Hinweise zu Sicherheitsrisiken mit *.com und *.net Domains

Wie es technisch aussieht

Falls du dich für den Kauf einer *.com oder *.net Umlautdomain entscheidest, wirst du das Problem haben, dass ein Großteil deiner Besucher diese Domain nicht als solche im Browser darstellen kann, sondern in der sogenannten Punycode-Schreibweise.

Die Punycode-Schreibweise ist die technische Umsetzung der Umlautdomains, die zu den sogenannten IDN, den "Internationalized Domain Names" gehören. So wird die Domain www.börse.de zum Beispiel intern als www.xn--brse-5qa.de dargestellt. Sofern dein Browser bereits die Darstellung von Umlautdomains unterstützt, wird er www.börse.de statt des Punycodes anzeigen.

Bei einer *.com Endung wird sich der Internet Explorer mit einem Plugin geschlagen geben, der Firefox wird die Darstellung hingegen verweigern und nur die Punycode-Version der Domain anzeigen. Warum?

Wo die Sicherheitslücke liegt

Schau dir diese beiden Domains einmal an:

www.paypal.com
www.pаypal.com

Erkennst du einen Unterschied? Wahrscheinlich nicht. Der Unterschied zwischen den beiden Domains liegt aber darin, dass bei der zweiten Adresse das erste "a" ein russischer Buchstabe ist. Auf den ersten Blick nicht zu erkennen - und darin liegt das Problem. Der Domainfälschung wäre damit Tür und Tor geöffnet und wenn dich mal wieder eine Phishing-eMail erreicht, in der du gebeten wirst, z.B. Kontodaten bei PayPal zu aktualisieren, wirst du in der IDN nicht erkennen, dass es sich um eine gefälschte Adresse handelt, in Punycode allerdings schon:

www.paypal.com
www.xn--pypal-4ve.com

Wieso betrifft mich das?

Die Verwalter der Domainendungen (in Deutschland ist das zum Beispiel die DENIC) wurden gebeten, Sicherheitsmaßnahmen einzuführen, die verhindern, dass gleichlautende Domains von verschiedenen Inhabern registriert werden. Wer diese Sicherheitsmaßnahmen in welcher Weise eingebaut hat, kannst du auf dieser Internetseite von Mozilla (leider nur auf Englisch) nachlesen:

http://www.mozilla.org/projects/security/tld-idn-policy-list.html

Leider konnte man sich bei *.com und *.net Domains nicht einig werden und so besteht die oben beschriebene Sicherheitslücke weiterhin. Damit man nicht ahnungslos in die Falle tappt, wurde im Firefox die Darstellung aller IDN auf *.com und *.net standardmäßig deaktiviert und sie erscheinen beim Aufruf in Punycode.