FRITZ! und Dreame: 119.000 Fake-Shops lesen deine Karte mit

Wer einen Saugroboter oder eine neue FRITZ!Box sucht, kann schneller in einer Kopie landen, als ihm lieb ist. Das Münchner Sicherheitsunternehmen nebty hat ein Netzwerk aus 119.012 bestätigten Shop-Domains dokumentiert und die vollständige Datenbank öffentlich gemacht. Die Seiten übernehmen Produktbilder, Beschreibungen und den kompletten Auftritt echter Händler, teilweise laden sie die Grafiken sogar direkt vom Bildserver der kopierten Firma. Allein unter der Endung .shop zählt nebty 118.787 solcher Adressen, also 2,72 Prozent des untersuchten Bestands von 4.361.908 .shop-Domains. Das bisher größte öffentlich dokumentierte Netzwerk dieser Art hieß BogusBazaar und kam 2024 auf gut 75.000.

Für deutsche Käufer ist das keine ferne Meldung. In der Datenbank stehen zwölf Shops, die sich als FRITZ! ausgeben, darunter avmonline.shop, fritzstore.shop und fritzdirect.shop. Alle zwölf waren bei einem Abruf am 13. September als wahrscheinlich erreichbar eingestuft. Beim Saugroboter-Hersteller Dreame, dessen Mähroboter wir gegen Mova getestet haben, sind es 72 Einträge. Zwei davon nennen sich im Seitentitel DREAME Stores Deutschland, weitere geben sich als Landesableger für Italien, Frankreich, Spanien und Belgien aus. Kopiert werden außerdem EcoFlow, Bluetti, Roborock, Narwal, Jackery, Keychron, HyperX und Sennheiser.

Die Support-Adresse stammt vom echten Hersteller

Ausgerechnet das Merkmal, auf das Käufer achten, fällt hier aus. Viele dieser Shops geben die echte Support-Adresse der kopierten Marke an. Auf dreametechpro.shop steht support.it@dreame.com, eine Adresse auf der Domain des echten Herstellers. Wer nichts geliefert bekommt, beschwert sich also bei der Firma, die von der Bestellung nie etwas erfahren hat, und deren Kundendienst muss dann erklären, dass Geld und Ware bei jemand anderem gelandet sind. nebty zählt im Bestand 2.494 solcher offengelegten Kontaktadressen.

Dasselbe Muster war vergangene Woche schon bei Trezor zu sehen, wo die Phishing-Mail über die echte Absenderadresse des Herstellers lief. Das Erkennungszeichen, das Vertrauen schaffen soll, wird dabei einfach mitkopiert. Bei den Fake-Shops kommt eine zweite Ebene dazu, denn manche Seiten nutzen erfundene Adressen wie support@dreame-store.com, die auf den ersten Blick genauso plausibel wirken.

Die Kasse liest mit, bevor du auf Kaufen drückst

Beim Bezahlen wird es teuer. nebty hat mehrere Kassenseiten des Netzwerks getestet und dort Code gefunden, der Kartennummer, Ablaufdatum, Prüfziffer, Namen, Mailadresse, Telefonnummer und Anschrift einsammelt. Laut dem Bericht, den das Unternehmen an BleepingComputer weitergegeben hat, gehen diese Angaben Feld für Feld über eine WebSocket-Verbindung an den Server der Täter, also in dem Moment, in dem sie getippt werden. Das Absenden des Formulars ist dafür nicht nötig.

Nach denselben Angaben kann der Code zusätzlich den Einmalcode weiterreichen, den die Bank zur Freigabe der Zahlung verschickt. Diese Freigabe schützt dich davor, dass jemand deine gestohlenen Kartendaten anderswo einsetzt. Sie schützt dich nicht davor, eine Zahlung an den Betrüger selbst zu bestätigen, bei der du die Freigabe bewusst erteilst. Im öffentlichen Blogbeitrag von nebty steht dieser Befund nicht, er stammt aus dem Bericht an das Fachmedium.

Woran du die Kopien erkennst

Ein einzelnes Merkmal reicht nicht aus, mehrere zusammen schon. Die Shops werben mit Rabatten von bis zu 65 Prozent auf Originalware, und die Adressen folgen einem erkennbaren Muster aus Markenname plus einem Allerweltswort wie store, direct, global oder hub, fast immer unter der Endung .shop. 96 Prozent der bestätigten Seiten teilen laut nebty-Chef Benedikt Scheungraber identische Build-Dateien und laufen über 27 gemeinsame Bestellsysteme. Genau diese Gleichförmigkeit hat den Cluster überhaupt erst sichtbar gemacht. Wer unsicher ist, kann eine Adresse in der öffentlichen Datenbank nachschlagen, verlässlicher bleibt der Weg über die Herstellerseite und deren Liste autorisierter Händler.

Das Netzwerk läuft weiter. Über 105.000 Shops waren zum Stand der Untersuchung noch erreichbar, den Hosting-Provider hinter dem Großteil der Seiten hat nebty nach eigenen Angaben kontaktiert und keine Antwort erhalten. Was funktioniert, sind gezielte Takedowns im Auftrag betroffener Marken. Die auf diesem Weg entfernten Shops sind nach nebtys Beobachtung offline geblieben.