Fakeshops erkennen: ein Awareness-Thema für die Beschaffung

Gefälschte Online-Shops gelten als Verbraucherthema. Das ist der Grund, warum sie in Unternehmen selten geschult werden – und warum sie dort regelmäßig Schaden anrichten. Wer Fakeshops erkennen will, braucht keine Technik, sondern eine Handvoll Regeln, die jede Person kennt, die im Betrieb bestellen darf.

Warum das ein betriebliches Thema ist

Ein Fakeshop trifft ein Unternehmen auf drei Wegen, und nur der erste ist offensichtlich.

  • Beschaffung. Werkzeug, IT-Zubehör, Ersatzteile, Büromaterial: Wo unter Zeitdruck bestellt wird, führt die Suche nach dem günstigsten Angebot schnell zu einem unbekannten Shop. Bezahlt wird per Vorkasse, geliefert wird nichts. Der Betrag ist meist verschmerzbar, die Kontoverbindung ist es nicht.
  • Der eigene Name. Gut gemachte Fakeshops erfinden kein Impressum, sondern kopieren eines. Die Watchlist Internet weist ausdrücklich darauf hin, dass Firmendaten seriöser Seiten übernommen werden. Trifft es Ihr Unternehmen, gehen die Beschwerden getäuschter Käufer bei Ihnen ein – und Sie erfahren davon in der Regel erst durch den ersten wütenden Anruf.
  • Daten statt Ware. Ein Teil dieser Seiten ist gar nicht am Kaufpreis interessiert, sondern an dem, was im Bestellvorgang eingegeben wird. Zahlungsdaten, Anschriften, Zugangsdaten aus wiederverwendeten Passwörtern.

Woran Sie einen Fakeshop erkennen

Beide unten genannten Stellen nennen im Kern dieselben Merkmale:

  • Nur Vorkasse. Das ist das verlässlichste Signal. Besonders auffällig ist der Fall, in dem der Shop mehrere Zahlungsarten bewirbt, im Bestellvorgang aber nur noch Vorkasse oder Kryptowährung anbietet.
  • Preise, die nicht aufgehen. Nicht ein Angebot ist auffällig günstig, sondern jedes. Wenn das gesamte Sortiment reduziert ist, stimmt die Kalkulation nicht.
  • Impressum fehlt – oder wirkt entliehen. Kein Impressum heißt: nicht bestellen. Ein vorhandenes Impressum ist aber kein Freibrief. Die Gegenprobe ist einfach: Firmenname zusammen mit Wörtern wie „Betrug” oder „Problem” in eine Suchmaschine eingeben und sehen, ob die Adresse noch anderswo auftaucht.
  • Auffällige Adresse und Sprache. Falsch geschriebene Markennamen in der Domain, Rechtschreibfehler in den Produkttexten, eine Endung, die zum angeblichen Firmensitz nicht passt.

Zwei Werkzeuge – und was sie nicht leisten

Der Fakeshop-Finder der Verbraucherzentrale prüft eine eingegebene Adresse und antwortet mit einer Ampel. Grün heißt: Der Shop steht auf einer Positivliste und ist nicht negativ aufgefallen. Rot heißt: kritische Merkmale, möglicherweise bereits gemeldet. Gelb heißt, dass beides nicht zutrifft.

Genau dieses Gelb ist der Punkt, an dem die Sache im Betrieb schiefgeht. Es ist der Normalfall für jeden Shop, den noch niemand geprüft hat, und es ist kein Freispruch – aber auch kein Vorwurf. Wer Grün als Kauferlaubnis und Gelb als Verbot liest, hat das Werkzeug missverstanden.

Die Liste betrügerischer Shops der Watchlist Internet geht den anderen Weg: Sie führt namentlich, was bereits gemeldet und geprüft wurde. Die Watchlist Internet wird vom Österreichischen Institut für angewandte Telekommunikation zusammen mit der Internet Ombudsstelle betrieben; die Liste umfasste am 25. August 2026 über 24.800 Einträge und wächst täglich weiter.

Beide Dienste haben dieselbe Grenze, und sie ist bauartbedingt: Ein Fakeshop, der gestern online gegangen ist, steht nirgends. Die Werkzeuge bestätigen einen Verdacht – sie ersetzen ihn nicht.

Drei Regeln für die Beschaffung

  • Keine Vorkasse an Anbieter, mit denen noch nie gearbeitet wurde. Kreditkarte oder Zahlungsdienst statt Überweisung: Beides lässt einen Rückbuchungsweg offen, die Überweisung nicht.
  • Neue Lieferanten werden angelegt, nicht angeklickt. Wer zum ersten Mal irgendwo bestellt, legt den Anbieter vorher an – mit Impressumsprüfung und zweitem Blick. Das ist derselbe Gedanke wie beim Lieferantenaudit, nur in klein.
  • Ein Fehlkauf ist meldepflichtig, nicht peinlich. Wer befürchtet, sich zu blamieren, meldet nichts – und dann bleibt die Kontoverbindung im Umlauf. Das gehört in die Richtlinie für Mitarbeitende und in die Schulung, nicht in ein Merkblatt.

Wenn der eigene Firmenname missbraucht wird

Kopiert ein Fakeshop Ihr Impressum, werden Sie dadurch nicht verantwortlich für dessen Datenverarbeitung – Verantwortlicher ist, wer über Zwecke und Mittel entscheidet, und das ist hier ein anderer. Praktisch bleibt trotzdem Arbeit: Meldung an Registrar und Hoster der Domain, Strafanzeige, ein kurzer Hinweis auf der eigenen Website, und ein vorbereiteter Text für die Anrufe. Fragen getäuschter Käufer sind der Sache nach Auskunftsanfragen an die falsche Stelle; sie brauchen dennoch eine Antwort.

Wenn es passiert ist

Zuerst die Zahlung: Kreditkartenanbieter oder Zahlungsdienst kontaktieren und nach Rückbuchung oder Käuferschutz fragen. Dann die Zugangsdaten, falls im Shop ein Konto angelegt wurde und das Passwort anderswo ebenfalls im Einsatz ist.

Und dann die Frage, die oft übersehen wird: Sind dabei personenbezogene Daten abgeflossen, für die Ihr Unternehmen verantwortlich ist – Kundenanschriften in einer Lieferadresse, Beschäftigtendaten in einem Bestellkonto? Dann ist zu prüfen, ob eine Meldung nach Art. 33 DSGVO binnen 72 Stunden erforderlich ist. Die Bewertung gehört dokumentiert, auch wenn sie gegen eine Meldung ausfällt – siehe Datenschutzvorfall melden.

Melden Sie den Shop außerdem den beiden oben genannten Stellen. Der nächste Betrieb, der dieselbe Adresse prüft, bekommt dann eine Antwort statt eines Gelb.

Kontakt

Sie wollen das Thema in Ihre Awareness-Schulung aufnehmen? Es passt in dieselbe Stunde wie Phishing – und die Beispiele liefert der Alltag.