Andere Domain hinter dem Link: Warnsignal oder harmlos?

Fahren Sie in Ihrem Posteingang oft genug mit der Maus über Links, fällt es schnell auf: Die Adresse hinter einem Link stimmt selten genau mit seinem Text überein. Die E-Mail Ihrer Bank nennt www.harbourline.example, der Link führt zu login.harbourline.example. Ein Newsletter nennt einen Onlineshop und verlinkt auf einen E-Mail-Versanddienst. Eine Paketbenachrichtigung nennt einen Zusteller und verlinkt auf etwas ganz anderes. Manche dieser Unterschiede sind Alltag, einer davon ist genau die Masche, mit der Phishing arbeitet. Es kommt darauf an, den richtigen Teil des Hostnamens anzusehen.

Den Hostnamen von rechts lesen

Suchen Sie zuerst den Teil zwischen https:// und dem ersten /, ? oder # (oder dem Ende der Adresse, wenn keines davon folgt). Dieser Teil kann mehr enthalten als den Hostnamen: Alles vor einem @ ist nicht der Host, und eine Portnummer am Ende, etwa :8443, auch nicht. In https://[email protected]/ ist der Host account-review.example.

Einen Hostnamen liest man von rechts nach links. In mail.harbourline.example ist .example die Top-Level-Domain und harbourline.example die registrierbare Domain: der Name, den eine Person oder ein Unternehmen registriert hat und kontrolliert. Alles links davon (mail., www., login.) ist eine Subdomain, die der Inhaber selbst anlegt oder von jemand anderem betreiben lässt. mail.harbourline.example und www.harbourline.example teilen sich also eine registrierbare Domain, was meist, aber nicht immer, bedeutet, dass dieselbe Partei über beide verfügt (zu den Ausnahmen unten mehr). Manche Länder verwenden zweiteilige Endungen: In www.phpfreelance.co.uk lautet die Endung .co.uk, die registrierbare Domain ist also phpfreelance.co.uk.

Genau auf der linken Seite verkleiden sich Angreifer gern. In harbourline.example.account-review.example ist der vertraute Name nur ein Etikett auf der Domain eines anderen: Die registrierbare Domain, ganz rechts, ist account-review.example. Eine Kampagne gegen Booking.com aus dem Jahr 2025 nutzte dieselbe Idee mit einem japanischen Schriftzeichen, das wie ein Schrägstrich aussieht. So versteckte sich die Domain der Angreifer, www-account-booking[.]com, hinter Text, der wie ein Pfad auf booking.com wirkte. Ich habe das Beispiel im Artikel über Reveal URLs auseinandergenommen.

Wann eine andere Domain ein Warnsignal ist

Ein Unterschied wird zum Warnsignal, wenn der Link zu einer anderen registrierbaren Domain führt als der, die sein Text nennt, und das Ziel wie eine Nachahmung aussieht. Die üblichen Formen:

• Ähnliche Schreibweise. harb0urline.example mit einer Null statt des „o“, ein doppelter oder vertauschter Buchstabe oder die Marke mit einem beruhigenden Zusatz: harbourline-secure.example, harbourline-support.example. Eine andere Schreibweise beweist keinen anderen Inhaber, aber nichts am Namen zeigt, dass der Inhaber von harbourline.example ihn registriert hat; nehmen Sie ihn deshalb zum Anlass, genauer hinzusehen.
• Die Marke als Dekoration. harbourline.example.account-review.example: Die Marke taucht auf, aber nur als Subdomain-Etikett auf der registrierbaren Domain eines Fremden.
• Buchstaben aus einem anderen Alphabet. Internationalisierte Domainnamen dürfen Buchstaben aus anderen Schriften enthalten, und manche davon sehen genauso aus wie lateinische. Am 3. Oktober 2026 zeigte Have I Been Squatted eine apple.com-Nachahmung, deren fünf Buchstaben alle kyrillisch waren und die Chrome 154 weiterhin in Unicode anzeigte, mit gültigem Zertifikat. Auch Webmail verhielt sich unterschiedlich: In ihrem Test mit 20 internationalisierten Absenderdomains hieß es „Gmail decoded everything, and Outlook Web decoded nothing“: Gmail Web zeigte die Absenderdomains in Unicode, Outlook Web in ihrer xn---Form. Dieser Test betraf die Anzeige der Absenderadresse, nicht Links oder die Phishing-Filter der beiden Dienste. In der .com-Zone zählten die Forscher 733.509 internationalisierte Domains und 161.894 Lookalike-Paare, mit dem Hinweis, dass ein ähnlicher Name nicht zwingend bösartig ist. Ihre eigenen 20 Testdomains dienten der Forschung, nicht einer laufenden Kampagne.
• Eine sichtbare Adresse, die woanders hinführt. Der Text selbst lautet https://www.harbourline.example/account, der Link führt aber zu einer Domain, die damit nichts zu tun hat. Newsletter tun das manchmal fürs Tracking (siehe unten). Ein E-Mail-Versand- oder Tracking-Dienst, den Sie kennen, erklärt, warum der Hostname abweicht, macht den Link aber nicht sicher, wie die Fälle SendGrid und Trezor weiter unten zeigen. Kennen Sie das Ziel nicht, behandeln Sie es als Abweichung.

Wann sie meist harmlos ist

Viele Unterschiede haben eine ganz gewöhnliche Erklärung. Wer sie kennt, hält nicht jeden Newsletter für einen Angriff und weiß zugleich, wo trotzdem Vorsicht angebracht ist.

• Subdomains derselben registrierbaren Domain. Text harbourline.example, Ziel mail.harbourline.example oder login.harbourline.example: dieselbe registrierbare Domain, und das ist meist harmlos. Es beweist nur nicht, dass dieselbe Partei die Seite betreibt: Ein Inhaber kann eine Subdomain auf einen Dienst eines anderen Unternehmens zeigen lassen, und bleibt dieser DNS-Eintrag bestehen, nachdem der Dienst abgeschaltet wurde (ein „dangling“ DNS-Eintrag), kann jemand anderes die Subdomain übernehmen. Microsoft beschreibt diese Subdomain-Übernahme (subdomain takeover) und weist darauf hin, dass sie in Phishing-Kampagnen genutzt wird.
• Klick-Tracking in Newslettern. E-Mail-Versanddienste leiten jeden Klick häufig zuerst über eine eigene Tracking-Adresse, die Sie dann zur eigentlichen Seite weiterleitet. Ein Link mit dem Text www.harbourline.example kann daher auf etwas wie click.mailer.example/… zeigen. Bei Newslettern ist das normal, und wie ich im Artikel über E-Mail-Link-Phishing beschrieben habe, wirken Tracking-URLs verdächtig, selbst wenn sie harmlos sind. Es bedeutet aber auch, dass das unmittelbare Ziel des Links nicht der Ort ist, an dem Sie landen, und dass auch eine vertrauenswürdige E-Mail-Versandplattform Phishing zustellen kann: Im Januar 2026 nutzten Angreifer Berichten zufolge kompromittierte SendGrid-Kundenkonten, um es zu verschicken.
• Weiterleitungs- und Umschreibdienste. Suchmaschinen, Klick-Tracking für Werbung und manche E-Mail-Sicherheitsdienste für Unternehmen (die Links so umschreiben, dass jeder Klick zuerst ihren Scanner passiert) setzen alle ihren eigenen Hostnamen vor den echten.
• Kurz-URLs. Ein Link wie short.example/a1B2 ist an sich kein Phishing, verbirgt das Ziel aber vollständig, sodass es nichts gibt, womit sich der Linktext vergleichen ließe. Gehen Sie vorsichtig damit um: Geht es in einer Nachricht um Geld, Passwörter oder Ihr Konto, klicken Sie nicht, sondern rufen Sie die Website selbst auf.

Wenn jede Station vertrauenswürdig aussieht

Am schwierigsten sind Links, an denen überhaupt nichts auffällt. Drei Beispiele aus 2026:

• Eine Kette von Google-Adressen. Am 4. September 2026 beschrieb das KnowBe4 Threat Lab eine Kampagne, die Phishing-Links über Google-Dienste leitete, etwa meet.google.com/linkredirect, google.com/url?q= und das Klick-Tracking von DoubleClick. Das E-Mail-Gateway sah so „trusted Google domains at every hop“, bevor der Link die eigene Infrastruktur der Angreifer erreichte.
• Eine echte Anmeldeseite, die Sie weiterschickt. Am 2. März 2026 beschrieb Microsoft den Missbrauch von OAuth-Weiterleitungen: Links, die auf login.microsoftonline.com oder accounts.google.com beginnen und absichtlich so gebaut sind, dass die Anmeldung fehlschlägt, woraufhin der Anmeldedienst den Browser an eine vom Angreifer registrierte Adresse weiterleitet.
• Ein echter Absender. Am 9. September 2026 verschickte ein Angreifer, der sich Zugang zu Brevo verschafft hatte, der Newsletter-Plattform von Trezor, eine Phishing-E-Mail aus Trezors eigenem Konto. Der Link forderte dazu auf, eine App herunterzuladen, die nach dem Wallet-Backup fragte (Beitrag von Trezor vom 10. September 2026, aktualisiert am 17. September).

Die Lehre daraus: Ein vertrauenswürdiger erster Hostname oder ein echter Absender sagt nichts über das endgültige Ziel. Steckt in einer vertrauenswürdigen Adresse eine zweite Adresse, etwa nach url=, q=, dest= oder redirect_uri=, kann diese ein Hinweis darauf sein, wohin Sie später geschickt werden. Wo die Kette endet, zeigt sie nicht: Der Name des Parameters beweist nichts darüber, was der Dienst damit macht, und die eingebettete Adresse kann einfach die nächste Zwischenstation sein, wie in der Kette, die KnowBe4 beschrieben hat. Bei allem, was Sie zum Anmelden oder Bezahlen auffordert, ist der sicherste Link der, den Sie selbst eintippen, oder die offizielle App. Ein Wallet-Backup ist etwas anderes: Geben Sie es nie ein, nur weil eine Nachricht Sie dazu auffordert. Trezor erklärt, nie nach Ihrem Wallet-Backup zu fragen; folgen Sie den Wiederherstellungsanleitungen des Herstellers Ihrer eigenen Wallet.

Wie Reveal URLs entscheidet, was es markiert

Reveal URLs ist mein eigenes kostenloses Open-Source-Werkzeug; lesen Sie diesen Abschnitt also als meine Beschreibung meiner eigenen Arbeit. Die Regel ist bewusst eng und vorhersehbar:

1. Für die Weblinks, die es annotiert, zeigt es die tatsächliche unmittelbare URL: in Chrome, Edge, Firefox, Safari und Thunderbird direkt über dem Link, in Gmail als Karte in der Seitenleiste und in Outlook in einem Aufgabenbereich.
2. Enthält der sichtbare Linktext selbst eine URL oder einen Host, vergleicht es diese Adresse auf Ebene der registrierbaren Domain mit der tatsächlichen unmittelbaren URL.
3. Gehören beide zu verschiedenen Sites, hebt es das Ziel hervor, standardmäßig rot (eine Einstellung, die Sie ändern können). Eine gewöhnliche Subdomain wie mail.example.com zu example.com bleibt unbehelligt; eine Nachahmung wird markiert.
4. Enthält der Text gar keine Adresse, etwa bei einer Schaltfläche „Jetzt bezahlen“, wird das Ziel trotzdem angezeigt, nur nicht rot: Im Text steht kein Host, mit dem es sich vergleichen ließe.

Das sind die Regeln für den Hostnamenvergleich bei gewöhnlichen Weblinks. Website-Einstellungen und ausgeschlossene Hosts können die Annotation abschalten, und die Browser- und Thunderbird-Versionen wenden für manche Links, die keine Weblinks sind, eigene Regeln an: Ein javascript:- oder data:-Link wird immer markiert.

Die Tabelle unten verwendet die reservierten Beispieldomains example.com, example.net und example.org, weil Reveal URLs eine Adresse im Linktext nur erkennt, wenn sie auf eine echte öffentliche Endung (Public Suffix) endet. Die erfundenen harbourline.example-Namen an anderen Stellen dieses Artikels veranschaulichen die Überlegung, nicht die Ausgabe des Produkts.

Zwei Dinge tut es bewusst nicht. Es folgt keinen Weiterleitungen: Es zeigt, wohin der Link selbst führt, nicht, wohin ein Tracker, ein Kurz-URL-Dienst oder ein Anmeldedienst Sie danach schickt. Und es beurteilt nicht, ob eine Website sicher ist. Ein Link ohne Abweichung ist nicht automatisch sicher. Fehlendes Rot bedeutet nur, dass keine Abweichung hervorgehoben wurde: Text und Ziel haben vielleicht dieselbe registrierbare Domain, aber es kann auch sein, dass Reveal URLs die Adresse im Text nicht erkannt hat oder dass eine Einstellung die Hervorhebung für diese Website abgeschaltet hat. Selbst übereinstimmende Domains zeigen nicht, dass eine Seite sicher ist. Ist der Text eine Schaltfläche oder bloße Wörter ohne Adresse, gibt es nichts zu vergleichen: Sehen Sie sich dann das Ziel an, das Reveal URLs anzeigt.

Hosting-Plattformen können verschiedenen Personen Subdomains einer gemeinsamen Plattformdomain geben, etwa alice.github.io und bob.github.io. Reveal URLs vergleicht auf der Ebene der registrierbaren Domain nach der ICANN-Liste und markiert deshalb die eine nicht gegenüber der anderen, obwohl verschiedene Personen sie kontrollieren können. Eine gemeinsame Plattformdomain bedeutet nicht, dass dieselbe Person beide Seiten kontrolliert.

Lange URLs werden direkt am Link gekürzt, standardmäßig auf 100 Zeichen; in den Einstellungen können Sie mehr anzeigen lassen. Sehen Sie Auslassungspunkte, schauen Sie sich die vollständige Adresse an, bevor Sie entscheiden: Die Browser- und Thunderbird-Versionen zeigen sie auch an, wenn Sie mit der Maus über die angezeigte URL fahren. Der Vergleich verwendet immer die vollständige URL, folgt ihr aber nicht.

Deshalb können manche der harmlosen Fälle von oben trotzdem rot werden: Ein Newsletter-Link, der www.example.com nennt, aber auf den Tracker eines E-Mail-Versanddienstes wie click.example.org zeigt, führt tatsächlich zuerst zu einer anderen Site. Der rote Rahmen sagt nicht „Phishing“, sondern „Text und Ziel passen nicht zusammen, schauen Sie genauer hin“. Umgekehrt werden die schwierigen Fälle aus dem vorigen Abschnitt womöglich gar nicht rot, weil die unmittelbare URL wirklich von Google oder Microsoft stammt. Gerade wenn Sie diese vollständige URL lesen, können Sie die zweite Adresse bemerken, die darin steckt.

Das Alter der Domain: ein zusätzliches Signal

Die Regel, die Reveal URLs anwendet, vergleicht den sichtbaren Text eines Links mit der Domain seines eigenen Ziels. Das Alter einer Domain ist ein eigenes Signal, das Sie selbst gewichten.

Eine Bank, ein Paketdienst oder ein großer Onlineshop besitzt seine Domain in der Regel seit Jahren. Führt ein Link, der sich als ein solcher alteingesessener Name ausgibt, zu einer Domain, die letzte Woche registriert wurde, ist das verdächtig, auch wenn der Name plausibel aussieht und auch wenn Text und Ziel übereinstimmen. In einer Analyse von 2019 stellte Unit 42 von Palo Alto Networks fest, dass mehr als 70 % der neu registrierten Domains (nach ihrer Definition innerhalb der letzten 32 Tage registriert oder den Inhaber gewechselt) „malicious“, „suspicious“ oder „not safe for work“ waren und dass solche Domains häufig von Phishing-Kampagnen genutzt werden. Derselbe Bericht nennt aber auch ganz gewöhnliche Gründe für eine neue Domain: die Einführung eines Produkts, eine neue Marke oder Kampagne, eine Konferenz oder eine private Website.

Das Alter ist also ein Signal, kein Urteil, und zwar in beide Richtungen. Eine neue Domain kann völlig legitim sein, und eine alte kann kompromittiert sein: Die Google-Kampagne oben schickte ihre Opfer unter anderem auf kompromittierte .de-Subdomains. Das Alter liefert Kontext zu dem, was Sie ohnehin sehen; allein entscheidet es nichts.

Zum Nachsehen zeigt ein Abfragedienst für Registrierungsdaten wie ICANN Lookup die aktuellen Registrierungsdaten eines Domainnamens, meist einschließlich des Datums, an dem er angelegt wurde. Und falls Sie QR-Codes scannen: Meine eigene App QR Quishing Detector, demnächst bei Google Play und im App Store, bietet eine optionale Abfrage des Registrierungsalters einer Domain. Sie ist standardmäßig ausgeschaltet, und das angezeigte Alter ist eine Information für Sie: Es ändert die Risikobewertung der App nicht.

Das Ziel sehen, bevor Sie klicken

Reveal URLs ist kostenlos und Open Source (AGPL-3.0-only). Es ist ab sofort für Chrome, Edge, Firefox, Safari und Thunderbird verfügbar, als Gmail-Add-on und als Outlook-Add-in für Outlook im Web und auf dem Desktop. Die Browser-Erweiterungen und das Thunderbird-Add-on erledigen ihre gesamte Arbeit auf Ihrem eigenen Gerät; das Gmail-Add-on läuft auf den Servern von Google, weil Gmail-Add-ons nun einmal dort laufen.

Eine andere Domain hinter einem Link ist eine Frage, keine Antwort. Lesen Sie den Hostnamen von rechts, suchen Sie die registrierbare Domain und fragen Sie sich, ob diese Domain zu dem gehört, den der Text nennt. Mehr darüber, wie Reveal URLs funktioniert, lesen Sie in Reveal URLs: Phishing-Links erkennen, bevor Sie klicken; warum Mail-Apps immer die URL anzeigen sollten, in E-Mail-Link-Phishing: Warum Ihre Mail-App immer die URL anzeigen sollte; und warum ein echt wirkender Absender nicht genügt, in Anti-Phishing-Code: ein nützliches Signal, das Ihre Links nicht prüft.