> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/help/help-de/email-security/link-analysis.md). # Linkanalyse Email Security prüft die Links, die in den E-Mails gefunden werden, die es analysiert. Hier ist, was unsere Systeme mit diesen Links tun und wie man einen Link meldet, der unangetastet bleiben sollte. ## Warum Links aufgelöst werden Phishing verrät sich selten im Text einer Nachricht. Der Hinweis steckt im Ziel: ein verkürzter Link, der auf einer ähnlich aussehenden Domain landet, oder eine Weiterleitungskette, die auf einer vor drei Tagen registrierten Domain endet. Einen Link so zu lesen, wie er geschrieben ist, verrät uns davon nichts. Der Link muss aufgelöst werden, um zu sehen, wohin er tatsächlich führt. ## Was die Analyse macht Für jeden Link in einer analysierten E-Mail sendet Stoïk eine HTTP `HEAD` -Anfrage und folgt bis zu fünf Weiterleitungen. Ein `HEAD` Eine Anfrage fragt bei einem Server nur die Antwort-Header ab. Es ist dieselbe Anfrage wie beim Öffnen der Seite, nur ohne den Seiteninhalt. Sie wird statt eines vollständigen Seitenaufrufs verwendet, weil sie der leichteste Weg ist, herauszufinden, wohin ein Link führt. Dabei erfasst Stoïk das Ende der Weiterleitungskette, die Anzahl der Hops und den Ruf der Zieldomain. Die Anfrage läuft nach zwei Sekunden ab. ## Wenn die Analyse weitergeht Wenn die Zieldomain verdächtig wirkt, also einen schlechten Ruf hat, erst kürzlich registriert wurde oder in den von uns geschützten Postfächern nur selten vorkommt, wird die Seite in einer isolierten Browserumgebung geöffnet und ein Screenshot erstellt. Ein Vision-Modell beurteilt dann, ob die Seite ein Credential-Harvesting-Kit ist und welche Marke sie imitiert. Eine gut etablierte und häufig vorkommende Domain erreicht diesen Schritt nie. Ein Link zu einem großen Anbieter wird aufgelöst, aber seine Seite wird nie geladen. Das Laden einer Seite bedeutet, dass die Seite ihr eigenes JavaScript ausführt, genau so, wie sie es im Browser eines Besuchers tun würde, und eine Seite kann dabei auch eigene Anfragen auslösen. Diese Anfragen kommen von der Seite, nicht von Anweisungen, die wir ihr geben. Wenn eine Seite aufgrund einer Anti-Bot-Abfrage nicht erreichbar ist, läuft die Erfassung über einen Solver, der die Abfrage zuerst aushandelt. ## Was die Analyse nie macht Stoïk handelt nicht in Ihrem Namen. Unsere Analyse klickt keinen Button, füllt kein Formular aus und verwendet niemals Ihre Zugangsdaten. Wenn ein Link allein durch die Tatsache, dass er angefragt wird, etwas auslösen würde, wird er überhaupt nicht angefragt: siehe [Links, die vollständig übersprungen werden](#links-that-are-skipped-entirely). ### Ausnahme: Datei-Sharing-Plattformen Angreifer führen einen wachsenden Anteil ihres Phishings über legitime Datei-Sharing-Dienste durch. Ein von einer bekannten Plattform geteiltes Dokument leiht sich den Ruf dieser Plattform und kommt an den meisten Filtern vorbei, während die Falle in der freigegebenen Datei steckt. Eine solche E-Mail zu bewerten bedeutet, zu lesen, was tatsächlich geteilt wurde. Diese Plattformen übergeben ein geteiltes Dokument nicht an einen einfachen Seitenaufruf. Eine Plattform zu erreichen bedeutet, die Anfrage zu stellen, die die Plattform dafür definiert: eine Abfrage an ihre eigene API oder der anonyme Authentifizierungsschritt, den ein Freigabelink mithilfe des bereits im Link enthaltenen Schlüssels ausführt. Stoïk tut dies nur auf den Plattformen, die es ausdrücklich unterstützt, und nur mit dem, was der Link bereits mitbringt. ## Links, die vollständig übersprungen werden Manche Links verändern etwas in dem Moment, in dem sie angefragt werden, sogar von einem `HEAD`. Ein Link für eine elektronische Signatur kann ein Dokument als angesehen markieren oder ein Einmal-Token verbrauchen. Ein Link in einer Quarantäne-Zusammenfassung kann eine blockierte E-Mail freigeben. Ein Abmeldelink mit einem Klick entfernt den Empfänger aus einer Verteilerliste, und ein Link in einer Kalendereinladung kann eine Rückmeldung erfassen. Der HTTP-Standard ist hier eindeutig. RFC 9110, Abschnitt 9.2.1, definiert `GET` und `HEAD` als sichere Methoden: Ein Client, der eine solche Anfrage sendet, fordert weder eine Zustandsänderung auf dem Server an noch erwartet er sie. Derselbe Abschnitt fügt hinzu, dass, wenn ein Parameter in der URL eine Aktion auswählt, der Eigentümer dieser Ressource die Aktion deaktivieren muss, wenn sie mit einer sicheren Methode erreicht wird. Die Regel existiert, damit automatisiertes Abrufen funktionieren kann, ohne Schaden anzurichten. Nicht jeder Dienst hält sich daran. {% hint style="info" %} Stoïk führt eine Allowlist von Zielen, die vollständig übersprungen werden, ohne dass überhaupt eine Anfrage gesendet wird. Dazu gehören Plattformen für elektronische Signaturen, E-Mail-Quarantäneportale, Endpunkte zum Abbestellen von Newslettern und Antworten auf Kalendereinladungen. {% endhint %} ## Einen Link melden Wenn Sie auf einem Ihrer Dienste eine Aktion sehen, von der Sie glauben, dass sie von unserer Analyse stammt, melden Sie sie Stoïk über Ihren üblichen Supportkanal. Nützliche Details: * Der betroffene Dienst * Die Adresse des betroffenen Postfachs * Ungefähr wann es passiert ist * Der Link selbst, falls Sie ihn noch haben Das Ziel wird zur Allowlist hinzugefügt, und Sie werden benachrichtigt, sobald die Änderung live ist. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.stoik.io/help/help-de/email-security/link-analysis.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.