Eine Domain, die Ihrer zum Verwechseln ähnlich sieht, verschickt Rechnungen an Ihre Kunden. Ihre IT-Abteilung kann daran nichts ändern — sie hat keinen Zugriff darauf.
Die Frage ist, wie lange es dauert, bis Sie überhaupt davon erfahren.
In Kürze
Bei jedem anderen Angriff entsteht der Schaden bei Ihnen. Hier überweist Ihr Kunde Geld an einen Fremden — und verliert das Vertrauen in Sie. Sichtbar ist das nur außerhalb Ihres Netzwerks, und abstellen lässt es sich nur über den Registrar oder die Plattform. Beides übernehmen wir.
Eine Schreibweise, die Ihrer zum Verwechseln ähnlich sieht: ein vertauschter Buchstabe, eine andere Endung. Kostet zehn Euro und ist in Minuten erledigt.
Logo, Impressum, Signaturen, Tonfall. Der Aufwand liegt bei einer Stunde, weil alles Nötige öffentlich auf Ihrer Website steht.
Mit Ihrem Namen, Ihrem Layout und einer fremden Kontoverbindung. Für den Empfänger ist der Unterschied ein Buchstabe in einer Adresszeile.
Über eine Kundenbeschwerde, meist Wochen später. Bis dahin hat der Vorgang niemanden im Haus beschäftigt, weil er in keinem System auftaucht.
Nichts an diesem Ablauf berührt Ihre Systeme. Es gibt keinen Angriff, den ein Sicherheitswerkzeug im Haus sehen könnte, und keinen Zugriff, den Ihre IT sperren könnte. Erkennbar ist es nur außerhalb — und abzustellen nur über den Anbieter, bei dem die Domain registriert ist. Der Schaden entsteht dabei nicht bei Ihnen: Das Geld verliert Ihr Kunde. Sie verlieren sein Vertrauen und erklären den Vorgang anschließend allen anderen.
Die Wochen zwischen Registrierung und Entdeckung entstehen nicht aus Nachlässigkeit. Sie entstehen, weil der Vorgang in keinen Zuständigkeitsbereich ganz hineinpasst.
Deshalb ist die entscheidende Festlegung keine technische: Jemand muss den Fall haben, bevor es ihn gibt. Wir übernehmen diese Rolle — Erkennung, Einordnung und die Veranlassung der Abschaltung liegen an einer Stelle.
Zugangsdaten Ihrer Mitarbeitenden geraten nicht bei Ihnen in Umlauf. Sie geraten in Umlauf, weil dieselbe Adresse mit demselben Kennwort bei einem Dienst hinterlegt war, den es längst nicht mehr gibt — oder weil ein privates Gerät ausgelesen wurde. Der Weg dorthin führt nie über Ihr Netz, und deshalb sehen Sie ihn nicht.
Was Sie sehen können, ist das Ergebnis: dass die Kombination gehandelt wird. Zwischen dem Auftauchen und der ersten Verwendung liegt meist eine Zeitspanne, und sie ist der einzige Vorteil, den die Verteidigung in dieser Sache hat.
Wer den Umlauf kennt, setzt das Kennwort zurück, beendet bestehende Sitzungen und sieht nach, wo dieselbe Kombination sonst noch benutzt wurde. Das ist Routine und dauert Minuten — sobald jemand weiß, dass es nötig ist.
„Dagegen kann man nichts machen" ist der häufigste Satz zu diesem Thema. Er stimmt für Technik im eigenen Haus und er stimmt nicht für den Weg, der tatsächlich funktioniert.
Nicht jede ähnliche Domain ist ein Angriff. Viele werden registriert und nie benutzt; manche gehören Wiederverkäufern, manche einem Unternehmen mit ähnlichem Namen. Bewertet wird, ob ein Auftritt existiert, was er zeigt und ob Post darüber verschickt wird.
Warum zuerst Wer jede Registrierung meldet, wird beim Registrar zum Rauschen — und die eine Meldung, auf die es ankommt, geht darin unter.
Ergebnis Aus vielen Treffern werden die wenigen Fälle, die eine Handlung rechtfertigen.
Der Auftritt wird dokumentiert, bevor er verschwindet: Inhalte, Zeitpunkte, technische Angaben. Auch dann, wenn zunächst nichts weiter unternommen wird.
Warum hier Nach der Abschaltung ist nichts mehr da. Wer später doch rechtlich vorgehen will oder eine Meldung an eine Behörde braucht, hat dann keine Grundlage mehr.
Ergebnis Eine Akte, die auch ein Anwalt oder eine Versicherung verwenden kann.
Das ist nicht der Betreiber, sondern der Registrar, der Hoster oder die Plattform. Jeder von ihnen hat ein Verfahren dafür, und jedes dieser Verfahren verlangt etwas anderes. Die Meldung geht über die Takedown-Teams des Herstellers, die diese Wege täglich gehen.
Warum nicht selbst Eine formal unvollständige Meldung wird abgelehnt, und die zweite Meldung in derselben Sache hat es danach schwerer. Der Unterschied liegt nicht im Anliegen, sondern in der Form.
Ergebnis Der Auftritt verschwindet, ohne dass jemand bei Ihnen einen Prozess führen muss.
Wer eine Schreibweise registriert hat, registriert die nächste. Nach einer Abschaltung wird deshalb genauer hingesehen — auf verwandte Schreibweisen, dieselben technischen Merkmale, dieselbe Vorgehensweise.
Warum das dazugehört Ein einzelner Takedown beendet einen Fall. Er beendet nicht den, der ihn betreibt.
Ergebnis Der zweite Versuch fällt schneller auf als der erste — und der dritte schneller als der zweite.
Wir versprechen keine Abschaltquote und keine Frist. Wir führen keine Rechtsvertretung und stellen keine Strafanzeigen. Und wir unternehmen nichts gegen die Gegenseite selbst — keine Übernahme fremder Domains, keine Gegenangriffe, keine Zugriffe auf Systeme Dritter.
Das erste ist Ehrlichkeit, das zweite eine Berufsgrenze, das dritte eine rechtliche.
Eine Abschaltung ist immer die Entscheidung eines Registrars, eines Hosters oder einer Plattform. Wir bereiten sie so vor, dass sie regelmäßig getroffen wird, und wir gehen den Weg mehrfach, wenn es nötig ist. Wer Ihnen an dieser Stelle eine Quote nennt, verspricht die Leistung von jemandem, mit dem er keinen Vertrag hat.
Vertragspartner und Verantwortlicher sind in jedem Fall wir. Ein Ansprechpartner, keine Übergabekette.
Eingesetzte Technologien Group-IB · ZeroFox · Proofpoint
Tauchen Zugangsdaten oder personenbezogene Daten aus Ihrem Umfeld in einschlägigen Quellen auf, ist zu bewerten, ob eine Verletzung des Schutzes personenbezogener Daten vorliegt und ob sie zu melden ist. Diese Bewertung setzt eines voraus: dass Sie davon wissen.
Betroffene Einrichtungen müssen erhebliche Vorfälle innerhalb enger Fristen melden. Ein erheblicher Teil solcher Vorfälle beginnt mit gültigen Zugangsdaten, die vorher gehandelt wurden. Wer den Umlauf kennt, sperrt den Zugang, bevor daraus ein meldepflichtiger Vorfall wird.
Mit Technik im eigenen Haus stimmt das. Der Weg, der funktioniert, führt nicht über den Betreiber, sondern über den Registrar, den Hoster oder die Plattform — jeder von ihnen hat ein Verfahren dafür. Wie das abläuft, steht oben unter Die Abschaltung. Eine Quote nennen wir dabei bewusst nicht: Die Entscheidung trifft ein Dritter.
Das ist sinnvoll und deckt die Schreibweisen ab, an die Sie gedacht haben. Registriert wird aber, was sich jemand anderes ausdenkt — eine andere Endung, ein zusätzlicher Bindestrich, ein Buchstabe, der in der verwendeten Schrift kaum zu unterscheiden ist. Diese Liste lässt sich nicht vorab kaufen, sie lässt sich nur beobachten.
Gefälscht wird nicht Ihre Bekanntheit, sondern eine bestehende Rechnungsbeziehung. Dafür genügt es, dass Ihre Kunden Sie kennen und regelmäßig Post von Ihnen erwarten. Kleinere Unternehmen sind für diese Masche eher attraktiver, weil die Rechnungsprüfung dort seltener zweistufig ist.
Dreißig Minuten, in denen wir einordnen, was von Ihrem Unternehmen außerhalb Ihres Netzwerks sichtbar ist, welche Schreibweisen bereits registriert sind und wie ein Fall bei Ihnen künftig ablaufen soll.
Vier Ergebnisse, die sich nach der Einführung überprüfen lassen — nicht vier Versprechen.
