Pharming leitet Nutzer trotz einer erwarteten Adresse zu einem falschen Ziel. Anders als klassisches Phishing muss das Opfer nicht zwingend auf einen betrügerischen Link klicken: Manipulierte Namensauflösung, Router oder lokale Einstellungen sorgen dafür, dass eine korrekt eingegebene Domain auf einen Angreiferserver zeigt.
Wie funktioniert Pharming?
| Angriffspunkt | Vorgehen |
|---|---|
| Lokale Hosts-Datei | Malware trägt für eine bekannte Domain eine falsche IP-Adresse auf dem Endgerät ein. |
| Router oder DHCP | Geänderte DNS-Einstellungen verteilen einen vom Angreifer kontrollierten Resolver an Geräte. |
| DNS-Cache Poisoning | Ein Resolver speichert eine gefälschte Zuordnung und liefert sie an viele Nutzer aus. |
| Kompromittierter DNS-Account | Angreifer ändern autoritative Domain-Einträge oder Nameserver beim Provider. |
| Rogue Access Point | Ein manipuliertes WLAN lenkt DNS oder Webverkehr zu falschen Diensten. |
Die falsche Seite imitiert Login oder Zahlung. Ohne gültiges Zertifikat sollte der Browser warnen. Angreifer versuchen daher, Warnungen erklären zu lassen, HTTP zu erzwingen oder nach Übernahme der Domain-/DNS-Verwaltung ein echtes Zertifikat zu erhalten. Ein Zertifikat beweist Kontrolle über die aufgerufene Domain, nicht die Geschäftsechtheit eines Inhalts.
Was unterscheidet Pharming und Phishing?
Phishing bringt eine Person durch Nachricht oder Seite dazu, ein falsches Ziel zu öffnen oder Daten preiszugeben. Pharming manipuliert den technischen Weg zum Ziel. Beide können kombiniert werden und nutzen eine kopierte Website. Domain Squatting verwendet meist eine andere, ähnlich geschriebene Domain; Pharming kann dagegen die echte Schreibweise auf eine falsche IP auflösen.
Welche Warnzeichen gibt es?
- Zertifikats-, HSTS- oder Hostnamenwarnung auf einer sonst vertrauten Website.
- Mehrere Geräte im selben Netz zeigen dieselbe ungewöhnliche Seite oder falsche Weiterleitung.
- DNS-Antworten unterscheiden sich unerwartet zwischen lokalem Resolver, Mobilfunk und vertrauenswürdigem externen Vergleich.
- Router-DNS, Hosts-Datei, Browser-Proxy oder Netzwerkprofil wurden ohne bekannten Grund geändert.
- Ein Dienst fordert trotz korrekter Adresse unerwartet neue Zugangsdaten, Zertifikatsausnahmen oder Softwareinstallation.
Wie wird Pharming verhindert?
- TLS-Zertifikatswarnungen niemals übergehen und HSTS für vollständig HTTPS-fähige Domains einsetzen.
- Router, Resolver und Registrar-Konten patchen, mit starken einzigartigen Zugangsdaten und MFA schützen.
- DNSSEC für Zonen korrekt betreiben und validierende Resolver nutzen; Schlüssel- und Registrar-Prozesse mit absichern.
- Unberechtigte Änderungen an DNS, Nameservern, Zertifikaten und Routerkonfiguration überwachen.
- Endpunkte gegen Malware härten und Änderungen an Hosts-Datei, Proxy und DNS-Konfiguration erkennen.
- Phishing-resistente MFA reduziert den Nutzen einer kopierten Login-Seite zusätzlich.
Was ist bei einem Verdacht zu tun?
Keine Zugangsdaten eingeben und keine Zertifikatsausnahme anlegen. Betroffenes Gerät oder Netz isolieren und Domain, aufgelöste IP, Resolver, Zertifikat und Zeitpunkt dokumentieren. Vergleich über ein unabhängiges Netz hilft, lokale von autoritativer Manipulation zu trennen. Danach Router, Endpunkt, DNS-Provider und Registrar prüfen. Eingegebene Zugangsdaten und aktive Sitzungen sind über ein vertrauenswürdiges Gerät zu ersetzen beziehungsweise zu widerrufen.
Vielen Dank für dein Feedback! Wir werden es prüfen und unseren Artikel anpassen.