Missbrauch von Google-Weiterleitungen begünstigt Phishing und den Versand von Spam

5. August 2026

Überblick über die Bedrohung

Der Missbrauch von Google-Weiterleitungen ist eine weit verbreitete Technik, bei der Angreifer legitime URL-Weiterleitungsdienste von Google ausnutzen, um bösartige Links zu verschleiern, E-Mail-Sicherheitsmaßnahmen zu umgehen und die vermeintliche Legitimität von Phishing- und Spam-Kampagnen zu erhöhen. Angreifer nutzen den vertrauenswürdigen Ruf der Google-Domains aus, sodass Links scheinbar auf google.com (oder andere Google-Websites) verweisen, während Nutzer auf Seiten weitergeleitet werden, die darauf abzielen, Anmeldedaten zu stehlen, Malware zu verbreiten oder unerwünschte Inhalte anzuzeigen.

Da diese Weiterleitungen über die authentische Google-Infrastruktur erfolgen, durchlaufen sie häufig Domain-Reputationsprüfungen, URL-Umschreibungsrichtlinien und die Überprüfung durch Nutzer unbeschadet. Sicherheitsverantwortliche, die sich auf die Zulassungsliste *.google.com verlassen oder Google-URLs als grundsätzlich sicher betrachten, sind dieser Art von Missbrauch weiterhin ausgesetzt.

 Mimecast Threat Research beobachtet weiterhin Google-Weiterleitungstechniken im Zusammenhang mit dem Diebstahl von Anmeldedaten und großvolumigem Spam. In den folgenden Abschnitten werden die wichtigsten Weiterleitungsfamilien, ihre URL-Struktur und ihr Umgehungsverhalten dokumentiert.

 Weiterleitungsfamilien

1. Google Web Light

Google Web Light war ein Transkodierungsdienst, der Nutzern mit langsamen mobilen Verbindungen (z. B. 2G) – vor allem in Ländern wie Indien, Brasilien und Indonesien – schlankere, schnellere Versionen von Webseiten bereitstellte. Er nutzte die Domain googleweblight.com und die Ressourcen „sp“ und „i“ auf Pfadebene, um eine im Parameter „u“ übergebene Ziel-URL abzurufen und dorthin umzuleiten.

Google hat Web Light am 19. Dezember 2022 eingestellt und die öffentliche Dokumentation entfernt, doch die Domain und das Weiterleitungsverhalten sind weiterhin erreichbar und werden nach wie vor in böswilligen Kampagnen missbraucht.

Beispiel-URL

 https://googleweblight.com/sp?otherkeys=othervals&u=https://7d63dd4a.ryhryhyj6j56h6t4635.pages.dev?ut=name@domain.com

2. Kern-URL-Weiterleitung: `google.*/url`

Der primäre Mechanismus ist die offene Weiterleitung unter Pfaden wie /url auf verschiedenen Google-Hosts.

Suchen Sie nach „google./url?“ mit einem „q=“-Parameter, der eine URL enthält. Jeder Host, der diesen Pfad bereitstellt, kann zu einem beliebigen Ziel umleiten.

Beispiel-URL

https://www.google.com/url?q=https://malicious-site.com&sa=D&sntz=1

Übliche Parameter

3. Missbrauch von Google AMP (Accelerated Mobile Pages)

Google AMP ist ein Open-Source-HTML-Framework, das zur Erstellung von Websites dient, die für die Nutzung in Browsern und auf Mobilgeräten optimiert sind. Da AMP Webseiteninhalte inline anzeigen kann, missbrauchen Angreifer es mittlerweile, um Phishing-Seiten live anzuzeigen, sobald der Nutzer auf einen Link klickt.

Missbrauch durch eigenständige AMP-Seiten

Korrekte AMP-Form:

https://google.com/amp/s/domain.com/path

Missbrauchte Form (ohne „s“):

https://google.com/amp/domain.com

Diese Variante ist im harmlosen Datenverkehr relativ selten, taucht jedoch in zahlreichen böswilligen Kampagnen auf. Sie wird häufig mit anderen Phishing-Indikatoren kombiniert und nicht als alleiniges Blockierungssignal verwendet.

Angreifer betten Google-AMP-URLs in E-Mails ein (zum Beispiel ...&url=amp/malicious-site.com). Wenn der Parameter „q“ geändert wird, kann das endgültige Ziel geändert werden, während die URL weiterhin über Google geleitet wird, sodass der sichtbare Link eine Google-URL bleibt.

Beispielmuster

https://www.google.co.uk/url?q=...&rct=...&sa=t&url=amp/mimecast.com

Durch Ändern des letzten Pfads in „url=amp/...“ kann eine Umleitung zu einer beliebigen Website erfolgen; das Entfernen von „/amp“ löst häufig die Zwischenseite mit der Warnung von Google aus.

Dieser Dienst ist sehr tolerant hinsichtlich der URL-Formatierung und normalisiert eine Vielzahl von Formatierungsfehlern, was es Angreifern ermöglicht, bestehende Sichtbarkeitsbeschränkungen zu umgehen, indem sie URLs auf unerwartete Weise modifizieren.

4. Google Travel: `/travel/clk`

Diese offene Weiterleitung steht im Zusammenhang mit dem Google Travel-Dienst, der auf allen Google-Hostnamen verfügbar ist. Sie leitet den Datenverkehr über das Google Travel-Produkt auf externe Websites weiter. Es handelt sich um eine teilweise eingeschränkte offene Weiterleitung – ein vom System generiertes Token ist erforderlich, dieses schränkt jedoch nicht ein, wohin die Weiterleitung führen kann. Dieses Token kann auf Anfrage über Google Travel generiert werden und verhindert nicht, dass das Ziel geändert wird.

Beispiel-URL

https://www.google.com/travel/clk?pc=AA80Osz1Y9jFF8K4dj7wcdCsT2otn5mxfNX82xi-cd4&pcurl=https://malicious-site.com

5. Nicht standardmäßige Google-Hosts (ccTLDs und Service-Subdomains)

Gleiche Struktur wie bei der Core-URL-Weiterleitung; lediglich der Hostname ändert sich.

Angreifer verwenden dasselbe Muster /url?q= (oder ein gleichwertiges) auf anderen Hosts als www.google.com, zum Beispiel google.es, google.de, google.fr, maps.google.*, contacts.google.* und drive.google.*. Dabei handelt es sich um legitime Google-Domains, die jedoch seltener in umleitungsspezifischen Regeln berücksichtigt werden.

Ländercode-Domains (ccTLDs)

Angreifer nutzen weniger überwachte Google-ccTLDs, sodass domänenbasierte Zulassungslisten und Reputationsprüfungen weiterhin „Google“ erkennen, während die Abdeckung durch benutzerdefinierte Regeln verringert wird.

Beispiele:

https://google.es/url?q=http://bad-domain.com
https://google.de/url?...
https://google.fr/url?...

Service-Subdomains

Missbrauch durch Weiterleitungen tritt auch auf Subdomains auf, die üblicherweise nicht mit Link-Weiterleitungen in Verbindung gebracht werden, wodurch sich die Anzahl der Muster erhöht, mit denen sich Verteidiger auseinandersetzen müssen:

Diese werden auch als Teil von Weiterleitungsketten angesehen, die von anderen Websites ausgehen:

Ausgangs-URL → Google-Weiterleitung (mit &sa=D&sntz=1&usg=) → URL mit dem Parameter „q=“

6. Google Meet/Hangouts und App Engine

(1) Meet

Pfad meet.google.com/linkredirect mit dem Abfrageparameter dest=, der die Ziel-URL enthält. Früher folgte auch Google Hangouts einem ähnlichen Umleitungspfad.
https://meet.google.com/linkredirect?dest=https://malicious-site.com

(2) App Engine

Pfad appengine.google.com/_ah/logout mit „continue=“, das auf eine andere URL verweist (häufig Hangouts oder die Zielseite). In E-Mails sind Ketten, die beides kombinieren, ein starkes Missbrauchs-Signal.

Beispiel für eine verkettete Weiterleitung

https://www.google.com/url?sa=D&q=https://appengine.google.com/_ah/logout?continue=https://hangouts.google.com/linkredirect?dest=https://www.vizor.cloud/...

Solche Ketten (App Engine-Abmeldung → Hangouts → endgültiges Ziel) haben in E-Mails keine übliche legitime Verwendung und eignen sich für eine Blockierung mit hoher Zuverlässigkeit.

7. Google DoubleClick / Werbedienste

Googles Produkte zur Analyse von Marketing-Links legen offene Weiterleitungen auf googleadservices.com und doubleclick.net offen. Im Gegensatz zu den /url-Weiterleitungen der Google-Suche sind diese nicht öffentlich als gegen Missbrauch abgesichert dokumentiert und werden zunehmend missbraucht. Angreifer kopieren in der Regel gültige Anzeigenlinks und ändern lediglich das „adurl“-Ziel, wobei sie häufig weitere Weiterleitungen verketten und Abfragefragmente (z. B. die E-Mail-Adresse des Empfängers) beibehalten, um Phishing-Seiten individuell anzupassen.

(1)doubleclick.net

Beispiel-URL

https://adclick.g.doubleclick.net/pcs/click?xai=...&sig=...&urlfix=1&adurl=https://wikipedia.org

(2) googleadservices.com

Beispiel-URL

https://www.googleadservices.com/pagead/aclk?sa=L&ai=...&sig=...&adurl=https://wikipedia.org

8. Google Translate

translate.goog wird missbraucht, indem die Phishing-Domain in den Hostnamen kodiert wird.

Beispiel-URL

https://phishing-com.translate.goog/?_x_tr_sl=auto&_x_tr_tl=en

(Wird zum Zielhost „phishing.com“ dekodiert.)

Hostnamen haben die Form *..translate.goog, wobei die Subdomain die Zieldomain ist, bei der Punkte durch Bindestriche ersetzt wurden (zum Beispiel example.com → example-com.translate.goog). Parameter wie _x_tr_sl=auto und _x_tr_tl=en können vorhanden sein. Sicherheitsfilter erkennen diese eher nicht, da sie als legitime Google-Domains erscheinen.

Aufbaumuster

1. Ersetzen Sie die Punkte in der Zieldomäne durch Bindestriche (z. B. example.com → example-com)
2. Verwenden Sie als Subdomain von translate.goog: https://example-com.translate.goog
3. Optionale Parameter wie _x_tr_sl=auto, _x_tr_tl=en lassen die URL wie einen normalen Translate-Link aussehen

9. Google OAuth-Weiterleitung

Google OAuth 2.0 ist ein branchenübliches Autorisierungsframework, das einen sicheren, delegierten Zugriff auf Nutzerkonten ermöglicht, ohne dass Passwörter weitergegeben werden müssen. Das System erlaubt es Anwendungen von Drittanbietern, über einen vom Nutzer kontrollierten Einwilligungsprozess begrenzte, in ihrem Umfang festgelegte Berechtigungen für den Zugriff auf Nutzerdaten (E-Mail, Profil, Kalender usw.) anzufordern.

Die Autorisierungsabläufe von Google OAuth 2.0 nutzen eine Weiterleitung, um den Nutzer nach der Einwilligung zurück zur Anwendung zu leiten. Der Parameter „redirect_uri“ teilt Google mit, wohin der Nutzer (sowie der Autorisierungscode oder das Token) weitergeleitet werden soll. Kann ein Angreifer diesen Wert kontrollieren oder beeinflussen, kann er Autorisierungscodes oder Tokens stehlen oder Nutzer nach einer echt wirkenden Google-Anmeldung auf eine Phishing-Seite weiterleiten.

Beispiel-URL (Autorisierungsanfrage)

https://accounts.google.com/o/oauth2/v2/auth?client_id=123456789.apps.googleusercontent.com&redirect_uri=https://attacker.com/callback&response_type=code&scope=openid%20email%20profile&state=random_state

Umgehungstechniken

Da das usg-Token an den Abfrage-String gebunden ist, können Angreifer die Abfrageparameter nicht beliebig ändern, um benutzerspezifische Daten zu übermitteln, ohne die Weiterleitung ungültig zu machen. Angreifer nutzen daher URL-Fragmente, um Nutzer zu verfolgen, Formulare vorab auszufüllen oder Token an die Zielseite zu übermitteln, ohne die Google-Weiterleitung zu unterbrechen.

URL-Fragmente (der Teil nach dem #):

• Werden nicht an den Server gesendet
• Werden nicht in die usg-Validierung einbezogen
• Werden vom Browser während der Weiterleitung beibehalten

Beispiel

https://google.es/url?q=http://malicious-site.com&usg=...#user123

Weitere Umgehungsmuster:

Mimecast-Schutz

Mimecast hat anhand von E-Mail-Link-Analysen, der Überprüfung von URL-Umschreibungen und der Auswertung von Weiterleitungsketten nach dem Klick Attribute identifiziert, die mit dem Missbrauch von Google-Weiterleitungen in Verbindung stehen. Die Erkennungsreichweite umfasst:

• Kern-Weiterleitungen vom Typ „/url?q=“ auf Standard- und ccTLD-Hosts von Google
• Missbrauch von AMP-Pfaden (/amp/ ohne /s/)
• Ausgemusterte, aber weiterhin erreichbare Web Light-Weiterleitungen auf googleweblight.com
• Weiterleitungstoken für Reisen unter /travel/clk
• Verkettete Weiterleitungen bei Hangouts und App Engine
• Manipulation von „adurl“ bei DoubleClick und Google Ad Services
• Kodierung von Hostnamen auf *.translate.goog
• OAuth-Autorisierungsanfragen mit verdächtigen oder nicht registrierten „redirect_uri“-Werten

Das Threat-Research-Team überwacht weiterhin neue Formatierungsvarianten, Host-Rotationen und Kombinationen mit Infrastrukturen zum Sammeln von Anmeldedaten und zur Verbreitung von Malware.

Empfehlungen

Schulungen zur Sensibilisierung der Nutzer

• Machen Sie die Mitarbeiter darauf aufmerksam, dass ein Link, der „google.com“ anzeigt, keine Sicherheit garantiert; Angreifer missbrauchen regelmäßig Google-Weiterleitungen, um auf bösartige Seiten zu gelangen
• Weisen Sie die Nutzer an, nach jeder Weiterleitung die endgültige Adresse in der Browser-Adressleiste zu überprüfen, insbesondere vor der Eingabe von Anmeldedaten
• Weisen Sie darauf hin, dass die Warnseiten von Google durch bestimmte Parameterkombinationen unterdrückt werden können; das Fehlen einer Warnung ist kein Hinweis auf die Legitimität der Seite
• Betonen Sie, dass unaufgeforderten E-Mails nicht allein aufgrund der sichtbaren Link-Domain vertraut werden sollte

Fazit

Der Missbrauch von Google-Weiterleitungen gehört nach wie vor zu den beständigsten Techniken im Repertoire von Angreifern. Indem sie Opfer über authentische Google-Infrastruktur umleiten, profitieren Angreifer vom Vertrauen in die Domain, umgehen naive Zulassungslisten und steigern die Klickraten bei Phishing- und Spam-Kampagnen. Die Bandbreite der Weiterleitungsfamilien – von stillgelegten Web-Light-Endpunkten bis hin zur Manipulation von OAuth-Parametern – bedeutet, dass sich Verteidiger nicht auf eine einzige Erkennungsregel oder eine Domain-Zulassungsliste verlassen können.

Unternehmen sollten alle Google-URLs in unaufgeforderten E-Mails als nicht vertrauenswürdig behandeln, bis die gesamte Weiterleitungskette und das endgültige Ziel überprüft wurden. Sicherheitsteams sollten der Erkennung sowohl auf der Ebene der E-Mail-Links als auch auf der Ebene der Weiterleitungen nach dem Klick Priorität einräumen, wobei sie besonderes Augenmerk auf verkettete Weiterleitungen, fragmentbasierte Umgehungsversuche und den Missbrauch von weniger überwachten ccTLDs und Service-Subdomains legen sollten.