Wie viel Schaden richten Fakeshops an? Die Ökonomie hinter DoppelCart

Wie viel Schaden richten Fakeshops an? Bisherige Schätzungen beziehen sich auf einzelne Länder oder Netzwerke. Eine Rechnung, die beides zusammenbringt, fehlt.

Das Ausmaß hat sich bei unserer Untersuchung eines Fakeshop-Netzwerks gezeigt, das wir DoppelCart nennen. Ausgangspunkt waren einzelne Fakeshops, die wir für Kunden gemeldet hatten. Über gemeinsame Merkmale im Quellcode und in der Infrastruktur fanden wir weitere Shops und konnten dem Netzwerk schließlich 119.000 Domains zuordnen. So konnten wir das größte öffentlich dokumentierte Fakeshop-Netzwerk über Wochen beobachten und auswerten. Für diesen Beitrag haben wir die Daten neu ausgewertet: Preise, Erreichbarkeit über die Zeit, Registrierungsdaten, Suchtests und die Zeit bis zur Sperrung.

Der Köder: 14 Dollar und 70 % Rabatt

nebty hat die gespeicherten Seiten von 80.428 DoppelCart-Shops untersucht und dabei 367.654 Preisangaben ausgewertet. Jeder dieser Shops zeigt durchgestrichene Preise, fast alle geben pauschal 65 oder 70 % Rabatt. Der Median liegt bei 14 Dollar, 90 % der Preise liegen unter 138 Dollar. Diese Preise für Markenware sind unrealistisch. Die Angebote sollen Besucher dazu verleiten, ihre Kartendaten einzugeben.

Darauf ist der Checkout ausgelegt: Er erfasst Kartendaten und den Bestätigungscode der Bank. Das hat nebty bei der Untersuchung festgestellt; BleepingComputer hat darüber berichtet. Ein Händlerkonto bei einem Zahlungsdienstleister braucht DoppelCart dafür nicht. Der Bestellbetrag wird womöglich nie abgebucht. Der Schaden kann durch den anschließenden Missbrauch der Kartendaten entstehen.

Wie hoch ist der Schaden durch Kartenmissbrauch?

Ein nebty-Kunde berichtete von einer Verbraucherin, die sich an seinen Support gewandt hatte: Nachdem sie ihre Kartendaten in einem DoppelCart-Shop eingegeben hatte, wurde ihre Karte ohne ihr Wissen bei einem mobilen Bezahldienst hinterlegt. Das passt zu einem Vorgehen, das Krebs on Security bei Phishing-Gruppen beschrieben hat: Die Seite fragt nach einem Bestätigungscode der Bank. Mit diesem Code erlauben die Opfer aber tatsächlich, ihre Karte in Apple Pay oder Google Wallet auf einem Handy der Täter einzurichten. Danach bezahlen die Täter mit der Karte, ohne dass die Bank erneut nach einem Code fragt. Der Sicherheitsforscher Ford Merrill rechnet dabei mit 100 bis 500 Dollar Schaden pro Karte.

Kassiert ein Fakeshop nur den Bestellbetrag, ist das der Schaden: bei BogusBazaar im Schnitt rund 50 Dollar. Der Finanzguru Fake-Shop-Report 2024 zählte für Deutschland 2023 rund 301.000 Opfer mit durchschnittlich 313 Euro Schaden, zusammen über 94 Millionen Euro.

Einen Teil des Kartenbetrugs fangen Banken ab: Im Vereinigten Königreich stoppten sie 2024 nach Angaben von UK Finance 67 Pence von jedem Pfund, das Betrüger ohne Zustimmung abbuchen wollten. Was durchkommt, müssen Banken in der EU grundsätzlich erstatten. Trotzdem blieben Karteninhaber im Europäischen Wirtschaftsraum 2024 auf rund 38 % der Verluste aus Kartenbetrug sitzen (EBA und EZB), auch weil Banken grobe Fahrlässigkeit vorwerfen, wenn jemand den Bestätigungscode selbst eingegeben hat.

So viel Schaden richtet DoppelCart an

Wie viele Menschen ihre Kreditkartendaten in einem DoppelCart-Shop eingeben, kann nebty nicht direkt messen. Einen Anhaltspunkt liefert BogusBazaar: SRLabs dokumentierte dort über eine Million Bestellungen auf mehr als 75.000 Domains in rund drei Jahren, im Schnitt etwa 0,37 pro Domain und Monat. Unsere Schätzung basiert auf folgenden Annahmen:

• Rund 90.000 Shops waren am 12. Oktober 2026 noch aktiv. Für die Modellrechnung bleibt diese Zahl über ein Jahr konstant.
• Angenommen werden 0,1 oder 0,4 Opfer pro Shop und Monat.
• Pro übernommener Karte entstehen 100 oder 500 Dollar Schaden.

In unserem Rechner können Sie die vier Szenarien vergleichen und die Annahmen selbst verändern. Der Schalter „Alle Fakeshops weltweit“ öffnet eine Hochrechnung für sämtliche Fakeshops, auch außerhalb von DoppelCart.

Dem stehen geringe Domainkosten der Fakeshop-Betreiber gegenüber: 118.787 der bestätigten Domains enden auf .shop, das sind 2,72 % des .shop-Domainbestands, den wir im September 2026 untersucht haben. Bei Dynadot kostete eine .shop-Domain am 29. September 2026 1,99 Dollar, und alle rund 8.500 Domains mit öffentlichem Registrierungsdatum stammen aus 2025 und 2026. Mit rund 2 Dollar pro Domain ergeben sich etwa 240.000 Dollar Domainkosten für das erste Jahr des gesamten Netzwerks. Software und Hosting sind darin nicht enthalten. Der Schaden ist damit 45- bis 900-mal so hoch.

Pro Shop ist das wenig: In unseren Szenarien richtet ein einzelner DoppelCart-Shop 10 bis 200 Dollar Schaden im Monat an. Wie viel höher der Schaden pro Shop ausfallen kann, zeigt ein Verfahren vor dem Landgericht Rostock. Dort fanden gut 30 Shops, die jeweils nur Tage oder Wochen online waren, über 10.000 Geschädigte und richteten 4,34 Millionen Euro Schaden an (Händlerbund), mehr als 300 Opfer pro Shop. DoppelCart setzt nicht auf Ausbeute, sondern auf Masse: Das Netzwerk betreibt rund 3.000-mal so viele Shops.

Hochgerechnet auf alle Fakeshops weltweit

Für die Berechnung des weltweiten Schadens gehen wir von der Zahl der Opfer aus und nutzen den Schaden pro Karte aus DoppelCart:

• 2,71 Milliarden Onlinekäufer weltweit (Statista, via Oberlo),
• 0,43 % davon verlieren pro Jahr Geld an einen Fakeshop, entsprechend dem Anteil unter den Bankkunden in Deutschland laut Finanzguru,
• 100 oder 500 Dollar Schaden pro Opfer, wie bei DoppelCart.

Die Ergebnisse zweier Gegenproben liegen mitten in dieser Spanne. Mit dem durchschnittlichen Schaden aus Deutschland, 313 Euro oder rund 340 Dollar, ergeben sich knapp 4 Milliarden Dollar. Die US-Verbraucherschutzbehörde FTC erhielt 2024 383.441 Meldungen zu Betrug beim Onlineshopping, 76 % davon mit einem Verlust von im Schnitt rund 1.480 Dollar (Consumer Sentinel Data Book). Das betrifft 0,11 % der Erwachsenen in den USA; auf alle Onlinekäufer übertragen sind das rund 4,4 Milliarden Dollar. Zwei unabhängige Datensätze, rund 4 Milliarden Dollar Schaden im Jahr.

Im Rechner auf „Alle Fakeshops weltweit“ umschalten

Wie viele Fakeshops hinter diesem Schaden stehen, hängt davon ab, wie viele Opfer ein Shop findet. Fänden alle so wenige wie in unseren DoppelCart-Szenarien, wären es 2,4 bis 9,7 Millionen gleichzeitig aktive Shops. In veröffentlichten Zählungen tauchen für 2026 deutlich weniger auf:

Wie viele Shops in mehreren Listen stehen, ist nicht bekannt. Für 2026 ergibt sich deshalb eine Spanne: Überschneiden sich die Live-Zählungen vollständig, bleiben die 90.000 von DoppelCart, überschneiden sie sich gar nicht, sind es rund 115.000. Für die Lücke zur Hochrechnung gibt es zwei Erklärungen: Es gibt weit mehr Fakeshops, als in veröffentlichten Zählungen auftauchen, oder viele Shops finden deutlich mehr Opfer, so wie im Rostocker Fall. Wahrscheinlich gilt beides.

Der zusätzliche Schaden für echte Shops

Unsere Hochrechnung erfasst die direkten Geldverluste aus Fakeshop-Betrug und Kartenmissbrauch. Nach Erstattungen tragen einen Teil davon Banken und Händler. Die wirtschaftlichen Folgen für echte Shopbetreiber gehen darüber hinaus und sind in unseren Zahlen nicht enthalten.

Reputationsverlust und Aufwand im Kundenservice. Wer bei einem kopierten Shop bestellt und keine Ware erhält, kann den Betrug dem echten Unternehmen zuschreiben. Beschwerden landen dann beim Kundenservice des Originalshops. Dort müssen Mitarbeitende Fälle aufklären, obwohl das Unternehmen an der Bestellung nichts verdient hat. Enttäuschte Käufer können das Vertrauen in die echte Brand verlieren. Eine 2021 von Tech Monitor beschriebene Mimecast-Befragung zeigt, was dabei auf dem Spiel steht: 65 % der befragten britischen Verbraucher sagten, sie würden bei ihrer Lieblingsmarke nicht mehr kaufen, wenn sie Opfer eines Betrugs unter deren Namen würden.

Verunsicherung kostet auch unbeteiligte Shops Kunden. Eine Untersuchung des Österreichischen E-Commerce-Gütezeichens beschreibt, wie stark Käufer auf bereits bekannte Anbieter setzen. Wer aus Sorge vor Fakeshops lieber auf vertrauten großen Plattformen einkauft, fehlt unabhängigen Shops als Kunde. Aus unserer Sicht können Fakeshops so auch Unternehmen Umsatz kosten, deren eigener Shop nie kopiert wurde.

Zusätzliche Konkurrenz erhöht den Marketingaufwand. Bei DoppelCart haben wir Konkurrenz in Suchergebnissen dokumentiert. Für Fakeshops allgemein belegt der Verbraucherzentrale Bundesverband zudem Werbung bei Google und Meta. Echte Shops müssen damit auch gegen betrügerische Angebote um Sichtbarkeit konkurrieren. Zusätzliche Konkurrenz in Anzeigenauktionen kann Klickpreise beeinflussen. Dazu kommt Aufwand für Suchmaschinenoptimierung, um neben den Fakes in den Suchergebnissen sichtbar zu bleiben.

Entgangene Umsätze, Reputationsschäden und zusätzliche Marketingkosten vergrößern den wirtschaftlichen Gesamtschaden. Wie hoch diese zusätzlichen Folgen insgesamt sind, lässt sich aus unseren DoppelCart-Daten nicht beziffern.

Warum sich das für die Betreiber lohnt

Ein neuer DoppelCart-Shop kostet kaum mehr als seine Domain. 96 % der bestätigten Shops verwenden identische Build-Dateien. Sie verteilen sich auf 27 Backend-Regionen, im Schnitt rund 3.900 Shops pro Region; bei BogusBazaar liefen laut SRLabs etwa 200 Shops auf einem Server. Die Produkttexte sind wortgleich aus echten Shops kopiert, Bilder laden die Fakeshops direkt von den Bildservern der betroffenen Brands. Aus den Shops haben wir mehr als 44.000 Markenbezeichnungen extrahiert.

Zudem entfallen zwei teure Posten anderer Kampagnen. ERIAKOS etwa nutzte Händlerkonten bei Zahlungsdienstleistern, die gesperrt werden können (Recorded Future); allein 2025 identifizierte Recorded Future mehr als 3.600 betrügerische Händlerkonten (Payment Fraud Report 2025). Für ERIAKOS zählte Recorded Future außerdem in vielen Fällen mehr als 100 Meta-Anzeigen am Tag pro Seite. Bei DoppelCart fanden wir keine Klick-Kennungen aus Werbeanzeigen. Gefunden werden die Shops trotzdem: Bei 22 von 26 Suchen nach langen, wörtlich kopierten Produktnamen erschien mindestens ein DoppelCart-Shop unter den ersten zehn Treffern, vor allem in einer Suchmaschine auf Bing-Basis.

Was Sperrungen bringen

Bei DoppelCart-Shops, die nebty gemeldet hatte und die anschließend von der Registry gesperrt wurden, vergingen zwischen Meldung und Sperrung ein bis fünf Tage. Die Betreiber halten aber Ersatz bereit: Für eine Brand fanden wir neun Domains statt der zunächst bekannten fünf. Der Großteil des Netzwerks war am letzten Erhebungstag weiterhin online: Anfang September 2026 waren über 105.000 Shops aktiv, am 12. Oktober noch rund 90.000.

Die rund 15.000 Shops, die zwischen Anfang September und dem 12. Oktober 2026 verschwunden sind, stehen in unseren Szenarien für 150.000 bis 3 Millionen Dollar Schaden pro Monat. Für betroffene Brands heißt das: nicht nur den einen bekannten Shop melden, sondern nach allen Kopien suchen und die Domains gemeinsam melden. Ein Ausgangspunkt dafür ist unsere öffentliche DoppelCart-Datenbank. Wer eine Sperrung veranlassen kann und welche Angaben in die Meldung gehören, erklärt der Leitfaden Fake Shop entfernen.

Bis dahin landen die Beschwerden beim echten Unternehmen: Menschen fragen nach Bestellungen, die im echten Shop nie eingegangen sind. Wie sich der Kundenservice darauf vorbereitet, steht im Leitfaden unter Schaden begrenzen.

Häufige Fragen zum Schaden durch Fakeshops

Weitere Informationen: die DoppelCart-Untersuchung und der Leitfaden Fake Shop entfernen.