Doppelgänger-Domains: Was sie sind und wie Sie sie erkennen

Was ist eine Doppelgänger-Domain?

Bei einer Doppelgänger-Domain wird nicht Ihre Domain selbst gefälscht, sondern eine neue, ähnlich aussehende Domain registriert. Wer eine E-Mail von einkauf@beispiel-gmhb.de statt @muster-gmbh.de bekommt, bemerkt den Unterschied im Alltag oft nicht. Der Fachbegriff Typosquatting beschreibt dabei vor allem Domains, die auf Tippfehler setzen; „Lookalike“ ist der Oberbegriff für alle Verwechslungsvarianten.

Das BSI beschreibt, dass Kriminelle Absenderangaben fälschen, um sich als Unternehmen, Behörde oder bekannte Person auszugeben – und dass dabei vertraut wirkende Namen gezielt eingesetzt werden. Eine ähnliche Domain ist eine besonders hartnäckige Form davon, weil die Absenderadresse technisch echt ist: Sie gehört nur nicht Ihnen. Für Ihre Lieferanten entsteht so ein Risiko, das Sie selbst nicht sehen: Im Namen Ihres Unternehmens wird Ware auf Rechnung bestellt (siehe Bestellbetrug auf Rechnung).

Typische Muster

Die folgenden 12 Muster prüft OrderGuard. Alle Beispiele sind echte Ausgaben unseres Variantengenerators für die fiktive Domain muster-gmbh.de:

• Rechtsform und Einkaufswörter: Typisch für Bestellbetrug im deutschen Markt: andere oder verdrehte Rechtsform (gmbh, gmhb, ag, kg, ug), Rechtsform ohne Bindestrich oder ganz weggelassen und Zusätze wie bestellung, einkauf, order, rechnung oder service. Beispiele: muster-gmhb.de, muster-ag.de, muster-einkauf.de.
• Umlaute: Umlaute und ß in jeder Schreibweise: ä als ae oder a, ö als oe oder o, ü als ue oder u, ß als ss oder s – und umgekehrt. Beispiele: müller-gmbh.de → mueller-gmbh.de, mueller-gmbh.de → müller-gmbh.de.
• Andere Endung: Gleicher Name, andere Top-Level-Domain. Geprüft werden .de, .com, .eu, .shop, .at, .ch, .net, .org, .io, .co, .info, .app, .online und .co.uk. Beispiele: muster-gmbh.com, muster-gmbh.shop, muster-gmbh.at.
• Ausgelassenes Zeichen: Ein Buchstabe oder Bindestrich fehlt – beim schnellen Lesen fällt das kaum auf. Beispiele: muter-gmbh.de, mustergmbh.de.
• Doppeltes Zeichen: Ein Buchstabe ist verdoppelt. Beispiele: mustter-gmbh.de, muster-gmbbh.de.
• Vertauschte Zeichen: Zwei benachbarte Zeichen sind vertauscht – ein klassischer Tippfehler. Beispiele: umster-gmbh.de, muster-gmhb.de.
• Tastatur-Nachbar: Ein Zeichen ist durch eine benachbarte Taste ersetzt (QWERTY-Belegung). Beispiele: muster-gmbj.de, muster-gnbh.de.
• Ähnlich aussehende Zeichen: Homoglyphen: Ziffern wie „1“ statt „i“ oder „l“ und „0“ statt „o“. Auch Zeichen aus anderen Schriften, etwa ein kyrillisches „ѕ“ statt „s“, werden geprüft – sie erscheinen technisch als Punycode (xn--…). Unter .de lässt die DENIC solche Zeichen allerdings nicht zu. Beispiele: muѕter-gmbh.de (xn--muter-gmbh-n2i.de), mυster-gmbh.de (xn--mster-gmbh-dsh.de).
• Zeichenfolgen: Buchstabenpaare, die wie ein einzelnes Zeichen wirken: „rn“ statt „m“, „vv“ statt „w“, „cl“ statt „d“ – und umgekehrt. Beispiele: rnuster-gmbh.de, muster-grnbh.de.
• Bitflips: Ein einzelnes umgekipptes Bit macht aus einem Buchstaben einen anderen gültigen Buchstaben (Bitsquatting) – selten, aber billig zu registrieren. Beispiele: euster-gmbh.de, mus4er-gmbh.de.
• Zusatzwörter: Vertrauenswürdig klingende Wörter vor oder hinter dem Namen: secure, login, mail, support, service, konto, online und shop. Beispiele: login-muster-gmbh.de, muster-gmbh-konto.de.
• Ersetztes Zeichen: Ein Zeichen ist durch einen beliebigen anderen Buchstaben oder eine Ziffer ersetzt. Beispiele: mu5ter-gmbh.de, muster-gmhh.de.

Eine einzelne verdächtige Adresse prüfen Sie sofort mit dem kostenlosen Tool Absender prüfen: Es vergleicht die Domain mit Ihrer Firmendomain und benennt das Muster – direkt im Browser.

Warum gerade die Mailfähigkeit zählt

Eine registrierte, aber leere Domain richtet wenig Schaden an. Für Betrug per E-Mail braucht ein Angreifer zweierlei: Die Domain muss im DNS aktiv sein, und Antworten müssen bei ihm ankommen. Genau das zeigt der MX-Eintrag – er benennt die Mailserver einer Domain. Fehlt er, stellen Mailserver nach dem SMTP-Standard ersatzweise an die Adresse der Domain zu (implizites MX). Wie das genau funktioniert, erklären wir im Ratgeber MX, SPF, DKIM und DMARC.

Polizei und BKA beschreiben die typische Masche: Täter geben sich als Geschäftsführung oder Geschäftspartner aus, erzeugen Zeitdruck und verlangen eine Überweisung, eine geänderte Bankverbindung oder eine Lieferung. Eine mailfähige Doppelgänger-Domain macht diese Kommunikation glaubwürdig – auch über mehrere Nachrichten hinweg.

So finden Sie Doppelgänger Ihrer Firmendomain

1. Varianten systematisch erzeugen statt raten: Endungen, Tippfehler, vertauschte Zeichen, Tastatur-Nachbarn, Homoglyphen und Zusatzwörter wie „login“ oder „konto“.
2. Öffentliche DNS-Daten abfragen: Ist die Variante registriert? Hat sie Nameserver, Adressen, Mailserver?
3. Nach Mailfähigkeit priorisieren: Registrierte Domains mit Mailserver zuerst ansehen.
4. Eigene Registrierungen abgleichen: Viele Firmen sichern sich .com oder .eu selbst – das ist dann kein Fremdrisiko.
5. Regelmäßig wiederholen: Neue Domains entstehen jederzeit.

Genau diese Schritte automatisiert OrderGuard: Der Gratis-Check zeigt mit Ampel und Anzahl, ob registrierte Doppelgänger existieren. Der Bericht nennt alle gefundenen Domains mit Begründung, der Watcher prüft monatlich neu und meldet neue Funde per E-Mail. OrderGuard zeigt bewusst nur registrierte Domains – nicht registrierte Varianten nennen wir nicht, um Betrügern keine Ideen zu liefern.

Was eine Prüfung nicht leisten kann

Aus DNS-Daten lässt sich nicht ablesen, wem eine Domain gehört oder ob sie für Betrug genutzt wird. Ein Treffer ist ein Anlass zur Prüfung, kein Beweis. Umgekehrt schützt ein unauffälliges Ergebnis nicht vor gefälschten Absendernamen oder kompromittierten Postfächern. Deshalb bleibt ein fester Prüfprozess für neue Bestellungen und geänderte Zahlungsdaten unverzichtbar – unsere Checkliste: Lieferanten warnen hilft dabei.