Security

Ist dieser Link sicher? Die Adresse richtig lesen

· 3 Min. Lesezeit

Ein Link in einer Nachricht, und die Frage ist immer dieselbe: draufklicken oder nicht. Die Antwort steckt fast immer in der Adresse selbst — man muss nur wissen, welchen Teil davon man liest.

Und das ist der Punkt, an dem die meisten falsch abbiegen: Sie suchen den vertrauten Namen. Der steht auch da. Er steht nur an einer Stelle, an der er nichts bedeutet.

Die eine Regel#

In einer Adresse wie

https://www.paypal.de.konto-pruefung.ru/login

ist der echte Gastgeber nicht paypal.de. Er ist der Teil unmittelbar vor dem ersten einzelnen Schrägstrich — und dort zählen nur die letzten zwei Bestandteile: konto-pruefung.ru. Alles davor sind Unterbereiche, die der Betreiber dieser Domain frei benennen darf. Er kann sie www.paypal.de nennen, www.sparkasse.de oder sicherheit.bundesbank.

Also: von rechts nach links lesen, beim ersten Schrägstrich anfangen. Die letzten zwei Teile vor diesem Schrägstrich sind die Wahrheit, der Rest ist Dekoration.

Drei Muster, die damit sofort auffallen:

  • amazon.de.bestellung-2026.net — die echte Domain ist bestellung-2026.net
  • paypal-sicherheit.de — ein Bindestrich, und es ist eine völlig andere Domain als paypal.de
  • https://service@boese-seite.de/ — alles vor dem @ wird vom Browser verworfen; er geht zu boese-seite.de

Buchstaben, die keine sind#

Schwieriger sind Adressen, die richtig aussehen, weil sie Zeichen aus anderen Alphabeten verwenden. Ein kyrillisches „а" ist von einem lateinischen „a" nicht zu unterscheiden, führt aber zu einer anderen Domain.

Dagegen hilft kein Hinsehen, sondern nur eine Gewohnheit: Wichtige Adressen nicht anklicken, sondern selbst eintippen oder aus den Lesezeichen aufrufen. Bei Bank, Zahlungsdienst und Behörde ist der Link in einer Nachricht immer der Umweg — auch wenn er echt ist.

Moderne Browser zeigen solche Domains inzwischen in einer entschärften Schreibweise an, die mit xn-- beginnt. Wer das in der Adresszeile sieht, hat einen guten Grund, misstrauisch zu sein.

Verkürzte Adressen#

Ein Kurzlink verbirgt das Ziel vollständig — das ist sein Zweck und zugleich das Problem. Man kann ihn auflösen lassen, ohne ihn zu besuchen: Viele Kürzungsdienste zeigen das Ziel, wenn man ein + an die Adresse hängt; unabhängige Dienste tun dasselbe für beliebige Kurzlinks.

Bei QR-Codes gilt dasselbe, nur unsichtbarer. Der Code ist nichts als eine Adresse in gedruckter Form, und niemand liest sie vor dem Öffnen. Kameras zeigen das Ziel vor dem Aufruf an — dieser eine Blick ist der ganze Schutz. Besondere Vorsicht bei aufgeklebten Codes auf Parkautomaten, Ladesäulen und Speisekarten: Ein Aufkleber über dem Original ist der billigste Angriff, den es gibt.

Was ein Klick anrichtet — und was nicht#

Der bloße Aufruf einer Seite in einem aktuellen, gepatchten Browser ist in aller Regel folgenlos. Gefährlich wird es an drei Stellen danach:

  1. Eingeben. Die nachgebaute Anmeldemaske ist der eigentliche Angriff. Der Link führt nur hin.
  2. Herunterladen und öffnen. Besonders alles, was sich als Update, Rechnung oder Sendungsverfolgung ausgibt.
  3. Bestätigen. Eine Aufforderung, einen Code aus einer SMS einzugeben oder eine Anmeldung in einer App zu bestätigen, ist der letzte Schritt einer Übernahme, nicht der erste.

Wer bereits geklickt hat und nichts eingegeben hat, hat mit hoher Wahrscheinlichkeit nichts verloren. Wer etwas eingegeben hat, ändert das Passwort — und zwar zuerst dort, wo dieselbe Kombination sonst noch verwendet wird.

Der Verweis stammt aus einer Mail#

Dann lohnt ein Blick, der nichts mit dem Link zu tun hat: Stimmt die Absenderadresse mit der Domain überein, um die es angeblich geht? Nicht der angezeigte Name — der ist frei wählbar — sondern die Adresse dahinter.

Und die unbequemste, aber verlässlichste Prüfung: Wer eine Nachricht erwartet hat, klickt. Wer keine erwartet hat, ruft die Seite selbst auf und sieht dort nach. Echte Anliegen stehen auch im Konto.

Dann sind andere Fragen die richtigen — Verbindung, Umgang mit Daten, Unversehrtheit. Was jeweils zu prüfen ist, steht unter Ist diese Website sicher?; wer wissen will, wer dahintersteckt, findet die Wege unter Wem gehört eine Website?