Homoglyph-Angriffe: Wenn Domains optisch identisch, aber grundverschieden sind
Homoglyph-Angriffe gehören zu den raffiniertesten Methoden im Arsenal der Cyberkriminellen. Dabei werden einzelne Buchstaben einer legitimen Domain durch optisch identische oder nahezu identische Unicode-Zeichen ersetzt. Das Ergebnis: Eine Domain, die im Browser, in E-Mails und in Dokumenten exakt wie das Original aussieht, aber auf einen völlig anderen Server zeigt. Selbst IT-Profis erkennen den Unterschied mit bloßem Auge oft nicht. In diesem umfassenden Ratgeber erklären wir die Funktionsweise, zeigen reale Angriffsmuster und liefern konkrete Schutzmaßnahmen.
Was sind Homoglyphen?
Homoglyphen sind Zeichen aus verschiedenen Unicode-Zeichensätzen, die optisch identisch oder nahezu identisch aussehen, aber unterschiedliche Code-Points haben. Das lateinische 'a' (U+0061) sieht beispielsweise identisch aus wie das kyrillische 'а' (U+0430). Ebenso ist das lateinische 'o' kaum vom kyrillischen 'о' zu unterscheiden.
Die Unicode-Spezifikation umfasst über 149.000 Zeichen aus Dutzenden von Schriftsystemen. Viele dieser Zeichen haben optische Doppelgänger in anderen Schriftsystemen. Cyberkriminelle nutzen diese Tatsache systematisch aus, um Domains zu registrieren, die für Menschen nicht von legitimen Domains zu unterscheiden sind.
Besonders gefährlich sind Angriffe mit kyrillischen, griechischen oder armenischen Zeichen, da diese Alphabete zahlreiche Buchstaben enthalten, die ihren lateinischen Gegenstücken zum Verwechseln ähnlich sehen. Ein 'а' aus dem Kyrillischen, ein 'ο' aus dem Griechischen oder ein 'о' aus dem Armenischen — alle sehen für das menschliche Auge identisch mit dem lateinischen 'a' bzw. 'o' aus.
Wie funktionieren Homoglyph-Angriffe auf Domains?
Der Angriff folgt einem klaren Schema:
1. **Zielauswahl**: Der Angreifer wählt eine hochwertige Domain, z.B. 'sparkasse.de' oder 'microsoft.com'
2. **Zeichenersetzung**: Ein oder mehrere Buchstaben werden durch optisch identische Unicode-Homoglyphen ersetzt
3. **IDN-Registrierung**: Die Domain wird als Internationalized Domain Name (IDN) registriert — technisch als Punycode (xn--...)
4. **Infrastruktur-Aufbau**: SSL-Zertifikat (Let's Encrypt), Website-Klon, E-Mail-Server werden aufgesetzt
5. **Angriffsdurchführung**: Phishing-E-Mails, gefälschte Rechnungen oder Credential-Harvesting-Seiten werden über die Fake-Domain betrieben
Das Tückische: Viele Browser zeigen IDN-Domains in ihrer Unicode-Form an — der Nutzer sieht die 'echte' Domain in der Adresszeile. Moderne Browser haben zwar Schutzmaßnahmen eingeführt (z.B. Punycode-Anzeige bei gemischten Schriften), aber diese greifen nicht in allen Fällen.
Besonders perfide: Wenn alle Zeichen einer Domain aus demselben nicht-lateinischen Schriftsystem stammen, zeigen viele Browser die Unicode-Form an — nicht den Punycode. Ein Angreifer, der eine Domain vollständig in kyrillischen Zeichen registriert, kann so eine optisch perfekte Kopie erstellen.
Reale Beispiele und Auswirkungen
Homoglyph-Angriffe haben in der Vergangenheit erhebliche Schäden verursacht:
- **Apple-IDN-Angriff (2017)**: Ein Sicherheitsforscher demonstrierte, wie 'apple.com' vollständig in kyrillischen Zeichen registriert werden konnte — optisch nicht vom Original zu unterscheiden, mit gültigem SSL-Zertifikat
- **Finanzsektor-Angriffe**: Mehrere europäische Banken wurden Opfer von Homoglyph-basierten Phishing-Kampagnen, bei denen Kunden-Zugangsdaten abgegriffen wurden
- **Business Email Compromise**: Gefälschte Rechnungen über Homoglyph-Domains verursachten allein im DACH-Raum geschätzte Schäden von über 50 Millionen Euro jährlich
Die Kombination aus optischer Perfektion und technischer Legitimität (gültiges SSL, korrekte DNS-Records) macht Homoglyph-Angriffe besonders gefährlich. Automatisierte Sicherheitslösungen wie Spam-Filter erkennen diese Domains oft nicht als bösartig, da sie technisch einwandfrei konfiguriert sind.
Erkennung und Schutzmaßnahmen
Der Schutz vor Homoglyph-Angriffen erfordert einen mehrstufigen Ansatz:
**Technische Maßnahmen:**
- Proaktive Registrierung von IDN-Varianten Ihrer Domain
- Einrichtung von DMARC, SPF und DKIM für Ihre E-Mail-Domain
- Einsatz eines Domain-Monitoring-Dienstes, der automatisch nach Homoglyph-Varianten sucht
- Implementierung von Content Security Policy (CSP) Headers
**Organisatorische Maßnahmen:**
- Schulung aller Mitarbeiter zur Erkennung von Homoglyph-Domains
- Etablierung von Verifikationsprozessen für Zahlungsanweisungen (z.B. telefonische Rückbestätigung)
- Regelmäßige Überprüfung der Domain-Landschaft Ihres Unternehmens
**RisikoMonitor-Lösung:**
Unser Domain-Monitoring nutzt 10 algorithmische Methoden — darunter eine spezialisierte Homoglyph-Analyse —, um alle potenziellen Verwechslungsdomains proaktiv zu identifizieren. Wir überwachen Neuregistrierungen in Echtzeit und alarmieren Sie sofort, wenn eine verdächtige Domain erscheint.
Wie RisikoMonitor vor Homoglyph-Angriffen schützt
Unser Domain-Monitoring-System analysiert systematisch alle Unicode-Zeichensätze auf optische Ähnlichkeiten mit Ihrer Domain. Die automatisierte Erkennung prüft kyrillische, griechische, armenische und weitere Schriftsysteme und generiert alle theoretisch möglichen Homoglyph-Kombinationen. Neu registrierte Domains werden in Echtzeit gegen diese Datenbank abgeglichen. Bei einem Treffer erhalten Sie sofort eine Warnung mit Risikoeinschätzung und empfohlenen Gegenmaßnahmen — von der Domain-Streitigkeit (UDRP) bis zur Takedown-Anfrage.
Kostenlose Domain-Analyse anfordern
Wir zeigen Ihnen, welche Lookalike-Domains für Ihr Unternehmen bereits existieren.
Häufig gestellte Fragen
Kann man sich gegen Homoglyph-Domains wehren?▾
Ja, über UDRP-Verfahren (Uniform Domain-Name Dispute-Resolution Policy) bei der WIPO oder durch Takedown-Anfragen beim Registrar. RisikoMonitor unterstützt Sie bei beiden Verfahren.
Erkennen Browser Homoglyph-Domains?▾
Teilweise. Moderne Browser zeigen bei gemischten Schriften (z.B. lateinisch + kyrillisch) den Punycode an. Bei vollständig nicht-lateinischen Domains greifen diese Schutzmaßnahmen jedoch oft nicht.
Wie viele Homoglyph-Varianten gibt es für eine typische Domain?▾
Für eine durchschnittliche Domain mit 10 Zeichen gibt es theoretisch Hunderte bis Tausende möglicher Homoglyph-Kombinationen, abhängig von den verwendeten Buchstaben.
Weitere Bedrohungen
Bitsquatting
Bit-Flips im RAM erzeugen fehlerhafte DNS-Anfragen — Angreifer fangen diesen Traffic mit vorregistrierten Domains ab.
Combo-Squatting
Markenname + Keyword wie 'login' oder 'secure' — die häufigste Form des Domain-Squattings.
TLD-Swap
Ihre Domain unter .net, .co oder .shop — TLD-Verwechslung ist eine der einfachsten Squatting-Methoden.
Transposition-Squatting
Vertauschte Buchstaben wie 'googel.com' — ein klassischer Tippfehler, den Angreifer systematisch ausnutzen.