Bekannte Fälle von Typosquatting im Überblick
Autor: Redaktion Domeny.ForSale Veröffentlicht
Kurz gefasst: Beim Typosquatting werden Adressen registriert, die der richtigen Domain ähneln, um Tippfehler oder die Unaufmerksamkeit von Internetnutzern auszunutzen. Bekannte Fälle betreffen unter anderem die Marken Verizon und Microsoft sowie Websites, deren Besucher John Zuccarini abfing. Solche Domains dienten dazu, Werbung anzuzeigen, Nutzer weiterzuleiten, Daten zu erschleichen oder das Verlassen der Seite zu erschweren.
Was genau ist Typosquatting?
Typosquatting ist eine Form des Cybersquattings, also der Nutzung von Domains, die mit dem Namen oder der Marke eines anderen verbunden sind. Kennzeichnend ist ein Fehler, den Nutzer bei der Eingabe einer Adresse machen können: ein ausgelassener Buchstabe, ein vertauschtes Zeichen, eine falsche Reihenfolge oder ein zusätzliches Zeichen.
Wäre die Beispieldomain bezpiecznybank.pl die richtige Adresse, könnte sich ein Angreifer für Varianten wie bezpiecznybnak.pl oder bezpieczny-bank.pl interessieren. Die erste nutzt vertauschte Buchstaben; die zweite ist im engeren Sinne kein Tippfehler, kann aber dieselbe Funktion erfüllen: auf den ersten Blick glaubwürdig wirken.
Nicht jede ähnliche Domain ist automatisch rechtswidrig. Entscheidend sind unter anderem ihre Nutzung, die Verwechslungsgefahr, die Rechte am Namen und die Absicht des Registrierenden. Zur Beurteilung eines konkreten Falls kann es erforderlich sein, die Registrierungsbedingungen, die Regeln zur Streitbeilegung und das anwendbare Recht zu prüfen.
John Zuccarini und das massenhafte Abfangen von Tippfehlern
Einer der bekanntesten Typosquatter war John Zuccarini. Er registrierte zahlreiche Domains, die Fehler in den Namen beliebter Websites und Marken ausnutzten. Wer sich bei der Adresseingabe vertippte, gelangte auf Websites, die mit Werbung oder Weiterleitungen Geld verdienten; einige führten auch zu pornografischen Inhalten.
Mit seiner Tätigkeit wird ein Mechanismus namens Mousetrapping verbunden. Dabei wurden weitere Browserfenster geöffnet oder das Verlassen der Website erschwert, sodass ein zufälliger Besuch weitere Werbeeinblendungen erzeugte. US-amerikanische Behörden und Gerichte befassten sich mit Zuccarinis Fällen. Sein Name wurde zum Beispiel für die kommerzielle Nutzung massenhaft registrierter Tippfehler-Domains.
Dieser Fall zeigt, dass Typosquatting nicht sofort Passwortdiebstahl bedeuten muss. Schon der Besucherstrom zufällig gelandeter Nutzer kann einen Wert haben, wenn der Domaininhaber jeden Besuch monetarisiert.
Verizon gegen OnlineNIC
Der viel beachtete Rechtsstreit zwischen Verizon und dem Registrar OnlineNIC betraf Hunderte von Adressen, die den Marken des US-amerikanischen Telekommunikationsunternehmens ähnelten. Darunter waren Varianten mit falschen Schreibweisen des Namens Verizon. Die Domains leiteten Besucher auf Seiten mit Werbung und kommerziellen Links.
Ein US-amerikanisches Gericht erließ in diesem Fall ein Versäumnisurteil zugunsten von Verizon und sprach dem Unternehmen hohen Schadensersatz nach den gesetzlichen Vorgaben zu. Der Fall wird häufig angeführt, weil es nicht um eine einzelne, zufällige Adresse ging, sondern um ein organisiertes Domainportfolio, das mit der Ähnlichkeit zu einer geschützten Marke Geld verdiente.
Er zeigt auch den Unterschied zwischen einer defensiven Registrierung und Typosquatting. Ein Unternehmen kann die naheliegendsten Tippfehler seiner eigenen Domain erwerben und auf die richtige Website weiterleiten. Ein Dritter, der dieselben Varianten registriert, um aus den Fehlern der Kunden Gewinn zu ziehen, verfolgt einen völlig anderen Zweck.
Der Fall Microsoft gegen Shah
Microsoft ging gegen Amar Shah und mit ihm verbundene Unternehmen wegen Domains vor, die den Namen seiner Produkte und Dienstleistungen ähnelten. Zu den Vorwürfen gehörten die Registrierung falsch geschriebener Varianten und die Weiterleitung von Nutzern auf Werbeseiten. Der Streit endete mit einem Vergleich, der eine Zahlung und die Übertragung der Domains umfasste.
Entscheidend war hier das wiederkehrende Vorgehen: viele ähnliche Adressen, die Nutzung der Markenbekanntheit und die Monetarisierung irrtümlicher Seitenaufrufe. Ein einzelner Tippfehler mag harmlos wirken, doch ein ganzes Netz solcher Domains kann den Besucherverkehr für verschiedene Produkte oder Dienstleistungen eines Unternehmens abfangen.
Tippfehler, Homograph und irreführende Endung
Nicht alle Domainfallen sind klassisches Typosquatting. Ein homographischer Angriff nutzt Zeichen, die ähnlich aussehen, obwohl es sich um unterschiedliche Zeichen handelt – beispielsweise das lateinische a und sein Gegenstück aus einem anderen Alphabet. Der Austausch der Endung, etwa von .com gegen eine andere, wird dagegen mitunter als TLD-Verwechslung oder als Identitätsvortäuschung mittels einer ähnlichen Domain bezeichnet.
Für Nutzer ist die terminologische Abgrenzung weniger wichtig als das Ergebnis. Vor einer Anmeldung oder Zahlung sollte die gesamte Adresse geprüft werden, nicht nur der am Anfang sichtbare Name. Es ist sicherer, die Bank, den Shop oder das Firmenportal über ein Lesezeichen zu öffnen, als die Domain von Hand einzugeben oder einen in einer Nachricht zugesandten Link zu verwenden.
Wie beide Seiten das Risiko verringern können
Markeninhaber sollten zunächst einige der wahrscheinlichsten Fehler bestimmen: einen fehlenden Buchstaben, ein doppeltes Zeichen, vertauschte benachbarte Buchstaben und eine falsche Endung. Jede mögliche Variante zu registrieren, ist meist nicht realistisch. Deshalb sollten Adressen rund um Anmeldung, Zahlungen und Kundenservice Vorrang haben. Hilfreich ist auch die Überwachung neuer Domains, die dem Firmennamen ähneln.
Nach der Entdeckung einer verdächtigen Adresse sollten Belege für ihre Nutzung gesichert, der Betreiber ermittelt und das zuständige Streitbeilegungsverfahren geprüft werden. Je nach Endung und Umständen kommen eine Missbrauchsmeldung, ein Schiedsverfahren wie UDRP oder der Gerichtsweg infrage. Dies sind allgemeine Informationen, keine individuelle Rechtsberatung; die aktuellen Regeln und erforderlichen Nachweise müssen beim Betreiber der Registry, beim Verfahrensanbieter oder bei einem Rechtsanwalt bestätigt werden.
Der nächste praktische Schritt ist einfach: Speichern Sie die wichtigsten Websites als Lesezeichen und prüfen Sie im Unternehmen noch heute einige der naheliegendsten Tippfehler der Domain, die für E-Mail und Zahlungen genutzt wird.
Siehe auch: Domain und Phishing – wie schützt man Kunden vor Identitätsvortäuschung?
Lesen Sie auch
