Phishing: Warum leere Seiten keine Entwarnung sind

Eine Nachricht behauptet, beim Paketversand fehle eine Zahlung oder ein Konto müsse dringend überprüft werden. Die Adresse darin wirkt verdächtig. Wer daraufhin nur den Domainnamen ohne den restlichen Link prüfen lässt, bekommt womöglich eine leere Seite oder „404 – Not Found“ zurück. Das kann beruhigend wirken. Über die Harmlosigkeit der Nachricht sagt diese Antwort jedoch wenig aus.

Wie solche Täuschungen verborgen bleiben können, beschreibt Check Point in einem Beitrag vom 15. Oktober 2026. Die Forschenden beobachteten Phishingseiten, deren Startadressen unauffällig blieben, während bestimmte Unteradressen betrügerische Inhalte auslieferten. Phishing bezeichnet den Versuch, Menschen etwa mit gefälschten Anmeldeseiten zur Preisgabe ihrer Zugangsdaten zu bringen.

Die Startseite ist nur eine Adresse unter vielen

Ein Domainname benennt zunächst den angesprochenen Internetauftritt. Der Pfad dahinter bestimmt, welcher Bereich angefordert wird. Wer diesen Teil weglässt, stellt dem Server eine andere Anfrage. Das kennt man auch von seriösen Websites: Eine einzelne Artikelseite und die Startseite können unterschiedliche Inhalte zeigen. Für die technische Beurteilung eines Links ist dieser Unterschied wesentlich.

Auch die Bedeutung von 404 ist enger, als sie im Alltag oft verstanden wird. Laut dem HTTP-Standard bedeutet der Status, dass der Server für die angefragte Ressource keine aktuelle Darstellung gefunden hat oder ihre Existenz nicht offenlegen möchte. Ob dieser Zustand vorübergehend oder dauerhaft ist, geht daraus nicht hervor. Eine Sicherheitsbewertung des gesamten Internetauftritts enthält die Antwort ebenfalls nicht. Eine bloß leere Anzeige ist noch weniger aussagekräftig; aus ihrem Aussehen allein lässt sich nicht einmal der technische Antwortstatus ablesen.

Check Point dokumentiert unter anderem regional benannte Pfade: Bei auf Deutschland zugeschnittenen Auftritten lag die Täuschungsseite unter /de, bei einem italienischen Beispiel unter /it. Nachrichten können genau solche vollständigen Adressen enthalten. Wird bei einer Prüfung nur die Startadresse betrachtet, bleibt der relevante Bereich möglicherweise unsichtbar. Umgekehrt ist ein Länderpfad auf einer Website selbstverständlich kein Betrugsmerkmal.

Manche Seiten verlangen zusätzlich eine Sitzungsfreigabe

Der Originalreport beschreibt außerdem einen Fall mit vorgeschalteter Verifikationsseite. Nach einer Interaktion erzeugte das System eine zeitweilige Sitzungskennung und leitete erst damit zur Täuschung weiter. Diese zusätzliche Zugangsschicht wurde nicht in allen untersuchten Beispielen beobachtet.

Daraus ergibt sich eine weitere Grenze einer einfachen Prüfung: Auch bei derselben Domain kann der sichtbare Inhalt von den Zugangsbedingungen abhängen. Wenn jemand bei einem einzelnen Abruf nichts Verdächtiges sieht, lässt sich daraus keine allgemeine Freigabe ableiten. Für Leserinnen und Leser ist das ein Grund, die Nachricht unabhängig von der darin verlinkten Website zu überprüfen.

Die Zahlen beschreiben Beobachtungen aus September

Der Report trägt die Datierung September 2026. Er nennt 10.187 zugeordnete Domains für das Erhebungsfenster vom 11. September und 5.785 für eine weitere Momentaufnahme am 24. September um 16 Uhr UTC. Die spätere Abfrage blieb auf zuvor ermittelte IP-Kandidaten beschränkt; neu entstandene Infrastruktur außerhalb dieser Auswahl erfasste sie nicht. Das sind Infrastrukturzahlen, keine bestätigten Opferzahlen. Daraus lässt sich auch keine am 15. Oktober neu gestartete Angriffswelle ableiten.

Technische Gemeinsamkeiten sprechen laut den Forschenden für einen gemeinsamen Phishing-Baukasten. Die Zuordnung zu einem bestimmten Betreiber oder Dienst gelang ihnen jedoch nicht. Ebenso liefert der Report keine belastbare Zahl Betroffener in Österreich, Deutschland oder der Schweiz.

Die Nachricht sichern, das Konto auf unabhängigem Weg prüfen

Wer eine verdächtige Nachricht erhält, sollte den enthaltenen Link nicht versuchsweise öffnen und keine Länderpfade durchprobieren. Für eine fachliche Prüfung ist die vollständige Originalnachricht samt Link hilfreich. Den Link dabei nicht auf den Domainnamen kürzen: Gerade der nachfolgende Teil kann erklären, weshalb eine erste Untersuchung ins Leere ging. Ein Screenshot kann ergänzen, ersetzt aber keinen darin abgeschnittenen oder hinter einem Button verborgenen Link.

In Österreich nimmt etwa die Watchlist Internet Meldungen mit Link, Beschreibung und Anhängen entgegen. Verdächtige Nachrichten können so zur Prüfung eingereicht werden. Die Sicherung ist keine Aufforderung, die angegebene Adresse aufzurufen.

Ob beim eigenen Konto tatsächlich etwas zu erledigen ist, prüft man über die selbst geöffnete offizielle App oder die bekannte Website. Diesen unabhängigen Zugang empfiehlt auch die Watchlist Internet. Bleibt etwas unklar, helfen die dort veröffentlichten Kontaktmöglichkeiten. Wer bereits Bank- oder Kartendaten eingegeben hat, sollte sofort das zuständige Institut kontaktieren. Dafür braucht es keinen weiteren Test der verdächtigen Seite.