Start › Glossar: OSINT und gefälschte Websites

Die Begriffe, die in unseren Berichten und auf dieser Website vorkommen, kurz erklärt. Wie sie in einer Analyse zusammenspielen, zeigt die Seite So läuft eine OSINT-Analyse ab.

Abuse-Kontakt
Die Stelle eines Registrars oder Hosters, an die Missbrauch gemeldet wird, meist eine E-Mail-Adresse oder ein Formular. Registrare für Domains wie .com müssen eine solche Adresse veröffentlichen. Eine Meldung dort ist oft der schnellste Weg, eine Fake-Seite vom Netz zu bekommen. Vorlage: Abuse-Meldung erstellen.
Beweisprotokoll
Unser Bericht: eine Aufstellung aller Abrufe mit Datum, Uhrzeit, Adresse, gesicherter Datei und Prüfsumme, dazu die Auswertung. Er soll es Dritten ermöglichen, jeden Schritt nachzuvollziehen.
Certificate Transparency
Öffentliche Register, in die Zertifizierungsstellen jedes ausgestellte TLS-Zertifikat eintragen. Gängige Browser vertrauen nur Zertifikaten, die dort verzeichnet sind. Für die Analyse heißt das: Man sieht, wann ein Zertifikat für eine Domain ausgestellt wurde und welche weiteren Namen darin stehen.
DENIC
Die Vergabestelle für Domains mit der Endung .de. DENIC verwaltet das Register, Kunden schließen ihre Verträge aber meist über einen Registrar. Angaben zu Inhabern gibt DENIC bei Privatpersonen nur auf begründete Anfrage heraus.
DNS
Domain Name System, das Adressbuch des Internets. Es übersetzt einen Namen wie musterbau.de in die IP-Adresse eines Servers. DNS-Einträge zeigen auch, welcher Dienst die E-Mails einer Domain empfängt.
Domain
Der Name einer Website, etwa musterbau.de. Fälscher wählen oft Namen, die dem Original ähneln, siehe Typosquatting.
Fake-Shop
Ein Online-Shop, der Waren anbietet, die nie geliefert werden. Typisch sind Preise weit unter Marktniveau und Zahlung nur per Vorkasse. Oft werden Name und Impressum eines echten Unternehmens verwendet, um Vertrauen zu wecken. Prüfpunkte: Fake-Shop-Check.
Hoster
Das Unternehmen, auf dessen Servern eine Website liegt. Der Hoster kann eine Seite abschalten, auch wenn die Domain weiter registriert bleibt.
Impressum-Klau
Eine fremde Website nutzt Firmenname, Adresse oder Handelsregisterdaten eines echten Unternehmens im Impressum. Geschädigte Kunden wenden sich dann an das echte Unternehmen. Was zu tun ist: Notfallplan.
IP-Adresse
Die technische Adresse eines Servers im Internet. Liegen mehrere verdächtige Domains auf derselben IP-Adresse, ist das ein Hinweis auf einen gemeinsamen Betreiber, aber kein Beweis: Bei großen Hostern teilen sich viele fremde Seiten eine Adresse.
MX-Eintrag
Der DNS-Eintrag, der festlegt, welcher Server die E-Mails einer Domain annimmt. Er zeigt, ob über eine Fake-Domain auch E-Mails verschickt oder empfangen werden können, etwa für Phishing.
Nameserver
Server, die die DNS-Einträge einer Domain bereitstellen. Ungewöhnliche oder bei vielen Fake-Seiten wiederkehrende Nameserver sind ein Muster, das Verknüpfungen sichtbar macht.
OSINT
Open Source Intelligence: die Gewinnung von Erkenntnissen aus öffentlich zugänglichen Quellen. „Open Source“ meint hier nicht Software, sondern frei abrufbare Informationen. OSINT arbeitet ohne Zugriff auf geschützte Systeme.
Passive DNS
Datensammlungen, die festhalten, welche Domain wann auf welche IP-Adresse zeigte. So lässt sich auch nach einem Umzug oder einer Abschaltung nachvollziehen, wo eine Seite früher lag.
Phishing
Der Versuch, über gefälschte Websites, E-Mails oder Nachrichten an Zugangsdaten, Zahlungsdaten oder Geld zu kommen. Phishing-Seiten ahmen oft Anmeldeseiten bekannter Anbieter nach.
Prüfsumme (Hashwert)
Eine Zeichenfolge, die aus dem Inhalt einer Datei berechnet wird, zum Beispiel mit dem Verfahren SHA-256. Schon eine winzige Änderung an der Datei ergibt eine völlig andere Prüfsumme. Damit lässt sich belegen, dass eine Sicherung seit ihrer Erstellung nicht verändert wurde.
Quelltext
Der HTML-Code, den ein Browser beim Aufruf einer Seite erhält. Fälscher verwenden oft dieselbe Vorlage für viele Seiten. Gleiche Kommentare, Dateinamen oder Kennungen im Quelltext verbinden Seiten miteinander.
RDAP
Registration Data Access Protocol, der Nachfolger von WHOIS. Liefert in einheitlichem Format Registrierungsdaten einer Domain: Registrar, Registrierungsdatum, Status, Nameserver und, soweit veröffentlicht, Angaben zum Inhaber.
Registrar
Das Unternehmen, über das eine Domain registriert wird und das sie verwaltet. Der Registrar kann eine Domain sperren oder löschen, wenn sie gegen seine Bedingungen verstößt.
Reverse-IP-Abfrage
Die Frage in umgekehrter Richtung: Welche Domains zeigen auf diese IP-Adresse? So werden Schwesterseiten auf demselben Server gefunden.
Sicherung
Die Speicherung einer Webseite in einem Zustand, der sich später belegen lässt: als Bildschirmansicht und als Originaldatei, mit Abrufadresse, Zeitstempel und Prüfsumme. Ein einfacher Screenshot ohne diese Angaben ist leichter anzuzweifeln.
TLS-Zertifikat
Bestätigt, dass eine verschlüsselte Verbindung zur richtigen Domain besteht, erkennbar am Schloss-Symbol im Browser. Es sagt nichts darüber aus, ob der Betreiber seriös ist. Fake-Shops nutzen fast immer kostenlose Zertifikate.
Typosquatting
Die Registrierung von Domains, die einer echten Adresse zum Verwechseln ähneln: ein vertauschter Buchstabe, ein Bindestrich mehr, eine andere Endung oder ein Zusatz wie „-outlet“ oder „-shop“.
Webarchiv
Dienste wie die Wayback Machine des Internet Archive speichern Kopien von Webseiten zu verschiedenen Zeitpunkten. Damit lässt sich zeigen, was früher unter einer Adresse stand, etwa ein anderer Fake-Shop mit demselben Aufbau.
WHOIS
Das ältere Abfrageverfahren für Domain-Registrierungsdaten. Wird zunehmend durch RDAP ersetzt. Seit der DSGVO sind Angaben zu privaten Inhabern meist geschwärzt.
Zeitstempel
Datum und Uhrzeit eines Abrufs, festgehalten in einer verlässlichen Zeitzone. Zusammen mit der Prüfsumme belegt er, welcher Inhalt zu welchem Zeitpunkt abrufbar war.

Ein Begriff fehlt? Schreiben Sie uns an kontakt@kautz-beratung.de.

Stand: 07.11.2026