Homoglyphen: Domains, die identisch aussehen und es nicht sind

Die meisten Ratschläge zum Erkennen gefälschter Websites laufen auf denselben Satz hinaus: Schauen Sie genau auf die Adresszeile. Bei einer ganzen Klasse von Angriffen ist dieser Rat wertlos, weil genaues Hinsehen den Unterschied nicht sichtbar macht. Es gibt keinen.

Zeichen, die aussehen wie andere Zeichen

Ein Homoglyph ist ein Zeichen, das einem anderen im Schriftbild gleicht. Innerhalb des lateinischen Alphabets gibt es davon mehr, als man vermutet:

rn sieht in vielen Schriftarten aus wie mvv sieht aus wie wdie Ziffer 0 sieht aus wie der Buchstabe odie Ziffer 1, der Großbuchstabe I und der Kleinbuchstabe l sind in serifenlosen Schriften kaum zu unterscheidencl kann als d gelesen werden

In einer Domain wie rnustermann.de erkennt das Auge zuverlässig mustermann.de, besonders wenn der Name vertraut ist und in kleiner Schrift im Mailprogramm steht.

Die schärfere Variante: internationalisierte Domainnamen

Seit Domains auch Zeichen außerhalb des klassischen ASCII-Satzes enthalten dürfen, ist der Vorrat an Verwechslungen deutlich größer geworden. Das kyrillische а, das griechische ο, bestimmte Zeichen aus anderen Schriftsystemen: Sie werden von der Schriftart identisch zum lateinischen Pendant gezeichnet.

Technisch werden solche Domains als Punycode gespeichert, erkennbar am Präfix xn--. Ein Browser, der die Domain in dieser Form anzeigt, macht den Betrug sichtbar. Ein Browser oder ein Mailprogramm, das sie in der lesbaren Form darstellt, macht ihn unsichtbar. Welche Darstellung gewählt wird, hängt von der Software und von Regeln ab, die sich über die Jahre mehrfach geändert haben. Auf dieses Verhalten kann sich niemand verlassen.

Warum Schulungen hier an eine Grenze stoßen

Sicherheitsschulungen sind sinnvoll und helfen gegen viele Angriffsarten. Gegen Homoglyphen helfen sie kaum, und der Grund ist nicht mangelnde Aufmerksamkeit.

Wer eine Mail liest, führt keine zeichenweise Prüfung der Absenderadresse durch. Das Gehirn erkennt ein bekanntes Wortbild und geht weiter. Diesen Vorgang kann man nicht abtrainieren, ohne die Lesegeschwindigkeit auf ein unbrauchbares Maß zu senken. Eine Anweisung wie „prüfen Sie jede Absenderadresse sorgfältig" beschreibt deshalb eine Verhaltensweise, die im Arbeitsalltag niemand über Wochen durchhält.

Die Konsequenz: Der Schutz muss vor dem Menschen ansetzen, nicht bei ihm.

Was stattdessen funktioniert

Die Varianten kennen, bevor sie genutzt werden. Die Menge der homoglyphen Schreibweisen einer Domain ist endlich und berechenbar. Sie lässt sich vollständig erzeugen und laufend auf Registrierung prüfen. Das ist der einzige Ansatz, der den Angriff vor der ersten Mail sichtbar macht.

Homoglyphen hoch bewerten. Ein vertippter Buchstabe kann Zufall sein. Eine Domain, die gezielt rn statt m verwendet, ist kein Zufall. Solche Funde verdienen eine eigene Risikoeinstufung, unabhängig davon, ob auf der Domain schon etwas läuft.

Die kritischsten Varianten selbst halten. Bei Homoglyphen ist die Zahl der wirklich überzeugenden Schreibweisen meist klein. Sie selbst zu registrieren ist die einzige Maßnahme, die das Problem dauerhaft beseitigt statt es zu beobachten.

Technische Kontrollen zwischenschalten. Warnhinweise für externe Absender im Mailprogramm, ein zweiter Bestätigungsweg bei Zahlungsänderungen, Browser-Warnlisten. Keine dieser Maßnahmen erkennt den Homoglyphen selbst, aber jede fängt einen Teil der Fälle ab, in denen er wirkt.

Der Unterschied zu gewöhnlichem Typosquatting

Bei einem normalen Tippfehler ist der Angreifer darauf angewiesen, dass sich jemand vertippt oder unaufmerksam ist. Bei einem Homoglyphen ist er das nicht: Er verschickt die Adresse aktiv, und sie besteht die Sichtprüfung.

Deshalb tauchen Homoglyphen selten in Fake-Shops auf, wo Reichweite über Anzeigen gekauft wird, sondern regelmäßig bei zielgerichteten Angriffen auf einzelne Unternehmen: bei Phishing gegen Mitarbeitende und bei CEO-Fraud gegen die Buchhaltung. Es sind die Fälle mit der höchsten Schadenssumme pro Vorfall.

Wer seinen Namensraum beobachtet, sollte diese Kategorie deshalb nicht als eine unter vielen behandeln, sondern als die, bei der ein Fund die schnellste Reaktion verdient.