stratdata
Anmelden Kostenlos starten

Wissen · Tool-Anleitungen

Homograph-Angriff: gefälschte Links mit fremden Buchstaben erkennen

Wie Betrüger Adressen bauen, die Zeichen für Zeichen echt aussehen — und wie Sie den Schwindel im Host sichtbar machen.

Ein Link in einer E-Mail sieht aus wie die Adresse Ihrer Bank. Buchstabe für Buchstabe stimmt alles. Sie klicken, landen auf einer Seite, die genauso aussieht wie gewohnt, und geben Ihre Zugangsdaten ein. Das Problem: Einer der Buchstaben stammt gar nicht aus dem lateinischen Alphabet, sondern aus einem anderen Schriftsystem, das genauso gezeichnet wird. Diese Masche heisst Homograph-Angriff — und das Tückische ist, dass das menschliche Auge sie praktisch nicht erkennen kann. Die URL-/Homograph-Analyse macht genau diesen Unterschied sichtbar.

Wie die Täuschung funktioniert

Domainnamen dürfen längst nicht mehr nur aus a–z bestehen. Damit auch Adressen mit Umlauten, griechischen oder kyrillischen Buchstaben funktionieren, gibt es internationalisierte Domainnamen (IDN). Im Hintergrund werden diese Unicode-Zeichen in eine reine ASCII-Form übersetzt — den Punycode, erkennbar am Präfix xn--. Für Sie sichtbar bleibt aber die hübsche Unicode-Schreibweise.

Und genau hier setzt der Angriff an. Viele Zeichen aus verschiedenen Alphabeten sehen identisch aus, sind technisch aber völlig verschiedene Zeichen — sogenannte Confusables:

Registriert jemand eine Domain, in der ein einziger lateinischer Buchstabe durch sein kyrillisches Zwillingszeichen ersetzt ist, entsteht eine Adresse, die optisch nicht von der echten zu unterscheiden ist — technisch aber eine ganz andere Domain, die dem Angreifer gehört.

Ein Beispiel, Schritt für Schritt

Angenommen, ein Zahlungsdienst betreibt die echte Domain zahlportal.ch. Ein Betrüger registriert eine Adresse, bei der das zweite Zeichen kein lateinisches a ist, sondern das kyrillische а. Fügt man diesen Link in die Analyse ein, passiert Folgendes:

$ url-analyse https://zаhlportal.ch Host: zаhlportal.ch Schrift: Latein + Kyrillisch — gemischt Zeichen 2: »а« U+0430 KYRILLISCH optisch identisch mit »a« U+0061 (Latein) Punycode: xn--zhlportal-0yh.ch Ergebnis: Hinweis auf Homograph-Täuschung

Das Werkzeug zerlegt den Host in einzelne Zeichen, erkennt, dass hier zwei Schriftsysteme gemischt sind, und rechnet die Adresse in ihren Punycode zurück. Aus dem harmlos wirkenden zаhlportal.ch wird xn--zhlportal-0yh.ch — und diese Form entlarvt die Fälschung eindeutig.

Was das Werkzeug prüft — und was der Browser (nicht) tut

Moderne Browser haben eine eigene Schutzmassnahme: Mischt eine Adresse Schriftsysteme oder nutzt sie ein Alphabet, das nicht zur Spracheinstellung passt, zeigen sie in der Adresszeile die xn---Form statt der schönen Unicode-Schreibweise. Verlassen sollten Sie sich darauf aber nicht, denn:

Die URL-/Homograph-Analyse läuft vollständig in Ihrem Browser, sendet den Link an keinen Server und prüft genau drei Dinge: aus welchen Schriftsystemen der Host besteht, an welcher Stelle verdächtige Confusables sitzen und wie die Adresse in Punycode lautet. Wer das nicht selbst tun möchte, kann die Prüfung auch vom KI-Agenten im Auftrag erledigen lassen.

Ein Treffer ist ein Hinweis, kein Beweis. Gemischte Schrift ist verdächtig, aber nicht jede IDN ist bösartig — müller.de etwa ist eine völlig legitime Adresse mit Umlaut. Das Werkzeug sagt Ihnen nur, dass eine Adresse anders aufgebaut ist, als sie aussieht. Ob dahinter wirklich Betrug steckt, verrät erst der Gesamteindruck: Absender, Kontext, Alter der Domain. Kombinieren Sie den Fund darum mit dem Betrugswarner und öffnen Sie im Zweifel nie den zugesandten Link, sondern tippen Sie die Ihnen bekannte Adresse selbst ein.

So gehen Sie vor

Mit dem KI-Agenten nutzen Alle Tools Mehr aus «Wissen»