Phishing über Suchanzeigen: Warum das oberste Ergebnis gefälscht sein kann

Betrüger kaufen Suchanzeigen auf die Namen beliebter Wallets, Börsen und DeFi-Apps, sodass das erste „gesponserte“ Ergebnis zu einer überzeugend gefälschten Seite führen kann, die deine Wiederherstellungsphrase, deinen Login oder deine Wallet-Freigaben stehlen soll. Die sicherste Gewohnheit ist einfach: Rufe eine Krypto-Seite nie über eine Anzeige auf, sondern nutze stattdessen deine eigenen Lesezeichen.

Dieser Angriff funktioniert, weil er auf einen Moment des Vertrauens zielt. Du suchst nach einem Namen, den du kennst, klickst auf das erste Ergebnis und siehst eine Seite, die genau richtig aussieht. Nichts wirkt verdächtig – und genau darum geht es. Dieser Leitfaden erklärt, wie die Masche funktioniert, wie sie in der Praxis aussieht und wie du dich schützt.

Wie Phishing über Suchanzeigen funktioniert, Schritt für Schritt

1. 1Der Betrüger registriert eine zum Verwechseln ähnliche Domain. Dabei wird etwa ein Buchstabe vertauscht, ein Wort wie „app“ oder „claim“ angehängt, eine andere Domain-Endung verwendet oder es werden Zeichen genutzt, die genauso aussehen wie lateinische Buchstaben.
2. 2Die echte Seite wird geklont. Das Design einer Wallet, Börse oder DeFi-App zu kopieren, kostet wenig Aufwand.
3. 3Es werden Anzeigen auf den Markennamen gekauft. Die Anzeige zielt auf Suchen wie den Namen der Wallet plus „download“ oder den Namen der Börse plus „login“.
4. 4Die Prüfung wird umgangen. Zu den Tricks gehört, Prüfern eine harmlose Seite und echten Besuchern die Phishing-Seite zu zeigen oder über mehrere Domains weiterzuleiten.
5. 5Opfer klicken und handeln. Die gefälschte Seite fragt nach einer Wiederherstellungsphrase, um eine Wallet „wiederherzustellen“, fängt ein Börsenpasswort und einen Zwei-Faktor-Code ab, bietet eine bösartige App zum Download an oder fordert dich auf, eine Wallet zu verbinden und eine Transaktion zu signieren.
6. 6Die Gelder werden abgezogen. Mit einer Wiederherstellungsphrase oder einer Ausgabefreigabe verschiebt der Angreifer die Vermögenswerte innerhalb von Minuten, oft über Mixer oder Bridges.

Die gefälschte Seite verschwindet meist schnell, und eine neue Domain mit einer neuen Anzeige tritt an ihre Stelle. Ausführlicher behandeln wir das in Krypto-Kredit-Betrug.

Ein hypothetisches Beispiel

Das folgende Szenario ist zusammengesetzt und dient der Veranschaulichung – es ist kein realer Fall.

Stell dir vor, Sam möchte eine DeFi-Position prüfen. Sam tippt den Namen des Protokolls in eine Suchmaschine und klickt auf das oberste Ergebnis, das in kleiner Schrift als „Gesponsert“ gekennzeichnet ist. Die Seite sieht genauso aus wie die echte App. Ein Banner besagt, dass eine „Sicherheitsmigration“ es erfordert, die Wallet erneut zu verbinden. Sam verbindet sich und wird gebeten, eine Nachricht zu signieren, die wie ein routinemäßiger Login aussieht. Siehe auch: E-Mail-Kontosicherheit für Krypto-Nutzer.

In Wirklichkeit ist die Signatur ein Token-Permit, das dem Angreifer erlaubt, Sams Stablecoins zu bewegen. Minuten später ist das Guthaben weg. Als Sam in die Adressleiste schaut, hat die Domain einen Buchstaben zu viel. Unser Erklärartikel zu Ice Phishing und Permit-Signaturen zeigt, wie solche Signaturen funktionieren.

Checkliste der Warnsignale

So schützt du dich

Sichere Zugangsgewohnheiten aufbauen

• Setze Lesezeichen für offizielle Seiten einmal, nachdem du sie sorgfältig geprüft hast, und nutze nur diese Lesezeichen. Unser Leitfaden, wie du prüfst, ob eine Website die offizielle Projektseite ist, erklärt die Prüfungen.
• Scrolle bei jeder Finanz- oder Krypto-Suche an den Anzeigen vorbei. Noch besser: Suche gar nicht erst nach Login-Seiten.
• Installiere Wallet-Apps nur über Links auf der offiziellen Website oder über verifizierte Einträge in App-Stores und prüfe den Entwicklernamen. Warnsignale findest du unter gefälschte Wallet-Apps.

Den Schaden begrenzen, falls doch etwas schiefgeht

• Nutze eine Hardware-Wallet, die Transaktionsdetails auf ihrem eigenen Bildschirm anzeigt, und lies sie.
• Bewahre den Großteil deiner Gelder in einer Wallet auf, die du selten mit Apps verbindest, und nutze eine separate Wallet zum Experimentieren.
• Prüfe und widerrufe Token-Freigaben regelmäßig.
• Nutze einen Werbeblocker oder eine Browsereinstellung, die gesponserte Ergebnisse ausblendet, wenn du dich damit wohlfühlst.

Adressen prüfen, nicht das Aussehen

Lies die Domain in der Adressleiste, bevor du irgendetwas eintippst. Eine perfekt aussehende Seite beweist nichts; entscheidend ist die Domain. Mehr dazu unter Supply-Chain-Angriffe.

Was tun, wenn es dir passiert ist

1. 1Beende die Interaktion mit der Seite und trenne deine Wallet.
2. 2Wenn du eine Wiederherstellungsphrase eingegeben hast, erstelle eine brandneue Wallet mit einer neuen Wiederherstellungsphrase und verschiebe alle verbleibenden Gelder sofort.
3. 3Wenn du eine Freigabe signiert hast, widerrufe sie mit einem seriösen Freigabe-Checker und erwäge dann, die Gelder an eine neue Adresse zu verschieben.
4. 4Wenn du einen Börsen-Login eingegeben hast, ändere dein Passwort, setze die Zwei-Faktor-Authentifizierung zurück und kontaktiere den Support der Börse über deren offizielle Website.
5. 5Sichere Beweise: die Anzeige, die Domain, Transaktions-Hashes und Zeitstempel.
6. 6Melde den Vorfall der Suchmaschine, dem nachgeahmten Projekt und über unser Formular für Betrugsmeldungen.

Unsere Schritt-für-Schritt-Anleitung, was du sofort tun solltest, wenn deine Wallet kompromittiert ist, behandelt die Wiederherstellung im Detail. Sei vorsichtig bei allen, die dich danach kontaktieren und versprechen, deine Gelder zurückzuholen – Recovery-Betrüger zielen auf frische Opfer.

Fazit

Eine Top-Position in der Suche lässt sich kaufen und ist kein Echtheitsbeweis. Betrüger nutzen gesponserte Ergebnisse, um zum Verwechseln ähnliche Krypto-Seiten genau in dem Moment vor Menschen zu platzieren, in dem sie sich einloggen oder eine Wallet verbinden wollen. Prüfe offizielle Seiten einmal, setze Lesezeichen, überspringe Anzeigen komplett und tippe nie eine Wiederherstellungsphrase auf einer Website ein. Mit diesen Gewohnheiten wird diese ganze Angriffsklasse für dich bedeutungslos.