Punycode-Phishing erkennen: gefälschte xn--Domains prüfen

Um eine Punycode-Phishing-Domain zu erkennen, kopieren Sie den Link, behalten nur den Domainnamen und wandeln ihn in Punycode um. Wenn ein Name, der nur aus normalen Buchstaben bestehen sollte, etwa sparkasse.de oder paypal.com, plötzlich mit xn-- beginnt, enthält er Buchstaben aus einem anderen Alphabet und ist nicht die echte Seite. Unser kostenloser Punycode-Konverter erledigt das mit einem Klick, ohne Konto, in jedem Browser.

Alle Umwandlungen in diesem Artikel haben wir am 2. November 2026 durchgeführt, live im Konverter oder mit derselben PHP-Funktion, die er auf unserem Server nutzt (idn_to_ascii, ICU 71.1). Das Verhalten der Browser haben wir in Chrome 156 und anhand der veröffentlichten IDN-Regeln von Chromium und Mozilla geprüft.

Was xn-- in einer Domain bedeutet

Domains können Buchstaben aus fast jeder Sprache enthalten: münchen.de, bücher.de, пример.рф. Das DNS selbst versteht aber nur ASCII-Buchstaben, Ziffern und Bindestriche. Jeder Teil mit Sonderzeichen wird deshalb als Punycode gespeichert, erkennbar am Präfix xn--. münchen.de heißt technisch xn--mnchen-3ya.de.

Genau hier setzt der Betrug an. Das kyrillische Alphabet hat Buchstaben, die wie lateinische aussehen: а (U+0430), е, о, р, с, у. Eine damit geschriebene Domain sieht auf dem Bildschirm aus wie eine Marke, ist im DNS aber ein völlig anderer Name, den jeder registrieren kann. Das nennt man IDN-Homograph-Angriff. Die angezeigten Buchstaben können täuschen, die Kodierung nicht. Deshalb ist die Umwandlung in Punycode der verlässliche Test.

Jetzt einen Link prüfen: Domain in den Punycode-Konverter einfügen und In Punycode/ASCII umwandeln wählen.

Eine Domain in 30 Sekunden prüfen

1. Link kopieren, nicht abtippen. Am Computer per Rechtsklick auf Link-Adresse kopieren, am Handy den Link lange drücken und Kopieren wählen. Wer abtippt, korrigiert die falschen Buchstaben, ohne es zu merken.
2. Nur die Domain behalten. https:// löschen und, falls vor dem ersten Schrägstrich ein @ steht, alles bis einschließlich @. Ein Pfad nach der Domain (/login) darf bleiben.
3. Umwandeln. In den Punycode-Konverter einfügen, In Punycode/ASCII umwandeln wählen und absenden.
4. Ergebnis lesen. Kommt die Domain unverändert zurück, sind alle Zeichen normales ASCII. Beginnt ein Teil eines Markennamens, der nur normale Buchstaben haben sollte, jetzt mit xn--, schließen Sie die Seite.

Echte Beispiele: Was der Konverter anzeigt

Jede Zeile beginnt mit dem, was Sie in einer E-Mail, SMS oder Chatnachricht sehen würden. Die gefälschten Domains haben wir für diesen Test gebaut: bitte nicht aufrufen.

Der lesbare Teil vor dem letzten Bindestrich enthält nur die ASCII-Buchstaben des Labels. Fehlen dort Buchstaben der Marke (sprkasse), wurden genau diese ersetzt.

Immer in diese Richtung umwandeln, nie umgekehrt

Schickt Ihnen jemand eine xn---Adresse, hilft das Dekodieren wenig. Wir haben xn--80ak6aa92e.com mit In IDN/Text umwandeln zurückverwandelt und аррӏе.com erhalten, das in den meisten Schriften genau wie apple.com aussieht. Dekodieren zeigt, was der Angreifer Sie sehen lassen will. Kodieren, was Sie sehen, zeigt, was die Domain wirklich ist.

Warum der Browser Sie nicht immer schützt

• Chrome, Edge und Brave (Chromium) prüfen jeden Teil der Domain einzeln. Laut der veröffentlichten IDN-Richtlinie von Chromium wird ein Label, das Lateinisch, Kyrillisch oder Griechisch mischt, als xn-- angezeigt, ebenso ein rein kyrillisches Label, das lateinische Buchstaben imitiert, außer unter Endungen, bei denen Kyrillisch üblich ist, etwa .ru, .ua, .bg oder .kz. Fälle wie аррӏе.com erkennt Chrome seit Version 58 (2017).
• Firefox blockiert gemischte Alphabete, der von Mozilla veröffentlichte IDN-Algorithmus erlaubt aber bewusst Domains, die komplett in einem ähnlich aussehenden Alphabet geschrieben sind. Wer immer die xn---Form sehen will, öffnet about:config und setzt network.IDN_show_punycode auf true.
• Überall sonst (E-Mails, SMS, Messenger, PDFs, Profiltexte) ist der Link nur Text in einer Schrift, und niemand prüft ihn. Genau über diese Kanäle kommen solche Domains, und genau dort hilft der Konverter.

Den Link in den Editor zu kopieren, verrät auch nichts: Kopieren und Einfügen lässt die Unicode-Buchstaben unverändert. Und das Schloss beweist nichts. Eine gefälschte Domain kann wie jede andere ein gültiges Zertifikat bekommen (Zhengs Demo lief über HTTPS), ausgestellt auf den xn---Namen. Was ein Zertifikat beweist und was nicht, steht in So prüfen Sie ein SSL-Zertifikat.

Fehler, die zu einer falschen Antwort führen

Die ganze URL einfügen

Der Konverter erwartet eine Domain. Live wurde aus https://аpple.com/login das sinnlose xn--https://pple-49j.com/login. Im Modus In IDN/Text umwandeln kam https://xn--80ak6aa92e.com/ unverändert zurück und wirkte dadurch harmlos. Entfernen Sie zuerst das https://. Ein Pfad stört nicht: аpple.com/login ergibt xn--pple-43d.com/login.

Der @-Trick

In https://accounts.google.com@аpple.com/ ist alles vor dem @ ein Benutzername. Geöffnet würde аpple.com. Fügen Sie die ganze Zeichenkette ein, kommt Unsinn heraus (accounts.google.xn--com@pple-46g.com). Prüfen Sie nur den Teil nach dem @.

Die Domain von der falschen Seite lesen

Wem die Domain gehört, entscheidet ihr Ende. аpple.com.evil.example ergibt xn--pple-43d.com.evil.example, aber auch in normalen Buchstaben gehört apple.com.evil.example dem Inhaber von evil.example. Lesen Sie Domains von rechts nach links.

Mehrere Domains auf einmal

Wandeln Sie eine Domain pro Durchgang um. Zwei Domains in getrennten Zeilen kommen verstümmelt heraus (die erste Zeile endete auf .xn--com), weil der Zeilenumbruch als Teil eines Labels behandelt wird.

Ein leeres Ergebnis

Ungültiger Punycode wie xn--zz.com liefert ein leeres Ergebnisfeld ohne Fehlermeldung (Live-Test). Leer heißt nicht sicher, sondern dass das Label ungültig ist, und das ist in einem Link schon verdächtig.

Das ß: straße.de ist nicht strasse.de

Seit dem 16. November 2010 erlaubt die DENIC das ß in .de-Domains, und straße.de und strasse.de sind seitdem zwei verschiedene Domains, die verschiedenen Inhabern gehören können. Unser Konverter nutzt noch die ältere Transitional-Zuordnung: Live wurde aus faß.de einfach fass.de, und straße.de wird zu strasse.de. Chrome ruft dagegen xn--fa-hia.de bzw. xn--strae-oqa.de auf. Bei einer Domain mit ß sagt Ihnen unser Ergebnis also nicht, welche Seite der Browser öffnet, und es gehört auch nicht so in DNS-Einträge. Dasselbe gilt für das griechische Schluss-ς und die unsichtbaren Zeichen ZWJ/ZWNJ.

Domains nur aus normalen Buchstaben

rn statt m, 1 statt l, 0 statt o oder Zusatzwörter wie sparkasse-sicherheit-online.de sind reines ASCII und kommen unverändert zurück. Dafür hilft eine Whois-Abfrage (die echte Domain einer Marke ist meist Jahre alt, eine Phishing-Domain oft nur Wochen) und unsere Anleitung So erkennen Sie, ob eine Website seriös ist.

Wann xn-- völlig normal ist

xn-- allein ist kein Warnsignal. Im Deutschen ist es Alltag: münchen.de ist xn--mnchen-3ya.de, bücher.de ist xn--bcher-kva.de. Die russische Testdomain пример.рф ist xn--e1afmkfd.xn--p1ai. Das Warnsignal ist enger: ein xn---Label in einer Marke, die nur mit normalen Buchstaben ohne Umlaut geschrieben wird, etwa eine Bank oder ein großer Onlineshop.

Wenn Sie eine Fälschung finden

• Geben Sie auf der Seite nichts ein. Öffnen Sie die echte Seite über ein Lesezeichen oder indem Sie die Adresse selbst eintippen. Bei Banken lieber die offizielle App nutzen.
• Achten Sie auf Ihren Passwortmanager: Er füllt nur bei exakt passender Domain aus. Bietet er Ihr gespeichertes Login nicht an, stimmt die Domain nicht.
• Melden Sie den Link bei Google Safe Browsing (safebrowsing.google.com, Report phishing) und bei der nachgeahmten Firma. Haben Sie schon Daten eingegeben, hilft die Verbraucherzentrale weiter, bei Bankdaten sofort die eigene Bank.
• Kam der Link als QR-Code, dekodieren Sie ihn zuerst mit dem QR-Code-Leser und prüfen dann die Domain. Mehr dazu in So prüfen Sie, ob ein QR-Code sicher ist.

Gerade einen verdächtigen Link vor sich? Prüfen Sie seine Domain mit dem Punycode-Konverter. Er ist kostenlos und braucht kein Konto; Besucher haben 5 Durchgänge pro Tag, ein kostenloses Konto (kein Spam) hebt das Limit auf. Für Kurzlinks zeigt der Weiterleitungs-Checker, wohin sie führen, ohne sie zu öffnen, und der DNS-Lookup zeigt, wohin eine Domain zeigt.

Häufig gestellte Fragen

Was bedeutet xn-- in einer URL?

Es kennzeichnet ein Punycode-Label: die ASCII-Form eines Domainteils mit Nicht-ASCII-Buchstaben. Der Teil nach xn-- kodiert diese Buchstaben. Um einen Link zu prüfen, kodieren Sie den Namen, den Sie sehen, und vergleichen.

Ist jede xn--Domain Betrug?

Nein. Domains mit Umlauten, ß oder in Alphabeten wie Kyrillisch, Chinesisch oder Devanagari nutzen xn-- völlig legitim. Ein Warnsignal ist es nur in einem Namen, der aus normalen Buchstaben bestehen sollte, etwa bei einer Bank oder einer großen Marke.

Warum zeigt mein Browser manche Domains als xn-- an?

Chrome, Edge, Firefox und Safari zeigen die xn--Form, wenn eine Domain riskant wirkt, etwa wenn sie lateinische und kyrillische Buchstaben mischt. Chromium-Browser erkennen zusätzlich rein kyrillische Nachahmungen außerhalb kyrillischer Endungen. Firefox zeigt sie in Unicode, außer Sie aktivieren network.IDN_show_punycode.

Beweist das Schloss, dass die Seite echt ist?

Nein. Eine gefälschte Domain bekommt in wenigen Minuten ein gültiges HTTPS-Zertifikat. Das Schloss sagt nur, dass die Verbindung mit genau dieser Domain verschlüsselt ist, und diese Domain kann die gefälschte sein.

Warum zeigt ein Texteditor kein xn--, wenn ich den Link einfüge?

Kopieren und Einfügen behält die Unicode-Zeichen genau bei, ein kyrillisches а sieht also weiter wie ein lateinisches a aus. Nur eine echte Umwandlung, etwa In Punycode/ASCII umwandeln in unserem Konverter, zeigt den kodierten Namen.

Ist der Punycode-Konverter kostenlos?

Ja. Er ist kostenlos und braucht kein Konto; er schickt nur den eingefügten Text zur Umwandlung an unseren Server. Besucher haben 5 Umwandlungen pro Tag, ein kostenloses Konto (kein Spam) hebt das Limit auf.