Cyberattacken im E-Commerce: "Fake Shops sind gar nicht das größte Problem"

Fake Shops bedrohen die Markenidentität von Onlineshops - wenn sie nicht direkt zu Umsatzverlusten führen. Dabei seien Fälschungen noch gar nicht einmal die größte Bedrohung, die von Cyberattacken-Profis ausgehen, erklärt uns Christian Maß, Chief Digital Officer bei Thomann, dessen Musikinstrumente-Sortiment auch vom Umsatz her sogar das von Amazon übertrifft. 2024 lag Thomann auf Platz 24 der größten Onlineshops Deutschlands.

Wann sind Sie zuletzt auf einen Fake Shop gestoßen?

Christian Maaß: Erst heute Morgen wieder. Wir haben zur Zeit eine richtige Angriffswelle, mit fast täglich neuen Fake Shops und Fake Ads die unsere Markenidentität klauen. In dieser Intensität ist das bislang noch nicht vorgekommen.

Wie bekommen Sie das mit?

Auf unterschiedlichen Wegen. Zum einen arbeiten wir mit einem spezialisiertem Dienstleister zusammen, mit dem wir proaktiv nach potenziellen Fakes Ausschau halten. Zum anderen haben das Privileg, eine sehr große, loyale Kundschaft zu haben, viel kommt daher über den Customer Service rein, weil Kunden natürlich die Ersten sind, die damit konfrontiert werden. Viele Kunden rufen uns an, wenn sie Anzeigen bemerken, die ihnen merkwürdig vorkommen. Allerdings ist man dann immer in einem reaktiven Modus, weshalb wir jetzt proaktiv scannen und möglichst automatisiert gegen Fake Shops vorgehen, damit die Kunden so gut wie möglich geschützt werden.

Wie kommen Kunden mit den Fake Shops in Kontakt?

Der typische Angriffsvektor startet im Bereich sozialer Netzwerke. In der Regel versuchen Betrüger hier einen Impulskauf auszulösen und das geht am besten in einem Social-Media-Stream. Nutzer sind hier viel vertrauensvoller unterwegs, weil sie davon ausgehen, dass sie sich in einem auf sie persönlich aggregierten Netzwerk befinden. Typischerweise werden Fake Shops kaum über Google Ads beworben, weil sie dann auf User stoßen würden, die nach einem ganz konkreten Produkt suchen. Hier sind sie sehr aufmerksam und würden nicht so leicht auf einen Fake Shop mit 80 Prozent-Discount hereinfallen.

Erkennen User Fake Shops schon an der URL oder erst nachdem sie geklickt haben?

Komische URL's sind schon auffällig, zumindest wenn man für das Thema sensibilisiert ist. Die meisten Kunden, die sich an uns gewendet haben, sind jedoch aufgrund der großen Rabatte skeptisch geworden.

Können Sie nicht einfach alle Domainnamen schützen lassen?

Wir haben natürlich eine Wortmarke eingetragen und die wichtigsten Variationen unsere Marke als Domain registriert. Aber Domainregistrierungen und -variationen sind ja schnell gemacht. Bei professionallen Angreifern sind das mittlerweile auch mehr oder weniger automatisierte Prozesse, um schnell neue Domains mit neuen Fake Shops live schalten zu können. Wenn der ein Name nicht klappt oder gesperrt wird, probieren sie es mit der nächsten. . Grundsätzlich lässt sich juristisch aber nicht festlegen, dass kein Mensch auf der Welt mehr den Namen Thomann mit irgendeiner Buchstabenkombination registrieren lassen darf, das geht nicht.

Können Sie etwas über die Organisation hinter Fake Shops sagen?

Das sind zum immer größer werdenden Teil professionell agierende Unternehmen, das sieht man an der Art und Weise, wie die Attacken aufgezogen sind. Von der Vorstellung, dass es hier um Amateure geht, die ihr Glück probieren, kann man sich verabschieden. Dabei sind Fake Shops gar nicht das größte Problem. Social Engineering ist viel problematischer. Dabei wird auch versucht, an Firmendaten über MitarbeiterInnen heranzukommen. Häufig treffen bei uns Mails ein, die scheinbar von mir kommen oder von anderen KollegInnen in exponierter Rolle, die dazu verleiten sollen, einen Anhang herunterzuladen, Gutscheininformationen weiterzureichen oder eine Website zu öffnen. Social Engineering ist noch viel, viel häufiger das Einfallstor für Betrug. Auch Passwörter werden auf diesem Weg geleakt, die dann auf Weiterverwendungen getestet oder gleich im Dark Web verkauft werden. Menschen lassen sich leichter manipulieren als technische Schutzmechanismen. Hier müssen alle Unternehmen Aufklärungsarbeit leisten.

Haben Sie schon Feedback von Menschen erhalten, die auf Fake Shops hereingefallen sind?

Nein, bis heute hat sich noch niemand gemeldet. Scheinbar haben wir sehr achtsame Kunden, denn wir erhalten häufig Anrufe oder Mails, dass wir aufpassen sollen, es gibt da die und die URL, die nach Betrug aussieht. Aber das heißt ja noch nichts. Dass weiter Fake Shops produziert werden, zeigt, dass irgendwo auch etwas Erfolg hat. Ansonsten würden die Angreifer das Ganze ja einstellen.

Was machen Sie als Erstes, wenn Sie einen Fake Shop entdecken?

Wir haben uns in der Vergangenheit immer direkt an die zuständigen Registrare, Provider und Social Networks gewendet, um den Missbrauch zu melden und um einen Takedown herbeizuführen. Diesen Prozess haben wir mittlerweile über einen Partner automatisiert. Grundsätzlich sollte man jedoch immer die wichtigsten Informationen griffbereit haben, um einen solchen Takedown zu erwirken: den Nachweis als Markeninhaber und Besitzer, den Handelsregistereintrag etc. Intern muss natürlich der Kundenservice bei uns Haus davon wissen und dagegen vorgehen. Gleichzeitig informieren wir unsere Kunden über die eigenen Social Media-Kanäle . Auch die Polizei sollte man informieren, schon allein um die Beweise zu sichern. Wir haben sehr gute Erfahrungen mit der Polizei hier bei uns in Bamberg gemacht. Wenn man Screenshots macht, die URL's trackt und protokolliert, was, wo, wie passiert ist, dann hilft das den Strafverfolgungsbehörden, ein Muster zu erkennen sowie in der Strafverfolgung.

Wie schnell bekommen Sie Fake Shops offline?

Wenn es schnell geht, in ein bis zwei Tagen. Es kann aber auch zwei, drei Wochen dauern. Je nachdem, wo sie registriert sind. Innerhalb der EU funktioniert es schnell. Wenn man sich ans Ausland wenden muss, nicht so. Mit unserem Partner sind wir jedoch deutlich schneller als wir es im Alleingang waren.

Was lässt sich präventiv gegen Fake Shops tun?

Über ein Monitoring kann man feststellen, ob verdächtig klingende Namen registriert sind und wo ggf. die eigenen Bilder oder das Logo verwendet werden. Hier muss man ein wenig investieren, allerdings agiert man dann proaktiv und nicht reaktiv. Das ist insofern eine lohnende Investition, da wir unsere Kunden besser schützen können. Die eigene Belegschaft und der Kundenservice sollten unbedingt sensibilisiert werden, damit sie gegebenenfalls schnell reagieren können. Bei Thomann geben wir regelmäßig ein Sicherheitsupdate und -hinweise heraus, das auch Fake Shops umfasst. Als Verbraucher sollte man immer skeptisch sein, wenn Produkte, die normalerweise 4000-5000 Euro kosten, plötzlich irgendwo für 500 Euro angeboten werden. ChatGTP weiß inzwischen auch ganz gut Bescheid, ob eine URL auf einen echten Shop verweist oder auf einen gefälschten. Aber natürlich gibt es auch Dienstleister im Bereich Reputationsmanagement, die man zur Prävention engagieren kann.

Fake Shops können also recht schnell vom Netz genommen werden und bei Thomann hat sich auch noch niemand gemeldet, der zu Schaden gekommen ist. Sind diese Plagegeister überhaupt so schlimm?

Wenn man einen Blick in einschlägige Studien wirft, dann entstehen jedes Jahr Milliardenschäden im Bereich Internetbetrug. Das ist für alle Betroffenen schlimm, für Unternehmen wie Kunden. Für Händler und Marken führen solche Betrugsversuche natürlich auch oft zu negativen Schlagzeilen. Wenn Kunden plötzlich das Vertrauen verlieren, kann die eigene Marke großen Schaden nehmen.