Lookalike-Domains: 20 Testadressen imitieren Marken wie Apple und Okta

Sicherheitsforscher haben Schwachstellen in den Schutzmechanismen von Chromium-basierten Browsern wie Google Chrome und Microsoft Edge aufgedeckt. Wie Ian Muscat und Leanne Briffa von Have I Been Squatted im Oktober 2026 feststellten, lassen sich die integrierten Ähnlichkeitsprüfungen der Browser durch den Einsatz bestimmter Sonderzeichen gezielt umgehen. Dadurch wird es Angreifern möglich, visuell kaum unterscheidbare Nachahmungen bekannter Internetadressen zu erstellen, ohne dass die Schutzsysteme Alarm schlagen.

Schwächen in den Prüfroutinen für Zeichensätze

Das Problem beruht auf Lücken in den Chromium-Funktionen SafeToDisplayAsUnicode und GetSimilarTopDomain. Erstere greift lediglich auf eine feste Ausnahmeliste zurück, in der bestimmte Zeichensätze selbst in Chrome 154 nicht erfasst sind.

So führen bestimmte kyrillische Zeichen sowie der lateinische Buchstabe ? mit Haken dazu, dass die Browser die manipulierten Webadressen direkt als Unicode statt in der auffälligen Punycode-Schreibweise anzeigen.

Zudem weist das sogenannte Skeleton-Matching eine methodische Lücke auf. Zwar filtert das Verfahren standardmäßige Akzente heraus, belässt jedoch Haken und Striche unverändert.

Der Buchstabe ? wird intern als Kombination aus einem lateinischen Zeichen und einem diakritischen Zusatz interpretiert, wodurch der Abgleich fehlschlägt: Eine Adresse wie o?ta[.]com wird dadurch nicht auf die Originalform okta[.]com zurückgeführt. Die Funktion GetSimilarTopDomain, die Domains mit fast 8.500 populären Webseiten abgleicht, erkennt die Ähnlichkeit in solchen Fällen nicht.

Auch die integrierten Warnhinweise greifen zu kurz. Die sogenannten Safety Tips schlagen nur bei exakter Übereinstimmung, einem einzelnen veränderten Buchstaben oder einfachen Drehern an. Weicht die Domain an mehreren Stellen ab oder umfasst der Name weniger als fünf Zeichen – wie im Fall von o?ta.com –, bleibt die Warnung vollständig aus.

Angesichts der zunehmenden Gefahr durch manipulierte Webseiten und Phishing-Versuche wird der Schutz der eigenen Online-Konten immer wichtiger. Dieser kostenlose Report zeigt, wie Sie mit Passkeys eine sichere Alternative zu klassischen Passwörtern nutzen und Hackern keine Chance mehr lassen. Sicher, bequem und passwortlos – jetzt gratis nachlesen

Erfolgreiche Demonstration anhand bekannter Unternehmensnamen

Um die Tragweite der Schwachstelle zu belegen, registrierte Have I Been Squatted 20 Proof-of-Concept-Domains. Diese imitierten etablierte Marken wie Apple, OpenAI, Skype, SharePoint, Pinterest, SpaceX, Shell, Okta, Nike und Kickstarter.

Unter den erstellten Adressen befanden sich unter anderem die Punycode-Varianten xn--80a6aa68c8d.com, xn--80a5aeq0fr0c.com, xn--ota-f6a.com sowie xn--nie-g6a.com.

Unterschiede zeigten sich auch bei der Verarbeitung im E-Mail-Verkehr: Während Gmail Web alle 20 internationalen Absenderadressen direkt in ihrer optisch irreführenden Unicode-Form darstellte, zeigte Outlook Web die Adressen konsequent in der technischen Punycode-Schreibweise an.

Hohes Gefahrenpotenzial bei Lookalike-Domains

Eine Untersuchung der .com-Zone im Oktober 2026 verdeutlicht das Gesamtausmaß der Thematik: Von 167.226.216 delegierten Domains lagen 733.509 als internationalisierte Domänennamen in Punycode-Form vor. Die Analyse identifizierte dabei 161.894 Paare visuell ähnlicher Adressen, die sich auf 133.953 ASCII-Domains verteilten.

Da allein in Deutschland pro Quartal rund 4,7 Millionen Online-Konten gehackt werden, ist ein moderner Schutz vor Datenklau für jeden Internetnutzer unerlässlich. Erfahren Sie in diesem kostenlosen Ratgeber, wie Sie die neue Passkey-Technologie bei Diensten wie Amazon oder WhatsApp sofort einrichten. Kostenlosen PDF-Report zum Schutz Ihrer Konten sichern

Hinweise auf reale Phishing-Angriffe unter Verwendung der neu registrierten Test-Domains liegen derzeit nicht vor. Dennoch weisen die Forscher darauf hin, dass gültige SSL-Zertifikate, etwa von Let's Encrypt, sowie bestehende HTTPS-Verbindungen keinerlei Beweis für eine tatsächliche Markenzugehörigkeit oder die Identität des Webseitenbetreibers liefern.

IT-Sicherheitsexperten raten Organisationen dazu, verdächtige Domains mit Punycode-Präfix aktiv zu überwachen, Schutzfunktionen gegen Identitätsdiebstahl zu aktivieren und besonders risikobehaftete Domainvarianten präventiv selbst zu sichern.

Für Anwender empfiehlt sich die Nutzung von Passkeys und FIDO2-Verfahren sowie der Zugriff über offizielle Apps oder feste Lesezeichen. Auch Passwort-Manager bieten Schutz, da sie Anmeldedaten bei abweichenden Domainnamen nicht automatisch ausfüllen.

de | wissenschaft | 70304313 |