Ein Kurzlink verbirgt, wohin er führt. Das ist der Zweck – und genau deshalb liebt Phishing ihn. Wenn Ihnen jemand example.link/x7g2 schickt, fehlt ausgerechnet das, woran Sie einen Link sonst beurteilen würden: die Domain.

Also: Sind Kurzlinks sicher? Die ehrliche Antwort lautet, dass nicht der Link das Risiko ist, sondern das Ziel. Ein Kurzlink ist eine Weiterleitung, und eine Weiterleitung ist nur so vertrauenswürdig wie das, was am Ende steht. Im Folgenden geht es darum, wie Sie dieses Ende sehen, bevor Sie sich darauf einlassen.

Vorschau statt Besuch

Die einfachste Prüfung ist, erst zu schauen und dann zu springen. Viele Kürzungsdienste bieten eine Vorschau, die das Ziel zeigt, ohne Sie hinzuschicken. Auf urlik.xyz zeigen Links im Vorschaumodus Titel, Beschreibung und Host des Ziels auf einer Zwischenseite – Sie entscheiden also mit der Domain vor Augen und nicht erst, wenn Sie schon gelandet sind.

Daneben gibt es Expander-Dienste von Drittanbietern, die einen Kurzlink auflösen und die finale URL ausgeben. Beide Wege beantworten dieselbe Frage: Wo führt das hier eigentlich hin?

Das Ziel lesen wie ein Profi

Sobald Sie die finale URL sehen, lesen Sie sie richtig – denn hier stirbt das meiste Phishing:

  • Lesen Sie die Domain von rechts nach links. Die echte Domain ist der Teil unmittelbar vor dem ersten einzelnen Schrägstrich. Bei paypal.com.secure-login.xyz/account lautet die Domain secure-login.xyz und eben nicht PayPal. Alles links davon ist Dekoration.
  • Achten Sie auf Doppelgänger.rnicrosoft.com, paypa1.com, arnazon.com. Seriöse Marken tun sich so etwas nicht selbst an.
  • Misstrauen Sie der Dringlichkeit. „Ihr Konto wird in 24 Stunden gesperrt“ ist keine IT-Richtlinie, sondern eine Methode. Zeitdruck soll Sie davon abhalten, die Domain zu lesen.
  • HTTPS ist kein Gütesiegel. Das Schloss bedeutet, dass die Verbindung verschlüsselt ist, nicht dass die Seite ehrlich ist. Phishing-Seiten haben auch Zertifikate – die sind kostenlos.
  • Geben Sie nie Zugangsdaten über einen Link ein. Wenn eine Nachricht behauptet, Ihre Bank brauche Sie, schließen Sie sie und tippen die Adresse der Bank selbst ein. Diese eine Gewohnheit hebelt fast jedes Zugangsdaten-Phishing aus, ganz ohne Fachwissen.

Den Absender beurteilen, nicht nur den Link

Den größten Teil der Arbeit erledigt der Kontext. Ein Kurzlink von einer Kollegin in einem Thread, in dem Sie ohnehin gerade schreiben, ist etwas anderes als ein Kurzlink in einer SMS von einer unbekannten Nummer, zu einem Paket, das Sie nie bestellt haben. Unaufgefordert plus kurz plus dringend – das ist die Form nahezu jedes Phishing-Versuchs.

Achten Sie auch darauf, wer Kurzlinks nicht benutzt. Ihre Bank muss keine Zeichen sparen. Echte Institutionen verlinken auf ihre eigene Domain.

Was ein anständiger Kürzungsdienst beisteuert

Verantwortungsvolle Anbieter verteilen nicht einfach Weiterleitungen und hoffen das Beste:

  • Prüfung. Ziele werden gegen Malware- und Phishing-Blocklisten abgeglichen, bekannte Übeltäter schon beim Anlegen abgelehnt.
  • Vorschaumodus. Eine Zwischenseite, die das Ziel zeigt, bevor es weitergeht.
  • Meldefunktion. Eine Möglichkeit für jeden, einen Link zu melden, damit er gesperrt werden kann. Bei urlik trägt jede Vorschauseite einen Melden-Link.
  • Sperrung. Die Fähigkeit, einen aktiven Link in dem Moment abzuschalten, in dem er sich als bösartig bestätigt – weshalb der Umgang mit Missbrauch mehr zählt als jede Funktionsliste.

urlik macht alle vier. Keine Prüfung erwischt allerdings alles – eine brandneue Phishing-Domain ist in ihren ersten Stunden für jede Blockliste unbekannt. Betrachten Sie die Prüfung als Netz, nicht als Garantie.

Wenn Sie selbst der Absender sind

Kurzlinks werden wegen der Betrüger schief angesehen, und diesen Verdacht erben Sie. Den größten Teil davon können Sie zurückgeben:

  • Nutzen Sie einen lesbaren Alias./spring-sale sagt der Leserin, worum es geht. /a8f2k1 sagt gar nichts und sieht maschinell aus.
  • Nutzen Sie Ihre eigene Domain. Ein gebrandeter Kurzlink trägt Ihren Namen in der Domain und stellt damit das Vertrauenssignal wieder her, das ein generischer Kürzungsdienst kassiert – der mit Abstand größte Hebel. Siehe gebrandete Kurzlinks.
  • Sagen Sie, wohin es geht. „Alle Preise auf unserer Seite: urlik.xyz/pricing“ schlägt jeden nackten Link.
  • Verketten Sie keine Kürzungsdienste. Jeder zusätzliche Sprung kostet Zeit und sieht nach Verschleierung aus.
  • Setzen Sie Passwort oder Ablauf, wo es passt. Ein Link, der nur für den vorgesehenen Empfänger funktioniert oder nur bis Freitag, begrenzt den Wert eines Lecks. Für wirklich sensibles Material schlägt ein einmaliger verschlüsselter Drop jeden Link, den Sie irgendwo herumliegen lassen.

Schaden Kurzlinks SEO oder Zustellbarkeit?

Zwei praktische Sorgen, die eine Antwort verdienen. Für SEO gilt: Ein Kürzungsdienst, der eine saubere Weiterleitung ausliefert, gibt die Autorität an das Ziel weiter – Kurzlinks in Social Posts sind also kein Ranking-Problem. Nur für die interne Navigation Ihrer eigenen Seite haben sie nichts verloren, dort ist der direkte Link schlicht das Richtige. Bei E-Mail sind seriöse Dienste unproblematisch, aber ein Kürzungsdienst, dessen Domain in Spam ertrinkt, kann Ihre Nachricht in den Junk-Ordner ziehen. Mit der eigenen Domain umgehen Sie das komplett.

Kurz gefasst

Kurzlinks sind ein Werkzeug. Sie sind sicher, wenn Sie sehen können, wohin sie führen, und dem Absender trauen – und gefährlich, wenn beides fehlt. Vorschau vor dem Klick, Domain von rechts nach links lesen, niemals ein Passwort auf einer Seite eingeben, zu der ein Link Sie gebracht hat. Und wenn Sie senden: Branden Sie Ihre Links, damit niemand Ihnen blind vertrauen muss. Falls das alles neu für Sie ist, beginnen Sie bei der Frage, was ein URL-Shortener überhaupt ist.