Phishing mit dem eigenen Domainnamen verhindern

Wie man jeden dieser drei Vektoren schließt

Für den ersten Vektor ist die Antwort direkt: DMARC in p=reject, vorausgegangen von der vollständigen Ausrichtung der legitimen Quellen. Der komplette Ablauf steht in p=reject erreichen, ohne seine E-Mails zu zerstören.

Für den zweiten decken die Tags sp und np jeweils die existierenden und die nicht existierenden Subdomains ab — insbesondere np ist ein sofortiger Gewinn, ohne jedes Risiko eines Fehlalarms.

Für den dritten ändert sich die Natur der Verteidigung: Da DMARC technisch nichts gegen eine andere Domain ausrichten kann, braucht es eine aktive Überwachung neuer Einträge, die dem eigenen Namen ähneln, gekoppelt mit einer präventiven Registrierung der offensichtlichsten Varianten. Mehrere spezialisierte Dienste überwachen laufend die neuen Domain-Registrierungen und alarmieren, sobald eine verdächtige Variante der Marke auftaucht — ein wertvolles Frühwarnsignal, oft erfasst noch vor der ersten von dieser Domain gestarteten Phishing-Kampagne, was Zeit zum Handeln lässt (Abmahnung, Meldung an den Registrar, präventive Warnung an die Kunden), bevor der Angriff sein Ziel erreicht.

Die Rolle der kontinuierlichen Überwachung

Ein wirksamer Schutz gegen Phishing im eigenen Namen ist kein einmaliges Projekt, sondern eine permanente Überwachung, aus zwei Gründen. Erstens testen Angreifer regelmäßig neue Varianten — eine heute blockierte Domain verhindert nicht die Registrierung einer neuen Variante morgen. Zweitens entwickelt sich die eigene Infrastruktur: eine neue, von einem Marketing-Team erstellte Subdomain, ein neuer, noch nicht per DKIM ausgerichteter Versanddienstleister, sind allesamt vorübergehende Öffnungen, die zum Zeitpunkt des letzten Sicherheitsaudits noch nicht existierten.

Diese Überwachung baut sich um drei regelmäßig zu lesende Ströme auf: die aggregierten DMARC-Berichte (um Versuche auf der exakten Domain und ihren Subdomains zu erkennen), einen Beobachtungsdienst für ähnliche Domains (für den dritten Vektor) und eine einfache Meldemöglichkeit für Kunden und Mitarbeiter, die eine verdächtige E-Mail entdecken (um zu erfassen, was die ersten beiden Ströme verpassen).

Was sich den Kunden kommunizieren lässt

Eine organisatorische Maßnahme ergänzt die technische Verteidigung: den Kunden klar zu erklären, wie das Unternehmen tatsächlich kommuniziert — welche Domains es für E-Mail nutzt, ob es sensible Informationen per E-Mail anfordert oder nicht, wie seine Politik zu Links in den Kommunikationen aussieht. Ein Kunde, der weiß, dass „wir niemals ein Passwort per E-Mail anfordern", erkennt sofort einen Phishing-Versuch, der diese Regel verletzt, unabhängig von der technischen Raffinesse des Angriffs — diese einfache Regel funktioniert sogar gegen eine technisch perfekt authentifizierte, aber im Inhalt bösartige E-Mail, ein Fall, den DMARC niemals abdecken kann.

Ein konkretes Beispiel einer Kampagne, aufgeschlüsselt

Um diese drei Vektoren greifbar zu machen, hier, wie sie sich oft in einer realen Kampagne gegen ein Online-Verkaufsunternehmen kombinieren. Der Angreifer beginnt damit, den einfachsten Vektor zu testen: eine E-Mail, die vorgibt, von commandes@boutique-beispiel.de zu kommen, eine Rückerstattung nach einem Lieferproblem verspricht, mit einem Link zu einer gefälschten Zahlungsseite, die dazu bestimmt ist, Kreditkartendaten zu sammeln. Wenn die Domain kein DMARC in Durchsetzung hat, geht diese Nachricht normal raus — keine technische Barriere hält sie auf, und die Kampagne kann in wenigen Stunden Tausende von Empfängern erreichen, bevor sie entdeckt wird.

Sobald dieser Vektor geschlossen ist (DMARC in p=reject), weicht der Angreifer, wenn er beharrlich ist, auf den zweiten Vektor aus: Er testet plausible Subdomains wie remboursement.boutique-beispiel.de oder service-client.boutique-beispiel.de, in der Hoffnung, dass sie der auf der Wurzeldomain angewandten Policy entgehen. Ohne np-Tag kann dieser Versuch funktionieren, genau so, als ob die Wurzeldomain nie geschützt gewesen wäre.

Wenn die ersten beiden Vektoren geschlossen sind, investiert der Angreifer in den dritten, teureren, aber immer noch wirksamen: Er registriert boutique-exemple-fr.com oder eine Variante mit einem ersetzten Buchstaben, konfiguriert seine eigenen DNS (keine Sicherheitspflicht gilt für eine Domain, die er vollständig kontrolliert) und startet dieselbe Kampagne von dieser neuen Basis aus neu. Es ist diese letzte Stufe, die nur eine aktive Beobachtung rechtzeitig erkennen kann, oft durch Beobachtung der Registrierung des Domainnamens selbst bei den öffentlichen Registern, noch vor dem ersten E-Mail-Versand.

Diese Progression verdeutlicht, warum die drei Verteidigungen von Anfang an zusammen gedacht werden müssen, statt eine nach der anderen nach jeder neuen Angriffswelle hinzugefügt zu werden — ein entschlossener Angreifer wird systematisch den am wenigsten geschützten Vektor testen und nicht einfach aufgeben, weil der erste geschlossen wurde.

Die Reputationskosten, über den direkten finanziellen Schaden hinaus

Es ist nützlich, auch nur ungefähr zu beziffern, was eine erfolgreiche Phishing-Kampagne im Namen eines Unternehmens kostet, über die direkten finanziellen Verluste der Opfer hinaus. Ein Unternehmen, dessen Name in einer medienwirksamen Kampagne verwendet wurde, steht einem messbaren Rückgang des Kundenvertrauens gegenüber, einem Bedarf an Krisenkommunikation und manchmal Fragen seiner eigenen Partner zur Solidität seiner Sicherheitspraktiken, ja sogar einer Infragestellung von Verträgen in Verhandlung. Für ein Unternehmen, dessen Geschäft auf Vertrauen beruht — Finanzdienstleistungen, E-Commerce, Gesundheit — übersteigt diese Reputationsauswirkung bei Weitem die Kosten der Einrichtung der hier beschriebenen Verteidigungen, die zumindest für die erste von ihnen vollständig kostenlos und schnell einzusetzen bleiben.

Ein zusätzlicher, oft übersehener Kostenpunkt ist der interne Zeitaufwand während einer laufenden Kampagne. Sobald ein Phishing im eigenen Namen entdeckt wird, muss jemand die Kampagne charakterisieren, entscheiden, ob eine öffentliche Warnung angebracht ist, den Support-Teams eine abgestimmte Antwort für die betroffenen Kunden liefern und gegebenenfalls mit dem Registrar oder dem Hoster der bösartigen Domain in Kontakt treten. Diese Notfallarbeit fällt gerade dann an, wenn die betroffenen Teams am wenigsten Kapazität dafür haben, und sie hat die unangenehme Eigenschaft, sich bei jeder neuen Welle zu wiederholen, solange die zugrunde liegenden Vektoren offen bleiben. Eine im Vorfeld aufgebaute Verteidigung — DMARC in Durchsetzung, np aktiviert, eine Beobachtung ähnlicher Domains — verwandelt diese wiederkehrende Krise in ein Nicht-Ereignis, das die meisten Angriffe abfängt, bevor sie überhaupt einen Kunden erreichen.

Es lohnt sich auch, den Zeithorizont im Blick zu behalten: Ein einmal beschädigtes Vertrauen baut sich nicht über Nacht wieder auf. Ein Kunde, der einmal auf eine gefälschte E-Mail im Namen der Marke hereingefallen ist, begegnet ihren echten Kommunikationen danach oft mit erhöhtem Misstrauen — was sich in geringeren Öffnungsraten, mehr Support-Anfragen zur Echtheit der Nachrichten und einer allgemeinen Reibung in der Beziehung niederschlägt. Diese schleichende Erosion ist schwer zu beziffern, aber real, und sie ist ein weiteres Argument dafür, den schädlichsten Vektor — die direkte Fälschung der exakten Domain — als absolute Priorität zu schließen.

Prüfen, wo eine Domain steht

Vor jeder Investition in eine Überwachung ähnlicher Domains oder in Kommunikationsverfahren bleibt die erste Frage dieselbe wie für jede Verteidigung gegen Fälschung: Ist die exakte Domain bereits durch DMARC in Durchsetzung geschützt? Das ist der schädlichste und am einfachsten zu schließende Vektor, also die absolute Priorität, bevor die beiden anderen angegangen werden — es ist zwecklos, in eine ausgeklügelte Beobachtung ähnlicher Domains zu investieren, wenn die Haupteingangstür weit offen bleibt.

Der Weg führt über den kostenlosen DMARC-Analysator, der die aktuelle Konfiguration einer Domain in wenigen Sekunden prüft — Policy, Ausrichtung, Subdomain-Abdeckung.

Zusammenfassung

Phishing, das den eigenen Domainnamen nutzt, ist das schädlichste für eine Marke, gerade weil es das im Laufe der Zeit aufgebaute Vertrauen missbraucht. Drei verschiedene Vektoren — direkte Fälschung, nicht abgedeckte Subdomains, tatsächlich registrierte ähnliche Domains — erfordern drei verschiedene Verteidigungen: DMARC in Durchsetzung, die Tags sp/np und eine aktive Überwachung, jede schließt eine Tür, die die beiden anderen offen lassen. Die drei zusammen zu behandeln, statt bei der ersten aufzuhören, ist das, was einen echten Schutz von einem partiellen Schutz unterscheidet, der einem geduldigen und methodischen Angreifer, der bereit ist, die nächste Tür zu probieren, noch offene Winkel lässt.