Typosquatting bezeichnet die Registrierung von Domains, die einer bekannten Domain bis auf kleine Abweichungen gleichen. Der Name legt nahe, es gehe um Vertipper in der Adresszeile. Das war einmal der Hauptfall, ist aber längst der kleinste. Heute geht es darum, dass eine Domain in einer Mail, in einer Anzeige oder in einem Suchergebnis plausibel aussieht.
Denn Menschen lesen Domains nicht Zeichen für Zeichen. Sie erkennen ein Wortbild wieder. Genau diese Lücke wird ausgenutzt.
Die Variantentypen im Überblick
Wer verstehen will, wie groß der eigene Namensraum tatsächlich ist, sollte die Kategorien kennen. Sie lassen sich systematisch erzeugen und decken sehr unterschiedliche Risikoniveaus ab.
Vertauschte Zeichen. Zwei benachbarte Buchstaben tauschen die Position: mustremann statt mustermann. Klassischer Tippfehler, entsteht beim schnellen Schreiben.
Fehlende oder doppelte Zeichen. Ein Buchstabe fällt weg oder steht doppelt: mustermann wird zu musteman oder mustermannn. In der Adresszeile passiert das häufig, im Wortbild fällt es kaum auf.
Tastatur-Nachbarn. Ein Zeichen wird durch das danebenliegende ersetzt: mustermsnn statt mustermann. Setzt eine bestimmte Tastaturbelegung voraus und ist deshalb regional unterschiedlich wahrscheinlich.
Verwechselbare Zeichen (Homoglyphen). Zeichenfolgen, die im Schriftbild praktisch identisch aussehen: rn statt m, vv statt w, die Ziffer 0 statt des Buchstabens o, ein großes I statt eines kleinen l. Das ist die gefährlichste Kategorie, weil sie auch bei aufmerksamem Hinsehen funktioniert.
Strukturelle Varianten. Bindestriche werden ergänzt oder weggelassen, Wortbestandteile getauscht: aus qualityfirst.de wird quality-first.de oder firstquality.de. Für den Leser ist das oft gar keine erkennbare Abweichung, sondern wirkt wie eine zweite offizielle Schreibweise.
Andere Endungen. Dieselbe Schreibweise unter einer anderen Endung: .com statt .de, dazu .shop, .store, .online, .eu. Hier ist die Domain sogar korrekt geschrieben, nur eben nicht Ihre.
Zusätze. Ein Wort wird angehängt oder vorangestellt: -shop, -sale, -login, -service, -ag, oder ein Ortsname. Diese Varianten wirken besonders glaubwürdig, weil viele Unternehmen tatsächlich solche Nebendomains betreiben.
Warum daraus schnell Hunderttausende Varianten werden
Jede Kategorie für sich erzeugt eine überschaubare Menge. Multipliziert man sie jedoch mit den relevanten Endungen und kombiniert sie mit Marken-, Produkt- und Ortsnamen, wächst die Menge schnell in eine Größenordnung, die von Hand nicht mehr zu überblicken ist. Für eine mittelgroße Marke sind mehrere Hunderttausend prüfbare Schreibweisen realistisch.
Das ist der eigentliche Grund, warum manuelle Kontrolle scheitert. Nicht weil niemand aufpasst, sondern weil ein Mensch die zehn bis zwanzig Varianten prüft, die ihm selbst einfallen. Ein Angreifer sucht aber gerade die, auf die man nicht kommt.
Registriert heißt nicht gefährlich
Ein häufiger Denkfehler in die andere Richtung: Nicht jede registrierte Variante ist ein Angriff. Viele Domains aus dem eigenen Namensraum gehören Domainhändlern, sind geparkt oder haben schlicht nichts mit der eigenen Marke zu tun, weil der Name auch anderswo vorkommt.
Aussagekräftig wird ein Fund erst durch das, was auf ihm passiert:
- Steht dort eine Website, und was zeigt sie?Ist Ihr Logo oder Ihr Website-Icon dort zu sehen?Gibt es ein Login- oder Zahlungsformular?Ist die Domain für Mailversand konfiguriert, obwohl es keine Website gibt?Führen Threat-Intelligence-Quellen sie bereits als auffällig?Wie alt ist die Registrierung, und wer ist der Registrar?
Erst aus der Kombination dieser Signale entsteht eine belastbare Einschätzung. Eine Liste registrierter Ähnlichkeiten ohne Bewertung ist wenig wert: Sie erzeugt Arbeit, aber keine Entscheidungsgrundlage.
Welche Varianten man selbst registrieren sollte
Alles zu registrieren ist weder bezahlbar noch sinnvoll. Die Auswahl lässt sich aber eingrenzen:
- Die zwei bis drei naheliegendsten Tippfehler Ihres Hauptnamens.Die Varianten mit verwechselbaren Zeichen, weil sie auch bei genauem Hinsehen funktionieren.Die Endungen, die in Ihrer Branche typischerweise für Betrugsseiten genutzt werden. Im Handel sind das andere als in der Industrie.Schreibweisen, die Sie ohnehin in Ihrer Kommunikation verwenden, etwa mit und ohne Bindestrich.
Für den Rest ist Beobachtung der wirtschaftlichere Weg: Sie kostet nichts pro Variante und schlägt an, wenn tatsächlich etwas passiert.
Was Beobachtung leisten muss
Damit sie nützt, muss sie drei Dinge tun. Sie muss den Namensraum vollständig abdecken, nicht nur die offensichtlichen Fälle. Sie muss jeden Fund bewerten, sonst entsteht nur eine lange Liste. Und sie muss regelmäßig laufen, weil eine Domain heute leer und in drei Wochen ein Shop sein kann.
Der Zeitpunkt, an dem eine Variante registriert wird, ist der Moment mit dem größten Handlungsspielraum und dem geringsten Schaden. Danach wird es mit jedem Tag aufwendiger.