Lookalike-Domains beim Rechnungsbetrug: So erkennen Sie sie und lassen sie entfernen

Ihr Lieferant erhält eine E-Mail. Sie scheint von Ihnen zu kommen. Sie trägt Ihren Firmennamen, trifft den richtigen Ton und enthält vielleicht sogar Ihre kopierte E-Mail-Signatur. Der einzige Unterschied ist ein Zeichen in der Domain. Statt „ihrefirma.com“ kam die E-Mail von „ihrefirrna.com“. Ihr Lieferant bemerkt es nicht. Er ändert die Bankverbindung wie angewiesen. Das Geld wird überwiesen. Und bis jemand merkt, was passiert ist, ist es weg.

So funktioniert Rechnungsbetrug mit Lookalike-Domains. Dafür braucht es weder ein Datenleck noch ausgefeilte Malware. Es braucht eine gefälschte Domain, eine überzeugende E-Mail und einen Moment der Unaufmerksamkeit.

Das Ausmaß des Problems ist erheblich. Laut dem Internet Crime Complaint Center verursachte Business Email Compromise (die Kategorie, unter die diese Art von Betrug fällt) allein im Jahr 2025 gemeldete Verluste von 3 Milliarden US-Dollar. Die Lookalike-Domain ist fast immer der Ausgangspunkt.

Besonders schädlich für Marken ist dabei, dass Ihr Unternehmen imitiert wird. Ihre Lieferanten und Partner sind die Opfer. Und Ihre Reputation trägt den Schaden.

Wie Rechnungsbetrug Lookalike-Domains nutzt

Eine Lookalike-Domain ist jede Domain, die so registriert wurde, dass sie der Domain einer echten Marke stark ähnelt. Das Ziel ist einfach: Der Empfänger soll glauben, die E-Mail komme von einer vertrauenswürdigen Quelle.

Beim Rechnungsbetrug nutzen Angreifer Ihre Domain gegen Sie. Sie registrieren eine Variante der Webadresse Ihres Unternehmens und kontaktieren darüber Ihre Lieferanten oder Geschäftspartner. Die E-Mail kommt meist zu einem günstigen Zeitpunkt, kurz bevor eine Zahlung fällig ist, und fordert eine Änderung der Bankverbindung.

Die gängigen Techniken

Angreifer setzen auf kleine, leicht zu übersehende Änderungen:

• Typosquatting: Ein vertauschter Buchstabe („acmecorp.com“ wird zu „acmecrop.com“)
• Homoglyphen: Ein kleines „l“ wird durch ein großes „I“ ersetzt
• Ein zusätzliches Wort: „acme-invoicing.com“ statt „acmecorp.com“
• Wechsel der Domain-Endung: Aus „.com“ wird „.net“, „.co“ oder eine länderspezifische Endung
• Doppelgänger-Domains: Ein Bindestrich fällt weg, sodass aus „acme-corp.com“ „acmecorp.com“ wird

Auf dem Smartphone sind diese Unterschiede kaum zu erkennen.

Der Ablauf der Zahlungsumleitung

1. Der Betrüger registriert eine Lookalike-Domain Ihres Unternehmens
2. Er ermittelt Ihre Lieferantenbeziehungen über LinkedIn oder Ihre Website
3. Er schreibt einen bekannten Lieferanten an und gibt sich als Ihre Finanzabteilung aus
4. Die E-Mail fordert vor einer geplanten Zahlung eine aktualisierte Bankverbindung an
5. Der Lieferant kommt der Aufforderung nach, und das Geld landet auf dem Konto des Betrügers
6. Der Betrug fällt erst Wochen später auf, wenn der echte Lieferant eine ausstehende Zahlung anmahnt

Zu diesem Zeitpunkt lässt sich das Geld nur noch selten zurückholen.

Früherkennung: Worauf Sie achten sollten

Je früher Sie eine Lookalike-Domain entdecken, desto mehr Möglichkeiten haben Sie. Wer wartet, bis ein Lieferant eine ausstehende Zahlung meldet, reagiert erst, wenn der Betrug bereits gelungen ist.

Anzeichen dafür, dass eine Lookalike-Domain Ihre Marke ins Visier nimmt

• Ein Lieferant oder Partner erhält eine unerwartete E-Mail, die scheinbar von Ihrem Unternehmen stammt, deren Domain aber leicht abweicht
• Ihr Markenname taucht in einer neu registrierten Domain auf, die Ihnen nicht gehört
• Sie erhalten eine Unzustellbarkeitsnachricht oder eine Antwort auf eine E-Mail, die Sie nie verschickt haben
• Ein Lieferant fragt bei Ihnen nach, um eine Änderung der Bankverbindung zu bestätigen, die Sie nie veranlasst haben
• Monitoring-Tools oder Suchergebnisse zeigen eine Website, die Ihre Markenidentität imitiert

Das wichtigste Signal ist oft eine unerwartete Aufforderung zur Änderung der Bankverbindung. Betrüger timen diese passend zu bekannten Zahlungszyklen. Meldet ein Lieferant eine solche Aufforderung von Ihrem Unternehmen, behandeln Sie sie sofort als aktive Bedrohung.

Proaktives Monitoring

Die wirksamste Abwehr besteht darin, die Domain zu finden, bevor sie genutzt wird. Dazu gehört, Domainregistrierungen auf Varianten Ihres Markennamens über gängige Endungen und Zeichenersetzungen hinweg zu überwachen. Die Markenschutzplattform von Remove.tech überwacht Domain-Registrare rund um die Uhr und sucht nach gefälschten Websites und neu registrierten Domains, die Ihre Marke ausnutzen. So werden Sie gewarnt, bevor Ihre Lieferanten ins Visier geraten.

Genau das ist der Unterschied zwischen reaktivem und proaktivem Markenschutz. Wenn ein Lieferant eine verdächtige E-Mail meldet, ist der Betrüger bereits aktiv. Bedrohungen zu erkennen, bevor sie Schaden anrichten, ist der einzige Ansatz, der finanzielle und reputative Schäden zuverlässig begrenzt.

Die Lookalike-Domain entfernen lassen

Haben Sie eine Lookalike-Domain identifiziert, ist das Ziel, sie so schnell wie möglich offline zu bekommen. Je länger sie aktiv bleibt, desto mehr Schaden kann sie anrichten.

Ihre ersten Schritte

• Dokumentieren Sie zuerst alles. Erstellen Sie Screenshots der Domain, einer zugehörigen Website und aller E-Mails, die darüber verschickt wurden. Diese Nachweise brauchen Sie für Takedown-Anträge und gegebenenfalls für Anzeigen bei den Strafverfolgungsbehörden.
• Ermitteln Sie den Registrar. Eine WHOIS-Abfrage zeigt, bei welchem Registrar die Domain registriert ist, und in vielen Fällen auch den Hosting-Anbieter. Beide können Sie für einen Takedown kontaktieren.
• Reichen Sie beim Registrar eine Abuse-Meldung ein. Die meisten Registrare haben ein Verfahren für Abuse-Meldungen. Legen Sie Nachweise vor, dass die Domain genutzt wird, um Ihre Marke zu imitieren und Betrug zu begehen. Fügen Sie, soweit vorhanden, Ihre Markenunterlagen bei.
• Kontaktieren Sie den Hosting-Anbieter. Hat die Domain eine aktive Website, kann der Hosting-Anbieter sie unabhängig vom Registrar sperren. Reichen Sie dort eine separate Abuse-Meldung ein.
• Melden Sie den Fall den zuständigen Behörden. In Großbritannien können Sie Betrug bei Action Fraud melden. Haben Ihre Lieferanten oder Partner Geld verloren, sollten sie den Vorfall sofort ihrer Bank und der Polizei melden.

Warum manuelle Takedowns langsam sind

Registrare reagieren unterschiedlich schnell, und die Eskalation über Hosting-Anbieter kostet Zeit, die Sie nicht haben. Die Markenschutzplattform von Remove.tech übernimmt die Entfernung gefälschter Websites und Domains automatisch, reicht Takedown-Meldungen ein und eskaliert über die richtigen Kanäle, ohne dass Sie jedem einzelnen Fall hinterherlaufen müssen. Die versteckten Kosten von Lookalike-Domains reichen weit über einen einzelnen Betrugsfall hinaus.

Lieferanten und Partner informieren

Die Entfernung der Domain ist nur die halbe Arbeit. Haben Betrüger Ihre Lieferanten bereits über eine Lookalike-Domain kontaktiert, müssen diese Beziehungen sorgfältig gepflegt werden.

Was und wie Sie kommunizieren sollten

• Rufen Sie betroffene Lieferanten zuerst an. Informieren Sie nicht per E-Mail über einen Betrug per E-Mail. Nutzen Sie eine Telefonnummer, die Ihnen bereits vorliegt.
• Bestätigen Sie schriftlich von Ihrer verifizierten Domain aus. Nennen Sie Ihre echte E-Mail-Adresse, erklären Sie, dass eine gefälschte Domain genutzt wurde, um Sie zu imitieren, und raten Sie dazu, künftige Änderungswünsche zu Zahlungen telefonisch zu überprüfen.
• Lassen Sie Ihre Kontaktdaten erneut bestätigen. Auch langjährige Lieferanten sollten die Angaben prüfen, die sie zu Ihnen gespeichert haben.
• Geben Sie ihnen eine Direktnummer. Machen Sie die Überprüfung einfach. Eine namentlich benannte Ansprechperson und eine Durchwahl beseitigen jede Hürde.

Kommunikation in der gesamten Lieferkette

Ist Ihr Lieferantennetz groß, senden Sie allen aktiven Kontakten einen kurzen Hinweis. Bleiben Sie sachlich: Eine betrügerische Domain wurde identifiziert, es wird dagegen vorgegangen, und jede Aufforderung zur Änderung der Bankverbindung muss vor der Umsetzung telefonisch überprüft werden.

Das Wichtigste: Eine einzige klare Anweisung, „Rufen Sie uns immer an, bevor Sie Zahlungsdaten ändern“, verhindert Wiederholungsfälle und zeigt, dass Sie Sicherheit ernst nehmen.

Häufig gestellte Fragen

Was ist eine Lookalike-Domain? 

Eine Webadresse, die so registriert wurde, dass sie der Domain einer echten Marke stark ähnelt. Meist unterscheidet sie sich durch ein Zeichen, einen vertauschten Buchstaben, ein zusätzliches Wort oder eine andere Endung. Ziel ist es, Empfänger glauben zu lassen, dass E-Mails oder Websites der gefälschten Domain echt sind.

Wie nutzen Betrüger Lookalike-Domains beim Rechnungsbetrug? 

Sie registrieren eine Domain, die wie Ihre aussieht, und schreiben dann Ihre Lieferanten an, wobei sie sich als Ihre Finanzabteilung ausgeben. Die Nachricht fordert vor einer geplanten Zahlung eine Änderung der Bankverbindung. Kommt der Lieferant dem nach, ohne über einen anderen Kanal nachzufragen, landet das Geld beim Betrüger.

Wie finde ich heraus, ob jemand eine Lookalike-Domain meines Unternehmens registriert hat? 

Sie können manuell per WHOIS nach Varianten Ihrer Domain suchen, dabei rutscht aber leicht etwas durch. Automatisierte Monitoring-Tools, wie sie in der Markenschutzplattform von Remove.tech enthalten sind, durchsuchen Domain-Registrare kontinuierlich und warnen Sie, sobald eine verdächtige Domain auftaucht.

Was sollte ich tun, wenn ich eine Lookalike-Domain entdecke?

 Dokumentieren Sie sie, ermitteln Sie den Registrar über die WHOIS-Abfrage der ICANN, reichen Sie eine Abuse-Meldung ein und kontaktieren Sie den Hosting-Anbieter. Melden Sie den Betrug in Großbritannien bei Action Fraud. Informieren Sie betroffene Lieferanten sofort telefonisch.

Übernimmt Remove.tech die Entfernung von Lookalike-Domains?

 Ja. Der Markenschutzservice von Remove.tech umfasst die Entfernung gefälschter Websites und Domains sowie fortlaufendes Domain-Monitoring. Die Plattform durchsucht Registrare rund um die Uhr und reicht automatisch Takedown-Meldungen ein, sobald rechtsverletzende Domains identifiziert werden.

Wenn Ihre Marke online imitiert wird und Sie das nicht aktiv überwachen, ist nicht die Frage, ob eine Lookalike-Domain existiert. Die Frage ist, ob Sie sie vor Ihren Lieferanten finden. Ein kostenloses Marken-Audit von Remove.tech ist in zwei Minuten angefordert und zeigt Ihnen, was bereits unter Ihrem Namen im Umlauf ist.

‍