Fake-Website & Impressum: Identitätsdiebstahl bei Firmen

Identitätsdiebstahl über Fake-Impressum: Aktuelle Maschen

Drahtzieher:innen suchen gezielt nach kleinen Kanzleien, Maklerbüros oder Familienbetrieben ohne Webauftritt. Sie registrieren Domains, kopieren Angaben aus öffentlichen Registern – Firmen­name, Postadresse, UID-Nummer – und basteln ein perfektes Impressum. So entsteht eine Fake-Website, die jede oberflächliche Prüfung besteht.

Ein aktuelles Beispiel: Eine nicht existente „Kanzlei Dr. Schmidt & Partner“ bot angebliche Insolvenzmassen an – Werkzeugmaschinen für 35 % unter Marktwert. Schaltzentrale war eine glänzend gestaltete Seite, Impressum und UID stimmten, nur die Firmen-Mailadresse leitete auf ein Wegwerfpostfach. Mindestens sieben mittelständische Betriebe überwiesen fünfstellige Summen, Ware kam nie an.

Ähnliches Schema im Wohnungssektor: Betrüger veröffentlichten Eigentumswohnungen und verlangten drei Monatsmieten Kaution, legten einen perfekten Mietvertrag mit dem echten Impressum eines ahnungslosen Maklers bei. Nach Zahlung blieb die Schlüsselübergabe aus. Der Schaden: rund 80 000 €.

Solche Fälle häufen sich europaweit. Allein die Wirtschaftskammer Wien verzeichnete 2024 über 190 Meldungen zu Fake-Impressen – ein Plus von 38 % gegenüber 2023. Die Behörde nennt Reputationsschäden und Zeitaufwand für Polizeianzeigen als größte Folgekosten für Betroffene.

Wie Betrüger echte Unternehmensdaten für Firmenbetrug nutzen

Warum funktioniert der Trick? Unternehmensregister liefern frei zugängliche, amtlich bestätigte Daten. Cyberkriminelle extrahieren sie per Skript, generieren hunderte Fake-Sites und kombinieren sie mit Social-Engineering-E-Mails.

Die Echtheit des Impressums senkt die Wachsamkeit: Prüft ein potenzielles Opfer Adresse oder UID in der Datenbank, erhält es einen Treffer – scheinbar alles legitim.

In der Praxis entstehen so gleich zwei Opfergruppen:

1. Die direkten Geschädigten, die Waren oder Kautionen bezahlen.
2. Die imitierten Unternehmen.

Sie müssen Anwalts-, Hosting- und Imagekosten stemmen und erleben häufig, dass geprellte Kund:innen persönlich vor der Bürotür stehen.

Ein Fall illustriert das Dilemma: Ein Handwerksbetrieb ohne Website entdeckte plötzlich Google-Bewertungen wie „Vorsicht Betrug!“ – verursacht durch eine gefälschte Shop-Domain, die unter seinem Namen Stromaggregate verkaufte. Die Ermittlungen dauerten Monate; in dieser Zeit verlor der Betrieb mehrere Großaufträge.

Technisch setzen Betrüger zunehmend auf KI-gestützte Generatoren, die Cookie-Banner, AGB und SSL-Zertifikate automatisiert integrieren. Die Seiten erscheinen professionell, führen aber bei Bezahlvorgängen auf ausländische FinTech-Konten oder Kryptowallets, was Rückbuchungen erschwert.

Sobald die Masche auffliegt, verschwinden Domain und Mailkonten. Binnen Stunden taucht eine neue Site mit ähnlichem Inhalt, aber anderem Impressum auf – „Domain-Hopping“ minimiert das Risiko strafrechtlicher Verfolgung.

Digital Services Act & Co: Rechtliche Hebel gegen Fake-Websites

Seit Februar 2024 gilt der europäische Digital Services Act (DSA). Er verpflichtet Hostingdienste, offizielle „Notice-and-Action“-Kanäle bereitzustellen: Unternehmen dürfen illegale Inhalte melden, Provider müssen „ohne unangemessene Verzögerung“ reagieren. Geschieht nichts, drohen EU-weite Bußgelder bis zu 6 % des Jahresumsatzes.
Praxisleitfaden:

1. Sofortige Meldung – Screenshot + URL an den Provider inklusive Hinweis auf Marken- und Persönlichkeits­rechtsverletzung.
2. DSA-Beschwerde – Falls der Hoster in der EU sitzt, übermittelt man parallel ein formloses PDF an die nationale Digital-Service-Koordinator-Stelle (in Österreich: KommAustria).
3. Suchmaschinen-Takedown – Google bietet ein spezielles DSA-Formular. Wird die Site aus dem Index entfernt, sinkt ihr Schadenpotenzial rapide.
   Begleitend empfiehlt die WKO eine Strafanzeige wegen schweren gewerbsmäßigen Betrugs (§ 147 StGB). Dadurch kann die Justiz via Europäischem Ermittlungsbefehl Kontoinhaber:innen bei Zahlungsdienstleistern identifizieren.
   Bei Auslands-Domains hilft das kostenlose „Abuse Contact Database“-Tool von ICANN: E-Mail an den im Datensatz hinterlegten Abuse-Kontakt, Kopie an den Domain-Registrar. Erfolgt binnen 24 Stunden keine Reaktion, lassen sich Schritte nach Art. 6 DSA gegen den Registrar einleiten.
   Praxisbeispiel: Ein Tourismusbetrieb stoppte 2025 eine Fake-Seite binnen 48 Stunden. Schlüssel war eine sauber dokumentierte DSA-Notice mit Markenregister-Auszug und eidesstattlicher Erklärung. Der Provider in den Niederlanden sperrte Domain und Hosting, bevor Zahlungen flossen.

Prävention: Eigene Website, Monitoring und Schutz vor Betrugsmaschen

Der wirksamste Schild gegen „feindliche Übernahme“ ist

1. Eine authentische Unternehmens­website – selbst ein One-Pager wirkt. Pflichtmodule: Impressum, Datenschutzerklärung, korrekte UID-Nummer, Kontaktformular. Die WKO-Broschüre „Das korrekte Website-Impressum“ erklärt die nötigen Angaben für jede Rechtsform.
2. Digitales Monitoring.
   Google-Alerts erzeugen für Firmenname, Markenbegriff und UID.
   WHOIS-Monitoring prüft neue Domainregistrierungen, die Ihren Namen enthalten.
   Social-Listening-Tools erkennen ungewöhnliche Erwähnungen auf Facebook-Marktplatz, Kleinanzeigen & Co.
3. Reaktionspläne. Cybersecurity-Hotlines wie jene der WKO (+43 800 888 133) leisten Soforthilfe, vermitteln IT-Forensiker und koordinieren schnelle Domain-Takedowns.
4. Kommunikation. Platzieren Sie auf Ihrer echten Website eine Warnbox „Aktueller Betrugsversuch im Umlauf“, verlinken Sie Presseartikel oder Polizeimeldungen. Dadurch finden potenzielle Opfer bei der Websuche sofort die korrekte Information.
5. Technische Barrieren. Aktiviertes DMARC-, DKIM- und SPF-Publishing erschwert das Spoofing Ihrer Maildomain. TLS-Zertifikate mit Organisation-Validation signalisieren Legitimität, weil der Zertifikatsaussteller Ihre Firmenidentität prüfte.
   Praxis: Eine Bäckerei integrierte 2024 ein solches Sicherheitsbündel. Seither tauchten keinerlei Fake-Domains mehr in Suchergebnissen auf, obwohl zuvor jedes Quartal neue Betrugsseiten auftauchten.

FAQ: Häufige Fragen zu Fake-Impressum und Identitätsdiebstahl

Fazit: Rasch handeln, um den Ruf des Unternehmens zu schützen

Identitätsdiebstahl via Fake-Website ist kein abstraktes IT-Problem, sondern ein reales Geschäftsrisiko – selbst für Betriebe mit fünf Mitarbeitenden. Wer keine eigene Webpräsenz besitzt, lädt Kriminelle geradezu ein, die digitale Identität zu kapern. Ein schlanker One-Pager, konsequentes Monitoring und die neuen DSA-Meldewege reduzieren das Risiko signifikant. Entscheidend ist Geschwindigkeit: Je eher Sie eine Fake-Seite entdecken, desto geringer sind Reputations- und Finanzschäden.

Quelle: watchlist-internet

Lesen Sie auch: Frauen-Basketballteam verweigert Spiel gegen „biologische Männer“?