Typosquatting: Bedeutung, Methoden, Beispiele und Schutz

Was ist Typosquatting?

„Typo“ heißt Tippfehler, „Squatting“ heißt Besetzen. Typosquatter besetzen also Domains, die durch Tippfehler entstehen. Sie hoffen darauf, dass sich Menschen vertippen oder den Unterschied nicht bemerken.

Ein Beispiel: Wer eilig „musterbnak.de“ statt „musterbank.de“ eintippt, landet womöglich auf einer täuschend echten Kopie der Bankseite. Gibt er dort seine Zugangsdaten ein, gehören sie den Betrügern.

Typosquatting ist eine Form des Cybersquatting. Damit ist allgemein das Besetzen fremder Namen im Internet gemeint.

Das Prinzip ist alt, aber nach wie vor wirksam. Eine Domain kostet oft nur wenige Euro im Jahr. Schon wenige Opfer reichen, damit sich ein solcher Betrug lohnt. Deshalb registrieren Angreifer häufig gleich Dutzende Varianten einer bekannten Adresse auf einmal.

Methoden der Typosquatter

• Tippfehler: ein fehlender, doppelter oder vertauschter Buchstabe, etwa „beispiiel“ oder „biespiel“.
• Benachbarte Tasten: ein Buchstabe, der auf der Tastatur daneben liegt, etwa „beispiwl“, weil das „w“ neben dem „e“ liegt.
• Fehlender Punkt: „wwwbeispiel.de“ statt „www.beispiel.de“.
• Andere Endung: „.com“, „.co“ oder „.cm“ statt „.de“.
• Ähnliche Zeichen: „rn“ statt „m“ oder die Ziffer „0“ statt des Buchstabens „O“.
• Homographen: Buchstaben aus anderen Alphabeten, die gleich aussehen, etwa ein kyrillisches „а“.
• Combosquatting: ein Zusatz zum echten Namen, etwa „beispiel-login.de“ oder „beispiel-support.com“.
• Bitsquatting: Domains, die durch ein einzelnes umgekipptes Bit in der Hardware entstehen können. Selten, aber dokumentiert.

Wofür Angreifer Tippfehler-Domains nutzen

• Phishing: Eine gefälschte Anmeldeseite sammelt Passwörter und Kreditkartendaten. Siehe Phishing.
• Gefälschte E-Mails: Absender wie „buchhaltung@beispie1.de“ fallen im Postfach kaum auf. So beginnen viele Fälle von Spear-Phishing und CEO-Fraud.
• Fehlgeleitete E-Mails abfangen: Wer sich bei der Empfängeradresse vertippt, schickt vertrauliche Daten direkt an den Typosquatter.
• Schadsoftware: Die Seite bietet ein gefälschtes Update oder einen Download an.
• Werbung und Weiterleitungen: Harmloser, aber lästig: Die Domain zeigt Werbung oder leitet zur Konkurrenz weiter.
• Erpressung: Der Inhaber bietet die Domain dem echten Unternehmen zu einem hohen Preis an.

Typosquatting bei Software-Paketen

Typosquatting gibt es nicht nur bei Domains. In öffentlichen Paketverzeichnissen für Programmiersprachen veröffentlichen Angreifer Pakete mit Namen, die beliebten Paketen ähneln. Ein Entwickler vertippt sich bei der Installation und holt sich Schadcode ins Projekt.

Ein bekanntes Beispiel ist das Paket „crossenv“, das 2017 im npm-Verzeichnis auftauchte. Es ahmte das beliebte Paket „cross-env“ nach und stahl Umgebungsvariablen mit Zugangsdaten. Solche Angriffe sind eine Form des Supply-Chain-Angriffs.

Folgen für Unternehmen

• Gestohlene Zugangsdaten: von Kunden und Mitarbeitenden.
• Finanzieller Schaden: etwa durch gefälschte Rechnungen mit geänderter Bankverbindung.
• Datenabfluss: durch fehlgeleitete E-Mails an Tippfehler-Domains.
• Rufschaden: Kunden verbinden den Betrug mit Ihrer Marke.
• Aufwand: für Support, rechtliche Schritte und Löschung der Domains.

Typosquatting erkennen

• Adresse genau lesen: Buchstabe für Buchstabe, besonders bei Links in E-Mails.
• Neue Registrierungen beobachten: Dienste melden, wenn Domains registriert werden, die Ihrer Marke ähneln.
• Zertifikatsprotokolle prüfen: Öffentliche Zertifikatsprotokolle zeigen, wenn jemand ein TLS-Zertifikat für eine ähnliche Domain beantragt.
• E-Mails prüfen: Ein E-Mail-Gateway kann Absender-Domains erkennen, die echten zum Verwechseln ähneln.

Schutzmaßnahmen für Unternehmen

• Defensiv registrieren: Sichern Sie die wichtigsten Tippfehler-Varianten und Endungen Ihrer Hauptdomain selbst.
• Marke überwachen: Neue Domains und Zertifikate mit Ihrem Namen laufend beobachten.
• E-Mail absichern: SPF, DKIM und DMARC für die eigene Domain einrichten. Das verhindert nicht ähnliche Domains, aber den Missbrauch Ihrer echten Domain.
• Eingehende Mails filtern: Das Mail Security Gateway von SecTepe erkennt Domains, die echten zum Verwechseln ähneln, auch mit Zeichen aus fremden Alphabeten. Die Empfängerprüfung erkennt zudem Tippfehler in Domains ausgehender Mails und kann eine Mail zurückhalten, bis der Absender bestätigt.
• Mitarbeitende schulen: Links und Absender genau prüfen, im Zweifel nachfragen.
• Passwort-Manager nutzen: Sie füllen Zugangsdaten nur auf der echten Domain aus. Auf einer Tippfehler-Domain bleibt das Feld leer, ein guter Warnhinweis.
• Pakete prüfen: Abhängigkeiten in Software-Projekten genau benennen und auf Echtheit prüfen.

Rechtliche Schritte

Typosquatting kann Marken- und Namensrechte verletzen. Wer eine Domain für Betrug nutzt, macht sich strafbar. Wichtig ist, Beweise zu sichern, bevor Sie handeln: Bildschirmfotos der Seite, Registrierungsdaten der Domain und Beispiele betrügerischer E-Mails. Rechteinhaber haben dann mehrere Wege:

• Meldung beim Registrar oder Hoster: Viele sperren Domains, die eindeutig für Phishing genutzt werden, schnell.
• Schiedsverfahren: Für viele internationale Endungen wie .com gibt es das UDRP-Verfahren, zum Beispiel bei der WIPO.
• .de-Domains: Mit einem Dispute-Eintrag bei der DENIC wird verhindert, dass die Domain während eines Streits weitergegeben wird.
• Gerichtliche Schritte: etwa eine Unterlassungsklage auf Basis des Marken- oder Namensrechts.

Fazit

Typosquatting nutzt kleine Tippfehler und ähnlich aussehende Zeichen, um Nutzer auf falsche Seiten zu locken oder E-Mails abzufangen. Unternehmen schützen sich am besten mit defensiven Registrierungen, einer Überwachung ihrer Marke, einem E-Mail-Gateway, das verwechselbare Domains erkennt, und geschulten Mitarbeitenden.