Eine Kühlbox voller Stiegl-Bier? Das Fake-Gewinnspiel auf WhatsApp enttarnt

Warum das „Stiegl-Gewinnspiel“ bei WhatsApp sofort misstrauisch machen sollte

Hinweis: Die hier beschriebene Masche funktioniert nur auf Smartphones!

Ein Versprechen „Kühlbox voller Stiegl-Bier“ trifft in Österreich auf fruchtbaren Boden: Mit einem Pro-Kopf-Verbrauch von durchschnittlich rund 100 Litern Bier (2024) liegt die Alpenrepublik im internationalen Spitzenfeld. Genau auf diese Begeisterung zielt die aktuelle Masche ab. Über WhatsApp landet eine Nachricht mit dem Betreff „Stiegl-Gewinnspiel: Gewinne eine Kühlbox voll Bier!“ im privaten Chat. Der Clou: Die Nachricht erreicht die Betroffenen meist von Freund:innen oder Familienmitgliedern, was ihre Glaubwürdigkeit massiv erhöht.

Nach dem Antippen des Links erscheint eine scheinbar professionell gestaltete Website.

Dort sollen Nutzer:innen vier einfache Fragen beantworten (zum Beispiel „Haben Sie schon von Stiegl gehört?“). Anschließend erscheint ein Raster aus neun Geschenkpaketen, von denen drei geöffnet werden dürfen. Egal, welche Pakete man anklickt. Ein Gewinn ist garantiert. Das ist psychologisch clever, denn das Vorgaukeln einer realistischen Gewinnchance erhöht den Spieltrieb.

Jetzt kommt der entscheidende Knackpunkt: Um den Preis zu erhalten, muss der Link an eine bestimmte Anzahl von Kontakten per WhatsApp weitergeleitet werden. Erst wenn der Fortschrittsbalken 100 % erreicht hat, wird die Schaltfläche „Weiter“ aktiv. So verwandeln die Täter jede geschädigte Person in einen kostenlosen Multiplikatoren. Es folgt die klassische Phishing-Phase: Es werden Name, Adresse und – besonders heikel – Kreditkartendaten für ein „Porto von 2 Euro“ abgefragt. Dabei wird im Hintergrund ein kostenpflichtiges Abo abgeschlossen, das monatlich abgebucht wird. Kurzum: persönliche Daten werden abgegriffen, die Kreditkarte wird belastet, ein Abo wird eingefädelt – und die Fake-URL verbreitet sich exponentiell.

Beispiele aus den letzten Monaten belegen die Wiederverwendbarkeit dieses Schemas: Beim vermeintlichen ÖAMTC-Notfallset oder dem SPAR-Besteckset wurden identische Formulare eingesetzt. Neu ist jedoch die verpflichtende WhatsApp-Weiterleitung, die das Schneeballsystem verdoppelt. Laut Recherchen des Bundeskriminalamts verdoppelt sich die Reichweite binnen 18 Stunden – genug Zeit, um Tausende Datensätze zu sammeln, bevor Provider und Plattformbetreiber reagieren können.

Die perfiden Tricks hinter dem Fake: So erkennen Sie Phishing und Abo-Fallen sicher!

Wer genauer hinschaut, erkennt schnell den Unterschied zwischen seriöser Promotion und dubioser Datensammelei:

• Erstes Warnsignal: In der Eingangsgrafik steht der Satz „Gewinne diesen Kühlbox!“ – ein Grammatikfehler, der einer Marketingabteilung nie passieren dürfte. Gleiches gilt für holprige Formulierungen wie „Stiegl gratuliert dir zu deinem Gewinn“. Überprüft man den Quelltext, tauchen vietnamesische und russische Wortfetzen auf – ein weiteres Indiz für zusammenkopierte Templates.
• Auch die URL spricht Bände: Sie enthält Sonderzeichen, willkürliche Kombinationen aus Zahlen und Groß-/Kleinbuchstaben und die Domain hat keinen Bezug zu Stiegl (z. B. „stiegl-promo-winnings.top/_claim-gift/index.html“).
• Ein weiteres Indiz ist das fehlende Impressum. Laut österreichischem E-Commerce-Gesetz (§ 5 ECG) sowie dem deutschen Telemediengesetz (§ 5 TMG) sind Betreiber:innen geschäftlicher Webseiten dazu verpflichtet, ein vollständiges Impressum mit Name, Anschrift und Kontaktinformationen anzugeben. Die Fake-Seite bleibt dieses Pflichtfeld schuldig.
• Hinzu kommt die fragwürdige „Servicegebühr“: Kein seriöses Unternehmen verlangt bei Gewinnspielen Porto per Kreditkarte. Selbst wenn Versandkosten anfallen, werden diese nicht auf die Gewinner:innen abgewälzt.

Die Rolle von Social Engineering: Warum Freundschaft Vertrauen schlägt

Besonders brisant ist, dass sich das Stiegl-Fake-Gewinnspiel über bestehende Kontakte verbreitet. Die Täter:innen nutzen hier Social Engineering in Reinform: Menschen vertrauen Nachrichten eher, wenn sie von Bekannten oder Freunden kommen.

Doch wie gelangen Kriminelle an die Kontaktliste? Zwei Methoden sind dokumentiert:

1. Android-Malware im Hintergrund: Beim Ausfüllen des Fake-Formulars wird eine zusätzliche „Verifizierungs-App“ angefordert. Diese APK verlangt Zugriffsrechte auf Kontakte und WhatsApp. Einmal installiert, versendet sie das Gewinnspiel automatisch an alle gespeicherten Nummern.
2. In-Browser-Share-API: iOS-Nutzer:innen müssen keine App installieren. Hier nutzt das Skript die offizielle WhatsApp-Share-Funktion. Die Weiterleitungsmaske wird mit einer vorgefertigten Nachricht befüllt. Die Nutzer:innen bestätigen diese meist, ohne sie zu lesen – der gesellschaftliche Reflex, „sich das Schnäppchen nicht entgehen zu lassen“, überwiegt.

Stiegl selbst reagierte prompt: Auf X (ehemals Twitter) warnte die Brauerei am 14. Juni 2025 in einem Thread: „Achtung, kein offizielles Gewinnspiel! Links nicht öffnen, Daten nicht eingeben!“ !”. Ebenso erschienen Warnhinweise auf Facebook– und Instagram-Stories, versehen mit dem Hashtag #FakeGewinnspiel. Trotz dieser Public-Service-Posts fehlte es an Reichweite gegenüber der viralen WhatsApp-Lawine.

Sie sind geschädigt? So holen Sie Ihr Geld zurück und stoppen den Datenmissbrauch.

Wenn Sie Name, Adresse und Kreditkartendaten angegeben haben, sollten Sie sofort reagieren.

• Schritt eins: Den Kreditkarten-Support anrufen, die Sachlage schildern und die Karte vorsorglich sperren oder zumindest ein Ausgaben-Limit setzen.
• Schritt zwei: Erstatten Sie Anzeige bei der Polizei bzw. bei der Cybercrime-Hotline. In Österreich ist das Büro für Internetkriminalität (BMI) zuständig.
• Schritt drei: Die betrügerische URL an Watchlist Internet (watchlist-internet.at) melden oder, in Deutschland, an das BSI. Dadurch lassen sich Domains schneller sperren.
• Gleichzeitig lohnt sich ein Blick in die Privacy-Dashboards von WhatsApp bzw. iOS/Android, da sich dort App-Berechtigungen und die Link-History nachvollziehen lassen.

Wichtig: In den allermeisten Fällen ist der Abo-Vertrag nichtig. Selbst wenn Inkassobüros schreiben, sollte man keinesfalls zahlen, sondern schriftlich widersprechen. Die Verbraucherzentrale hat dafür Musterschreiben im Downloadbereich.

Ein weiterer Schutz sind Einmal-Kreditkarten oder virtuelle Debitkarten, die nur für einen Kauf gültig sind.

FAQ – Häufige Fragen rund um das Stiegl-Fake-Gewinnspiel

Fazit zum Thema

Das vermeintliche „Stiegl-Gewinnspiel“ ist ein Paradebeispiel für modernes Social Engineering: Es handelt sich um eine Fake-Seite, die eine WhatsApp-Zwangsweiterleitung, Kreditkarten-Phishing und eine Abo-Falle beinhaltet. Besonders tückisch ist dabei die Einbindung freundschaftlicher Kontakte als Vertrauensanker. Wachsamkeit, technisches Grundwissen und Skepsis gegenüber Zahlungen für vermeintliche Gewinne sind der beste Schutz.

Quelle: Watchlist Internet

Lesen Sie auch:

• WhatsApp: falsches „Krombacher Vatertag 2023“ Gewinnspiel
• Für knapp 2 Euro in die Datenfalle!
• Warnung, ADAC-Betrug: Gefälschtes Notfallset als Falle