Kurz-URLs - ein Sicherheitsrisiko?

Lösung: Leider haben diese Kurz-URLs oder Kurzlinks tatsächlich ihre Tücken, denn man sieht ihnen nicht an, wohin sie führen. Dabei wären sie so praktisch: In E-Mails sind lange Webadressen oft nicht mehr klickbar, weil sie auf mehrere Zeilen umbrechen. Das passiert mit einem Kurzlink nicht. Ab Papier ist der Kurzlink natürlich schneller abgetippt als eine lange URL wie jene des Artikels, den Sie jetzt gerade lesen: «http://www.pctipp.ch/tipps-tricks/kummerkasten/internet/artikel/kurz-urls-ein-sicherheitsrisiko-48207/». Auch auf Twitter kommen Kurzlinks wie gerufen, weil man die knappen 140 Zeichen nicht mit einer langen URL verschwenden möchte. Twitter kürzt übrigens sowieso jeden Link automatisch über den hauseigenen t.co-Kürzungsdienst - ob Sie das wollen oder nicht.

Wenn Sie einem Twitter-Link begegnen, brauchen Sie sich wenig (bedeutet nicht «keine») Sorgen zu machen, weil Twitter über eingebaute Sicherheitsmechanismen die verlinkten Seiten prüft und jene mit Phishing- oder Malwareverdacht sperrt.

Zum Leidwesen von PC-Anwendern haben Spammer und Virenschreiber Dienste wie TinyURL.com, bit.ly oder goo.gl auch entdeckt. Denen geht es weniger um die Länge des Links, als darum, das wahre Linkziel zu vertuschen. Nach dem Klick auf den Kurzlink wird das Opfer auf eine Webseite der Kriminellen umgeleitet.

Es gibt mehrere Kurzlink-Anbieter. Nur wenige bieten leicht auffindbare Möglichkeiten, die Kurz-URLs wieder zu «entkürzen». Etwa bei TinyURL-Links gibts einen Trick. Nehmen wir das Beispiel http://tinyurl.com/mf9jer. Fügen Sie die Subdomain «preview.» am Anfang des Links ein. Dann erhalten Sie: http://preview.tinyurl.com/mf9jer. Wenn Sie den so angepassten Link aufrufen, sehen Sie eine Zwischenseite von TinyURL. Die zeigt Ihnen an, wohin Sie umgeleitet würden. Im vorliegenden Beispiel steht dort:

Sie würden also damit zur PCtipp-Newsmeldung betreffend Kurzlinks umgeleitet. Wenn Ihnen die wahre Adresse seriös erscheint, klicken Sie auf «Proceed to this site».

Wir empfehlen Ihnen, auch beim Erstellen eines Kurzlinks bzw. bei dessen Weitergabe darauf zu achten, die Preview-Fassung des Links zu verwenden (siehe Ziffer 2 im Screenshot).
Es gibt oder gab Add-Ons, die helfen, unseriöse von seriösen Kurzlinks zu unterscheiden. Die werden jedoch nicht besonders zuverlässig weiterentwickelt. In einer früheren Version dieses Artikels haben wir für Firefox «LongURL Mobile Expander» und «Long URL Please» empfohlen. Jene ersetzen auf Webseiten automatisch die Kurz-URL durch die tatsächliche Adresse oder zeigen diese in einem Popup an. Beim letzten Vorbeischauen bei den genannten Add-Ons war jedoch «LongURL Mobile Expander» nicht mehr mit dem aktuellen Firefox kompatibel und «Long URL Please» scheint derzeit schlichtweg nicht mehr zu funktionieren.

Zum Herausfinden, wohin ein Kurzlink verweist, versuchen Sie es deshalb mit einem Webdienst. Einfach und schnell ist http://urlex.org/ (in einer früheren Fassung des Artikels verlinkten wir auf die Domain «unshort.me», die aber inzwischen Domainhändlern in die Finger gefallen ist). Tippen oder kopieren Sie den Kurzlink Ihres Interesses ins Feld und klicken Sie auf Expand. Er zeigt den Ziel-Link in ungekürzter Fassung an, damit Sie entscheiden können, ob Sie ihn besuchen wollen oder nicht. 

Ein weiterer Dienst ist jener von Virustotal.com. Dieser ist nicht nur in der Lage, den echten Ziel-Link zu enthüllen, sondern gibt auch eine relativ zuverlässige Einschätzung über die Schädlichkeit oder Harmlosigkeit der Ziel-Seite. Dieses Plus an Sicherheit braucht aber ein, zwei Klicks mehr und dauert ein paar Sekunden länger.

So gehts: Besuchen Sie diese Seite https://www.virustotal.com/#url. Tippen oder kopieren Sie die fragliche Kurz-URL ins Feld und klicken Sie auf Scannen. Der Link wird durch mehrere Dutzend Prüfalgorithmen [1] gejagt, dann erscheint das Resultat. Sie erfahren zuerst, ob Sie die Seite gefahrlos besuchen können. Klicken Sie auf den zweiten Reiter «Zusätzliche Informationen», dann zeigt Virustotal Ihnen auch die Ziel-Adresse an.

[1] Hinweis: Manche der auf Virustotal enthaltenen Prüfalgorithmen (z.B. jener von ParetoLogic) spucken gelegentlich falsche Alarme aus. Wenn von den ca. fünf Dutzend Algorithmen nur einer über eine Seite meckert, dürfte sie sauber sein. (PCtipp-Forum)