Homoglyphen und IDN: Wenn Buchstaben täuschen

Was sind Homoglyphen?

Unicode enthält viele Zeichen, die sich auf dem Bildschirm kaum unterscheiden. Das Unicode Consortium führt dafür in UTS #39 eine eigene Liste verwechselbarer Zeichen („Confusables“). Für Betrüger sind sie interessant, weil eine Domain dann genauso aussehen kann wie die echte, technisch aber eine ganz andere ist.

IDN und Punycode: was hinter xn-- steckt

Das DNS kennt ursprünglich nur Buchstaben a–z, Ziffern und den Bindestrich. Damit Domains wie müller.de möglich sind, gibt es internationalisierte Domainnamen (IDNA, RFC 5890). Sie werden mit dem Punycode-Verfahren (RFC 3492) in eine ASCII-Form übersetzt, die mit xn-- beginnt. Aus müller.de wird so xn--mller-kva.de.

Dieselbe Technik funktioniert mit kyrillischen Buchstaben: muѕter-gmbh.de mit kyrillischem „ѕ“ an dritter Stelle hat die technische Form xn--muter-gmbh-n2i.de. Ob ein Programm die lesbare oder die xn---Form anzeigt, hängt von Browser und Mailprogramm ab – darauf sollten Sie sich nicht verlassen.

Welche Zeichen unter .de erlaubt sind

Die DENIC lässt in .de-Domains neben a–z, 0–9 und dem Bindestrich nur 93 zusätzliche lateinische Zeichen zu, etwa Umlaute, ß und Buchstaben mit Akzenten. Kyrillische oder griechische Zeichen gehören nicht dazu. Die Domain aus dem Beispiel oben ließe sich unter .de also nicht registrieren.

Auch für andere Endungen empfehlen die IDN-Richtlinien der ICANN, dass alle Zeichen eines Domain-Labels aus derselben Schrift stammen; Ausnahmen gibt es für Sprachen, die Schriften üblicherweise mischen, etwa Japanisch. Gefährlicher sind deshalb Domains, die vollständig aus fremden Zeichen bestehen und trotzdem wie ein bekannter Name aussehen, sowie Varianten innerhalb derselben Schrift.

Die einfachste Form: Ziffern und ähnliche Buchstaben

Ohne jede Sonderschrift kommen Varianten aus, bei denen Ziffern Buchstaben ersetzen: h0lzbau-gmbh.de mit einer „0“ statt holzbau-gmbh.de oder eine „1“ statt eines „l“. Solche Domains sind unter jeder Endung registrierbar und in vielen Schriftarten schwer zu erkennen. OrderGuard prüft sie deshalb immer mit. Für Betrüger sind solche Doppelgänger-Domains ein günstiger Weg, im Namen Ihres Unternehmens Bestellungen auf Rechnung bei Lieferanten aufzugeben (siehe Bestellbetrug auf Rechnung).

So erkennen Sie gefälschte Schreibweisen

• Adresse kopieren statt lesen: Kopieren Sie die Absenderdomain in ein Textfeld mit Monospace-Schrift – dort fallen „1“ und „l“ eher auf.
• Auf xn-- achten: Taucht die technische Form in Kopfzeilen oder Links auf, handelt es sich um eine IDN.
• Kontaktdaten aus dem Adressbuch verwenden statt auf „Antworten“ zu klicken.
• Ähnliche Domains systematisch prüfen lassen – zum Beispiel mit dem Gratis-Check von OrderGuard, der Homoglyphen als eigene Familie erzeugt.

Wie wir IDN-Varianten im Hinweiswert berücksichtigen, steht unter So funktioniert’s.