Bulletproof Hosting: Wenn Fake-Shops einfach nicht offline gehen

Sie melden einen Fake-Shop, der Ihre Marke imitiert. Eine Woche später ist er immer noch online, nimmt weiter Bestellungen an und rankt weiter in der Suche. Sie melden ihn erneut. Nichts passiert.

Das ist kein Fehler im System. Das System funktioniert genau so, wie der Betreiber es beabsichtigt. Fake-Shops auf Bulletproof-Infrastruktur sind darauf ausgelegt, Takedown-Versuche zu überstehen. Der Hoster ignoriert Abuse-Meldungen, weil genau das die Dienstleistung ist, die er verkauft. Ob eine Marke die Seite offline bekommt oder weiter Tickets ins Leere schickt, hängt davon ab, ob sie weiß, wo sie sonst Druck ausüben kann.

Was ist Bulletproof Hosting?

Anbieter von Bulletproof Hosting (BPH) vermieten Serverinfrastruktur an Betreiber, die online bleiben müssen, egal was ihre Seiten tun. Technisch gesehen sind das keine dubiosen Sonderkonstrukte. Viele nutzen ganz gewöhnliche Cloud-Infrastruktur. Bulletproof macht sie ihre Richtlinie: Abuse-Beschwerden werden ignoriert, verzögert oder stillschweigend abgewiesen.

Laut der Analyse des BPH-Ökosystems von Intel 471 kombinieren Bulletproof-Anbieter typischerweise Merkmale, die Takedowns erschweren: nachsichtige Richtlinien im Umgang mit Missbrauch, rechtliche Abschirmung über mehrere Länder hinweg, Reseller-Ebenen, die die tatsächliche Hosting-Beziehung verschleiern, häufige Wechsel der IP-Adressen, um Sperrlisten zu umgehen, und Beziehungen zu vorgelagerten Netzwerken, die die Durchsetzung erschweren.

Für Markeninhaber bedeutet das: eine Seite, die seriös wirkt, in der Suche rankt, bezahlte Anzeigen schaltet und Zahlungen abwickelt, während der Hoster jede Ihrer Meldungen stillschweigend aussortiert.

So erkennen Sie einen Fake-Shop auf Bulletproof Hosting

Nicht jeder Hoster, der nicht reagiert, betreibt ein Bulletproof-Geschäft, doch es gibt verlässliche Signale:

• Abuse-Meldungen bleiben zwei Wochen oder länger unbeantwortet, ohne automatische Eingangsbestätigung
• Die Seite taucht kurz nach einer teilweisen Störung unter einer neuen Domain oder IP-Adresse wieder auf
• WHOIS-Einträge zeigen Datenschutzdienste, die in Hochrisikoländern registriert sind
• Die Domain wurde kürzlich registriert (oft innerhalb der letzten 30 bis 90 Tage) und folgt einem Namensmuster wie Ihr Markenname plus „shop“, „outlet“ oder „official“
• Die Hosting-IP gehört zu einer bekannten Bulletproof-ASN (Autonomous System Number)
• Die Seite nutzt ein CDN oder einen Reverse Proxy (etwa Cloudflare) als sichtbares Frontend und verschleiert so den eigentlichen Ursprungsserver

Die Eskalationsleiter: Wo Sie Druck ausüben, wenn der Hoster schweigt

Wenn der Hoster Sie ignoriert, ist die Lösung nicht, dieselbe Meldung noch einmal zu schicken. Die Lösung ist, gleichzeitig nach oben und quer durch den Infrastruktur-Stack zu eskalieren. Jede Ebene steht in einer anderen Beziehung zum Fake-Shop, und jede hat ihre eigenen Druckpunkte.

Schritt 1: Der Domain-Registrar

Der Registrar kontrolliert den Domainnamen selbst. Auch wenn der Hoster nicht reagiert, unterliegt der Registrar seinen Pflichten gegenüber der ICANN und muss auf glaubwürdige Abuse-Meldungen reagieren, insbesondere bei Phishing, Betrug und Markenrechtsverletzungen.

• Ermitteln Sie den Registrar über eine WHOIS-Abfrage
• Reichen Sie eine formelle Abuse-Meldung mit dokumentierten Nachweisen ein: Screenshots, Markenurkunden und Nachweise für Schäden bei Verbrauchern
• Verweisen Sie auf das Uniform-Rapid-Suspension-Verfahren (URS) oder die Uniform Domain-Name Dispute-Resolution Policy (UDRP) der ICANN, wenn der Registrar nur langsam handelt
• Nutzt die Domain einen Datenschutzdienst, bleibt der Registrar dennoch die richtige Anlaufstelle für die Eskalation

Die Sperrung der Domain entfernt den Markennamen und zwingt den Betreiber, seinen Traffic neu aufzubauen, selbst wenn die IP-Adresse erreichbar bleibt.

Schritt 2: CDN und Reverse Proxy

Viele Fake-Shops sitzen hinter einem Content Delivery Network oder Reverse Proxy, am häufigsten hinter Cloudflare. Genau hier sind Markeninhaber oft verunsichert: Die Cloudflare-IP im WHOIS-Eintrag bedeutet nicht, dass Cloudflare die Inhalte hostet.

Wie die Dokumentation von Cloudflare zum Umgang mit Missbrauch erklärt, ist Cloudflare in der Rolle als CDN oder Durchleitungsdienst nicht der Ursprungshoster und kann keine Inhalte entfernen, die es nicht speichert. Eine Meldung an Cloudflare lohnt sich trotzdem: Cloudflare leitet die Beschwerde an den tatsächlichen Hosting-Anbieter weiter, legt die IP-Adresse des Ursprungsservers offen und kann speziell bei Phishing eine Warnseite vor die Domain schalten. Nutzen Sie die Meldung, um den eigentlichen Ursprungsserver zu finden, und eskalieren Sie dann direkt dort.

Schritt 3: Der vorgelagerte Netzwerkanbieter

Hinter dem Hoster steht ein vorgelagerter Transit- oder Netzwerkanbieter, in der Regel ein großer Carrier oder der Betreiber eines autonomen Systems. Diesen Unternehmen ist der Ruf ihres Netzwerks wichtig, und sie reagieren zuverlässiger auf Abuse-Meldungen als nachgelagerte Bulletproof-Hoster.

Ermitteln Sie den vorgelagerten Anbieter über die IP der Seite und ein ASN-Lookup-Tool und reichen Sie dann eine Netzwerk-Abuse-Beschwerde mit vollständigen technischen Nachweisen ein: IP-Adressen, Zeitstempel und Dokumentation der rechtsverletzenden Aktivität. Verweisen Sie gegebenenfalls auf einschlägige Gesetze wie den Digital Services Act der EU. Vorgelagerte Anbieter können den Traffic des Bulletproof-Hosters per Null-Routing komplett kappen oder das Peering beenden, was deutlich mehr Wirkung hat als der Takedown einer einzelnen Seite.

Den Sauerstoff abdrehen: Suche, Anzeigen und Zahlungen

Die Eskalation auf Infrastrukturebene nimmt eine Seite vom Netz. Doch während dieser Prozess läuft, gibt es schnellere Hebel, um den Umsatz und den Traffic abzuschneiden, von denen ein Fake-Shop lebt.

Deindexierung in der Suche

Ein Fake-Shop, der bei Google nicht zu finden ist, ist für die meisten Verbraucher praktisch tot. Die Deindexierung gehört zu den wirksamsten und am schnellsten wirkenden Instrumenten und funktioniert unabhängig von der Hosting-Situation.

Remove.tech ist offizielles Mitglied des Trusted Copyright Removal Program von Google, sodass Anträge auf Entfernung mit deutlich höherer Priorität bearbeitet werden als normale Einreichungen. Im Rahmen des kontinuierlichen Monitorings scannt die Plattform außerdem weitere Suchmaschinen und lässt Treffer auch dort entfernen.

Die Deindexierung nimmt die Seite nicht offline, entzieht ihr aber den Großteil des Traffics von Verbrauchern. Wer eine Seite nicht über Google findet, findet sie in den meisten Fällen gar nicht.

Werbung abschneiden

Viele Fake-Shops schalten bezahlte Such- oder Social-Media-Anzeigen mit Ihrem Markennamen als Keyword. Das ist für den Betrüger eine direkte Umsatzquelle und sorgt bei Verbrauchern für Verwirrung.

Reichen Sie bei Google Ads, Meta und allen anderen Plattformen, auf denen der Fake-Shop wirbt, eine Beschwerde wegen Markenrechtsverletzung ein, mit Ihren Markeneintragungsdaten und Nachweisen der betrügerischen Anzeige. Der Service von Remove.tech zur Entfernung gefälschter Werbung deckt diesen Weg als eigenen Durchsetzungskanal auf den großen Plattformen ab. Wer die Werbeausgaben kappt, nimmt dem Fake-Shop sofort die Kundengewinnung, noch bevor die Seite selbst offline ist.

Zahlungsabwicklung abschneiden

Ohne Möglichkeit, Geld einzunehmen, kann ein Fake-Shop nicht arbeiten. Zahlungsdienstleister wie Stripe, PayPal und die Kartennetzwerke haben alle Meldewege für Betrug und Markenmissbrauch.

Dokumentieren Sie den gefälschten Checkout-Prozess mit Screenshots und melden Sie ihn dann dem Zahlungsdienstleister, mit Nachweisen, dass die Seite Ihre Marke imitiert oder Fälschungen verkauft. Zahlungsdienstleister tragen finanzielle und regulatorische Risiken, wenn sie Betrug ermöglichen. Deshalb werden solche Beschwerden meist schneller bearbeitet als Abuse-Meldungen beim Hoster und können zur Sperrung des Händlerkontos führen.

Dokumentieren Sie alles, bevor Sie beginnen

Jeder der genannten Eskalationswege erfordert Nachweise. Abuse-Meldungen ohne Dokumentation lassen sich leicht abweisen. Legen Sie vor jeder Einreichung eine Fallakte an: ganzseitige Screenshots mit Zeitstempel, Domainname, IP-Adresse und WHOIS-Eintrag zum Zeitpunkt der Entdeckung, Nachweis Ihrer Markeninhaberschaft und ein Protokoll aller bisherigen Meldungen mit den erhaltenen Antworten. So entsteht die Papierspur, die Sie brauchen, wenn die Durchsetzung bis zu einem UDRP-Verfahren oder rechtlichen Schritten eskaliert.

Wenn gefälschte Websites Ihre Meldungen immer wieder überstehen, überwacht die Markenschutzplattform von Remove.tech kontinuierlich mehr als 100.000 Websites und Plattformen, erkennt rechtsverletzende Seiten, sobald sie auftauchen, und eskaliert die Entfernung über die richtigen Kanäle. Koordinierte, kanalübergreifende Durchsetzung wirkt dort, wo einzelne Meldungen scheitern.

Häufig gestellte Fragen

Was ist Bulletproof Hosting?

Bulletproof Hosting ist eine Art von Webhosting, die Abuse-Meldungen bewusst ignoriert oder abweist. Anbieter, die so arbeiten, vermieten Infrastruktur an Betreiber von Fake-Shops, Phishing-Seiten, Fälschungsmarktplätzen und anderen betrügerischen Angeboten. Das prägende Merkmal ist eine Richtlinie, normalen Takedown-Anfragen nicht nachzukommen.

Warum ignoriert der Hoster meine Abuse-Meldung?

Abuse-Meldungen zu ignorieren, ist die Dienstleistung, die Bulletproof-Hoster verkaufen. Ihr Geschäftsmodell beruht darauf, Kunden unabhängig von Beschwerden online zu halten. Zudem arbeiten sie oft über mehrere Rechtsordnungen hinweg, nutzen Reseller-Ebenen, um Verantwortung zu verschleiern, und wechseln IP-Adressen, um die Durchsetzung zu erschweren.

Kann Cloudflare einen Fake-Shop abschalten?

Fake-Shops nutzen Cloudflare meist als Reverse Proxy oder CDN, nicht als Hosting-Anbieter. In dieser Rolle kann Cloudflare keine Inhalte entfernen, die es nicht speichert. Eine Meldung an Cloudflare ist dennoch nützlich: Cloudflare leitet Ihre Beschwerde an den tatsächlichen Hosting-Anbieter weiter und kann die IP-Adresse des Ursprungsservers offenlegen, an den Sie sich dann direkt wenden können. Speziell bei Phishing kann Cloudflare eine Warnseite vor die Domain schalten. Alle Details dazu, wie Cloudflare mit verschiedenen Diensttypen umgeht, finden Sie in der Dokumentation von Cloudflare zum Umgang mit Missbrauch.

Reicht die Deindexierung, um einen Fake-Shop zu stoppen?

Die Deindexierung entfernt die Seite aus den Suchergebnissen und schneidet damit den Großteil des organischen Traffics ab. Offline nimmt sie die Seite nicht. Für die meisten Fake-Shops ist der Verlust der Sichtbarkeit in der Suche jedoch sehr schädlich, weil damit die Kundengewinnung wegfällt. In Kombination mit Beschwerden bei Zahlungsdienstleistern und Werbeplattformen kann die Deindexierung eine Seite wirksam unschädlich machen, während die Eskalation auf Infrastrukturebene parallel weiterläuft.

Was, wenn der Fake-Shop immer wieder unter neuen Domains auftaucht?

Wiederholtes Auftauchen deutet auf eine koordinierte Operation hin, nicht auf eine einmalige Rechtsverletzung. Die Antwort darauf ist kontinuierliches Monitoring statt reaktiver Meldungen. Wer Infrastruktur-Cluster wie gemeinsame IP-Bereiche, Nameserver und Registrierungsmuster über neue Domains hinweg verfolgt, erkennt die nächste Seite, bevor sie Fahrt aufnimmt.

‍