Bestellbetrug auf Rechnung: So täuschen Betrüger Ihre Lieferanten

Was ist Bestellbetrug auf Rechnung?

Die Polizeiliche Kriminalprävention beschreibt Warenkreditbetrug so: Täter bestellen Ware, die Verkäufer verschicken, die aber nie bezahlt wird. Dafür nutzen sie unter anderem gefälschte oder gehackte Konten, fremde Bankverbindungen, Packstationen oder leerstehende Wohnungen mit falschem Namensschild.

Für Unternehmen als Opfer ist eine Variante besonders unangenehm: Die Täter treten im Namen eines real existierenden Unternehmens auf. Sie richten eine E-Mail-Adresse ein, die der Firmen-Domain zum Verwechseln ähnlich sieht, bitten Lieferanten um ein Angebot und bestellen anschließend auf Rechnung – mit Lieferadresse an einem Ort, den sie kontrollieren. Die Rechnung geht ins Leere, die Ware ist weg.

So läuft die Masche ab

1. Vorbereitung: Die Täter wählen ein bonitätsstarkes, bekanntes oder zumindest nachprüfbar existierendes Unternehmen und registrieren eine Doppelgänger-Domain – etwa mit anderer Endung, Tippfehler oder ähnlich aussehendem Zeichen.
2. Anfrage: Von der Doppelgänger-Adresse geht eine Angebotsanfrage an Lieferanten, oft mit echten Namen von Mitarbeitenden und Firmendaten aus Handelsregister oder Website.
3. Bestellung auf Rechnung: Nach dem Angebot folgt die Bestellung; die Lieferung soll an eine abweichende Adresse gehen.
4. Ware verschwindet: Die Sendung wird abgefangen oder weitergeleitet. Suspekt wird die Sache meist erst, wenn die Zahlung ausbleibt.

Ein gut dokumentiertes Muster ist der Fake-Customer-Trick. Laut Polizei und LKA Baden-Württemberg bestellten Täter im Namen britischer Unternehmen große Mengen hochwertiger Ware, ließen sie per Spedition ins Ausland liefern und zahlten nie. Die Absenderadressen ähnelten echten Adressen und unterschieden sich teils nur in der Domain-Endung, etwa .com statt .co.uk. Die LKA-Meldung stammt von 2017; die Polizei führt die Masche bis heute in ihren Präventionshinweisen. Das Prinzip – echte Firmenidentität, unechte Domain, Zahlung bleibt aus – lässt sich auf jedes Land und jede Branche übertragen.

Wer ist geschädigt?

• Der Lieferant: Er liefert Ware oder Leistung und bleibt auf dem Schaden sitzen. Er hat im Zweifel einen Vertragspartner, den es so nie gab.
• Das imitierte Unternehmen: Es hat keine Bestellung aufgegeben, bekommt aber Mahnungen, Inkassoschreiben oder verärgerte Anrufe. Hinzu kommt der Vertrauensverlust bei Lieferanten, die zu Unrecht annehmen, Sie seien zahlungsunwillig. Nach Einschätzung eines in der Sparkassen-Quelle zitierten Rechtsanwalts drohen dem betroffenen Unternehmen selbst keine rechtlichen Folgen, wohl aber Aufwand und Reputationsschaden; Unterlassungs- und Schadensersatzansprüche gegen die Täter sind nur durchsetzbar, wenn diese ermittelt werden.

Warnzeichen für Lieferanten

• Neuer Kunde, sofort große Bestellung auf Rechnung, ohne Empfehlung und ohne Interesse an Konditionen.
• Abweichende Lieferadresse – nicht der Firmensitz laut Handelsregister oder Website, sondern Lagerhalle, Packstation, Spedition oder Ausland.
• Absenderadresse mit Freemail oder Doppelgänger-Domain: Die Domain weicht minimal von der Website des Unternehmens ab (Buchstabe fehlt, Endung anders, Bindestrich, Ziffer statt Buchstabe).
• Zeitdruck: Kurze Lieferzeit, kurzes Zahlungsziel, „heute noch versenden“.
• Kommunikation fast nur per E-Mail; Rückrufnummern sind nicht erreichbar oder führen nicht zur Firma.
• Ungewöhnliche Mengen oder Waren, die zum Geschäft des angeblichen Bestellers nicht passen, oder gut weiterverkäufliche Artikel.
• Bonitätsnachweise per Anhang: Laut LKA setzen Täter teils gefälschte Bilanzen ein.

Das BSI weist darauf hin, dass sich Absenderangaben fälschen lassen und ein vertraut wirkender Name kein Echtheitsbeweis ist. Bei Doppelgänger-Domains ist die Absenderadresse sogar technisch „echt“ – sie gehört nur nicht dem Unternehmen, das sie imitiert.

Was Lieferanten tun können

Die Empfehlung von Polizei und LKA ist einfach und wirksam: Kunde und Bestellung über Kontaktdaten prüfen, die auf der eigenen, offiziellen Website des Kunden stehen – nicht über Telefonnummer, Adresse oder „Antworten“-Button aus der verdächtigen E-Mail. Ergänzend sinnvoll:

• Neukunden zunächst gegen Vorkasse oder mit Limit beliefern, bis Bonität und Identität geprüft sind.
• Bei abweichender Lieferadresse immer Rückfrage über den bekannten Kontakt.
• Mitarbeitende in Vertrieb und Buchhaltung über die Masche informieren.
• Bei Verdacht oder Schaden Anzeige bei der Polizei erstatten – laut Polizei auch dann, wenn nur verdächtige Bestellungen eingingen und keine Ware verloren ging.

Was Sie tun können, wenn Ihr Unternehmen imitiert wird

1. Nicht bezahlen und nicht ignorieren: Antworten Sie Mahnungen sachlich, dass keine Bestellung von Ihnen stammt, und nennen Sie das Aktenzeichen Ihrer Anzeige.
2. Strafanzeige erstatten bei der örtlichen Polizei und Beweise sichern: Mahnungen, Mails mit vollständigen Kopfzeilen, Lieferscheine.
3. Lieferanten warnen: Informieren Sie Ihre wichtigen Lieferanten über die Doppelgänger-Domain und nennen Sie Ihre offiziellen Domains und Ansprechpartner. Eine Vorlage finden Sie in der Checkliste: Lieferanten warnen.
4. Eigene Domain absichern: SPF, DKIM und DMARC verhindern, dass jemand direkt in Ihrem Namen sendet (siehe unten). Gegen Doppelgänger-Domains helfen sie nicht.
5. Rechtlichen Rat einholen (z. B. Marken- oder Namensrecht, Beschwerde beim Registrar), falls die Domain weiter aktiv bleibt.

Eigene E-Mail-Domain absichern

Mit SPF, DKIM und DMARC legen Sie fest, welche Server in Ihrem Namen senden dürfen und was mit Fälschungen geschehen soll. DMARC ist seit Mai 2026 mit RFC 9989 ein IETF-Standard. Das schützt Ihre Domain gegen direktes Fälschen – nicht aber gegen eine fremde, ähnlich aussehende Domain, für die der Täter eigene, gültige Einträge setzen kann. Grundlagen erklärt der Ratgeber MX, SPF, DKIM und DMARC. Der OrderGuard-Bericht prüft SPF, DKIM und DMARC Ihrer Domain mit.

Doppelgänger früh finden

Die Täter brauchen eine registrierte Doppelgänger-Domain. OrderGuard sucht genau diese: Der Gratis-Check zeigt per Ampel und Anzahl, ob registrierte Doppelgänger Ihrer Domain existieren. Der Bericht nennt alle gefundenen Domains mit Begründung, und der Watcher prüft monatlich erneut und meldet neue Doppelgänger per E-Mail. Wichtig zu wissen: Ein Treffer ist ein Anlass zur Prüfung, kein Beweis für Betrug – eine ähnliche Domain kann auch Ihnen selbst oder einem harmlosen Dritten gehören.