Lösung / Domain-Spoofing-Erkennung

Domain-Spoofing-Erkennung vor der ersten Phishing-E-Mail

Wir erzeugen Zehntausende Lookalikes Ihrer Domäne, finden die registrierten, überwachen sie rund um die Uhr und lassen diejenigen abschalten, die feindselig werden, mit den Nachweisen dafür.

Kostenlos testen So funktioniert es
  • Gefundene Lookalikes: 612, Live-Seiten: 438, Abgeschaltet: 14.
  • northwind-login.example: Combosquat, Live-Phishing, danach abgeschaltet, Risiko 97.
  • northwind-support.example: Combosquat, registriert, dann Live-Phishing, Risiko 58.
  • northwind.invalid: TLD-Wechsel, geparkt, Risiko 28.
  • northwind-shop.example: Combosquat, Live-Phishing, Risiko 88.
  • northwlnd.example: Homoglyphe, Live-Phishing, danach abgeschaltet, Risikowert 94.
  • northvvind.example: Homoglyphe, registriert, Risiko 41.
  • nortwind.example: Tippfehler, geparkt, Risiko 34.
  • northwind.test: TLD-Tausch, abgeschaltet, Risiko 12.
  • Jede Phishing-Seite wird mit Screenshot, Logo-Ähnlichkeit, Hosting und Takedown-Fortschritt angezeigt: Entwurf, Gesendet, Blockiert, Abgeschaltet.
45+Permutationsalgorithmen
30k–70kVarianten pro Domäne
14Monitore pro Lookalike-Domain
Livebei bestimmten Quellen, 30 Min. bei Bedrohungen

Die Erkennungs-Engine stammt von SpoofGuard, unserem Schwesterunternehmen für Threat Intelligence zu Domänen.

Warum es wichtig ist

Ein Buchstabe daneben, und niemand merkt es.

Eine Lookalike-Domain kostet ein paar Dollar und ein paar Minuten. Für Ihre Kunden, Mitarbeitenden und Lieferanten sieht sie aus wie Sie.

Das Risiko

  • PhishingLogin-Seiten, die Ihre Anmeldung kopieren und Passwörter einsammeln.
  • RechnungsbetrugE-Mails von einer Domäne mit einem falschen Buchstaben, die zur Änderung von Bankdaten auffordern.
  • Fake-Shops und gefälschter SupportSeiten, die in Ihrem Namen verkaufen, abbuchen oder „helfen“.
  • MalwareDownloads und Updates, die von einer Domäne angeboten werden, die Ihrer ähnlich sieht.

Der Nutzen

  • FrühwarnungSehen Sie Lookalikes, sobald sie registriert werden, lange vor der ersten Kampagne.
  • NachweiseScreenshots, Logo-Abgleich, DNS- und Mail-Einträge zeigen, was jede Domäne tut.
  • MaßnahmeSperren Sie sie im Mail-Gateway, warnen Sie Ihre Mitarbeitenden und lassen Sie sie entfernen.
  • VertrauenWeniger Kunden und Partner, die in Ihrem Namen getäuscht werden.
Im Dashboard

Von einer Domäne zum Takedown, Schritt für Schritt.

Eigene Domäne scannen
Dashboard-Tour

Schritt 1 von 8: Brand library. Einmal einrichten, jeder Scan nutzt es wieder

Fiktive Marke und fiktive Daten. Alle Domänen und IPs sind für Dokumentationszwecke reserviert.

Finden

Über 45 Wege, Ihre Domäne zu fälschen. Wir prüfen sie alle.

Wir erzeugen jede Variante, die ein Angreifer registrieren würde, und prüfen, welche davon existieren. Zusätzlich beobachten wir die Orte, an denen neue Lookalikes zuerst auftauchen.

  • TippfehlerFehlende, vertauschte, doppelte oder benachbarte Buchstaben.
  • HomoglyphenZeichen, die ähnlich aussehen, einschließlich Unicode und Punycode.
  • TLDsAndere Endungen, angehängte Endungen und Subdomains.
  • BitsquatsEin gekipptes Bit, verursacht durch fehlerhaften Speicher und Geräte.
  • KombinationenIhr Name plus Wörter, Pluralformen, Bindestriche und Dynamic DNS.
northwind.example
41.870Varianten für northwind.example erzeugt

Fehlende, vertauschte, doppelte oder benachbarte Buchstaben.

  • nortwind.exampleBuchstabe fehlt
  • northwnid.exampleBuchstaben vertauscht
  • northwinnd.exampleBuchstabe verdoppelt
  • nprthwind.exampleNachbartaste
Plus externe Quellen
Neue Domain-RegistrierungenCertificate-Transparency-LogsSuch- und Social-AnzeigenPhishing- und Malware-ListenWebverzeichnisse
northwind-login.example
  • Alter der DomäneVor 3 Tagen registriert
  • StrukturMarkenname plus „login“
  • MailserverMX-Eintrag gesetzt: kann E-Mails senden
  • ZertifikatZertifikat gestern ausgestellt
  • Weiterleitungen2 Weiterleitungen vor der Seite
  • Web-FormulareFragt nach E-Mail-Adresse und Passwort
  • Logo-TrefferIhr Logo wurde auf der Seite gefunden
  • Marken-Schlüsselwörter3 von 3 Schlüsselwörtern auf der Seite
  • VerschleierungVerstecktes Skript lädt ein Formular
  • BlocklistenNoch nicht gelistet
URL-Score8
Bedrohung: Takedown beantragen
Bewerten

Jede registrierte Lookalike-Domain, automatisch geprüft.

Jede Domäne erhält einen Screenshot, einen Logo- und Markenabgleich mit Ihrer Brand library, ihre DNS- und Mail-Records sowie einen URL-Score, der sich selbst erklärt.

Blocklisten und Malware-Datenbanken
20
Verlauf und Beliebtheit der Website
85
Website-Inhalte und -Verhalten
92

Jede Prüfung kommt mit einer verständlichen Begründung, sodass Sie sehen, warum ein Score hoch ist.

Beobachten

Heute geparkt, nächste Woche Phishing.

Die meisten Lookalikes beginnen harmlos. Wir beobachten jeden weiter und prüfen ihn häufiger, je näher er einem Angriff kommt: von einmal im Monat bei inaktiven Domänen bis alle 30 Minuten bei aktiven Bedrohungen. Bestimmte Quellen sind live: Neue Daten sind in unserer Datenbank, sobald sie eintreffen.

Das Leben einer Lookalike-Domain

Illustration mit einer fiktiven Lookalike-Domain: northwlnd.example imitiert northwind.example

Zustand 1 von 8: Nicht registriertAus northwind.example generiert. Noch gehört sie niemandem. Monatlich geprüft (Beispielplan; 7 Stufen, von monatlich bis alle 30 Minuten).

14 Monitore in 5 Gruppen

  • A-Record
  • MX-Record
  • NS-Record
  • Offene Ports
  • HTTP(S)-Status
  • Inhaltsänderung
  • Content-Spoofing
  • TLS & CT-Log
  • SPF/DMARC/DKIM
  • WHOIS-Änderungennot registered (fired now)
  • Phishing-Score
  • Risiko-Score
  • Missbrauch von Anzeigen
  • Visuelle Ähnlichkeit

Ereignisprotokoll relative Zeiten

  1. StartVariant generated: i → l
  2. WHOIS: not registered yet
Handeln

Von der Erkennung zum Takedown.

Ein Klick macht aus einem Lookalike einen Takedown-Antrag. Wir finden die Abuse-Kontakte, hängen die Nachweise und Ihre unterzeichnete Vollmacht an und verfolgen jeden Empfänger. Takedowns sind in Ihrem Tarif vollständig enthalten.

  • NachweiseIhre Website und der Lookalike nebeneinander, mit Screenshots, DNS und WHOIS.
  • EmpfängerHosting-Anbieter und Registrar werden automatisch ermittelt, dazu Blocklisten von Browsern und Anti-Phishing-Diensten.
  • BerechtigungMit einer unterschriebenen Vollmacht handelt die Anfrage in Ihrem Namen.
  • NachverfolgungStatus und Antworten jedes Empfängers an einem Ort, mit Updates per E-Mail.
northwind-login.example
  • Hosting-AnbieterAbuse-Kontakt gefunden
  • Domain-RegistrarAbuse-Kontakt gefunden
  • Browser-Blocklisteausgewählt
  • Anti-Phishing-Listeausgewählt
Unterzeichnete Vollmacht angehängt
  1. Entwurf
  2. Gesendet
  3. Blockiert
  4. Abgeschaltet

Blocklisten sind wichtig, wenn ein Anbieter langsam oder gar nicht reagiert.

Takedown-Aktivitätnorthwind-login.example
  1. jetztAutomatisiertAnfrage an Hosting-Anbieter und Registrar gesendet
  2. 2 Min. späterAutomatisiertBrowser- und Anti-Phishing-Blocklisten benachrichtigt
  3. 20 Min. späterAnalystNachweise geprüft und vollständig
  4. nächster TagBeobachtenKeine Antwort des Hosting-Anbieters
  5. nächster TagAnalystAn das Abuse-Team des Anbieters eskaliert
  6. 2 Tage späterAnbieterWebsite vom Hosting-Anbieter gesperrt
  7. 2 Tage späterAnalystOffline bestätigt, Monitoring läuft weiter

Für Sie in Echtzeit sichtbar. Fiktives Beispiel.

Analystengestützt

Jeder Takedown wird begleitet. Eskalation, wenn es darauf ankommt.

Die Automatisierung sendet die Anfragen. Unser Takedown-Team verfolgt jede einzelne von Hand nach, eskaliert, wenn ein Anbieter nicht reagiert, und hält Sie bei jedem Schritt auf dem Laufenden.

  • KontrolleEin Analyst begleitet jeden Takedown von der ersten Anfrage bis zur bestätigten Entfernung.
  • EskalationKeine Antwort oder keine Reaktion? Das Team eskaliert über weitere Kontakte und Kanäle, bis die Anfrage erledigt ist.
  • TransparenzSie sehen jeden Schritt im Dashboard: wer kontaktiert wurde, jede Antwort, jede Eskalation und den aktuellen Status.
  • QualitätEin eigenes Team, das dies täglich erledigt, mit hoher Sorgfalt.
Details

Alles im Modul, kurz gefasst.

Mit einer Domäne beginnen

Sehen Sie, wer sich als Sie ausgibt.

Starten Sie eine kostenlose Testphase und scannen Sie Ihre Domäne nach Lookalikes, oder buchen Sie eine Demo, um Monitoring und Takedowns für Ihre Marke zu sehen.

Kostenlos testen Demo buchen