Ein Kurzlink in einer Nachricht sieht aus wie eine Adresse und ist in Wahrheit ein Auftrag: Frag bei uns nach, wir sagen dir dann, wohin es geht. Zwischen Klick und Ziel liegen häufig drei oder vier Stationen, von denen der Nutzer keine zu Gesicht bekommt.
Jede dieser Stationen ist ein Rechner unter fremder Kontrolle, der die Anfrage sieht und sie umleiten kann, wohin er will. Wer prüfen möchte, wohin ein Link führt, muss deshalb die ganze Kette betrachten und nicht nur ihr Ende.
Was die Statuscodes tatsächlich aussagen
Eine Weiterleitung mit dem Code 301 erklärt den Umzug für dauerhaft, 308 tut dasselbe und behält dabei die Methode der Anfrage bei. 302 und 307 markieren einen vorübergehenden Zustand, was in der Praxis oft heißt, dass die Zieladresse je nach Situation wechselt. Für eine Analyse ist das der interessantere Fall, weil dieselbe Adresse morgen woanders enden kann.
Daneben gibt es Umleitungen, die gar nicht im Kopfbereich der Antwort stehen. Eine Meta-Angabe im Dokument oder eine Zeile Skript im Browser erzeugt denselben Effekt, taucht aber in einer reinen Kopfzeilenprüfung nicht auf. Wer nur die Header liest, sieht die Kette manchmal früher enden, als sie tatsächlich endet.
Jeder Sprung fügt einen Betreiber hinzu
Eine Kette aus vier Sprüngen bedeutet vier Parteien, die den Zeitpunkt der Anfrage, die ungefähre Herkunft und die verweisende Seite protokollieren können. Das ist bei Kampagnenmessung gewollt und bei einem Link aus unbekannter Quelle das eigentliche Risiko. Der Inhalt am Ende kann harmlos sein, während unterwegs Daten abfließen.
Dazu kommt die Haltbarkeit. Ein Kurzlinkdienst, der eingestellt wird, nimmt sämtliche Verweise mit, die je über ihn liefen. In Dokumentation und Belegsammlungen ist das ein handfestes Problem, weshalb dort die aufgelöste Zieladresse gehört und nicht der Kurzlink.
Ungleiche Auslieferung erkennt man nur mit zwei Anfragen
Manche Ziele antworten unterschiedlich, je nachdem wer fragt. Kennung des Browsers, Sprache, ungefährer Standort und die verweisende Seite reichen aus, um einer Prüfung eine harmlose Seite zu zeigen und dem regulären Besucher etwas anderes. Eine einzelne Abfrage kann das grundsätzlich nicht aufdecken.
Die Gegenprobe ist deshalb kein Zusatz, sondern der Kern der Prüfung: dieselbe Adresse ein zweites Mal abrufen, mit anderer Browserkennung, ohne Verweisadresse und möglichst aus einem anderen Netz. Weichen die Antworten voneinander ab, ist das Ergebnis unabhängig vom Inhalt bereits aussagekräftig.
Dasselbe Prinzip, angewendet auf Vermögenswerte
Die Denkfigur, dass ein Verweis nicht die Sache selbst ist, gibt es außerhalb des Webs ebenfalls. Wird ein digitaler Vermögenswert von einem Netzwerk in ein anderes übertragen, bewegt er sich meistens nicht wirklich. Er wird im Ursprungsnetzwerk gesperrt, und im Zielnetzwerk entsteht ein neuer Eintrag, der ihn vertritt.
Was in diesem Bereich Bridge und Wrapped Assets heißt, ist strukturell eine Weiterleitung mit denselben Eigenschaften: Der Wert des Verweises hängt daran, dass die Stelle am anderen Ende weiterhin hält, was sie halten soll. Bricht diese Stelle weg, bleibt ein Eintrag zurück, der auf nichts mehr zeigt.
Wie sich beides mit derselben Systematik prüfen lässt
Die Fragen sind in beiden Fällen dieselben. Wie viele Stationen liegen zwischen Anfang und Ende? Wer betreibt jede einzelne? Was passiert, wenn eine davon ausfällt oder die Regeln ändert? Und lässt sich das Ergebnis von außen nachprüfen oder nur der Aussage des Betreibers entnehmen?
Für Linkketten liefern Kopfzeilen, Zertifikate und Registrierungsdaten die Antworten. Für die finanzielle Variante steht die entsprechende Dokumentation offen: Wer nachlesen will, wie DeFi-Protokolle aufgebaut sind, findet dort die Abhängigkeiten je Baustein aufgeschlüsselt, einschließlich der Stellen, die sich nicht prüfen lassen. Das Vorgehen ist in beiden Fällen dasselbe: die Kette auflösen, bevor man ihr traut.
Häufige Fragen
Reicht es, den Statuscode einer Weiterleitung zu prüfen?
Nein. Weiterleitungen können auch über eine Meta-Angabe im Dokument oder über Skript im Browser erfolgen, und beides erscheint nicht in den Antwortkopfzeilen. Eine vollständige Analyse braucht deshalb zusätzlich einen Blick auf das ausgelieferte Dokument.
Warum sollte man dieselbe Adresse zweimal abrufen?
Weil manche Server je nach Browserkennung, Verweisadresse oder Herkunftsnetz unterschiedliche Inhalte ausliefern. Erst der Vergleich zweier Abrufe unter verschiedenen Bedingungen zeigt, ob das Ziel stabil ist oder auf die Art der Anfrage reagiert.
Sind Kurzlinks grundsätzlich problematisch?
Nicht grundsätzlich, sie sind praktisch und messbar. Problematisch sind sie in Belegen und Dokumentation, weil sie von einem fremden Dienst abhängen und mit dessen Ende ungültig werden. Dort gehört die aufgelöste Zieladresse hinein.
