Das vom Münchner IT-Unternehmer Benedikt Scheungraber entdeckte Netzwerk erhielt den Namen „DoppelCart“.
Der Name beschreibt nach seiner Darstellung gleich zwei Risiken für Verbraucher: Sie bestellen und bezahlen möglicherweise Ware, die sie anschließend nicht erhalten – und können gleichzeitig ihre Kreditkartendaten an die Betreiber der Fake-Seiten übermitteln.
Die Dimension des mutmaßlichen Netzwerks ist außergewöhnlich. Scheungrabers Analyse kam auf rund 119.000 Fakeshops, etwa 40.000 betroffene Unternehmen und Internetseiten in mehr als 40 Sprachen.
Nach dem Bericht handelt es sich um das bislang größte bekannte Netzwerk dieser Art.
Kleine Unternehmen geraten ins Visier
Bemerkenswert ist, welche Unternehmen kopiert werden.
Offenbar trifft es nicht nur große und international bekannte Marken. Im Gegenteil: Nach den Erkenntnissen Scheungrabers werden gezielt auch Internetauftritte kleiner Unternehmen kopiert.
Diese Firmen verfügen häufig nicht über ein professionelles Monitoring, mit dem neu registrierte Domains oder Kopien ihres Internetauftritts automatisch entdeckt werden.
Das kann dazu führen, dass ein gefälschter Shop bereits längere Zeit online ist, bevor das betroffene Originalunternehmen überhaupt davon erfährt.
Wie real diese Gefahr ist, zeigt das Beispiel der sozialen Münchner Backstube „Kuchentratsch“.
Das Unternehmen verkauft einen erheblichen Teil seiner Kuchen über das Internet. Doch neben dem echten Onlineshop existierten nach den Recherchen gleich vier Kopien.
Die Fake-Seiten verwendeten Bilder, Texte und das Logo des Originalauftritts.
Für das Unternehmen kam die Entdeckung überraschend.
Unternehmen wussten teilweise selbst nichts von den Kopien
BR-Reporter sprachen mit mehr als einem halben Dutzend betroffenen Unternehmerinnen und Unternehmern in Bayern.
Darunter befanden sich neben der Münchner Backstube unter anderem ein Juwelier, eine Brauerei und ein Möbelhersteller.
Bemerkenswert: Nach dem Bericht erfuhren alle erst durch die Reporter davon, dass ihre Onlineshops Teil des entdeckten Fakeshop-Netzwerks waren.
Für Verbraucher macht das die Situation besonders schwierig.
Selbst ein Anruf beim echten Unternehmen kann schließlich zunächst für Verwirrung sorgen, wenn dieses noch gar nicht weiß, dass unter seinem Namen ein gefälschter Shop betrieben wird.
Fast perfekte Kopien
Die Fake-Seiten übernehmen offenbar zahlreiche Elemente ihrer Vorbilder.
Verwendet werden Bilder der echten Internetauftritte, teilweise deren Texte und Logos. Häufig sollen sogar die tatsächlichen Kontaktdaten der betroffenen Unternehmen auf den Fake-Seiten erscheinen.
Damit können die Seiten auf den ersten Blick einen seriösen Eindruck vermitteln.
Dennoch gibt es nach den Recherchen Auffälligkeiten.
Bei den untersuchten Seiten wurden Preise in Dollar angegeben. Auf Desktop-Computern luden die Internetauftritte teilweise schlechter. Außerdem endeten die untersuchten Internetadressen auf „.shop“.
Hinzu kamen außergewöhnlich hohe Preisnachlässe.
Nach dem Bericht lockten die Seiten teilweise mit Rabatten von 60 bis 70 Prozent gegenüber dem Originalpreis.
Gerade solche außergewöhnlichen Preisnachlässe sollten Verbraucher dazu veranlassen, einen unbekannten Shop besonders genau zu überprüfen.
Fakeshops offenbar weitgehend automatisiert erstellt
Die schiere Menge der Seiten deutet nach Einschätzung der Ermittler auf eine hochgradig automatisierte Vorgehensweise hin.
Oberstaatsanwalt Thomas Goger von der Zentralstelle Cybercrime Bayern beschreibt die Vorgehensweise der Täter als voll- oder teilautomatisiert.
Damit verändert sich die Dimension des Problems.
Statt einzelne Fakeshops mühsam von Hand aufzubauen, können offenbar große Mengen täuschend ähnlicher Internetseiten produziert werden.
Auch die Ermittler setzen deshalb nach den Angaben im Bericht inzwischen Künstliche Intelligenz bei der Analyse von Webseiten ein.
Wie das Netzwerk entdeckt wurde
Begonnen hatte die Untersuchung vergleichsweise unspektakulär.
Im Sommer war Benedikt Scheungraber nach eigenen Angaben mit der Entfernung eines einzelnen Fakeshops beauftragt worden.
Beim dritten oder vierten Fall bemerkte er jedoch Gemeinsamkeiten.
Die Seiten verwendeten demnach dieselbe Infrastruktur, denselben Hosting-Anbieter und denselben Domain-Registrar und liefen auf denselben Servern.
Scheungraber ließ daraufhin KI-Assistenten über ein Wochenende eine umfangreichere Analyse durchführen.
Das Ergebnis waren die rund 119.000 mutmaßlichen Fakeshops.
Der „DoppelCart“-Trick: Ware weg, Kreditkartendaten weg
Für Verbraucher besteht nach Darstellung des IT-Unternehmers eine doppelte Gefahr.
Das erste Risiko entspricht dem klassischen Fakeshop-Prinzip:
Der Verbraucher bestellt Ware, bezahlt – und erhält anschließend keine Lieferung.
Doch dabei soll es nicht bleiben.
Nach Scheungrabers Erkenntnissen können die Seiten die eingegebenen Kreditkartendaten unmittelbar abgreifen.
Damit besitzt ein Täter möglicherweise nicht nur das Geld aus dem vermeintlichen Einkauf, sondern zusätzlich sensible Zahlungsdaten des Opfers.
Diese Daten können anschließend für weitere missbräuchliche Transaktionen verwendet werden.
Genau daraus erklärt sich die Bezeichnung „DoppelCart“ – der doppelte Betrug beim vermeintlichen Einkauf.
Arbeitsteiliges kriminelles System
Nach Darstellung der Ermittler handelt es sich zudem nicht zwingend um eine einzelne Tätergruppe, die sämtliche Schritte selbst übernimmt.
Oberstaatsanwalt Goger beschreibt eine arbeitsteilige Struktur.
Demnach können Gruppierungen die benötigte Betrugssoftware verkaufen oder vermieten. Andere Netzwerke kümmern sich anschließend um die wirtschaftliche Verwertung erbeuteter Kreditkartendaten.
Eine solche Aufgabenteilung erschwert Ermittlungen zusätzlich.
Spuren führen nach China
Bei der Untersuchung wurden auch technische Hinweise auf China gefunden.
Nach Angaben Scheungrabers steht der Server, auf dem mehr als 90 Prozent der untersuchten Seiten laufen, in China. Zudem soll die eingesetzte Betrugssoftware auf Chinesisch programmiert sein.
Auch frühere Recherchen des BR mit internationalen Partnermedien hatten bei einer organisierten Form von Phishing Verbindungen zu chinesischen Kriminellen aufgezeigt.
Im aktuellen Fall führen nach den vorliegenden Informationen ebenfalls Spuren nach China.
Das allein identifiziert jedoch noch keine konkreten Täter.
Auffällig ist nach dem Bericht außerdem, dass sich unter den rund 119.000 Seiten lediglich 69 chinesischsprachige Angebote befinden. Daraus wird die Vermutung abgeleitet, dass sich die Betreiber nicht vorrangig gegen den chinesischen Markt richten.
Ermittler stoßen an nationale Grenzen
Cyberkriminalität stellt Ermittlungsbehörden auch deshalb vor Probleme, weil technische Infrastruktur, Täter, Opfer und Zahlungswege über zahlreiche Länder verteilt sein können.
Oberstaatsanwalt Goger bringt das Problem auf eine einfache Formel: Cybercrime sei grenzenlos, die Befugnisse deutscher Ermittler endeten dagegen an den deutschen Grenzen.
Hostingprovider und der Anbieter der verwendeten „.shop“-Adressen wurden nach Angaben des Berichts mit den Rechercheergebnissen konfrontiert.
Auf Fragen, ob ihnen die mutmaßlich kriminellen Aktivitäten bekannt seien und welche Maßnahmen sie dagegen ergriffen hätten, hätten sie nicht geantwortet.
Auch für die kopierten Unternehmen entsteht ein Problem
Opfer sind nicht ausschließlich Verbraucher.
Für die Unternehmen, deren Namen, Logos, Produktbilder und Internetauftritte kopiert werden, drohen ebenfalls erhebliche Folgen.
Ein Kunde, der auf einer täuschend echten Kopie einkauft und sein Geld verliert, kann zunächst davon ausgehen, beim Originalunternehmen bestellt zu haben.
Damit drohen Beschwerden, schlechte Bewertungen und vor allem ein Verlust an Vertrauen – obwohl das echte Unternehmen mit der betrügerischen Website überhaupt nichts zu tun hat.
Die Münchner Backstube „Kuchentratsch“ versucht nach der Entdeckung der Kopien, die Seiten zu melden und rechtliche Schritte einzuleiten.
Wie Verbraucher Fakeshops erkennen können
Der Fall zeigt zugleich, dass ein professionell wirkender Internetauftritt allein kein ausreichendes Sicherheitsmerkmal mehr ist.
Wenn Logos, Produktbilder, Texte und sogar Kontaktdaten automatisiert von einer echten Unternehmensseite übernommen werden können, kann eine gefälschte Seite auf den ersten Blick nahezu authentisch aussehen.
Verbraucher sollten deshalb insbesondere bei außergewöhnlich hohen Rabatten aufmerksam werden.
Auch die genaue Internetadresse ist wichtig. Eine Domain, die nicht mit der bekannten Adresse des Unternehmens übereinstimmt, sollte überprüft werden.
Im konkreten DoppelCart-Netzwerk fielen nach den Recherchen unter anderem „.shop“-Domains, Dollarpreise und teilweise ungewöhnlich hohe Rabatte auf. Diese Merkmale allein beweisen allerdings nicht, dass ein Onlineshop betrügerisch ist.
Was tun, wenn Kreditkartendaten eingegeben wurden?
Wer den Verdacht hat, auf einer solchen Fake-Seite Kreditkartendaten eingegeben zu haben, sollte nicht erst darauf warten, ob tatsächlich eine unberechtigte Abbuchung erfolgt.
Sinnvoll ist es, unverzüglich den jeweiligen Kartenanbieter beziehungsweise die Bank zu kontaktieren, den Sachverhalt zu schildern und prüfen zu lassen, welche Sicherheitsmaßnahmen erforderlich sind.
Außerdem sollten sämtliche Informationen über den vermeintlichen Einkauf gesichert werden – beispielsweise Bestellbestätigungen, E-Mails, Zahlungsinformationen und Screenshots der Website.
Unternehmen können nach Kopien ihrer Seiten suchen
Scheungraber hat die Ergebnisse seiner Untersuchung nach dem Bericht auf der Website seines Unternehmens veröffentlicht.
Unternehmen können dort überprüfen, ob nach den Erkenntnissen der Untersuchung Kopien ihrer Marken beziehungsweise Internetauftritte im entdeckten Netzwerk vorhanden sind.
Nach Angaben Scheungrabers gab es bereits Rückmeldungen betroffener Firmen. Darunter sollen sich auch Fälle befinden, in denen deren Kunden Geld und Kreditkartendaten verloren hatten.
119.000 Seiten zeigen eine neue Dimension
Die entscheidende Entwicklung ist nicht, dass Fakeshops existieren. Dieses Betrugsmodell ist seit Jahren bekannt.
Neu ist nach den vorliegenden Erkenntnissen vor allem die Kombination aus Masse, Automatisierung und Qualität.
Wenn sich tatsächlich rund 119.000 Seiten derselben Infrastruktur beziehungsweise demselben Netzwerk zuordnen lassen und etwa 40.000 Unternehmen betroffen sind, zeigt das, wie stark sich Onlinebetrug industrialisieren lässt.
Für Verbraucher bedeutet das: Ein professionelles Design, ein bekanntes Logo und eine scheinbar echte Firmenanschrift sind allein kein Beweis mehr dafür, dass man sich tatsächlich auf der Website des jeweiligen Unternehmens befindet.
