Fingerabdruckverfahren für gefälschte Shop-Netzwerke: Gemeinsamer Code und IDs

Die meisten Markenteams behandeln Fake-Shops als isolierte Probleme. Eine betrügerische Seite taucht auf, eine Takedown-Meldung geht raus, die Seite verschwindet. Problem gelöst. Nur leider nicht.

Hinter dem Großteil der Fake-Shop-Aktivitäten steckt kein einzelner Gelegenheitstäter. Dahinter steht ein Betreiber mit einem Netzwerk: Dutzende, manchmal Hunderte betrügerische Shops, gebaut aus derselben Vorlage, mit derselben Infrastruktur und mit ständig neuen Domains, sobald alte entfernt werden. Eine einzelne Seite abzuschalten, ohne das Netzwerk zu kartieren, ist das digitale Gegenstück dazu, ein Symptom zu behandeln, während sich die eigentliche Krankheit weiter ausbreitet.

Die gute Nachricht: Diese Netzwerke hinterlassen Fingerabdrücke. Gemeinsamer Code, wiederverwendete Tracking-IDs, dieselben Hosting-Anbieter und wiederholte Zahlungsdaten verbinden einzelne Fake-Shops mit einem einzigen Betreiber. Wer diese Fingerabdrücke lesen kann, verändert seine gesamte Durchsetzungsstrategie.

Die zentrale Erkenntnis: Ein einzelner Takedown beseitigt eine Bedrohung. Wer das Netzwerk kartiert, beseitigt die gesamte Infrastruktur des Betreibers und verhindert die nächste Welle von Seiten, bevor sie online geht.

Die Fingerabdrücke, die Fake-Shop-Netzwerke hinterlassen

Fake-Shop-Betreiber arbeiten effizient. Sie bauen Seiten in großem Umfang und verwenden deshalb Bausteine wieder. Genau diese Wiederverwendung verrät sie.

Analytics- und Pixel-IDs

Zu den zuverlässigsten Erkennungsmerkmalen gehört eine gemeinsame Google Analytics-Tracking-ID oder eine Facebook-Pixel-ID. Diese Codes sind im Quelltext einer Seite eingebettet, um das Verhalten der Besucher zu erfassen. Wenn ein Betreiber 50 Fake-Shops aus derselben Vorlage baut, vergisst er häufig, den Analytics-Code zu ändern, oder behält ihn bewusst bei, um alle Seiten über ein einziges Dashboard zu überwachen.

Taucht dieselbe Google-Analytics-ID auf mehreren Domains auf, ist das eine direkte Verbindung zwischen diesen Domains. Das Gleiche gilt für Meta-Pixel-IDs, TikTok-Event-Codes und andere Tracking-Skripte von Drittanbietern. Jede dieser IDs ist ein Faden, der scheinbar unabhängige Seiten mit demselben Betreiber verbindet.

Code-Snippets und Seitenvorlagen

Über Tracking-Codes hinaus teilen Fake-Shops häufig:

• Identische HTML- und CSS-Strukturen, einschließlich gleicher Klassennamen, Kommentarblöcke und Layoutdateien
• Kopierte JavaScript-Bibliotheken mit denselben Versionsnummern und Anpassungen
• Doppelte Produktbeschreibungen, Preisformate und Checkout-Abläufe
• Gleiche Fehlermeldungen, Cookie-Banner und Hinweise im Footer

Diese Elemente werden zwischen einzelnen Deployments selten geändert. Ein Markenschutzanalyst, der den Quelltext zweier Fake-Shops vergleicht, kann oft innerhalb von Minuten bestätigen, dass sie vom selben Ersteller stammen.

Hosting-Infrastruktur

IP-Adressen und Hosting-Konten sind ein weiteres starkes Signal. Verweisen mehrere gefälschte Domains auf dieselbe Server-IP oder nutzen sie dieselbe CDN-Konfiguration, werden sie mit ziemlicher Sicherheit vom selben Betreiber verwaltet. Auch Hosting-Konten werden häufig wiederverwendet. Eine Abuse-Meldung beim Registrar zu einer Domain kann daher Dutzende weitere Domains aufdecken, die unter demselben Konto registriert sind.

Zahlungs-Gateways und Händlerkonten

Bei der Zahlungsabwicklung sind Betreiber am stärksten angreifbar. Betrügerische Shops müssen Geld einnehmen und brauchen dafür ein Händlerkonto oder ein Zahlungs-Gateway. Laufen die Transaktionen mehrerer Fake-Shops über dasselbe Konto beim Zahlungsanbieter, wird dieses Konto zum stärksten Beweis für einen einzigen Betreiber. Rückbuchungen und Betrugsmeldungen gegen eine Seite können in manchen Fällen Untersuchungen gegen alle Seiten auslösen, die mit derselben Händler-ID verbunden sind.

Kontaktdaten und WHOIS-Daten

Trotz der weit verbreiteten Nutzung datenschutzgeschützter Domainregistrierungen verwenden Betreiber regelmäßig wieder:

• E-Mail-Adressen in WHOIS-Einträgen und auf Kontaktseiten
• Telefonnummern auf gefälschten Kundenservice-Seiten
• Postanschriften (oft erfunden, aber konsequent wiederverwendet)
• Firmennamen, die bei der Anmeldung beim Zahlungs-Gateway angegeben wurden

Jedes wiederholte Detail ist ein weiterer Verbindungspunkt in der Netzwerkkarte.

Warum die Kartierung des Netzwerks einzelne Takedowns schlägt

Einen einzelnen Fake-Shop abzuschalten, ist kein Sieg. Für den Betreiber ist es eine vorübergehende Unannehmlichkeit. Die meisten Netzwerkbetreiber haben Ersatzdomains in Reserve. Sobald eine Seite entfernt ist, geht eine andere online, oft innerhalb weniger Stunden.

Die Rechnung einzelner Durchsetzungsmaßnahmen geht für die Marke schlicht nicht auf. Ein Betreiber mit 80 Fake-Shops verliert pro Takedown-Antrag eine Seite. Das Team der Marke investiert in jeden einzelnen Fall Zeit, Ressourcen und oft Anwaltskosten. Der Betreiber merkt es kaum.

Durchsetzung auf Netzwerkebene verändert diese Rechnung grundlegend.

Wenn Sie die gemeinsame Infrastruktur kartieren, kann eine einzige Durchsetzungsmaßnahme alle verbundenen Domains gleichzeitig erreichen. Ein Hosting-Anbieter, der über Missbrauch auf 30 Domains desselben Kontos informiert wird, kann das gesamte Konto sperren. Ein Zahlungs-Gateway, dem Beweise für Betrug über mehrere Händler-IDs desselben Betreibers vorliegen, kann alle zugehörigen Konten einfrieren. Eine Abuse-Meldung beim Registrar, die durch eine Netzwerkkarte gestützt wird, hat deutlich mehr Gewicht als eine Beschwerde zu einer einzelnen Domain.

Die praktischen Vorteile der Netzwerkkartierung:

• Gleichzeitiger Takedown mehrerer Domains statt Entfernung einer Domain nach der anderen
• Stärkere Beweispakete für Registrare, Hoster und Zahlungsanbieter
• Weniger Zeitaufwand pro Takedown, wenn die Infrastruktur bereits dokumentiert ist
• Verhinderung sofortiger Neuregistrierungen, weil die Hosting- und Zahlungskonten des Betreibers gesperrt sind
• Ein klareres Bild vom Umfang der Operation, das bei Bedarf die Eskalation an Strafverfolgungsbehörden unterstützt

Für Marken, die wiederholt Rechtsverletzungen erleben, ist das der Unterschied zwischen dauerhafter Verteidigung und der tatsächlichen Störung der Operation. Da die Markenschutzplattform von Remove.tech auf proaktive Erkennung statt auf reaktive Reaktion ausgelegt ist, besteht das Ziel immer darin, dem Netzwerk voraus zu sein, statt ihm Seite für Seite hinterherzulaufen.

Der identitätsbasierte Ansatz von Remove.tech gegen Fake-Shop-Netzwerke

Die meisten Markenschutz-Tools sind auf die Erkennung von Inhalten ausgelegt: etwas finden, das wie Ihre Marke aussieht, markieren, entfernen. Das funktioniert bei einzelnen Rechtsverletzungen. Gegen organisierte Netzwerke funktioniert es nicht, weil jede Seite als eigenes Problem behandelt wird.

Der Ansatz von Remove.tech beginnt bei der Identität. Statt jeden Fake-Shop als Einzelfall zu behandeln, sucht die Plattform nach dem Betreiber hinter den Seiten und analysiert die technischen und administrativen Signale, die Domains miteinander verbinden, statt nur den oberflächlichen Markenmissbrauch.

Die Plattform überwacht die Kanäle, auf denen Fake-Shop-Netzwerke aktiv sind:

• Suchmaschinen, auf denen betrügerische Seiten bei Markensuchbegriffen erscheinen und über die Mitgliedschaft von Remove.tech im Trusted Copyright Removal Program von Google deindexiert werden
• Gefälschte Websites, die automatisch gefunden und entfernt werden, bevor sie nennenswerten Kunden-Traffic abfangen
• Domains, mit Erkennung und Durchsetzung gegen Domains, die Ihre Marke bei verschiedenen Registraren ausnutzen
• Soziale Medien, wo Fake-Accounts und bezahlte Anzeigen Kunden auf betrügerische Shops umleiten
• Marktplätze, auf denen Fälschungsangebote und nicht autorisierte Verkäufer innerhalb desselben Netzwerks agieren
• Anzeigen, in denen nicht autorisierte Kampagnen Ihre Marken und Produktbilder nutzen

Da die Plattform kontinuierlich rund um die Uhr crawlt, erkennt sie, wenn neue Domains Infrastruktur mit bereits entfernten Seiten teilen. Ein neuer Fake-Shop, der eine bekannte Analytics-ID wiederverwendet oder auf eine bekannte IP-Adresse verweist, wird sofort markiert und nicht erst Wochen später, wenn eine Kundenbeschwerde eingeht.

Die automatisierten Systeme von Remove.tech können die Takedown-Quote im Vergleich zu manuellen Prozessen um das 3- bis 5-Fache steigern. Das Netzwerk wird also schneller zerschlagen, als es sich neu aufbauen kann. Organisationen berichten außerdem, dass sie zwischen 30 und 70 % der Anwaltskosten für die Einzeldurchsetzung einsparen, weil die Plattform Routine-Takedowns übernimmt, ohne dass für jeden Fall ein Anwalt nötig ist.

Mehr dazu, wie betrügerische Seiten Ihre Kunden abfangen, lesen Sie in Wie gefälschte Websites Ihre E-Commerce-Umsätze abfangen, bevor Kunden Ihren Shop überhaupt erreichen und Markenimitation im Internet: Wie man gefälschte Konten, betrügerische Websites und Nachahmer-Shops findet und entfernt.

Ein kostenloses Marken-Audit von Remove.tech ist in zwei Minuten angefordert und gibt Marken- und Rechtsteams ein klares Bild ihres Risikos in Suchmaschinen, auf Marktplätzen, bei Domains und in sozialen Medien. Für Marken, die eher ein Netzwerk als einzelne Seiten vermuten, beginnt hier die Kartierung.

Häufig gestellte Fragen

Was ist ein Fake-Shop-Netzwerk?

Ein Fake-Shop-Netzwerk ist eine Gruppe betrügerischer Onlineshops, die vom selben Betreiber geführt werden. Sie teilen Vorlagen und Infrastruktur, zielen auf dieselben Marken und sind darauf ausgelegt, schnell ersetzt zu werden, wenn einzelne Domains entfernt werden.

Wie verbinden gemeinsame Analytics-IDs Fake-Shops mit einem Betreiber?

Analytics-Codes wie Google-Analytics-IDs oder Facebook-Pixel-IDs sind im Quelltext einer Seite eingebettet. Verwendet ein Betreiber denselben Tracking-Code für mehrere Fake-Shops, erscheint diese ID auf allen verbundenen Domains und führt sie auf einen einzigen Betreiber zurück.

Warum scheitern einzelne Takedowns an Fake-Shop-Netzwerken?

Einzelne Takedowns entfernen eine Seite, lassen die Infrastruktur des Betreibers aber unberührt. Ersatzdomains liegen meist schon bereit und gehen innerhalb weniger Stunden online. Ohne Kartierung des Netzwerks reagieren Durchsetzungsteams immer nur, statt die Fähigkeit des Betreibers zu stören, weiter neue Seiten aufzubauen.

Welche Signale nutzt Remove.tech, um Fake-Shop-Netzwerke zu erkennen?

Die Markenschutzplattform von Remove.tech crawlt kontinuierlich Suchmaschinen, Domains, gefälschte Websites, Marktplätze, soziale Medien und Anzeigen. Teilen neue Seiten Infrastruktur, Code oder Kennungen mit bereits entfernten Domains, werden sie für die Durchsetzung auf Netzwerkebene markiert.

Wie finde ich heraus, ob meine Marke Ziel eines Fake-Shop-Netzwerks ist?

Ein kostenloses Marken-Audit von Remove.tech ist in zwei Minuten angefordert und gibt Marken- und Rechtsteams einen klaren Überblick über ihr Risiko in Suchmaschinen, auf Marktplätzen, bei Domains und auf sozialen Plattformen.

‍