Krombacher, adidas, Puma: Echte Gewinnspiele via WhatsApp?

So landen die Fake-Gewinnspiele bei Nutzern

Die Links verbreiten sich vor allem über WhatsApp-Nachrichten. Empfänger erhalten sie häufig nicht von unbekannten Absendern, sondern von Freunden, Bekannten oder Familienmitgliedern. Genau das macht die Masche wirksam: Der Link kommt aus einem vertrauten Umfeld.

In WhatsApp sehen die Nachrichten täuschend echt aus: Markenlogo, hochwertige Produktfotos, ein seriös klingender Titel. Erst der kleine Link darunter verrät, dass die Seite mit der echten Marke nichts zu tun hat – statt krombacher.de, adidas.de oder puma.com stehen dort anonyme Wegwerf-Adressen wie offerpilot.cc, msgdeal.cc oder dealwa.cc.

Tippt man auf den Link, öffnet sich die eigentliche Betrugsseite – aber nur auf dem Smartphone. Dort begrüßt einen dann die nächste Stufe der Masche, etwa mit dem künstlichen Hinweis „Noch 218 Preise verfügbar“. Diese Zahl ist frei erfunden und tickt nur herunter, um Druck zu erzeugen.

Das haben wir herausgefunden

Der Programmcode der Seiten ist in den entscheidenden Teilen Zeichen für Zeichen identisch – derselbe verschleierte Code, derselbe Ablauf, dieselbe technische Infrastruktur. Getauscht wurden nur Logo, Sprache, Land und Köder. Hier arbeitet jemand mit einem fertigen „Baukasten“, der sich beliebig auf jede Marke umschminken lässt.

1. Tarnung gegenüber Prüfern

Die Seiten prüfen automatisch, mit welchem Gerät man sie aufruft. Auf einem normalen Desktop-Computer erscheint nur eine Fehlerseite oder eine harmlose Tarnung – die echte Betrugsseite zeigt sich nur auf dem Smartphone. Genau deshalb wirken solche Links für Außenstehende oft unauffällig: Sie sind bewusst so gebaut, dass sie sich vor Kontrolle verstecken.

2. Gefälschte Marken-Identität

Damit die Vorschau in WhatsApp seriös aussieht, hinterlegt der Code echte Marken-Adressen als angebliche Quelle. Tatsächlich liegen die Seiten aber auf völlig anderen, anonymen Wegwerf-Domains. Die Hersteller selbst haben mit den Aktionen nichts zu tun.

3. Das inszenierte „Gewinnspiel“

Eine kurze Fake-Umfrage, eine vorgegaukelte „Prüfung“ mit Lade-Animation und ein „Geschenke-Box“-Spiel führen die Nutzer durch einen festen Ablauf. Der „Gewinn“ ist von Anfang an einprogrammiert – man gewinnt immer. Auch die angeblichen Gewinner-Kommentare und Profilbilder sind automatisch erzeugt und frei erfunden.

4. Ein Netzwerk, keine Einzelfälle

Im Code fanden wir einen aktiven Mechanismus, der Besucher je nach Herkunftsland automatisch auf jene Domains weiterleitet, auf denen auch die anderen Marken-Varianten liegen. Das belegt: Die Seiten – Krombacher, adidas, Puma Schweiz und Puma Österreich – gehören zur selben koordinierten Operation und teilen sich dieselbe Hintergrund-Technik.

Was der Code über die Betrüger verrät

Beim Blick in den Programmcode zeigt sich, dass hier kein Einzeltäter am Werk ist, sondern ein durchorganisiertes, vermutlich kommerziell vermietetes Betrugs-Werkzeug. Mehrere Details belegen das:

Spuren eines spanischsprachigen Baukastens

 Quer durch den Code tauchen spanische Begriffe als interne Bezeichnungen auf – etwa „intentos“ (Versuche), „premiazo“ (dicker Preis) oder „Abrir menu“ (Menü öffnen). Die deutschen und Schweizer Texte sind nur die austauschbare Oberfläche. Das deutet darauf hin, dass das eigentliche Werkzeug aus dem spanischsprachigen Raum stammt und an „Partner“ weitergegeben wird.

26 parallele Kampagnen-Spuren

 Der Code enthält 26 verschiedene, fest hinterlegte Mess-Kennungen – eine pro Buchstabe im Adresspfad. Damit lassen sich Dutzende Kampagnen gleichzeitig betreiben und einzeln auf Erfolg auswerten. Das ist die Arbeitsweise einer professionellen Werbe-Operation, kein Gelegenheitsbetrug.

Auf Sperren und Entdeckung vorbereitet

 Das Werkzeug ist bewusst widerstandsfähig gebaut: Es wechselt automatisch zwischen mehreren Wegwerf-Domains, nutzt einen Pool austauschbarer Benachrichtigungs-Konten und erzeugt beim Zurück-Wischen jedes Mal eine neue, einzigartige Adresse. So laufen Sperrlisten und Filter ins Leere – und wird ein Baustein blockiert, übernimmt der nächste.

Ein gepflegtes, weiterentwickeltes Produkt

 Eine der hinterlegten Ordner-Bezeichnungen trägt den Zusatz „v2″ – also zweite Fassung. Außerdem kann das Werkzeug wahlweise ein Glücksrad oder das Geschenkbox-Spiel anzeigen und den Weiterleitungs-Druck je nach Land unterschiedlich stark einstellen. All das zeigt: Es wird laufend gepflegt und flexibel an Marke, Land und Anlass angepasst.

Was die Betrüger wirklich wollen

Das Trikot oder die Kühlbox sind nur der Köder. Aus dem Code lässt sich klar herauslesen, dass die Betreiber mehrere Einnahmequellen gleichzeitig anzapfen. Das Gewinnspiel ist die Bühne – das Geld wird hinter den Kulissen verdient.

Wer „gewinnt“, wird weitergeleitet zur eigentlichen Falle: Abfrage von Name, Adresse, E-Mail und Telefonnummer (später weiterverkauft oder für weitere Betrugsversuche genutzt) sowie die Aufforderung, für angebliche „Versandkosten“ die Kreditkartendaten einzugeben.

Die Seiten sind durchgängig mit Verfolgungstechnik gespickt. Das verrät das Geschäftsmodell: Die Betreiber werden pro Person bezahlt, die sie an Datenhändler oder dubiose Abo-Dienste weiterleiten. Jeder Klick ist für sie bares Geld.

Die Seiten versuchen, sich die Erlaubnis für Push-Benachrichtigungen zu erschleichen. Wer einmal zustimmt, bekommt danach dauerhaft Werbe- und Betrugsnachrichten direkt aufs Handy – auch ohne die Seite je wieder zu öffnen.

Vor dem „Gewinn“ wird man unter Zeitdruck gedrängt, den Link per WhatsApp weiterzuschicken. Damit wird jedes Opfer zum unfreiwilligen Werbeträger – kostenlose Reichweite über Vertrauensketten unter Freunden und Familie.

Die Varianten im Überblick

Dieselbe Software, vier Marken-Identitäten, mehrere austauschbare Wegwerf-Domains. So verteilt sich die Operation über Länder und Anlässe:

Die 2-Euro-Falle

Am Ende der Kette landet man auf einer „Sicheren Bezahlung“-Seite, auf der nur noch eine winzige Hürde steht: eine Zahlung von 2,00 Euro, angeblich als „Servicepreis“ oder für Versand. Der Betrag ist mit Absicht so klein gewählt. Zwei Euro tun nicht weh und klingen harmlos – nach all dem Aufwand will man den „Gewinn“ nicht an einer Kleinigkeit scheitern lassen. Genau diese Denkweise ist einkalkuliert.

Die 2 € sind nicht der Schaden – sie sind der Türöffner. Um die paar Euro zu zahlen, muss man seine vollständigen Kreditkartendaten eingeben: Kartennummer, Gültigkeit und Prüfziffer (CVV). Im Kleingedruckten – oft hellgrau, winzig, hinter einem Häkchen versteckt – steht, dass man damit ein Abonnement abschließt. Die 2 € sind nur eine „Testgebühr“. Danach wird regelmäßig abgebucht, oft 39, 49 oder mehr Euro im Monat, für einen wertlosen „Club“ oder „Service“, den man nie bewusst bestellt hat.

Eine echte, gültige Kreditkartenabbuchung – und sei sie noch so klein – bestätigt den Betrügern, dass die Karte gültig und gedeckt ist. Sie haben damit getestete Zahlungsdaten plus eine Einzugsermächtigung. Der eigentliche Verlust kommt nicht über die 2 €, sondern über die stillen Folgeabbuchungen, die viele erst Wochen später auf der Abrechnung entdecken. Das Muster ist seit Jahren bekannt und trägt einen Namen: Abo-Falle.

Was tun, wenn man schon bezahlt hat

• Sofort die Bank oder den Kreditkartenanbieter kontaktieren, den Vorgang melden und Folgeabbuchungen sperren bzw. zurückbuchen lassen.
• Die Karte vorsorglich sperren lassen, wenn unklar ist, was im Kleingedruckten zugestimmt wurde.
• Abbuchungen der nächsten Monate genau kontrollieren – die teuren Beträge kommen oft verzögert.
• Den Vorfall mit Screenshots dokumentieren und ggf. bei der Verbraucherzentrale melden.

Unser Fazit

Alle Seiten sind Fälschungen. Es gibt kein Gewinnspiel, keine Kühlbox, kein Trikot und keinen Gutschein. Kein seriöser Hersteller verlangt für einen echten Gewinn eine Kreditkartenzahlung – auch keine 2 €. Sobald nach einem „Gewinn“ Kartendaten oder eine Mini-Gebühr verlangt werden, ist das das sichere Zeichen für Betrug: abbrechen, Seite schließen, nichts eingeben – und den Link vor allem nicht weiterleiten.

FAQ zum Thema: Fake-Gewinnspiele mit Krombacher, adidas und Puma