Ist die Website seriös? 6 kostenlose Prüfungen

Um zu prüfen, ob eine Website seriös ist, nehmen Sie sich zwei Minuten für fünf Punkte, bevor Sie ein Passwort oder eine Kartennummer eingeben: Lesen Sie den echten Domainnamen genau, ermitteln Sie mit einem WHOIS-Lookup, wie alt die Domain ist, sehen Sie mit dem SSL-Check nach, wer das Zertifikat ausgestellt hat, verfolgen Sie Kurz- oder Tracking-Links mit einem Weiterleitungs-Checker bis zu ihrem tatsächlichen Ziel, und prüfen Sie die Adresse mit dem Website-Status von Google Safe Browsing. Keine einzelne Prüfung beweist, dass eine Website sicher ist, aber Betrugsseiten fallen fast immer bei zwei oder drei Prüfungen gleichzeitig durch. Diese Anleitung geht jede Prüfung mit kostenlosen Tools durch, erklärt, was die Ergebnisse bedeuten, und listet die wichtigsten Warnsignale auf.

Warum das Schloss allein nicht zeigt, dass eine Website sicher ist

Jahrelang hieß es, man solle auf das Schloss achten. Dieser Rat ist veraltet. Das Schloss (HTTPS) bedeutet nur, dass die Verbindung zwischen Ihrem Browser und dem Server verschlüsselt ist. Es sagt nichts darüber aus, wer die Website betreibt oder ob diese Person ehrlich ist. Kostenlose Zertifikate werden für jeden, der eine Domain kontrolliert, in wenigen Minuten automatisch ausgestellt. Deshalb nutzen Phishing-Seiten und Fake-Shops HTTPS genauso wie echte Unternehmen.

Betrachten Sie HTTPS also als Mindeststandard, nicht als Urteil. Eine Website ohne HTTPS ist im Jahr 2026 ein Warnsignal für alles, was mit Logins oder Zahlungen zu tun hat. Eine Website mit HTTPS braucht aber trotzdem die folgenden Prüfungen.

Kurze Checkliste: Ist die Website seriös?

Schritt 1: Lesen Sie den echten Domainnamen

Die meisten Fake-Seiten fliegen schon hier auf, denn der Betrug setzt darauf, dass Sie die Adresse nicht lesen. Entscheidend ist die registrierte Domain: der Name direkt vor der Endung (.com, .de, .shop). Alles links davon ist eine Subdomain, die der Inhaber beliebig benennen kann.

• https://paypal.com.account-verify.help/login gehört zu account-verify.help, nicht zu PayPal.
• https://secure-amazon-orders.net gehört demjenigen, der secure-amazon-orders.net registriert hat. Einen Markennamen in eine längere Domain einzubauen, kostet Betrüger nichts.
• https://www.example.com@login-check.io führt Sie zu login-check.io. Alles vor dem @ wird als Benutzername behandelt und ignoriert.

Wenn ein Link lang oder unübersichtlich ist, fügen Sie ihn in den URL-Parser ein. Er zerlegt die Adresse in Protokoll, Host, Pfad und Query-String, sodass Sie den echten Host auf einen Blick sehen. Ist der Link voller Codes wie %2F, dekodieren Sie ihn zuerst mit dem URL-Decoder.

Achten Sie auf ähnlich aussehende Buchstaben

Manche Domains verwenden Zeichen aus anderen Alphabeten, die genauso aussehen wie lateinische Buchstaben, zum Beispiel ein kyrillisches „а“ anstelle eines lateinischen „a“. Browser speichern solche internationalisierten Namen in einem Format namens Punycode, das mit xn-- beginnt. Wenn Sie eine verdächtige Domain in den IDN-Punycode-Konverter einfügen und daraus eine xn---Zeichenfolge wird, obwohl die erwartete Marke ganz normale Buchstaben verwendet, sind Sie nicht auf der echten Website.

Schritt 2: Prüfen Sie, wie alt die Domain ist

Fake-Shops und Phishing-Seiten sind meist kurzlebig. Sie werden registriert, für eine Kampagne genutzt, gemeldet und wieder aufgegeben. Deshalb ist das Domainalter eines der nützlichsten Signale, die Sie in Sekunden bekommen können.

1. Öffnen Sie den WHOIS-Lookup und geben Sie nur die Domain ein, etwa example-store.com.
2. Suchen Sie das Erstellungsdatum. Ein Shop, der behauptet, „seit 2005 Kunden zu bedienen“, auf einer Domain, die letzten Monat erstellt wurde, lügt bei irgendetwas.
3. Sehen Sie sich das Ablaufdatum an. Etablierte Unternehmen verlängern oft für mehrere Jahre. Eine Domain, die für genau ein Jahr registriert ist, beweist nichts. Zusammen mit einem sehr jungen Erstellungsdatum passt sie aber ins Betrugsmuster.
4. Notieren Sie den Registrar und die Nameserver. Sie müssen sie noch nicht bewerten. Vergleichen Sie sie später einfach mit dem, was das Unternehmen über sich selbst sagt.

Die meisten Namen und Adressen von Domaininhabern sind heute hinter Datenschutzdiensten verborgen, und das ist normal. Werten Sie geschwärzte Kontaktdaten allein nicht als Warnsignal. Für eine offizielle Zweitmeinung betreibt die ICANN unter lookup.icann.org eine eigene Abfrage der Registrierungsdaten.

Schritt 3: Sehen Sie sich das SSL-Zertifikat an

Das Zertifikat beweist keine Ehrlichkeit, kann aber eine nachlässige oder gefälschte Einrichtung entlarven. Prüfen Sie die Domain mit dem SSL-Check und achten Sie auf drei Dinge:

• Ist es heute gültig? Ein abgelaufenes Zertifikat auf einer Website, die eine Zahlung verlangt, ist ein Grund zu gehen.
• Gilt es genau für diese Domain? Die im Zertifikat aufgeführten Namen sollten die Adresse enthalten, die Sie besuchen.
• Was steht im Antragsteller (Subject)? Die meisten Zertifikate sind domainvalidiert und nennen nur die Domain. Manche größeren Unternehmen nutzen organisationsvalidierte Zertifikate, die zusätzlich den Firmennamen zeigen. Steht dort ein Name, der zum Unternehmen passt, ist das ein kleines Plus. Fehlt er, ist das normal und kein Warnsignal.

Schritt 4: Verfolgen Sie den Link, bevor Sie klicken

Betrügerische Nachrichten verstecken das Ziel oft hinter einem URL-Kürzer, einem Tracking-Link oder einer Kette von Weiterleitungen. Statt zu klicken, fügen Sie den Link in den Weiterleitungs-Checker ein. Er ruft die URL ab und zeigt jeden Hop mit seinem Statuscode bis zur Zielseite.

Praxisbeispiel

Angenommen, eine SMS behauptet, Ihr Paket werde zurückgehalten, und enthält einen gekürzten Link. Der Weiterleitungs-Checker zeigt etwa Folgendes:

https://short.example/aB3x          301
https://track-redirect.example/r?id=91   302
https://parcel-fee-payment.example/pay   200

Die finale Domain hat nichts mit einem echten Paketdienst zu tun, und der letzte Pfad verlangt eine Zahlung. Das haben Sie herausgefunden, ohne die Seite in Ihrem eigenen Browser zu laden. Wenn Sie Weiterleitungscodes genauer verstehen möchten, lesen Sie unsere Anleitung zum Prüfen von 301- und 302-Weiterleitungen.

Schritt 5: Sehen Sie nach, wo die Website gehostet wird

Der Website-Hosting-Checker zeigt, welcher Anbieter die Website ausliefert. Nutzen Sie das als Plausibilitätsprüfung, nicht als Urteil. Große Marken laufen meist auf eigener Infrastruktur oder bei einem großen Cloud- und CDN-Anbieter. Wenn eine Website vorgibt, eine große Bank zu sein, aber bei einem günstigen Shared Hoster liegt, stimmt etwas nicht. Für mehr Details zeigt ein IP-Lookup das Netzwerk und den ungefähren Standort des Servers, und ein DNS-Lookup listet seine Einträge auf. Unser Leitfaden zu DNS-Einträgen erklärt, was jeder Eintrag bedeutet.

Schritt 6: Prüfen Sie den Status bei Google Safe Browsing

Google stellt in seinem Transparenzbericht unter transparencyreport.google.com/safe-browsing/search eine kostenlose Abfrage des Website-Status bereit. Geben Sie die Adresse ein, und Sie erfahren, ob Google dort aktuell unsichere Inhalte wie Phishing oder Malware gefunden hat. Ein sauberes Ergebnis bedeutet nur, dass bisher nichts entdeckt wurde. Brandneue Betrugsseiten sind oft noch nicht markiert. Genau deshalb ist die Prüfung des Domainalters in Schritt 2 so wichtig.

Warnsignale auf der Seite selbst

Die technischen Prüfungen oben entlarven die meisten Fälschungen. Diese Signale auf der Seite helfen beim Rest, vor allem bei Fake-Shops:

• Viel zu niedrige Preise für gefragte Produkte, oft kombiniert mit einem Countdown oder „nur noch 2 verfügbar“.
• Zahlung nur per Banküberweisung, Geschenkkarte, Kryptowährung oder Bezahl-App ohne Käuferschutz.
• Keine echten Kontaktdaten: keine Postanschrift und kein Impressum mit Anschrift, nur ein Webformular oder eine kostenlose E-Mail-Adresse.
• Kopierte oder generische Inhalte: Richtlinienseiten, die einen anderen Shopnamen nennen, holprig übersetzte Rechtstexte oder Produktfotos, die von anderen Websites stammen.
• Druck, sofort zu handeln: „Ihr Konto wird heute gesperrt“, „zahlen Sie die Zollgebühr innerhalb einer Stunde“.
• Login-Seiten, die Sie über eine Nachricht erreicht haben. Echte Dienste verlangen selten, dass Sie sich über einen per E-Mail geschickten Link anmelden. Tippen Sie die Adresse selbst ein oder nutzen Sie ein Lesezeichen.

Häufige Fehler bei der Prüfung einer Website

• Den Bewertungen auf der Website selbst vertrauen. Sie lassen sich leicht fälschen. Suchen Sie stattdessen auf unabhängigen Websites nach dem Domainnamen zusammen mit „Betrug“ oder „Erfahrungen“.
• Ein gutes Zeichen als Beweis werten. Eine alte Domain kann man kaufen, und ein gültiges Zertifikat ist kostenlos. Achten Sie darauf, dass mehrere Prüfungen übereinstimmen.
• Die Subdomain statt der Domain prüfen. Führen Sie den WHOIS-Lookup für die registrierte Domain durch, nicht für login.secure.brand.example.xyz.
• Ein Passwort auf einer Website wiederverwenden, bei der Sie unsicher sind. Wenn Sie ein Konto anlegen müssen, verwenden Sie ein einmaliges Passwort. Unser Passwort-Generator erstellt eines mit einem Klick, und unsere Anleitung zum Erstellen eines sicheren Passworts erklärt, wie Sie Ihre Passwörter verwalten.

Was tun, wenn Sie schon Daten auf einer Fake-Seite eingegeben haben?

1. Wenn Sie ein Passwort eingegeben haben, ändern Sie es sofort auf der echten Website und auf allen anderen Websites, auf denen Sie dasselbe Passwort verwenden. Aktivieren Sie die Zwei-Faktor-Authentifizierung.
2. Wenn Sie Kartendaten eingegeben haben, rufen Sie Ihre Bank oder den Kartenaussteller unter der Nummer auf der Kartenrückseite an und lassen Sie die Karte sperren und auf Abbuchungen überwachen.
3. Melden Sie die Seite über das Phishing-Meldeformular von Google Safe Browsing, damit andere gewarnt werden. Wenn Ihnen ein Schaden entstanden ist, erstatten Sie außerdem Anzeige bei der Polizei. In Deutschland geht das in vielen Bundesländern auch online über die Onlinewache. In den USA können Betrugsfälle zudem bei der FTC unter ReportFraud.ftc.gov gemeldet werden.

Häufig gestellte Fragen

Bedeutet HTTPS, dass eine Website seriös ist?

Nein. HTTPS bedeutet nur, dass die Verbindung verschlüsselt ist. Jeder, der eine Domain kontrolliert, kann ein kostenloses Zertifikat bekommen, deshalb verwenden auch Betrugsseiten HTTPS. Sehen Sie es als Mindestanforderung und prüfen Sie dann Domainname, Domainalter und Weiterleitungen.

Wie finde ich heraus, wie alt eine Website ist?

Geben Sie die Domain in einen WHOIS-Lookup ein und lesen Sie das Erstellungsdatum. Eine Website, die jahrelange Geschichte behauptet, deren Domain aber erst vor wenigen Wochen registriert wurde, ist ein starkes Warnsignal.

Ist es sicher, einen verdächtigen Link mit einem Weiterleitungs-Checker zu prüfen?

Es ist viel sicherer, als ihn anzuklicken, weil der Checker die URL von seinem eigenen Server abruft und Ihnen nur die Hops und die finale Adresse zeigt. Öffnen Sie die Zielseite trotzdem nicht, wenn sie verdächtig aussieht.

Sind verborgene WHOIS-Daten ein Zeichen für Betrug?

Für sich genommen nicht. Die meisten Domains nutzen heute einen Datenschutzdienst, darunter viele seriöse Unternehmen. Konzentrieren Sie sich auf das Erstellungsdatum und darauf, ob die anderen Prüfungen übereinstimmen.

Was bedeutet xn-- in einem Domainnamen?

Es kennzeichnet eine Punycode-Domain, also die Form, in der Browser Namen mit nicht lateinischen Zeichen speichern. Das ist für viele Sprachen völlig legitim. Wenn aber eine Marke, die normalerweise einfache lateinische Buchstaben verwendet, als xn-- erscheint, sind Sie womöglich auf einer nachgeahmten Website.

Kann eine Website seriös sein und trotzdem bei einer dieser Prüfungen durchfallen?

Ja. Ein neues kleines Unternehmen hat eine junge Domain, und viele seriöse Websites nutzen günstiges Hosting. Deshalb sollten Sie die Prüfungen zusammen betrachten. Ein auffälliges Ergebnis ist ein Grund, genauer hinzusehen, mehrere auf einmal sind ein Grund zu gehen.