Modul 3 · 3.2
Deutsch
Domains und Links lesen
Modul 3: Phishing erkennen · Lesezeit: 13 Minuten
Lernziel: Nach dieser Lektion können Sie von jedem Link das echte Ziel bestimmen: Sie finden die registrierbare Domain mit der öffentlichen Suffixliste und erkennen Subdomain-, Pfad- und @-Tricks, Lookalikes, Punycode, Kürzer und offene Weiterleitungen (Open Redirects).
Kernbegriffe: URL, Schema, Host, registrierbare Domain, öffentliches Suffix, Subdomain, Pfad, Lookalike, Typosquatting, Homograf, Punycode (xn--), URL-Kürzer, Open Redirect
Die Bestandteile eines Links
Eine Webadresse nennt man URL. Sie besteht aus festen Bestandteilen:
https://inlog.mijnbank.example:443/klant/overzicht?taal=nl#saldo| Bestandteil | In diesem Beispiel | Was es bewirkt |
|---|---|---|
| Schema | https | Wie der Browser die Verbindung herstellt |
| Host | inlog.mijnbank.example | Mit welchem Server Sie kommunizieren |
| Port (selten sichtbar) | 443 | Die "Türnummer" auf diesem Server |
| Pfad | /klant/overzicht | Welche Seite auf diesem Server |
| Query | ?taal=nl | Zusätzliche Daten für die Seite |
| Fragment | #saldo | Eine Stelle auf der Seite |
Der Host ist der einzige Teil, der bestimmt, wem die Seite gehört. Pfad, Query und Fragment bestimmt der Eigentümer dieses Hosts selbst. Dort kann also alles stehen, auch der Name einer anderen Organisation.
Den Host liest man von rechts nach links, Label für Label. Das Ende ist am wichtigsten.
Die registrierbare Domain und die öffentliche Suffixliste
Nicht der ganze Host verrät, wer der Eigentümer ist, sondern nur ein Teil davon: die registrierbare Domain. Das ist der Name, den jemand bei einem Registrar festgelegt hat. Alles links davon sind Subdomains, und die erstellt der Eigentümer selbst, so viele er möchte.
Um die registrierbare Domain zu finden, müssen Sie wissen, wo Sie selbst einen Namen registrieren können. Ein solcher Teil heisst ein öffentliches Suffix. Beispiele sind com, nl und example, aber auch co.uk: im Vereinigten Königreich registriert man als Unternehmen einen Namen unter co.uk. Die registrierbare Domain ist dann das öffentliche Suffix plus ein Label davor.
| Host | Öffentliches Suffix | Registrierbare Domain |
|---|---|---|
www.example.com | com | example.com |
inlog.mijnbank.example | example | mijnbank.example |
www.shop.[naam].co.uk | co.uk | [naam].co.uk |
mijnbank.co.uk.example | example | uk.example |
Die Faustregel "nehmen Sie die letzten zwei Teile" geht also schief. Bei www.shop.[naam].co.uk erhielten Sie co.uk, und das gehört niemandem Bestimmtem. Und das letzte Beispiel zeigt, dass co.uk mitten in einem Namen nichts bedeutet: dort ist uk.example der Eigentümer.
Welche Suffixe öffentlich sind, steht in der Public Suffix List (publicsuffix.org), einer Liste, die Mozilla begonnen hat und die jetzt von der Community gepflegt wird. Browser nutzen sie unter anderem, um zu bestimmen, welche Seiten Cookies teilen dürfen, und um den wichtigen Teil einer Adresse hervorzuheben. Die Liste enthält auch einen Teil mit "privaten" Suffixen: Dienste, bei denen Kunden eine eigene Subdomain erhalten, etwa bestimmte Hosting-Angebote für Blogs und Projektseiten. Jeder Kunde darunter zählt als ein eigener Eigentümer.
Steht ein Suffix nicht in der Liste, gilt die Standardregel: Das letzte Label ist das Suffix. Deshalb ist bei .example die registrierbare Domain immer die letzten zwei Labels.
Tricks mit Subdomain, Pfad und @
Jetzt, da Sie wissen, wo der Eigentümer steht, sehen Sie, wie Angreifer Ihre Augen täuschen. Sie setzen den Namen, den Sie erwarten, an eine andere Stelle im Link.
Subdomain-Trick.
https://mijnbank.example.inlog-check.example/loginSie sehen mijnbank.example vorne. Aber lesen Sie von rechts: Das Suffix ist example, die registrierbare Domain ist inlog-check.example, und die gehört dem Angreifer. Der Angreifer hat diese Domain gekauft und selbst die Subdomain mijnbank.example davor gesetzt.
Pfad-Trick.
https://inlog.example/mijnbank.example/klant/loginDer Host ist inlog.example und nicht mehr. Alles nach dem ersten einzelnen / ist der Pfad, und den bestimmt der Eigentümer von inlog.example selbst.
@-Trick.
https://mijnbank.example@aanvaller.example/inloggenEine URL darf vor dem Host einen Benutzerteil enthalten, abgeschlossen mit @ (der Standard für URLs, RFC 3986, nennt das userinfo). Alles vor dem @ ist also kein Host. Der Browser geht zu aanvaller.example und nirgendwo sonst hin. Manche Browser warnen oder entfernen den Benutzerteil, aber verlassen Sie sich nicht darauf.
Eine praktische feste Vorgehensweise: Suchen Sie den ersten / nach https://. Was davor steht, ist der Host (mit eventuell einem Benutzerteil und @). Steht dort ein @, beginnt der Host erst danach. Lesen Sie den Host von rechts nach links, bis Sie die registrierbare Domain haben.
Lookalikes, Typosquatting und Punycode
Ein Lookalike ist eine eigene Domain, die der einer anderen ähnelt:
| Lookalike | Trick |
|---|---|
rnijnbank.example | rn sieht in vielen Schriftarten wie m aus |
mijnbnak.example | zwei Buchstaben vertauscht (Typosquatting: Spekulation auf einen Tippfehler) |
mijnbank-veilig.example | ein Wort mit Bindestrich dazu: eine völlig andere Domain |
mijnbank-example.example | der Punkt durch einen Bindestrich ersetzt |
mijnbank.example.inlog-check.example | die echte Domain als Subdomain (siehe oben) |
Einen Schritt weiter geht der Homograf: eine Domain mit Buchstaben aus einer anderen Schrift, die gleich aussehen. Das kyrillische а sieht aus wie das lateinische a, ist für den Computer aber ein anderes Zeichen. Domainnamen mit solchen Zeichen heissen internationale Domainnamen. Das DNS kennt nur die Buchstaben a bis z, Ziffern und den Bindestrich, daher wird ein solcher Name in Punycode (RFC 3492) umgewandelt: eine Form, die mit xn-- beginnt.
mijnbаnk.example (mit einem kyrillischen а)
xn--mijnbnk-6fg.example (derselbe Name in Punycode)Sehen Sie xn-- in einer Adresse, enthält dieser Name Zeichen ausserhalb von a bis z. Das kann ganz normal sein (viele Sprachen haben Akzente oder eine eigene Schrift), aber bei einem Namen, der ansonsten niederländisch oder englisch wirkt, ist es ein starkes Signal. Browser haben Regeln, um verdächtige Kombinationen als Punycode anzuzeigen; Chrome zeigt zum Beispiel eine Bezeichnung mit gemischt lateinischer und kyrillischer Schrift als xn-- an. Aber diese Regeln erfassen nicht alles, und in einer E-Mail oder einem Chat sehen Sie oft einfach die normalen Buchstaben.
Kürzer und offene Weiterleitungen
URL-Kürzer machen aus einem langen Link einen kurzen, etwa https://kort.example/a8Xk2. Praktisch, aber Sie sehen das Ziel nicht. Die registrierbare Domain des Links gehört dem Kürzer, nicht der Organisation, die Sie erwarten. Eine Bank oder ein Lieferant, der Sie über einen verkürzten Link um eine Anmeldung bittet: tun Sie es nicht.
Ein Open Redirect ist eine Seite auf einer echten Website, die Besucher an jede im Link angegebene Adresse weiterleitet:
https://mijnbank.example/doorsturen?naar=https://aanvaller.example/inloggenDer Host ist tatsächlich mijnbank.example, aber nach einem Klick stehen Sie auf aanvaller.example, ohne es zu merken. Auch mit einem Kürzer oder einem Tracking-Link eines Newsletter-Dienstes landen Sie woanders als bei der ursprünglichen Domain. Die Lehre daraus: schauen Sie nach dem Klicken erneut auf die Adressleiste, bevor Sie etwas eingeben. Und das Schloss-Symbol? Das sagt nur, dass die Verbindung verschlüsselt ist. Auch gefälschte Seiten haben ein gültiges Zertifikat.
In der Praxis: so sieht es aus
Auf einem Computer fahren Sie mit der Maus über einen Link, ohne zu klicken; das echte Ziel erscheint unten links im Fenster oder in einer Sprechblase. In den meisten Mailprogrammen und Webmail-Diensten funktioniert das ebenfalls. Auf einem Telefon halten Sie den Link gedrückt: Sie erhalten ein Menü mit der Adresse darüber. Wählen Sie dann nicht "öffnen".
Achten Sie auf zwei Fallstricke:
- Der sichtbare Text ist nicht das Ziel. In einer E-Mail kann auf der Schaltfläche oder im Text
https://mijnbank.examplestehen, während der Link darunter zu einer ganz anderen Adresse führt. Nur das, was Sie bei der Maus oder beim langen Drücken sehen, zählt. - Lange Adressen werden abgeschnitten. Telefone zeigen oft nur den Anfang. Gerade das wichtige Ende fällt dann weg. Scrollen oder tippen Sie in der Adresse, um sie vollständig zu sehen.
Im Zweifelsfall tippen Sie selbst die Adresse ein, die Sie kennen, oder nutzen Sie Ihr Lesezeichen. Das Phishing-Radar der Verbraucherzentrale bietet zudem Hinweise, wie Sie einen Link vorab prüfen können.
Zusammenfassung
- Nur der Host bestimmt, wem eine Seite gehört. Pfad, Query und alles vor einem
@bestimmt der Angreifer selbst. - Die registrierbare Domain ist das öffentliche Suffix plus ein Label. Nutzen Sie die Public Suffix List, nicht "die letzten zwei Teile" (denken Sie an
co.uk). - Lesen Sie den Host von rechts nach links. Die echte Domain vorne als Subdomain ist ein klassischer Trick.
- Lookalikes: Buchstabenvertauschung, zusätzliche Wörter, Homografen.
xn--bedeutet Zeichen ausserhalb von a bis z. - Kürzer verbergen das Ziel, offene Weiterleitungen leiten Sie um. Schauen Sie nach einem Klick erneut auf die Adressleiste.
Quiz
Aufgabe
Aufgabe A3.2: Die registrierbare Domain finden. Sie erhalten acht Links. Tragen Sie bei jedem Link die registrierbare Domain ein und geben Sie an, ob der Link zur echten Organisation passt. Das Programm prüft Ihre Antwort anhand der Public Suffix List.
Aufgabe A3.2b: Knifflige Links. Acht Links mit @-Tricks, Punycode, Kürzern und Weiterleitungsseiten. Geben Sie pro Link an, bei welcher Domain Sie landen, oder wählen Sie "nicht erkennbar".
Weiterführende Informationen
Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.
- Ist diese E-Mail wirklich von WebOké? Phishing erkennen und den Aktionscode verwenden
- DNS-Kurs, über Domainnamen und wie man sie liest: https://www.weboke.ch/dns-cursus
- BSI, Spoofing: https://www.bsi.bund.de/
- Public Suffix List: https://publicsuffix.org/
- RFC 3986, der Aufbau einer URL (unter anderem userinfo): https://www.rfc-editor.org/rfc/rfc3986
- RFC 3492, Punycode: https://www.rfc-editor.org/rfc/rfc3492
- Chromium, wann der Browser einen internationalen Namen als Punycode anzeigt: https://chromium.googlesource.com/chromium/src/+/main/docs/idn.md