Was ist Typosquatting?

Schon eine single falsch eingegebene URL kann dazu führen, dass Nutzer an die falsche Stelle gelangen. Beim Typosquatting wird dieser Moment ausgenutzt, indem Domains verwendet werden, die legitimen Websites zum Verwechseln ähnlich sehen.

Für Unternehmen geht das Risiko über zufällige Besuche hinaus. Eine durch Typosquatting erlangte Domain kann Phishing, den Diebstahl von Zugangsdaten, die Verbreitung von Malware, business email compromise sowie die Vortäuschung einer Markenidentität begünstigen. Dadurch stellt das „Typo-Squatting“ ein Problem in Bezug auf Domains, E-Mail-Adressen und die Sicherheit von Personen dar.

Was ist Typosquatting?

Typosquatting ist eine Cyberattacke, bei der Angreifer Domains registrieren, die legitimen Websites ähneln, jedoch geringfügige Abweichungen aufweisen, wie beispielsweise Tippfehler, vertauschte Buchstaben, fehlende Zeichen oder irreführende Top-Level-Domains.

Diese Domainnamen, die den Originalnamen zum Verwechseln ähnlich sehen, kommen so häufig vor, dass sie sogar große Online-Marken betreffen. Eine Studie ergab, dass 13.857 Typosquatting-Domains auf die 500 weltweit meistbesuchten Websites abzielten. Eine Typosquatting-Domain ist so gestaltet, dass sie auf den ersten Blick vertraut wirkt, sodass Nutzer möglicherweise die falsche Website aufrufen, ohne es zu bemerken.

Typosquatting wird auch als URL-Hijacking bezeichnet und steht im Zusammenhang mit Domain-Identitätsbetrug, Markenidentitätsbetrug und Cybersquatting. Das Hauptziel besteht darin, das Vertrauen in bekannte Namen, Domains und Marken auszunutzen, damit Angreifer den Datenverkehr umleiten, Zugangsdaten stehlen, sensible Informationen sammeln oder Phishing- und Betrugsversuche unterstützen können.

Typosquatting vs. Cybersquatting

Typosquatting und Cybersquatting sind miteinander verwandt, aber nicht genau dasselbe. Beim Typosquatting geht es um Domains, die der gesuchten Domain sehr ähnlich sind, jedoch kleine Fehler oder Zeichenänderungen aufweisen, die Nutzer dazu verleiten, eine URL falsch einzugeben, auf einen irreführenden Link zu klicken, einen QR-Code zu scannen oder einen Unterschied in einer Phishing-Nachricht zu übersehen.

Cybersquatting ist ein weiter gefasster Begriff, da es die Registrierung von Domainnamen umfasst, die mit einer Marke, einem Warenzeichen oder einem Firmennamen in Verbindung stehen, um durch Weiterverkauf, Missbrauch oder Verwechslungsgefahr Gewinn zu erzielen. In der Praxis wird Typosquatting häufig zur aktiven Täuschung genutzt, während Cybersquatting auch den Weiterverkauf von Domains, den Missbrauch von Markenzeichen oder die Verwechslung von Marken beinhalten kann.

Wie funktioniert Typosquatting?

Ein Typosquatting-Angriff verläuft in der Regel nach einem einfachen Schema. Die Domain kommt dem Nutzer bekannt vor, er vertraut ihr, und der Angreifer nutzt dieses Vertrauen aus, um Informationen zu stehlen oder den Datenverkehr umzuleiten.

Ermitteln Sie eine vertrauenswürdige Marke oder Domain

Angreifer beginnen häufig mit einer beliebten Website, einer Geschäftsplattform, einem Anbieterportal oder einer Anmeldeseite. Sie wählen Namen, die den Nutzern wahrscheinlich bekannt sind, wie beispielsweise Apps für den Arbeitsalltag, Tools zur Gehaltsabrechnung, Plattformen zum Dateiaustausch, Banken, E-Commerce-Portale oder Kundensupport-Seiten.

Eine ähnliche Domain registrieren

Der Angreifer erstellt eine gefälschte Domain, indem er häufige Rechtschreibfehler, fehlende Buchstaben, zusätzliche Zeichen, vertauschte Buchstaben oder irreführende Top-Level-Domains verwendet. Eine kleine Änderung kann bereits ausreichen, wenn Nutzer sich zügig bewegen oder den Link auf einem mobilen Gerät aufrufen.

Erstellen Sie eine irreführende Website oder richten Sie eine Weiterleitung ein

Die gefälschte Website kann eine Anmeldeseite, ein Zahlungsportal, einen Helpdesk, eine Seite zum Austausch von Dateien oder eine Seite zum Herunterladen von Software imitieren. In anderen Fällen kann die Domain Nutzer auf Werbeanzeigen, Betrugsseiten, schädliche Downloads oder andere von Angreifern kontrollierte Infrastruktur umleiten.

Nutzer auf die gefälschte Domain locken

Manche Nutzer gelangen auf Typosquatting-Domains, indem sie eine falsche URL eingeben. Andere gelangen über Phishing-E-Mails, Suchergebnisse, bezahlte Anzeigen, QR-Codes, Beiträge in sozialen Netzwerken oder über Links, die in Kollaborationswerkzeugen geteilt werden, auf die Seite. Aus diesem Grund ist Typosquatting oft am erfolgreichsten, wenn es mit Phishing-Kampagnen kombiniert wird.

Nutzen Sie den Besuch

Sobald Nutzer auf der Seite landen, können Angreifer Zugangsdaten stehlen, Zahlungsdaten erfassen, personenbezogene Daten sammeln, Schadsoftware installieren, den Datenverkehr umleiten oder sich als die vertrauenswürdige Marke ausgeben. Manche Typosquatting-Betrugsmaschen im Werbebereich generieren zudem jedes Mal Einnahmen, wenn jemand die Website besucht oder auf eine Anzeige klickt.

Welche gängigen Arten von Typosquatting-Domains gibt es?

Domains, die auf Tippfehlern basieren, beruhen häufig auf geringfügigen Änderungen in der Schreibweise oder bei den Zeichen. Der Unterschied mag für sich genommen offensichtlich sein, lässt sich jedoch in einer E-Mail, einem Suchergebnis oder einem mobilen Browser leicht übersehen.

• Rechtschreibfehler – Verwenden Sie einen häufig vorkommenden Rechtschreibfehler oder eine phonetische Abwandlung, wie beispielsweise „exampel.com“.
• Fehlende Buchstaben – Entfernen Sie ein Zeichen aus der gültigen Domain, beispielsweise „examle.com“.
• Zusätzliche Buchstaben – Fügen Sie ein zusätzliches Zeichen hinzu, beispielsweise „exampple.com“.
• Wiederholte Zeichen – Wiederholen Sie einen Vokal oder einen Konsonanten, wie beispielsweise bei „exammple.com“.
• Vertauschte Buchstaben – Ordnen Sie benachbarte Buchstaben neu an, wie beispielsweise bei „exmaple.com“.
• Tippfehler durch benachbarte Tasten – Ersetzen Sie ein Zeichen durch einen Buchstaben auf der Tastatur, der daneben liegt, wie beispielsweise „exanple.com“.
• Wörter im Plural – Fügen Sie ein „s“ hinzu oder entfernen Sie es, wie beispielsweise bei „examples.com“.
• Varianten mit Bindestrich – Fügen Sie einen Bindestrich ein, um einen offiziellen Eindruck zu erwecken, beispielsweise „example-login.com“.
• Ähnliche Top-Level-Domains – Tauschen Sie die Endung aus, beispielsweise „example.co“ anstelle von „example.com“.

Angreifer können zudem optisch ähnliche Zeichen oder internationalisierte Domainnamen verwenden, um eine Typosquatting-Domain schwerer erkennbar zu machen. Aus diesem Grund sollten sich die Nutzer nicht allein auf eine visuelle Überprüfung verlassen.

Was sind Beispiele für Typosquatting bei Angriffen auf Unternehmen?

Angriffe durch Typosquatting in Unternehmen zielen häufig auf Tools ab, die die Mitarbeiter bereits nutzen. Die gefälschte Website muss nicht jeden täuschen. Es reicht bereits aus, einen einzigen Benutzer mit den entsprechenden Zugriffsrechten zu täuschen.

Gefälschte Anmeldeseiten für Microsoft 365

Angreifer können bekannte Anmeldeseiten am Arbeitsplatz nachahmen, um Benutzernamen, Passwörter, MFA-Codes oder Sitzungsdaten zu stehlen. Sobald die Anmeldedaten erbeutet wurden, könnten Angreifer versuchen, auf E-Mails, Dokumente, Teams oder andere verbundene Anwendungen zuzugreifen.

HR-Portale

Ein gefälschtes HR-Portal kann dazu genutzt werden, Mitarbeiterdaten, Steuerangaben, Informationen zu Sozialleistungen oder Anmeldedaten zu erfassen. Diese Angriffe können während der offenen Anmeldephase, der Einarbeitungsphase oder bei der Aktualisierung der Gehaltsabrechnung auftreten.

Lohnabrechnungsportale

Durch Typosquatting betroffene Seiten zur Gehaltsabrechnung können Bankdaten, Informationen zur direkten Überweisung, Mitarbeiter-ID-Nummern oder Zugangsdaten für Konten erfassen. Dies kann zu Betrug im Bereich der Lohnabrechnung, Identitätsdiebstahl oder zur Übernahme von Konten führen.

Seiten zum Austausch von Dateien

Angreifer können Dienste zur gemeinsamen Nutzung von Dokumenten imitieren, um Mitarbeiter dazu zu verleiten, schädliche Dateien zu öffnen oder Zugangsdaten einzugeben. Eine gefälschte Seite mit „freigegebenen Dokumenten“ kann besonders wirkungsvoll sein, wenn sie von einem kompromittierten Konto aus versendet wird.

Spesenplattformen

Gefälschte Websites für Kostenerstattungen oder Spesenabrechnungen können Zahlungsdaten, interne Finanzdaten oder Anmeldedaten von Mitarbeitern erfassen. Diese Angriffe können zeitlich auf Dienstreisen, Beschaffungsvorgänge oder die Berichterstattung zum Monatsende abgestimmt sein.

VPN- oder SSO-Anmeldeseiten

Gefälschte VPN- oder Single-Sign-On-Seiten können Angreifern einen umfassenderen Zugriff auf Unternehmenssysteme ermöglichen. Gibt der Benutzer gültige Anmeldedaten ein, kann sich der Angreifer möglicherweise einen Zugang für unbefugte Zugriffe oder laterale Bewegungen verschaffen.

Welche geschäftlichen Risiken birgt das Typosquatting?

Typosquatting kann eher als Einstiegspunkt denn als eigenständige Bedrohung dienen. Eine gefälschte Website, eine Phishing-E-Mail, ein QR-Code oder eine Social-Engineering-Nachricht können zu schwerwiegenden Sicherheits- und Betrugsproblemen führen.

• Diebstahl von Anmeldedaten – Über gefälschte Anmeldeseiten können Benutzernamen, Passwörter, MFA-Codes, Tokens und Sitzungsdaten von Mitarbeitern, Kunden oder Lieferanten abgegriffen werden.
• Phishing – Eine ähnlich klingende Domain kann dazu führen, dass Phishing-E-Mails, QR-Codes, Anzeigen und Beiträge in sozialen Netzwerken für ahnungslose Nutzer glaubwürdiger wirken.
• Finanzieller Schaden – Angreifer können Domains mit Tippfehlern nutzen, um Zahlungsdaten zu erfassen, Rechnungen umzuleiten, Überweisungsbetrug zu begünstigen oder Nutzer dazu zu verleiten, Zahlungen an gefälschte Anbieter zu leisten.
• Rufschädigung – Eine durch Typosquatting betroffene Website kann bei Kunden Zweifel daran wecken, ob eine Marke vertrauenswürdig ist, insbesondere wenn Nutzer ihre Zugangsdaten oder sensible Informationen verlieren.
• Rechtliche Aspekte – Unternehmen müssen unter Umständen Zeit und Geld für Untersuchungen, Domainstreitigkeiten, Löschungsaufforderungen, Kundenmitteilungen und mögliche rechtliche Schritte aufwenden.
• Verbreitung von Malware– Gefälschte Websites können Nutzer dazu verleiten, schädliche Dateien, Browser-Updates, Rechnungen oder Software-Installationsprogramme herunterzuladen.
• Einstiegspunkte für Ransomware – Malware, die über eine Typosquatting-Website verbreitet wird, kann Angreifern einen ersten Zugang für Ransomware-Aktivitäten verschaffen.
• business email compromise support – Durch gefälschte Domains können vorgetäuschte Nachrichten von Lieferanten, Rechnungsbetrug, Zahlungsänderungsanfragen und die Vortäuschung der Identität von Führungskräften begünstigt werden.
• Kontoübernahme – Durch gestohlene Zugangsdaten können Angreifer Zugriff auf E-Mail-Konten, SaaS-Anwendungen, Kundenportale oder interne Systeme erlangen.
• Unbefugter Zugriff – Durch das Abfangen von Anmeldedaten, Tokens oder Sitzungsdaten können Angreifer Einblick in sensible Daten gewinnen oder tiefer in die Umgebung vordringen.

Typosquatting kann auch Auswirkungen auf Software-Lieferketten haben. In einigen Fällen erstellen Angreifer ein schädliches Paket mit einem Namen, der dem eines legitimen Pakets ähnelt, in der Hoffnung, dass Entwickler das falsche Paket installieren.

Wie können Unternehmen Typosquatting erkennen?

Die Erkennung beginnt mit einem umfassenden Überblick über Domains, URLs, E-Mails, das Nutzerverhalten und gemeldete Bedrohungen. Das Ziel besteht darin, verdächtige Aktivitäten zu erkennen, bevor Nutzer auf die gefälschte Website hereinfallen.

Domains und URLs überwachen

Unternehmen sollten neu registrierte Domains, ähnliche Domains, verdächtige Top-Level-Domains, Domains aus der Kombination von Markennamen und Schlüsselwörtern sowie optisch ähnliche Zeichen im Blick behalten. Die Teams sollten zudem verdächtigen Datenverkehr, gesperrte URLs, Klicks der Nutzer, Phishing-Meldungen sowie ungewöhnliche Anmeldeversuche im Zusammenhang mit gefälschten Websites überwachen.

Erkennen Sie riskante E-Mails und riskantes Nutzerverhalten

E-Mail-Sicherheitstools sollten Nachrichten identifizieren, die auf falsch geschriebene Domains, verdächtige Weiterleitungen, gefälschte Anmeldeseiten, Websites zum Ausspähen von Zugangsdaten und unerwartete Zahlungsportale verweisen. Signale zum Nutzerverhalten, wie beispielsweise wiederholte riskante Klicks, die Eingabe von Zugangsdaten, fehlgeschlagene Anmeldeversuche oder Meldungen über markenähnliche Domains, können Teams dabei helfen, gefährdete Nutzer zu identifizieren und strengere Kontrollmaßnahmen zu ergreifen.

Wie können Unternehmen Typosquatting-Angriffe verhindern?

Unternehmen können Angreifer zwar nicht daran hindern, jede betrügerische Domain zu registrieren, doch sie können das Risiko mindern. Präventionsmaßnahmen sollten die Überwachung von Domains, E-Mail-Sicherheit, DNS-Kontrollen, die Schulung der Benutzer sowie klare Reaktionsabläufe miteinander verbinden.

• Domain-Registrierungen überwachen – Verfolgen Sie neu registrierte Domains, ähnliche Domains, verdächtige Top-Level-Domains sowie Varianten aus Markennamen und Suchbegriffen, die dazu dienen könnten, das Unternehmen oder seine Partner nachzuahmen.
• Registrieren Sie defensive Domains – Sichern Sie sich häufige Falschschreibungen, alternative Top-Level-Domains und risikoreiche Varianten, bevor Angreifer diese nutzen können.
• Stärken Sie die E-Mail-Authentifizierung – Nutzen Sie DMARC, SPF und DKIM, um Domain-Spoofing einzudämmen und betrügerische E-Mails leichter zu erkennen.
• Verbessern Sie die DNS-Sicherheit – Nutzen Sie DNS-Filter und Sicherheitsmaßnahmen, um verdächtige Auflösungsmuster zu erkennen, bösartige Domains zu blockieren und umgeleiteten Datenverkehr zu reduzieren.
• Nutzen Sie URL-Filterung und Browser-Isolierung – Blockieren Sie bekannte bösartige Domains, verdächtige Weiterleitungen, neu entdeckte Lookalike-Domains sowie URLs, die mit Phishing oder dem Diebstahl von Anmeldedaten in Verbindung stehen.
• Erstellen Sie Workflows zur Entfernung von Inhalten – Richten Sie einen klaren Prozess ein, um betrügerische Domains oder gefälschte Websites schnell zu melden, zu überprüfen und zu entfernen.
• Verwenden Sie Lesezeichen für wichtige Websites – Ermutigen Sie Ihre Mitarbeiter, häufig genutzte Unternehmenswebsites, Lieferantenportale und Anmeldeseiten als Lesezeichen zu speichern, anstatt die URLs manuell einzugeben.
• Schulen Sie die Nutzer im Umgang mit gefälschten Domains – Weisen Sie die Mitarbeiter an, Links zu überprüfen, Anmeldeaufforderungen nicht überstürzt zu bearbeiten und verdächtige Domains zu melden, bevor sie ihre Zugangsdaten eingeben.

Diese Kontrollmechanismen entfalten ihre größte Wirkung, wenn sie zusammenwirken. Die Domainüberwachung kann dabei helfen, verdächtige Registrierungen zu erkennen, während E-Mail-Sicherheit, URL-Prüfung, DNS-Filterung und Sensibilisierungsmaßnahmen das Risiko verringern können, dass Mitarbeiter auf eine gefälschte Website gelangen oder dieser vertrauen.

Für Unternehmen, die einen stärkeren Schutz vor bösartigen URLs und gefälschten Domains benötigen, kann Mimecast URL Protection dabei helfen, Links zum Zeitpunkt des Klicks zu überprüfen und den Zugriff auf verdächtige Ziele zu blockieren.

Wie kann Mimecast zum Schutz vor Typosquatting beitragen?

Mimecast unterstützt Unternehmen dabei, sich gegen Typosquatting zu schützen, indem es das Risiko verringert, dass Nutzer auf bösartige Links, Phishing-Seiten, Websites zum Ausspähen von Zugangsdaten und verdächtige Weiterleitungen klicken.

URL-Schutz zum Zeitpunkt des Klicks

Mimecast URL Protection unterstützt die Überprüfung von Links in E-Mails und Anhängen, sobald Nutzer darauf klicken. Dies ist von Bedeutung, da Angreifer Links versenden könnten, die beim Erhalt zunächst sicher erscheinen, später jedoch auf eine bösartige Website, eine Phishing-Seite, eine Ransomware-Seite oder eine durch Typosquatting eroberte Domain weiterleiten.

Schutz für E-Mail- und Kollaborationsanwendungen

Typosquatting tritt nicht nur in herkömmlichen E-Mails auf. Angreifer können schädliche Links in freigegebenen Dateien, Teams-Unterhaltungen, SharePoint-Inhalten, OneDrive-Dokumenten und anderen Kanälen für die Zusammenarbeit platzieren; aus diesem Grund sollte der Schutz von Links und Inhalten über den Posteingang hinausgehen.

Transparenz in Bezug auf personelle Risiken und Coaching

Mimecast kann das Klickverhalten bei Links mit dem human risk management verknüpfen. Wenn bestimmte Nutzer wiederholt mit risikobehafteten URLs interagieren, können Sicherheitsteams Muster erkennen, Schulungen anbieten, Verhaltensanreize setzen und den Schutz gezielt dort ansetzen, wo das Risiko am höchsten ist.

Stärkung der Abwehrmaßnahmen gegen Typosquatting

Durch Typosquatting werden geringfügige Unterschiede bei Domainnamen zu Möglichkeiten für Phishing, Malware, Betrug und Markenmissbrauch. Ein fehlender Buchstabe, ein vertauschtes Zeichen oder eine irreführende Top-Level-Domain können bereits ausreichen, um Nutzer in die Irre zu führen, Zugangsdaten zu stehlen oder sich Zugang zu Unternehmenssystemen zu verschaffen.

Um Typosquatting zu verhindern, reicht es nicht aus, die Nutzer lediglich aufzufordern, sich die Links „genau anzusehen“. Unternehmen benötigen einen mehrschichtigen Schutz, der die Bereiche Domain-Überwachung, E-Mail-Sicherheit, DNS-Filterung, URL-Prüfung, Browser-Isolierung, Workflows zur Entfernung schädlicher Inhalte sowie das human risk management umfasst. Mimecast unterstützt Unternehmen dabei, ihren Schutz vor bösartigen URLs, Phishing, Identitätsbetrug und auf Menschen abzielenden Bedrohungen über E-Mail- und Kollaborationskanäle hinweg zu verstärken.