Homograph-Domains täuschen Nutzer weiterhin – Hygiene, die sie tatsächlich erkennt

Eine Domain, die exakt wie die URL einer vertrauten Marke aussieht, kann dennoch gefälscht sein. Internationalisierte Domainnamen erlauben Zeichen aus kyrillischen, griechischen und anderen Schriftsystemen, die identisch zu lateinischen Buchstaben dargestellt werden – tauscht man genug davon in einen Markennamen ein, registriert das Ergebnis und lässt es im Browser anzeigen, erscheint etwas, das wie die echte Adresse aussieht, während es vollständig woandershin zeigt. Das ist der IDN-Homograph-Angriff, und er bleibt eine der schwierigeren Phishing-Techniken, die Nutzer auf den ersten Blick erkennen sollen.

Warum „URL sorgfältig lesen“ nicht ausreicht

Der Rat, eine URL vor dem Login zu prüfen, setzt voraus, dass ein Nutzer den Unterschied zwischen Zeichen visuell erkennen kann, die gezielt so gewählt wurden, dass sie gleich aussehen. Das können sie oft nicht. Deshalb setzen die robusteren Abwehrmaßnahmen überhaupt nicht auf menschliche Wahrnehmung.

Abwehrmaßnahmen, die nicht darauf angewiesen sind, dass Nutzer den Tausch erkennen

• Passwortmanager füllen Zugangsdaten nur auf der exakten Domain-Zeichenkette automatisch aus, für die sie gespeichert wurden – nicht auf das, was eine Domain optisch nachahmt; allein das blockiert die meisten Fälle von Zugangsdatendiebstahl über eine Homograph-Seite.
• DNS-Filterung kann bekannte ähnlich aussehende Domains blockieren, bevor der Browser eines Nutzers sie überhaupt lädt.
• Certificate-Transparency-Überwachung meldet neue Zertifikate, die für markenähnliche Domains ausgestellt wurden – oft bevor eine Phishing-Seite live geht.
• Browser lassen sich so konfigurieren, dass verdächtige internationalisierte Domains in ihrer rohen Punycode-Form statt in der täuschenden Schrift dargestellt werden.
• Das Registrieren der offensichtlichsten Homoglyph-Varianten der eigenen Unternehmensdomain entzieht einem Angreifer einige der einfachsten Ziele.

Was Helpdesks Nutzern tatsächlich sagen sollten

Sensible Anmeldeseiten nach einem ersten verifizierten Besuch als Lesezeichen speichern, statt die Adresse jedes Mal einzutippen oder einen Link anzuklicken. Jede täuschend ähnliche Nachahmung der eigenen Marke an die Stelle eskalieren, die für Abuse- oder Markenschutz-Meldungen zuständig ist. Und niemals einen Nutzer auffordern, eine Anmeldeseite zu „testen“, die ihm jemand anderes geschickt hat – allein diese Anweisung hebelt die meisten der genannten technischen Abwehrmaßnahmen aus.

Kein Browser blockiert heute zuverlässig jede Homograph-Domain für sich allein, daher lautet die praktische Konsequenz: Defense in Depth – technische Kontrollen, die nicht auf Wahrnehmung angewiesen sind, plus genug Nutzerbewusstsein, um das zu eskalieren, was dennoch durchkommt.

Quellen: Wikipedia, zvelo.