Fake-Shop prüfen: Technik-Check vor dem Kauf und Notfallplan nach der Dateneingabe
Technische Prüfung vor dem Kauf – und was Sie tun, wenn Sie schon Daten eingegeben haben.
Stand: Oktober 2026 • Lesedauer: ca. 11 Minuten
Ein Fake-Shop ist eine Website, die Waren anbietet, aber nicht liefert – oder die nur Zahlungs- und Zugangsdaten einsammeln will. Gerade vor Weihnachten, wenn viele gleichzeitig nach Geschenken und Angeboten suchen, tauchen solche Seiten häufiger in Suchergebnissen und Werbeanzeigen auf. Es gibt keinen einzelnen Test, der einen Fake-Shop sicher entlarvt; zuverlässig ist ein Bündel aus vier Prüfungen: Adresse und Domain, Anbieterangaben, Zahlungsarten und der Gesamteindruck. Wer sich schon geirrt hat, kann den Schaden in den ersten Stunden oft begrenzen – dazu gibt es unten einen Notfallplan.
Dieser Ratgeber betrachtet das Thema aus Sicht der IT-Sicherheit: Was lässt sich technisch prüfen, welche Daten haben Sie weitergegeben, und wie sichern Sie Konten und Geräte ab? Die Hinweise orientieren sich an den Empfehlungen des BSI und der Verbraucherzentralen; Zahlen zu Schäden nennen wir bewusst nicht.
Das Wichtigste vorab
- Das Schloss-Symbol (https) beweist nur, dass die Verbindung verschlüsselt ist – nicht, dass der Betreiber seriös ist. Laut BSI nutzen auch Fake-Shops zunehmend verschlüsselte Verbindungen.
- Ein einzelnes Warnsignal beweist nichts; mehrere zusammen sind ein klares Zeichen.
- Wer bezahlt hat und keine Ware erhält: sofort Bank bzw. Zahlungsdienst kontaktieren, Beweise sichern, Anzeige erstatten.
- Wer Zugangsdaten eingegeben hat: Passwort dort und überall, wo es ebenfalls genutzt wird, ändern; 2FA aktivieren.
Technische Prüfung in fünf Schritten (vor dem Kauf)
1. Adresszeile lesen – nicht den Seitentitel. Betrüger registrieren Adressen, die bekannten Shops ähneln: zusätzliche Bindestriche, Zahlen, ungewöhnliche Endungen oder Buchstabendreher. Prüfen Sie die Adresse zeichenweise. Besonders wichtig bei Links aus Anzeigen, sozialen Netzwerken oder Nachrichten: Öffnen Sie bekannte Shops lieber über Ihr Lesezeichen oder tippen Sie die Adresse selbst ein.
2. Alter der Domain ansehen – wo möglich. Bei vielen Endungen wie .com, .net oder .shop zeigt eine Whois- bzw. RDAP-Abfrage das Registrierungsdatum. Eine Seite, die erst seit wenigen Tagen existiert und zugleich große Marken zu Tiefpreisen anbietet, ist verdächtig. Bei .de-Adressen hilft das nicht: Die Domain-Abfrage der DENIC zeigt weder Inhaber noch Registrierungsdatum, sondern nur Status und letzte Änderung. Fehlt die Information, ist das also kein Beweis – weder für noch gegen den Shop. Achten Sie auch auf ungewöhnliche Endungen; das BSI nennt als Beispiel Adressen, die auf „.de.com“ enden.
3. Das Zertifikat richtig einordnen. Sie können im Browser auf das Schloss klicken und sehen, für welche Adresse das Zertifikat ausgestellt wurde. Das bestätigt die Verschlüsselung und den Adressbezug, nicht die Seriosität des Betreibers. Bricht der Browser mit einer Zertifikatswarnung ab: nicht fortfahren.
4. Anbieterkennzeichnung prüfen. Ein Impressum mit vollständigem Namen, ladungsfähiger Anschrift und Kontaktmöglichkeit gehört zu jedem gewerblichen Shop; bei eingetragenen Unternehmen kommen Registerangaben und, soweit vorhanden, die Umsatzsteuer-ID hinzu. Prüfen Sie, ob die Anschrift existiert und zum Shop passt, und suchen Sie nach Name und Firma zusammen mit „Erfahrungen“ oder „Betrug“. Kopierte Impressen echter Firmen sind eine bekannte Masche – ein vorhandenes Impressum ist deshalb kein Freibrief.
5. Den Fakeshop-Finder der Verbraucherzentrale nutzen. Die Verbraucherzentralen bieten ein kostenloses Online-Werkzeug, das eine Shop-Adresse auf typische Merkmale von Fakeshops prüft und ein Ampel-Ergebnis anzeigt. Grün bedeutet laut Verbraucherzentrale: Der Shop steht auf einer Liste von Shops, die bisher nicht negativ aufgefallen sind. Gelb heißt nicht automatisch „Fake“, sondern: Der Shop ist auf keiner der Listen, und mindestens ein Merkmal wird so verwendet wie häufig bei Fakeshops – selbst genauer hinsehen. Rot ist ein deutliches Warnsignal. Auch ein grünes Ergebnis ist keine Garantie, denn neue Fake-Shops tauchen laufend auf.
Zahlungsarten und Bestellbutton
- Nur Vorkasse: Typisch ist laut BSI, dass zunächst mehrere Zahlungsarten gezeigt werden, im Bestellvorgang dann aber nur Vorkasse bleibt. Überweisungen an unbekannte Konten lassen sich schwer zurückholen.
- Bestellbutton: Er muss eindeutig sagen, dass die Bestellung zahlungspflichtig ist (z. B. „Zahlungspflichtig bestellen“). Unklare Beschriftungen wie „Anmelden“ oder „Abschließen“ sind laut BSI ein Indiz für einen Fake-Shop.
- Kartendaten und Bankdaten: Geben Sie sie nur auf der Seite des Zahlungsdienstes ein, nicht in selbst gebauten Formularen, die „zur Verifizierung“ noch mehr Daten abfragen (z. B. Sicherheitscode plus Karten-PIN – die PIN verlangt kein Shop).
- Gütesiegel: Bei bekannten Siegeln erscheinen beim Klick weitere Informationen zum Shop beim Siegelgeber. Laut BSI sind die Siegellogos bei Fakeshops oft nicht klickbar oder erfunden – ein Logo ohne Link beweist nichts.
Warnsignale im Überblick
| Signal | Warum es auffällt | Wie stark? |
|---|---|---|
| Preise weit unter dem üblichen Niveau bei gefragten Artikeln | Köder | mittel – für sich allein kein Beweis |
| Nur Vorkasse oder Überweisung auf Privatkonto | kaum rückholbar | hoch |
| Impressum fehlt, unvollständig oder kopiert | Anbieter nicht greifbar | hoch |
| Adresse ahmt bekannte Marke nach | Täuschung | hoch |
| Domain erst seit kurzem registriert | Wegwerf-Shop | mittel |
| Fehlende AGB, Widerrufsbelehrung, Datenschutzerklärung | Pflichtangaben fehlen | mittel |
| Holprige oder maschinell übersetzte Texte | oft schnell zusammengebaut | niedrig bis mittel |
| Countdown, „nur noch heute“, Druck per Chat | Zeitdruck verhindert Prüfung | mittel |
Wenn Sie bereits Daten eingegeben haben: Notfallplan
Welche Daten Sie preisgegeben haben, bestimmt die Reihenfolge:
| Eingegeben wurde … | Sofortmaßnahme |
|---|---|
| nur ein Kundenkonto (E-Mail + Passwort) | Passwort bei dem Dienst und überall, wo es ebenfalls verwendet wird, ändern; 2FA einschalten |
| Kartendaten | Bank oder Kartenherausgeber anrufen, Karte sperren lassen, Abbuchungen prüfen |
| Bankverbindung / Überweisung getätigt | Bank sofort informieren und Rückholung bzw. Rückbuchung prüfen lassen – die Zeit spielt eine Rolle |
| Ausweisdaten / Ausweiskopie | Verlust-/Missbrauchsmeldung bei der zuständigen Behörde erwägen, Konten auf Auffälligkeiten beobachten |
| Daten per Link in SMS/Mail | zusätzlich Gerät prüfen (siehe unten), Absender melden |
Die Beweissicherung gehört zu jedem Fall: Bestellbestätigung, E-Mails, Screenshots der Seite und des Angebots, Adresse (URL) des Shops, Zahlungsbeleg und verwendete Kontodaten oder Mailadressen des Verkäufers. Dann Anzeige bei der Polizei erstatten – viele Landespolizeien bieten dafür eine Online-Wache. Hinweise zum weiteren Vorgehen geben die Verbraucherzentralen. Nach einem Datenabfluss hilft zusätzlich der Identitätsschutz im Überblick. Das ist eine allgemeine Orientierung, keine Rechtsberatung; für Ihren Einzelfall wenden Sie sich an Verbraucherzentrale oder Rechtsanwalt.
Gerät und Konten nach einem Fehlklick prüfen
Hat der Fake-Shop zusätzlich eine Datei, ein „Update“ oder eine App zum Herunterladen angeboten, oder haben Sie einem Link aus einer SMS gefolgt?
- Datei nicht öffnen bzw. bereits Installiertes deinstallieren. Auf dem Smartphone: unbekannte Apps in den Einstellungen suchen und entfernen.
- Einen vollständigen Scan mit einem Virenscanner durchführen (Windows: der integrierte Schutz genügt als Ausgangspunkt; eine Zweitmeinung per On-Demand-Scanner ist möglich). Hintergrund: Ist Windows Defender ausreichend?.
- Passwörter von einem anderen, sauberen Gerät aus ändern, wenn Sie den Verdacht haben, dass auf dem benutzten Gerät Schadsoftware läuft.
- E-Mail-Konto, Online-Banking, PayPal und Amazon auf unbekannte Geräte und Anmeldungen prüfen und fremde Sitzungen beenden.
- Bei anhaltendem Verdacht: Gerät auf Werkseinstellungen zurücksetzen, Daten aus einem Backup wiederherstellen.
Vorbeugen: Einstellungen, die Fehlklicks abfangen
- Passwort-Manager: Er füllt Zugangsdaten nur auf der gespeicherten Adresse aus. Fragt er auf einer „bekannten“ Seite nicht, ist das ein Hinweis auf eine Fälschung. Einordnung: Passwort-Manager im Überblick.
- Zwei-Faktor-Authentifizierung bei E-Mail, Bank und Zahlungsdiensten: Ein auf einer gefälschten Seite eingegebenes Passwort allein reicht dann nicht für die Anmeldung. Anleitung: Zwei-Faktor-Authentifizierung.
- Browser-Schutz (Warnung vor betrügerischen Seiten) aktiv lassen; Warnungen nicht wegklicken.
- Virtuelle oder separate Zahlungswege: Wer häufig bei unbekannten Shops einkauft, kann Zahlungsdienste nutzen, die keine Kartennummer an den Händler weitergeben; Konditionen und Käuferschutz-Fristen bitte beim Anbieter nachlesen.
- Updates: Betriebssystem und Browser aktuell halten.
- Misstrauen bei Zeitdruck: Countdown-Zähler und „nur noch wenige verfügbar“ sind Gestaltungselemente, keine Informationen.
Passende Werkzeuge der Site: Zugangsdaten sicher verwalten mit Bitwarden oder 1Password (Partnerlinks, Anzeige); als Ergänzung zum Virenschutz bietet Malwarebytes einen Scanner (Partnerlink, Anzeige). Kein Programm ersetzt die Prüfung der Adresse vor der Bestellung.
Wie Fake-Shops Kunden finden (und wie Sie dort aufpassen)
- Suchmaschinen-Anzeigen und Preisvergleiche: Nicht jede Anzeige ist geprüft; ein Platz ganz oben bedeutet keine Seriosität.
- Soziale Netzwerke: Anzeigen mit Rabatten auf Markenware; Kommentare unter der Anzeige können gekauft oder gelöscht sein.
- E-Mail und SMS: Gefälschte Versand- und Rabattnachrichten, oft mit Kurz-Links. Öffnen Sie keine Links aus unerwarteten Nachrichten; mehr zu den Mustern in Phishing erkennen und Social-Engineering-Schutz.
- KI-gestützte Texte: Gefälschte Seiten und Mails sind sprachlich sauberer geworden; holprige Sprache ist deshalb kein verlässliches Erkennungsmerkmal mehr. Siehe KI-Angriffe auf Privatnutzer.
Affiliate-Hinweis: Einige Links in diesem Artikel sind Partnerlinks (als Anzeige gekennzeichnet). Wir erhalten eine Provision bei Abschluss über unsere Links — ohne Mehrkosten für Sie.