Wie prüfen Sie, ob Lookalike- / Typosquat-Domains Ihre Marke bedrohen?

Warum ist die Bedrohung ernst zu nehmen?

Eine Lookalike-Domain richtet für sich genommen keinen Schaden an; die eigentliche Gefahr liegt darin, was mit ihr geschieht:

• Rechnungsbetrug (BEC): eine E-Mail an Ihren Kunden von accounts@yourcompany-ltd.com mit dem Inhalt „unsere IBAN hat sich geändert“. In diesem Szenario verlieren KMU in Nordzypern und der Türkei am meisten Geld.
• Phishing gegen Ihre Mitarbeitenden: eine E-Mail zum Zurücksetzen des Passworts, unterzeichnet mit „IT-Abteilung“ und von einer ähnlichen Domain gesendet.
• Gefälschte Website / gefälschte App: eine Anmeldeseite mit dem Logo Ihrer Marke, die Kundendaten abgreift.
• Reputation: Wird ein Kunde betrogen, ist klar, wen er dafür verantwortlich macht.

Dieser Angriff funktioniert selbst dann, wenn Ihr DMARC-Eintrag korrekt ist, denn der Angreifer nutzt seine eigene Domain, nicht Ihre. Deshalb ergänzen sich E-Mail-Sicherheit und Lookalike-Prüfung; keines von beiden ersetzt das andere.

Welche Varianten werden erzeugt?

Eine gute Prüfung probiert die folgenden Ableitungen aus (Beispiele auf Basis von arvenova.ai):

• Tippfehler: arvenoa.ai, arvneova.ai, arvenovaa.ai
• Vertauschte Zeichen: arvenove.ai, arvenoba.ai
• Homoglyphen: arven0va.ai (Null), arvenova mit einem kyrillischen „а“
• Ergänzungen und Auslassungen: arvenova-ai.com, arvenovaai.com, arvenova-support.com, my-arvenova.com
• Andere Endungen: arvenova.com, arvenova.net, arvenova.co, arvenova.com.tr
• Bindestriche und Satzzeichen: arve-nova.ai, arvenova.a.i

Für jeden Kandidaten werden zwei Fragen gestellt: Ist er registriert (löst ein A-Eintrag auf), und kann er E-Mails versenden (gibt es einen MX-Eintrag)? Eine Lookalike-Domain mit MX-Eintrag ist am wahrscheinlichsten für Phishing eingerichtet worden.

Ein echtes Beispiel: die Ausgabe von Fjordex

Die folgende Ausgabe wurde am 24. Oktober 2026 mit dem Tool find_lookalike_domains des Fjordex-Connectors für arvenova.ai erzeugt und nicht verändert:

{
  "domain": "arvenova.ai",
  "check": "lookalike_domains",
  "summary": { "critical": 0, "high": 0, "medium": 1, "low": 0, "info": 0 },
  "findings": [
    {
      "id": "brand.lookalike_registered",
      "title": "Look-alike domain registered: arvenova.com",
      "severity": "medium",
      "evidence": "arvenova.com resolves to ['199.36.158.100'].",
      "recommendation": "Verify ownership; if not yours, consider a takedown/abuse report or defensive registration.",
      "category": "brand"
    }
  ],
  "observations": {
    "candidates_tested": 57,
    "registered_lookalikes": [
      { "domain": "arvenova.com", "a": ["199.36.158.100"], "has_mx": false }
    ]
  }
}

So lesen Sie das: 57 Varianten wurden geprüft, nur eine ist registriert. arvenova.com ist unsere eigene defensive Registrierung und leitet auf arvenova.ai weiter; has_mx: false zeigt, dass sie keine E-Mails versenden kann. Das kann das Tool nicht wissen, daher stuft es den Befund als „medium“ ein und empfiehlt, die Inhaberschaft zu prüfen. Genau das ist das richtige Verhalten: Ein Befund ist keine Entscheidung; die Entscheidung trifft ein Mensch.

Zeigte dieselbe Ausgabe eine Domain mit has_mx: true, die Ihnen nicht gehört, wäre das ein Fall für „high“, und es gelten die folgenden Schritte.

Was ist zu tun, wenn ein Befund auftaucht?

1. Inhaberschaft prüfen. Die Domain kann Ihnen, einer früheren Agentur oder einer Tochtergesellschaft gehören. Prüfen Sie WHOIS und Ihre eigenen Unterlagen.
2. Beweise sichern. Screenshots, DNS-Einträge, gegebenenfalls den Inhalt der Website und Beispiele versendeter E-Mails. Bewahren Sie alles mit Zeitstempel auf.
3. Abuse-Meldung einreichen. Melden Sie die Markenrechtsverletzung bzw. das Phishing dem Registrar der Domain und dem Hosting-Anbieter. Die meisten Registrare bieten ein Abuse-Formular an; Ihre Markeneintragungsurkunde beschleunigt das Verfahren.
4. Kunden und Mitarbeitende warnen. Ein kurzer, klarer Hinweis: „Wir schreiben ausschließlich von @arvenova.ai-Adressen; bestätigen Sie IBAN-Änderungen immer telefonisch.“
5. Auf Ihrem Mailserver blockieren. Nehmen Sie die Lookalike-Domain in Ihre Regeln für eingehende E-Mails auf, damit sie Ihre Mitarbeitenden nicht erreicht.
6. Defensiv registrieren. Registrieren Sie die 5-10 wahrscheinlichsten Varianten selbst (insbesondere .com, .net, .co und Ihre Länderendung) und leiten Sie sie auf Ihre Hauptdomain um. Die jährlichen Kosten sind gering.
7. Regelmäßig wiederholen. Jeden Monat werden neue Lookalike-Domains registriert; genau dafür gibt es das monatliche Monitoring.

Wie Lookalike-Prüfungen und DMARC zusammenhängen

DMARC verhindert, dass Ihre Domain gefälscht wird: Ein Angreifer kann nicht als info@arvenova.ai schreiben. Eine Lookalike-Prüfung macht Angriffe mit ähnlichen Domains sichtbar: Der Angreifer schreibt als info@arvenova.co. Vollständiger Schutz erfordert beides. Das Fjordex-Tool full_scan liefert beides im selben Bericht, und auch die ArveNova-Bewertung der Stufe 1 enthält beide Prüfungen.