Fast jede 37. untersuchte .shop-Domain gehört zum DoppelCart-Cluster

Die DoppelCart Fake-Shops zeigen, wie weit sich der Missbrauch echter Händler automatisieren lässt. Das Münchner Cybersecurity-Unternehmen nebty hat knapp 119.000 Domains einem technischen Cluster zugeordnet, das Produktkataloge, Bilder, Texte und teilweise sogar Supportadressen realer Anbieter übernimmt. Für Händler entsteht dadurch nicht nur ein Markenproblem: Beschwerden zu fremden Bestellungen können im eigenen Kundenservice landen.

DoppelCart Fake-Shops umfassen fast jede 37. untersuchte .shop-Domain

Die Untersuchung basiert auf einem Export vom 5. September 2026 und auf Seitenaufnahmen bis zum 4. September. Die Datenbank enthält 119.012 als bestätigt eingestufte Einträge. Nach dem Zusammenführen von Varianten mit und ohne „www“ bleiben 118.996 unterschiedliche Domains. Daher spricht nebty gerundet von 119.000 Domains.

Besonders auffällig ist die Konzentration auf die Endung .shop. Dem Cluster wurden 118.787 unterschiedliche .shop-Domains zugeordnet. Nebty stellt diese Zahl einem untersuchten Zonenbestand von 4.361.908 .shop-Domains gegenüber. Das ergibt 2,72 Prozent oder ungefähr jede 37. Domain. Eine unabhängige Auswertung der .shop-Zonendatei zählte am 16. September 2026 rund 4,36 Millionen Domains und bestätigt damit zumindest die Größenordnung der Bezugsbasis.

Die große Zahl braucht dennoch einen nüchternen Zusatz: Eine Domain im Zonenbestand ist nicht automatisch ein erreichbarer Shop. Nebty hat außerdem nicht jeden Inhalt einzeln manuell geprüft. „Bestätigt“ bedeutet hier, dass eine Domain anhand kombinierter Infrastruktur- und Softwaremerkmale dem Cluster zugeordnet wurde.

Anzeige

Wenige technische Systeme, Tausende kopierte Verkaufsflächen

Die DoppelCart Fake-Shops wirken nach außen wie zahlreiche eigenständige Händler. Technisch deutet jedoch vieles auf eine standardisierte Produktion hin. Nebty-Geschäftsführer Benedikt Scheungraber erklärte gegenüber dem IT-Sicherheitsportal BleepingComputer, 96 Prozent der bestätigten Shops teilten identische Build-Dateien und griffen auf 27 Shop-Backends zurück. Mehr als 105.000 Seiten seien bei den jüngsten Prüfungen noch erreichbar gewesen. Diese Detailzahlen stammen von nebty und wurden bislang nicht unabhängig anhand des vollständigen Rohdatenbestands reproduziert.

Bei mehreren untersuchten Bezahlseiten fand das Unternehmen Code, der Kartennummer, Ablaufdatum, Prüfziffer, Namen, E-Mail-Adresse, Telefonnummer und Anschrift übertrug. Teilweise konnte dem Bericht zufolge auch ein von der Bank gesendeter Bestätigungscode weitergeleitet werden. Daraus lässt sich nicht ableiten, dass jeder der knapp 119.000 Einträge identischen Schadcode verwendete. Die untersuchten Checkouts zeigen aber, dass es zumindest in einem Teil des Clusters nicht nur um nicht gelieferte Ware, sondern um den Diebstahl von Zahlungsdaten geht.

Kopierte Kataloge machen den Betrug glaubwürdig

Die Täuschung lebt vom Material der angegriffenen Händler. In den dokumentierten Beispielen wurden Produktnamen und Beschreibungen wortgleich übernommen. Andere Seiten banden Bilder und Grafiken direkt von den Servern der Originalanbieter ein. Zusammen mit beworbenen Rabatten von bis zu 65 Prozent entsteht ein Shop, der vertraut aussieht und gleichzeitig einen starken Kaufanreiz setzt.

Die öffentliche Datenbank weist derzeit knapp 45.000 Brand-Zuordnungen aus. Diese Zahl darf nicht mit ebenso vielen zweifelsfrei identifizierten Unternehmen gleichgesetzt werden. Die Zuordnung erfolgt unter anderem über Seitentitel, Domains und Supportadressen; unterschiedliche Schreibweisen können mehrfach vorkommen.

Besonders folgenreich ist die Übernahme echter Kontaktadressen. Nebty berichtet von Kunden, deren Support Beschwerden zu Bestellungen erhielt, die nie im eigenen System eingegangen waren. Dass dieses Problem nicht nur theoretisch ist, zeigte bereits der Fall World of Sweets und die Belastung durch kopierte Fakeshops. Der Händler berichtete damals von enttäuschten Kundenanfragen, Reputationsproblemen und zusätzlichem Aufwand für die Abschaltung betrügerischer Domains.

Für Händler beginnt der Schaden oft erst nach dem Betrug

DoppelCart Fake-Shops können mehrere Kosten gleichzeitig verursachen. Die kopierte Verkaufsfläche konkurriert um Aufmerksamkeit, während der echte Händler weder Bestellung noch Zahlung erhält. Anschließend muss sein Kundenservice erklären, dass Bestellnummer, Abbuchung und Lieferzusage von einem fremden Anbieter stammen. Ein konkreter Umsatzverlust lässt sich aus der Untersuchung nicht ableiten. Belegt ist aber der zusätzliche Prüf- und Kommunikationsaufwand bei betroffenen nebty-Kunden.

Zugleich beschädigen professionell gestaltete Kopien einfache Vertrauenssignale. Produktbilder, korrekte Texte und eine funktionierende Supportadresse sprechen nicht mehr zwingend für einen echten Shop. Unser Beitrag darüber, wie sich professionelle Fake-Shops erkennen lassen, zeigt, warum Domain, Impressum, Zahlungsweg und Gütesiegel gemeinsam geprüft werden müssen. Zusätzliche Reichweite können Betrugsseiten über Anzeigen erhalten, wie die Untersuchung zu Fakeshops in der Werbung von Google und Meta verdeutlicht. Für DoppelCart selbst sind die Herkunft des Traffics und der Umfang möglicher Anzeigenkampagnen jedoch nicht öffentlich belegt.

Was betroffene Händler jetzt prüfen können

Die öffentliche DoppelCart-Datenbank mit Domainbelegen ermöglicht die Suche nach Markennamen, Domains, Registraren und gefundenen Kontaktadressen. Händler sollten neben dem Unternehmensnamen auch Produktmarken, Shopnamen und Schreibvarianten prüfen. Ein Treffer ist zunächst ein Ausgangspunkt: Entscheidend ist, ob die aktuelle Seite tatsächlich eigene Texte, Bilder, Marken oder Kontaktdaten verwendet.

Für eine Meldung sollten die vollständige URL, datierte Screenshots und die konkret übernommenen Inhalte gesichert werden. Danach lassen sich Registrar und zuständige Missbrauchskontakte ermitteln. Bei .shop-Domains kommt zusätzlich eine Meldung an die Registry in Betracht. Händler sollten außerdem Suchmaschinen, Werbeplattformen und gegebenenfalls Zahlungsdienstleister informieren, wenn dort noch sichtbare Verbindungen zur betrügerischen Seite bestehen. Ein Checkout sollte dabei nicht mit echten Zahlungsdaten getestet werden.

Die größte Zahl beantwortet noch nicht die wichtigsten Fragen

Nach Einschätzung von nebty handelt es sich um den bislang größten öffentlich dokumentierten Fake-Shop-Cluster nach Zahl der zugeordneten Domains. Als Vergleich nennt das Unternehmen BogusBazaar: Sicherheitsforscher von SRLabs dokumentierten dort 2024 mehr als 75.000 Domains über mehrere Jahre, von denen im April 2024 rund 22.500 aktiv waren. Die Zählweisen und Erhebungszeiträume unterscheiden sich, weshalb daraus keine saubere Rangliste entsteht.

Für die DoppelCart Fake-Shops fehlen bislang belastbare Angaben zur Zahl der Käufer, zu erfolgreichen Zahlungen, zur Schadenshöhe und zur geografischen Verteilung. Ebenso offen ist, wer die Infrastruktur kontrolliert. Gemeinsame Technik kann auf einen zentralen Baukasten oder gemeinsame Dienstleister hindeuten, beweist aber keinen einzelnen Betreiber. Die Dimension bleibt bemerkenswert – gerade deshalb sollte sie nicht größer erzählt werden, als die Daten tragen.

Faktenbox