NiceNIC International Group

Wichtigste Ergebnisse

• Jede sechzehnte Domain ist eine Phishing-Seite. Bei unserem umfassenden Zonenscan von 351.701 bei NiceNIC registrierten Domains wurden 22.535 bestätigte Phishing-Seiten identifiziert – was einer Kontaminationsrate von 6,4 % entspricht. Für einen Registrar dieser Größe ist diese Zahl außergewöhnlich; der Branchendurchschnitt liegt deutlich unter 0,5 %.
• Krypto-Plattformen sind das Hauptziel. Allein auf Coinbase entfielen 3.798 gefälschte Domains, wobei auch Ledger (1.317) und Kraken (1.214) stark ins Visier genommen wurden. Dieses Muster passt zu organisierten Operationen zum Sammeln von Seed-Phrasen, bei denen Domains in großem Umfang registriert, kurzzeitig betrieben und anschließend auf eine neue Infrastruktur umgestellt werden.
• Registrierungsspitzen deuten auf koordinierte Aktivitäten von Akteuren hin. Am 16.06.2026 wurden an einem einzigen Tag 1.382 Phishing-Domains registriert – das 14,9-Fache des Tagesdurchschnitts. Sprünge dieser Größenordnung entstehen nicht von selbst; sie deuten auf eine kleine Anzahl von Akteuren hin, die über direkte Beziehungen zu Registraren, vorab genehmigte Zahlungsmethoden und automatisierte Bereitstellungsabläufe verfügen.
• .com dominiert, aber die allgemeinen TLDs dienen als Ausweichmöglichkeit. Von den 351.701 untersuchten Domains verwenden 194.812 (55,4 %) die Endung .com. Die Verwaltung der Endungen .vip (27.121 Domains) und .icu (16.517 Domains) durch NiceNIC bietet jedoch kostengünstige Möglichkeiten zur Massenregistrierung, die von Angreifern intensiv genutzt werden, wenn .com-Domains nur schwer schnell zu erwerben sind.
• Es gibt strukturell keine Maßnahmen zur Bekämpfung von Missbrauch. PhishDestroy hat über verschiedene Meldekanäle Hunderte von Missbrauchsmeldungen an NiceNIC übermittelt. Die Löschquote für aktive Phishing-Infrastrukturen liegt weiterhin nahe Null. Domains, für die Löschaufforderungen vorliegen, werden häufig innerhalb von 24 bis 48 Stunden unter demselben Registrar-Konto erneut registriert, was darauf hindeutet, dass keine Maßnahmen auf Kontoebene ergriffen werden.
• Der vollständige Datensatz ist öffentlich archiviert. Jede Phishing-Domain, jedes Registrierungsdatum, jede betroffene Marke und jede Meldung eines Missbrauchs wird im öffentlichen Beweismittelarchiv dokumentiert. Die Daten sind so strukturiert, dass sie von den Strafverfolgungsbehörden übernommen und im Rahmen der ICANN-Konformitätsprüfung geprüft werden können.

Live-Erkennungs-Feed

Die neuesten von PhishDestroy erkannten NiceNIC-Phishing-Domains. Wird laufend aktualisiert.

Beweismittel und damit verbundene Ermittlungen