Wie erkennt man gefälschte Börsen-Websites? (Phishing-Prävention)

Analyse von Domainnamen

1. Seriöse Kryptowährungsbörsen registrieren Domains mit klaren, konsistenten Namensmustern – oft genau passend zu ihrem offiziellen Markennamen oder mit minimalen, vorhersehbaren Variationen wie „binance.com“ anstelle von „binance-official.net“.

2. Gefälschte Websites verwenden häufig falsch geschriebene Domains wie „binnance.com“, „binanec.com“ oder „binance-support.org“, um Authentizität vorzutäuschen.

3. Verdächtige Top-Level-Domains wie „.xyz“, „.club“ oder „.online“ tauchen in Phishing-Börsen unverhältnismäßig häufig auf, insbesondere wenn die offizielle Plattform nur „.com“ oder „.io“ verwendet.

4. Eine Domain, die innerhalb der letzten 30 Tage registriert wurde, löst Alarm aus – echte Börsen pflegen langjährige Domainregistrierungen und führen selten neue primäre Domains ohne öffentliche Ankündigungen ein.

5. WHOIS-Suchtools offenbaren häufig anonymisierte oder datenschutzgeschützte Registrierungsdaten für gefälschte Plattformen, während seriöse Börsen in der Regel überprüfbare Unternehmenseinheiten auflisten.

Überprüfung des SSL-Zertifikats

1. Ein Vorhängeschloss-Symbol in der Adressleiste des Browsers ist notwendig, aber unzureichend – viele gefälschte Websites verwenden einfache SSL-Zertifikate, die über kostenlose automatisierte Dienste wie Let's Encrypt bezogen werden.

2. Durch Klicken auf das Vorhängeschloss und Überprüfen der Zertifikatsdetails wird angezeigt, ob das Zertifikat genau für die besuchte Domäne ausgestellt wurde und ob es von einer vertrauenswürdigen Zertifizierungsstelle (CA) wie DigiCert oder Sectigo stammt.

3. Zertifikate, die auf generische Namen wie „ .cloudflare.com“ oder „ .github.io“ ausgestellt wurden, weisen darauf hin, dass die Website auf der Infrastruktur eines Drittanbieters gehostet wird – und nicht im Besitz einer echten Börse ist oder von dieser betrieben wird.

4. Abgelaufene oder selbstsignierte Zertifikate sind starke Indikatoren für böswillige Absichten und sollten einen sofortigen Ausstieg auslösen.

5. Nicht übereinstimmende Zertifikatssubjekte – zum Beispiel ein Zertifikat, das beim Durchsuchen von „coinbase-support.net“ für „coinbase-support.net“ ausgestellt wurde – sind technisch gültig, aber äußerst irreführend und werden häufig missbraucht.

Warnsignale für Benutzeroberfläche und Inhalte

1. Schlecht übersetzter Text, inkonsistente Schriftarten, fehlerhafte Layoutelemente oder Platzhalterbilder weisen auf unprofessionelle Entwicklungspraktiken hin, die für Phishing-Fronten typisch sind.

2. Dringende Formulierungen wie „Ihr Konto wird in 2 Stunden gesperrt!“ oder „Wallet jetzt verifizieren, um Verluste zu vermeiden!“ ist so konstruiert, dass eine rationale Prüfung umgangen wird.

3. Fehlende oder nicht funktionierende Einrichtungsseiten für die Zwei-Faktor-Authentifizierung, Generatoren für Einzahlungsadressen oder Abschnitte zur Handelshistorie weisen auf das Fehlen eines Backends hin.

4. Gefälschte Live-Chat-Widgets, die nie antworten – oder mit geskripteten, generischen Antworten antworten – werden routinemäßig eingebettet, um Legitimität vorzutäuschen.

5. Das Fehlen von Haftungsausschlüssen, Hinweisen zur Einhaltung gesetzlicher Vorschriften oder Links zu offiziellen Lizenzierungsstellen (z. B. FCA, FINMA, ASIC) spiegelt die bewusste Unterlassung der Verantwortung wider.

Netzwerkverhaltensindikatoren

1. DNS-Auflösungen, die auf IP-Adressen verweisen, die mit bekanntermaßen sicheren Hosting-Anbietern oder Rechenzentren in Gerichtsbarkeiten mit laxer Durchsetzung der Cyberkriminalität verknüpft sind, lassen auf eine schädliche Infrastruktur schließen.

2. HTTP-Header, die Backend-Technologien wie „PHP/8.1.10“ oder „nginx/1.18.0“ auf einer Website offenbaren, die Sicherheit auf Unternehmensniveau angibt, widersprechen den angegebenen Funktionen.

3. Ungewöhnliche Weiterleitungen – wie das Laden einer Anmeldeseite über HTTPS, aber die Übermittlung von Anmeldeinformationen an einen HTTP-Endpunkt – legen Mechanismen zum Sammeln von Anmeldeinformationen offen.

4. Von externen CDNs geladene JavaScript-Dateien mit verschleierten Namen oder Domänen, die nichts mit dem bekannten Tech-Stack der Börse zu tun haben, können Keylogger oder Form Grabber enthalten.

5. Das Fehlen von CSP-Headern (Content Security Policy) oder das Vorhandensein übermäßig freizügiger Richtlinien wie „script-src *“ ermöglicht die Ausführung willkürlichen Codes.

Häufig gestellte Fragen

F: Kann ich einer Börse vertrauen, nur weil sie in den Google-Suchergebnissen erscheint? Die Google-Indexierung überprüft nicht die Legitimität – Phishing-Seiten nutzen häufig SEO-Taktiken und bezahlte Anzeigen, um ein hohes Ranking zu erzielen. Vergleichen Sie URLs immer mit offiziellen Social-Media-Kanälen und von der Community verifizierten Quellen.

F: Warum zeigen einige gefälschte Börsen Preisdiagramme in Echtzeit an? Sie extrahieren öffentliche API-Feeds von legitimen Plattformen wie Binance oder Coinbase. Live-Daten bedeuten keine Backend-Funktionalität oder Fondsverwahrungsfähigkeit.

F: Ist es sicher, Browsererweiterungen zu verwenden, die Anmeldeformulare auf Börsenseiten automatisch ausfüllen? Nein. Tools zum automatischen Ausfüllen können Anmeldeinformationen in Phishing-Seiten einschleusen, die nicht von echten zu unterscheiden sind. Manuelle Eingabe und strikte URL-Überprüfung bleiben unerlässlich.

F: Was passiert, wenn ich meine Startphrase auf einer gefälschten Austauschseite eingebe? Ihr gesamtes Wallet-Guthaben wird für Angreifer sofort zugänglich. Startphrasen, die irgendwo außerhalb verifizierter, Air-Gap-Hardware-Wallets eingegeben werden, gefährden alle damit verbundenen Vermögenswerte unwiderruflich.