Ein auffälliger Bonuslink kann durch eine unerwartete Weiterleitung, eine geänderte Zieladresse oder ungewöhnlichen Traffic auffallen. Um seine Herkunft verlässlich einzugrenzen, reicht ein Screenshot meist nicht aus. Aussagekräftiger ist der Abgleich mehrerer Datenquellen: Änderungsprotokolle zeigen, was an einer Website verändert wurde, während Server-Logs festhalten, welche Anfragen eingingen und wie der Server darauf reagierte.
Zuerst den Verdacht genau dokumentieren
Vor der Analyse sollten Zeitpunkt, beobachtete URL, Browsermeldung und sichtbares Verhalten festgehalten werden. Bei Weiterleitungen empfiehlt sich eine vollständige Aufzeichnung der einzelnen Stationen, einschließlich Statuscodes und Zeitstempeln. Ein Link kann über mehrere Domains führen; die zuerst angezeigte Adresse muss daher nicht dem tatsächlichen Ziel entsprechen. Screenshots helfen bei der Einordnung, ersetzen aber keine technischen Protokolle.
Wichtig ist außerdem, die Belege möglichst unverändert zu sichern. Exportierte Logdateien sollten mit Herkunft, Exportzeit und verantwortlicher Person dokumentiert werden. Prüfsummen können später zeigen, ob eine Datei seit der Sicherung verändert wurde. Arbeitskopien erleichtern die Auswertung, während die Originale geschützt und zugriffsbeschränkt aufbewahrt werden.
Änderungsprotokolle als zeitliche Spur
Ein CMS, ein Hosting-Panel oder ein Versionsverwaltungssystem kann festhalten, wann Seiten, Weiterleitungsregeln oder Plug-ins geändert wurden. Je nach System enthalten solche Protokolle auch Nutzerkonten, IP-Adressen oder Angaben zum bearbeiteten Objekt. Bei einem verdächtigen Link ist besonders relevant, ob kurz vor seinem Auftreten eine Zieladresse, ein Skript, eine Werbefläche oder eine Konfiguration angepasst wurde.
Ein zeitlicher Zusammenhang ist jedoch kein Beweis für einen ursächlichen Zusammenhang. Das protokollierte Konto kann kompromittiert oder gemeinsam genutzt worden sein; auch automatische Updates und geplante Veröffentlichungen können Änderungen auslösen. Deshalb sollte man die protokollierte Aktivität mit Deployment-Daten, Supportmeldungen und bekannten Wartungsfenstern abgleichen. Fehlen Änderungen im Protokoll, bedeutet das nicht zwingend, dass nichts verändert wurde: Die Protokollierung könnte lückenhaft oder deaktiviert gewesen sein.
Server-Logs richtig lesen
Access-Logs können Anfragen an eine URL, Zeitstempel, HTTP-Statuscodes, User-Agent-Angaben und mitunter Referrer enthalten. Damit lässt sich prüfen, wann ein Link aufgerufen wurde, ob der Server eine Weiterleitung mit einem 3xx-Statuscode lieferte und ob sich die Zugriffsmuster nach einer Änderung veränderten. Ein Referrer ist allerdings nicht immer vorhanden, und User-Agent-Angaben lassen sich leicht fälschen. Auch IP-Adressen identifizieren nicht zuverlässig eine einzelne Person: Sie können zu gemeinsam genutzten Anschlüssen, Proxys oder automatisierten Diensten gehören.
Bei der Sichtung von Kampagnen- und Suchbegriffen kann der Text bonus ohne einzahlung als Linkbezeichnung auftauchen; für die technische Prüfung zählen jedoch vor allem Zieladresse, Weiterleitungskette und protokollierter Zeitpunkt. Ein lesbarer Linktext belegt für sich genommen weder die Herkunft noch die Vertrauenswürdigkeit eines Angebots.
Datenquellen abgleichen und Grenzen beachten
Am belastbarsten ist eine Chronologie, in der Änderungen und Zugriffe auf einer einheitlichen Zeitbasis gegenübergestellt werden. Zeitzonen, Sommerzeit und abweichende Serveruhren können scheinbare Widersprüche erzeugen. Dokumentieren Sie daher die verwendete Zeitzone und prüfen Sie, ob Systeme synchronisiert waren. Ergänzend können DNS-Daten, CDN-Protokolle oder Informationen aus einer Web Application Firewall helfen, sofern sie im relevanten Zeitraum verfügbar sind.
Die Auswertung sollte auf den erforderlichen Umfang begrenzt bleiben. Logs können personenbezogene Daten enthalten; Zugriffsrechte, Aufbewahrungsfristen und geltende Datenschutzvorgaben sind deshalb mitzudenken. Bei einem konkreten Sicherheitsvorfall empfiehlt sich, Beweise nicht vorschnell zu löschen oder Systeme unkoordiniert zu verändern. Eine nachvollziehbare Sicherung und eine sachliche Bewertung der Unsicherheiten ermöglichen es, verdächtige Bonuslinks einzuordnen, ohne einzelne Logeinträge über ihre Aussagekraft hinaus zu interpretieren.