Was ist URL-Manipulation (URL-Rewriting)? Wie Angreifer vertrauenswürdige Links missbrauchen, um Phishing zu verschleiern

In Ihrem Posteingang landet eine E-Mail mit einem Link, der bereits überprüft wurde. Sie bewegen den Mauszeiger über die Webadresse, und es wird eine vertrauenswürdige Domain eines anerkannten Sicherheitsanbieters wie Microsoft Safe Links angezeigt. Da die Sicherheitstools Ihres Unternehmens den Link überprüft und freigegeben haben, klicken Sie ohne zu zögern darauf. Wenige Sekunden später befinden Sie sich auf einer überzeugend gestalteten Anmeldeseite, die darauf ausgelegt ist, Ihre Anmeldedaten zu stehlen.

Um diese Bedrohung zu verstehen, müssen zwei miteinander verbundene Konzepte voneinander abgegrenzt werden: URL-Manipulation und URL-Umschreibung. URL-Manipulation ist der weit gefasste Oberbegriff für alle Techniken, mit denen ein Link verändert, verschleiert oder ausgenutzt wird, um Nutzer oder Sicherheitstools zu täuschen. Die URL-Umschreibung ist ein spezifischer Vorgang innerhalb dieses Oberbegriffs.

Auf der Abwehrseite schreiben E-Mail-Sicherheitsgateways in Unternehmen die Links in eingehenden E-Mails um, um Schutz in Echtzeit zu gewährleisten. Angreifer haben herausgefunden, wie sie genau diesen Mechanismus zu ihrem Vorteil nutzen können, und verwandeln Sicherheitsfunktionen so in überzeugende Schutzschilde für schädliche Inhalte.

Was ist URL-Manipulation?

Der Begriff „URL-Manipulation“ ist ein Sammelbegriff für alle böswilligen oder irreführenden Techniken, bei denen eine Webadresse verändert, verschleiert oder missbraucht wird, um einen Nutzer zu täuschen oder automatisierte Sicherheitsfilter zu umgehen. Angreifer nutzen diese Technik, um bösartige Webziele als sichere, vertrauenswürdige Umgebungen erscheinen zu lassen.

Da Sicherheitsexperten diesen Begriff in verschiedenen Zusammenhängen verwenden, ist es hilfreich, drei unterschiedliche Szenarien zu unterscheiden:

• Defensives URL-Rewriting: Sicherheitssoftware ändert E-Mail-Links bei der Zustellung und bettet sie in eine Hersteller-Domain ein, um beim Anklicken Echtzeit-Prüfungen zu ermöglichen.
• Missbrauch von URL-Rewriting: Cyberkriminelle kompromittieren Konten oder verknüpfen Sicherheitsanbieter miteinander, um gefährliche Phishing-Links als sicher erscheinen zu lassen.
• Manipulation von Webparametern: Ein auf Entwickler ausgerichteter Angriff, bei dem ein Angreifer Parameter in der Adressleiste eines Webbrowsers manuell verändert, um Autorisierungskontrollen zu umgehen. Das Open Web Application Security Project (OWASP) stuft dies als „Web Parameter Tampering“ oder „Insecure Direct Object Reference“ (IDOR) ein.

Wenn Sie sich eingehender mit den grundlegenden Mechanismen von Links befassen möchten, lesen Sie unseren Leitfaden zum Thema „URL-Phishing“. Der Rest dieses Artikels konzentriert sich darauf, wie Angreifer Systeme zur Umhüllung von E-Mail-Links ausnutzen.

Was ist URL-Umschreibung (und was sind sichere Links)?

Das URL-Rewriting ist ein automatisierter Mechanismus zum Schutz vor E-Mail-Angriffen, bei dem ursprüngliche Links in eingehenden Nachrichten durch modifizierte URLs ersetzt werden, die auf den Proxy-Server eines Sicherheitsanbieters verweisen. Führende Sicherheitsanbieter wie Microsoft (Safe Links), Proofpoint (URL Defense), Mimecast, INKY, Sophos, Barracuda, Cisco, Trend Micro, EdgePilot und Libraesva nutzen dieses Modell der Link-Umschreibung, um die Posteingänge von Unternehmen zu schützen.

Wenn eine E-Mail eintrifft, schreibt das Sicherheitsgateway jede Webadresse im Textkörper um. Klickt ein Empfänger auf den geänderten Link, leitet sein Browser die Anfrage zunächst an das Gateway des Anbieters weiter. Das Gateway überprüft die Zielwebseite in Echtzeit und leitet den Browser weiter, sofern die Seite sicher ist. Ist die Zielseite jedoch bösartig, blockiert das Gateway den Zugriff.

So funktioniert defensives URL-Rewriting: Das Sicherheitsgateway überprüft das Ziel zum Zeitpunkt des Klicks und nicht erst bei der Zustellung.

Diese Überprüfung zum Zeitpunkt des Klicks ist notwendig, da Cyberkriminelle das Verhalten von Websites nach dem Versand häufig ändern. Ein Link kann auf eine völlig harmlose Webseite verweisen, wenn eine E-Mail um 9:00 Uhr in Ihrem Posteingang eintrifft. Um 14:00 Uhr kann derselbe Link jedoch stattdessen auf eine bösartige Website weiterleiten, die darauf abzielt, Anmeldedaten zu stehlen.

Der Sicherheitsanbieter Barracuda berichtete, dass seine LinkProtect-Engine wöchentlich über 10 Millionen Klickanfragen überprüft. Etwa 1 % der gescannten Links erweisen sich erst zum Zeitpunkt des Klicks als schädlich und nicht bereits zum Zeitpunkt des Versands.

Klassische Techniken zur Manipulation von URLs

Bevor wir uns damit befassen, wie Angreifer Sicherheitstools als Waffe einsetzen, lohnt es sich, einen Blick auf die klassischen Taktiken der Link-Manipulation zu werfen, die den Weg dafür ebneten.

Punycode- und IDN-Homograph-Angriffe

Internationalisierte Domainnamen (IDNs) ermöglichen die Verwendung von Nicht-ASCII-Zeichen in Webadressen. Angreifer nutzen die Punycode-Kodierung, um Domains zu registrieren, die fremdsprachige Zeichen enthalten, die optisch identisch mit lateinischen Buchstaben aussehen. Ein Angreifer könnte beispielsweise eine Domain registrieren, bei der ein lateinisches „a“ durch ein kyrillisches „а“ ersetzt wird. Für den Leser sieht die Domain identisch mit einem echten Markennamen aus, doch der Browser leitet die Adresse an einen völlig anderen Server weiter.

Typosquatting und Täuschung durch angezeigten Text

Typosquatting nutzt häufige Tippfehler aus, wie beispielsweise ausgelassene Buchstaben, überflüssige Bindestriche oder vertauschte Top-Level-Domains wie .co anstelle von .com. Angreifer kombinieren Typosquatting häufig mit HTML-Tricks bei der Textdarstellung. Eine E-Mail könnte beispielsweise einen harmlosen Text wie „https://yourbank.com“ anzeigen, während das eigentliche HTML-href-Attribut den Nutzer auf eine bösartige Website weiterleitet. Mehr über diese Taktiken erfahren Sie in unserem ausführlichen Leitfaden zum Thema „Was ist Typosquatting?“.

Mehrstufige URL-Kürzer und offene Weiterleitungen

Angreifer schichten häufig mehrere URL-Kürzer übereinander. Indem sie das endgültige Ziel hinter mehreren Kurzlinks verbergen, entziehen sie es einfachen Reputationsprüfungen. In ähnlicher Weise missbrauchen Angreifer offene Weiterleitungen in legitimen Webanwendungen. Durch Hinzufügen eines Zielparameters zum Weiterleitungsskript einer vertrauenswürdigen Domain verweist der ursprüngliche Link zwar auf eine seriöse Website, leitet den Nutzer jedoch sofort auf einen bösartigen Host weiter.

Ein damit verbundener Trick nutzt die Art und Weise aus, wie Browser in einer URL eingebettete Anmeldedaten auswerten. Alles vor dem @-Zeichen wird als Anmeldeinformation behandelt und nicht als Ziel-Domain. So kann ein Link wie https://[email protected] den Anschein erwecken, als würde er auf die vertrauenswürdige Marke verweisen, während er den Besucher tatsächlich zu malicious-domain.com weiterleitet.

Manipulation von Webanwendungsparametern (OWASP)

Im Bereich der Webanwendungssicherheit nimmt die URL-Manipulation eine andere Form an. Nutzer passen Abfrageparameter oder Verzeichnisstrukturen manuell in der Adressleiste ihres Browsers an, um auf nicht autorisierte Datensätze zuzugreifen. Diese Fehlerklasse ist zwar für die Sicherheit von Webanwendungen von entscheidender Bedeutung, beinhaltet jedoch eine direkte Manipulation des Browsers und nicht Social Engineering per E-Mail.

Wie Angreifer das URL-Rewriting selbst als Waffe einsetzen (2024–2026)

Die besorgniserregendste Entwicklung im Bereich der Link-Sicherheit ist, dass Angreifer das defensive URL-Rewriting mittlerweile als Umgehungstechnik nutzen. Anstatt die Domain-Wrapper der Anbieter zu meiden, suchen Bedrohungsakteure aktiv nach ihnen, um bösartige Nachrichten legitim erscheinen zu lassen.

Die Erkenntnis: Kompromittierung von Konten und Lücken in der Whitelist

Mitte 2024 identifizierten Sicherheitsforscher von Perception Point Kampagnen, bei denen Angreifer legitime Microsoft 365-Konten kompromittierten, die durch automatische URL-Umschreibung geschützt waren. Die Angreifer sendeten von dem kompromittierten Konto aus einen harmlosen Link an sich selbst, wodurch das Sicherheitstool die Adresse in eine vertrauenswürdige Anbieter-URL umschrieb. Sobald sie den umgeschriebenen Wrapper-Link erhalten hatten, änderten sie das Ziel-Backend so, dass es auf eine bösartige Phishing-Website verwies, und verteilten den vertrauenswürdigen Link an die Zielorganisationen.

Diese Taktik nutzt Lücken in den Whitelists aus. Einige E-Mail-Sicherheitsgateways vertrauen automatisch Links, die ihre eigenen Domain-Wrapper enthalten. Da der Link scheinbar von einem internen Sicherheitsanbieter stammt, verzichten nachgeschaltete Filter häufig darauf, die zugrunde liegende Adresse erneut zu überprüfen.

Dokumentierte Kampagnen: Doppelte Überarbeitung und Markenmissbrauch

Sicherheitsforscher haben mehrere Kampagnen dokumentiert, bei denen die Infrastruktur für Link-Wrapping missbraucht wurde:

• Doppelte Rewrite-Attacke: Forscher haben Angriffe dokumentiert, bei denen Proofpoint- und INKY-Rewrites miteinander verkettet wurden. Die E-Mail nutzte einen SharePoint-Köder und eine CAPTCHA-Sperre, um automatisierte Scanner daran zu hindern, die Zielseite zu analysieren, bevor die Anmeldedaten der Benutzer abgegriffen wurden.
• Missbrauch des Mimecast-Wrappers: Angreifer leiteten Phishing-Links über die Umschreibungsinfrastruktur von Mimecast um, um die Zielserver zu verschleiern, auf denen sie Anmeldedaten von Unternehmen abgriffen.
• Vortäuschung der Identität des IRS: Cyberkriminelle gaben sich mithilfe von durch Sophos umgeschriebenen Links als IRS und ID.me aus und nutzten dabei die Domain des Sicherheitsanbieters, um die Wachsamkeit der Nutzer zu umgehen.

Sicherheitstools gegen die Opfer richten: OAuth-Persistenz

Eine Ende 2024 von Abnormal Security veröffentlichte Studie zeigte, wie die Manipulation von Links zu einem dauerhaften Zugriff über den Diebstahl von Passwörtern hinaus führt. Die Angreifer kompromittierten ein M365-Konto und generierten über das E-Mail-Gateway des Unternehmens einen umgeschriebenen Link. Diesen vertrauenswürdigen Link nutzten sie in einer Spear-Phishing-Kampagne, bei der sie sich als offizielle Microsoft-Sicherheitswarnung ausgaben.

Wenn die Empfänger auf den Link klickten, mussten sie ein CAPTCHA lösen und wurden aufgefordert, einer bösartigen OAuth-Anwendung Berechtigungen zu erteilen. Das OAuth-Token verschaffte den Angreifern dauerhaften Zugriff auf den Posteingang des Opfers, wodurch künftige Passwortzurücksetzungen und übliche Überprüfungen im Rahmen der Multi-Faktor-Authentifizierung umgangen wurden. Diese Persistenztechnik ist ein zunehmend wichtiger Faktor bei Angriffen auf Unternehmens-E-Mails.

Die Eskalation 2025–2026: Umleitungsketten mit mehreren Anbietern

Untersuchungen von LevelBlue SpiderLabs ergaben, dass Angreifer diese Techniken bis Ende 2025 und Anfang 2026 zu Umleitungsketten mit mehreren Anbietern ausgebaut hatten. Moderne „Phishing-as-a-Service“-Plattformen wie Tycoon2FA und Sneaky2FA erstellen komplexe Umleitungspfade, die nacheinander drei, vier oder fünf verschiedene Sicherheitsanbieter durchlaufen.

Diese Plattformen funktionieren als „Adversary-in-the-Middle“ (AiTM)-Kits. Anstatt lediglich statische Passwörter abzufangen, leiten sie laufende Authentifizierungssitzungen in Echtzeit um und fangen dabei Sitzungs-Cookies ab, um die standardmäßige Multi-Faktor-Authentifizierung (MFA) zu umgehen.

LevelBlue SpiderLabs dokumentierte eine Tycoon2FA-Kampagne, bei der ein einzelner Link mehr als 1.200 Zeichen umfasste. Die zugrunde liegende Adresse wurde nacheinander über fünf verschiedene Anbieter-Domains weitergeleitet: Libraesva → Sophos → INKY → EdgePilot → Barracuda. Die Köder-E-Mail selbst war als Benachrichtigung über die Signierung eines Microsoft-Dokuments getarnt. Nachdem die Opfer eine CAPTCHA-Sperre überwunden hatten, die automatisierte Scanner herausfiltern sollte, gelangten sie auf eine gefälschte Microsoft-Anmeldeseite, die dazu diente, ihre Anmeldedaten abzugreifen.

Die dokumentierte Tycoon2FA-Kette: fünf vertrauenswürdige Anbieter-Domains in Folge vor dem CAPTCHA-Gate und der gefälschten Anmeldeseite. (Quelle: LevelBlue SpiderLabs)

Ebenso wiesen Berichte von Sicherheitsaggregatoren wie Paubox, die Untersuchungen von TechRadar und GBHackers auswerteten, auf „Sneaky2FA“-Kampagnen hin, bei denen dreistufige Ketten (Barracuda → Sophos → Cisco) über HTML-Anhänge versendet wurden. Nach Schätzungen erreichten diese Kampagnen Zehntausende von Unternehmens-E-Mail-Postfächern. Diese Multi-Hop-Ketten sind erfolgreich, weil viele Sicherheitsfilter nur die erste oder letzte Domain in einer Weiterleitungssequenz überprüfen und es versäumen, jeden dazwischenliegenden Schritt nachzuverfolgen.

So erkennen Sie eine manipulierte oder verdächtig umgeschriebene URL

Endnutzer benötigen einfache, praktische Leitlinien, um geänderte Links zu überprüfen, bevor sie darauf klicken. Nutzen Sie diese Checkliste für eine schnelle Überprüfung:

• Überprüfen Sie die vollständige Adresse: Bewegen Sie den Mauszeiger über den Link, um die vollständige Adresse anzuzeigen, bevor Sie darauf klicken. Wenn Sie einen verdächtigen Link sicher überprüfen möchten, testen Sie ihn mit einem Phishing-Link-Checker.
• Achten Sie auf übermäßige Verschachtelung: Seien Sie vorsichtig bei Links, die mehrere Webadressen oder wiederholte URL-Parameter wie „url=“, „redirect=“ oder „target=“ enthalten.
• Seien Sie skeptisch gegenüber Aufforderungen zur Bestätigung: Nachrichten, in denen behauptet wird, ein Link sei überprüft oder blockiert worden, und in denen ein manueller Bestätigungs-Klick verlangt wird, sind gängige Betrugsmaschen.
• Beschränkungen von Wrapper-Domains beachten: Ein Link, der eine Anbieter-Domain wie safelinks.protection.outlook.com anzeigt, weist darauf hin, dass die Nachricht ein E-Mail-Sicherheitsgateway durchlaufen hat, garantiert jedoch nicht, dass das Ziel weiterhin sicher ist.

Weitere grundlegende Hinweise zur Beurteilung verdächtiger Nachrichten finden Sie in unserem Leitfaden zum Thema „Was ist ein Phishing-Link?“.

So schützen Sie sich vor Angriffstaktiken durch URL-Manipulation

Um Unternehmensnetzwerke vor vielschichtigen Manipulationen von Verbindungen zu schützen, müssen Aktualisierungen der Verbindungsüberprüfung mit strengen Standards für den Identitätsschutz und die E-Mail-Authentifizierung kombiniert werden.

1. Vollständige Weiterleitungswege überprüfen: Konfigurieren Sie E-Mail-Gateways und Endpunkt-Sicherheitstools so, dass sie jeder Weiterleitung in einer Linkkette folgen. Sicherheitsscanner müssen die endgültige Zielseite auswerten, anstatt bereits bei der ersten vertrauenswürdigen Domain anzuhalten.
2. Implizites Vertrauen für Wrapper-Domains aufheben: Stellen Sie sicher, dass interne Sicherheitsfilter Links erneut prüfen, auch wenn diese einen Domain-Wrapper Ihres eigenen E-Mail-Sicherheitsanbieters enthalten.
3. Führen Sie eine phishing-resistente Authentifizierung ein: Ausgefeilte Phishing-Kits wie Tycoon2FA fangen Sitzungstoken während der Anmeldung ab. Schützen Sie Ihr Unternehmen durch den Einsatz von FIDO2-Hardware-Schlüsseln, Passkeys oder der Nummernabgleich-Authentifizierung, um die MFA-Müdigkeit und das Session-Hijacking zu verringern.
4. Aktualisierung der Schulungen zur Sensibilisierung für Sicherheitsfragen: Machen Sie den Mitarbeitern klar, dass verschleierte Links nicht automatisch als sicher gelten. Schulen Sie die Mitarbeiter darin, Weiterleitungen mit mehreren Zwischenstationen und unerwartete Aufforderungen zur Eingabe von Anmeldedaten unverzüglich zu melden.
5. Setzen Sie eine strenge E-Mail-Authentifizierung durch: Implementieren Sie Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) und DMARC für alle Domains Ihres Unternehmens. Zwar verhindert DMARC keine Weiterleitungsmechanismen durch Dritte, doch durch die Durchsetzung einer „p=reject“-Richtlinie wird verhindert, dass Angreifer Ihren genauen Domainnamen fälschen, um erste Phishing-Köder zu versenden. Verwenden Sie einen dedizierten DMARC-Analyzer, um die Absenderquellen zu überwachen und eine strikte Übereinstimmung sicher durchzusetzen.

Schlussfolgerung

Das defensive URL-Rewriting ist nach wie vor ein wichtiges Instrument, um Bedrohungen zum Zeitpunkt des Klicks abzufangen, doch Angreifer haben gelernt, diese Schutzebene als Tarnung zu nutzen. Durch die Verkettung mehrerer Links verschiedener Sicherheitsanbieter umgehen moderne „Adversary-in-the-Middle“-Kampagnen grundlegende Filter und verleiten Nutzer dazu, Zugriffsrechte preiszugeben.

Der Schutz Ihres Unternehmens erfordert einen mehrschichtigen Sicherheitsansatz. Überprüfen Sie die gesamten Weiterleitungswege, setzen Sie eine phishing-resistente Authentifizierung ein und unterbinden Sie die Zustellung über gefälschte Domains mithilfe automatisierter Tools wie dem DMARC Analyzer von PowerDMARC, um die Sicherheit Ihrer E-Mail-Zustellumgebung zu gewährleisten.

Häufig gestellte Fragen

Was ist der Unterschied zwischen URL-Manipulation und URL-Umschreibung?

Der Begriff „URL-Manipulation“ bezeichnet allgemein das Verändern oder Verschleiern von Links zu betrügerischen Zwecken. Das Umschreiben von URLs ist ein spezifischer Vorgang, bei dem E-Mail-Sicherheitstools eingehende Links in Anbieter-Domains einbinden, um eine Überprüfung in Echtzeit zum Zeitpunkt des Klicks zu ermöglichen, bevor ein Nutzer das Ziel erreicht.

Ist es sicher, auf „Microsoft Safe Links“ zu klicken?

Microsoft Safe Links bietet einen starken Schutz in Echtzeit, doch die verpackten Links sind nicht vollständig vor Missbrauch geschützt. Angreifer können Konten kompromittieren oder Umleitungsketten verschiedener Anbieter aufbauen, um Safe Links über bösartige Ziele umzuleiten. Daher sollten Nutzer verdächtige Nachrichten weiterhin sorgfältig prüfen.

Wie nutzen Angreifer das URL-Rewriting bei Phishing-Angriffen aus?

Angreifer versenden Links über kompromittierte Konten, die von Sicherheitsanbietern geschützt werden, um umschlossene, vertrauenswürdige URLs zu generieren. Außerdem verketten sie mehrere Umleitungslinks verschiedener Anbieter nacheinander, um automatisierte Scanner zu verwirren, sodass diese die dahinterliegende bösartige Zielseite nicht überprüfen können.

Was ist Punycode-Phishing (Homograph-Phishing)?

Beim Punycode-Phishing werden in einem Domainnamen Zeichen aus anderen Sprachen verwendet, die identisch mit den üblichen lateinischen Buchstaben aussehen. Angreifer registrieren diese optisch identischen Webadressen, um Nutzer dazu zu verleiten, zu glauben, sie würden die Website eines seriösen Unternehmens besuchen.

Kann DMARC Angriffe durch URL-Manipulation verhindern?

DMARC überprüft oder verändert Weiterleitungslinks nicht direkt. Die Durchsetzung von DMARC mit einer „p=reject“-Richtlinie verhindert jedoch, dass Angreifer Ihre Unternehmensdomain exakt fälschen, um die erste Phishing-E-Mail zu versenden, und macht so die gängigsten Taktiken der Markenimitation unwirksam.

Was sind Tycoon2FA und Sneaky2FA?

Tycoon2FA und Sneaky2FA sind ausgeklügelte „Adversary-in-the-Middle“-Phishing-Kits. Sie fangen Anmeldedaten und Live-Sitzungstoken in Echtzeit ab und ermöglichen es Angreifern so, selbst auf sicheren Plattformen die üblichen Kontrollmechanismen der Multi-Faktor-Authentifizierung zu umgehen.

• Über
• Neueste Beiträge

Ahona Rudra

Experte für Domain- und E-Mail-Sicherheit bei PowerDMARC

Ahona ist Marketing-Managerin bei PowerDMARC und verfügt über mehr als 5 Jahre Erfahrung im Schreiben über Cybersicherheitsthemen, insbesondere im Bereich Domain- und E-Mail-Sicherheit. Ahona hat einen Postgraduierten-Abschluss in Journalismus und Kommunikation und ist seit 2019 in der Sicherheitsbranche tätig.

Neueste Beiträge von Ahona Rudra (alle anzeigen)

• Was ist URL-Manipulation (URL-Rewriting)? Wie Angreifer vertrauenswürdige Links missbrauchen, um Phishing zu verschleiern – 10. August 2026
• Sicherheitswarnung per E-Mail zum Microsoft-Konto: So erkennen Sie Betrugsversuche und schützen Ihre Domain – 9. August 2026
• Was ist Pharming? Wie funktioniert es und wie können Unternehmen das Risiko minimieren? – 8. August 2026