Anleitung · Vertrauen und Datenschutz
So sehen Sie, wohin ein Kurzlink führt, bevor Sie ihn öffnen
Ein Kurzlink verbirgt sein Ziel; das ist zugleich sein Nutzen und sein Risiko. Diese Anleitung zeigt, wie man einen sicher liest, gleich welcher Dienst ihn erstellt hat.
Warum das Ziel verborgen ist
Ein Kürzer ersetzt eine lange Adresse durch einen kurzen Code, und der Code sagt nichts darüber, wohin er führt. OWASP zählt ungeprüfte Weiterleitungen zu den klassischen Schwachstellen, weil eine vertrauenswürdig wirkende Adresse den Leser anderswohin schicken kann.
Die sichtbare Kurzadresse sagt, wer den Kürzer betreibt. Sie sagt nicht, wer den Link erstellt hat oder wohin er führt.
Was sich ohne Öffnen prüfen lässt
- Der Absender. Wer hat ihn geschickt, und wollte er das? Ein Link von einem gekaperten Konto trägt einen vertrauten Namen.
- Die Nachricht drumherum. Dringlichkeit, ein Gewinn, eine Drohung wegen eines Kontos: Der Wortlaut verrät oft mehr als die Adresse.
- Eine Vorschau, wo der Dienst eine bietet. Bei diesem Dienst öffnet ein kostenloser Link eine Seite, die das vollständige Ziel und den eigenen Titel des Ziels zeigt, bevor etwas davon geladen wird. Hat der zugesandte Kürzer keine Vorschau, ist das eine Information.
- Der Code selbst. Codes haben keine Bedeutung, nichts darin ist also in die eine oder andere Richtung ein Beweis.
Wann man aufhören sollte
Ist das Ziel nicht das erwartete, machen Sie nicht weiter. Eine seriöse Seite, die Sie über die selbst getippte Adresse erreichen, ist sicherer als jeder Link.
Melden Sie einen Link, der zu etwas Schädlichem führt. Bei diesem Dienst sitzt die Meldefunktion auf der Vorschauseite, und ein gemeldeter Link funktioniert während der Prüfung nicht mehr.
Fragen
Lässt sich ein Kurzlink prüfen, ohne ihn zu öffnen?
Oft ja: Absender, Nachricht und eine Vorschauseite zeigen viel. Bei diesem Dienst gibt die Vorschauseite zuerst das vollständige Ziel aus.
Ist der Code eines Kurzlinks ein Hinweis?
Nein. Ein Code hat keine Bedeutung und ist daher weder Beweis für Sicherheit noch für Gefahr.
Was, wenn der Kürzer keine Vorschau hat?
Den Absender nach der ursprünglichen Adresse fragen oder die Seite über den selbst getippten Namen aufrufen.
Quellen
Die Dokumente, auf denen die Aussagen dieser Anleitung ruhen. Jeder Link öffnet in einer neuen Seite.