Typosquatting – Harmloser Tippfehler mit schwerwiegenden Folgen

Haben Sie schon mal von mikerowesoft.com gehört? Oder sagt Ihnen die Internetseite deutschebnak.com etwas? Klar, da klingelt was. Allerdings dürfte aufmerksamen Lesenden aufgefallen sein, dass sich hier ein paar Fehler eingeschlichen haben. Solche Fehler nennt man Typosquatting oder auch URL-Hijacking und ist eine Form von Cybersquatting. Es beschreibt einen Social Engineering-Angriff, bei dem bekannte Webadressen mit Tippfehlern gespickt werden, um Personen auf unseriöse Websites zu leiten. Diese Websites beinhalten meist Werbung der etwaigen Konkurrenz, Malware oder sogar pornografische Inhalte.

Cybersquatting beschreibt den Überbegriff einer Reihe von Social Engineering-Attacken. Beim Cybersquatting oder auch Domainsquatting werden Domainnamen registriert, die dem Antragstellenden nicht zustehen. Das können Markennamen (Brandjacking), Personen des öffentlichen Lebens (Namejacking) oder Firmennamen sein. In diese Kategorie fällt außerdem die Registrierung von Tippfehlerdomains, dem sogenannten Typosquatting.

Sicherlich ist jede:r von uns schon das ein oder andere Mal auf einer Tippfehlerdomain gelandet. Im Kern ist das Ganze auch nicht schwer umzusetzen: Cyberkriminelle registrieren sich Domains, die denen bekannter Websites stark ähneln, und ändern meist nur ein paar Buchstaben. So werden Personen durch einfache Tippfehler auf fremde Seiten gelinkt und interagieren im schlimmsten Fall zusätzlich mit diesen Seiten. Diese Interaktionen können das Eingeben von persönlichen Daten, Klicken von schädlichen Links oder Downloaden von Schadsoftware sein. Typosquatting trifft allerdings nicht nur Privatpersonen. Zahlreiche Unternehmen sichern sich bereits im Vorfeld Domains im 4-stelligen Bereich, um dem Verlust von Kundschaft oder Traffic durch die Tippfehlerdomains entgegenzuwirken.

Beim Typosquatting profitieren Angreifende vom simplen menschlichen Fehlverhalten:

• Rechtschreib- oder Tippfehler
• Veraltete oder alternative Schreibweisen
• Domains mit Bindestrichen
• Fälschlich gewählte Interpunktionszeichen
• Fälschlich gewählte Top-Level-Domains (z. B. .net, .org, .com etc.)

Außerdem unterscheidet man zwischen verschiedenen Arten:

• Nachahmer – Falsche Website imitiert Aussehen und Funktion einer bereits bestehenden Website. Betroffene werden dazu verleitet, diskrete Daten anzugeben.
• Auflistung verwandter Suchergebnisse – Falsche Website lenkt den Traffic, der der eigentlichen Website bestimmt war, auf diese und verlangt eine Vergütung pro Klick.
• Monetarisierung von Traffic – Falsche Website schaltet Werbeanzeigen/Pop-ups, um Einnahmen zu generieren.
• Umfragen & Werbegeschenke – Falsche Website gibt vor, Kundschaftsfeedback zu sammeln, um personenbezogene Daten zu ergaunern.
• Installation von Malware – Falsche Website installiert Malware auf der betroffenen Hardware.

Eine Domain zu registrieren ist einfach und kostet in den meisten Fällen nur ein paar wenige Euros. Ganz dem Prioritätsprinzip „wer zuerst kommt, mahlt zuerst“, ist demnach auch nicht sichergestellt, ob die antragstellende Person einer Domain auch die rechtmäßig nutzende Person dieser ist. In diesen Fällen treten das Namensrecht, das Markenrecht oder auch das Wettbewerbsrecht in Kraft. Hierbei muss individuell geprüft werden, ob es sich um eine rechtmäßig registrierte Domain handelt oder nicht.

In einem Fall von 2001 beschloss der BGH im sogenannten „Shell-Urteil“, dass das Prioritätsprinzip dann nicht mehr gültig ist, wenn der Bekanntheitsgrad der klagenden Partei signifikant höher ist als der der angeklagten Partei. Hier machte sich die Klägerin dem Recht des eigenen Namens gebrauch.

„Schon die Registrierung, nicht erst die Benutzung eines fremden Unternehmenskennzeichens als Domain-Name im nichtgeschäftlichen Verkehr, stellt einen unbefugten Namensgebrauch nach § 12 BGB dar.“  – heißt es in der Urteilsbekundung von 2001¹

Einen weiteren, eher zum Schmunzeln verleitenden Fall, erzählt Mike Rowe. Der zum damaligen Zeitpunkt 17-Jährige sicherte sich für seine private Website die Domain MikeRoweSoft.com. Dem international bekannten Softwarekonzern Microsoft gefiel die kreative Schöpfung des Webdesigners gar nicht und drohte dem Jungunternehmer mit einer Klage.

"Ich habe nicht erwartet, dass die gleich ihre ganzen hoch bezahlten Anwälte auf mich loslassen würden" – so Mike Rowe

Am Ende konnten sich beide Parteien dennoch außergerichtlich einigen. Mike Rowe verkaufte nach all dem Drama die Dokumente seines Falls als „ein Stück Internet-Geschichte“ auf eBay für 1.037 USD.²

Aufgrund der stetig steigenden Anzahl von Squatting und dem Bedarf der individuellen Prüfung solcher Fälle, können sich Verfahren dieser Art Jahre in die Länge ziehen. Auch die zwielichtigen Schlüsselfiguren, die häufig hinter dem Domainsquatting stecken, verstecken sich hinter Briefkastenfirmen oder im Ausland. Eine Verurteilung ist durch diese Vorgehensweise fast aussichtslos.

Um sich vor einer Attacke durch Tippfehlerdomains zu schützen, helfen Ihnen diese Tipps:

Einzelpersonen

• Vermeiden Sie es, auf verdächtige Links zu klicken. Diese Links können Sie über E-Mails, Textnachrichten, Chatnachrichten oder Social-Media-Kanäle erreichen.
• Vermeiden Sie es, E-Mail-Anhänge von fremden Adressat:innen zu öffnen.
• Installieren Sie ein Anti-Viren-Programm und halten Sie dieses regelmäßig up to date.
• Prüfen Sie die richtige Schreibweise von URLs sorgfältig.
• Speichern Sie sich meistbesuchte Links in Ihren Lesezeichen ab, um Tippfehler zu vermeiden.
• Für bekannte URLs kann eine Spracherkennungssoftware eingesetzt werden.
• Verwenden Sie eine Suchmaschine, um auf bestimmte Websites zu gelangen.

Unternehmen

• Sichern Sie sich möglichst viele Domain-Varianten Ihres Namens und verlinken Sie diese auf Ihre Website. Das können verschiedene Schreibweisen, verschiedene Satzzeichen sowie verschiedene Ländererweiterungen der Top-Level-Domain sein.
• Lassen Sie sich vom Trademark Clearinghouse von ICANN helfen, Ihren Markennamen zu überwachen und werden Sie informiert, sollte Ihr Name in fremden Domains verwendet werden.³
• Mit SSL-Zertifikaten können Sie die Daten Ihrer Gäste während der Übertragung schützen und vermitteln somit ein Gefühl von Sicherheit. Hijacker Ihrer Domain würden dieses Verfahren nicht verwenden.
• Sobald Sie den Verdacht äußern, jemand könnte sich als Ihr Unternehmen ausgeben, informieren Sie Kundschaft, Kollegschaft und andere Beteiligte über mögliche Social Engineering-Angriffe durch Phishing-E-Mails oder Phishing-Websites.

Abschließend bleibt zu sagen, dass Typosquatting ein ernstzunehmendes Thema ist. Durch kleine Flüchtigkeitsfehler kann der fälschliche Zugriff auf eine Tippfehlerdomain selbst erfahrenen Personen passieren. Was wie ein nichtiger Ausrutscher anmutet, kann dennoch großen Schaden anrichten.

_{¹ http://juris.bundesgerichtshof.de/cgi-bin/rechtsprechung/document.py?Gericht=bgh&Art=en&nr=23718&pos=0&anz=1
2 https://en.wikipedia.org/wiki/Microsoft_v._MikeRoweSoft#Further_developments
³ https://www.trademark-clearinghouse.com/content/what-trademark-clearinghouse}