Website Takedown: So lassen Sie Fake-Websites und Phishing-Seiten entfernen

Phishing nimmt weiter zu. Die Anti-Phishing Working Group zählte im ersten Quartal 2026 genau 971.181 Phishing-Angriffe, nach 853.244 im letzten Quartal 2025 und 3,8 Millionen im gesamten Jahr 2025. Die meisten laufen auf Domains, die eigens dafür gekauft wurden: Laut Interisle Phishing Landscape 2025 waren 77 Prozent der zwischen Mai 2024 und April 2025 für Phishing genutzten Domains von den Tätern selbst registriert und nicht gehackt.

Für Sie als betroffenes Unternehmen ist das die gute Nachricht. Eine Domain, die für Betrug registriert wurde, hat keinen legitimen Inhaber, den der Registrar schützen müsste, also kann er sie komplett sperren. Dieser Leitfaden zeigt, wer handeln kann, wie Sie die Zuständigen finden, was in die Meldung gehört und wo Selbsthilfe an Grenzen stößt. Er gibt den Stand vom Oktober 2026 wieder, einschließlich der ICANN-Pflichten von 2024, des Digital Services Act, des Digitale-Dienste-Gesetzes und des neuen DENIC-WHOIS.

Wer kann eine gefälschte Website abschalten?

An die Person hinter der Seite kommen Sie fast nie heran. An die Unternehmen, von denen sie abhängt, sehr wohl. Jedes davon kontrolliert eine andere Ebene und kann einen anderen Teil abschalten.

Warum reagieren Anbieter auf Abuse-Meldungen?

Für generische Endungen wie .com, .shop oder .online gelten seit dem 5. April 2024 verschärfte ICANN-Verträge. Registrare müssen einen Abuse-Kontakt auf ihrer Startseite veröffentlichen, jede Meldung bestätigen und "angemessene Gegenmaßnahmen" ergreifen, sobald sie belastbare Hinweise auf Phishing, Malware, Botnetze oder Pharming haben. ICANN setzt das durch: In den ersten zwei Jahren liefen knapp 530 Prüfverfahren, und etwa zwei Drittel endeten damit, dass Registrar oder Registry gegen die Domain vorgingen.

In der EU gilt seit dem 17. Februar 2024 der Digital Services Act für alle Hosting-Anbieter. Artikel 16 verpflichtet sie zu einem elektronischen Meldeverfahren, und eine präzise, begründete Meldung kann die "tatsächliche Kenntnis" begründen, ab der das Haftungsprivileg nach Artikel 6 nur noch gilt, wenn sie zügig handeln. In Deutschland hat das Digitale-Dienste-Gesetz (DDG) am 14. Mai 2024 das Telemediengesetz abgelöst; die Haftungsregeln stehen seitdem im DSA selbst. Überall sonst wirken die Nutzungsbedingungen der Anbieter: Kein seriöser Hoster oder Registrar erlaubt Phishing oder Betrug auf seiner Infrastruktur.

Schritt 1: Beweise sichern, bevor Sie melden

Fake-Seiten ändern sich oder verschwinden, sobald der Betreiber Druck spürt, und manche zeigen je nach Land oder Gerät andere Inhalte. Sichern Sie deshalb zuerst die Beweise, und zwar nicht im normalen Arbeitsbrowser. Warum das wichtig ist und wie es geht, steht in unserem Beitrag Verdächtige Website sicher prüfen.

• Die genauen URLs, nicht nur die Domain: Login-Formular, Checkout, die Seite mit der Zahlungsaufforderung.
• Einen Screenshot der ganzen Seite mit Datum, Uhrzeit und sichtbarer URL.
• Den HTML-Quelltext, der kopierte Bilder, Formularziele und Tracking-IDs zeigt.
• Den Weg der Opfer auf die Seite: Phishing-Mail mit Headern, SMS, Anzeige oder Suchtreffer.
• Den Nachweis Ihrer Rechte: Registernummer beim DPMA oder EUIPO, Ihre offizielle Domain, die Originale der kopierten Bilder und Texte.
• Beschwerden von Kunden, die den Schaden zeigen, ohne personenbezogene Daten.

Schritt 2: Hoster, Registrar und vorgeschaltetes CDN finden

Sie brauchen drei Antworten: Über wen wurde die Domain registriert, welches Netz liefert die Inhalte aus, und sitzt ein Proxy dazwischen? Unser kostenloses Tool Wer hostet die Website? zeigt Hosting-Provider, IP, ASN, Registrar, Nameserver, Mailserver und den bekannten Abuse-Kontakt in einer Abfrage. Von Hand geht es so:

• Registrar bei gTLDs: Fragen Sie die Domain bei ICANN Lookup ab. Seit dem 28. Januar 2025 ist RDAP statt WHOIS die maßgebliche Quelle für Registrierungsdaten generischer Endungen. Der Inhaber ist meist geschwärzt, Registrar und dessen Abuse-Adresse stehen aber drin.
• .de-Domains: Der DENIC-WHOIS nennt das verwaltende DENIC-Mitglied, also den Registrar. Seit dem 28. Januar 2026 zeigt er außerdem Name und Kontaktdaten von Inhabern, die juristische Personen sind. Das ist eine Folge der deutschen NIS-2-Umsetzung.
• Hoster: Lösen Sie A- und AAAA-Record auf (mit dig oder nslookup) und schlagen Sie die IP bei der regionalen Vergabestelle nach (RIPE, ARIN usw.). Dort sehen Sie, welcher Organisation und welchem autonomen System (ASN) sie gehört.
• Proxy: Ist diese Organisation Cloudflare oder ein anderes CDN, haben Sie die Eingangstür gefunden, nicht den Hoster. Melden Sie die Seite beim CDN, das den Hoster benennen kann.

Manchmal sind Hoster und Registrar dasselbe Unternehmen, dann reicht eine Meldung. Wirkt die Domain harmlos und liegt die Fake-Seite in einem Unterordner, wurde vermutlich eine legitime Website gehackt. Dann sind Hoster und Seitenbetreiber die richtigen Kontakte, nicht der Registrar. Welche DNS-Einträge hinter diesen Abfragen stehen, erklärt unser Beitrag Was ist DNS?.

Schritt 3: Abuse-Meldungen an Hoster und Registrar senden

Eine Abuse-Meldung landet bei einem Support-Mitarbeiter mit voller Warteschlange, und die erste Sichtung läuft oft automatisch. Schreiben Sie sie so, dass sich der Betrug in einer Minute prüfen lässt, ohne dass jemand Ihnen glauben muss.

Nutzen Sie das Abuse-Formular des Anbieters, wo es eines gibt; Cloudflare etwa kann per E-Mail eingereichte Beschwerden in der Regel nicht bearbeiten. Phishing-Meldungen an Cloudflare brauchen die Domain und den konkreten Phishing-Link, und Cloudflare gibt vollständige Meldungen an Hoster und Seitenbetreiber weiter. Gehen Sie davon aus, dass der Betreiber mitliest, und lassen Sie interne Details weg.

Für Registrare gibt es den kostenlosen NetBeacon Reporter des NetBeacon Institute, der Phishing- und Malware-Meldungen in einem Standardformat an teilnehmende Registrare schickt. Bleiben Sie sachlich. Drohungen und lange juristische Ausführungen verzögern die Prüfung nur.

Schritt 4: Die URL an Browser-Sperrlisten melden

Eine Sperrliste löscht nichts, setzt aber eine bildschirmfüllende Warnung zwischen die Seite und Ihre Kunden, oft bevor der Hoster überhaupt antwortet.

• Google Safe Browsing über das Meldeformular für Phishing (bis zu 10 URLs pro Meldung). Laut Google schützt Safe Browsing mehr als fünf Milliarden Geräte; Chrome, Firefox und Safari nutzen die Listen.
• Microsoft SmartScreen über Unsichere Website melden, das deckt Edge und Windows ab.
• Verbraucherzentrale: Phishing-Mails leiten Sie an das Phishing-Radar weiter ([email protected]), das daraus Warnungen erstellt. Die APWG nimmt Phishing-Mails unter [email protected] an.
• Anzeigen und Suche: Melden Sie die Anzeige direkt bei Google oder Meta. Unsere Untersuchung zu Fake Shops in Google Ads zeigt, wie oft bezahlte Anzeigen den Traffic liefern.

Schritt 5: Nachfassen, eskalieren und die nächste Domain abfangen

Passiert nach zwei bis drei Werktagen nichts, antworten Sie auf das Ticket und fragen nach dem Stand. Bleibt ein Anbieter stumm, eskalieren Sie eine Ebene höher:

• Registrar einer gTLD reagiert nicht: Reichen Sie bei ICANN Contractual Compliance eine Beschwerde in der Kategorie für Registrare ein, die eine Abuse-Meldung nicht geprüft oder beantwortet haben. Legen Sie Ihre Meldung und die Eingangsbestätigung bei.
• Hoster reagiert nicht: Wenden Sie sich an den vorgelagerten Netzbetreiber, der den IP-Bereich des Hosters routet, und an die Registry der Endung.
• Länderendungen wie .de folgen den Regeln ihrer Registry, nicht denen von ICANN. Prüfen Sie zuerst die Abuse-Seite der Registry.

Ein Takedown beendet eine Seite. Die Leute dahinter registrieren oft schon in der Woche darauf die nächste Domain, manchmal Dutzende auf einmal. Unsere DoppelCart-Recherche hat ein einziges Fakeshop-Netzwerk auf rund 119.000 Domains zurückgeführt. Beobachten Sie neue Registrierungen rund um Ihren Namen mit Domain Monitoring, registrieren Sie naheliegende Varianten Ihrer eigenen Domain und veröffentlichen Sie eine Liste Ihrer offiziellen Domains, an der Kunden und Support sich orientieren können.

Welcher Meldeweg passt zu welchem Vorfall?

Der richtige erste Kontakt hängt davon ab, was die Fake-Seite ist und wie Betroffene darauf stoßen.

Wie lange dauert ein Website-Takedown?

Öffentliche Daten zu Takedown-Zeiten über alle Anbieter hinweg gibt es nicht. Die Spannen unten stammen aus unserer eigenen Fallarbeit und aus den veröffentlichten UDRP-Fristen. Verstehen Sie sie als Orientierung, nicht als Zusage.

Den größten Einfluss haben Sie auf die erste Meldung. Eine Meldung, die sich in einer Minute prüfen lässt, wird bearbeitet. Eine vage Meldung bekommt eine Standardantwort mit der Bitte um mehr Informationen, und die Uhr läuft von vorn.

Abuse-Meldung, UDRP oder Abmahnung: Welcher Weg passt?

Abuse-Meldung und Rechtsweg beantworten unterschiedliche Fragen. Die Abuse-Meldung bittet einen Anbieter, einen Betrug auf seiner Plattform zu beenden. Der Rechtsweg klärt, wem eine Domain zusteht oder wer etwas unterlassen muss, und braucht dafür einen erreichbaren Gegner oder ein Streitverfahren.

Im UDRP-Verfahren müssen Sie zeigen, dass die Domain mit einem Kennzeichen identisch oder verwechselbar ähnlich ist, an dem Sie Rechte haben (in der Praxis fast immer eine eingetragene Marke), dass der Inhaber kein berechtigtes Interesse daran hat und dass sie bösgläubig registriert und genutzt wird. Die WIPO hat 2025 mehr als 6.200 Domain-Fälle bearbeitet, so viele wie nie zuvor, und nur 5 Prozent der Beschwerden abgewiesen. Die Verfahrensgebühr beträgt 1.500 USD für eine bis fünf Domains mit einem Panelisten und 4.000 USD mit dreien.

Für .de-Domains gilt das UDRP nicht. DENIC bietet stattdessen den DISPUTE-Eintrag: Der Inhaber darf die Domain weiter nutzen, aber nicht übertragen, und gibt er sie frei, geht sie an Sie. DENIC schreibt selbst, dass sie keine Phishing-Seiten entfernen kann. Bei einer aktiven .de-Phishing-Seite sind deshalb Hoster und Registrar die Ansprechpartner. Mehr zu den Rechtswegen steht in unserem Cybersquatting-Leitfaden. Dieser Beitrag ist keine Rechtsberatung.

Selbst melden oder einen Takedown-Dienstleister beauftragen?

Eine eindeutige Phishing-Seite bei einem Registrar, der reagiert, erledigen Sie mit diesem Leitfaden in einer Stunde selbst. Schwieriger wird es, wenn ein Proxy den Hoster verdeckt, wenn der Anbieter in einem Land sitzt, in dem E-Mails ins Leere laufen, oder wenn die Seite eine von zwanzig ist.

nebty übernimmt Website- und Domain-Takedowns sowie Phishing-Takedowns auf Abruf. Laut unseren Preisen kostet ein erfolgreicher Takedown 400 Euro on demand oder 300 Euro für Monitoring-Kunden. Bleibt die Seite online, zahlen Sie nichts.

Häufige Fragen