Domain-Imitation

Was ist Domain-Imitation?

Domain-Imitation ist eine Taktik, bei der Angreifer Nachrichten versenden, die scheinbar von einer legitimen Domain stammen, um Empfänger zu täuschen. Ziel ist es, Vertrauen zu erschleichen, Zugangsdaten zu stehlen, betrügerische Zahlungen auszulösen oder Malware zu verbreiten. Die Nachahmung kann die direkte Verwendung Ihrer Domain im sichtbaren From-Header sein, der Einsatz von Lookalike-Domains, die Ihrer Domain ähneln, oder ein technischer Trick, der Ihren Markennamen anzeigt, während die E-Mails über eine vom Angreifer kontrollierte Infrastruktur laufen.

Angreifer nutzen aus, wie E-Mail-Programme Absenderinformationen anzeigen und wie manche Systeme mit nicht authentifizierten E-Mails umgehen. Sie registrieren Lookalike-Domains, die Zeichen ersetzen oder hinzufügen, richten kostenlose Versanddienste unter irreführenden Namen ein oder kompromittieren legitime Absender, um deren Reputation auszunutzen. Da der Anzeigename und die Absenderadresse leicht zu fälschen sind, können Empfänger selbst dann getäuscht werden, wenn sich die zugrunde liegende Domain nur geringfügig von der echten unterscheidet.

So funktioniert Domain-Imitation

Imitationskampagnen setzen auf kleine visuelle oder technische Unterschiede, die beim schnellen Überfliegen des Posteingangs nicht auffallen. Gängige Techniken sind:

• Exaktes Spoofing Ihrer Domain im From-Header, wenn die Authentifizierung schwach konfiguriert ist
• Lookalike-Domains, die Zeichen austauschen oder Wörter ergänzen, etwa examp1e.com oder example support.com
• Subdomain-Tricks wie billing.example com oder info example com, die interne E-Mails nachahmen
• Kompromittierte Drittanbieter, die legitim in Ihrem Namen senden, nun aber missbraucht werden
• Anzeigename-Spoofing, das Ihre Marke anzeigt, während die tatsächliche Adresse nichts damit zu tun hat

Technisch gedeiht Spoofing dort, wo SPF, DKIM und DMARC fehlen, kein Alignment erreichen oder falsch konfiguriert sind. Kann ein empfangender Mailserver nicht überprüfen, ob die sichtbare Absenderdomain den sendenden Server autorisiert hat, kommen Nachrichten scheinbar authentisch an. Schwaches oder fehlendes Reporting erschwert es zusätzlich zu erkennen, woher der Missbrauch stammt und welche Mailströme betroffen sind.

Auswirkungen auf Sicherheit und Zustellbarkeit

Erfolgreiche Nachahmung führt zu finanziellen Verlusten, Datenabfluss und Reputationsschäden. Mitarbeitende bearbeiten unter Umständen gefälschte Rechnungen, teilen vertrauliche Dateien oder geben Zugangsdaten auf Phishing-Seiten ein. Kunden, die gefälschte Benachrichtigungen von Ihrer vermeintlichen Domain erhalten, verlieren möglicherweise das Vertrauen und wenden sich ab.

Aus Sicht des E-Mail-Programms kann anhaltende Nachahmung zu strengerer Filterung gegen Ihre Marke führen. Empfänger, die Spam oder Phishing im Zusammenhang mit Ihrem Namen melden, erzeugen negative Signale, die Engagement und Inbox-Platzierung legitimer Kampagnen beeinträchtigen können.

• Mehr Phishing-Beschwerden, die der Absenderreputation schaden
• Verwirrung bei Empfängern, wenn legitime und gefälschte Nachrichten ähnlich aussehen
• Regulatorische und vertragliche Risiken, wenn Kundendaten offengelegt werden
• Höhere Supportkosten für die Untersuchung von Vorfällen und die Beruhigung der Nutzer

Strategien zur Erkennung und Prävention

Um Nachahmung einzudämmen, braucht es sowohl technische Kontrollen als auch betriebliche Abläufe, die den Missbrauch Ihrer Domain erschweren und die Überwachung erleichtern.

• Veröffentlichen Sie SPF, um Versandquellen zu autorisieren, und entfernen Sie ungenutzte Anbieter
• Signieren Sie E-Mails mit DKIM, mit starken Schlüsseln und konsistenter Selektor-Praxis
• Setzen Sie DMARC mit Alignment durch und wechseln Sie zu einer reject-Richtlinie, sobald alle legitimen Mailströme die Prüfungen bestehen
• Überwachen Sie aggregierte DMARC-Berichte, um nicht autorisierte Hosts und Dienste zu identifizieren
• Registrieren Sie risikoreiche Lookalike-Domains und konfigurieren Sie sie so, dass sie E-Mails ablehnen
• Nutzen Sie BIMI und konsistentes Branding, damit authentifizierte E-Mails visuell erkennbar sind
• Schulen Sie Mitarbeitende zu Anzeigename-Spoofing und lassen Sie Zahlungs- oder Zugangsdaten-Anfragen über einen zweiten Kanal bestätigen
• Stimmen Sie sich mit Partnern ab, die in Ihrem Namen senden, damit deren Authentifizierung ein Alignment erreicht

Beginnen Sie bei der DMARC-Einführung mit der Überwachung, um den E-Mail-Verkehr zu erfassen, korrigieren Sie die Authentifizierung für alle legitimen Absender und erhöhen Sie anschließend die Durchsetzung. Pflegen Sie ein Verzeichnis genehmigter Quellen, automatisieren Sie Prüfungen auf ablaufende DKIM-Schlüssel und halten Sie Ihre DNS-Richtlinien aktuell.

Domain-Imitation und DMARCeye

DMARCeye zeigt klar, wer mit Ihrer Marke sendet, indem es Authentifizierungsergebnisse über alle Provider hinweg zusammenführt. Die Plattform korreliert SPF-, DKIM- und DMARC-Ergebnisse nach Organisationsdomain und macht so nicht autorisierte Hosts, Lookalike-Quellen und Mailströme ohne Alignment sichtbar.

DMARCeye hebt risikoreiche Verkehrsmuster hervor, meldet Lücken wie fehlendes DKIM bei bestimmten Absendern und verfolgt den Fortschritt, während Richtlinien von der Überwachung zu reject wechseln. Mit diesen Erkenntnissen können Teams Missbrauch unterbinden, Konfigurationen härten und Kunden vor betrügerischen Nachrichten schützen, die Ihre Domain nachahmen.

Möchten Sie wissen, wie gut Ihre eigene Domain geschützt ist? Führen Sie eine kostenlose DMARC-Prüfung durch:

Registrieren Sie sich für die kostenlose Testversion von DMARCeye und schützen Sie Ihre E-Mail-Domain.

Um mehr über DMARC und verwandte Begriffe zu erfahren, besuchen Sie das DMARCeye-Glossar.