Rund 119.000 Domains, verbunden durch gemeinsame Infrastruktur und wiederkehrende Merkmale der Shopsoftware. Produktkataloge echter Unternehmen, kopierte Beschreibungen und Originalbilder. Und Kunden, deren Beschwerden anschließend beim echten Shop landen. Wir haben ein Fakeshop-Netzwerk untersucht, dessen Ausmaß uns selbst überrascht hat. Wir nennen es DoppelCart.
Nach unserem Kenntnisstand ist DoppelCart der größte bislang öffentlich dokumentierte Fakeshop-Cluster, gemessen an der Zahl zugeordneter Domains. Allein seine .shop-Domains machen 2,72 Prozent des untersuchten .shop-Domainbestands aus. Das entspricht ungefähr jeder 37. Domain.
Wir veröffentlichen die komplette Datenbank zur Investigation, damit betroffene Unternehmen selbst nach ihrer Brand suchen können. Wer Hilfe beim Takedown braucht, kann sich an uns wenden. Journalisten und Security Researchern stellen wir auf Anfrage auch die Rohdaten zur Verfügung.
119.000
Domains, gerundet, dem Cluster zugeordnet
2,72 %
des untersuchten .shop-Domainbestands
106.095
archivierte HTML-Seiten in der Investigation
Von einzelnen Kundenfällen zu 119.000 Domains
Die Untersuchung begann in unserer täglichen Arbeit. Bei mehreren Kunden fanden wir Fakeshops und veranlassten deren Entfernung. Dabei begegneten uns bei den beteiligten Providern immer wieder dieselben Muster. Auch im laufenden Monitoring und bei Audits für Kunden tauchten sie auf.
Die Fälle betrafen unterschiedliche Unternehmen, zeigten aber auffällige Gemeinsamkeiten. Wir gingen deshalb der Frage nach, wie viele weitere Shops zu dieser Infrastruktur gehörten. Mithilfe öffentlich zugänglicher Website-Scans von urlscan konnten wir schnell mehrere Tausend Domains miteinander in Verbindung bringen.
Erst im Verlauf der vertieften Investigation wurde das volle Ausmaß sichtbar. Aus der Spur einzelner Kundenfälle wurde ein Bestand von rund 119.000 zugeordneten Domains. Hinter den verschiedenen Shopnamen ließ sich ein wiederkehrendes System erkennen: unterschiedliche Brand-Auftritte, aufgebaut auf derselben technischen Grundlage.
Wie groß dieses Netzwerk wirklich ist
Eine sechsstellige Domainzahl ist schwer einzuordnen. Der Anteil an .shop macht sie greifbarer: In unserem Vergleich stehen 118.787 unterschiedliche .shop-Domains des Clusters einem Bestand von 4.361.908 .shop-Domains gegenüber. Beide Zahlen beziehen sich auf die untersuchten Daten vom September 2026. Gemeint sind Domains im Zonenbestand, also im Verzeichnis der unter .shop im DNS eingetragenen Domains; daraus lässt sich nicht ableiten, wie viele echte oder gefälschte Shops gleichzeitig geöffnet sind.
Auch gegenüber anderen öffentlich dokumentierten Netzwerken ist die Größenordnung außergewöhnlich. Der bekannteste Vergleichsfall ist BogusBazaar, für den SRLabs 2024 mehr als 75.000 Domains meldete. Neuere Untersuchungen dokumentierten ebenfalls große Netzwerke:
| Untersuchung | Größenordnung | Bezugsgröße |
|---|---|---|
| DoppelCart · nebty, September 2026 | Rund 119.000 Domains | Dem Cluster zugeordnet |
| BogusBazaar · SRLabs, 2024 | 75.000+ Domains | Über mehrere Jahre; etwa 22.500 im April 2024 aktiv |
| FraudWear · CTM360, 2026 | 30.000+ Domains | Über die Zeit; etwa 8.000 gleichzeitig aktiv |
| Malwarebytes, März 2026 | 20.000+ Domains | Cluster mit gemeinsamer Infrastruktur |
| Fibergrid · Netcraft, April 2026 | 16.700 aktive Fakeshops | Auf verbundener Hosting-Infrastruktur |
Echte Produkte, echte Bilder, gefälschte Shops
Die Glaubwürdigkeit dieser Shops stammt zu einem erheblichen Teil von den Unternehmen, die sie kopieren. In den untersuchten Beispielen finden Besucher echte Produktnamen, ausführliche Beschreibungen und Originalmaterial der betroffenen Brands. Wer die Produkte bereits kennt, sieht dadurch vieles wieder, was vertraut wirkt.
In einem untersuchten Fakeshop wurden Produktbeschreibungen wortgleich aus dem echten Onlineshop übernommen. Die Kopie enthielt selbst ausführliche Angaben zu Produkteigenschaften und Konstruktion. Der Abgleich der archivierten HTML-Seite mit dem Originalshop zeigt, wie vollständig solche Inhalte übernommen werden.
In einem weiteren untersuchten Auftritt verweist das archivierte HTML auf zahlreiche Dateien auf dem Bildserver der betroffenen Brand, darunter Produktgrafiken und Icons. Teile des Materials werden somit direkt von der Infrastruktur des echten Shops eingebunden.
Die Kombination ist überzeugend: bekannte Produkte, vertraute Bilder und ein vermeintliches Sonderangebot. Die Beispiele zeigen, wie die Täuschung funktioniert.
Die Beschwerden landen beim echten Unternehmen
Unsere Kunden berichten von Beschwerden wegen Bestellungen, die nie bei ihnen eingegangen sind. Käufer erwarten eine Lieferung oder eine Erklärung und wenden sich an das echte Unternehmen. Sie müssen erst erfahren, dass sie auf einer anderen Website bestellt haben, die dessen Identität missbraucht.
Dazu trägt bei, dass Fakeshops auch Supportadressen der echten Shops auf ihren Seiten angeben. Für Käufer erscheint die Kontaktadresse als weiterer Hinweis auf einen offiziellen Auftritt. Wenn Probleme auftreten, führt sie die Beschwerde direkt zum Unternehmen, dessen Inhalte kopiert wurden.
Für die betroffene Brand bedeutet das Erklärungsarbeit: Der Kundenservice muss nachvollziehen, was passiert ist, die fremde Bestellung vom eigenen Geschäft abgrenzen und enttäuschten Menschen antworten. Das Vertrauen in den echten Shop kann darunter leiden, obwohl dieser weder die Bestellung noch die Zahlung erhalten hat.
Warum wir die Datenbank veröffentlichen
Unternehmen sollen herausfinden können, ob ihre Brand betroffen ist, ohne dafür zuerst einen Anbieter kontaktieren zu müssen. Deshalb machen wir den vollständigen Untersuchungsbestand zugänglich. Die Datenbank erlaubt die Suche nach Brandnamen und Domains und zeigt die jeweilige Einstufung sowie vorhandene Belege.
Die verlinkte Ansicht beginnt bei bestätigten Einträgen mit einem erkannten Brandnamen. Über die Filter lässt sich auch der übrige Bestand einsehen. Dieser enthält weitere Verdachtsfälle, nicht mehr auflösbare Domains und bereits ausgeschlossene Einträge. Die Gesamtzahl aller Datenbankzeilen ist deshalb größer als die Zahl der bestätigten Cluster-Mitglieder.
Ist Ihre Brand dabei?
Suchen Sie nach Ihrem Brandnamen oder Ihrer Domain. Prüfen Sie bei Bedarf auch Schreibweisen und Namen Ihrer einzelnen Shops.
DoppelCart-Datenbank durchsuchen →Journalisten und Security Researcher können einen Export und die zugrunde liegenden Rohdaten, einschließlich archivierter HTML-Seiten, unter [email protected] anfragen. Auch Hinweise auf fehlerhafte Zuordnungen nehmen wir dort entgegen. Ein Datensatz dieser Größe muss überprüfbar und korrigierbar sein.
Was betroffene Brands jetzt tun können
Ein Fund in der Datenbank ist ein konkreter Ausgangspunkt. Prüfen Sie den zugeordneten Auftritt und die vorhandenen Aufnahmen: Welche Inhalte stammen aus Ihrem Shop? Welche Identität wird verwendet? Da sich Websites verändern, ist für einen Takedown der aktuelle Zustand relevant. Unser Website-Scanner kann eine neue Aufnahme zur Prüfung erstellen.
Die Takedowns, die wir bislang für Kunden gegen Shops dieses Clusters durchgeführt haben, wirken: Die entfernten Shops sind nach unserer bisherigen Beobachtung offline geblieben. Gleichzeitig ist der Großteil des Clusters nach unserer Beobachtung weiterhin online. Die Größe des Netzwerks ist deshalb ein Grund, nach der eigenen Brand zu suchen und konkrete Funde anzugehen.
Wir unterstützen betroffene Unternehmen bei der Prüfung und beim Website- und Domain-Takedown. Dafür helfen insbesondere die gefundenen Domains und die Adresse Ihres echten Shops, damit sich die übernommenen Inhalte zuordnen lassen.
Einen Fakeshop Ihrer Brand gefunden?
Schicken Sie uns die betreffenden Domains und den Link zu Ihrem echten Shop. Wir helfen Ihnen bei den nächsten Schritten.
Takedown anfragen →Oder schreiben Sie an [email protected].
Weitere Informationen: Fakeshops entfernen lassen und verdächtige Websites sicher prüfen.
Über den Autor
Benedikt Scheungraber
Co-Founder & CEO, nebty
Benedikt hat nebty gegründet, um professionelle Brand Protection für Unternehmen jeder Größe zugänglich zu machen. Er schreibt über digitale Bedrohungen, Domain-Missbrauch und wie Unternehmen ihre Online-Identität schützen können.
