Phishing-Link prüfen

So erkennen Sie verdächtige Links

Mit diesem Werkzeug können Sie einen Phishing-Link prüfen, bevor Sie ihn öffnen. Es zerlegt die Adresse und sucht offline nach Merkmalen, die bei Phishing-Mails und gefälschten Paketbenachrichtigungen immer wieder vorkommen. Eine Phishing-URL erkennen Sie vor allem am Hostnamen: Entscheidend ist der Teil direkt vor der Endung, also bei konto.paypal.example-login.top die Domain example-login.top und nicht das bekannte Wort am Anfang.

Geprüft werden unter anderem: IP-Adresse statt Domain, auch in verschleierter Dezimal- oder Hex-Schreibweise; Angaben vor einem @, die der Browser als Benutzername behandelt; internationalisierte Domains in Punycode (xn--), bei denen kyrillische oder griechische Buchstaben lateinischen zum Verwechseln ähneln; bekannte Markennamen in Subdomain oder Pfad, aber nicht in der eigentlichen Domain; Typosquatting, also Tippfehler-Domains wie paypa1 oder arnazon; Linkverkürzer, deren Ziel unbekannt ist; sehr lange Adressen, viele Bindestriche, ungewöhnliche Ports und Weiterleitungen in Parametern. Jeder Treffer erscheint als verständliche Zeile, ein verdächtiger Link sammelt meist mehrere davon.

Grenzen: Die Bewertung ist eine Heuristik, kein Link-Check gegen Sperrlisten. Neue Phishing-Seiten liegen oft auf unauffälligen, frisch registrierten Domains oder auf gehackten echten Websites. Die Erkennung der eigentlichen Domain nutzt eine verkürzte Liste von Endungen und kann bei seltenen Länderendungen danebenliegen. Verwechselbare Zeichen in längeren Texten findet der Homoglyphen-Prüfer, internationalisierte Domains wandelt Punycode umwandeln in beide Richtungen.