Phishing URL Checker

Warum verdächtige URLs prüfen?

Phishing über URLs bleibt der Angriffsvektor Nummer 1 per E-Mail. Die Taktik ist simpel: Eine URL führt auf eine gefälschte Seite, die einen echten Dienst imitiert. Sie geben Ihre Zugangsdaten ein. Der Angreifer fängt sie ab.

Die Lebensdauer einer Phishing-URL beträgt oft nur wenige Stunden. Je schneller Sie prüfen, desto besser sind Sie geschützt.

Besonders tückisch: Moderne Phishing-Seiten sind optisch kaum vom Original zu unterscheiden. Sie kopieren Logos, Schriftarten und sogar das Schloss-Symbol über ein gültiges TLS-Zertifikat. Das Schloss im Browser ist deshalb kein Sicherheitsbeweis mehr - es bestätigt nur, dass die Verbindung verschlüsselt ist, nicht dass die Seite vertrauenswürdig ist. Genau deshalb ist eine unabhängige Prüfung der URL vor dem Klick so wichtig.

Drei Gründe, einen Link vor dem Klicken zu prüfen:

• Persönlicher Schutz: Eine einzige gefälschte Login-Seite reicht aus, um Ihr Bankkonto, Ihr E-Mail-Postfach oder Ihr Social-Media-Profil zu übernehmen
• Schutz Ihrer Organisation: Ein einziger Klick eines Mitarbeiters auf einen Phishing-Link kann das gesamte Unternehmensnetzwerk kompromittieren
• Proaktive Überprüfung: Wenn Sie eine Website betreiben, prüfen Sie regelmäßig, ob Ihre Domain fälschlicherweise in Bedrohungsdatenbanken gelistet ist. Falsche Einträge können Ihre E-Mail-Zustellung und Ihren Ruf schädigen

So verwenden Sie den Phishing URL Checker in 3 Schritten

Schritt 1: Verdächtige URL eingeben

Fügen Sie die vollständige URL in das Eingabefeld ein. Das Tool akzeptiert drei Formate:

• Vollständige URL: https://suspicious-site.com/login
• Nackte Domain: suspicious-site.com
• IP-Adresse: 192.168.1.1

Die URL wird automatisch normalisiert (Leerzeichen entfernt, Kleinschreibung, Fragment entfernt). Nach der Prüfung werden keine Daten gespeichert.

Schritt 2: Prüfung starten

Klicken Sie auf Prüfen. Das Tool fragt bis zu 3 Threat-Intelligence-Quellen gleichzeitig ab. Jede Quelle wird unabhängig mit ihrem eigenen Timeout abgefragt. Die Antwort kommt in der Regel innerhalb von 2-5 Sekunden.

Schritt 3: Bericht analysieren

Der Bericht liefert vier Informationsebenen:

• Gesamturteil: Sicher, Verdächtig oder Bösartig. Das ist Ihr schnellstes Signal
• Risiko-Score: Von 0 (kein Risiko) bis 100 (kritisch). Ab 60 ist Vorsicht geboten, ab 85 sollten Sie den Link unter keinen Umständen öffnen
• Details pro Quelle: Status, erkannte Bedrohungstypen und Antwortzeit jeder einzelnen Datenbank
• Diagnostik: Transparente Informationen über Fehler, Warnungen oder eingeschränkte Abdeckung einzelner Quellen

Wie funktionieren Threat-Intelligence-Datenbanken?

Threat-Intelligence-Datenbanken sammeln Informationen über bösartige URLs aus mehreren Kanälen. Nutzer melden verdächtige Seiten. Automatisierte Crawler analysieren das Verhalten von Malware in einer Sandbox. Honeypots locken Angreifer an und protokollieren deren Taktiken. Sicherheitsanbieter teilen ihre Erkenntnisse untereinander.

Das Ergebnis: laufend aktualisierte Blacklists, gegen die jede URL in Echtzeit geprüft werden kann. Keine einzelne Datenbank erfasst alle Bedrohungen - erst die Kombination mehrerer Quellen erhöht die Erkennungsrate deutlich.

Die drei Quellen betrachten nicht dasselbe, und genau darum werden sie gemeinsam abgefragt. Google Web Risk und VirusTotal decken Phishing ab; URLhaus listet ausschließlich URLs, die eine Schaddatei ausliefern. Praktische Folge: Ein sauberes Ergebnis von URLhaus sagt nichts über Phishing aus, sondern nur, dass die URL nicht als Malware-Verteiler bekannt ist.

PhishTank, lange die bekannteste Community-Datenbank für Phishing (geprüft durch die OpenDNS-Community), hat seine Anmeldungen geschlossen. Die Analyse konzentriert sich daher auf die drei zuverlässigsten, aktiv gepflegten Feeds.

Wie der Risiko-Score berechnet wird

Der Risiko-Score ist keine Summe von Punkten. Er ist ein vom Urteil verankerter Vertrauenswert, der danach verfeinert wird, wie viele Quellen übereinstimmen. Eine einzige maßgebliche Quelle genügt für einen hohen Score; wir verwässern das Vertrauen nicht, indem wir Teilgewichte addieren.

Der Kerngedanke: Eine einzige maßgebliche Quelle wie Google Web Risk genügt allein für einen hohen Score. Eine zweite übereinstimmende Quelle hebt das Vertrauen auf kritisch. Eine isolierte VirusTotal-Meldung mit nur ein oder zwei Engines gilt als wahrscheinlicher Fehlalarm (verdächtig, rund 35), nicht als bestätigte Bedrohung.

Konkrete Anwendungsfälle

Fall 1: Phishing-E-Mail einer Bank

Symptom: Sie erhalten eine E-Mail Ihrer "Bank", die Sie auffordert, Ihr Konto über einen Link zu bestätigen. Die Dringlichkeit der Nachricht ist ein klassisches Warnsignal.

Diagnose: Fügen Sie die URL in das Tool ein. Bestätigt Google Web Risk die URL allein, genügt das für einen hohen Score (rund 75). Meldet auch VirusTotal sie, stimmen zwei Quellen überein und der Score steigt auf kritisch (rund 90). Die Bedrohungstypen "phishing" und "social_engineering" erscheinen im Bericht.

Maßnahme: Klicken Sie nicht auf den Link. Melden Sie die E-Mail als Phishing an Ihren E-Mail-Anbieter. Rufen Sie die Website Ihrer Bank direkt auf, indem Sie die Adresse selbst in den Browser eingeben. Wenn Sie bereits geklickt haben, ändern Sie sofort Ihr Passwort.

Fall 2: Verkürzter Link in einer SMS

Symptom: Eine SMS enthält einen verkürzten Link (bit.ly, tinyurl) mit der Aufforderung, "Ihre Paketzustellung zu aktualisieren".

Diagnose: Lösen Sie den Kurzlink zuerst auf (Online-Tools zeigen die finale URL an). Prüfen Sie dann die finale URL in unserem Tool.

Maßnahme: Ist die finale URL gemeldet, löschen Sie die SMS. Seriöse Zustelldienste verlangen niemals Zahlungen per SMS.

Fall 3: Falsch positiver Treffer für Ihre Domain

Symptom: Ihre Website wird in Browsern als gefährlich markiert, obwohl sie keine bösartigen Inhalte enthält.

Diagnose: Prüfen Sie Ihre Domain im Tool, um zu erkennen, welche Quelle sie meldet. Öffnen Sie den Referenzlink der Quelle, um den Grund zu verstehen.

Maßnahme: Beantragen Sie bei der betreffenden Quelle die Entfernung (Delisting). Prüfen Sie außerdem, ob eingeschleuste Inhalte (Hack, Weiterleitung, bösartiges iframe) auf Ihrer Website vorhanden sind.

FAQ - Häufig gestellte Fragen

F: Wie prüfe ich, ob ein Link Phishing ist?

A: Fügen Sie die verdächtige URL in das Eingabefeld ein. Klicken Sie auf "Prüfen". Das Tool fragt 3 Bedrohungsdatenbanken parallel ab. Sie erhalten ein klares Urteil - sicher, verdächtig oder bösartig - plus einen Risiko-Score von 0 bis 100.

F: Welche Quellen werden abgefragt?

A: Drei sich ergänzende Threat-Intelligence-Feeds. Google Web Risk deckt Social Engineering, Malware und unerwünschte Software ab, aus denselben Listen wie die Browser-Warnungen. VirusTotal aggregiert die Ergebnisse von über 70 Antivirus-Engines. URLhaus (abuse.ch) deckt ausschließlich Malware-Verbreitung ab, niemals Phishing, und ist die einzige Quelle, die eine IP-Adresse annimmt. PhishTank, früher eine community-geprüfte Phishing-Quelle, hat seine Anmeldungen geschlossen und gehört nicht mehr zu den abgefragten Feeds.

F: Ist das Ergebnis zu 100 % zuverlässig?

A: Kein einzelnes Tool erkennt jede Bedrohung. Ein Ergebnis "sicher" bedeutet: Keine der 3 Quellen meldet die URL zum Zeitpunkt der Abfrage. Neue Phishing-Seiten sind oft noch nicht erfasst. Kombinieren Sie das Ergebnis immer mit gesundem Menschenverstand: Prüfen Sie den Absender, die Schreibweise der Domain und geben Sie keine Zugangsdaten auf unbekannten Seiten ein.

F: Kann ich eine Domain ohne vollständige URL prüfen?

A: Ja. Geben Sie den nackten Domainnamen ein (z. B. captaindns.com). Das Tool erkennt das Format automatisch. IP-Adressen funktionieren genauso.

F: Was bedeutet der Risiko-Score?

A: Der Score ist ein Vertrauenswert, keine Summe von Punkten. Sicher ist 0. Ein einzelnes schwaches Signal (verdächtig) liegt bei rund 35. Eine maßgebliche Quelle, die die Bedrohung bestätigt, ergibt rund 75 (hoch), zwei übereinstimmende Quellen erreichen 90 und alle drei erreichen 100 (kritisch). Werte über 85 bedeuten, dass mehrere Quellen übereinstimmen.

F: Was tun, wenn eine URL als bösartig eingestuft wird?

A: Klicken Sie auf keinen Fall auf den Link. Melden Sie die URL an Ihren E-Mail-Anbieter oder IT-Sicherheitsbeauftragten. Wenn Sie bereits geklickt haben, ändern Sie sofort Ihr Passwort. Wenn Sie die betroffene Domain betreiben, prüfen Sie die Details pro Quelle und beantragen Sie bei der jeweiligen Datenbank eine Überprüfung (Delisting).

Verdächtigen Link erhalten? Prüfen Sie ihn jetzt

Kopieren Sie die URL aus der E-Mail, SMS oder Nachricht. Fügen Sie sie oben in das Eingabefeld ein. In wenigen Sekunden wissen Sie, ob der Link in einer der 3 Bedrohungsdatenbanken gemeldet ist. Die Prüfung ist kostenlos.

Für umfassenden Schutz kombinieren Sie den Phishing URL Checker mit dem IP Blacklist Checker und der Mail Header Analysis.

Verwandte Tools

Nützliche Ressourcen

• Google Web Risk - Kommerzielle Google-API gegen gefährliche Websites, gespeist aus den Listen hinter den Browser-Warnungen
• VirusTotal - Prüft eine URL mit über 70 Antivirus-Engines und Reputationsdiensten
• URLhaus by abuse.ch - Datenbank bösartiger URLs
• PhishTank - Kollaborative Phishing-Überprüfung (Anmeldungen geschlossen)
• Anti-Phishing Working Group (APWG) - Internationale Koalition gegen Phishing