mit weniger transparenten Registrierungsdaten. CT-Logs schließen diese Lücke.

Passive DNS: Die Historie auslesen

Passive DNS ist die gesammelte Aufzeichnung darüber, wie Domainnamen im Laufe der Zeit aufgelöst wurden. Passive-DNS-Sensoren zeichnen DNS-Anfragen und -Antworten unbemerkt auf und bauen so einen historischen Datensatz auf. Er zeigt, auf welche IP-Adressen eine Domain verwiesen hat, wann sich das geändert hat und welche anderen Domains dieselbe Infrastruktur genutzt haben.

Was Passive DNS offenlegt

• Infrastruktur-Cluster: Mehrere gefälschte Domains verweisen oft auf dieselbe IP-Adresse oder denselben Hosting-Anbieter. Ist eine davon identifiziert, kann Passive DNS das gesamte Cluster desselben Akteurs sichtbar machen.
• Frühere Aktivität: Eine Domain, die aktuell inaktiv wirkt, kann frühere Aktivität bei bekannten Betrugs-Hostern zeigen. Das ist ein starkes Risikosignal, auch wenn die Seite gerade leer ist.
• Domainalter vs. Registrierungsdatum: Betrüger registrieren manchmal abgelaufene Domains neu, um seriöser zu wirken. Passive DNS deckt das auf, weil es die vollständige Auflösungshistorie zeigt und nicht nur das aktuelle Registrierungsdatum.
• Gemeinsame Hosting-Muster: Nutzen Lookalike-Domains dieselben Nameserver oder dieselbe Hosting-Infrastruktur, verbindet Passive DNS diese Punkte. So kann die Durchsetzung auf die dahinterliegende Operation zielen, statt einzelne Domains nacheinander anzugehen.

Wenn Sie den vollen Umfang der bereits aktiven Lookalike-Domains gegen Ihre Marke verstehen möchten, erklärt der Prozess für ein Domain-Portfolio-Audit genauer, wie diese historische Prüfung in der Praxis funktioniert.

Web-Crawling und visuelle Ähnlichkeit: Bestätigen, was die Domain tatsächlich tut

DNS-Signale und Zertifikatsdaten zeigen Ihnen, dass eine verdächtige Domain existiert. Web-Crawling und die Analyse visueller Ähnlichkeit zeigen Ihnen, was sie tatsächlich mit Ihrer Marke macht. Sobald eine Domain markiert ist, besuchen automatisierte Crawler die Live-Seite und erfassen ihre Inhalte: Seitenstruktur, Texte, Bilder, Logos, Produktangebote und Layout. Diese Inhalte werden anschließend mit der bekannten visuellen und textlichen Identität der Marke abgeglichen.

So funktioniert die Analyse visueller Ähnlichkeit

Moderne Crawler für den Markenschutz nutzen Bilderkennung, um Folgendes zu vergleichen:

• Platzierung und Gestaltung des Logos im Vergleich zu den offiziellen Assets der Marke
• Farbschemata und Muster im Seitenlayout
• Produktbilder, auch in Fällen, in denen der Betrüger Fotos direkt von der Website der Marke übernommen hat
• Gestaltung von Checkout- und Zahlungsseiten, die Fake-Shops häufig komplett kopieren

Hier wird die Absicht beweisbar. Eine Domain, die nur bei der Namensähnlichkeit hoch bewertet wird, könnte ein legitimer Wiederverkäufer oder ein Zufall sein. Eine Domain, die bei der Namensähnlichkeit hoch bewertet wird und zusätzlich die visuelle Identität, den Produktkatalog und den Checkout-Prozess der Marke nachbildet, ist mit sehr hoher Wahrscheinlichkeit betrügerisch.

Die Markenschutzplattform von Remove.tech kombiniert bot-gestützte Suche mit fortschrittlicher Bilderkennung, um solche Fälle automatisch zu identifizieren, rund um die Uhr. Eindeutige Treffer werden sofort eskaliert; Grenzfälle gehen vor jeder Durchsetzungsmaßnahme in die manuelle Prüfung. Dieses zweistufige Verfahren hält die Genauigkeit der Takedowns hoch und verhindert, dass versehentlich legitime Seiten ins Visier geraten.

Einen Überblick über die Bandbreite an Taktiken beim Domain-Missbrauch gibt der Leitfaden zu Typosquatting und Domain-Betrug, der die Methoden behandelt, auf die Marken am häufigsten stoßen.

Warum ein einzelnes Signal nicht ausreicht

Jedes Signal hat einen echten blinden Fleck. Betrüger passen sich an den Überwachungsansatz an, den Marken ihrer Meinung nach nutzen.

Das übersieht jedes Signal für sich allein:

• NRD-Feeds allein übersehen Domains, die Wochen vor ihrer Aktivierung registriert wurden, neu registrierte abgelaufene Domains und ccTLDs mit verzögertem Zugriff auf Zonendateien
• CT-Logs allein übersehen Domains, die nur HTTP nutzen oder so eingerichtet sind, dass sie weiterleiten, statt selbst Inhalte zu hosten
• Passive DNS allein ist rückblickend. Es zeigt, was eine Domain getan hat, nicht, was sie gerade tut
• Web-Crawling allein findet nur Domains, die bereits online sind. Eine geparkte Domain, die auf eine saisonale Kampagne wartet, taucht erst auf, wenn sie aktiviert wird

Erst die Kombination macht die Erkennung zuverlässig. NRD-Feeds erfassen neue Registrierungen innerhalb von Stunden. CT-Logs erfassen den Moment, in dem eine Seite auf HTTPS umstellt. Passive DNS macht historische Muster und Infrastruktur-Cluster sichtbar. Web-Crawling bestätigt Inhalt und Absicht. Jedes Signal schließt die Lücke, die die anderen lassen.

Die Markenschutzplattform von Remove.tech kombiniert Domain-Monitoring, Suchmaschinen-Scanning und Bilderkennung rund um die Uhr über Suchmaschinen, Domain-Registrare und das offene Web hinweg. Ergebnisse werden vor der Eskalation validiert, sodass Durchsetzungsmaßnahmen auf bestätigten Beweisen beruhen und nicht allein auf Musterübereinstimmungen.

So sieht gute Erkennung in der Praxis aus

Die Signale zu verstehen ist nützlich. Noch nützlicher ist es zu wissen, was ein gut funktionierendes Erkennungsprogramm tatsächlich liefert. Wenn alle vier Ebenen zusammenarbeiten, sollte ein Markenschutzteam Folgendes erwarten können:

• Benachrichtigungen am selben Tag zu neu registrierten Lookalike-Domains, bevor Inhalte online sind
• Nahezu sofortige Meldung, wenn eine verdächtige Domain ein SSL-Zertifikat erhält
• Infrastrukturberichte, die zusammenhängende gefälschte Domains nach gemeinsamem Hosting, Nameservern oder Registrantendaten gruppieren
• Bestätigte Fälle von Rechtsverletzungen, bei denen die visuelle und inhaltliche Analyse die Bedrohung bereits validiert hat, bevor sie beim Markenteam landet
• Fortlaufendes Monitoring nach dem Takedown, um zu erkennen, wenn derselbe Betreiber Ersatzdomains registriert

Die versteckten Kosten von Lookalike-Domains reichen weit über die offensichtlichen Betrugsfälle hinaus. Verlorener organischer Traffic, gefälschte bezahlte Anzeigen mit Ihrem Markennamen und schwindendes Kundenvertrauen verstärken sich gegenseitig, wenn gefälschte Domains unentdeckt bleiben.

Wenn Sie nicht sicher wissen, wie viele Lookalike-Domains derzeit gegen Ihre Marke aktiv sind, ist ein kostenloses Marken-Audit von Remove.tech ein praktischer erster Schritt.

Häufig gestellte Fragen

Was ist ein Feed neu registrierter Domains?

Ein Feed neu registrierter Domains (NRD-Feed) ist eine laufend aktualisierte Liste von Domains, die gerade neu im Internet hinzugekommen sind. Markenschutzsysteme überwachen diese Feeds, um Lookalike-Domains innerhalb weniger Stunden nach der Registrierung zu erkennen, bevor eine gefälschte Seite online ist.

Lässt sich eine gefälschte Domain erkennen, bevor sie Inhalte hat?

Ja. NRD-Feeds und die Überwachung von CT-Logs funktionieren unabhängig davon, ob eine Seite Inhalte hat. Eine Domain kann in dem Moment markiert werden, in dem sie registriert wird oder ein SSL-Zertifikat erhält, auch wenn der Betrüger die Seite noch nicht gebaut hat.

Was sind Certificate-Transparency-Logs?

Certificate-Transparency-Logs sind öffentlich zugängliche Verzeichnisse aller SSL/TLS-Zertifikate, die von akkreditierten Zertifizierungsstellen ausgestellt werden. Durch die Überwachung von CT-Logs können Markenschutzsysteme gefälschte Domains erkennen, sobald sie auf HTTPS umstellen, oft innerhalb von Minuten nach Ausstellung des Zertifikats.

Was ist Passive DNS und wie unterscheidet es sich von normalem DNS-Monitoring?

Normales DNS-Monitoring prüft, wie eine Domain aktuell aufgelöst wird. Passive DNS ist eine historische Aufzeichnung darüber, wie Domains im Laufe der Zeit aufgelöst wurden, auf welche IP-Adressen sie verwiesen haben und welche Infrastruktur sie mit anderen Domains geteilt haben. Im Markenschutz hilft das, Cluster zusammenhängender gefälschter Domains zu identifizieren und neu registrierte abgelaufene Domains zu erkennen.

Warum mehrere Erkennungssignale kombinieren, statt sich auf eines zu verlassen?

Jedes Signal hat einen bestimmten blinden Fleck. NRD-Feeds übersehen verzögerte Zonendateien und neu registrierte Domains. CT-Logs übersehen Seiten ohne SSL-Zertifikat. Passive DNS ist rückblickend. Web-Crawling findet nur aktive Seiten, die bereits online sind. Laufen alle vier gleichzeitig, rutscht keine Bedrohung durch die Lücke eines einzelnen Signals.

Wie erkennt Remove.tech gefälschte Domains und wie geht es dagegen vor?

Die Markenschutzplattform von Remove.tech überwacht Domain-Registrare, Suchmaschinen und das offene Web rund um die Uhr. Das System nutzt bot-gestützte Suche und fortschrittliche Bilderkennung, um mögliche Rechtsverletzungen zu identifizieren, validiert die Ergebnisse vor jeder Maßnahme und reicht Takedown-Meldungen automatisch ein, sobald ein Fall bestätigt ist. Grenzfälle werden vor der Durchsetzung geprüft, um die Genauigkeit zu sichern und Fehlalarme zu vermeiden.

‍