The Tool Desk
Outbyte PC Repair FREERepair Windows errors before they cause bigger problemsFix Now →Outbyte Driver Updater FREEFix the driver behind crashes, sound loss and screen glitchesFind Drivers →Pharming leitet Sie auf eine gefälschte Website um, obwohl Sie die richtige Webadresse eingegeben oder ein korrektes Lesezeichen geöffnet haben. Manipuliert wird nicht nur Ihre Aufmerksamkeit, sondern die technische Zuordnung eines Domainnamens zu einer IP-Adresse. Dadurch können Kriminelle Passwörter, Zahlungsdaten und Sitzungstoken abfangen. Die wirksamste Gegenmaßnahme ist ein mehrschichtiger Schutz aus aktuellen Geräten, einem abgesicherten Router, kontrollierten DNS-Einstellungen, Malware-Schutz und passkeys oder Mehrfaktor-Authentifizierung.
Was ist Pharming?
Beim Pharming wird die Weiterleitung einer Webadresse manipuliert. Der Browser erhält für eine legitime Domain eine falsche IP-Adresse und lädt dadurch eine täuschend echte Kopie oder eine Schadsoftware-Seite. Das kann ein einzelnes Gerät, den gesamten Haushalt oder ein größeres Netzwerk betreffen. Typische Ziele sind Zugangsdaten, Kreditkarten- und Kontoinformationen, Session-Daten sowie die Installation weiterer Schadsoftware. Eine verständliche Einführung bietet Malwarebytes.
As an Amazon Associate I earn from qualifying purchases.
Pharming wird häufig als technische Variante des Phishings bezeichnet, die Methoden können aber kombiniert werden: Eine Phishing-Nachricht kann zunächst Schadsoftware einschleusen, die anschließend die Namensauflösung manipuliert.
| Merkmal | Phishing | Pharming | DNS-Hijacking |
|---|---|---|---|
| Hauptangriff | Täuschung durch Nachricht, Anzeige oder Link | Manipulation der technischen Weiterleitung | Manipulation der DNS-Auflösung |
| Falsche Adresse erforderlich? | Meistens ja | Nicht unbedingt | Nicht unbedingt |
| Typischer Angriffspunkt | E-Mail, SMS oder Website | Gerät, Router, DNS-Resolver oder Netzwerk | Router, Resolver oder DNS-Infrastruktur |
| Reichweite | Einzelne Empfänger | Ein Gerät bis zu mehreren Geräten | Ein Netzwerk bis zu größerer Infrastruktur |
DNS-Hijacking ist eine häufige technische Ursache eines Pharming-Szenarios, aber nicht jede DNS-Manipulation ist automatisch Pharming.
#1 Best Overall
Wie funktioniert der Angriff?
Normale DNS-Auflösung
Wenn Sie beispiel.de aufrufen, muss Ihr Gerät die zugehörige IP-Adresse ermitteln. Zuerst werden lokale Daten wie DNS-Cache und Hosts-Datei geprüft. Danach fragt das Gerät den eingestellten DNS-Resolver. Die gelieferte IP-Adresse bestimmt, zu welchem Server der Browser die Verbindung aufbaut.
Domainname
↓
Hosts-Datei oder lokaler DNS-Cache
↓
Router oder DNS-Resolver
↓
IP-Adresse
↓
WebsiteManipulierte Hosts-Datei
Schadsoftware kann die lokale Zuordnung in der Hosts-Datei überschreiben. Ein Eintrag wie bank-beispiel.de 203.0.113.50 weist dann auf einen fremden Server, bevor überhaupt ein normaler DNS-Server gefragt wird. Die Datei liegt typischerweise unter C:WindowsSystem32driversetchosts (Windows) beziehungsweise /etc/hosts (Linux und macOS). Ungewöhnliche Einträge für Banken, E-Mail- oder Sicherheitsseiten sind ein ernstes Warnsignal. Ändern oder löschen Sie die Datei nicht blind, sondern lassen Sie sie durch Sicherheitssoftware oder eine Fachperson prüfen. Die Rolle der Hosts-Datei wird unter anderem in der Wikipedia-Erklärung zu Pharming beschrieben.
Manipulierter Heimrouter
Ein Angreifer kann die DNS-Server des Routers ändern. Ursachen sind etwa ein Standardpasswort, ungepatchte Firmware, offene Fernverwaltung oder Schadsoftware im lokalen Netz. Dann erhalten mehrere Geräte dieselbe falsche Auflösung; ein sauberer Computer bleibt gefährdet, solange er diesen Router verwendet.
Microsoft dokumentierte am 7. April 2026 eine Kampagne, in der kompromittierte SOHO-Geräte für DNS-Hijacking und Angriffe auf TLS-Verbindungen missbraucht wurden. Das ist ein konkreter Kampagnenbericht, keine Häufigkeitsangabe für alle Pharming-Fälle: Microsoft Security Blog.
DNS-Cache-Poisoning
Beim DNS-Cache-Poisoning versucht ein Angreifer, falsche Datensätze in den Cache eines DNS-Resolvers einzuschleusen. Das BSI beschreibt dabei unter anderem den möglichen Einsatz fragmentierter DNS-Antworten. Ob ein solcher Angriff gelingt, hängt von technischen Voraussetzungen und der Konfiguration des jeweiligen Resolvers ab.
Weitere Angriffspunkte
Manipuliert werden können auch ein lokaler DNS-Server, ein kompromittiertes WLAN oder ein Netzwerkdienst. Pharming beschreibt dabei die Wirkung – die Umleitung zur falschen Website – und nicht einen einzigen Schadcode.
Welche Schäden sind möglich?
- Diebstahl von Benutzernamen und Passwörtern
- Erfassung von Kreditkarten-, Konto- oder vollständigen Sicherheitsdaten
- Übernahme von E-Mail-, Cloud- und Social-Media-Konten
- Manipulation von Transaktionen
- Installation weiterer Schadsoftware
- Ausspähung von Unternehmenszugängen
- Dauerhafte Änderungen an Router-, Browser- oder Geräteeinstellungen
Eine gefälschte Bankseite kann HTTPS verwenden und dennoch betrügerisch sein. Entscheidend ist nicht nur die Verschlüsselung, sondern ob Domain, Zertifikatswarnungen, Formulare und der Anlass des Aufrufs zusammenpassen.
What’s actually slowing this PC down?
Pick the symptom - the matching free tool is one click away.
Woran erkennt man Pharming?
- Eine bekannte Website sieht plötzlich anders aus oder verlangt ungewöhnliche Zusatzdaten.
- Die eingegebene oder gespeicherte Adresse führt zu einer fremden Domain.
- Browser- oder Sicherheitsseiten sind nicht erreichbar; Schadsoftware kann solche Seiten blockieren (Malwarebytes).
- Mehrere Geräte im selben WLAN zeigen dieselbe falsche Seite.
- DNS-Server, DHCP-Optionen oder Administratoren im Router wurden ohne Ihr Zutun geändert.
- Die Startseite oder Suchmaschine springt wiederholt um.
- Es erscheinen Zertifikatswarnungen.
- Eine Bank verlangt vollständige PIN-, Karten- oder ungewöhnliche Einmalcode-Daten.
Nicht jede Umleitung ist Pharming. Browser-Hijacking, Adware, eine fehlerhafte Startseite, eine legitime Weiterleitung, ein Tippfehler, ein DNS-Problem ohne Angreifer oder ein kompromittierter Website-Server kommen ebenfalls infrage. Der BSI-Leitfaden zu Browserrisiken erläutert solche lokalen Ursachen.
Pharming verhindern
Router absichern
- Installieren Sie die aktuelle Firmware.
- Ersetzen Sie das Standard-Administrationspasswort durch ein langes, individuelles Passwort.
- Deaktivieren Sie die Fernverwaltung, wenn Sie sie nicht benötigen, und machen Sie die Verwaltung nicht aus dem Internet erreichbar.
- Kontrollieren Sie DNS-Server, DHCP-Einstellungen, Administratoren und Portfreigaben.
- Nutzen Sie WPA3, ersatzweise WPA2, mit einem eigenen WLAN-Passwort. Das BSI empfiehlt diese Konfiguration.
- Bei konkretem Verdacht: Werksreset durchführen und vollständig neu konfigurieren. Spielen Sie eine möglicherweise manipulierte Sicherung nicht ungeprüft zurück.
Nach dem Reset müssen Administrations- und WLAN-Zugang, Internetdaten, DNS, Portfreigaben, VPN, Gastnetz und automatische Updates neu gesetzt beziehungsweise geprüft werden.
Geräte und Software aktualisieren
Aktualisieren Sie Betriebssystem, Browser, Router, Sicherheitssoftware, PDF-Programme, Plug-ins, Apps und andere Netzwerkgeräte zeitnah. Das BSI weist darauf hin, dass Browser laufend Sicherheitslücken enthalten können und Updates deshalb wichtig sind: Sicherheitsirrtümer des BSI.
DNS, Hosts-Datei und Proxy prüfen
Prüfen Sie DNS-Server im Router und Betriebssystem, DNS-over-HTTPS-Einstellungen, VPN- oder Sicherheitssoftware mit eigener DNS-Funktion, die Hosts-Datei sowie unbekannte Proxy-Einstellungen. Sind mehrere Geräte betroffen, untersuchen Sie zuerst den gemeinsamen Router oder DNS-Dienst statt jedes Gerät einzeln.
Do these 3 things before closing this tab:
1Fix the driver behind crashes, sound loss and screen glitches2Clear out junk files and repair common Windows errors3Scan for outdated or missing drivers - takes under a minuteDoH und DNSSEC richtig einordnen
DNS over HTTPS (DoH) verschlüsselt DNS-Anfragen auf dem Transportweg und erschwert Mithören oder Manipulation in offenen Netzen. Der DoH-Anbieter kann die Anfragen weiterhin sehen; lokale Malware oder eine manipulierte Hosts-Datei werden dadurch nicht beseitigt.
DNSSEC prüft kryptografisch die Integrität und Herkunft von DNS-Daten, sofern Domain, DNS-Zone und Resolver es unterstützen. DoH und DNSSEC verfolgen daher unterschiedliche Ziele. Microsoft erklärt den Unterschied in der Dokumentation zu DNS-Verschlüsselung. Ein weiterer Überblick zu verwaltetem DNS-Schutz steht bei Microsoft Zero Trust DNS.
Sicherheitssoftware und sichere Konten
Nutzen Sie aktuelle Antiviren- oder Endpoint-Schutzsoftware, beziehen Sie Programme aus vertrauenswürdigen Quellen und ignorieren Sie Browser- oder Sicherheitswarnungen nicht (Microsoft-Sicherheitshinweise). Aktivieren Sie für E-Mail, Banking und andere wichtige Konten passkeys oder Mehrfaktor-Authentifizierung. Öffnen Sie kritische Websites über selbst eingegebene Adressen oder geprüfte Lesezeichen und kontrollieren Sie Transaktionsdaten auf einem zweiten vertrauenswürdigen Kanal. Für öffentliche WLANs kann ein VPN den Verkehr bis zum VPN-Endpunkt schützen; es entfernt jedoch keine Schadsoftware auf dem Gerät. Das BSI nennt VPN als ergänzende Schutzmaßnahme.
HTTPS nicht überschätzen
- Bei einer Zertifikatswarnung: Verbindung sofort abbrechen.
- HTTPS auf einer falschen Domain: Die Verbindung kann verschlüsselt, die Seite aber betrügerisch sein.
- Keine Warnung: Das allein beweist nicht die Echtheit der Seite.
Was tun bei Verdacht?
Sofortplan
- Geben Sie keine weiteren Daten ein und bestätigen Sie keine Transaktion.
- Schließen Sie die Seite. Trennen Sie das Gerät vom Netzwerk, wenn eine lokale Infektion möglich ist.
- Prüfen Sie Router und DNS möglichst von einem nachweislich sauberen Gerät.
- Ändern Sie das Router-Administrationspasswort und aktualisieren Sie die Firmware.
- Führen Sie einen vollständigen Malware-Scan durch. Bei unbekannter Schadsoftware oder veränderter Hosts-Datei holen Sie professionelle Hilfe.
- Ändern Sie Passwörter betroffener Konten von einem sauberen Gerät aus und melden Sie aktive Sitzungen ab.
- Informieren Sie Bank, Zahlungsdienst oder Arbeitgeber. Lassen Sie Karten oder Konten bei finanziellem Risiko sperren.
- Sichern Sie URLs, Screenshots, Uhrzeiten, DNS-Einstellungen und verdächtige Dateien als Beweise.
Wenn Zugangsdaten eingegeben wurden
- Kontaktieren Sie sofort den Kontoanbieter beziehungsweise die Bank.
- Ändern Sie das Passwort und alle wiederverwendeten Passwörter.
- Aktivieren Sie passkey oder Mehrfaktor-Authentifizierung.
- Widerrufen Sie aktive Sitzungen, unbekannte App-Berechtigungen und fremde Wiederherstellungsadressen.
- Prüfen Sie Konto- und Zahlungsbewegungen. Bei Firmenkonten schalten Sie die IT-Sicherheitsstelle ein.
Wenn mehrere Geräte betroffen sind
Untersuchen Sie zuerst Router-DNS, Firmware, DHCP, Gastnetz, VPN, lokale DNS-Server und unbekannte Netzwerkgeräte. Ein einzelner sauberer Rechner ist hinter einem kompromittierten Router nicht automatisch geschützt.
Quick wins for a faster PC:
Scan for outdated or missing drivers - takes under a minuteDriver Scan →Clear out junk files and repair common Windows errorsFree Scan →Quick Recap
Häufige Irrtümer
- „Ich habe die Adresse selbst eingegeben.“ Auch eine korrekte Eingabe kann technisch umgeleitet werden.
- „Das Schloss beweist die Echtheit.“ HTTPS verschlüsselt die Verbindung, bestätigt aber nicht automatisch die gewünschte Website.
- „Ein anderer DNS-Server entfernt die Malware.“ Hosts-Datei, Router und Endgerät müssen separat geprüft werden.
- „Nur Windows-PCs sind gefährdet.“ Auch Smartphones, Tablets, Router und andere Netzwerkgeräte können betroffen sein.
- „Cache löschen reicht.“ Das behebt keine DNS-, Hosts- oder Router-Manipulation.
- „Ein Werksreset genügt.“ Firmware, Zugangsdaten, DNS, Portfreigaben und verbundene Geräte müssen anschließend neu geprüft werden.
Kurz-Checkliste
- Router-Firmware aktuell
- Standardpasswort geändert
- Fernverwaltung deaktiviert
- DNS- und DHCP-Einstellungen geprüft
- Hosts-Datei unauffällig
- Browser und Betriebssystem aktuell
- Sicherheitssoftware aktiv
- Passkey oder Mehrfaktor-Authentifizierung aktiviert
- Bank- und wichtige Adressen über geprüfte Lesezeichen geöffnet
- Kontakt zur Bank für Notfälle griffbereit
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
