Gefälschte Website erkennen, bevor du bezahlst

Eine gefälschte Seite kann Name, Fotos, Produkttexte, Bewertungen und die Fußzeile eines echten Shops kopieren. Dass sie gut gemacht ist, sagt nur, dass jemand sie gut gebaut hat. Es sagt nichts darüber, wem die Adresse gehört.

Fang bei der Domain an, also bei dem Teil der Adresse, der an denjenigen gebunden ist, der für die Seite geradesteht. Danach prüfst du den offiziellen Weg und die Zahlung außerhalb der Seite, auf der du gelandet bist. Kein einzelnes Zeichen gibt dir Sicherheit, aber ein Detail, das nicht passt, ist schon Grund genug, kurz zu stoppen.

Was du in einer Minute prüfst

Wenn du gleich bezahlen willst, mach nur das hier:

1. Lies die Adresse in der Browserzeile, Zeichen für Zeichen. Die Adresse, nicht den Namen, der auf der Seite gedruckt steht.
2. Öffne das Impressum und such dort Firmenname, Rechtsform, vollständige Anschrift und Handelsregisternummer. Diesen Namen prüfst du danach außerhalb der Seite.
3. Such den Shopnamen zusammen mit Wörtern wie „Erfahrungen“, „Beschwerde“ oder „Betrug“, weit weg von seiner eigenen Seite.
4. Sieh nach, wer das Geld bekommt. Vergleiche den Empfängernamen im Bezahlfenster mit der Firma, die du gerade nachgeschlagen hast.

Wenn etwas nicht zusammenpasst, bezahl noch nicht. Verlass die Seite und such die offizielle Adresse selbst, bevor du weitermachst.

1. Lies die Adresse Zeichen für Zeichen

Die ganze Adresse verdient Aufmerksamkeit, weil bekannte Wörter an Stellen stehen können, die nichts darüber sagen, wem die Domain gehört. Das BSI macht denselben Punkt zu Links: tipp lieber eine Adresse selbst ein, die du schon kennst, statt der zu folgen, die dir jemand geschickt hat.

Die Beispieladressen in diesem Artikel sind erfunden. Nimm diese hier: https://zahlung.beispiel-shop.de/bestellung. Das Protokoll ist „https://“, der vollständige Seitenname ist „zahlung.beispiel-shop.de“, die Domain ist „beispiel-shop.de“ und der Pfad ist „/bestellung“. Die Domain ist der letzte Teil vor dem ersten Schrägstrich, und sie entscheidet, wem die Seite gehört. Um zu wissen, wem eine geschickte Adresse gehört, vergleichst du genau diese Domain mit der offiziellen Adresse, die du selbst gefunden hast.

• Ein vertauschter oder doppelter Buchstabe. Ein Buchstabe zu viel, ein „i“, das zum „l“ wird, ein „m“, das als „rn“ geschrieben ist.
• Ein Wort, das hinten angeklebt ist. Etwas wie „offiziell“, „aktion“, „deutschland“ oder „outlet“, angehängt an den echten Namen.
• Eine Marke, die in der Subdomain oder im Pfad steckt. Ein bekanntes Wort kann vor der Domain stehen oder hinter dem Seitennamen im Pfad, ohne dass die Adresse dadurch offiziell wird.
• Eine ungewöhnliche Endung. Das BSI nennt zusammengesetzte Endungen wie „.de.com“ ausdrücklich als Warnzeichen. Umgekehrt ist „.de“ auch kein Gütesiegel, denn registrieren kann eine solche Domain fast jede und jeder.

Zwei Gewohnheiten decken fast alles davon ab: öffne den Shop nicht über den Link aus einer Nachricht und tipp im Zweifel die Adresse selbst ein oder geh über die App hinein, die du ohnehin schon installiert hast. In ist dieser Link sicher stehen die übrigen Tricks, etwa das At-Zeichen mitten in einer Adresse oder Buchstaben, die aus einem anderen Alphabet geliehen sind.

2. Finde heraus, wer hinter dem Geschäft steckt

In Deutschland ist das leichter als in vielen anderen Ländern, weil es das Impressum gibt. Nach § 5 des Digitale-Dienste-Gesetzes müssen geschäftliche Anbieter Name, Rechtsform, vollständige Anschrift, einen schnellen elektronischen Kontakt, das Registergericht mit Registernummer und die Umsatzsteuer-Identifikationsnummer angeben, und zwar leicht erkennbar, unmittelbar erreichbar und ständig verfügbar. Ein Shop, der bundesweit verkauft und dir nur ein Kontaktformular und einen Vornamen zeigt, hat genau die Angaben weggelassen, die du bräuchtest, wenn die Bestellung schiefgeht.

Das BSI zählt dieselben Angaben auf und nennt als verdächtig: eine ausländische Telefonnummer, ein Postfach als Anschrift oder nur ein Kontaktformular.

Danach schlägst du den Namen nach. Handelsregister, Genossenschaftsregister und Partnerschaftsregister laufen zusammen im Unternehmensregister, der zentralen Plattform für Unternehmensdaten. Du vergleichst dort etwas Einfaches: Gibt es eine Gesellschaft mit diesem Namen, sitzt sie an der angegebenen Anschrift, und hat das, was sie tut, etwas mit dem zu tun, was dir verkauft wird.

Nichts zu finden ist für sich allein noch kein Beweis für Betrug. Kleingewerbe und Einzelunternehmen stehen nicht im Handelsregister, und manche Firmen treten unter einem anderen Namen auf als dem eingetragenen. Es heißt aber: Du weißt noch immer nicht, wem du Geld schickst, und genau diese Frage müssen die übrigen Prüfungen beantworten. Achtung noch bei einer Variante, die das BSI ausdrücklich nennt: gefälschte Shops kopieren inzwischen die Impressumsangaben echter Unternehmen. Ein vollständiges Impressum ist deshalb ein gutes Zeichen, aber keins, auf das du dich allein verlässt.

3. Sieh nach, wie alt die Seite ist

Zu jeder Domain gibt es öffentliche Daten, darunter das Datum der Registrierung. Für „.de“-Adressen zeigt die Domainabfrage der DENIC genau das. Gehört die Domain einer Privatperson, bleiben die Inhaberdaten geschützt, und öffentlich sichtbar sind das Registrierungsdatum und der verwaltende Anbieter. Gehört sie einer juristischen Person, stehen dort auch Name und Anschrift. Für andere Endungen bieten die jeweiligen Registrierungsstellen vergleichbare Abfragen an.

Eine Domain, die vor wenigen Wochen registriert wurde, verdient mehr Vorsicht, wenn daneben ein merkwürdiger Preis steht, ein Kontakt nicht funktioniert oder die Zahlung irgendwohin geht, das nichts mit dem Shop zu tun hat. Für sich allein beweist das Alter nichts: Jeden Tag gehen ehrliche Seiten neu online, und alte Seiten werden gekapert.

4. Sieh dir Preis und Eile zweimal an

Ein Preis weit unter allen anderen, zusammen mit einer Frist, die gleich abläuft: Das ist die Kombination, bei der es sich lohnt, langsamer zu werden. Beides ist dafür da, dass du die Prüfungen überspringst.

• Ein Preis außerhalb der Spanne: vergleich ihn mit anderen Shops, statt der Zahl in der Anzeige zu glauben. Die Polizeiliche Kriminalprävention rät genau dazu, weil Fake-Shops mit unschlagbaren Preisen locken.
• Eine Frist in Minuten: Countdown-Uhren, „nur noch wenige Stück“ und die Drohung, das Angebot zu verlieren, gibt es, damit du nicht nachsiehst.
• Ein Rabatt, der an eine Zahlungsart hängt: Wenn das Angebot nur mit Vorkasse gilt, prüf Firma und Empfänger, bevor du den Schutz aufgibst, den dir Rechnung oder Lastschrift geben.
• Am Ende geht nur noch Vorkasse. Das BSI beschreibt das als typisch für Fake-Shops: Erst steht eine ganze Auswahl an Zahlungsarten da, beim Bestellen bleibt dann nur die Überweisung im Voraus übrig.

5. Teste die Kontaktwege

Eine Telefonnummer auf einer Seite ist nicht dasselbe wie ein Unternehmen, das antwortet. Such den Kontakt außerhalb des Links, den du bekommen hast, und stell eine konkrete Frage zu Bestellung, Versand oder Rückgabe. Ein Kontakt, der nie antwortet oder nur automatische Bausteine zurückschickt, beweist keinen Betrug, lässt aber eine wichtige Frage offen.

Vergleich Telefonnummer, E-Mail-Adresse und Anschrift mit dem, was du im Register und auf den Seiten des Shops selbst gefunden hast. Eine Firma darf verschiedene E-Mail-Anbieter nutzen; worauf es ankommt, ist, ob Identität, Kundendienst und Angebot dieselbe Geschichte erzählen. Eine Anschrift, die sich als Parkplatz oder als gemieteter Briefkasten herausstellt, ist eine Nachfrage wert.

6. Such den Shop außerhalb seiner eigenen Seite

Alles, was auf der Seite steht, auch die dort gezeigten Bewertungen, veröffentlicht der Shop selbst. Sieh dir Quellen an, die er nicht kontrolliert, und vergleiche.

• Such den Shopnamen zusammen mit Erfahrungen, Beschwerde oder Betrug. Das BSI empfiehlt genau das: Kundenbewertungen und Foren geben dir meist ein brauchbares Bild von einem Anbieter.
• Sieh dir an, ob ein bekanntes Gütesiegel wirklich eines ist. Das BSI schreibt dazu, dass ein echtes Siegel anklickbar sein und weitere Informationen zeigen muss. Bei Trusted Shops zum Beispiel führt das Siegel zu einem Profil, und der Anbieter hat eine eigene Shop-Suche, in der du nachsehen kannst, ob ein Shop tatsächlich zertifiziert ist. Ein Siegel ist freiwillig und kostet Geld, also beweist sein Fehlen nichts. Die Polizei weist außerdem darauf hin, dass gefälschte Shops Siegel einfach als Bild einbauen.
• Lies Bewertungen auf Plattformen, die dem Shop nicht gehören, und sei misstrauisch bei einer Wand aus Fünf-Sterne-Bewertungen, die alle innerhalb weniger Tage erschienen sind.
• Die Verbraucherzentrale deines Bundeslandes berät zu Online-Käufen und warnt vor Maschen, die gerade laufen. Wenn es um ein Finanzangebot geht statt um einen Shop, sieh in den Warnmeldungen der BaFin nach: Dort steht, vor welchen Unternehmen und Plattformen die Aufsicht warnt.

Dein Browser hilft auch mit. Die Chrome-Hilfe erklärt, dass das Symbol neben der Adresse anzeigt, wenn eine Seite als gefährlich eingestuft ist. Eine solche Warnung ist ein Grund zu gehen. Keine Warnung ist kein Sicherheitssiegel, denn diese Einschätzung zeigt nur, was der Dienst in diesem Moment weiß.

7. Sieh dir die Zahlungsart an

Die Zahlungsart entscheidet, was du noch tun kannst, wenn etwas schiefgeht. Deshalb gehört sie in die Entscheidung und nicht ans Ende. Die Unterschiede sind größer, als viele denken, und die BaFin schreibt sie in Wissenswertes zu Überweisungen und Lastschriften auf:

• Lastschrift: Einer SEPA-Basislastschrift, die du autorisiert hast, kannst du bis zu acht Wochen nach der Buchung widersprechen. Wurde ohne dein Mandat abgebucht, muss die Bank dir den Betrag spätestens einen Tag nach deiner Meldung erstatten, und du hast dafür 13 Monate ab dem Buchungstag Zeit.
• Überweisung: Ein Überweisungsauftrag kann nach Eingang bei der Bank grundsätzlich nicht mehr widerrufen werden. Bei einer Echtzeitüberweisung ist das Geld ohnehin in Sekunden weg. Eine Rückholung kann die Bank versuchen, aber niemand kann sie dir versprechen.
• Kauf auf Rechnung: Du zahlst erst, wenn die Ware da ist. Das BSI nennt es als eine der Zahlungsarten, die ein seriöser Shop anbieten sollte.

Vor dem Bestätigen vergleichst du den Empfängernamen mit der Firma, die du nachgeschlagen hast. Seit dem 9. Oktober 2025 müssen alle Kreditinstitute bei Überweisungen eine Empfängerüberprüfung durchführen: Sie gleichen ab, ob der Name, den du eingibst, zur IBAN passt. Passt er nicht, warnt dich die Bank. Und jetzt der Teil, den du kennen solltest: Du darfst trotzdem freigeben, und wenn du das tust, geht das Geld an die IBAN, die du eingetragen hast. Die BaFin schreibt dazu, dass die Bank dann nicht dafür einsteht. Die Warnung ist eine Information, damit du stoppst, keine Versicherung.

Wenn die Zahlung die Seite verlässt und plötzlich zu einem Privatkonto, einer Handynummer oder einem per Nachricht geschickten Link führt, halt an und lass dir die Forderung über den offiziellen Weg bestätigen, den du selbst gefunden hast.

Das Schloss beweist nichts

Das https schützt die Verbindung zwischen deinem Browser und der Seite, aber es beweist nicht, dass der Shop ehrlich ist. Das BSI sagt das ausdrücklich: Verschlüsselung ist wichtig, doch auch Fake-Shops setzen sie inzwischen ein. Behandle https als technische Mindestanforderung, nicht als Geschäftssiegel.

In Chrome gibt es das Schloss ohnehin nicht mehr. Das Chromium-Team hat den Wechsel im Mai 2023 in An Update on the Lock Icon angekündigt; seither steht dort ein Symbol für die Seiteneinstellungen. Die Chrome-Hilfe sagt dir außerdem, dass du den Namen der Website in der Adressleiste lesen sollst, bevor du etwas eingibst, auch wenn die Verbindung sicher ist.

Woran du erkennst, ob du dort kaufen kannst

Es gibt kein einzelnes Zeichen, das dir sagt, dass du in einem Shop beruhigt kaufen kannst. Was funktioniert, ist, die Signale von oben zusammenzuzählen und mit zwei Prüfungen abzuschließen, die außerhalb der Shopseiten stattfinden.

• Wer die Firma ist: Die Angaben aus dem Impressum, abgeglichen im Unternehmensregister. Dass eine Gesellschaft existiert, bestätigt nicht, dass ihr die Website gehört, und auch nicht, dass das Angebot ehrlich ist. Aber es setzt wenigstens einen Namen hinter das Geld.
• Welche Spur sie draußen hinterlässt: Beschwerden, Erfahrungsberichte, Bewertungen auf Seiten, die dem Shop nicht gehören, und ein Siegel, das sich anklicken und im Verzeichnis des Siegelanbieters wiederfinden lässt. Ein leeres Profil beweist nichts, denn ein Shop, der vor vier Tagen aufgemacht hat, hat noch keine Geschichte, und eine Seite, die eine bekannte Kette nachahmt, borgt sich deren Ruf.

Diese Prüfungen zeigen dir die Vorgeschichte eines Unternehmens. Sie sprechen kein Urteil. Nutz das Ergebnis zusammen mit der Adresse, den Angaben im Impressum und dem Namen im Bezahlfenster. Und wenn du dich am Ende gegen den Kauf entscheidest, hast du nichts verloren.

Ein Beispiel: die Sneaker im Angebot

1. Die Adresse. In der Browserzeile steht beispiel-shop-outlet.example, und der Shop, den sie kennt, wohnt unter beispiel-shop.de. Das angeklebte Wort „outlet“ ist schon Grund genug zu stoppen, und die Endung passt auch nicht. Die Adresse der Falle in diesem Beispiel endet auf „.example“, eine Endung, die für Beispiele reserviert ist und zu keiner echten Seite gehört.
2. Die Firma. Das Impressum nennt eine Gesellschaft, aber im Unternehmensregister steht sie nicht, und die Anschrift gehört zu einem Briefkastendienst.
3. Außerhalb der Seite. Bei der Suche nach dem Namen zusammen mit „Erfahrungen“ findet sie frische Beiträge von Leuten, die bezahlt und nichts bekommen haben.
4. Der Empfänger. Im Bestätigungsfenster würde das Geld an eine Privatperson gehen, nicht an den Shop, und die Bank warnt, dass Name und IBAN nicht zusammenpassen.

Keins dieser Dinge hätte für sich allein bewiesen, dass es Betrug ist. Zusammen zeigen sie, dass diese Seite nicht der Shop ist, den Marlene kennt. Sie schließt die Anzeige, tippt die Adresse des echten Shops ein und findet dieselben Schuhe zum normalen Preis.

Wenn du schon bezahlt hast

Ruf deine Bank an, sobald du das Problem bemerkst. Schuld ist, wer die gefälschte Seite gebaut hat, nicht du.

1. In der ersten Stunde: ruf deine Bank an. Nutz die Nummer auf der Rückseite deiner Karte oder die aus der Banking-App. Sag klar, dass es Betrug war, und frag, ob die Zahlung noch gestoppt werden kann. War es eine Lastschrift, widersprich ihr; dafür hast du bis zu acht Wochen nach der Buchung Zeit. War es eine Überweisung, sag es sofort, denn dort ist die Geschwindigkeit das Einzige, was in deiner Hand liegt.
2. Sichere alles. Die Adresse der Seite, die Bestellbestätigung, die Nachrichten und die Produktseite, mit Bildschirmfotos, gemacht bevor die Seite verschwindet.
3. Erstatte Anzeige. Bei jeder Polizeidienststelle oder online über die Onlinewache der Polizei deines Bundeslandes. Dort kannst du unter anderem Betrug anzeigen und Belege gleich hochladen.
4. Wenn die Bank die Sache nicht löst, beschwer dich zuerst schriftlich bei der Bank selbst und bitte um eine schriftliche Antwort. Danach kannst du die Beschwerde bei der BaFin einreichen. Die BaFin sagt selbst, was sie kann und was nicht: Sie holt eine Stellungnahme des Unternehmens ein, entscheidet deinen Einzelfall aber nicht. Dafür verweist sie auf Ombudsleute, Schlichtungsstellen und Gerichte, und ihr Verbrauchertelefon 0800 2 100 500 ist kostenlos.
5. Behalte das Konto im Blick. Kartendaten, die in ein gefälschtes Bezahlfenster eingegeben wurden, werden oft erst mit einer kleinen Buchung getestet und danach mit einer großen.

Quellen, die wir geöffnet haben

Die Regeln und Abfragen oben wurden am 22. September 2026 auf diesen Seiten geprüft:

• BSI: Woran erkenne ich sichere Onlineshops?
• BSI: Passwortdiebstahl durch Phishing
• Polizeiliche Kriminalprävention: Fake-Shops locken mit unschlagbaren Preisen in die Falle
• Polizei: Onlinewachen der Polizeien in Deutschland
• BaFin: Wissenswertes zu Überweisungen und Lastschriften und Empfängerüberprüfung bei Überweisungen
• BaFin: Warnmeldungen und Bei der BaFin beschweren
• Unternehmensregister
• § 5 DDG: Allgemeine Informationspflichten
• DENIC: Domainabfrage für „.de“-Adressen
• Trusted Shops: Käuferschutz
• Chrome-Hilfe: Sicherheit einer Websiteverbindung überprüfen und Chromium-Blog: An Update on the Lock Icon

Die Shops und Adressen in den Beispielen sind erfunden. Die Muster, die sie zeigen, sind echt, aber es wird kein wirklicher Shop beschuldigt. Dieser Artikel nennt keine Statistik und keine Zahl, und er ist keine Rechtsberatung.

Häufige Fragen zu gefälschten Websites