Ein Münchner IT-Sicherheitsunternehmen hat ein außergewöhnlich großes Netzwerk gefälschter Onlineshops identifiziert. Dem von nebty als „DoppelCart“ bezeichneten Cluster wurden rund 119.000 unterschiedliche Internetdomains zugeordnet. Auf zahlreichen Seiten werden Produkte, Bilder, Texte und teilweise Kontaktdaten realer Unternehmen übernommen. Besonders häufig betroffen sind nach den bisherigen Erkenntnissen kleinere und mittelständische Anbieter.
Nach Angaben von nebty handelt es sich gemessen an der Zahl der zugeordneten Domains um das bislang größte öffentlich dokumentierte Netzwerk dieser Art. Diese Einordnung stammt von dem Unternehmen selbst. Die technische Untersuchung weist zugleich ausdrücklich darauf hin, dass die gemeinsame Infrastruktur nicht belegt, dass sämtliche Seiten von derselben Person oder Organisation betrieben werden.
Ausgangspunkt der Untersuchung waren einzelne gefälschte Shops, mit deren Entfernung nebty beauftragt worden war. Dabei entdeckten die IT-Spezialisten wiederkehrende technische Merkmale. Mithilfe öffentlich verfügbarer Website-Scans ließen sich immer mehr Internetadressen miteinander in Verbindung bringen.
Der Datenexport vom 5. September 2026 enthält nach Angaben des Unternehmens 119.012 als zum Cluster gehörend eingestufte Einträge. Werden Varianten mit und ohne „www“ zusammengeführt, bleiben 118.996 unterschiedliche Domains. Nebty rundet die Zahl deshalb auf 119.000. Grundlage der Zuordnung waren mehrere Merkmale der technischen Infrastruktur und der verwendeten Webseiten. Eine manuelle Einzelprüfung jeder Seite erfolgte nicht.
Besonders auffällig ist die Domainendung „.shop“. 118.787 der zugeordneten Domains verwendeten sie. Im von nebty untersuchten Bestand von rund 4,36 Millionen .shop-Domains entsprach dies 2,72 Prozent. Daraus lässt sich allerdings nicht schließen, dass alle diese Seiten gleichzeitig erreichbar waren. Eine eingetragene Domain muss nicht zwingend einen aktiven Onlineshop bereitstellen.
Das Fakeshop-Netzwerk DoppelCart nutzt nach den dokumentierten Beispielen Inhalte tatsächlicher Händler. Kopiert werden unter anderem Produktnamen, Beschreibungen, Fotos und grafische Elemente. In einzelnen Fällen wurden Bilder sogar direkt von Servern der echten Unternehmen eingebunden. Auch reale Kontaktinformationen können auf den fremden Seiten auftauchen.
Dadurch können die Angebote auf den ersten Blick glaubwürdig wirken. In untersuchten Beispielen kamen hohe Preisnachlässe hinzu. Nebty dokumentierte unter anderem Angebote mit 65 Prozent Rabatt. Die BR-Recherche nennt bei untersuchten Seiten Preisabschläge von etwa 60 bis 70 Prozent. Auffällig waren außerdem Preise in US-Dollar und teilweise technische Probleme beim Aufruf am Desktop.
Betroffene Unternehmen können von den Kopien zunächst nichts wissen. Der BR kontaktierte mehr als ein halbes Dutzend Firmen in Bayern, deren Internetauftritte innerhalb des Clusters nachgebildet worden waren. Sie erfuhren demnach erst durch die Recherche von den Seiten. Unter den Beispielen waren eine Backstube, ein Juwelier, eine Brauerei und ein Möbelunternehmen.
Nach Angaben des Entdeckers Benedikt Scheungraber wurden dem Cluster Auftritte von rund 40.000 Unternehmen beziehungsweise Marken zugeordnet. Auffällig sei der hohe Anteil kleinerer Anbieter. Scheungraber vermutet als einen Grund, dass solche Firmen häufig kein dauerhaftes technisches Monitoring betreiben und Kopien ihrer Seiten deshalb später bemerken können. Eine allgemeine Statistik darüber, welcher Anteil aller betroffenen Unternehmen klein oder mittelständisch ist, liegt damit jedoch nicht vor.
Der Missbrauch kann für die Originalfirmen erhebliche Folgen haben. Kunden wenden sich bei ausbleibenden Lieferungen mitunter an das tatsächlich existierende Unternehmen, weil dessen Kontaktdaten auf der fremden Website stehen. Nebty berichtet aus eigenen Kundenfällen von solchen Beschwerden. Die echten Anbieter müssen dann erklären, dass Bestellung und Zahlung nicht über ihren Shop erfolgt sind.
Auch die Industrie- und Handelskammer für München und Oberbayern warnt grundsätzlich vor dieser Form des Identitätsmissbrauchs. Fakeshops können Namen, Anschriften, Handelsregisterdaten, Marken und Inhalte realer Firmen übernehmen. Betroffenen Unternehmen empfiehlt die IHK unter anderem, Beweise zu sichern, Kunden zu informieren, die betreffenden Domains zu melden und gegebenenfalls Strafanzeige zu erstatten.
Für Käufer besteht nicht nur das Risiko, nach einer Zahlung keine bestellte Ware zu erhalten. Nach der technischen Analyse können Seiten des untersuchten Netzwerks auch eingegebene Kreditkartendaten erfassen. Daher stammt die von nebty gewählte Bezeichnung „DoppelCart“.
Oberstaatsanwalt Thomas Goger von der Zentralstelle Cybercrime Bayern erklärte gegenüber dem BR, dass die Betreiber solcher Strukturen voll oder teilweise automatisiert arbeiteten. Auch Ermittlungsbehörden setzen demnach technische Analyseverfahren ein, um große Mengen verdächtiger Websites untersuchen zu können.
Spuren der technischen Infrastruktur führen nach China. Nach der BR-Recherche liefen mehr als 90 Prozent der untersuchten Seiten über einen dort befindlichen Server. Zudem fanden sich chinesischsprachige Bestandteile in der verwendeten Software. Daraus lässt sich jedoch nicht ableiten, welche Personen die einzelnen Shops betreiben oder wo sie sich aufhalten. Eine behördlich bestätigte Zuordnung des gesamten DoppelCart-Netzwerks zu einer bestimmten Tätergruppe lag zunächst nicht vor.
Ein vollständiges Impressum oder bekannte Firmenangaben reichen bei solchen Seiten nicht als Echtheitsmerkmal aus. Gerade die Übernahme realer Unternehmensdaten gehört zu den dokumentierten Methoden. Verbraucher sollten deshalb auch die genaue Internetadresse prüfen und bei ungewöhnlich hohen Preisnachlässen vorsichtig sein.
Die Verbraucherzentralen stellen dafür einen Fakeshop-Finder bereit. Sie empfehlen außerdem, bei unbekannten Anbietern auf vollständige und plausible Anbieterangaben zu achten und Zahlungsmethoden zu bevorzugen, bei denen eine Rückholung des Geldes oder ein Käuferschutz möglich ist. Wer bereits gezahlt hat und Probleme feststellt, sollte Belege sichern, unverzüglich den Zahlungsdienstleister oder die Bank kontaktieren und gegebenenfalls Anzeige erstatten.
Nebty hat seine DoppelCart-Datenbank öffentlich zugänglich gemacht, damit Unternehmen nach eigenen Marken und Domains suchen können. Die Datensammlung kann nach Angaben der Firma weiter ergänzt oder korrigiert werden. Damit ist die Zahl von rund 119.000 Domains eine Momentaufnahme der Untersuchung aus Anfang September 2026 und keine amtliche Statistik über sämtliche Fakeshops im Internet.
Texte werden mit Unterstützung von KI-Tools erstellt und vor Veröffentlichung redaktionell geprüft. Mehr dazu