Links richtig lesen: Wo in einer Adresse die Wahrheit steht

Anatomie einer Adresse

Jede Internetadresse folgt demselben Bauplan. Lesen Sie ihn einmal von links nach rechts — danach werden Sie ihn in jeder Adresse wiedererkennen.

1 · Schema. „https://“ sagt, wie der Browser die Verbindung aufbaut — verschlüsselt. Es sagt nicht, mit wem. 2 · Subdomain. Alles vor der eigentlichen Domain, durch Punkte getrennt: „www“, „konto“, „login“. Der Besitzer der Domain legt Subdomains selbst an, so viele er will, mit jedem Namen, der ihm gefällt. 3 · Domain. Der registrierte Name, zum Beispiel „ihre-bank“. Er ist weltweit einmalig und kann nur dem gehören, der ihn angemeldet hat. 4 · Endung, auch Top-Level-Domain: „.de“, „.com“, „.top“. Domain und Endung gehören zusammen — „ihre-bank.de“ und „ihre-bank.top“ sind zwei völlig verschiedene Besitzer. 5 · Pfad. Alles nach dem ersten Schrägstrich: Unterseiten, die ebenfalls frei benannt werden.

Die Leseregel: der erste Schrägstrich

Daraus folgt eine Regel, die in jeder Adresse funktioniert: Suchen Sie den ersten Schrägstrich nach „https://“. Die zwei Wörter unmittelbar links davon — mit dem Punkt dazwischen — sind die echte Adresse. Alles weiter links ist Kulisse, alles rechts ist Innenausstattung.

Betrüger nutzen genau diese Bauordnung aus. Sie registrieren eine beliebige Domain, sagen wir „sicherheit-login.top“, und legen davor eine Subdomain an, die wie der Name Ihrer Bank aussieht. Das Ergebnis lautet ihre-bank.de.sicherheit-login.top/konto. Wer von links liest, sieht „ihre-bank.de“ und ist beruhigt. Wer die Regel anwendet, findet den ersten Schrägstrich, geht zwei Wörter nach links und liest: „sicherheit-login.top“. Das ist der Ort, an dem Ihre Eingaben landen. „ihre-bank.de“ ist dort nur ein Unterordner, den die Täter selbst so genannt haben — mit Punkt, damit es echt aussieht.

Echt oder Fälschung? Sechs Beispiele

Alle Adressen sind erfunden. Wenden Sie bei jeder die Regel an: erster Schrägstrich, zwei Wörter nach links.

Ähnliche Zeichen und Punycode

Eine zweite Täuschung arbeitet nicht mit der Reihenfolge, sondern mit den Buchstaben selbst. Seit Internetadressen auch Umlaute und Buchstaben anderer Schriften enthalten dürfen, gibt es Zeichen, die lateinischen zum Verwechseln ähnlich sehen: Ein kyrillisches „а“ ist für das Auge nicht vom lateinischen „a“ zu unterscheiden, für den Computer aber ein völlig anderes Zeichen. Eine Adresse „ihre-bаnk.de“ mit kyrillischem „а“ ist deshalb eine eigene, frei registrierbare Domain — der Fachbegriff lautet homographischer Angriff.

Technisch wird eine solche Adresse in ein Kürzel aus lateinischen Buchstaben und Ziffern übersetzt, das mit xn-- beginnt: Aus „ihre-bаnk“ mit kyrillischem а wird xn--ihre-bnk-66g. Das nennt sich Punycode. Moderne Browser zeigen Adressen, die Schriften mischen, genau in dieser Form an, statt die täuschende Schreibweise zu übernehmen. Für Sie heißt das: Steht in einer Adresse „xn--“, hat Ihr Browser eine Mischung erkannt — behandeln Sie die Seite als Fälschung. In Nachrichten selbst wird die Adresse dagegen oft in der täuschenden Form dargestellt; auch deshalb lohnt der Blick in die Vorschau des echten Ziels.

Dazu kommen die alten Bekannten, die ohne fremde Schriften auskommen: „rn“ statt „m“ (ihre-barnk), die Ziffer „1“ statt „l“, das große „I“ statt kleines „l“, eine „0“ statt „o“. Vergleichen Sie im Zweifel Buchstabe für Buchstabe mit der Adresse auf Ihrer Bankkarte, Rechnung oder dem Lesezeichen, das Sie selbst angelegt haben.

Das Schloss-Symbol beweist nichts

Linkziel sehen, bevor Sie klicken: Handy und PC

In einer Nachricht steht selten die Adresse selbst. Meist ist es ein Button („Jetzt bestätigen“) oder ein Text, der nach einer Adresse aussieht, aber woandershin verlinkt. Das echte Ziel sehen Sie so:

Die sicherste Variante braucht keine Vorschau: Klicken Sie in Nachrichten zu Konto, Zahlung, Paket oder Abo grundsätzlich nicht auf Links. Öffnen Sie die App des Anbieters oder ein Lesezeichen, das Sie selbst angelegt haben. Gibt es dort keinen entsprechenden Vorgang, war die Nachricht Betrug — ganz ohne Adresslesen.

Kurzlinks und QR-Codes: Adressen, die Sie nicht lesen können

Kurzlinks wie bit.ly/3xK… oder t.co/… sind an sich nichts Verwerfliches; Unternehmen nutzen sie, weil lange Adressen in sozialen Netzwerken unhandlich sind. Aber ein Kurzlink verbirgt das Ziel vollständig — die Regel vom ersten Schrägstrich läuft ins Leere. In einer Nachricht, die um Ihr Konto, eine Zahlung oder ein Paket geht, hat ein Kurzlink deshalb nichts verloren: Seriöse Anbieter verlinken dort auf ihre eigene Domain. Der Phishing-Check auf der Startseite wertet Kurzlinks aus genau diesem Grund als Warnzeichen.

QR-Codes sind der Extremfall: eine Adresse, die weder Sie noch ein Spam-Filter lesen kann. Das BSI beschreibt im Lagebericht 2025, dass Täter in mehreren Großstädten die Bezahl-Codes an Parkscheinautomaten überklebt haben, und weist darauf hin, dass die meisten Scanner die Adresse nur gekürzt anzeigen. Deshalb: Nach dem Scannen die eingeblendete Adresse antippen, vollständig anzeigen lassen und die Regel anwenden — erst dann öffnen. Bei QR-Codes in Mails und Briefen, die zur „Freischaltung“ oder „Verifizierung“ auffordern, scannen Sie erst gar nicht. Mehr zu dieser Masche steht im Artikel Die zehn häufigsten Maschen 2026.

Dasselbe Prinzip bei Absenderadressen

Eine E-Mail-Adresse folgt dem gleichen Bauplan, nur dass die Domain hinter dem @-Zeichen steht. Der angezeigte Name („Ihre Bank Kundenservice“) ist frei wählbar und sagt nichts aus; auf dem Smartphone müssen Sie ihn antippen, um die volle Adresse zu sehen. Dann gilt: Der Teil unmittelbar vor der Endung ist die echte Domain. Bei service@ihre-bank.de.sicherheit-login.top ist das „sicherheit-login.top“ — dieselbe Falle wie beim Link. Aber Vorsicht in die andere Richtung: Absenderadressen lassen sich auch komplett fälschen. Eine korrekte Absender-Domain ist deshalb ein gutes Zeichen, kein Beweis. Das Linkziel und die Frage „Erwarte ich das?“ bleiben die verlässlicheren Prüfungen. Wie ein Angriff im Ganzen aufgebaut ist, zeigt die Anatomie einer Betrugsmail auf der Startseite.

Häufige Fragen