Fake-Shops mit Ihrer Marke: Nachahmer im Q4 früh erkennen

Warum Fake-Shops im Weihnachtsgeschäft Hochsaison haben

Die Verbraucherzentrale NRW hat ihre Pressemitteilung vom 20. November 2025 mit „Fakeshops haben Hochkonjunktur“ überschrieben. Ihr Prüfwerkzeug für Online-Shops hatte bis dahin 86.000 gefälschte Online-Shops identifiziert, und jeden Monat kamen rund 1.200 neue hinzu (Verbraucherzentrale NRW). Die Zahlen beschreiben den Stand vom November 2025 und umfassen alle erkannten Fake-Shops, nicht nur Kopien bekannter Marken. Sie zeigen aber die Größenordnung: Wer einen Online-Shop unter eigenem Namen betreibt, bewegt sich in einem Umfeld, in dem laufend neue Imitate entstehen und wieder verschwinden.

Auf der Seite der Kundschaft sieht es ähnlich aus. In einer Forsa-Befragung im Auftrag des Verbraucherzentrale Bundesverbands vom September 2025 gaben 70 Prozent derjenigen, die in den zwei Jahren zuvor online eingekauft hatten, an, auf einen Shop gestoßen zu sein, der unseriös oder betrügerisch wirkte (vzbv). Nahezu jede bzw. jeder achte Online-Shopper, 12 Prozent, ist in diesen zwei Jahren auf einen Fake-Shop hereingefallen (vzbv). Der Cybersicherheitsmonitor 2026 von BSI und Polizeilicher Kriminalprävention kommt aus einer anderen Richtung zum selben Bild: Unter den Befragten, die in den zwölf Monaten vor der Erhebung im Januar 2026 Opfer von Cyberkriminalität wurden, war Betrug beim Onlineshopping mit 22 Prozent die am häufigsten genannte Straftat (Cybersicherheitsmonitor 2026).

Dass Kopien gerade im vierten Quartal auftauchen, hat einen schlichten Grund: Dort liegt das Geld. Der Handelsverband Deutschland erwartete für November und Dezember 2025 im Online-Handel Weihnachtsumsätze von 22,2 Milliarden Euro (HDE). Über den gesamten Einzelhandel entfallen 18,5 Prozent des Jahresumsatzes auf diese beiden Monate (HDE), und allein für Black Friday und Cyber Monday rechnete der Verband 2025 mit 5,8 Milliarden Euro Umsatz (HDE). Viele Käuferinnen und Käufer suchen in diesen Wochen gezielt nach Rabatten, vergleichen schnell und entscheiden unter Zeitdruck. Ein Shop, der aussieht wie Ihrer und deutlich billiger ist, trifft genau auf diese Stimmung, und eine Bestellung ist schneller abgeschickt, als jemand das Impressum liest.

Was eine Shop-Kopie unter Ihrer Marke ausmacht

Nicht jeder Fake-Shop zielt auf eine bestimmte Marke. Viele verkaufen unter Fantasienamen bekannte Produkte zu unrealistischen Preisen und verschwinden oft nach kurzer Zeit wieder. Für Händler mit eigenem Namen ist eine andere Spielart wichtiger: die Kopie des eigenen Auftritts. Sie übernimmt Logo, Produktfotos und Beschreibungstexte, oft auch Teile des Impressums, und läuft unter einer Domain, die Ihrer zum Verwechseln ähnlich sieht. Welche Domainvarianten Angreifer dafür nutzen, vom Tippfehler über Homoglyphen bis zur fremden Endung, beschreibt der Beitrag zu Typosquatting und Lookalike-Domains. Hier geht es um das, was im Weihnachtsgeschäft dazukommt.

• Die Domain kombiniert Ihren Namen mit einem Zusatz wie „sale“, „outlet“ oder „black-friday“ oder läuft unter einer Endung, die Sie selbst nicht nutzen.
• Produktfotos und Texte stammen aus Ihrem Shop, die Preise liegen deutlich unter Ihren eigenen Aktionspreisen.
• Bezahlt wird per Vorkasse oder über Wege, die Sie selbst nicht anbieten; ein Käuferschutz fehlt.
• Impressum und Umsatzsteuer-ID fehlen, sind erfunden oder von Ihrer Seite übernommen. Ein fehlendes Impressum und eine gefälschte Umsatzsteuer-ID nennt die Verbraucherzentrale NRW als typische Merkmale unseriöser Shops (Verbraucherzentrale NRW).
• Die Domain ist oft erst wenige Tage oder Wochen alt und wurde kurz vor dem Aktionszeitraum registriert.

Hinzu kommt die Geschwindigkeit. Nach Beobachtung der Verbraucherzentrale NRW werden Fake-Shops, die über bezahlte Anzeigen in sozialen Netzwerken verbreitet werden, häufig unmittelbar nach der Freischaltung einer neuen Domain beworben und erreichen in kurzer Zeit viele potenzielle Opfer, noch bevor sie in Suchergebnissen an relevanter Stelle auftauchen (Verbraucherzentrale NRW). Der vzbv hat im September 2025 die Domains von 653 Shops mit Fake-Shop-Warnung mit den Werbedatenbanken zweier großer Plattformbetreiber abgeglichen; für die Hälfte davon lief dort bezahlte Werbung (vzbv). Für Markeninhaber heißt das: Zwischen der Registrierung einer Kopie und den ersten Bestellungen können wenige Tage liegen. Eine Suche nach dem eigenen Namen einmal pro Woche reicht dafür in der Regel nicht aus.

Die Zahlen zeigen, wie verbreitet der Betrug im Online-Handel ist und wie groß die Unsicherheit bei Verbraucher:innen.

— Wolfgang Schuldzinski, Vorstand der Verbraucherzentrale NRW, Pressemitteilung vom 20. November 2025

Drei öffentliche Spuren: Domain, DNS und Zertifikat

Bevor eine Shop-Kopie die erste Bestellung annimmt, hinterlässt sie Spuren in öffentlichen Verzeichnissen. Sie braucht eine registrierte Domain, einen DNS-Eintrag, der auf einen Server zeigt, und in der Regel ein TLS-Zertifikat, weil Browser Seiten ohne HTTPS als nicht sicher kennzeichnen. Jede dieser Spuren lässt sich von außen beobachten, ohne die Kopie aufzurufen und ohne Zugriff auf fremde Systeme.

Certificate Transparency ist dafür gebaut, dass Dritte genau hinsehen: RFC 9162 beschreibt das Protokoll als öffentliche Protokollierung von TLS-Zertifikaten, die es jedem erlaubt, die Ausstellung verdächtiger Zertifikate zu bemerken (RFC 9162). Browser setzen das durch. In Chrome müssen öffentlich vertrauenswürdige Zertifikate CT-konform sein, um überhaupt akzeptiert zu werden (Chrome CT Policy). Ein Log muss ein Zertifikat, für das es einen Eintragsnachweis ausgegeben hat, innerhalb einer festen Frist aufnehmen; für Logs nach RFC 6962 darf diese Frist höchstens vier Stunden betragen (Chrome CT Log Policy). Wie CT-Logs technisch aufgebaut sind und wie man sie dauerhaft auswertet, beschreibt der Beitrag zum Monitoring von Certificate-Transparency-Logs.

Für Markeninhaber ist das Zertifikat deshalb oft das früheste öffentliche Signal. Wer eine Kopie vorbereitet, lässt sich in der Regel ein Zertifikat ausstellen, bevor die Seite beworben wird, denn ohne HTTPS warnt der Browser schon beim Aufruf. Zwischen der Ausstellung und der ersten Anzeige liegt dann ein Zeitraum, in dem der Hostname mit Ihrem Markennamen bereits öffentlich lesbar ist, die Kopie aber noch keine Kundschaft erreicht hat. Genau diesen Zeitraum gilt es zu nutzen.

Was XICTRAQ dabei überwacht und was nicht

Die Funktion Brand Protection erzeugt aus Ihrer Domain bis zu 200 Varianten aus neun Verfahren: Tausch der Endung, vertauschte und ausgelassene Buchstaben, Nachbartasten-Tippfehler, eingefügte Bindestriche, Homoglyphen, Bitflips sowie typische Vor- und Nachsilben (XICTRAQ Brand Protection). Diese Varianten werden täglich im DNS geprüft. Sobald eine davon auflöst, reichert XICTRAQ den Fund an: Registrar aus dem Registry-Eintrag, sofern die Registry ihn nennt, Zustand des Zertifikats, Erreichbarkeit per HTTP und ein Risk-Score aus diesen Faktoren. Eigene, defensiv registrierte Varianten markieren Sie als legitim; sie verschwinden dann aus der Warnliste, bleiben aber in der Übersicht sichtbar. Die tägliche Nachprüfung läuft für Websites, deren Besitz im Konto nachgewiesen ist.

Die Certificate-Transparency-Watch, beschrieben auf der Seite DNS- und Domain-Monitoring, ergänzt das um den Blick ins CT-Log. Sie gleicht neu ausgestellte Zertifikate täglich mit Ihrer Marke ab und ordnet jeden Treffer ein: eigene Domain, Lookalike-Variante oder Ihr Markenname als Wortteil im Hostnamen einer fremden Domain. Der letzte Fall fängt Kopien mit Zusätzen wie „-sale“ unter Endungen, die in keiner Variantenliste stehen, sofern dafür ein eigenes Zertifikat ausgestellt wurde. Jeder Treffer erhält einen Score von 0 bis 100, Treffer ab Score 50 lösen einmalig einen Alert auf Ihren Kanälen aus (XICTRAQ DNS & Domain). Beide Funktionen sind ab dem Business-Plan enthalten; die Einzelheiten stehen auf der Preisseite.

Wichtig für die Erwartung: XICTRAQ durchsucht keine Werbeanzeigen in sozialen Netzwerken, keine Marktplätze und keine Suchmaschinenanzeigen, und die Typosquat-Erkennung arbeitet mit Domains, nicht mit dem Markennamen in beliebigen Texten. Ein großer Teil der Reichweite von Fake-Shops läuft aber genau über bezahlte Anzeigen. Die Überwachung von Domains und Zertifikaten deckt deshalb den Teil ab, der sich automatisch und früh messen lässt. Hinweise von Kundinnen und Kunden bleiben die zweite Quelle, auf die Sie in der Aktionswoche nicht verzichten sollten.

Gut sechs Wochen bis zum Black Friday: der Saisonplan

Der Black Friday fällt 2026 auf den 27. November, der Cyber Monday auf den 30. November. Von Mitte Oktober aus bleiben damit gut sechs Wochen. Das reicht, um die Überwachung aufzusetzen, die Abläufe festzulegen und vor der Aktionswoche einige Durchläufe mit echten Treffern hinter sich zu haben. Wer erst in der letzten Novemberwoche beginnt, sortiert dann Fehlalarme aus, statt Kopien zu melden.

1. Mitte Oktober, Bestand aufnehmen: Alle Domains erfassen, unter denen Sie verkaufen oder werben, einschließlich Länderdomains und Kampagnenadressen. Für die Hauptdomain die Markenwache einschalten und die Benachrichtigung über Alerts und Eskalation an eine Stelle leiten, die werktags täglich hineinsieht.
2. Ende Oktober, Rauschen entfernen: Erste Treffer sichten. Eigene Varianten, Weiterleitungsdomains und Domains von Partnern als legitim markieren, damit in der Aktionswoche nur echte Verdachtsfälle übrig bleiben.
3. Anfang November, Meldewege vorbereiten: Für jeden Treffertyp festlegen, wer meldet und wohin: Hoster, Registrar, Vergabestelle, Anwalt. Vorlagen für Meldungen schreiben und Belege des Originals sichern.
4. Aktionswoche, schnell reagieren: Treffer mit hohem Score am selben Tag bearbeiten, den Kundenservice mit einer kurzen Sprachregelung ausstatten und einen Warnhinweis auf der eigenen Seite bereithalten.
5. Januar, nachbereiten: Treffer, Meldungen und Reaktionszeiten auswerten, die Liste legitimer Domains bereinigen und entscheiden, welche Varianten Sie künftig selbst registrieren.

Ob Sie Varianten selbst registrieren, ist vor allem eine Kostenfrage. Für die naheliegenden Schreibweisen, etwa die wichtigsten Endungen und die Variante mit Bindestrich, ist es oft sinnvoll; alle erzeugten Varianten zu halten, lohnt sich selten. Wichtiger als die Zahl der eigenen Registrierungen ist, dass jede davon in der Überwachung als legitim hinterlegt ist. Sonst stehen Ihre eigenen Domains in der Aktionswoche zwischen den Verdachtsfällen, und echte Treffer gehen im Rauschen unter.

Vom Treffer zum Takedown

Ein Treffer ist zunächst ein Verdacht. Bevor Sie melden, prüfen Sie, ob unter der Domain tatsächlich eine Kopie läuft, und sichern Sie den Zustand: Bildschirmfoto mit Datum und vollständiger Adresse, die Angaben aus dem Zertifikat wie Aussteller, Seriennummer und Ausstellungsdatum, den Registrar aus dem Registry-Eintrag, sofern die Registry ihn nennt, und, soweit erkennbar, den Hoster. Ebenso wichtig ist der Beleg für das Original. Das Screenshot-Changelog erstellt regelmäßig Aufnahmen Ihrer eigenen Seiten und archiviert bei jeder erkannten Änderung Vorher- und Nachher-Bild mit Datum; daraus lässt sich ablesen, welcher Stand Ihrer Seite zu welchem Zeitpunkt online war.

Welche Stelle zuständig ist, hängt davon ab, was Sie erreichen wollen. Für das schnelle Abschalten in der Saison sind Hoster und Registrar meist der kürzere Weg, für die Domain selbst die UDRP oder, bei .de-Domains, der DISPUTE-Eintrag bei der DENIC. Den grundsätzlichen Ablauf eines Takedowns beschreibt der Beitrag zu Lookalike-Domains und Takedown-Prozess; für das Weihnachtsgeschäft sind vor allem diese Wege relevant:

• Hoster: Anbieter von Hostingdiensten müssen nach Art. 16 des Digital Services Act ein elektronisches Melde- und Abhilfeverfahren bereitstellen. Eine Meldung sollte eine Begründung, die genaue URL, Name und E-Mail-Adresse sowie eine Erklärung enthalten, dass die Angaben in gutem Glauben richtig und vollständig sind (DSA).
• Registrar: Bei generischen Endungen nennt der RDAP-Eintrag den Registrar samt Abuse-Kontakt, bei .de-Domains veröffentlicht die DENIC den Registrar nicht. Viele Registrare sperren Domains bei nachgewiesenem Missbrauch; wie schnell, regeln ihre eigenen Bedingungen.
• .de-Domains: Ein DISPUTE-Eintrag bei DENIC verhindert, dass die Domain auf Dritte übertragen wird, die Nutzung durch den Inhaber bleibt aber möglich. Er gilt zunächst für ein Jahr und kann verlängert werden (DENIC). Gegen einen laufenden Shop hilft er also nicht direkt, er sichert die Domain für eine spätere Klärung: Wird sie gelöscht, geht sie an den Inhaber des DISPUTE-Eintrags.
• Generische Endungen: Über die UDRP lässt sich die Übertragung oder Löschung einer Domain erreichen, wenn drei Voraussetzungen nachgewiesen sind: Identität oder Verwechslungsgefahr mit Ihrer Marke, kein eigenes Recht oder berechtigtes Interesse des Inhabers sowie Registrierung und Nutzung in böser Absicht (ICANN UDRP). Nach einer Entscheidung wartet der Registrar zudem zehn Werktage, bevor er sie umsetzt (ICANN UDRP).
• Markenrecht und Strafanzeige: Wer ein mit Ihrer Marke identisches oder verwechselbar ähnliches Zeichen ohne Zustimmung im geschäftlichen Verkehr für gleiche oder ähnliche Waren benutzt, kann bei Wiederholungsgefahr auf Unterlassung in Anspruch genommen werden (§ 14 Abs. 2 und 5 MarkenG). Betrug an Kundinnen und Kunden kann zudem angezeigt werden; Ihre gesicherten Belege helfen dabei.

Die WIPO hat 2025 mehr als 6.200 Domainstreitfälle betreut, so viele wie in keinem Jahr zuvor (WIPO). Das zeigt, wie verbreitet der Weg über die Streitbeilegung ist, aber auch, dass er für die dauerhafte Klärung gedacht ist und nicht für die Aktionswoche. Wer am Freitag vor dem ersten Advent eine Kopie findet, erreicht über eine vollständige Meldung an den Hoster in der Regel mehr als über ein Verfahren, dessen Umsetzung sich bis über die Aktionswoche hinaus ziehen kann.

Kunden informieren, ohne Vertrauen zu verspielen

Kundinnen und Kunden sehen Kopien oft vor Ihnen, etwa weil ihnen eine Anzeige ausgespielt wird, die Ihr Domain-Monitoring nicht erfasst. Machen Sie es ihnen leicht, einen Verdacht zu melden, und leicht, das Original zu erkennen. Eine kurze Seite mit offiziellen Informationen, verlinkt aus Fußzeile und Bestellbestätigung, beantwortet die häufigsten Rückfragen und entlastet den Kundenservice in der Aktionswoche. Sie sollte nüchtern formuliert sein: Wer vor Fake-Shops warnt, ohne Panik zu erzeugen, wirkt vertrauenswürdiger als ein Shop, der das Thema verschweigt.

• die Domains, unter denen Sie tatsächlich verkaufen, und die Konten in sozialen Netzwerken, über die Sie werben
• die Zahlungsarten, die Sie anbieten, und den Hinweis, dass Sie nicht um Überweisung auf private Konten bitten
• Ihr vollständiges Impressum mit Umsatzsteuer-ID als Vergleichsmaßstab
• eine Meldeadresse oder ein Formular für verdächtige Shops und Anzeigen
• einen Hinweis, was Betroffene tun können: Bank kontaktieren, Anzeige erstatten, Belege sichern

Auch die eigene Preisgestaltung trägt zum Schutz bei. Wer mit Streichpreisen wirbt, sollte den Bezugspreis belegen können; ein nachvollziehbarer Rabatt hebt sich von den Fantasiepreisen einer Kopie ab. Wie sich der Bezugspreis für Aktionsrabatte sauber dokumentieren lässt, zeigt der Beitrag zu Streichpreisen am Black Friday.

Nach der Saison: Liste pflegen, Reaktionszeit messen

Im Januar lohnt ein nüchterner Blick zurück. Wie viele Treffer gab es, wie viele davon waren echte Kopien, und wie lange dauerte es jeweils vom Eintrag im CT-Log bis zum Alert, vom Alert bis zur Meldung und von der Meldung bis zum Abschalten? Aus diesen Zeitspannen ergibt sich, an welcher Stelle der Ablauf im nächsten Jahr schneller werden muss. Nicht selten liegt der Engpass nicht bei der Erkennung, sondern zwischen Alert und Meldung, weil niemand zuständig war oder die Belege fehlten.

Daneben gehört die eigene Domain auf die Liste. Nachahmer sind die eine Seite, die Übernahme Ihrer echten Domain beim Registrar die andere; wie ein Registry-Lock gegen Domain-Hijacking schützt, steht in einem eigenen Beitrag. Und weil das Weihnachtsgeschäft auch technisch eine Belastungsprobe ist, gehört die Markenwache in dieselbe Vorbereitung wie Lasttests und Ausfallpläne, die der Beitrag zu Lastspitzen im Q4 beschreibt.

Markenwache vor dem Black Friday einschalten

Fake-Shops mit Ihrer Marke lassen sich nicht verhindern, aber früher sehen. Domainvarianten und neue Zertifikate sind öffentliche Signale, die oft entstehen, bevor die erste Anzeige läuft. Wer sie täglich auswertet, eigene Domains sauber als legitim pflegt und die Meldewege vor der Aktionswoche festgelegt hat, verkürzt die Zeit, in der eine Kopie Kundschaft erreicht. Wie Treffer und Risk-Score im Dashboard aussehen, zeigt die Live-Demo; eingerichtet wird die Überwachung über Brand Protection.