Es gibt eine öffentlich zugängliche Datenquelle, in der praktisch jede neu aufgesetzte Website auftaucht, kurz bevor sie erreichbar ist. Sie ist kostenlos, technisch unspektakulär und im Markenschutz erstaunlich wenig genutzt: die Certificate-Transparency-Logs.
Was dort protokolliert wird
Wenn eine Zertifizierungsstelle ein SSL-Zertifikat ausstellt, trägt sie es in öffentliche, manipulationsgeschützte Protokolle ein. Das war ursprünglich als Kontrollmechanismus gedacht: Damit lässt sich nachvollziehen, ob eine Zertifizierungsstelle unberechtigt Zertifikate für fremde Domains ausgestellt hat. Browser verlangen diesen Eintrag inzwischen, sonst gilt das Zertifikat als ungültig.
Der Nebeneffekt ist für den Markenschutz interessant: In diesen Protokollen steht der Domainname, für den das Zertifikat ausgestellt wurde, samt Zeitstempel. Jeder kann sie durchsuchen.
Warum das ein Frühwarnsignal ist
Der zeitliche Ablauf beim Aufbau einer Betrugsseite ist meist derselbe: Domain registrieren, DNS einrichten, Server aufsetzen, Zertifikat holen, Inhalte hochladen, Reichweite kaufen.
Das Zertifikat kommt also vor den Inhalten. Wer die Protokolle beobachtet, sieht eine Domain typischerweise, während sie noch leer ist oder eine Platzhalterseite zeigt. Das ist der Moment mit dem größten Handlungsspielraum: Es gibt noch keine geschädigten Kunden, keine negativen Bewertungen und keine eingespielte Infrastruktur.
Ein zweiter Vorteil: Kostenlose Zertifikate sind heute Standard, auch bei Betrugsseiten. Gerade weil sie nichts kosten und automatisiert ausgestellt werden, ist die Abdeckung hoch. Praktisch jede Seite, die im Browser ohne Warnung laden soll, taucht in den Protokollen auf.
Was die Protokolle zusätzlich sichtbar machen
Der eigentliche Mehrwert liegt in einem Bereich, den reine Variantengenerierung nicht abdeckt.
Ein System, das Schreibweisen aus Ihrem Firmennamen ableitet, findet zuverlässig Tippfehler, Homoglyphen und Zusätze. Es findet nicht die Domain, die überhaupt keinen sprachlichen Bezug zu Ihrem Namen hat, auf der aber trotzdem Ihr Logo und Ihre Produkttexte stehen. Genau solche Fälle kommen vor: reine Fantasienamen, kombiniert mit einem kopierten Auftritt.
In den Protokollen wird ein Teil davon sichtbar, weil Zertifikate häufig für mehrere Namen gleichzeitig ausgestellt werden. Steht Ihre Marke als Teil eines Namens oder einer Subdomain in einem solchen Eintrag, ist das ein Hinweis, den kein Variantengenerator liefern würde.
Die Grenzen
Die Quelle ist wertvoll, aber sie ist kein vollständiger Ersatz für andere Prüfungen.
Nicht jede Betrugsseite hat ein Zertifikat. Wer nur Mails verschickt und gar keine Website betreibt, taucht dort nicht auf. Für den CEO-Fraud-Fall braucht es die Beobachtung der Mail-Infrastruktur.
Das Signal ist mehrdeutig. Ein Zertifikat sagt nur, dass eine Domain existiert und für den Browser vorbereitet wurde. Ob dahinter ein Angriff, ein Domainhändler oder ein völlig unbeteiligtes Unternehmen mit ähnlichem Namen steht, sagt es nicht.
Die Menge ist erheblich. Für einen verbreiteten Namensbestandteil liefert eine einfache Suche schnell große Trefferzahlen, von denen der weitaus größte Teil belanglos ist. Ohne anschließende Bewertung entsteht daraus keine Handlungsgrundlage, sondern Rauschen.
Wie sich die Quelle sinnvoll einbinden lässt
Regelmäßig statt anlassbezogen. Der Wert liegt in der Frühwarnung. Wer erst nachsieht, wenn ohnehin schon etwas aufgefallen ist, verschenkt den Vorsprung.
Auf den Kern der Marke suchen. Sinnvoll ist die Suche nach dem prägenden Bestandteil des eigenen Namens, nicht nach jeder denkbaren Kombination. Eine gezielte Abfrage pro Marke liefert bessere Ergebnisse als viele unspezifische.
Treffer anschließend bewerten. Ein Eintrag im Protokoll ist der Ausgangspunkt, nicht das Ergebnis. Erst die weitere Prüfung, ob die Domain erreichbar ist, was sie zeigt, ob Ihr Logo dort auftaucht und ob sie für Mailversand konfiguriert ist, macht daraus einen Fund mit Aussagekraft.
Als Ergänzung verstehen. Die Protokolle decken einen Bereich ab, den die Variantengenerierung nicht erreicht, und umgekehrt. Erst zusammen mit der Prüfung der Namensvarianten, der Mail-Infrastruktur, des Seiteninhalts und der Bildübereinstimmung entsteht ein Bild, auf das man sich verlassen kann.
Warum die Quelle so wenig genutzt wird
Der Zugang ist offen, die Nutzung aber unbequem: Die Trefferlisten sind lang, das Format ist technisch, und ohne anschließende Bewertung ist der Ertrag gering. Das ist der Grund, warum die Protokolle in vielen Unternehmen entweder gar nicht oder einmalig im Rahmen eines Projekts angesehen werden.
Ihr Wert entsteht erst durch Regelmäßigkeit. Ein Blick pro Quartal findet nichts Nützliches. Ein täglicher Abgleich, dessen Treffer automatisch weiterbewertet werden, findet Seiten, bevor sie jemand besucht.