Doppelgänger-Zeichen erkennen

Ein Buchstabe auf dem Bildschirm ist darunter eine Zahl

Computer speichern Text als Zahlen, sogenannte Codepoints. Das lateinische kleine „a“ ist U+0061. Das kyrillische kleine „а“ ist U+0430. Schriftarten zeichnen beide in derselben Form, Ihre Augen können sie also nicht unterscheiden, aber für das Domain Name System sind sie so verschieden wie „a“ und „z“. Unicode definiert mehr als 150.000 Zeichen in über 160 Schriften, und viele davon sehen lateinischen Buchstaben sehr ähnlich oder genau gleich.

Jahrzehntelang waren Domainnamen auf ASCII-Buchstaben, Ziffern und Bindestriche beschränkt. Internationalisierte Namen kamen später, und die Regel auf der Leitung hat sich nie geändert. Ein Name mit anderen Zeichen wird in eine ASCII-Form umgewandelt, die mit xn-- beginnt, genannt Punycode. münchen.de reist als xn--mnchen-3ya.de. Ein Name aus kyrillischen Buchstaben, die wie „apple“ aussehen, reist als xn--80ak6aa92e.com, und er gehört dem, der ihn registriert hat.

Dieser Trick heißt Homograph-Angriff. Browser wehren sich in der Adressleiste dagegen, indem sie die xn---Form zeigen, wenn ein Name Schriften mischt. Mailprogramme, Chat-Apps, PDF-Dateien und gedruckte QR-Codes kümmern sich meist nicht darum.

Was die Erkennung testet

Zuerst findet sie den Hostnamen in dem, was Sie eingefügt haben, ob vollständiger Link, E-Mail-Adresse oder nackte Domain. Dann führt sie diese Tests in Ihrem Browser aus:

Schrift jedes Zeichens

Ein Label, das Lateinisch mit Kyrillisch, Griechisch, Armenisch, Cherokee, Lisu, Georgisch oder Koptisch mischt, wird rot markiert. Ebenso ein Label, das ganz in einer dieser Schriften geschrieben ist, wenn jeder Buchstabe einen lateinischen Zwilling hat. Lateinisch gemischt mit Chinesisch, Japanisch oder Koreanisch ist normaler Gebrauch und wird nicht markiert.

Tabelle der Doppelgänger

Rund 180 Zeichen, von denen bekannt ist, dass sie einen lateinischen Buchstaben, eine Ziffer oder ein Satzzeichen imitieren, dazu Vollbreiten- und mathematische Buchstabenformen. Punkte, Schrägstriche und Bindestriche, die nicht die echten sind, sind rot, weil sie die Grenze der Domain verschieben.

Unsichtbare Zeichen und Richtungszeichen

Nullbreite Leerzeichen und Verbinder, weiche Trennstriche und die bidirektionalen Steuerzeichen. U+202E, Right-to-Left Override, lässt invoice[U+202E]fdp.exe als „invoiceexe.pdf“ erscheinen.

Ähnlichkeit mit Marken

Der Name wird auf das reduziert, was ein eiliger Leser sieht: Doppelgänger auf Lateinisch abgebildet, Akzente entfernt, 0 als o gelesen, 1 als l, rn als m, vv als w, cl als d. Diese reduzierte Form wird mit rund 95 der Namen verglichen, die Phishing am häufigsten imitiert: große Banken in Nordamerika und Europa, Zahlungsdienste, Paketdienste, Steuerbehörden, Mail- und Streaming-Konten.

Aufbau der Adresse

Ein Benutzerteil vor @ in einem Link (https://paypal.com@example.net/ führt zu example.net), eine Marken-Domain als Subdomain einer anderen, eine nackte IP-Adresse.

Das Ergebnis lesen

Die Übersicht hat vier Zähler: vorhandene Schriften, Doppelgänger-Zeichen, unsichtbare Zeichen und die Marke, der der Name ähnelt, falls es eine gibt. Darunter führt „Was Sie sehen, was es ist“ denselben Namen auf vier Arten auf:

• Angezeigt: so, wie er erscheint, mit hervorgehobenen verdächtigen Zeichen und der registrierbaren Domain in Fettschrift.
• Technische Form: der Punycode, den der Browser tatsächlich abfragt.
• In Eile gelesen: die reduzierte Form für den Markenvergleich.
• Maßgebliche Domain: die registrierbare Domain, der Teil, den jemand kaufen musste. Alles links davon bestimmt ihr Inhaber. paypal.com.secure-login.net ist also eine Seite auf secure-login.net.

Danach nennt die Zeichentabelle jedes Zeichen mit Codepoint und Schrift. Rot markiert Doppelgänger und unsichtbare Zeichen. Gelb markiert kombinierende Zeichen und Steuerzeichen. Blau dient nur der Information, bei einem lateinischen Buchstaben mit Akzent oder einem Buchstaben aus einer anderen Schrift, der allein verwendet wird.

Die Ähnlichkeit mit Marken gibt es in vier Stärken. Drei davon sind rot: dieselbe reduzierte Schreibweise, eine Schreibweise mit einem Buchstaben Abstand (zwei bei Namen ab zehn Buchstaben) und eine echte Marken-Domain als Präfix. Ein Markenname, der bloß in einer längeren Domain enthalten ist, ist gelb, denn Wiederverkäufer und Partner tun das aus ehrlichen Gründen.

Grenzen einer Zeichenprüfung

Die Erkennung beurteilt, wie ein Name geschrieben ist, nicht die Website dahinter. secure-account-verify.com enthält kein Trickzeichen und keine Marke. Es besteht also sauber und ist doch eine offensichtliche Falle. Für den Ruf einer Website nutzen Sie die Abfrage unsicherer Websites.

Die Markenliste ist absichtlich kurz. Eine Regionalbank oder ein kleiner Laden steht nicht darauf. Deren Imitationen fallen also nur auf, wenn sie fremde Buchstaben oder unsichtbare Zeichen verwenden. Sehr kurze Markennamen (drei oder vier Buchstaben) werden nur als ganzes Label erkannt. Sonst würden wir gewöhnliche Wörter markieren, die sie zufällig enthalten.

Ein Name kann auch markiert und trotzdem ehrlich sein. Echte Unternehmen registrieren Domains auf Kyrillisch oder Griechisch für Menschen, die diese Sprachen lesen. Prüfen Sie, ob die Schrift zum Absender und zur Sprache der Nachricht passt.