Phishing und geklonte Seiten: Beweise sichern, bevor die Seite verschwindet
Es kommt eine Nachricht, die aussieht, als stamme sie von Ihrer Bank, einem Paketdienst oder einem bekannten Marktplatz. Der Link öffnet eine Seite, die dem Original gleicht und nach Zugangsdaten oder Kartendaten fragt. Phishing und Identitätsvortäuschung waren im Internet Crime Report 2025 des FBI die am häufigsten gemeldete Deliktkategorie: 191.561 Anzeigen von über einer Million erfassten Meldungen, und die gemeldeten Phishing-Schäden stiegen auf mehr als das Dreifache, auf 215,8 Millionen US-Dollar.
Schwierig ist selten das Verstehen. Schwierig ist der Nachweis. Eine betrügerische Seite hat eine äußerst kurze Lebensdauer: eine auf der ACM Web Conference 2025 vorgestellte Untersuchung von 286.237 Phishing-Adressen hat eine mediane Lebensdauer von 5,46 Stunden gemessen. Wenn das Opfer bei der Bank anruft, Anzeige erstattet oder einen Anwalt einschaltet, liefert die Adresse längst einen Fehler, und vom gesamten Vorgang bleibt ein einziges Element übrig: ein hastig mit dem Telefon aufgenommener Screenshot, den die Gegenseite bestreiten kann, weil niemand überprüfen kann, was er tatsächlich zeigte.
Daraus ergibt sich die Frage, um die es hier geht: Wie erhält man einen Nachweis, der auch dann trägt, wenn die Seite nicht mehr existiert? Der Nachweis muss entstehen, solange die Seite noch erreichbar ist. Erforderlich ist eine forensische Erfassung, die Inhalt, Netzadresse und den genauen Zeitpunkt festhält, abgeschlossen durch ein elektronisches Siegel, das jede spätere Veränderung erkennbar macht. Wer das in den ersten Minuten erledigt, erscheint bei der Bank und bei der Staatsanwaltschaft mit einer vollständigen technischen Akte. Wer es unterlässt, erscheint mit einem Bild.
Wie lange eine Phishing-Seite tatsächlich online bleibt
Das Zeitfenster für die Beweissicherung bemisst sich in Stunden. Das ist keine vorsichtige Schätzung, sondern der im Feld gemessene Medianwert, und er gilt für gefälschte Anmeldeseiten von Banken ebenso wie für nachgebaute Shops, die die Marke eines bekannten Händlers kopieren.
Die Lebensdauer einer Phishing-Seite ist so kurz, dass jede nachgelagerte Beweissicherung praktisch scheitert. Die Untersuchung "7 Days Later: Analyzing Phishing-Site Lifespan After Detected", vorgestellt auf der ACM Web Conference 2025 und gestützt auf 286.237 über fünf Monate beobachtete Einzeladressen, ermittelte eine mediane Lebensdauer von 5,46 Stunden und einen Mittelwert von 54 Stunden. 83,93 Prozent der Seiten waren bereits entfernt, bevor die Warnsysteme der Browser sie überhaupt erkannten, und diese Systeme erfassen ihrerseits nur 18,4 Prozent der Fälle, mit einer durchschnittlichen Verzögerung von 4,5 Tagen. Seiten, die Logistikunternehmen nachahmen, sind am kurzlebigsten, mit einer medianen Lebensdauer von 1,76 Stunden. Wer auf die Bestätigung eines automatischen Systems wartet, bevor er den Betrug dokumentiert, dokumentiert in den meisten Fällen eine Seite, die es nicht mehr gibt.
Das Volumen macht daraus ein strukturelles und kein gelegentliches Problem. Die Anti-Phishing Working Group registrierte im Jahr 2025 rund 3,8 Millionen Phishing-Angriffe, mit einem Höchststand von 1.130.393 Angriffen allein im zweiten Quartal. Vor diesem Hintergrund ist der Impuls, die Seite später aufzurufen, wenn Zeit dafür ist, schlicht ein Fehler. Diese Zeit gibt es meistens nicht.
Warum ein hastiger Screenshot nicht trägt
Ein mit dem Telefon aufgenommener Screenshot ist ein Bild. Nach § 371 ZPO wird er als Objekt des Augenscheins behandelt, und § 286 ZPO überlässt seine Bewertung der freien Beweiswürdigung des Gerichts. Das bedeutet: keine feste Beweiskraft, sondern eine Einschätzung, die davon abhängt, wie überzeugend die Herkunft des Bildes dargelegt werden kann.
Das praktische Hindernis liegt unterhalb des rechtlichen. Sobald die Seite offline ist, kann keine der beiden Seiten mehr etwas überprüfen, und das Gericht hat keine Möglichkeit festzustellen, ob das Bild dem entspricht, was damals ausgeliefert wurde. Die internationale Leitlinie zum Umgang mit digitalen Beweismitteln, insbesondere ISO/IEC 27037 zur Identifizierung, Sicherung und Erhaltung digitaler Beweise, beruht auf einer einfachen Prämisse: Der Wert des Beweismittels hängt davon ab, wie es erfasst wurde und ob dieser Vorgang nachträglich rekonstruierbar ist. Ein Screenshot vom Telefon dokumentiert davon nichts. Die prozessualen Einzelheiten behandeln wir im Beitrag zum Screenshot als Beweismittel vor Gericht.
Hinzu kommt ein Vollständigkeitsproblem, das noch vor der Frage der Echtheit liegt. Ein Screenshot zeigt, was das Auge sah, nicht das technisch Entscheidende: die vollständige Adresse samt Parametern, den antwortenden Server, die vorgelegten Zertifikate, den Quelltext der Seite, die von Dritten geladenen Ressourcen. Genau diese Angaben verlangt die Bank für die Bearbeitung der Reklamation und der Registrar für die Prüfung eines Löschungsantrags.
| Element | Screenshot vom Telefon | Zertifizierte Erfassung an der Quelle |
|---|---|---|
| Vollständige Seitenadresse | Unvollständig oder abgeschnitten | Vollständig erfasst, samt Parametern |
| Antwortender Server | Fehlt | Netzauflösung dokumentiert |
| Quelltext und geladene Ressourcen | Fehlt | Zusammen mit der Seite erfasst |
| Zeitpunkt der Erfassung | Geräteuhr, veränderbar | Qualifizierter Zeitstempel, Dritten entgegenzuhalten |
| Spätere Veränderungen | Nicht erkennbar | Über das elektronische Siegel erkennbar |
| Überprüfung durch den Empfänger | Nicht möglich | Eigenständig, ohne den Absender |
| Bestand nach Abschaltung der Seite | Angreifbar | Der Inhalt bleibt dokumentiert |
Was die Erfassung einer geklonten Seite enthalten muss
Eine brauchbare Erfassung ist keine Fotografie des Browserfensters. Sie ist die dokumentierte Aufzeichnung einer Sitzung, einschließlich all dessen, was der Server tatsächlich zurückgegeben hat. Vier Elemente entscheiden darüber, ob eine Datei angegriffen wird oder trägt.
Die Adresse und die Netzauflösung
Die gefälschte Domain ist die Grundlage sowohl der Strafanzeige als auch des Löschungsantrags. Sie benötigen die vollständige Adresse einschließlich der Parameter, die die betrügerische Kampagne kennzeichnen, und die Auflösung zu dem Server, der in diesem Moment geantwortet hat. Das ist es, was verschiedene Seiten derselben Infrastruktur zuordnen lässt, und bei nachgebauten Konten ist es oft der einzige Faden, der scheinbar unverbundene Vorfälle verbindet.
Der Quelltext und die geladenen Ressourcen
Der Quelltext enthält, was das Bild nicht zeigen kann: wohin die im Formular eingegebenen Daten gesendet werden, welche Skripte Dritter aktiv sind, welche Bilder und Logos von der echten Seite übernommen wurden. Für einen Markeninhaber ist gerade dieses Detail der Nachweis der unbefugten Zeichennutzung, und es stützt ein Vorgehen weit besser, als eine Bildschirmaufnahme es je könnte.
Der Zeitpunkt, zu dem die Seite erreichbar war
Die Systemuhr eines Telefons lässt sich in Sekunden verstellen, und das weiß jeder. Damit der Erfassungszeitpunkt Dritten entgegengehalten werden kann, braucht es einen qualifizierten Zeitstempel eines Dritten, der den erfassten Inhalt an einen festen Moment bindet. Nach Artikel 41 der Verordnung (EU) Nr. 910/2014 gilt für einen qualifizierten elektronischen Zeitstempel die Vermutung der Richtigkeit des angegebenen Datums und der Uhrzeit sowie der Unversehrtheit der damit verbundenen Daten. Das erlaubt es, Monate später festzustellen, dass die Seite um 21:14 Uhr an dem Tag erreichbar war, an dem die Überweisung ausgeführt wurde.
Die Navigationskette
Betrug spielt sich selten auf einer einzigen Seite ab. Da ist die Nachricht, eine erste Adresse, die auf eine zweite weiterleitet, die Seite mit der Abfrage der Zugangsdaten und jene mit der Abfrage des Einmalcodes. Die Sequenz zu dokumentieren und nicht nur den letzten Schritt rekonstruiert die Täuschung als Ganzes, und das macht den Vorgang für jemanden lesbar, der ihn nicht selbst erlebt hat. Den allgemeinen Rahmen dazu behandeln wir im Beitrag zur digitalen Beweiskette.
Was Zertifizierung an der Quelle bei einer betrügerischen Seite bedeutet
Zertifizierung an der Quelle bedeutet, einen digitalen Inhalt in dem Moment zu erfassen, in dem er existiert, forensisch durchgeführt und mit einem Siegel abgeschlossen, das jede spätere Veränderung erkennbar macht. Das Prinzip kehrt den üblichen Ansatz um: Statt nachträglich zu belegen, dass ein Bild echt ist, entsteht der Nachweis, solange der Vorgang noch beobachtbar ist. TrueScreen wendet dieses Prinzip auf betrügerische Webseiten an. Die Plattform erfasst die Seite, solange sie erreichbar ist, sichert neben dem sichtbaren Inhalt die technischen Sitzungsdaten und bindet über eine Schnittstelle das elektronische Siegel sowie den qualifizierten Zeitstempel eines externen qualifizierten Vertrauensdiensteanbieters ein. Das Ergebnis ist kein Bild zum Anhängen: Es ist ein Dokument, das der Empfänger, ob Betrugsabteilung einer Bank oder Staatsanwaltschaft, eigenständig überprüfen kann, ohne dem Übermittler vertrauen zu müssen. Es ist die praktische Anwendung von Digital Provenance auf einen Inhalt, der im Begriff ist zu verschwinden.
Erfassung auf dem Gerät, das die Nachricht erhalten hat
Der Betrug erreicht fast immer das Telefon, und dort sollte er dokumentiert werden. Mit der mobilen App von TrueScreen wird die verdächtige Seite direkt auf dem Gerät erfasst, ohne Zwischenübertragung, die einen weiteren erklärungsbedürftigen Schritt schaffen würde. Wer am Arbeitsplatz sitzt, etwa eine Betrugsanalystin, die den Hinweis einer Kundin erhält, führt denselben Vorgang über die Webplattform aus.
Elektronisches Siegel und qualifizierter Zeitstempel
Der erfasste Inhalt wird versiegelt. Das elektronische Siegel und der qualifizierte Zeitstempel werden von einem in die Plattform eingebundenen qualifizierten Vertrauensdiensteanbieter aufgebracht, nicht intern erzeugt. Ab diesem Moment wird jede Änderung an der Datei, und sei es ein einziges Byte, bei der Prüfung erkennbar. Das ist der Unterschied zwischen der Behauptung, ein Inhalt sei unverändert, und dem Nachweis darüber.
Eigenständige Überprüfung durch den Empfänger
Wer das Dokument erhält, muss dem Ersteller nicht glauben, sondern kann die Unversehrtheit unabhängig prüfen. Organisationen mit hohem Meldeaufkommen können die Erfassung aus dem eigenen Betrugserkennungssystem auslösen, sobald ein Hinweis eingeht, über die Integrationsschnittstellen der Plattform und ohne manuellen Schritt. Welche Anforderungen eine Akte erfüllen muss, behandeln wir im Beitrag dazu, wie sich digitale Beweise vor Gericht verwertbar machen lassen.
Ein wiederkehrendes Beispiel: Der Kundenservice einer Bank erhält um 18:40 Uhr den Hinweis auf eine gefälschte Anmeldeseite. Die Analystin öffnet die Adresse, erfasst und zertifiziert sie in weniger als zwei Minuten. Um 23:00 Uhr antwortet die Domain nicht mehr. Am nächsten Morgen verfügt die Rechtsabteilung dennoch über den Quelltext der Seite, die Adresse des Servers, der die Zugangsdaten abgriff, und den Zeitstempel, der die Erfassung vor den strittigen Überweisungen verortet.
Phishing: was in den ersten Minuten zu tun ist
Die Priorität liegt nicht darin herauszufinden, wer dahintersteckt, und das ist ein verbreiteter Fehler. Die Priorität liegt darin, den Zustand des digitalen Tatorts festzuhalten, solange er existiert. Die Reihenfolge der Schritte zählt mehr als die Sorgfalt bei jedem einzelnen.
- Schließen Sie den Browser-Tab nicht und löschen Sie die Nachricht nicht. Die Nachricht, mit der der Link kam, gehört ebenso zum Beweismaterial wie die Seite selbst.
- Erfassen und zertifizieren Sie die Seite, solange sie noch antwortet, zusammen mit dem Weg, der zu ihr geführt hat. Wurden Daten eingegeben, dokumentieren Sie auch die Bestätigungsseite.
- Sperren Sie die betroffenen Zahlungsmittel und eröffnen Sie die Reklamation beim Zahlungsdienstleister, unter Beifügung des zertifizierten Dokuments.
- Erstatten Sie Anzeige und legen Sie die Erfassung bei. Einschlägig sind in der Regel Computerbetrug und das Ausspähen von Daten, und die technische Akte macht aus einer Schilderung einen Fall.
- Melden Sie die Domain beim Registrar, beim Hosting-Anbieter und bei der nachgeahmten Marke. Ein Löschungsantrag mit überprüfbarer technischer Anlage wird anders bearbeitet als eine allgemein gehaltene Beschwerde.
Dieselbe Vorgehensweise gilt für jeden Betrug, der sich auf einer Seite abspielt, die verschwinden soll: gefälschte Anlageportale, Lockangebote, Formulare, die eine Behörde nachahmen. Die Regel bleibt dieselbe: erst erfassen, dann analysieren. Der Fall des Trading-Betrugs folgt genau demselben Muster.
Wer diesen Nachweis nutzt und wofür
Das zertifizierte Dokument dient unterschiedlichen Adressaten, und jeder verwendet einen anderen Teil davon.
Betrugsabteilungen von Banken und Versicherern nutzen es für die Erstattung und um Vorfälle zu verbinden, die isoliert wirken: Wenn zwanzig Kundinnen und Kunden verschiedene Seiten melden, die an denselben Server senden, ändert sich das Bild. Rechtsabteilungen nutzen es, weil es bereits vollständig mit den technischen Angaben eintrifft, die andernfalls durch ein Sachverständigengutachten rekonstruiert werden müssten, sofern eine Rekonstruktion überhaupt noch möglich ist. Markeninhaber, die von nachgebauten Shops betroffen sind, nutzen es, um die unbefugte Zeichennutzung zu belegen und Löschungsanträge bei Registraren und Werbeplattformen zu stützen. Fachleute und Privatpersonen, die geschädigt wurden, nutzen es, um bei der Anzeige nicht mit dem einzigen dazustehen, was sie üblicherweise haben: einer Fotografie des Bildschirms.
In all diesen Fällen ist nicht die Raffinesse des Werkzeugs entscheidend, sondern der Zeitpunkt seines Einsatzes. Ein Nachweis, der forensisch erfasst wurde, solange die Seite erreichbar war, ist so viel wert wie die Seite selbst. Ein später erhobener ist so viel wert wie die Erinnerung dessen, der sie gesehen hat.
