// Fallstudien
Fake-Shop-Cluster & Ad-Cloaking: 2.200+ getarnte Betrugsdomains hinter Social-Media-Anzeigen
Eine gesponserte Anzeige im Social-Media-Feed verspricht bis zu 80 % Rabatt auf Markenmöbel, Winterbekleidung oder Schuhe. Wer am Smartphone tippt, landet in einem täuschend echten Online-Shop — oft mit kopiertem deutschem Impressum und echten Produktfotos. Öffnet ein Sicherheitsprüfer dieselbe Domain direkt am Desktop, erscheint dagegen ein harmloser Demo-Katalog mit Taschen oder Spielzeug. In dieser Untersuchung haben wir die bedingte Auslieferung (Ad-Cloaking) hinter einer solchen Kampagne (u. a. nach dem Muster von 6pmseason-styles[.]shop) isoliert nachvollzogen, den technischen Fingerabdruck der SaaS-Plattform (SHOPOEM / oemsaas) ausgewertet und über 88 geteilte Reverse-Proxy-IP-Adressen ein Cluster von mehr als 2.200 aktiven Wegwerf-Domains in der DACH-Region, Polen und der EU sichtbar gemacht.
Aktualisiert: 2026-11-03
Vorgehen im Fall
- 1Bedingte Auslieferung (Ad-Cloaking) isoliert sichtbar machen: Die Seite prüft User-Agent (mobiles Endgerät), Geo-IP des Ziellandes sowie den Referrer samt Werbe-Klick-Parameter (z. B. fbclid) und liefert Prüfsystemen lediglich eine harmlose Tarn-Fassade aus.
- 2Den Markenmissbrauch jenseits von Lookalike-Domains erkennen: Über 20 dokumentierte Klone eines bekannten Einrichtungshauses enthielten den Markennamen überhaupt nicht in der URL — klassische Keyword-Filter greifen dadurch ins Leere.
- 3Den Plattform-Fingerabdruck im DOM und Netzwerkverkehr sichern: Wiederkehrende Skriptpfade, Template-Strukturen (SHOPOEM / oemsaas) und drei parallel eingebundene Tracking-Pixel im Checkout belegen eine industrielle Kampagnensteuerung.
- 4Das Gesamtcluster über geteilte Infrastruktur korrelieren: Durch passives Mapping von 88+ wiederkehrenden Reverse-Proxy-IPs, TLS-Zertifikaten und identischen Nameserver-Mustern ließen sich über 2.200 zusammenhängende Domains zuordnen.
- 5Gefälschte Vertrauensanker im Shop entlarven: Kopierte Handelsregister-Nummern (HRB), echte Firmenadressen unbeteiligter DACH-Unternehmen im Impressum sowie statische Zahlungs- und Gütesiegel-Grafiken täuschen Seriosität nur optisch vor.
- 6Die 3D-Secure-Falle im Checkout analysieren: Während das Opfer auf eine Bestellbestätigung wartet, lösen die Angreifer im Hintergrund eine Echtzeit-Transaktion oder Wallet-Kopplung aus und fangen den eingegebenen Bank-Freigabecode ab.
- 7Strukturierte Abschalt- und Schutzmaßnahmen einleiten: Gebündelte Abuse-Meldungen (inklusive Cluster-IOCs) an Registrar, CDN/Proxy-Betreiber, Werbenetzwerke und Browser-Schutzlisten übermitteln sowie betroffene Zahlungskarten sofort sperren.
Das sollten Sie vermeiden
- Verlassen Sie sich bei extremen Rabatt-Anzeigen (-70 % bis -80 %) in sozialen Netzwerken niemals auf die Optik des Shops oder ein vorhandenes Impressum.
- Geben Sie keinen 3D-Secure-Code und keine Banking-App-Freigabe ein, ohne Empfängername, Währung und exakten Betrag in der Push-Nachricht Ihrer Bank zu prüfen.
- Gehen Sie nicht davon aus, dass Ihr Marken-Monitoring ausreicht, wenn es nur nach Ihrem Markennamen im Domainnamen sucht — Ad-Cloaking-Shops nutzen generische Domains.
- Öffnen Sie verdächtige Werbelinks zur Überprüfung nicht ungeschützt im eigenen Unternehmensnetzwerk oder auf produktiven Mobilgeräten.
// BRAND PROTECTION & TYPOSQUATTING-ABWEHR
Ihre Marke schützen: Lookalike-Domains & Fake-Auftritte sofort stoppen
Wir überwachen neu registrierte Domains, SSL-Zertifikate und Fake-Profile, die Ihr Unternehmen imitieren. Proaktive Takedown-Unterstützung und Beweissicherung, bevor Kunden geschädigt werden.
Häufige Fragen
- Warum sehe ich am Büro-PC eine harmlose Seite, während Kunden am Smartphone einen Fake-Shop melden?
- Das liegt an Ad-Cloaking: Der Server prüft in Echtzeit, ob der Aufruf von einem Smartphone aus dem Zielland über einen bezahlten Werbelink (inklusive Klick-ID) erfolgt. Direkte Desktop-Aufrufe ohne Werbe-Referrer erhalten automatisch eine unverfängliche Tarnseite.
- Warum schlagen klassische Domain-Monitoring-Tools bei diesen Kampagnen oft nicht an?
- Weil die Täter bewusst generische Domains registrieren (z. B. Kombinationen aus Mode- oder Saisonbegriffen unter .shop, .top oder .store), in denen der geschützte Markenname überhaupt nicht vorkommt. Die Markenidentität wird erst nach bestandenem Cloaking-Check im Browser nachgeladen.
- Ich habe Kartendaten und einen 3D-Secure-Code eingegeben — was muss sofort passieren?
- Sperren Sie die betroffene Karte sofort über den Sperr-Notruf oder Ihre Banking-App, prüfen Sie, ob im Hintergrund eine Apple-Pay- oder Google-Pay-Wallet gekoppelt wurde, reklamieren Sie unautorisierte Buchungen bei Ihrer Bank und sichern Sie Screenshots samt URL der Werbeanzeige.