Vorhaben besprechen

TOOLBOX · SECURITY-CHECK

DOPPELGÄNGERDOMAINS FINDEN.

Gibt es Domains, die Ihrer zum Verwechseln ähneln? Domain eingeben und sehen, welche von bis zu 40 Tippfehler- und Verwechslungsvarianten im DNS existieren und E-Mails empfangen können.

Die Bot-Prüfung schützt die Toolbox vor automatisiertem Missbrauch.

Wir erzeugen bis zu 40 Varianten Ihrer Domain und fragen nur deren DNS-Einträge ab. Die gefundenen Domains rufen wir nicht auf, Inhaberdaten fragen wir nicht ab. Ergebnisse speichern wir nicht dauerhaft.

SO ENTSTEHEN DIE VARIANTEN

Neun Regeln.
Höchstens 40 Varianten.

Aus Ihrer Domain entstehen Varianten nach festen Regeln, reihum je eine pro Regel, bis 40 erreicht sind. Gleiche Eingabe, gleiche Liste. Die Beispiele gelten für beispiel.at; Subdomains und www lassen wir weg und prüfen die registrierbare Domain.

  • 01

    Andere Endung

    beispiel.com, beispiel.de, beispiel.eu, dazu .net, .org, .ch, .co.at und .at.

  • 02

    Zeichen fehlt

    bispiel.at, bespiel.at: ein Buchstabe ist weggelassen.

  • 03

    Zeichen vertauscht

    biespiel.at, besipiel.at: zwei benachbarte Zeichen sind vertauscht.

  • 04

    Nachbartaste

    veispiel.at, neispiel.at: ein Zeichen ist durch eine Nachbartaste der deutschen Tastatur (QWERTZ) ersetzt.

  • 05

    Verwechselbare Zeichen

    beispie1.at: Zeichenfolgen, die Unicode als verwechselbar führt, rn statt m, 1 statt l, 0 statt o und umgekehrt.

  • 06

    Zeichen doppelt

    beeispiel.at, beiispiel.at: ein Zeichen steht zweimal.

  • 07

    Bindestrich

    bei-spiel.at: ein Bindestrich ist eingefügt.

  • 08

    Kyrillischer Doppelgänger

    bеispiel.at mit kyrillischem е, im DNS xn--bispiel-7gg.at: sieht gleich aus, ist aber eine andere Domain (internationalisierter Domainname, IDN).

  • 09

    www ohne Punkt

    wwwbeispiel.at: der Punkt nach www fehlt.

Quellen: MITRE ATT&CK T1583.001 (ähnliche Domains, Homoglyphen, andere Endungen, IDN-Homographen; zum Rahmenwerk unser Lexikon: MITRE ATT&CK), Unicode UTS #39 mit der Liste verwechselbarer Zeichen (confusables.txt, Stand 06.08.2026) und RFC 5891 für internationalisierte Domainnamen.

WAS DAS ERGEBNIS BEDEUTET

Vorhanden heißt
nicht bösartig.

Je Variante fragen wir die Nameserver ab, für vorhandene Varianten zusätzlich Mailserver und IPv4-Adresse. Eine Note vergeben wir nicht.

  • Im DNS vorhanden: Es gibt Nameserver-Einträge (NS). Die Domain ist registriert und in Betrieb, wem sie gehört, zeigt das DNS nicht.
  • Mit Mailserver (MX): Die Domain kann E-Mails empfangen. Von so einer Domain kommen Antworten auf gefälschte E-Mails tatsächlich an; wir markieren sie als Hinweis.
  • Nicht im DNS (NXDOMAIN): meist nicht registriert. Eine registrierte Domain ohne Nameserver sähe genauso aus.
  • Ohne verwertbare Antwort: Der Resolver hat nicht oder mit einem Fehler geantwortet, etwa bei gestörten Nameservern.
  • Keine Inhaberdaten: WHOIS und RDAP fragen wir nicht ab. Für .at, .de und .ch nennt das RDAP-Verzeichnis der IANA keinen Dienst (Stand 22.10.2026), und WHOIS enthält oft personenbezogene Daten.

WAS SIE TUN KÖNNEN

Nicht verhindern.
Aber entschärfen.

Registrieren kann jeder jede freie Domain. Wirksam ist, Doppelgänger früh zu kennen und Menschen und Abläufe darauf vorzubereiten.

DMARC und ähnliche Domains: RFC 7489, Abschnitt 2.4 („does not address the use of visually similar domain names“).

FRAGEN

Gut zu wissen.

Was ist eine Doppelgänger-Domain?

Eine Domain, die Ihrer zum Verwechseln ähnelt: mit einem Tippfehler, einer anderen Endung oder einem Zeichen, das gleich aussieht. Angreifer registrieren solche Domains, um gefälschte E-Mails glaubwürdig wirken zu lassen, etwa beim CEO-Betrug, oder um Zugangsdaten auf nachgebauten Anmeldeseiten abzugreifen. MITRE ATT&CK beschreibt das als Technik T1583.001.

Heißt „im DNS vorhanden“, dass jemand mich angreift?

Nein. Die Domain kann Ihnen selbst gehören, einem Unternehmen mit ähnlichem Namen oder einem Händler, der Domains weiterverkauft. Der Check zeigt nur, dass es Einträge im DNS gibt. Wichtig ist der Mailserver: Hat eine ähnliche Domain einen MX-Eintrag, kann sie E-Mails empfangen, und von ihr aus lassen sich täuschend echte E-Mails mit Antwortmöglichkeit verschicken.

Warum rufen Sie die gefundenen Websites nicht auf?

Weil Domains, die einer echten ähneln, Schadcode ausliefern können. Wir fragen nur das DNS ab: ob es Nameserver (NS), einen Mailserver (MX) und eine IPv4-Adresse (A) gibt. Bitte öffnen Sie die gefundenen Adressen auch selbst nicht im Browser.

Hilft DMARC gegen Doppelgänger-Domains?

Nein. DMARC schützt nur Ihre eigene Domain davor, dass jemand sie als Absender fälscht. Gegen eine ähnlich aussehende Domain wirkt es nicht, das steht so auch im DMARC-Standard RFC 7489. Hier helfen aufmerksame Mitarbeitende, die feste Regel, Zahlungen und geänderte Bankdaten per Rückruf zu bestätigen, und je nach Lage die Registrierung wichtiger Varianten auf Sie selbst.

Welche Daten gehen an wen, und speichert TOMORIS etwas?

Unser Server fragt die DNS-Einträge der Varianten über den DNS-Resolver ab, den er bei seinem Hostinganbieter nutzt. Das sind höchstens 121 Abfragen je Prüfung. Inhaberdaten (WHOIS) fragen wir nicht ab. Das Ergebnis bleibt fünf Minuten im Arbeitsspeicher und ist spätestens nach sechs Minuten gelöscht.

TOOLBOX

Weitere
Werkzeuge.

IHR NÄCHSTER SCHRITT

Ergebnis da.
Und jetzt?

Wir ordnen Befunde ein, priorisieren nach Risiko und setzen auf Wunsch um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Ergebnis besprechen