Warum wir „White Pages“ und Weiterleitungen zu offiziellen Websites sperren: Das Cloaking-Problem erklärt

Die Frage, die uns immer wieder gestellt wird

Jede Woche erhalten wir denselben Appell: „Sie haben meine Domain als verdächtig markiert, aber wenn ich sie mir anschaue, wird man einfach auf die offizielle Website weitergeleitet. Da ist nichts Bösartiges.“

Oder eine Variante: „Die Seite ist lediglich ein Blogbeitrag über Kryptowährungen. Es handelt sich nicht um Phishing.“

Wir verstehen, warum das verwirrend ist. Wenn Sie eine Domain besuchen, die als verdächtig markiert wurde, und eine völlig normale Seite sehen – oder eine einwandfreie Weiterleitung zu einer legitimen Website –, ist es nur natürlich anzunehmen, dass die Markierung falsch ist. Diese einwandfreie Seite ist jedoch kein Fehler in unserem Erkennungssystem. Es ist der Angriff.

In diesem Artikel wird erläutert, welche Technologie hinter dem Cloaking steckt, warum es „White Pages“ gibt, wie TDS wie Keitaro die Opfer weiterleiten und warum PhishDestroy jedes einzelne dieser Muster als bestätigte bösartige Infrastruktur behandelt – ohne jegliche Ausnahme.

Wie Antivirenprogramme die Spielregeln verändert haben

Vor einem Jahrzehnt war Phishing noch ganz einfach. Ein Angreifer registrierte eine Domain, richtete eine gefälschte Anmeldeseite ein und schickte den Link an die Opfer. Sicherheitsanbieter durchsuchten diese URL schließlich, entdeckten die Phishing-Seite und fügten sie ihren Sperrlisten hinzu. Die Domain wurde dann innerhalb von Stunden oder Tagen deaktiviert.

Dann verbesserte sich die Situation in der Branche. Google Safe Browsing, Microsoft SmartScreen und über 100 Antiviren-Engines auf Plattformen wie VirusTotal begannen, URLs nahezu in Echtzeit zu scannen. Warnungen auf Browserebene senkten die Klickraten drastisch. Hosting-Anbieter richteten automatisierte Verfahren zur Abschaltung solcher Seiten ein. Der Zeitraum zwischen der Veröffentlichung einer Phishing-Seite und ihrer Abschaltung verkürzte sich von Tagen auf Minuten.

Die Phishing-Betreiber hatten ein Problem: Ihre Seiten wurden schneller entdeckt, als sie sie online stellen konnten. Sie suchten nach einer Möglichkeit, die Phishing-Inhalte echten Opfern anzuzeigen, während sie für jedes automatisierte System, das versuchte, sie zu erkennen, völlig harmlos wirkten.

Die Antwort lautete Tarnung.

Das Wettrüsten: Als sich die Erkennungsgeschwindigkeit von Antivirenprogrammen von Tagen auf Minuten verkürzte, reagierten die Phishing-Betreiber mit einer Tarninfrastruktur, die Scannern andere Inhalte anzeigt als den tatsächlichen Opfern.

Was Cloaking eigentlich ist

Unter „Cloaking“ versteht man die Praxis, verschiedenen Besuchern je nach ihrer Identität unterschiedliche Inhalte anzuzeigen. Im Zusammenhang mit Phishing bedeutet dies eines: Sicherheitsscanner erkennen eine harmlose Seite, während echte Opfer die Phishing-Seite sehen.

Die Filterung kann auf mehreren Ebenen erfolgen:

• IP-Reputation — Bekannte IP-Adressen von Rechenzentren, VPN-Bereiche und IP-Blöcke von Sicherheitsanbietern erhalten die „saubere“ Version. Privatanwender-IPs werden auf die Phishing-Seite weitergeleitet.
• User-Agent-Strings — Headless-Browser, bekannte Crawler (Googlebot, Bingbot, Screaming Frog) und Sicherheitsscanner werden erkannt und herausgefiltert.
• Geolokalisierung — Die Phishing-Seite wird nur Besuchern aus den Ziel Ländern angezeigt. Alle anderen sehen die leere Seite.
• Referrer-Header — Nur Besucher, die über bestimmte Quellen (eine Google-Anzeige, einen Link in einer Phishing-E-Mail, einen Social-Media-Beitrag) auf die Seite gelangen, sehen den eigentlichen Inhalt.
• Geräte-Fingerprinting — JavaScript überprüft die Bildschirmauflösung, die installierten Schriftarten, den WebGL-Renderer, die Akku-API und weitere Indikatoren, um echte Geräte von Emulatoren zu unterscheiden.
• Zeitabhängige Regeln — Die Phishing-Seite ist nur zu bestimmten Zeiten aktiv (z. B. während der Geschäftszeiten in der Zielzeitzone) und wird außerhalb dieser Zeitfenster standardmäßig als leere Seite angezeigt.
• Cookie-/Sitzungs-Tracking — Beim ersten Besuch wird die leere Seite angezeigt. Wiederkehrende Besucher mit einem bestimmten Cookie (das durch den Klick auf die Anzeige gesetzt wurde) sehen die Phishing-Seite.

Die Cloaking-Infrastruktur filtert Besucher auf mehreren Ebenen. Bis ein echtes Opfer die Phishing-Seite erreicht, wurde jeder automatisierten Abwehr bereits ein harmloser Köder präsentiert.

Eine ausgeklügelte Tarnvorrichtung vereint all diese Elemente. Das Ergebnis ist eine Domain, die für jeden Scanner im Internet völlig harmlos erscheint, während sie gleichzeitig aktiv Zugangsdaten von den ins Visier genommenen Opfern stiehlt.

Die Werkzeuge hinter der Täuschung

Cloaking lässt sich nicht improvisieren. Es läuft auf einer speziellen kommerziellen Software namens Verkehrsverteilungssysteme (TDS). Am häufigsten wird bei Phishing-Angriffen Keitaro.

Keitaro ist ein seriöses Ad-Tech-Produkt, das für Affiliate-Vermarkter entwickelt wurde, um den Traffic anhand von Besuchermerkmalen weiterzuleiten. Es unterstützt standardmäßig alle oben aufgeführten Filterkriterien – IP-Bereiche, geografische Lage, Gerät, Referrer, User-Agent. Phishing-Betreiber konfigurieren es einfach so, dass Scanner auf eine leere Seite und Opfer auf die Phishing-Seite weitergeleitet werden.

Unsere Untersuchung, veröffentlicht als Keitaro TDS: 1.500 belichtete Platten, identifiziert 1.565 aktive Keitaro-Panels die Phishing-Infrastruktur bereitstellt. Nicht 1.565 Phishing-Seiten – 1.565 Bedienfelder, von denen jede Dutzende bis Hunderte von Phishing-Kampagnen gleichzeitig durchführt.

Keitaro TDS: ein kommerzielles System zur Verkehrsverteilung, das als Rückgrat für Phishing-Cloaking umfunktioniert wurde. Über 1.565 Panels wurden identifiziert und dokumentiert.

Zu den weiteren TDS-Plattformen, auf die wir stoßen, gehören:

• Binom — Selbst gehosteter Tracker, der bei Operationen in der GUS-Region beliebt ist
• BeMob — Cloud-basierter Tracker mit IP-Filterung und Bot-Erkennung
• Benutzerdefinierte PHP-Router — Eigenentwickelte Skripte unter Verwendung von MaxMind GeoIP und IP-Sperrlisten
• Cloudflare Workers — Edge-basiertes Routing, bei dem die Besucherattribute ausgewertet werden, noch bevor die Anfrage den Ursprungsserver erreicht

Der gemeinsame Nenner: Sie alle dienen dazu, verschiedenen Besuchern unterschiedliche Inhalte anzuzeigen. In der Welt des Affiliate-Marketings wird dies als „Traffic-Optimierung“ bezeichnet. Beim Phishing heißt es Hinterziehung.

Das Szenario „Weiterleitung zur offiziellen Website“

Eines der häufigsten Cloaking-Muster, auf die wir stoßen, ist eine Domain, die einfach auf eine offizielle Website weiterleitet. Der Aufruf sieht immer gleich aus: „Überzeuge dich selbst – man wird einfach zu coinbase.com weitergeleitet. Es handelt sich nicht um Phishing.“

Und so sieht die tatsächliche Situation aus:

Die Weiterleitung auf die offizielle Website ist kein Hinweis darauf, dass die Domain harmlos ist. Es ist der Tarnmechanismus selbst. Das TDS hat festgestellt, dass es sich bei dem Besucher um einen Scanner handelt, und die sicherste Reaktion – diejenige, die am ehesten zu einem fehlerfreien Scan führt – besteht darin, auf die echte Website weiterzuleiten.

Hier ist ein vereinfachtes Beispiel für die serverseitige Logik:

// Simplified cloaking router (illustrative)
const SCANNER_IPS = ['34.0.0.0/8', '35.0.0.0/8', '64.233.0.0/16']; // Google, etc.
const BOT_UA = /bot|crawl|spider|scan|check|virus|curl|wget|python/i;
const TARGET_GEO = ['US', 'GB', 'CA', 'AU'];

function routeVisitor(req) {
  const ip = req.headers['cf-connecting-ip'];
  const ua = req.headers['user-agent'];
  const geo = req.headers['cf-ipcountry'];

  // If scanner/bot detected: redirect to official site
  if (isInRange(ip, SCANNER_IPS) || BOT_UA.test(ua)) {
    return Response.redirect('https://www.coinbase.com', 302);
  }

  // If not in target geography: show white page
  if (!TARGET_GEO.includes(geo)) {
    return renderWhitePage(); // Innocent blog post
  }

  // Real victim from target country: show phishing page
  return renderPhishingPage(); // Credential harvester
}

Das Problem mit den „Weißen Seiten“

Eine „White Page“ ist der Scheininhalt, den eine getarnte Phishing-Domain Scannern und nicht zur Zielgruppe gehörenden Besuchern anzeigt. Trotz des Namens handelt es sich dabei selten um eine leere, weiße Seite. Moderne White Pages sind voll funktionsfähige Websites so gestaltet, dass sie seriös wirkt:

• Blogbeiträge zu den Themen Kryptowährung, Finanzen oder Technologie
• Produkt-Landingpages für allgemeine SaaS-Tools
• Nachrichtenartikel, die aus seriösen Publikationen zusammengetragen wurden
• Geparkte Domain-Seiten mit allgemeinen „Coming soon“-Meldungen
• SEO-optimierte Inhalte, die darauf ausgelegt sind, in den Suchergebnissen weit oben zu erscheinen

Dieser letzte Punkt ist entscheidend. Weiße Seiten sind nicht nur Mittel zur Ausflucht – sie sind SEO-Werkzeuge. Indem sie hochwertige Inhalte auf einer Phishing-Domain hosten, erreichen die Betreiber zwei Ziele gleichzeitig: Sie entgehen der Aufdeckung und Sie bauen eine Domain-Autorität auf, die dazu führt, dass ihre Phishing-Links in den Suchergebnissen weiter oben erscheinen.

Der dreistufige SEO-Poisoning-Angriff

Dies ist der gesamte Lebenszyklus einer auf „White Pages“ basierenden Phishing-Kampagne:

„White Pages“ sind keine passive Ausweichstrategie. Sie sind aktive SEO-Werkzeuge, die die Domain-Autorität stärken, Suchrankings erzielen und diese Reputation anschließend nutzen, um Phishing-Angriffe über organische Suchergebnisse an Opfer zu richten.

Aus diesem Grund kennzeichnen wir Domains bereits in Phase 1. Wenn Phase 3 einsetzt, ist der Schaden bereits angerichtet. Auf das Erscheinen der Phishing-Seite zu warten, bedeutet, darauf zu warten, dass die Opfer ihre Zugangsdaten und ihr Geld verlieren.

Aktive Traffic-Szenarien: Anzeigen und E-Mail-Kampagnen

Nicht alle getarnten Phishing-Angriffe stützen sich auf organische Suchergebnisse. Zwei der aggressivsten Methoden zur Traffic-Gewinnung sind bezahlte Werbung und E-Mail-Kampagnen, die beide Cloaking nutzen, um die Überprüfung durch die Plattform zu umgehen.

Cloaking bei Google Ads

Unsere Untersuchung zu dem BUYTRX-Drainer-Netzwerk dokumentiert 55+ Domains Google Ads nutzen, um Besucher auf Websites zu leiten, die das Portemonnaie leeren. Der Mechanismus:

1. Der Betreiber reicht die Domain zur Überprüfung durch Google Ads ein. Der Crawler von Google findet eine leere Seite vor (ein Blog über Blockchain-Technologie). Anzeige genehmigt.
2. Die Anzeige wird geschaltet und zielt auf die Suchbegriffe „Connect Wallet“ und „Crypto Airdrop“ ab.
3. Ein Google-Nutzer klickt auf die Anzeige. TDS erkennt eine Privat-IP-Adresse, die von einem Google-Ads-Referrer stammt. Es wurde ein Abtropfgestell für Geldbörsen serviert.
4. Das Opfer verbindet seine Wallet. Das Guthaben wird innerhalb von Sekunden über eine vorab signierte Transaktion abgezogen.

Das Anzeigenprüfungssystem von Google erkennt – wie jeder automatisierte Scanner – nur die weiße Seite. Die Anzeige wird weiterhin geschaltet, und der Betreiber zahlt Google weiterhin für jedes gelieferte Opfer.

Verschleierung von E-Mail-Kampagnen

E-Mail-Gateways (Microsoft Defender für Office 365, Proofpoint, Mimecast) überprüfen Links in E-Mails vor der Zustellung. Cloaking geht dabei genauso vor:

1. Die Phishing-E-Mail enthält einen Link zu einer getarnten Domain.
2. Das E-Mail-Gateway überprüft die URL. Das serverseitige TDS erkennt den IP-Bereich des Gateways. Es wird entweder eine leere Seite oder eine Weiterleitung zur offiziellen Website angezeigt. E-Mail zugestellt.
3. Der Empfänger klickt in seinem E-Mail-Programm auf den Link. Privat-IP-Adresse, korrekter Referrer, Zielregion. Phishing-Seite aufgerufen.

Warum der Grundsatz „Unschuldig, bis die Schuld bewiesen ist“ hier nicht gilt

Manchmal wird das Argument vorgebracht, dass es verfrüht sei, eine Domain aufgrund einer Cloaking-Infrastruktur zu kennzeichnen – dass wir erst abwarten sollten, bis der eigentliche Phishing-Inhalt erscheint, bevor wir Maßnahmen ergreifen. Dieses Argument geht am eigentlichen Wesen des Cloaking vorbei.

Cloaking ist keine neutrale Technologie. Es ist konfrontative Infrastruktur die speziell darauf ausgelegt ist, einer Erkennung zu entgehen. Eine Domain, die Cloaking einsetzt, hat damit bereits ihre Absicht offenbart: Sicherheitssystemen das eine und den Opfern etwas anderes zu zeigen. Das ist keine Konfiguration, die einem legitimen Zweck dient.

In unserem Datensatz mit über 50.000 gescannten Websites beträgt die Anzahl der Domains, die diese Anzeichen aufwiesen und sich als legitim herausstellten, Null. Nicht „selten“ – sondern gar nicht. Wir sind noch nie auf eine einzige seriöse Website gestoßen, die nicht zur Zielgruppe gehörende Besucher auf die Domain eines anderen Unternehmens umleiten musste oder die Scannern einen Blog über Kryptowährungen anzeigte, während Besuchern aus bestimmten IP-Bereichen ein Anmeldeformular angezeigt wurde.

Das Registrar-Problem

Cloaking führt zu einem Folgeproblem bei der Meldung von Missbrauch. Wenn wir eine gecloakte Domain bei einem Registrar melden, ruft das Missbrauchsteam des Registrars die URL auf und sieht … eine harmlose Seite. Einen Blogbeitrag. Eine Weiterleitung zu coinbase.com. Aus ihrer Sicht gibt es keinen Anlass zum Handeln.

Genau dieses Szenario hat sich bei uns abgespielt Untersuchung zu NiceNIC und unser Untersuchung im Fall „NameSilo“. In beiden Fällen überprüften die Registrare die gemeldeten Domains, stellten fest, dass die Inhalte unbedenklich waren, und schlossen den Fall entweder ab oder setzten sich aktiv für den Domainbetreiber ein.

Das Problem ist systemischer Natur:

• Die Teams zur Bekämpfung von Missbrauch bei Registrierungsstellen wenden dieselben Scan-Methoden an wie Antiviren-Anbieter — Sie rufen die URL über IP-Adressen des Rechenzentrums mit Standard-Browsern auf. Durch Cloaking wird dies jedes Mal umgangen.
• Kein Registrar hat in Maßnahmen zur Erkennung von Cloaking investiert — Die Technologie zur Erkennung der bedingten Bereitstellung von Inhalten existiert (wir haben sie entwickelt), aber kein Registrar hat sie implementiert.
• Das Missbrauchsbekämpfungs-Rahmenwerk der ICANN berücksichtigt Cloaking nicht — Bei Missbrauchsmeldungen sind Nachweise für schädliche Inhalte erforderlich. Wenn die schädlichen Inhalte nur den Opfern angezeigt werden, wird der eigene Überprüfungsprozess des Registrars diese niemals aufdecken.

Aus diesem Grund existiert PhishDestroy als eigenständige Ebene. Wir verlassen uns nicht darauf, die URL von einer einzigen IP-Adresse aus aufzurufen und zu prüfen, was dort angezeigt wird. Wir analysieren Weiterleitungsketten, TDS-Fingerabdrücke, JavaScript-Verhalten, DNS-Verlauf, Zertifikatstransparenz-Protokolle und zeitliche Muster über Tausende von Domains hinweg. Wenn wir eine Domain markieren, haben wir bereits berücksichtigt, dass die Domain für jeden, der sie auf die naheliegende Weise überprüft, unauffällig erscheint.

Zusammenfassung: Cloaking-Techniken und deren Erkennung

Das Gesamtbild: Für jede Cloaking-Technik gibt es eine Erkennungsmethode. Die Herausforderung liegt nicht in der Technologie – sondern darin, Registrare, Werbeplattformen und E-Mail-Gateways dazu zu bewegen, diese Methoden auch umzusetzen.

Fazit

Cloaking ist keine Grauzone. Es ist die die mit Abstand wirksamste Ausweichtechnik im modernen Phishing, und jede Komponente des Phishing-Ökosystems – von Google Ads über E-Mail-Gateways bis hin zu den Teams, die den Missbrauch von Domain-Registraren bekämpfen – versagt derzeit dabei, dieses Problem anzugehen.

Wenn PhishDestroy eine Domain wegen Cloaking kennzeichnet, handelt es sich dabei nicht um eine Vermutung. Wir dokumentieren das Vorhandensein einer böswilligen Infrastruktur, die nur einem einzigen Zweck dient: verschiedenen Besuchern unterschiedliche Inhalte anzuzeigen. Bei über 50.000 Scans liegt die Falsch-Positiv-Rate für dieses Signal bei null.

Falls Ihre Domain markiert wurde:

• Wenn Sie ein seriöser Betreiber sind und der Meinung sind, dass es sich hierbei um einen Fehlalarm handelt, Einspruch einlegen. Wir prüfen jede einzelne.
• Falls Sie eine Cloaking-Infrastruktur betreiben, wissen wir bereits davon. Die leere Seite, die Sie unserem Scanner angezeigt haben, ist nicht das, was Ihre Opfer sehen. Und wir haben die Beweise dafür.

Die leere Seite ist keine Verteidigung. Sie ist ein Geständnis. Wenn Ihre Domain verschiedenen Besuchern unterschiedliche Inhalte anzeigen muss, haben Sie die Frage, ob sie bösartig ist, bereits beantwortet.

Jede getarnte Domain wird gesperrt. Es gibt keine Ausnahmen. Bislang war noch kein Einspruch erfolgreich. Denn bei 50.000 Scans haben wir uns bei diesem Signal noch nie geirrt.

Verwandte Forschungsergebnisse und Ressourcen

Dieser Artikel basiert auf unseren praktischen Erfahrungen, die wir beim Scannen von mehr als 50.000 Domains, bei der Untersuchung aktiver Phishing-Infrastrukturen und bei der Einreichung von Missbrauchsmeldungen bei Registraren und ICANN gesammelt haben. Alle beschriebenen Techniken sind mit Belegen dokumentiert. Zu keinem Zeitpunkt unserer Untersuchungen wurde ein unbefugter Zugriff vorgenommen.