Wie viel Schaden richten Fakeshops an? Die Ökonomie hinter DoppelCart

Wie viel Schaden richten Fakeshops an? Bisherige Schätzungen beziehen sich auf einzelne Länder oder Netzwerke. Eine Rechnung, die beides zusammenbringt, fehlt.

Das Ausmaß hat sich bei unserer Untersuchung eines Fakeshop-Netzwerks gezeigt, das wir DoppelCart nennen. Ausgangspunkt waren einzelne Fakeshops, die wir für Kunden gemeldet hatten. Über gemeinsame Merkmale im Quellcode und in der Infrastruktur fanden wir weitere Shops und konnten dem Netzwerk schließlich 119.000 Domains zuordnen. So konnten wir das größte öffentlich dokumentierte Fakeshop-Netzwerk über Wochen beobachten und auswerten. Für diesen Beitrag haben wir die Daten neu ausgewertet: Preise, Erreichbarkeit über die Zeit, Registrierungsdaten, Suchtests und die Zeit bis zur Sperrung.

Der Köder: 14 Dollar und 70 Prozent Rabatt

Aus 80.428 archivierten Shops haben wir 367.654 Preise ausgelesen. Jeder dieser Shops zeigt durchgestrichene Preise, fast alle geben pauschal 65 oder 70 Prozent Rabatt. Der Median liegt bei 14 Dollar, 90 Prozent der Preise liegen unter 138 Dollar. Zu solchen Preisen verkauft niemand Markenware. Die Angebote sollen Besucher vor allem dazu bringen, ihre Kartendaten einzugeben.

Genau darauf ist der Checkout ausgelegt. Er erfasst Kartendaten und den Bestätigungscode der Bank. Das haben wir bei der Untersuchung festgestellt; BleepingComputer hat darüber berichtet. Ein Händlerkonto bei einem Zahlungsdienstleister braucht DoppelCart dafür nicht. Der Bestellbetrag wird womöglich nie abgebucht. Teuer wird es erst danach.

Wie hoch ist der Schaden durch Kartenmissbrauch?

Bei DoppelCart kennen wir einen Fall, in dem die Karte einer Käuferin nach der Eingabe ohne ihr Zutun bei einem mobilen Bezahldienst hinterlegt wurde. Das passt zu einem Vorgehen, das Krebs on Security bei Phishing-Gruppen beschrieben hat: Die Seite fragt nach einem Bestätigungscode der Bank. Mit diesem Code erlauben die Opfer aber tatsächlich, ihre Karte in Apple Pay oder Google Wallet auf einem Handy der Täter einzurichten. Danach bezahlen die Täter mit der Karte, ohne dass die Bank erneut nach einem Code fragt. Der Sicherheitsforscher Ford Merrill rechnet dabei mit 100 bis 500 Dollar Schaden pro Karte.

Kassiert ein Fakeshop nur den Bestellbetrag, ist das der Schaden: bei BogusBazaar im Schnitt rund 50 Dollar. Der Finanzguru Fake-Shop-Report 2024 zählte für Deutschland 2023 rund 301.000 Opfer mit durchschnittlich 313 Euro Schaden, zusammen über 94 Millionen Euro.

Einen Teil des Kartenbetrugs fangen Banken ab: Im Vereinigten Königreich stoppten sie 2024 nach Angaben von UK Finance 67 Pence von jedem Pfund, das Betrüger ohne Zustimmung abbuchen wollten. Was durchkommt, müssen Banken in der EU grundsätzlich erstatten. Trotzdem blieben Karteninhaber im Europäischen Wirtschaftsraum 2024 auf rund 38 Prozent der Verluste aus Kartenbetrug sitzen (EBA und EZB), auch weil Banken grobe Fahrlässigkeit vorwerfen, wenn jemand den Bestätigungscode selbst eingegeben hat.

So viel Schaden richtet DoppelCart an

Wie viele Menschen bei DoppelCart ihre Karte eingeben, sehen wir nicht direkt. Einen Anhaltspunkt liefert BogusBazaar: SRLabs dokumentierte dort über eine Million Bestellungen auf mehr als 75.000 Domains in rund drei Jahren, im Schnitt etwa 0,37 pro Domain und Monat. Wir rechnen mit:

• rund 90.000 aktiven Shops, der Größe vom 12. Oktober 2026, über ein ganzes Jahr,
• 0,1 oder 0,4 Opfern pro Shop und Monat,
• 100 oder 500 Dollar Schaden pro gestohlener Karte.

Im Rechner können Sie die vier Szenarien vergleichen und die Annahmen selbst verändern. Mit dem Schalter oben können Sie zur Berechnung für alle Fakeshops weltweit wechseln.

Schon im niedrigsten Szenario kommen 10,8 Millionen Dollar im Jahr zusammen, im höchsten 216 Millionen. Dem stehen sehr geringe Kosten gegenüber. 118.787 der bestätigten Domains enden auf .shop, das sind 2,72 Prozent des .shop-Domainbestands, den wir im September 2026 untersucht haben. Bei Dynadot kostete eine .shop-Domain am 29. September 2026 1,99 Dollar, und alle rund 8.500 Domains mit öffentlichem Registrierungsdatum stammen aus 2025 und 2026. Mit rund 2 Dollar pro Domain kostet das erste Jahr des gesamten Netzwerks etwa 240.000 Dollar. Der Schaden ist damit 45- bis 900-mal so hoch.

Pro Shop ist das wenig: In unseren Szenarien richtet ein einzelner DoppelCart-Shop 10 bis 200 Dollar Schaden im Monat an. Wie viel höher der Schaden pro Shop ausfallen kann, zeigt ein Verfahren vor dem Landgericht Rostock. Dort fanden gut 30 Shops, die jeweils nur Tage oder Wochen online waren, über 10.000 Geschädigte und richteten 4,34 Millionen Euro Schaden an (Händlerbund), mehr als 300 Opfer pro Shop. DoppelCart setzt nicht auf Ausbeute, sondern auf Masse: Das Netzwerk betreibt rund 3.000-mal so viele Shops.

Hochgerechnet auf alle Fakeshops weltweit

Für die Berechnung des weltweiten Schadens gehen wir von der Zahl der Opfer aus und nutzen den Schaden pro Karte aus DoppelCart:

• 2,71 Milliarden Onlinekäufer weltweit (Statista, via Oberlo),
• 0,43 Prozent davon verlieren pro Jahr Geld an einen Fakeshop, entsprechend dem Anteil unter den Bankkunden in Deutschland laut Finanzguru,
• 100 oder 500 Dollar Schaden pro Opfer, wie bei DoppelCart.

Das ergibt knapp 12 Millionen Opfer und 1,2 bis 5,8 Milliarden Dollar Schaden pro Jahr.

Die Ergebnisse zweier Gegenproben liegen mitten in dieser Spanne. Mit dem durchschnittlichen Schaden aus Deutschland, 313 Euro oder rund 340 Dollar, ergeben sich knapp 4 Milliarden Dollar. Die US-Verbraucherschutzbehörde FTC erhielt 2024 383.441 Meldungen zu Betrug beim Onlineshopping, 76 Prozent davon mit einem Verlust von im Schnitt rund 1.480 Dollar (Consumer Sentinel Data Book). Das betrifft 0,11 Prozent der Erwachsenen in den USA; auf alle Onlinekäufer übertragen sind das rund 4,4 Milliarden Dollar. Zwei unabhängige Datensätze, rund 4 Milliarden Dollar Schaden im Jahr.

Im Rechner auf „Alle Fakeshops weltweit“ umschalten

Wie viele Fakeshops hinter diesem Schaden stehen, hängt davon ab, wie viele Opfer ein Shop findet. Fänden alle so wenige wie in unseren DoppelCart-Szenarien, wären es 2,4 bis 9,7 Millionen gleichzeitig aktive Shops. In veröffentlichten Zählungen tauchen für 2026 deutlich weniger auf:

Wie viele Shops in mehreren Listen stehen, ist nicht bekannt. Für 2026 ergibt sich deshalb eine Spanne: Überschneiden sich die Live-Zählungen vollständig, bleiben die 90.000 von DoppelCart, überschneiden sie sich gar nicht, sind es rund 115.000. Für die Lücke zur Hochrechnung gibt es zwei Erklärungen: Es gibt weit mehr Fakeshops, als in veröffentlichten Zählungen auftauchen, oder viele Shops finden deutlich mehr Opfer, so wie im Rostocker Fall. Wahrscheinlich gilt beides.

Warum sich das für die Betreiber lohnt

Ein neuer DoppelCart-Shop kostet kaum mehr als seine Domain. 96 Prozent der bestätigten Shops verwenden identische Build-Dateien. Sie verteilen sich auf 27 Backend-Regionen, im Schnitt rund 3.900 Shops pro Region; bei BogusBazaar liefen laut SRLabs etwa 200 Shops auf einem Server. Die Produkttexte sind wortgleich aus echten Shops kopiert, Bilder laden die Fakeshops direkt von den Bildservern der betroffenen Brands. Aus den Shops haben wir mehr als 44.000 Markenbezeichnungen extrahiert.

Zudem entfallen zwei teure Posten anderer Kampagnen. ERIAKOS etwa nutzte Händlerkonten bei Zahlungsdienstleistern, die gesperrt werden können (Recorded Future); allein 2025 identifizierte Recorded Future mehr als 3.600 betrügerische Händlerkonten (Payment Fraud Report 2025). Für ERIAKOS zählte Recorded Future außerdem in vielen Fällen mehr als 100 Meta-Anzeigen am Tag pro Seite. Bei DoppelCart fanden wir keine Klick-Kennungen aus Werbeanzeigen. Gefunden werden die Shops trotzdem: Bei 22 von 26 Suchen nach langen, wörtlich kopierten Produktnamen erschien mindestens ein DoppelCart-Shop unter den ersten zehn Treffern, vor allem in einer Suchmaschine auf Bing-Basis.

Was Sperrungen bringen

Sperrungen wirken schnell. Bei den Shops, die wir gemeldet haben und die anschließend von der Registry gesperrt wurden, vergingen zwischen Meldung und Sperrung ein bis fünf Tage. Die Betreiber halten aber Ersatz bereit: Für eine Brand fanden wir neun Domains statt der zunächst bekannten fünf. Der Großteil des Netzwerks bleibt weiterhin online. Anfang September 2026 waren über 105.000 Shops aktiv, am 12. Oktober noch rund 90.000.

Die rund 15.000 Shops, die seit Anfang September verschwunden sind, stehen in unseren Szenarien für 150.000 bis 3 Millionen Dollar Schaden pro Monat. Für betroffene Brands heißt das: nicht nur den einen bekannten Shop melden, sondern nach allen Kopien suchen und die Domains gemeinsam melden. Ein Ausgangspunkt dafür ist unsere öffentliche DoppelCart-Datenbank. Wer eine Sperrung veranlassen kann und welche Angaben in die Meldung gehören, erklärt der Leitfaden Fake Shop entfernen.

Bis dahin landen die Beschwerden beim echten Unternehmen: Menschen fragen nach Bestellungen, die im echten Shop nie eingegangen sind. Wie sich der Kundenservice darauf vorbereitet, steht im Leitfaden unter Schaden begrenzen.

Häufige Fragen zum Schaden durch Fakeshops

Weitere Informationen: die DoppelCart-Untersuchung und der Leitfaden Fake Shop entfernen.