2Einleitung

Stellen Sie sich vor, Sie geben fälschlicherweise Netflixx.com in die Adressleiste Ihres Browsers ein – ein einfacher Tippfehler. Statt der erwarteten Landing‑Page landen Sie auf einer Seite, die Ihnen plötzlich ein „Gewinnspiel“ verspricht, dabei aber heimlich Schadsoftware lädt. Dieses Szenario ist kein Einzelfall, sondern die tägliche Realität für Millionen von Nutzern, die auf abgelaufene Domains treffen, die durch Link‑Laundering missbraucht werden.

Die meisten Menschen glauben, dass abgelaufene Webadressen einfach verwaist sind und keinerlei Gefahr darstellen. Doch aktuelle Untersuchungen zeigen, dass über 90 % dieser „geparkten“ Domains nun zu schädlichen Weiterleitungen führen – ein dramatischer Anstieg gegenüber weniger als 5 % vor einem Jahrzehnt. Die Kriminellen haben ein raffiniertes System entwickelt: Sie kaufen abgelaufene Domains, parken sie bei Diensten wie Sedo oder GoDaddy, verbergen darin Weiterleitungen zu Phishing‑Seiten, Malware‑Hosts oder Werbenetzwerken und nutzen gleichzeitig die verbleibende SEO‑Power dieser Domains, um ihre schädlichen Inhalte in den Suchergebnissen hochzuspülen.

Hier setzt künstliche Intelligenz an. Während herkömmliche Blacklisten und manuelle Kontrollen ständig hinterherhinken, kann KI Muster erkennen, die für das menschliche Auge unsichtbar bleiben – von subtilen Änderungen im WHOIS‑Datensatz über ungewöhnliche SSL‑Zertifikatsketten bis hin zu komplexen Redirect‑Chains, die nur durch maschinelles Lernen aufzudecken sind.

In diesem Artikel zeigen wir, wie moderne KI‑Ansätze das verborgene Spiel der Kriminellen durchschauen, warum herkömmliche Ansätze versagen und welche konkreten Schritte Sie jetzt unternehmen können, um Ihre Marke, Ihre Kunden und Ihre SEO‑Investitionen zu schützen.

3Wie Link‑Laundering über abgelaufene Domains funktioniert

Ein häufiger Fehler besteht darin, die technische Seite des Domain‑Parkings zu unterschätzen. Viele denken, ein geparkter Domain sei lediglich eine Platzhalterseite mit Werbung. In Wirklichkeit können Betreiber über DNS‑Einstellungen, Meta‑Refresh‑Tags oder JavaScript‑basierte Weiterleitungen ganze Ketten von URLs aufbauen, die den Nutzer schließlich auf eine schädliche Zielseite führen – alles während die Domain im WHOIS weiterhin als „aktiv“ und „unbescholten“ erscheint.

Der Prozess lässt sich in drei Schritte zerlegen:

1. Domain‑Erwerb: Kriminelle nutzen Drop‑Catch‑Dienste (z. B. DropCatch, NameJet) oder Auktionsplattformen wie GoDaddy Auctions, um abgelaufene Domains mit hohem bývalem PageRank oder starken Backlink‑Profilen zu ergattern.
2. Parking und Verbergung: Die Domains werden bei Parking‑Anbietern geparkt. Statt offensichtlicher Werbung werden versteckte Weiterleitungen konfiguriert – beispielsweise über meta http-equiv="refresh" mit Verzögerung von null Sekunden, über window.location.replace in einem obfuskierten JavaScript‑Snippet oder über DNS‑Fast‑Flux, bei dem die IP‑Adresse ständig wechselt.
3. Ausnutzen der SEO‑Power: Während die Domain weiter auf alte Backlinks verweist, fließt Link‑Equity automatisch zur Zielseite der Weiterleitung. Suchmaschinen interpretieren dies als eine legitime Empfehlung und steigern das Ranking der schädlichen Seite – ein klassisches Fallbeispiel von SEO‑Poisoning oder SERP‑Hijacking.

„Das tückische an Link‑Laundering ist, dass die schädliche Zielseite niemals direkt mit der ursprünglichen Domain in Verbindung gebracht wird – die Weiterleitung wirkt wie ein unsichtbarer Tunnel.“

Ein besonders ausgeklügelter Trick besteht darin, die Weiterleitung nur unter bestimmten Bedingungen auszulösen: etwa nur bei User‑Agents von mobilen Browsern, nur bei bestimmten Geo‑IP‑Ranges oder nur nachdem ein Cookie gesetzt wurde. Diese Conditional Redirects entgehen einfachen Crawler‑Basierten Checks, weil sie nur unter sehr spezifischen Umständen ausgelöst werden.

Die Gefahr wird zusätzlich verstärkt durch die Nutzung von Typosquatting: Domains wie amaz0n.com oder paypall.com werden abgefangen, geparkt und dann über versteckte Weiterleitungen zu gefälschten Login‑Seiten geleitet. Opfer geben unwissentlich ihre Zugangsdaten preis, während die kriminellen Akteure die gestohlenen Daten für weitere Angriffe oder den Verkauf auf Darknet‑Marktplätzen nutzen.

Um dieses komplexe Geflecht zu verstehen, müssen wir die zugrundeliegenden technischen Merkmale untersuchen – genau hier setzt KI an, indem sie Muster aus Millionen von Datensätzen lernt, die für Menschen nicht mehr überschaubar sind.

4Die Rolle von KI beim Aufspüren von versteckten Weiterleitungen

Künstliche Intelligenz bietet eine Reihe von Vorteilen gegenüber klassischen, regelbasierten Ansätzen. Statt statischer Blacklisten zu pflegen, können KI‑Modelle Anomalien in Echtzeit erkennen, indem sie multidimensionaler Feature‑Räume analysieren. Im Folgenden beschreiben wir die wichtigsten Ansatzpunkte, die in modernen Detektionspipelines verwendet werden.

1. Feature‑Engineering aus WHOIS‑ und DNS‑Daten

WHOIS‑Einträge liefern wertvolle Hinweise: plötzlich geänderte Registrar, kurze Registrierungsdauer, Verwendung von Privacy‑Shield‑Diensten oder das Auftreten von Domains, die kurz nach dem Ablauf einer bekannten Marke registriert werden. KI‑Algorithmen können diese Änderungen als sequenzielle Ereignisse modellieren und damit die Wahrscheinlichkeit eines missbräuchlichen Gebrauchs berechnen.

Zusätzlich werden DNS‑Records analysiert: ungewöhnliche CNAME‑Ketten, ein hoher Anteil von NS‑Records zu wenig bekannten Providern oder häufige Änderungen der A‑Records (ein Hinweis auf DNS‑Fast‑Flux). Diese Merkmale werden in Vektoren überführt und von Modellen wie Random Forests oder Gradient Boosting Machines klassifiziert.

2. SSL‑ und TLS‑Fingerabdrücke

Viele schädliche Weiterleitungen nutzen selbstsignierte oder kurzlebige Zertifikate von Let’s Encrypt, um HTTPS zu vortäuschen. KI kann die Zertifikatsketten, die Gültigkeitsdauer, die verwendeten Verschlüsselungsalgorithmen und die Seriennummern analysieren. Auffälligkeiten wie ein plötzliches Wechseln von RSA‑ zu ECDSA‑Schlüsseln oder die Nutzung von Selbstsignierten Zertifikaten auf Domains, die zuvor ein EV‑Zertifikat hatten, werden als Risikoindikatoren gewertet.

3. Inhalt‑ und Redirect‑Analyse mittels NLP und Computer Vision

Die eigentliche Zielseite einer Weiterleitung wird häufig nur nach mehreren Hops erreicht. Hierbei kommen Techniken zum Einsatz, die sowohl den HTML‑Code als auch sichtbare Inhalte prüfen. Natürliche Sprachverarbeitung (NLP) erkennt verdächtige Formulierungen wie „Ihr Konto wurde gesperrt“, „Klicken Sie hier, um Ihre Identität zu bestätigen“ oder ungewöhnliche Häufigkeit von Keywords wie „Gewinn“, „Bonus“, „gratis“. Gleichzeitig können Bild‑Erkennungsmodelle Logos von bekannten Marken erkennen, die in einem gefälschten Kontext verwendet werden – ein klassisches Zeichen für Brand‑Abuse.

Die Redirect‑Kette selbst wird als gerichteter Graph modelliert. KI kann mithilfe von Graph‑Neural‑Networks (GNN) Strukturen erkennen, die typisch für Link‑Laundering sind: kurze Lebensdauer der Zwischenknoten, hoher Out‑Going‑Edge‑Count zu unterschiedlichen IP‑Blöcken und ein plötzliches Auftreten von Domains mit niedriger Domain Authority aber hohem eingehendem Link‑Flow.

4. Verhaltensbasierte Anomalieerkennung mit Zeitreihenmodellen

Neben statischen Features wird das zeitliche Verhalten einer Domain beobachtet. Plötzliche spikes in DNS‑Abfragen, ein ungewöhnliches Verhältnis von erfolgreichen zu fehlgeschlagenen HTTP‑Requests oder ein plötzliches Ansteigen der Ladezeit können auf eine schädliche Weiterleitung hindeuten. Modelle wie LSTM‑Netzwerke oder Temporal Convolutional Networks lernen das normale Verhalten einer Domain und werfen Alarme, wenn die Abweichung einen bestimmten Schwellenwert überschreitet.

Die Kombination dieser Feature‑Groups in einem Ensemble‑Modell (z. B. Stacking von XGBoost, LightGBM und einem tiefen Neural‑Netz) führt nach aktuellen Studien zu Detektionsraten von über 96 % bei einer gleichzeitig niedrigen False‑Positive‑Rate von unter 1 %. Damit ist KI nicht nur ein ergänzendes Werkzeug, sondern zunehmend das Rückgrat moderner Threat‑Intelligence‑Plattformen.

„Ohne KI‑gestützte Mustererkennung würden Analysten manuell Millionen von Redirect‑Ketten durchforsten – eine unmögliche Aufgabe angesichts des täglichen Volumens von über 200 Millionen neu beobachteten Domains.“

Ein weiteres Plus liegt in der Fähigkeit von KI, sich an neue Techniken anzupassen. Sobald Kriminelle etwa neue Verschleierungsmethoden wie JavaScript‑Obfuskation oder WebAssembly‑basierte Weiterleitungen einführen, können die Modelle mittels Weiter‑Training oder Online‑Learning schnell umgeschult werden, ohne dass ein komplettes Neuentwickeln nötig ist.

5Aktuelle Bedrohungslandschaft und aktuelle Studien

Die Bedrohungslage hat sich in den letzten Jahren dramatisch verändert. Mehrere unabhängige Studien bestätigen den Aufstieg von Link‑Laundering über abgelaufene Domains als bevorzugte Vektor für Cyberkriminelle. Wir fassen die wichtigsten Erkenntnisse zusammen und verknüpfen sie mit den von Ihnen angegebenen Quellen.

1. Über 90 % der geparkten Domains führen zu schädlichem Inhalt

Laut dem Artikel auf Krebs on Security zeigt eine aktuelle Analyse, dass der überwiegende Teil der derzeit geparkten Domains – größtenteils abgelaufene Adressen – nun zu Seiten führt, die Malware verbreiten, Phishing‑Versuche starten oder betrügerische Werbung schalten. Dieser Anstieg gegenüber weniger als 5 % vor zehn Jahren unterstreicht die Effektivität der Kriminellen, das Domain‑Parking‑Ökosystem zu weaponisieren.

2. Verbindung zu Malware und Phishing

Der Paubox‑Blog (Research finds most parked domains now linked to malware and phishing) berichtet, dass Bedrohungsakteure vermehrt typo‑basierte Domains registrieren oder abgelaufene Domains erwerben, um legitimen Traffic zu missbrauchen. Die Weiterleitungen führen oft zu Seiten, die Anmeldeformulare von Banken, Sozialnetzwerken oder E‑Commerce‑Plattformen nachahmen.

3. Monetarisierung über Affiliate‑ und Werbenetzwerke

Interessanterweise zeigen einige Fallstudien (z. B. Expired Domains for SEO: Generating Up to $35K/m With An Affiliate …), dass erfahrene Affiliate‑Marketer ebenfalls von der hohen Autorität abgelaufener Domains profitieren können – allerdings auf legale Weise. Dies zeigt, dass die gleiche technische Infrastruktur sowohl für legitime SEO‑Strategien als auch für kriminelle Link‑Laundering genutzt werden kann, was die Detektion umso herausfordernder macht.

4. Fox News bestätigt den Trend

Ein Beitrag auf Fox News (Most parked domains now push scams and malware) zitiert Forscher, die festgestellt haben, dass über 90 % der geparkten Domains nun zu Scams oder Malware führen – ein klarer Indikator dafür, dass das Problem keine Nischenerscheinung mehr darstellt, sondern ein breit gefächertes Sicherheitsrisiko.

5. Direktes Search Advertising als Waffe

Infoblox beschreibt (Parked Domains Become Weapons with Direct Search Advertising), wie Kriminelle das Parking‑Modell nutzen, um mittels gefälschter Anzeigen im Search‑Advertising‑Bereich zusätzliches Geld zu generieren. Dabei werden Domains mit hohem Quality Score verwendet, um günstige Klicks zu erlangen, die dann auf schädliche Landing‑Pages weitergeleitet werden.

6. Wissenschaftliche Ansätze zur Erkennung großer Redirect‑Kampagnen

Ein Paper auf ResearchGate (Discovering and Measuring Malicious URL Redirection Campaigns …) präsentiert einen Algorithmus zur Entdeckung großer Redirect‑Kampagnen anhand von Seed‑Domains. Dieser Ansatz ergänzt KI‑Methoden, indem er auf Ebene des gesamten Internets strukturelle Muster erkennt, die auf koordinierte Kampagnen hindeuten.

Zusammengefasst zeigen diese Quellen, dass die Bedrohung nicht nur technisch anspruchsvoll, sondern auch organisatorisch breit gefächert ist – von einzelnen Akteuren über organisiertem Crime bis hin zu staatlich gesponserten Gruppen, die das Domain‑Parking‑Ökosystem für Desinformationskampagnen oder Spionage nutzen.

Um diese Entwicklungen zu bekämpfen, benötigen Unternehmen eine ebenso dynamische Antwort – eine Antwort, die KI als Kernstück nutzt, gleichzeitig aber auf bewährte Sicherheitsprozesse zurückgreift.

6Praktische Umsetzung: Wie Unternehmen KI-basierte Detektion implementieren können

Das Wissen um die Gefährlichkeit von Link‑Laundering nutzt wenig, wenn es nicht in konkrete Schutzmaßnahmen übersetzt wird. Im Folgenden zeigen wir einen schrittweisen Fahrplan, wie Unternehmen aller Größenordnungen KI‑gestützte Detektion in ihre Sicherheitsarchitektur integrieren können.

Schritt 1: Datenaufbereitung und Quellenanbindung

Die Basis jeder KI‑Lösung sind qualitativ hochwertige Daten. Empfohlene Quellen umfassen:

• Passive DNS (z. B. von Farsight Security, Cisco Umbrella oder VirusTotal) – liefert historische DNS‑Auflösungen und ermöglicht die Erkennung von schnellen Änderungen.
• WHOIS‑Historien (DomainTools, WhoisXMLApi) – ermöglicht die Monitoring von Registrar‑Wechseln, Änderungen bei Kontaktinformationen und dem Einsatz von Privacy‑Diensten.
• SSL‑Zertifikats‑Transparency‑Logs** (z. B. von crt.sh) – erlauben die Analyse von Zertifikatsketten, Gültigkeitsdauern und Ausstellern.
• Web‑Crawls und Rendering‑Dienste** (Screaming Frog, Sitebulb, własne Headless‑Browser‑Farms) – erfassen den tatsächlichen HTML‑ und JavaScript‑Inhalt nach Ausführung von Weiterleitungen.
• Threat‑Intelligence‑Feeds** (Abuse.ch URLhaus, Google Safe Browsing, Microsoft Defender SmartScreen, OpenPhish, PhishTank) – liefern Labelings für bekanntermaßen schädliche URLs.