Lookalike-Domains: Wenn paypaI.com fast wie PayPal aussieht

03.01.2026 von Frank Burian

Phishing knallt selten wegen eines spektakulären Anhangs, sondern wegen einer Kleinigkeit, die Du im Stress übersiehst. Eine Lookalike-Domain sieht auf den ersten Blick korrekt aus, ist aber eine Falle, die dich auf eine gefälschte Seite lockt. Genau deshalb reicht ein kurzer Blick oft nicht, selbst wenn Du dich sonst sicher fühlst. In diesem Artikel lernst Du, wie typosquatting funktioniert, wie Du eine lookalike domain erkennst und wie Du eine phishing domain erkennen kannst, ohne tief in Technik abzutauchen. Nach dem Lesen kannst Du Links und Absender-Domains in wenigen Minuten prüfen, typische Tricks wie I und l oder rn und m entlarven und IDN-Fallen wie eine IDN homograph attack einordnen.

Warum das Auge dich austrickst (Lookalikes, Subdomains, IDN)

Domains sind für Menschen gemacht, aber auch gegen Menschen gerichtet, weil unser Lesen stark über Muster läuft. Du erkennst Wörter oft als Ganzes, nicht Buchstabe für Buchstabe, und genau das nutzen Angreifer aus. Dazu kommt, dass Mail-Programme und Browser Links verkürzen, unauffällige Zeichen ähnlich rendern oder den wichtigsten Teil nicht sichtbar platzieren. Besonders fies ist es, wenn eine Domain nur minimal verändert wird, etwa durch ein großes I statt ein kleines l, oder durch eine Endung, die vertraut wirkt. Das Ergebnis ist eine Domain, die sich seriös anfühlt, obwohl sie technisch völlig woanders hinführt.

Drei Spielarten tauchen besonders häufig auf: Lookalikes durch Tippfehler, Manipulationen über Subdomains und Täuschungen durch internationale Zeichen. Beim typosquatting reicht oft ein einziger Buchstabe, damit die Domain wie das Original wirkt, aber nicht mehr dazugehört. Bei Subdomains liegt der Trick darin, dass viele Menschen den wichtigen Domain-Teil nicht an der richtigen Stelle suchen. Und bei internationalen Domains können Buchstaben aus anderen Schriftsystemen aussehen wie lateinische Zeichen, was als IDN homograph attack bekannt ist. Wenn Du diese Kategorien im Kopf hast, siehst Du bei verdächtigen Links schneller, welche Art Falle vor Dir liegt.

Lookalikes, Subdomains und IDN in einem Satz

Eine lookalike domain versucht, dein Gehirn zu überlisten, indem sie vertraute Formen nachahmt und dich zu schnellem Vertrauen drängt. Subdomain-Tricks lenken deinen Blick auf einen harmlosen Teil links, während die echte Hauptdomain weiter rechts eine ganz andere ist. IDN-Fallen nutzen Zeichen, die in vielen Schriften existieren und im Browser wie normale Buchstaben aussehen. Gemeinsam haben alle Varianten, dass sie weniger Technik als Psychologie sind. Darum hilft ein fester Blickpunkt beim Prüfen mehr als ein Bauchgefühl.

12 typische Domain-Tricks mit Beispielen

Die meisten Angriffe wiederholen die gleichen Muster, weil sie schnell funktionieren und sich leicht automatisieren lassen. Du musst also nicht tausend Sonderfälle kennen, sondern ein paar wiederkehrende Tricks sicher erkennen. Die Beispiele hier sind bewusst simpel, damit Du sie im Kopf behalten kannst. Wichtig ist dabei nicht, dass Du jede Endung auswendig lernst, sondern dass Du den Kern einer Domain korrekt findest. Sobald Du das kannst, verliert ein Großteil von Phishing seine Wirkung.

Nimm aus der Liste vor allem eine Regel mit: Die Hauptdomain ist fast nie das, was ganz links steht. Bei "secure.paypal.account.login.example" ist "example" der Eigentümer der Domain, nicht "paypal" und auch nicht "login". Genau deshalb ist das Erkennen der registrierten Domain so wichtig, denn nur sie zeigt Dir, wer die Kontrolle hat. Viele Phishing-Mails setzen zusätzlich auf Dringlichkeit, damit Du nicht sauber hinschaust. Wenn Du Dir angewöhnt hast, die Hauptdomain bewusst zu suchen, wird aus einer Täuschung oft nur noch ein plumper Versuch.

"login.company.com" vs "company.login.com"

Bei "login.company.com" gehört die Domain "company.com", und "login" ist nur eine Subdomain, die der Betreiber selbst anlegt. Bei "company.login.com" gehört die Domain "login.com", und "company" ist nur ein frei gewählter Vorsatz, der seriös wirkt. Das klingt simpel, wird aber im Alltag oft verwechselt, weil viele Menschen beim Lesen links anfangen und sich vom ersten vertrauten Wort beruhigen lassen. Die wichtigste Information steht jedoch in der Mitte bis rechts, nämlich in der registrierten Domain und ihrer Endung. Wenn Du Links prüfst, lies Dir den Domain-Teil laut im Kopf vor und setze einen mentalen Marker auf das Stück direkt vor der Endung.

Typosquatting: kleine Fehler, große Wirkung

Typosquatting lebt davon, dass Du nicht perfekt tippst und nicht perfekt liest, besonders auf dem Smartphone oder unter Druck. Ein vertauschtes "a" und "l", ein fehlender Buchstabe oder ein zusätzliches Zeichen reichen aus, um eine eigene Domain zu erstellen. Angreifer kombinieren das gern mit harmlos klingenden Wörtern wie "secure" oder "support", damit die Domain nach Sicherheitsabteilung aussieht. Technisch ist daran nichts besonders, aber psychologisch wirkt es, weil Du die Marke erkennst und den Rest ergänzt. Darum solltest Du bei wichtigen Logins grundsätzlich nicht aus einer Mail heraus starten, sondern über Lesezeichen, eine App oder einen Passwort-Manager, der die Domain abgleicht.

IDN und Homograph: wenn Buchstaben gar keine lateinischen sind

Internationale Domainnamen erlauben Zeichen aus vielen Schriften, was für echte Sprachvielfalt sinnvoll ist. Genau das kann missbraucht werden, weil manche Zeichen aus anderen Alphabeten wie lateinische Buchstaben aussehen. Dadurch entsteht eine Domain, die visuell wie eine bekannte Marke wirkt, aber technisch eine andere Zeichenfolge ist, was als IDN homograph attack bezeichnet wird. Ein Hinweis ist Punycode, der oft mit "xn--" beginnt, wenn der Browser die internationale Schreibweise so darstellt. Du musst Punycode nicht verstehen, aber Du solltest ihn als Anlass nehmen, den Link nicht zu öffnen und stattdessen den Dienst direkt aufzurufen.

Schnellcheck: So prüfst Du Absender und Link ohne Nerd-Wissen

Du brauchst keine Spezialtools, um die meisten Fallen zu erkennen, sondern eine feste Routine, die Du immer gleich abspulst. Der Kern ist: erst prüfen, dann klicken, und zwar anhand von Domain und Kontext statt anhand von Logos. Achte auf den Unterschied zwischen sichtbarem Text und tatsächlichem Linkziel, denn viele Mails zeigen einen sauberen Text, der auf eine andere Adresse verlinkt. Prüfe außerdem, ob die Mail zu einer Handlung drängt, die nicht zu deinem Verhalten passt, etwa eine "Sperre", obwohl Du nichts getan hast. Wenn Du diese wenigen Punkte konsequent anwendest, steigt die Trefferquote beim phishing domain erkennen deutlich.

1. Öffne die Mail nicht im Autopilot, sondern suche zuerst den Absender und die sichtbare Domain im Text. Lies den Domain-Teil bewusst, damit das Auge nicht ergänzt, was es erwartet.
2. Fahre mit der Maus über den Link oder halte auf dem Smartphone lange gedrückt, um die Zieladresse zu sehen. Vergleiche die Hauptdomain mit dem Original und ignoriere alles, was nur als Subdomain oder Zusatzwort auftaucht.
3. Kopiere den Link in einen Texteditor, wenn er verkürzt oder verschachtelt ist. So siehst Du Zeichen wie @, doppelte Punkte oder sehr lange Subdomains besser.
4. Gib die Adresse des Dienstes lieber selbst ein oder nutze ein gespeichertes Lesezeichen. Das nimmt dem Angreifer den wichtigsten Hebel, nämlich deinen Klick auf seinen Link.
5. Wenn es um ein Login oder eine Zahlung geht, nutze einen Passwort-Manager, der nur auf der richtigen Domain ausfüllt. Wenn er nicht ausfüllt, ist das ein starkes Signal, dass etwas nicht passt.

Dieser Ablauf wirkt streng, kostet aber wenig Zeit, weil er schnell zur Gewohnheit wird. Du trainierst damit deinen Blick auf den entscheidenden Teil einer URL und reduzierst die Wirkung von Lookalikes. Selbst wenn die Mail gut gemacht ist, stolpern viele Angriffe an der echten Domain, weil sie die Marke nur imitieren können. Genau dort sitzt dein Vorteil, weil Du nicht erraten musst, ob es Phishing ist, sondern nur prüfen musst, wem die Domain gehört. Wenn Du den Schnellcheck mit ein paar Beispielen aus dem Alltag übst, erkennt dein Auge die Muster deutlich schneller.

Was Du in Mail-Headern wirklich suchen solltest

Mail-Header wirken wie ein Techniklabyrinth, aber für eine erste Einschätzung reichen wenige Stellen. Du nutzt sie nicht, um jedes Detail zu verstehen, sondern um Widersprüche zu finden, die zu einer gefälschten Absender-Identität passen. Wichtig ist: Das sichtbare "Von" in einem Mailprogramm ist nur ein Anzeigeformat und kann täuschen. Header zeigen Dir, welche Server die Nachricht gesehen haben und ob der Absender zur Domain passt. Wenn Du diese Punkte prüfst, erkennst Du Spoofing deutlich häufiger, selbst ohne tiefe E-Mail-Forensik.

Die drei Felder, die oft den Unterschied machen

Drei Header-Bereiche sind für den Alltag besonders nützlich und leicht zu finden. Erstens "From" zeigt den sichtbaren Absender, ist aber allein nicht vertrauenswürdig, weil er frei gesetzt werden kann. Zweitens "Return-Path" oder "Envelope-From" verrät häufig, wohin Unzustellbarkeiten gehen, und diese Domain ist bei Phishing oft auffällig. Drittens "Authentication-Results" bündelt Prüfungen wie SPF und DKIM und liefert Dir eine klare Tendenz, ob die Domain-Autorisierung passt. Wenn "From" eine bekannte Marke zeigt, aber die Ergebnisse bei SPF oder DKIM scheitern, ist Misstrauen sinnvoll.

• "Authentication-Results": Suche nach "spf=pass" oder "dkim=pass" und notiere Dir, auf welche Domain sich das bezieht. Ein "pass" auf eine fremde Domain kann eine Umleitung sein und ist kein Freifahrtschein.
• "Received": Lies die Kette von unten nach oben, denn dort startet die Zustellung. Ungewohnte Absender-Server oder Sprünge, die nicht zur Marke passen, sind ein Warnsignal.
• "Message-ID": Prüfe, ob die Domain nach dem @ zur behaupteten Organisation passt. Viele Phishing-Mails haben hier generische oder fremde Domains.

SPF, DKIM und DMARC so praktisch wie möglich

SPF sagt vereinfacht, ob ein Server berechtigt ist, für eine Domain Mails zu senden, und wird anhand der Absender-Infrastruktur geprüft. DKIM ist eine kryptografische Signatur, die zeigen kann, dass der Inhalt unterwegs nicht verändert wurde und dass die Domain die Signatur gesetzt hat. DMARC ist eine Richtlinie, die festlegt, wie Empfänger mit Mails umgehen sollen, wenn SPF oder DKIM nicht zur sichtbaren Domain passen. In der Praxis reicht Dir ein Gefühl für "passt" oder "passt nicht", und dafür ist "Authentication-Results" der schnellste Einstieg. Wenn alle drei sauber wirken und die Domain stimmt, ist das ein gutes Zeichen, aber es ersetzt nie den Blick auf den Link.

Verdächtige Mails isoliert prüfen, Header anzeigen, als EML speichern

Wenn Du eine verdächtige Nachricht bekommst, ist Trennung ein Sicherheitsgewinn, weil Du nicht mit deinem Hauptpostfach in Kontakt bleiben musst. Genau dafür ist TrashMailr nützlich, weil Du dort für Registrierungen, Downloads oder "nur mal kurz testen" eine separate Adresse verwenden kannst, ohne dein echtes Postfach zu belasten. Eine Wegwerf E-Mail-Adresse eignet sich, um riskante Kontaktpunkte zu isolieren und die Folgen von Datenlecks zu begrenzen. Das ist nicht "Anti-Phishing per Knopfdruck", aber es reduziert die Oberfläche, auf der sich Angreifer an dein Hauptkonto hängen können. Zusätzlich kannst Du verdächtige Inhalte ruhiger prüfen, weil Du weißt, dass diese Adresse nicht mit wichtigen Konten verknüpft ist.

So gehst Du vor: isolieren, prüfen, dokumentieren

Ein sauberer Ablauf hilft, weil Du dadurch weniger impulsiv handelst und Beweise behältst, falls Du später nachsehen musst. Öffne die Mail in einer Umgebung, in der Du nicht automatisch auf Links klickst, und konzentriere dich zuerst auf Absender-Domain und Linkziel. Zeige die vollständigen Header an, weil Du dort Return-Path, Authentication-Results und Received-Kette findest. Speichere die Nachricht als EML, damit Du sie bei Bedarf offline analysieren oder an eine IT-Stelle weitergeben kannst, ohne Screenshots zusammenzusuchen. Dokumentation klingt nach Bürokratie, sorgt aber dafür, dass Du den Ablauf kontrollierst und nicht die Mail dich.

Praxis-Checkliste im Wenn-dann-Format

• Wenn der Link eine bekannte Marke zeigt, dann prüfe zuerst die Hauptdomain direkt vor der Endung. Wenn die Marke nur links als Subdomain steht, dann behandle den Link als verdächtig.
• Wenn Du "xn--" siehst oder Zeichen ungewöhnlich wirken, dann öffne den Link nicht. Wenn Du den Dienst nutzen willst, dann tippe die Adresse selbst ein oder nutze ein Lesezeichen.
• Wenn "Authentication-Results" SPF oder DKIM nicht bestehen, dann vertraue der sichtbaren Absenderzeile nicht. Wenn Du unsicher bist, dann kontaktiere den Anbieter über einen bekannten Kanal statt über die Mail.
• Wenn die Mail Dringlichkeit aufbaut, dann verlangsamt das deine Entscheidung. Wenn Du dennoch handeln musst, dann tue es nur über die offiziell bekannte Website oder App.

Diese Schritte sind absichtlich pragmatisch, weil Du im Alltag keine Zeit für Vollanalyse hast. Das Ziel ist nicht, jede Mail perfekt zu klassifizieren, sondern riskante Mails früh zu stoppen. TrashMailr passt in diesen Ablauf, weil Du für unsichere Situationen eine getrennte Adresse nutzt und damit den Schaden begrenzt, falls Du doch einmal hereinfällst. Gleichzeitig trainierst Du deinen Blick auf Domains, weil Du konsequent nach dem gleichen Muster prüfst. Je öfter Du das machst, desto schneller erkennst Du Lookalikes, typosquatting und Subdomain-Tricks.

Header-Schnipsel: so sieht ein relevanter Bereich aus

From: "Support" 
Return-Path: 
Authentication-Results: spf=fail, dkim=fail, dmarc=fail
Received: from unknown (unknown [203.0.113.10]) by mx.example.net,
Message-ID: 

FAQ

Was bedeutet "lookalike domain" im Zusammenhang mit Phishing?

Eine lookalike domain ist eine Internetadresse, die absichtlich so gestaltet ist, dass sie einer echten Marke oder Organisation ähnlich sieht. Dabei werden Buchstaben vertauscht, ergänzt oder durch ähnlich aussehende Zeichen ersetzt, damit Du die Abweichung übersiehst. Häufig ist das Ziel, dich auf eine gefälschte Login-Seite zu führen oder dich zu einer Zahlung zu drängen. Das Konzept ist eng mit typosquatting verbunden, weil es Tippfehler und Lesegewohnheiten ausnutzt. Der beste Schutz ist, die Hauptdomain bewusst zu prüfen und Logins nicht über Mail-Links zu starten.

Wie kann ich eine phishing domain erkennen, wenn der Link verkürzt ist?

Bei verkürzten Links siehst Du die Zielseite nicht direkt, weil ein Redirect dazwischengeschaltet ist. Du kannst den Link häufig per Vorschau ansehen, indem Du mit der Maus darüber fährst oder auf dem Smartphone lange drückst. Wenn das nicht reicht, kopiere die URL in einen Texteditor, damit Du Sonderzeichen und Umleiter leichter erkennst. Noch sicherer ist es, den Dienst selbst über Lesezeichen oder App aufzurufen, statt dem Link zu folgen. Verkürzer sind nicht automatisch böse, aber sie nehmen Dir Sichtbarkeit, und genau darauf zielt Phishing oft ab.

Was ist eine IDN homograph attack und warum ist sie so tückisch?

Eine IDN homograph attack nutzt internationale Zeichen, die im Browser wie normale lateinische Buchstaben aussehen. Dadurch kann eine Domain visuell wie eine bekannte Adresse wirken, obwohl sie aus anderen Zeichen besteht. Tückisch ist das, weil Du mit bloßem Hinsehen kaum merkst, dass es sich um eine andere Zeichenfolge handelt. Ein praktischer Hinweis ist Punycode, häufig sichtbar als "xn--", der auf internationale Zeichen hindeutet. Wenn Du so etwas siehst, ist der sicherste Weg, die Seite nicht zu öffnen und die Adresse des Dienstes selbst einzugeben.

Reicht es, wenn SPF, DKIM und DMARC im Header "pass" zeigen?

Ein "pass" ist ein gutes Zeichen, aber es bedeutet nicht automatisch, dass die Mail harmlos ist. Diese Prüfungen sagen vor allem, dass die Mail technisch zu einer Domain passt, die an einer Stelle im Header geprüft wurde. Phisher können trotzdem echte, korrekt konfigurierte Domains nutzen, die nur so klingen wie die Marke, und damit die Checks bestehen. Deshalb bleibt die Domain-Prüfung im Link und im Absender entscheidend, nicht nur das Ergebnis der Authentifizierung. Nutze "pass" als Baustein, aber vertraue erst, wenn Domain, Kontext und Handlung zusammenpassen.

Warum hilft eine Wegwerf-Adresse gegen Phishing, obwohl sie Phishing nicht blockiert?

Eine Wegwerf-Adresse reduziert die Reichweite eines Angriffs, weil sie nicht dein zentrales Postfach ist und nicht mit wichtigen Konten verknüpft sein muss. Wenn eine solche Adresse in Datenlisten landet, trifft die Folgekommunikation nicht direkt dein Hauptkonto. Du kannst Mails dort mit mehr Abstand prüfen und riskante Registrierungen trennen, ohne dich ständig zu fragen, ob Du eine Spur in dein echtes Postfach legst. Dienste wie TrashMailr unterstützen genau diese Trennung, weil Du für verschiedene Zwecke unterschiedliche Adressen nutzen kannst. Das macht dich nicht unverwundbar, aber es senkt die Chance, dass ein einzelner Fehlklick große Folgen hat.

Fazit

Lookalike-Domains sind so erfolgreich, weil sie nicht dein Wissen angreifen, sondern deine Wahrnehmung und deine Routine. Mit einem festen Blick auf die Hauptdomain, einem kurzen Link-Check und ein paar Header-Indikatoren nimmst Du den meisten Phishing-Mails den Vorteil. Merke Dir besonders den Subdomain-Trick, denn "company.login.com" ist eben nicht "login.company.com", auch wenn es ähnlich klingt. Wenn Du zusätzlich riskante Kontakte über getrennte Adressen abwickelst, verringerst Du die Angriffsfläche und behältst Kontrolle über deine Postfächer. Teste den Ablauf bei der nächsten verdächtigen Mail konsequent, und nutze bei Bedarf TrashMailr, um unsichere Mails und Registrierungen sauber von wichtigen Konten zu trennen.