{"id":57906,"date":"2026-08-04T05:48:07","date_gmt":"2026-08-04T03:48:07","guid":{"rendered":"https:\/\/truescreen.io\/artikel\/phishing-geklonte-seiten-beweise-sichern\/"},"modified":"2026-08-04T05:48:19","modified_gmt":"2026-08-04T03:48:19","slug":"phishing-geklonte-seiten-beweise-sichern","status":"publish","type":"artikel","link":"https:\/\/truescreen.io\/de\/artikel\/phishing-geklonte-seiten-beweise-sichern\/","title":{"rendered":"Phishing und geklonte Seiten: Beweise sichern, bevor die Seite verschwindet"},"content":{"rendered":"<p><div class=\"fusion-fullwidth fullwidth-box fusion-builder-row-1 fusion-flex-container has-pattern-background has-mask-background nonhundred-percent-fullwidth non-hundred-percent-height-scrolling\" style=\"--awb-border-radius-top-left:0px;--awb-border-radius-top-right:0px;--awb-border-radius-bottom-right:0px;--awb-border-radius-bottom-left:0px;--awb-padding-top:0px;--awb-padding-bottom:0px;--awb-margin-top:0px;--awb-margin-bottom:0px;--awb-flex-wrap:wrap;\" ><div class=\"fusion-builder-row fusion-row fusion-flex-align-items-flex-start fusion-flex-content-wrap\" style=\"max-width:1236px;margin-left: calc(-3% \/ 2 );margin-right: calc(-3% \/ 2 );\"><div class=\"fusion-layout-column fusion_builder_column fusion-builder-column-0 fusion_builder_column_1_1 1_1 fusion-flex-column\" style=\"--awb-bg-size:cover;--awb-width-large:100%;--awb-margin-top-large:0px;--awb-spacing-right-large:1.455%;--awb-margin-bottom-large:20px;--awb-spacing-left-large:1.455%;--awb-width-medium:100%;--awb-order-medium:0;--awb-spacing-right-medium:1.455%;--awb-spacing-left-medium:1.455%;--awb-width-small:100%;--awb-order-small:0;--awb-spacing-right-small:1.455%;--awb-spacing-left-small:1.455%;\"><div class=\"fusion-column-wrapper fusion-column-has-shadow fusion-flex-justify-content-flex-start fusion-content-layout-column\"><style>\n.fusion-title .fusion-title-heading { font-family: 'Raleway', sans-serif !important; }\n.fusion-text p, .fusion-text li, .fusion-text a, .fusion-text span, .fusion-text strong, .fusion-text b { font-family: 'DM Sans', sans-serif; }\n.fusion-button-text { font-family: 'DM Sans', sans-serif; }\n.panel-title a, .fusion-toggle-heading { font-family: 'DM Sans', sans-serif !important; }\n.toggle-content p { font-family: 'DM Sans', sans-serif; }\n.fusion-checklist .fusion-li-item-content p { font-family: 'DM Sans', sans-serif; }\n<\/style><\/div><\/div><\/div><\/div><br \/>\n<div class=\"fusion-fullwidth fullwidth-box fusion-builder-row-2 fusion-flex-container has-pattern-background has-mask-background nonhundred-percent-fullwidth non-hundred-percent-height-scrolling\" style=\"--awb-border-radius-top-left:0px;--awb-border-radius-top-right:0px;--awb-border-radius-bottom-right:0px;--awb-border-radius-bottom-left:0px;--awb-padding-top:38.9913px;--awb-padding-bottom:39.9931px;--awb-padding-top-small:0px;--awb-padding-bottom-small:48px;--awb-margin-top:0px;--awb-margin-top-small:0px;--awb-margin-bottom-small:0px;--awb-background-color:var(--awb-color2);--awb-flex-wrap:wrap;\" ><div class=\"fusion-builder-row fusion-row fusion-flex-align-items-flex-start fusion-flex-content-wrap\" style=\"max-width:1236px;margin-left: calc(-3% \/ 2 );margin-right: calc(-3% \/ 2 );\"><div class=\"fusion-layout-column fusion_builder_column fusion-builder-column-1 fusion_builder_column_1_1 1_1 fusion-flex-column\" style=\"--awb-bg-size:cover;--awb-width-large:100%;--awb-margin-top-large:0px;--awb-spacing-right-large:1.455%;--awb-margin-bottom-large:20px;--awb-spacing-left-large:1.455%;--awb-width-medium:100%;--awb-order-medium:0;--awb-spacing-right-medium:1.455%;--awb-spacing-left-medium:1.455%;--awb-width-small:100%;--awb-order-small:0;--awb-spacing-right-small:1.455%;--awb-spacing-left-small:1.455%;\"><div class=\"fusion-column-wrapper fusion-column-has-shadow fusion-flex-justify-content-flex-start fusion-content-layout-column\"><div class=\"fusion-title title fusion-title-1 fusion-sep-none fusion-title-text fusion-title-size-one\" style=\"--awb-text-color:var(--awb-color1);\"><h1 class=\"fusion-title-heading title-heading-left fusion-responsive-typography-calculated\" style=\"margin:0;--fontSize:36;--minFontSize:36;line-height:1.3;\"><h1>Phishing und geklonte Seiten: Beweise sichern, bevor die Seite verschwindet<\/h1><\/h1><\/div><\/div><\/div><\/div><\/div><br \/>\n<div class=\"fusion-fullwidth fullwidth-box fusion-builder-row-3 fusion-flex-container nonhundred-percent-fullwidth non-hundred-percent-height-scrolling\" style=\"--awb-border-radius-top-left:0px;--awb-border-radius-top-right:0px;--awb-border-radius-bottom-right:0px;--awb-border-radius-bottom-left:0px;--awb-padding-top:36px;--awb-padding-bottom:48px;--awb-padding-top-small:40px;--awb-padding-bottom-small:0px;--awb-margin-bottom:0px;--awb-background-color:#ffffff;--awb-flex-wrap:wrap;\" ><div class=\"fusion-builder-row fusion-row fusion-flex-align-items-flex-start fusion-flex-content-wrap\" style=\"max-width:1236px;margin-left: calc(-3% \/ 2 );margin-right: calc(-3% \/ 2 );\"><div class=\"fusion-layout-column fusion_builder_column fusion-builder-column-2 fusion_builder_column_1_1 1_1 fusion-flex-column\" style=\"--awb-bg-size:cover;--awb-width-large:100%;--awb-margin-top-large:0px;--awb-spacing-right-large:1.455%;--awb-margin-bottom-large:0px;--awb-spacing-left-large:1.164%;--awb-width-medium:100%;--awb-order-medium:0;--awb-spacing-right-medium:1.455%;--awb-spacing-left-medium:1.455%;--awb-width-small:100%;--awb-order-small:0;--awb-spacing-right-small:1.455%;--awb-margin-bottom-small:0px;--awb-spacing-left-small:1.455%;\"><div class=\"fusion-column-wrapper fusion-column-has-shadow fusion-flex-justify-content-flex-start fusion-content-layout-column\"><p>Es kommt eine Nachricht, die aussieht, als stamme sie von Ihrer Bank, einem Paketdienst oder einem bekannten Marktplatz. Der Link \u00f6ffnet eine Seite, die dem Original gleicht und nach Zugangsdaten oder Kartendaten fragt. Phishing und Identit\u00e4tsvort\u00e4uschung waren im <a href=\"https:\/\/www.ic3.gov\/AnnualReport\/Reports\" target=\"_blank\" rel=\"noopener\">Internet Crime Report 2025<\/a> des FBI die am h\u00e4ufigsten gemeldete Deliktkategorie: 191.561 Anzeigen von \u00fcber einer Million erfassten Meldungen, und die gemeldeten Phishing-Sch\u00e4den stiegen auf mehr als das Dreifache, auf 215,8 Millionen US-Dollar.<\/p>\n\n<p>Schwierig ist selten das Verstehen. Schwierig ist der Nachweis. Eine betr\u00fcgerische Seite hat eine \u00e4u\u00dferst kurze Lebensdauer: eine auf der ACM Web Conference 2025 vorgestellte Untersuchung von 286.237 Phishing-Adressen hat eine mediane Lebensdauer von 5,46 Stunden gemessen. Wenn das Opfer bei der Bank anruft, Anzeige erstattet oder einen Anwalt einschaltet, liefert die Adresse l\u00e4ngst einen Fehler, und vom gesamten Vorgang bleibt ein einziges Element \u00fcbrig: ein hastig mit dem Telefon aufgenommener Screenshot, den die Gegenseite bestreiten kann, weil niemand \u00fcberpr\u00fcfen kann, was er tats\u00e4chlich zeigte.<\/p>\n\n<p>Daraus ergibt sich die Frage, um die es hier geht: Wie erh\u00e4lt man einen Nachweis, der auch dann tr\u00e4gt, wenn die Seite nicht mehr existiert? Der Nachweis muss entstehen, solange die Seite noch erreichbar ist. Erforderlich ist eine forensische Erfassung, die Inhalt, Netzadresse und den genauen Zeitpunkt festh\u00e4lt, abgeschlossen durch ein elektronisches Siegel, das jede sp\u00e4tere Ver\u00e4nderung erkennbar macht. Wer das in den ersten Minuten erledigt, erscheint bei der Bank und bei der Staatsanwaltschaft mit einer vollst\u00e4ndigen technischen Akte. Wer es unterl\u00e4sst, erscheint mit einem Bild.<\/p>\n\n<h2>Wie lange eine Phishing-Seite tats\u00e4chlich online bleibt<\/h2>\n\n<p>Das Zeitfenster f\u00fcr die Beweissicherung bemisst sich in Stunden. Das ist keine vorsichtige Sch\u00e4tzung, sondern der im Feld gemessene Medianwert, und er gilt f\u00fcr gef\u00e4lschte Anmeldeseiten von Banken ebenso wie f\u00fcr nachgebaute Shops, die die Marke eines bekannten H\u00e4ndlers kopieren.<\/p>\n\n<blockquote style=\"color:#e2e8ee;\"><p style=\"color:#e2e8ee;\">Die Lebensdauer einer Phishing-Seite ist so kurz, dass jede nachgelagerte Beweissicherung praktisch scheitert. Die Untersuchung <a href=\"https:\/\/doowon.github.io\/assets\/papers\/2025\/lim_phishing_www25_2.pdf\" target=\"_blank\" rel=\"noopener\">\"7 Days Later: Analyzing Phishing-Site Lifespan After Detected\"<\/a>, vorgestellt auf der ACM Web Conference 2025 und gest\u00fctzt auf 286.237 \u00fcber f\u00fcnf Monate beobachtete Einzeladressen, ermittelte eine mediane Lebensdauer von 5,46 Stunden und einen Mittelwert von 54 Stunden. 83,93 Prozent der Seiten waren bereits entfernt, bevor die Warnsysteme der Browser sie \u00fcberhaupt erkannten, und diese Systeme erfassen ihrerseits nur 18,4 Prozent der F\u00e4lle, mit einer durchschnittlichen Verz\u00f6gerung von 4,5 Tagen. Seiten, die Logistikunternehmen nachahmen, sind am kurzlebigsten, mit einer medianen Lebensdauer von 1,76 Stunden. Wer auf die Best\u00e4tigung eines automatischen Systems wartet, bevor er den Betrug dokumentiert, dokumentiert in den meisten F\u00e4llen eine Seite, die es nicht mehr gibt.<\/p><\/blockquote>\n\n<p>Das Volumen macht daraus ein strukturelles und kein gelegentliches Problem. Die <a href=\"https:\/\/apwg.org\/trendsreports\" target=\"_blank\" rel=\"noopener\">Anti-Phishing Working Group<\/a> registrierte im Jahr 2025 rund 3,8 Millionen Phishing-Angriffe, mit einem H\u00f6chststand von 1.130.393 Angriffen allein im zweiten Quartal. Vor diesem Hintergrund ist der Impuls, die Seite sp\u00e4ter aufzurufen, wenn Zeit daf\u00fcr ist, schlicht ein Fehler. Diese Zeit gibt es meistens nicht.<\/p>\n\n<h2>Warum ein hastiger Screenshot nicht tr\u00e4gt<\/h2>\n\n<p>Ein mit dem Telefon aufgenommener Screenshot ist ein Bild. Nach \u00a7 371 ZPO wird er als Objekt des Augenscheins behandelt, und \u00a7 286 ZPO \u00fcberl\u00e4sst seine Bewertung der freien Beweisw\u00fcrdigung des Gerichts. Das bedeutet: keine feste Beweiskraft, sondern eine Einsch\u00e4tzung, die davon abh\u00e4ngt, wie \u00fcberzeugend die Herkunft des Bildes dargelegt werden kann.<\/p>\n\n<p>Das praktische Hindernis liegt unterhalb des rechtlichen. Sobald die Seite offline ist, kann keine der beiden Seiten mehr etwas \u00fcberpr\u00fcfen, und das Gericht hat keine M\u00f6glichkeit festzustellen, ob das Bild dem entspricht, was damals ausgeliefert wurde. Die internationale Leitlinie zum Umgang mit digitalen Beweismitteln, insbesondere ISO\/IEC 27037 zur Identifizierung, Sicherung und Erhaltung digitaler Beweise, beruht auf einer einfachen Pr\u00e4misse: Der Wert des Beweismittels h\u00e4ngt davon ab, wie es erfasst wurde und ob dieser Vorgang nachtr\u00e4glich rekonstruierbar ist. Ein Screenshot vom Telefon dokumentiert davon nichts. Die prozessualen Einzelheiten behandeln wir im Beitrag zum <a href=\"https:\/\/truescreen.io\/de\/artikel\/screenshot-beweismittel-gericht-rechtssicher\/\" target=\"_blank\" rel=\"noopener\">Screenshot als Beweismittel vor Gericht<\/a>.<\/p>\n\n<p>Hinzu kommt ein Vollst\u00e4ndigkeitsproblem, das noch vor der Frage der Echtheit liegt. Ein Screenshot zeigt, was das Auge sah, nicht das technisch Entscheidende: die vollst\u00e4ndige Adresse samt Parametern, den antwortenden Server, die vorgelegten Zertifikate, den Quelltext der Seite, die von Dritten geladenen Ressourcen. Genau diese Angaben verlangt die Bank f\u00fcr die Bearbeitung der Reklamation und der Registrar f\u00fcr die Pr\u00fcfung eines L\u00f6schungsantrags.<\/p>\n\n<div style=\"overflow-x: auto; margin: 24px 0; border-radius: 8px; border: 1px solid #e8e6f0;\"><table style=\"width: 100%; border-collapse: collapse; font-family: 'DM Sans', sans-serif; font-size: 14px; line-height: 1.5; min-width: 600px;\"><thead><tr><th style=\"background-color: #1a1a2e; color: #ffffff; padding: 12px 16px; text-align: left; font-weight: 600; font-size: 13px; white-space: nowrap; border-bottom: 2px solid #7c6bc4;\">Element<\/th><th style=\"background-color: #1a1a2e; color: #ffffff; padding: 12px 16px; text-align: left; font-weight: 600; font-size: 13px; white-space: nowrap; border-bottom: 2px solid #7c6bc4;\">Screenshot vom Telefon<\/th><th style=\"background-color: #1a1a2e; color: #ffffff; padding: 12px 16px; text-align: left; font-weight: 600; font-size: 13px; white-space: nowrap; border-bottom: 2px solid #7c6bc4;\">Zertifizierte Erfassung an der Quelle<\/th><\/tr><\/thead><tbody><tr><td style=\"padding: 12px 16px; border-bottom: 1px solid #e8e6f0; vertical-align: top; color: #333;\">Vollst\u00e4ndige Seitenadresse<\/td><td style=\"padding: 12px 16px; border-bottom: 1px solid #e8e6f0; vertical-align: top; color: #333;\">Unvollst\u00e4ndig oder abgeschnitten<\/td><td style=\"padding: 12px 16px; border-bottom: 1px solid #e8e6f0; vertical-align: top; color: #333;\">Vollst\u00e4ndig erfasst, samt Parametern<\/td><\/tr><tr style=\"background-color: #f8f7fd;\"><td style=\"padding: 12px 16px; border-bottom: 1px solid #e8e6f0; vertical-align: top; color: #333;\">Antwortender Server<\/td><td style=\"padding: 12px 16px; border-bottom: 1px solid #e8e6f0; vertical-align: top; color: #333;\">Fehlt<\/td><td style=\"padding: 12px 16px; border-bottom: 1px solid #e8e6f0; vertical-align: top; color: #333;\">Netzaufl\u00f6sung dokumentiert<\/td><\/tr><tr><td style=\"padding: 12px 16px; border-bottom: 1px solid #e8e6f0; vertical-align: top; color: #333;\">Quelltext und geladene Ressourcen<\/td><td style=\"padding: 12px 16px; border-bottom: 1px solid #e8e6f0; vertical-align: top; color: #333;\">Fehlt<\/td><td style=\"padding: 12px 16px; border-bottom: 1px solid #e8e6f0; vertical-align: top; color: #333;\">Zusammen mit der Seite erfasst<\/td><\/tr><tr style=\"background-color: #f8f7fd;\"><td style=\"padding: 12px 16px; border-bottom: 1px solid #e8e6f0; vertical-align: top; color: #333;\">Zeitpunkt der Erfassung<\/td><td style=\"padding: 12px 16px; border-bottom: 1px solid #e8e6f0; vertical-align: top; color: #333;\">Ger\u00e4teuhr, ver\u00e4nderbar<\/td><td style=\"padding: 12px 16px; border-bottom: 1px solid #e8e6f0; vertical-align: top; color: #333;\">Qualifizierter Zeitstempel, Dritten entgegenzuhalten<\/td><\/tr><tr><td style=\"padding: 12px 16px; border-bottom: 1px solid #e8e6f0; vertical-align: top; color: #333;\">Sp\u00e4tere Ver\u00e4nderungen<\/td><td style=\"padding: 12px 16px; border-bottom: 1px solid #e8e6f0; vertical-align: top; color: #333;\">Nicht erkennbar<\/td><td style=\"padding: 12px 16px; border-bottom: 1px solid #e8e6f0; vertical-align: top; color: #333;\">\u00dcber das elektronische Siegel erkennbar<\/td><\/tr><tr style=\"background-color: #f8f7fd;\"><td style=\"padding: 12px 16px; border-bottom: 1px solid #e8e6f0; vertical-align: top; color: #333;\">\u00dcberpr\u00fcfung durch den Empf\u00e4nger<\/td><td style=\"padding: 12px 16px; border-bottom: 1px solid #e8e6f0; vertical-align: top; color: #333;\">Nicht m\u00f6glich<\/td><td style=\"padding: 12px 16px; border-bottom: 1px solid #e8e6f0; vertical-align: top; color: #333;\">Eigenst\u00e4ndig, ohne den Absender<\/td><\/tr><tr><td style=\"padding: 12px 16px; border-bottom: 1px solid #e8e6f0; vertical-align: top; color: #333;\">Bestand nach Abschaltung der Seite<\/td><td style=\"padding: 12px 16px; border-bottom: 1px solid #e8e6f0; vertical-align: top; color: #333;\">Angreifbar<\/td><td style=\"padding: 12px 16px; border-bottom: 1px solid #e8e6f0; vertical-align: top; color: #333;\">Der Inhalt bleibt dokumentiert<\/td><\/tr><\/tbody><\/table><\/div>\n\n<h2>Was die Erfassung einer geklonten Seite enthalten muss<\/h2>\n\n<p>Eine brauchbare Erfassung ist keine Fotografie des Browserfensters. Sie ist die dokumentierte Aufzeichnung einer Sitzung, einschlie\u00dflich all dessen, was der Server tats\u00e4chlich zur\u00fcckgegeben hat. Vier Elemente entscheiden dar\u00fcber, ob eine Datei angegriffen wird oder tr\u00e4gt.<\/p>\n\n<h3>Die Adresse und die Netzaufl\u00f6sung<\/h3>\n\n<p>Die gef\u00e4lschte Domain ist die Grundlage sowohl der Strafanzeige als auch des L\u00f6schungsantrags. Sie ben\u00f6tigen die vollst\u00e4ndige Adresse einschlie\u00dflich der Parameter, die die betr\u00fcgerische Kampagne kennzeichnen, und die Aufl\u00f6sung zu dem Server, der in diesem Moment geantwortet hat. Das ist es, was verschiedene Seiten derselben Infrastruktur zuordnen l\u00e4sst, und bei nachgebauten Konten ist es oft der einzige Faden, der scheinbar unverbundene Vorf\u00e4lle verbindet.<\/p>\n\n<h3>Der Quelltext und die geladenen Ressourcen<\/h3>\n\n<p>Der Quelltext enth\u00e4lt, was das Bild nicht zeigen kann: wohin die im Formular eingegebenen Daten gesendet werden, welche Skripte Dritter aktiv sind, welche Bilder und Logos von der echten Seite \u00fcbernommen wurden. F\u00fcr einen Markeninhaber ist gerade dieses Detail der Nachweis der unbefugten Zeichennutzung, und es st\u00fctzt ein Vorgehen weit besser, als eine Bildschirmaufnahme es je k\u00f6nnte.<\/p>\n\n<h3>Der Zeitpunkt, zu dem die Seite erreichbar war<\/h3>\n\n<p>Die Systemuhr eines Telefons l\u00e4sst sich in Sekunden verstellen, und das wei\u00df jeder. Damit der Erfassungszeitpunkt Dritten entgegengehalten werden kann, braucht es einen qualifizierten Zeitstempel eines Dritten, der den erfassten Inhalt an einen festen Moment bindet. Nach Artikel 41 der <a href=\"https:\/\/eur-lex.europa.eu\/legal-content\/DE\/TXT\/?uri=CELEX:32014R0910\" target=\"_blank\" rel=\"noopener\">Verordnung (EU) Nr. 910\/2014<\/a> gilt f\u00fcr einen qualifizierten elektronischen Zeitstempel die Vermutung der Richtigkeit des angegebenen Datums und der Uhrzeit sowie der Unversehrtheit der damit verbundenen Daten. Das erlaubt es, Monate sp\u00e4ter festzustellen, dass die Seite um 21:14 Uhr an dem Tag erreichbar war, an dem die \u00dcberweisung ausgef\u00fchrt wurde.<\/p>\n\n<h3>Die Navigationskette<\/h3>\n\n<p>Betrug spielt sich selten auf einer einzigen Seite ab. Da ist die Nachricht, eine erste Adresse, die auf eine zweite weiterleitet, die Seite mit der Abfrage der Zugangsdaten und jene mit der Abfrage des Einmalcodes. Die Sequenz zu dokumentieren und nicht nur den letzten Schritt rekonstruiert die T\u00e4uschung als Ganzes, und das macht den Vorgang f\u00fcr jemanden lesbar, der ihn nicht selbst erlebt hat. Den allgemeinen Rahmen dazu behandeln wir im Beitrag zur <a href=\"https:\/\/truescreen.io\/de\/artikel\/digitale-beweiskette-chain-of-custody-schutz-beweise\/\" target=\"_blank\" rel=\"noopener\">digitalen Beweiskette<\/a>.<\/p>\n\n<div class=\"ts-feature-banner\" style=\"margin: 40px 0; padding: 0; background-color: #f8f7fd; border-radius: 12px; display: flex; overflow: hidden; border: 1px solid rgba(0,0,0,0.06);\">\n  <div style=\"width: 160px; min-height: 140px; flex-shrink: 0; overflow: hidden;\">\n    <img decoding=\"async\" src=\"https:\/\/truescreen.io\/wp-content\/uploads\/2024\/09\/Mobile-Header.png\" alt=\"TrueScreen\" style=\"width: 100%; height: 100%; object-fit: cover;\" \/>\n  <\/div>\n  <div style=\"padding: 20px 24px; flex: 1; display: flex; flex-direction: column; justify-content: center;\">\n    <p style=\"font-family: 'DM Sans', sans-serif; font-size: 12px; font-weight: 600; color: #7c6bc4; text-transform: uppercase; letter-spacing: 0.5px; margin: 0 0 6px 0;\">TrueScreen<\/p>\n    <p style=\"font-family: 'Raleway', sans-serif; font-size: 17px; font-weight: 700; color: #1a1a2e; margin: 0 0 6px 0; line-height: 1.3;\">TrueScreen, die Plattform f\u00fcr forensische Erfassung und Zertifizierung<\/p>\n    <p style=\"font-family: 'DM Sans', sans-serif; font-size: 14px; color: #555; margin: 0 0 12px 0; line-height: 1.4;\">Erfassen und zertifizieren Sie digitale Inhalte mit Rechtswert, direkt an der Quelle.<\/p>\n    <a href=\"https:\/\/truescreen.io\/de\/\" style=\"font-family: &#039;DM Sans&#039;, sans-serif; font-size: 14px; font-weight: 600; color: #007afe; text-decoration: none; display: inline-block;\">Mehr erfahren \u2192<\/a>\n  <\/div>\n<\/div>\n\n<h2>Was Zertifizierung an der Quelle bei einer betr\u00fcgerischen Seite bedeutet<\/h2>\n\n<p>Zertifizierung an der Quelle bedeutet, einen digitalen Inhalt in dem Moment zu erfassen, in dem er existiert, forensisch durchgef\u00fchrt und mit einem Siegel abgeschlossen, das jede sp\u00e4tere Ver\u00e4nderung erkennbar macht. Das Prinzip kehrt den \u00fcblichen Ansatz um: Statt nachtr\u00e4glich zu belegen, dass ein Bild echt ist, entsteht der Nachweis, solange der Vorgang noch beobachtbar ist. <a href=\"https:\/\/truescreen.io\/de\/\" target=\"_blank\" rel=\"noopener\">TrueScreen<\/a> wendet dieses Prinzip auf betr\u00fcgerische Webseiten an. Die Plattform erfasst die Seite, solange sie erreichbar ist, sichert neben dem sichtbaren Inhalt die technischen Sitzungsdaten und bindet \u00fcber eine Schnittstelle das elektronische Siegel sowie den qualifizierten Zeitstempel eines externen qualifizierten Vertrauensdiensteanbieters ein. Das Ergebnis ist kein Bild zum Anh\u00e4ngen: Es ist ein Dokument, das der Empf\u00e4nger, ob Betrugsabteilung einer Bank oder Staatsanwaltschaft, eigenst\u00e4ndig \u00fcberpr\u00fcfen kann, ohne dem \u00dcbermittler vertrauen zu m\u00fcssen. Es ist die praktische Anwendung von <a href=\"https:\/\/truescreen.io\/articles\/digital-provenance\/\" target=\"_blank\" rel=\"noopener\">Digital Provenance<\/a> auf einen Inhalt, der im Begriff ist zu verschwinden.<\/p>\n\n<h3>Erfassung auf dem Ger\u00e4t, das die Nachricht erhalten hat<\/h3>\n\n<p>Der Betrug erreicht fast immer das Telefon, und dort sollte er dokumentiert werden. Mit der <a href=\"https:\/\/truescreen.io\/de\/app\/\" target=\"_blank\" rel=\"noopener\">mobilen App von TrueScreen<\/a> wird die verd\u00e4chtige Seite direkt auf dem Ger\u00e4t erfasst, ohne Zwischen\u00fcbertragung, die einen weiteren erkl\u00e4rungsbed\u00fcrftigen Schritt schaffen w\u00fcrde. Wer am Arbeitsplatz sitzt, etwa eine Betrugsanalystin, die den Hinweis einer Kundin erh\u00e4lt, f\u00fchrt denselben Vorgang \u00fcber die <a href=\"https:\/\/truescreen.io\/de\/plattform\/\" target=\"_blank\" rel=\"noopener\">Webplattform<\/a> aus.<\/p>\n\n<h3>Elektronisches Siegel und qualifizierter Zeitstempel<\/h3>\n\n<p>Der erfasste Inhalt wird versiegelt. Das elektronische Siegel und der qualifizierte Zeitstempel werden von einem in die Plattform eingebundenen qualifizierten Vertrauensdiensteanbieter aufgebracht, nicht intern erzeugt. Ab diesem Moment wird jede \u00c4nderung an der Datei, und sei es ein einziges Byte, bei der Pr\u00fcfung erkennbar. Das ist der Unterschied zwischen der Behauptung, ein Inhalt sei unver\u00e4ndert, und dem Nachweis dar\u00fcber.<\/p>\n\n<h3>Eigenst\u00e4ndige \u00dcberpr\u00fcfung durch den Empf\u00e4nger<\/h3>\n\n<p>Wer das Dokument erh\u00e4lt, muss dem Ersteller nicht glauben, sondern kann die Unversehrtheit unabh\u00e4ngig pr\u00fcfen. Organisationen mit hohem Meldeaufkommen k\u00f6nnen die Erfassung aus dem eigenen Betrugserkennungssystem ausl\u00f6sen, sobald ein Hinweis eingeht, \u00fcber die Integrationsschnittstellen der Plattform und ohne manuellen Schritt. Welche Anforderungen eine Akte erf\u00fcllen muss, behandeln wir im Beitrag dazu, wie sich <a href=\"https:\/\/truescreen.io\/de\/artikel\/digitale-beweise-vor-gericht-zulaessig-machen\/\" target=\"_blank\" rel=\"noopener\">digitale Beweise vor Gericht verwertbar machen<\/a> lassen.<\/p>\n\n<p>Ein wiederkehrendes Beispiel: Der Kundenservice einer Bank erh\u00e4lt um 18:40 Uhr den Hinweis auf eine gef\u00e4lschte Anmeldeseite. Die Analystin \u00f6ffnet die Adresse, erfasst und zertifiziert sie in weniger als zwei Minuten. Um 23:00 Uhr antwortet die Domain nicht mehr. Am n\u00e4chsten Morgen verf\u00fcgt die Rechtsabteilung dennoch \u00fcber den Quelltext der Seite, die Adresse des Servers, der die Zugangsdaten abgriff, und den Zeitstempel, der die Erfassung vor den strittigen \u00dcberweisungen verortet.<\/p>\n\n<h2>Phishing: was in den ersten Minuten zu tun ist<\/h2>\n\n<p>Die Priorit\u00e4t liegt nicht darin herauszufinden, wer dahintersteckt, und das ist ein verbreiteter Fehler. Die Priorit\u00e4t liegt darin, den Zustand des digitalen Tatorts festzuhalten, solange er existiert. Die Reihenfolge der Schritte z\u00e4hlt mehr als die Sorgfalt bei jedem einzelnen.<\/p>\n\n<ol>\n<li><strong>Schlie\u00dfen Sie den Browser-Tab nicht und l\u00f6schen Sie die Nachricht nicht.<\/strong> Die Nachricht, mit der der Link kam, geh\u00f6rt ebenso zum Beweismaterial wie die Seite selbst.<\/li>\n<li><strong>Erfassen und zertifizieren Sie die Seite, solange sie noch antwortet<\/strong>, zusammen mit dem Weg, der zu ihr gef\u00fchrt hat. Wurden Daten eingegeben, dokumentieren Sie auch die Best\u00e4tigungsseite.<\/li>\n<li><strong>Sperren Sie die betroffenen Zahlungsmittel<\/strong> und er\u00f6ffnen Sie die Reklamation beim Zahlungsdienstleister, unter Beif\u00fcgung des zertifizierten Dokuments.<\/li>\n<li><strong>Erstatten Sie Anzeige<\/strong> und legen Sie die Erfassung bei. Einschl\u00e4gig sind in der Regel Computerbetrug und das Aussp\u00e4hen von Daten, und die technische Akte macht aus einer Schilderung einen Fall.<\/li>\n<li><strong>Melden Sie die Domain<\/strong> beim Registrar, beim Hosting-Anbieter und bei der nachgeahmten Marke. Ein L\u00f6schungsantrag mit \u00fcberpr\u00fcfbarer technischer Anlage wird anders bearbeitet als eine allgemein gehaltene Beschwerde.<\/li>\n<\/ol>\n\n<p>Dieselbe Vorgehensweise gilt f\u00fcr jeden Betrug, der sich auf einer Seite abspielt, die verschwinden soll: gef\u00e4lschte Anlageportale, Lockangebote, Formulare, die eine Beh\u00f6rde nachahmen. Die Regel bleibt dieselbe: erst erfassen, dann analysieren. Der Fall des <a href=\"https:\/\/truescreen.io\/de\/artikel\/trading-betrug-beweise-zertifizieren-anzeige\/\" target=\"_blank\" rel=\"noopener\">Trading-Betrugs<\/a> folgt genau demselben Muster.<\/p>\n\n<h2>Wer diesen Nachweis nutzt und wof\u00fcr<\/h2>\n\n<p>Das zertifizierte Dokument dient unterschiedlichen Adressaten, und jeder verwendet einen anderen Teil davon.<\/p>\n\n<p>Betrugsabteilungen von Banken und Versicherern nutzen es f\u00fcr die Erstattung und um Vorf\u00e4lle zu verbinden, die isoliert wirken: Wenn zwanzig Kundinnen und Kunden verschiedene Seiten melden, die an denselben Server senden, \u00e4ndert sich das Bild. Rechtsabteilungen nutzen es, weil es bereits vollst\u00e4ndig mit den technischen Angaben eintrifft, die andernfalls durch ein Sachverst\u00e4ndigengutachten rekonstruiert werden m\u00fcssten, sofern eine Rekonstruktion \u00fcberhaupt noch m\u00f6glich ist. Markeninhaber, die von nachgebauten Shops betroffen sind, nutzen es, um die unbefugte Zeichennutzung zu belegen und L\u00f6schungsantr\u00e4ge bei Registraren und Werbeplattformen zu st\u00fctzen. Fachleute und Privatpersonen, die gesch\u00e4digt wurden, nutzen es, um bei der Anzeige nicht mit dem einzigen dazustehen, was sie \u00fcblicherweise haben: einer Fotografie des Bildschirms.<\/p>\n\n<p>In all diesen F\u00e4llen ist nicht die Raffinesse des Werkzeugs entscheidend, sondern der Zeitpunkt seines Einsatzes. Ein Nachweis, der forensisch erfasst wurde, solange die Seite erreichbar war, ist so viel wert wie die Seite selbst. Ein sp\u00e4ter erhobener ist so viel wert wie die Erinnerung dessen, der sie gesehen hat.<\/p><\/div><\/div><div class=\"fusion-layout-column fusion_builder_column fusion-builder-column-3 fusion_builder_column_1_1 1_1 fusion-flex-column\" style=\"--awb-bg-blend:overlay;--awb-bg-size:cover;--awb-width-large:100%;--awb-margin-top-large:0px;--awb-spacing-right-large:1.455%;--awb-margin-bottom-large:20px;--awb-spacing-left-large:1.455%;--awb-width-medium:100%;--awb-spacing-right-medium:1.455%;--awb-spacing-left-medium:1.455%;--awb-width-small:100%;--awb-spacing-right-small:1.455%;--awb-spacing-left-small:1.455%;\"><div class=\"fusion-column-wrapper fusion-flex-justify-content-flex-start fusion-content-layout-column\"><section class=\"faq faq-truescreen\" aria-labelledby=\"faq-title\">\n<h2 id=\"faq-title\">FAQ: Phishing, geklonte Seiten und digitale Beweise<\/h2>\n<div class=\"faq-list\">\n<details class=\"faq-item\">\n<summary class=\"faq-question\"><span class=\"faq-question-text\">Phishing: Was ist unmittelbar nach dem \u00d6ffnen des Links zu tun?<\/span><br \/>\n<span class=\"faq-icon\" aria-hidden=\"true\">+<\/span><\/summary>\n<div class=\"faq-answer\">Schlie\u00dfen Sie den Browser-Tab nicht und l\u00f6schen Sie die Nachricht nicht. Erfassen und zertifizieren Sie zuerst die Seite, solange sie noch antwortet, samt dem Weg, der zu ihr gef\u00fchrt hat. Erst danach sperren Sie die Zahlungsmittel, er\u00f6ffnen die Reklamation beim Zahlungsdienstleister und erstatten Anzeige. Im Mittel bleibt die Seite nur wenige Stunden erreichbar.<\/div>\n<\/details>\n<details class=\"faq-item\">\n<summary class=\"faq-question\"><span class=\"faq-question-text\">Hat ein Screenshot einer Phishing-Seite Beweiswert?<\/span><br \/>\n<span class=\"faq-icon\" aria-hidden=\"true\">+<\/span><\/summary>\n<div class=\"faq-answer\">Er wird nach \u00a7 371 ZPO als Objekt des Augenscheins behandelt und nach \u00a7 286 ZPO frei gew\u00fcrdigt, hat also keine feste Beweiskraft. Sobald die Seite offline ist, kann niemand das Bild mehr \u00fcberpr\u00fcfen und dem Gericht fehlen die Anhaltspunkte. Eine an der Quelle zertifizierte Erfassung hat diese Schw\u00e4che nicht.<\/div>\n<\/details>\n<details class=\"faq-item\">\n<summary class=\"faq-question\"><span class=\"faq-question-text\">Wie lange bleibt eine Phishing-Seite online?<\/span><br \/>\n<span class=\"faq-icon\" aria-hidden=\"true\">+<\/span><\/summary>\n<div class=\"faq-answer\">Die Untersuchung \"7 Days Later\", vorgestellt auf der ACM Web Conference 2025 und gest\u00fctzt auf 286.237 Adressen, ermittelte eine mediane Lebensdauer von 5,46 Stunden und einen Mittelwert von 54 Stunden. Seiten, die Logistikunternehmen nachahmen, sind mit einem Median von 1,76 Stunden am kurzlebigsten. 83,93 Prozent werden entfernt, bevor die Warnsysteme der Browser sie erkennen.<\/div>\n<\/details>\n<details class=\"faq-item\">\n<summary class=\"faq-question\"><span class=\"faq-question-text\">Was braucht ein L\u00f6schungsantrag, um wirksam zu sein?<\/span><br \/>\n<span class=\"faq-icon\" aria-hidden=\"true\">+<\/span><\/summary>\n<div class=\"faq-answer\">Registrare, Hosting-Anbieter und Werbeplattformen bewerten den Antrag nach der Qualit\u00e4t der technischen Anlage. Eine zertifizierte Erfassung, die die vollst\u00e4ndige Adresse, den antwortenden Server, den Quelltext und die von der echten Seite \u00fcbernommenen Logos zeigt, liefert etwas \u00dcberpr\u00fcfbares, was eine allgemeine Beschwerde mit einem Screenshot nicht bietet.<\/div>\n<\/details>\n<details class=\"faq-item\">\n<summary class=\"faq-question\"><span class=\"faq-question-text\">Worin unterscheiden sich Domainmeldung und Strafanzeige?<\/span><br \/>\n<span class=\"faq-icon\" aria-hidden=\"true\">+<\/span><\/summary>\n<div class=\"faq-answer\">Es sind zwei parallele Wege mit verschiedenen Adressaten. Die Meldung der Domain an Registrar oder Plattform zielt auf die rasche Abschaltung der Seite. Die Anzeige er\u00f6ffnet das Strafverfahren. Eine einzige zertifizierte Erfassung bedient beide Wege sowie die Reklamation gegen\u00fcber dem Zahlungsdienstleister.<\/div>\n<\/details>\n<\/div>\n<\/section><\/div><\/div><\/div><\/div><br \/>\n<div class=\"fusion-fullwidth fullwidth-box fusion-builder-row-4 fusion-flex-container nonhundred-percent-fullwidth non-hundred-percent-height-scrolling\" style=\"--awb-border-radius-top-left:0px;--awb-border-radius-top-right:0px;--awb-border-radius-bottom-right:0px;--awb-border-radius-bottom-left:0px;--awb-padding-top:80px;--awb-padding-bottom:80px;--awb-padding-top-small:40px;--awb-padding-bottom-small:110px;--awb-margin-bottom:0px;--awb-background-color:#ffffff;--awb-background-image:linear-gradient(180deg, var(--awb-color3) 0%,var(--awb-color3) 100%);--awb-flex-wrap:wrap;\" ><div class=\"fusion-builder-row fusion-row fusion-flex-align-items-flex-start fusion-flex-content-wrap\" style=\"max-width:1236px;margin-left: calc(-3% \/ 2 );margin-right: calc(-3% \/ 2 );\"><div class=\"fusion-layout-column fusion_builder_column fusion-builder-column-4 fusion_builder_column_1_1 1_1 fusion-flex-column\" style=\"--awb-padding-top:36px;--awb-padding-right:36px;--awb-padding-bottom:36px;--awb-padding-left:36px;--awb-overflow:hidden;--awb-bg-color:var(--awb-color2);--awb-bg-color-hover:var(--awb-color2);--awb-bg-size:cover;--awb-border-radius:8px 8px 8px 8px;--awb-width-large:100%;--awb-margin-top-large:0px;--awb-spacing-right-large:1.455%;--awb-margin-bottom-large:20px;--awb-spacing-left-large:1.455%;--awb-width-medium:100%;--awb-order-medium:0;--awb-spacing-right-medium:1.455%;--awb-spacing-left-medium:1.455%;--awb-width-small:100%;--awb-order-small:0;--awb-spacing-right-small:1.455%;--awb-spacing-left-small:1.455%;\"><div class=\"fusion-column-wrapper fusion-column-has-shadow fusion-flex-justify-content-flex-start fusion-content-layout-column\"><div class=\"fusion-builder-row fusion-builder-row-inner fusion-row fusion-flex-align-items-flex-start fusion-flex-content-wrap\" style=\"width:103% !important;max-width:103% !important;margin-left: calc(-3% \/ 2 );margin-right: calc(-3% \/ 2 );\"><div class=\"fusion-layout-column fusion_builder_column_inner fusion-builder-nested-column-0 fusion_builder_column_inner_2_3 2_3 fusion-flex-column fusion-flex-align-self-center\" style=\"--awb-bg-size:cover;--awb-width-large:66.666666666667%;--awb-margin-top-large:0px;--awb-spacing-right-large:2.1825%;--awb-margin-bottom-large:0px;--awb-spacing-left-large:2.1825%;--awb-width-medium:100%;--awb-order-medium:0;--awb-spacing-right-medium:1.455%;--awb-spacing-left-medium:1.455%;--awb-width-small:100%;--awb-order-small:0;--awb-spacing-right-small:1.455%;--awb-spacing-left-small:1.455%;\"><div class=\"fusion-column-wrapper fusion-column-has-shadow fusion-flex-justify-content-flex-start fusion-content-layout-column\"><div class=\"fusion-title title fusion-title-2 fusion-sep-none fusion-title-text fusion-title-size-two\" style=\"--awb-text-color:var(--awb-color1);--awb-margin-top:-40px;--awb-margin-top-small:-32px;\"><h2 class=\"fusion-title-heading title-heading-left fusion-responsive-typography-calculated\" style=\"margin:0;--fontSize:32;--minFontSize:32;line-height:1.3;\"><h2>Zertifizieren Sie die Seite, bevor sie verschwindet<\/h2><\/h2><\/div><div class=\"fusion-text fusion-text-1 fusion-text-no-margin\" style=\"--awb-font-size:18px;--awb-text-color:var(--awb-color1);--awb-margin-bottom:32px;\"><p><span style=\"letter-spacing: 0.24px; background-color: rgba(0, 0, 0, 0);\">Erfassen und versiegeln Sie die betr\u00fcgerische Seite, solange sie erreichbar ist: Das Dokument bleibt auch nach der Abschaltung der Domain \u00fcberpr\u00fcfbar.<\/span><\/p>\n<\/div><div ><a class=\"fusion-button button-flat fusion-button-default-size button-default fusion-button-default button-1 fusion-button-default-span fusion-button-default-type\" target=\"_self\" href=\"https:\/\/portal.truescreen.io\/signin\/\"><span class=\"fusion-button-text\">Jetzt starten<\/span><\/a><\/div><div class=\"fusion-separator fusion-full-width-sep\" style=\"align-self: center;margin-left: auto;margin-right: auto;margin-top:12px;width:100%;\"><\/div><div ><a class=\"fusion-button button-flat fusion-button-default-size button-custom fusion-button-default button-2 fusion-button-default-span\" style=\"--button_accent_color:var(--awb-color1);--button_border_color:rgba(255,255,255,0.3);--button_accent_hover_color:var(--awb-color1);--button_border_hover_color:var(--awb-color1);--button_border_width-top:1px;--button_border_width-right:1px;--button_border_width-bottom:1px;--button_border_width-left:1px;--button_gradient_top_color:rgba(0,0,0,0);--button_gradient_bottom_color:rgba(0,0,0,0);--button_gradient_top_color_hover:rgba(255,255,255,0.1);--button_gradient_bottom_color_hover:rgba(255,255,255,0.1);\" target=\"_self\" href=\"https:\/\/truescreen.io\/de\/kontakt\/\"><span class=\"fusion-button-text\">Demo anfragen<\/span><\/a><\/div><\/div><\/div><div class=\"fusion-layout-column fusion_builder_column_inner fusion-builder-nested-column-1 fusion_builder_column_inner_1_3 1_3 fusion-flex-column fusion-flex-align-self-center fusion-no-small-visibility fusion-no-medium-visibility\" style=\"--awb-bg-size:cover;--awb-width-large:33.333333333333%;--awb-margin-top-large:0px;--awb-spacing-right-large:4.365%;--awb-margin-bottom-large:0px;--awb-spacing-left-large:4.365%;--awb-width-medium:100%;--awb-order-medium:0;--awb-spacing-right-medium:1.455%;--awb-spacing-left-medium:1.455%;--awb-width-small:100%;--awb-order-small:0;--awb-spacing-right-small:1.455%;--awb-spacing-left-small:1.455%;\"><div class=\"fusion-column-wrapper fusion-column-has-shadow fusion-flex-justify-content-flex-start fusion-content-layout-column\"><div class=\"fusion-image-element\" style=\"--awb-max-width:300px;--awb-caption-title-font-family:var(--h2_typography-font-family);--awb-caption-title-font-weight:var(--h2_typography-font-weight);--awb-caption-title-font-style:var(--h2_typography-font-style);--awb-caption-title-size:var(--h2_typography-font-size);--awb-caption-title-transform:var(--h2_typography-text-transform);--awb-caption-title-line-height:var(--h2_typography-line-height);--awb-caption-title-letter-spacing:var(--h2_typography-letter-spacing);\"><span class=\"fusion-imageframe imageframe-none imageframe-1 hover-type-none\"><img decoding=\"async\" width=\"1204\" height=\"1208\" alt=\"Mockup App\" title=\"Mobile Header\" src=\"https:\/\/truescreen.io\/wp-content\/uploads\/2024\/09\/Mobile-Header.png\" class=\"img-responsive wp-image-45466\" srcset=\"https:\/\/truescreen.io\/wp-content\/uploads\/2024\/09\/Mobile-Header-200x201.png 200w, https:\/\/truescreen.io\/wp-content\/uploads\/2024\/09\/Mobile-Header-400x401.png 400w, https:\/\/truescreen.io\/wp-content\/uploads\/2024\/09\/Mobile-Header-600x602.png 600w, https:\/\/truescreen.io\/wp-content\/uploads\/2024\/09\/Mobile-Header-800x803.png 800w, https:\/\/truescreen.io\/wp-content\/uploads\/2024\/09\/Mobile-Header-1200x1204.png 1200w, https:\/\/truescreen.io\/wp-content\/uploads\/2024\/09\/Mobile-Header.png 1204w\" sizes=\"(max-width: 1024px) 100vw, (max-width: 640px) 100vw, 400px\" \/><\/span><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/p>","protected":false},"featured_media":57904,"template":"","class_list":["post-57906","artikel","type-artikel","status-publish","has-post-thumbnail","hentry"],"acf":[],"_links":{"self":[{"href":"https:\/\/truescreen.io\/de\/wp-json\/wp\/v2\/artikel\/57906","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/truescreen.io\/de\/wp-json\/wp\/v2\/artikel"}],"about":[{"href":"https:\/\/truescreen.io\/de\/wp-json\/wp\/v2\/types\/artikel"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/truescreen.io\/de\/wp-json\/wp\/v2\/media\/57904"}],"wp:attachment":[{"href":"https:\/\/truescreen.io\/de\/wp-json\/wp\/v2\/media?parent=57906"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}