Offizielle Projekt-Kanäle erkennen – der erste Schritt gegen Phishing
Zuerst die echte Website finden ist wichtiger als alles andere. Der Satz klingt fast banal — so banal, dass ihn viele überspringen. Aber in den allermeisten Betrugsfällen, die mir begegnet sind, lag die Wurzel nicht bei „falsch signiert“, sondern einen Schritt früher: Man ist von Anfang an durch den falschen Eingang gegangen. Ist der Eingang gefälscht, hilft alle spätere Vorsicht nichts, weil die ganze Seite dafür gebaut wurde, dich zu täuschen. Umgekehrt: Nur wenn du sicher weißt, dass du auf der echten Website stehst und mit den echten offiziellen Kanälen zu tun hast, ergibt es überhaupt Sinn, dich gegen Approvals und Signaturen zu wappnen. Der erste Schritt gegen Phishing ist deshalb nie, das Wallet-Popup zu lesen — sondern zu bestätigen: Bin ich gerade wirklich auf dem offiziellen Terrain?
Genau um diesen Schritt geht es hier. Der Artikel ist nicht lang, aber jeder Abschnitt ist eine Handlung, die du direkt umsetzen kannst: wie du gegenprüfst, ob eine Website echt ist, wie du Fake-Websites in Suchanzeigen umgehst, wie du Social-Verifizierung liest und Fake-Konten enttarnst, wie du das Ganze mit Lesezeichen ein für alle Mal löst — und wie du, solange du noch nicht bestätigt hast, den Schaden über deine Wallet-Gewohnheiten begrenzt. Mach diese Punkte zum Reflex, dann hast du den größten Eingang für On-Chain-Phishing verstopft.
Dieser Artikel empfiehlt kein Projekt und prognostiziert keine Token-Kurse. Es geht nur um eine Sache: wie du bestätigst, ob ein Kanal wirklich vom Projekt stammt, und so gefälschte Eingänge vermeidest.
Warum Kanäle zuerst zu prüfen wichtiger ist als alles andere
Zerlegt man Phishing, ist es eine Kette: Der Betrüger baut zuerst einen falschen Eingang (Fake-Website, Fake-Social-Konto, Fake-Support), lockt dich hinein und lässt dich dort ein Approval oder eine Signatur setzen, um am Ende die Wallet zu leeren. Auf dieser Kette ist der erste Ring der Punkt, der sich am leichtesten abfangen lässt. Denn jeder spätere Ring verlangt von dir eine präzise Entscheidung unter Anspannung und mit unvollständiger Information (ein Approval-Popup korrekt zu lesen ist nicht leicht), während der erste Ring nur eine ruhige Frage braucht: Woher kommt dieser Eingang, und ist er offiziell? Das eine ist schwer, das andere einfach. Die Mühe an der einfachen Stelle zahlt sich am meisten aus.
Dazu ein praktischer Grund: Ein falscher Eingang kostet fast nichts. Eine ähnliche Domain zu registrieren, eine Seite zu klonen, ein Fake-Social-Konto zu bauen, ist für Betrüger Sache von Minuten — deshalb schwirren um dasselbe Projekt oft gleich mehrere falsche Eingänge herum. Du kannst dich nicht darauf verlassen, „zu wissen, wie die echte Website aussieht“, denn die Fälschung ist exakt nach dem Original gebaut, mit bloßem Auge kaum unterscheidbar. Unterscheiden lässt sich nur eins: ob ihre Herkunft einer Gegenprüfung standhält. Genau deshalb ist das Prüfen offizieller Kanäle eine eigenständige Fähigkeit, für die es sich lohnt, gezielt Zeit aufzuwenden — und keine Intuition nach dem Motto „ein Blick genügt“.
Ordne es in die gesamte Verteidigungslinie ein: Offizielle Kanäle zu erkennen ist Schritt eins, die Warnsignale von Fake-Airdrops zu erkennen Schritt zwei (siehe Warnsignal-Checkliste), Approvals und Signaturen zu verstehen Schritt drei (siehe Fake-Airdrops & Phishing). Dieser Artikel widmet sich Schritt eins; hütest du die Tür gut, sinkt der Druck auf die beiden folgenden Schritte spürbar.
Website bestätigen: gegenprüfen, Anzeigen misstrauen
Die Kernmethode zur Website-Bestätigung passt in ein Wort: gegenprüfen. Heißt: Vertrau keiner einzelnen Quelle, die dir einen Link gibt, sondern lass mehrere voneinander unabhängige, vertrauenswürdige Quellen auf dieselbe Domain zeigen — erst wenn sie sich decken, glaubst du es. So geht es konkret.
Über unabhängige, autoritative Quellen gegenprüfen
Viele autoritative Krypto-Datenaggregatoren führen auf der Projektseite Felder wie „offizielle Website“ und „offizielle Social-Kanäle“, und diese Felder sind meist bis zu einem gewissen Grad geprüft. Die kannst du als einen Pol der Gegenprüfung nutzen. Such das Projekt etwa in einem etablierten Aggregator und sieh dir die dort gelisteten offiziellen Links an; hat das Projekt einen Contract, kannst du außerdem auf der Token-/Contract-Seite im Block-Explorer Etherscan die dort hinterlegte offizielle Website und die Social-Angaben ansehen (viele verifizierte Contracts führen diese mit; wie Contract-Verifizierung funktioniert, erklärt die Etherscan-Dokumentation). Leg die von zwei, drei Stellen genannten Domains nebeneinander: Zeigen sie alle auf dieselbe, ist die Glaubwürdigkeit deutlich höher; passt eine Quelle nicht zu den anderen, gehört sie mit einem Fragezeichen versehen.
Der Kern der Gegenprüfung ist „Quellen sind voneinander unabhängig“. Wenn drei Links in Wahrheit alle aus demselben Tweet stammen, ist das nur dieselbe Quelle dreimal — keine Gegenprüfung. Erst wenn sich unabhängige Quellen wie Aggregator, Block-Explorer und projekteigene Kanäle decken, zählt es. Wer verstehen will, warum eine dezentrale Domain nicht automatisch für Vertrauen bürgt, findet in der Sicherheits-Übersicht der Ethereum Foundation die Grundlagen.
Fake-Websites in Anzeigen misstrauen
Eine der häufigsten Fallen: Man sucht den Projektnamen in der Suchmaschine und klickt auf das oberste Ergebnis. Das Problem ist, dass ganz oben oft eine Anzeige steht — und Anzeigenplätze lassen sich kaufen. Betrüger buchen die Anzeige für ihre Fake-Website, sodass sie über der echten Seite erscheint; du glaubst, du klickst auf Platz eins (offiziell), landest aber auf der Fälschung. Deshalb eine harte Regel: Beim Suchen nach Krypto-Projekten nicht auf Links mit dem Vermerk „Anzeige/Gesponsert“ ganz oben klicken. Willst du wirklich über die Suche rein, scroll zu den organischen Treffern und bestätige nach dem Öffnen die Domain sofort noch einmal mit der Gegenprüfung von oben.
Prüf die Domain zeichenweise, denn die Verräter der Betrüger stecken im Detail: ein Buchstabe zu viel oder zu wenig, ein Buchstabe durch ein ähnliches Zeichen ersetzt (kleines l als 1, o als 0), eine andere Endung (.io wird zu .org / .xyz / .app), der Projektname als Subdomain vor einer fremden Hauptdomain. Beim flüchtigen Blick schwer zu sehen, beim zeichenweisen Vergleich sofort entlarvt. Neben der Domain gehört auch die Contract-Adresse geprüft, mit der du interagieren sollst — selbst bei korrekter Domain kann sie ausgetauscht sein. Prüf sie vor der Interaktion im Block-Explorer nach oder bestätige mit dem Tool Fake-Airdrop-Check, dass nichts verfälscht oder vertauscht wurde. Diese detailreichen Warnsignale listen wir vollständiger in der Warnsignal-Checkliste.
Social-Verifizierung und Fake-Konten
Neben der Website ist das Social-Konto der zweite häufig gefälschte Eingang, weil unzählige Airdrop-Infos und Claim-Links über die Social-Kanäle der Projekte laufen. Fake-Konten imitieren Avatar, Name, Bio und Posting-Stil täuschend echt, teils kopieren sie sogar alte Tweets — mit bloßem Auge kaum auf Anhieb zu unterscheiden. Beim Beurteilen nicht nur auf „sieht ähnlich aus“ schauen, sondern auf diese härteren Signale.
- Passt der Verifizierungshaken zu den Kontodaten? Der Haken ist nur ein Anhaltspunkt, kein Freibrief (auf manchen Plattformen lässt sich Verifizierung kaufen). Betrachte ihn zusammen mit Registrierungsdatum, Follower-Zusammensetzung und der Kontinuität der Post-Historie. Ein gestern erstelltes Konto, das sich als Offizielles eines alten Projekts ausgibt, ist schon für sich ein Warnsignal.
- Von einer vertrauenswürdigen Quelle rückwärts finden, nicht das Erstbeste glauben. Such nicht in den sozialen Medien nach dem Projektnamen und glaub dem obersten Treffer. Der richtige Weg: erst mit der Methode aus Abschnitt 2 die echte Website bestätigen, dann über den Social-Link im Footer/auf der Seite der Website hinausklicken — das ist das offizielle Konto. Lass die Website für das Social-Konto bürgen, nicht umgekehrt.
- Schau, was man von dir will. Selbst bei einem echten offiziellen Konto solltest du auf Phishing-Links nach einer Kontoübernahme achten (das ist vorgekommen). Am Ende zählt also wieder das Aktions-Urteil: Fordert dich ein Kanal auf, eine Seed-Phrase einzugeben, vorab eine Gebühr zu zahlen oder beim „Claimen“ blind ein Approval zu signieren — behandle es als Betrug, egal wie offiziell es wirkt.
Eine eigene Kategorie ist der Fake-Support. Du fragst im Kommentarbereich oder in einer Gruppe, und sofort schreibt dich ein „offizieller Support“ per DM an — das ist fast sicher gefälscht. Seriöse Projekte melden sich kaum je von selbst, und echter Support fordert dich nicht per DM auf, deine Wallet zu verbinden oder die Seed-Phrase herauszugeben. Setz „wer sich ungefragt bei mir meldet, ist verdächtig“ als Standard, das blockt eine ganze Klasse von Social-Engineering. Diesen und weitere typische Anfängerfehler behandeln wir zusammen in Fake-Airdrops & Phishing.
Fake-Konten treten oft mit einem Countdown auf: Im Kommentarbereich fluten sie „zeitlich begrenzte Claim“-Links und erzeugen den Druck „wer zögert, verliert“. Bei jeder Drängelei ist die richtige Reaktion langsamer statt schneller — erst zurück auf die Website, gegenprüfen, dann entscheiden.
Offizielle Seiten als Lesezeichen speichern
Die eben beschriebene Gegenprüfung ist die Hausaufgabe für den ersten Kontakt mit einem Projekt. Aber du kannst nicht bei jedem Besuch von vorn prüfen — das ist mühsam und verleitet unter Zeitdruck zur Bequemlichkeit. Die Lösung ist extrem simpel und wird stark unterschätzt: Speicher die bestätigten offiziellen Seiten als Lesezeichen und geh danach immer über das Lesezeichen hinein.
Konkret: Sobald du per Gegenprüfung die echte Website, die echten Social-Kanäle und die Tools, die du regelmäßig nutzt (etwa Block-Explorer, Approval-Widerruf-Tool), bestätigt hast, nimm sie in die Browser-Lesezeichen auf und leg einen Ordner „Krypto“ an. Danach klickst du beim Besuch immer aus dem Lesezeichen, nie mehr aus dem Suchfeld. Der Vorteil: Die riskante Sache „echt oder falsch beurteilen“ verwandelt sich von „bei jedem Mal neu“ in „nur beim ersten Mal einmal“, danach umgehst du über den vertrauenswürdigen Pfad des Lesezeichens automatisch alle falschen Eingänge — du klickst nie wieder unter Zeitdruck auf eine Anzeige und fällst herein.
Speicher auch deine häufig genutzten Sicherheits-Tools als Lesezeichen, besonders das Widerruf-Tool revoke.cash und den Block-Explorer Etherscan. Auch solche Tools werden gefälscht, und wenn es brennt, bist du in Panik und klickst leichter auf die falsche Version. Ein vorab gesetztes Lesezeichen verhindert, dass du im entscheidenden Moment ein zweites Mal in die Falle tappst.
Die Gewohnheit wirkt unscheinbar, zahlt sich aber stark aus, weil sie den Phishing-Schutz von „hängt an deinem Urteil in jedem einzelnen Moment“ auf „hängt an einem einmalig gebauten, vertrauenswürdigen Pfad“ umstellt. Urteilskraft versagt durch Müdigkeit, Eile und Gier; ein Lesezeichen nicht. Ich selbst gehe inzwischen praktisch nie mehr über die Suche auf eine Krypto-Seite, sondern immer über Lesezeichen — allein das schaltet die ganze Klasse der vergifteten Suchwerbung aus.
Vor der Bestätigung keine große Wallet verbinden
Der letzte Punkt ist das Sicherheitspolster für „noch nicht vollständig bestätigt“. Die Realität ist: Du kannst nicht jedes Mal hundertprozentig sicher sein, dass eine neue Seite echt ist — mal fehlen Infos, mal willst du einfach erst hineinschauen. Genau diese unbestätigten Momente sind die gefährlichsten. Die Lösung ist nicht, dich zu zwingen, immer zuerst alles bis auf den Grund zu prüfen, sondern das Risiko über eine Wallet-Gewohnheit zu deckeln: Bevor du bestätigt hast, dass etwas offiziell ist, verbinde es nicht mit der Wallet, in der große Assets liegen.
Konkret heißt das: Wallets aufteilen. Mindestens zwei Ebenen — eine „Tresor-Wallet“, die nur langfristige Assets hält, sich kaum je mit fremden Seiten verbindet und am besten eine Hardware-Wallet ist; und eine „Test-Wallet“ eigens dafür, neue Seiten zu verbinden, neue Airdrops anzusehen und Aufgaben zu erledigen, in der nur ein kleiner Betrag liegt, den du verschmerzen kannst. So bleibt der Schaden, selbst wenn die Test-Wallet auf einer Fake-Seite versehentlich etwas freigibt, auf diesen kleinen Betrag gedeckelt, während der Tresor unangetastet bleibt. Das ist die kosteneffizienteste Verteidigungslinie, weil sie kein treffsicheres Urteil verlangt, sondern nur, dass du die Eier vorab auf mehrere Körbe verteilst.
Erscheint nach dem Verbinden ein Popup, das ein Approval oder eine Signatur verlangt, geh zurück zum Aktions-Urteil: Beim Claim eines Airdrops sollten die Coins zu dir fließen, nicht du das Recht abgeben, über deine Assets zu verfügen; verlangt „Claimen“ ein approve, setApprovalForAll, permit oder eine unlesbare Blind-Signatur, halt an. Die Technik dahinter und die Rettungsschritte behandeln wir ausführlich in Fake-Airdrops & Phishing; die offiziellen Erklärungen der Wallets zu riskanten Signaturen findest du im MetaMask-Support-Center, und wer die Grundlagen solide angehen will, liest sie bei der Ethereum Foundation nach.
Der Artikel in einem Satz: Phishing-Schutz beginnt am Eingang, nicht am Popup. Bestätige mit Gegenprüfung die echte Website und die echten Kanäle, umgeh die Anzeigen, enttarne Fake-Konten, speicher das Bestätigte allesamt als Lesezeichen und geh im Alltag nur über Lesezeichen; solange nicht bestätigt, deckle den Schaden über getrennte Wallets. Diese Schritte sind für sich nicht kompliziert — schwer ist nur, sie zur Gewohnheit zu machen, die jedes Mal automatisch abläuft. Hast du das geschafft, blockst du am mühelosesten Ring den Großteil des On-Chain-Phishings gegen Privatanleger ab. Willst du einen konkreten Fall durchgehen, nutz dazu den Fake-Airdrop-Check.