Punycode und internationalisierte Domainnamen erklärt

Punycode ist eine Kodierung, mit der Unicode-Zeichen in internationalisierten Domainnamen ASCII-kompatibel dargestellt werden. Eine Domain mit Umlauten oder anderen landessprachlichen Zeichen erscheint in technischen Daten deshalb unter Umständen als Label, das mit xn-- beginnt. Die Kodierung ändert nur die Darstellung; sie belegt nicht, dass eine Website echt ist.

Unicode-Labels und DNS-Labels

Menschen sehen oft ein Unicode-Label, das sogenannte U-Label. Sein ASCII-kompatibles Gegenstück ist das A-Label, das mit xn-- beginnt, wenn Punycode im Spiel ist. Jedes geeignete Label zwischen zwei Punkten wird einzeln verarbeitet. Die Umwandlung kodiert keine ganze URL: Für Schema, Pfad und Abfrage gelten andere Regeln.

So hat das IDN-Testlabel bücher das A-Label xn--bcher-kva. Beide Formen bezeichnen dasselbe Domain-Label, sofern sie nach den geltenden IDNA-Regeln verarbeitet werden. Registries können zusätzlich einschränken, welche Labels sich tatsächlich registrieren lassen.

Warum sich die Anzeige ändern kann

Ein Browser zeigt je nach Sicherheits- und Spracheinstellungen bei einer Domain die Unicode-Form und bei einer anderen das A-Label. Kopieren Sie eine URL in ein Diagnosewerkzeug, kann daher eine unbekannte xn---Zeichenfolge auftauchen. Bei vielen internationalisierten Namen ist das normal und für sich genommen kein Hinweis auf einen Angriff.

Zeichen aus verschiedenen Schriftsystemen können sich jedoch zum Verwechseln ähneln. Eine täuschende Domain kann einer bekannten Marke gleichen, obwohl ihr andere Codepunkte zugrunde liegen. Punycode kodiert diese Zeichen getreu; es erkennt keine Identitätstäuschung, prüft nicht die Inhaberschaft und bewertet nicht den Inhalt einer Website.

Eine verdächtige Adresse prüfen

Lesen Sie den vollständigen Hostnamen samt Domainendung, bevor Sie Zugangsdaten eingeben. Vergleichen Sie ihn mit einem vertrauenswürdigen Lesezeichen oder der von der Organisation veröffentlichten Adresse. Seien Sie bei Links in dringlich formulierten Nachrichten vorsichtig und prüfen Sie den Namen im Zertifikat, wenn der Browser eine Warnung anzeigt.

Konvertierungswerkzeuge zeigen die Unicode- und die ASCII-Form, die Umwandlung allein ist aber kein Sicherheitsurteil. Registrierungsdaten können zusätzlichen Kontext liefern, doch private oder eingeschränkte Einträge belegen nicht die Identität eines Absenders. Rufen Sie den Dienst im Zweifel selbst auf, statt dem fragwürdigen Link zu folgen.

Halten Sie bei der Dokumentation eines verdächtigen Namens sowohl die Unicode-Form als auch das A-Label fest. So kann ein Unterschied beim Kopieren und Einfügen oder in der Schriftart nicht verschleiern, welche Domain genau aufgerufen wurde.

Wenn Sie Belege für einen verdächtigen Link sichern, kopieren Sie sowohl die sichtbare Unicode-Schreibweise als auch das zugehörige A-Label. Eine andere Schriftart oder eine automatische Linkvorschau kann verbergen, welche Zeichen tatsächlich verwendet wurden. Notieren Sie außerdem die vollständige URL getrennt von der Domain; ein irreführender Pfad kann auch unter einem legitimen Host stehen.

Auch IDNs nutzen die normalen DNS-Mechanismen

Nach der Umwandlung verhält sich ein A-Label im DNS wie jedes andere gültige Label: Delegation, Caching, DNSSEC und Eintragstypen gelten weiterhin. Funktioniert ein Unicode-Name nicht, vergleichen Sie die genaue ASCII-Form und die DNS-Antworten, statt sich allein auf die Anzeige im Browser zu verlassen.