Bestellbetrug auf Rechnung: So täuschen Betrüger Ihre Lieferanten
Wie Betrüger mit Doppelgänger-Domains im Namen Ihres Unternehmens Ware auf Rechnung bestellen, woran Lieferanten die Masche erkennen und was Polizei und IHK raten.
8 Min. Lesezeit
Methodik
So funktioniert der OrderGuard-Check
Keine Blackbox: Hier steht genau, was bei einem Check passiert, wie der Hinweiswert berechnet wird und welche Aussagen er zulässt – und welche nicht.
Der Ablauf in vier Schritten
- 1
Varianten erzeugen
Aus Ihrer Firmendomain entstehen typische Verwechslungen in 12 Familien – für muster-gmbh.de sind es 447 Varianten. Pro Check prüfen wir höchstens 1.500.
- 2
Öffentliche DNS-Daten abfragen
Für jede Variante fragen wir Nameserver, Adressen, Mailserver sowie SPF und DMARC ab. Zusätzlich prüfen wir SPF, DKIM und DMARC Ihrer eigenen Domain.
- 3
Jede Domain bewerten
Jeder registrierte Doppelgänger bekommt einen Hinweiswert aus festen Regeln – entscheidend ist, ob er E-Mails versenden und empfangen kann.
- 4
Ergebnis zeigen
Die Ampel richtet sich nach dem höchsten Einzelwert. Der Gratis-Check zeigt Ampel und Kennzahlen, der Bericht jede Domain. Freie Varianten nennen wir nie.
Aus einer Domain werden Hunderte Doppelgänger
Scrollen Sie und sehen Sie, wie der Generator muster-gmbh.de Zeichen für Zeichen verändert – jede hervorgehobene Kachel ist eine Abweichung vom Original.
Das Original
muster-gmbh.de
Ihre echte Firmendomain. Ihre Lieferanten kennen sie und vertrauen jeder E-Mail, die scheinbar von hier kommt.
Vertauschte Zeichen
muster-gmhb.de
Zwei benachbarte Zeichen sind vertauscht – ein klassischer Tippfehler.
Zeichenfolgen
rnuster-gmbh.de
Buchstabenpaare, die wie ein einzelnes Zeichen wirken: „rn“ statt „m“, „vv“ statt „w“, „cl“ statt „d“ – und umgekehrt.
Andere Endung
muster-gmbh.shop
Gleicher Name, andere Top-Level-Domain. Geprüft werden .de, .com, .eu, .shop, .at, .ch, .net, .org, .io, .co, .info, .app, .online und .co.uk.
Rechtsform und Einkaufswörter
muster-einkauf.de
Typisch für Bestellbetrug im deutschen Markt: andere oder verdrehte Rechtsform (gmbh, gmhb, ag, kg, ug), Rechtsform ohne Bindestrich oder ganz weggelassen und Zusätze wie bestellung, einkauf, order, rechnung oder service.
Ähnlich aussehende Zeichen
muѕter-gmbh.com
Ein kyrillisches „ѕ“ statt des lateinischen „s“ – optisch identisch, technisch eine völlig andere Domain (Punycode xn--…).
Welche Varianten wir prüfen
Die Beispiele sind echte Ausgaben unseres Generators für die fiktive Domain muster-gmbh.de. Damit auch bei begrenzter Kandidatenzahl jede Familie vertreten ist, werden die Familien im Wechsel aufgefüllt.
Rechtsform und Einkaufswörter
Typisch für Bestellbetrug im deutschen Markt: andere oder verdrehte Rechtsform (gmbh, gmhb, ag, kg, ug), Rechtsform ohne Bindestrich oder ganz weggelassen und Zusätze wie bestellung, einkauf, order, rechnung oder service.
- muster-gmhb.de
- muster-ag.de
- muster-einkauf.de
Umlaute
Umlaute und ß in jeder Schreibweise: ä als ae oder a, ö als oe oder o, ü als ue oder u, ß als ss oder s – und umgekehrt.
- müller-gmbh.de → mueller-gmbh.de
- mueller-gmbh.de → müller-gmbh.de
Andere Endung
Gleicher Name, andere Top-Level-Domain. Geprüft werden .de, .com, .eu, .shop, .at, .ch, .net, .org, .io, .co, .info, .app, .online und .co.uk.
- muster-gmbh.com
- muster-gmbh.shop
- muster-gmbh.at
Ausgelassenes Zeichen
Ein Buchstabe oder Bindestrich fehlt – beim schnellen Lesen fällt das kaum auf.
- muter-gmbh.de
- mustergmbh.de
Doppeltes Zeichen
Ein Buchstabe ist verdoppelt.
- mustter-gmbh.de
- muster-gmbbh.de
Vertauschte Zeichen
Zwei benachbarte Zeichen sind vertauscht – ein klassischer Tippfehler.
- umster-gmbh.de
- muster-gmhb.de
Tastatur-Nachbar
Ein Zeichen ist durch eine benachbarte Taste ersetzt (QWERTY-Belegung).
- muster-gmbj.de
- muster-gnbh.de
Ähnlich aussehende Zeichen
Homoglyphen: Ziffern wie „1“ statt „i“ oder „l“ und „0“ statt „o“. Auch Zeichen aus anderen Schriften, etwa ein kyrillisches „ѕ“ statt „s“, werden geprüft – sie erscheinen technisch als Punycode (xn--…). Unter .de lässt die DENIC solche Zeichen allerdings nicht zu.
- muѕter-gmbh.de (xn--muter-gmbh-n2i.de)
- mυster-gmbh.de (xn--mster-gmbh-dsh.de)
Zeichenfolgen
Buchstabenpaare, die wie ein einzelnes Zeichen wirken: „rn“ statt „m“, „vv“ statt „w“, „cl“ statt „d“ – und umgekehrt.
- rnuster-gmbh.de
- muster-grnbh.de
Bitflips
Ein einzelnes umgekipptes Bit macht aus einem Buchstaben einen anderen gültigen Buchstaben (Bitsquatting) – selten, aber billig zu registrieren.
- euster-gmbh.de
- mus4er-gmbh.de
Zusatzwörter
Vertrauenswürdig klingende Wörter vor oder hinter dem Namen: secure, login, mail, support, service, konto, online und shop.
- login-muster-gmbh.de
- muster-gmbh-konto.de
Ersetztes Zeichen
Ein Zeichen ist durch einen beliebigen anderen Buchstaben oder eine Ziffer ersetzt.
- mu5ter-gmbh.de
- muster-gmhh.de
Optional ergänzt eine KI bis zu 100 weitere Vorschläge. Jeder Vorschlag wird lokal geprüft und nur übernommen, wenn er Ihrer Domain nachweislich ähnelt. Fällt die KI aus, laufen die regelbasierten Varianten unverändert weiter.
Welche DNS-Einträge wir abfragen
Das Domain Name System ist das öffentliche Telefonbuch des Internets. Daraus lesen wir nur, was ohnehin öffentlich ist. Mehr zu den Einträgen erklärt der Ratgeber MX, SPF und DMARC.
| Eintrag | Was er aussagt |
|---|---|
| NS | Nameserver – zeigt, dass die Domain im DNS delegiert ist. |
| A / AAAA | IPv4- bzw. IPv6-Adresse – die Domain zeigt auf einen Server. |
| MX | Mailserver – an welche Server E-Mails für die Domain gehen. |
| TXT (SPF) | Absender-Regeln für E-Mails – bei Ihrer eigenen Domain bewertet, bei Doppelgängern Zusatzinformation. |
| _dmarc TXT | DMARC-Richtlinie – bei Ihrer eigenen Domain bewertet, bei Doppelgängern Zusatzinformation. |
| _domainkey TXT | DKIM-Schlüssel Ihrer eigenen Domain unter gängigen Selektoren. |
- Bis zu 16 Abfragen laufen parallel, jede mit 2 Sekunden Zeitlimit. Der gesamte Check ist auf 3 Minuten begrenzt.
- Meldet der Nameserver-Eintrag, dass eine Domain nicht existiert, entfallen die übrigen Abfragen für diese Variante.
- Zeitüberschreitungen und widersprüchliche Antworten zählen als „unbekannt“ – nie als „unauffällig“.
So entsteht der Hinweiswert
Jede aktive Variante bekommt Punkte nach festen Regeln, höchstens 100. Entscheidend ist die Frage: Kann jemand mit dieser Domain E-Mails versenden und empfangen – also Bestellungen verschicken und die Auftragsbestätigung Ihres Lieferanten erhalten?
| Signal | Punkte |
|---|---|
| Domain hat DNS-Einträge | +35 |
| Expliziter MX-Eintrag (Mailserver benannt) | +35 |
| Nur Adress-Eintrag, kein MX (implizites Mailrouting) | +20 |
| Internationalisierte Schreibweise (IDN), wenn aktiv | +10 |
| Erstes TLS-Zertifikat jünger als 30 Tage (Certificate Transparency, optional) | +10 |
| Null MX („nimmt keine E-Mails an“) | 0 (nur Info) |
| SPF oder DMARC veröffentlicht | 0 (nur Info) |
Rechenbeispiele
muster-gmhb.de hat DNS-Einträge (+35) und einen Mailserver (+35) = 70.
muster-gmbj.de hat DNS-Einträge (+35) und nur Adress-Einträge ohne MX (+20) = 55. Wäre es eine internationalisierte Schreibweise (xn--…), kämen +10 hinzu.
muster-gmbh-shop.de ist aktiv (+35), erklärt per Null MX aber, keine E-Mails anzunehmen = 35.
Alle drei stammen aus dem Beispielbericht.
So wird die Ampel bestimmt
Die Regeln werden von oben nach unten geprüft; die erste zutreffende gilt.
| Ergebnis | Regel | Bedeutung |
|---|---|---|
| Hohe Auffälligkeit | Höchster Hinweiswert ab 70 | Eine ähnliche Domain ist aktiv und kann E-Mails empfangen. Es besteht ein hohes Risiko für Bestellbetrug in Ihrem Namen. |
| Nicht bewertbar | Mehr als 20 % der Varianten nicht sicher prüfbar (oder keine Varianten) | Zu viele Abfragen blieben ohne verlässliche Antwort. Das ist keine Entwarnung – wiederholen Sie den Gratis-Check später. |
| Erhöhte Auffälligkeit | Höchster Hinweiswert ab 35 | Mindestens eine ähnliche Domain ist aktiv. Das Risiko für Bestellbetrug in Ihrem Namen ist erhöht – prüfen Sie die Treffer. |
| Geringe Auffälligkeit | Alle Werte unter 35 | Kein erkennbares Risiko für Bestellbetrug unter den geprüften Domains. Neue Doppelgänger-Domains können jederzeit entstehen. |
Ihre eigene Mail-Absicherung
Zusätzlich prüfen wir, ob Ihre echte Domain gegen Fälschung abgesichert ist: SPF legt erlaubte Absender fest, DKIM signiert E-Mails, DMARC sagt Empfängern, was mit Fälschungen passieren soll. Gegen Doppelgänger hilft das nicht – die haben eigene Einträge. Deshalb gehören Absicherung und Lieferanten-Warnung zusammen.
| Bewertung | Regel |
|---|---|
| Gut | SPF vorhanden und DMARC auf quarantine oder reject |
| Nicht prüfbar | SPF- oder DMARC-Abfrage blieb ohne verlässliche Antwort |
| Fehlt | Weder SPF noch DMARC veröffentlicht |
| Lückenhaft | Alles dazwischen, z. B. DMARC nur auf p=none |
Die Regeln werden von oben nach unten geprüft. DKIM-Schlüssel lassen sich nicht auflisten; wir prüfen gängige Selektoren und zeigen das Ergebnis im Bericht, es fließt aber nicht in die Bewertung ein.
Vergleich
Selbst suchen oder OrderGuard?
Natürlich können Sie Doppelgänger auch von Hand suchen. So sieht der Unterschied aus.
| Kriterium | Manuell | OrderGuard |
|---|---|---|
| Geprüfte Varianten | Eine Handvoll, die einem selbst einfallen | Bis zu 1.500 aus 12 Varianten-Familien |
| Endungen | Meist nur .de und .com | 14 Endungen von .de bis .co.uk |
| Ähnlich aussehende Zeichen | Kaum erkennbar, Punycode bleibt unsichtbar | Homoglyphen und Zeichenfolgen wie „rn“ statt „m“ |
| Mail-Fähigkeit | DNS-Abfrage je Domain von Hand | MX, Adress-Eintrag und Null MX automatisch |
| Eigene Absicherung | Separates Tool für SPF, DKIM, DMARC | Im selben Check bewertet |
| Neue Doppelgänger | Fallen erst bei der ersten Rechnung auf | Der Watcher meldet sie per E-Mail |
| Aufwand | Stunden, jedes Mal von vorn | Wenige Minuten, Ergebnis per E-Mail |
Grenzen und Datenschutz
- Eine Momentaufnahme: DNS-Einträge können sich jederzeit ändern.
- DNS belegt weder Registrierung noch Inhaberschaft oder böse Absicht.
- Wildcard-DNS, nicht veröffentlichte Domains und nicht erzeugte Varianten können unentdeckt bleiben.
- Auch eine grüne Ampel ist keine Sicherheitsgarantie.
- Wir speichern Ihre Domain und das Ergebnis in Ihrem Konto.
- Wenn die KI-Ergänzung aktiv ist, wird nur der Domainname an den KI-Dienst übermittelt – keine personenbezogenen Daten. Details stehen in der Datenschutzerklärung.
- Gefundene Domains werden nicht kontaktiert, weder per Web noch per E-Mail.
Häufige Fragen zur Methodik
Woher kommen die Domain-Varianten?
Sie werden nach festen Regeln aus Ihrer Domain berechnet: andere Endungen, ausgelassene, doppelte, vertauschte oder ersetzte Zeichen, Tastatur-Nachbarn, ähnlich aussehende Zeichen und Zusatzwörter wie „login“ oder „konto“. Optional kann eine KI weitere Vorschläge machen, die nur übernommen werden, wenn sie Ihrer Domain tatsächlich ähneln.
Was bedeutet „registriert“ und „mailfähig“?
Registriert heißt: Die Domain hat DNS-Einträge. Mailfähig heißt: E-Mails an sie würden zugestellt (MX-Eintrag oder Mailrouting über A/AAAA). Das beweist keinen Betrug – aber genau solche Domains eignen sich, um im Namen Ihres Unternehmens zu schreiben.
Stellen Sie fest, wem eine ähnliche Domain gehört?
Nein. Wir werten ausschließlich öffentliche DNS-Daten aus. Inhaberschaft lässt sich damit nicht sicher belegen – eine ähnliche Domain kann auch Ihrer eigenen Firma gehören, etwa als Schutzregistrierung.
Besuchen Sie die gefundenen Domains oder schicken Sie ihnen E-Mails?
Nein. Wir öffnen keine HTTP- oder SMTP-Verbindungen zu den Varianten. Es werden nur DNS-Abfragen gestellt, wie sie jeder Mailserver und jeder Browser täglich millionenfach stellt.
Warum ist ein hoher Wert kein Beweis für Betrug?
Der Hinweiswert misst technische Möglichkeiten: Eine Domain ist aktiv und könnte E-Mails empfangen. Ob jemand sie missbraucht, zeigt DNS nicht. Der Wert hilft Ihnen, zu priorisieren, welche Domains Sie sich genauer ansehen und an wen Sie Warnhinweise weitergeben.
Was bedeutet „Nicht bewertbar“?
Mehr als ein Fünftel der Varianten konnte nicht sicher geprüft werden, zum Beispiel wegen DNS-Zeitüberschreitungen. Dann wäre eine grüne Ampel irreführend. Starten Sie die Prüfung später erneut.
Wie steht es um den Datenschutz?
Wir verarbeiten Ihre Domain, Ihre Kontodaten und die öffentlichen DNS-Ergebnisse, um die Prüfung durchzuführen und Ihnen Berichte bereitzustellen. Zahlungsdaten verarbeitet der Zahlungsdienst Stripe, wir sehen keine Kartendaten. Einzelheiten, Rechtsgrundlagen und Ihre Rechte stehen in der Datenschutzerklärung.
Ratgeber
Wissen gegen Bestellbetrug
Ausführliche Anleitungen mit Quellen von BKA, BSI, Polizei und IETF.
Doppelgänger-Domains: Was sie sind und wie Sie sie erkennen
Was Lookalike- und Typosquatting-Domains sind, welche Muster Betrüger nutzen und wie Sie ähnliche Domains zu Ihrer Firmendomain systematisch finden.
7 Min. Lesezeit
Checkliste: Lieferanten vor gefälschten Bestellungen warnen
Eine praktische Checkliste für Geschäftsführung und Einkauf: So informieren Sie Lieferanten über Doppelgänger-Domains und vereinbaren Prüfwege für neue Bestellungen.
5 Min. Lesezeit
MX, SPF, DKIM und DMARC einfach erklärt
Welche DNS-Einträge bestimmen, ob eine Domain E-Mails versenden und empfangen kann – und wie Sie mit SPF, DKIM und DMARC Ihre eigene Domain gegen Fälschung absichern.
7 Min. Lesezeit
Homoglyphen und IDN: Wenn Buchstaben täuschen
Wie kyrillische oder andere ähnlich aussehende Zeichen Domains fälschen, was Punycode (xn--) bedeutet und wie Sie solche Domains erkennen.
6 Min. Lesezeit
Finden Sie Ihre Doppelgänger, bevor sie bestellen.
Der Gratis-Check zeigt Ihnen in wenigen Minuten, wie viele Doppelgänger Ihrer Firmendomain registriert sind und ob Ihre eigene Mail-Absicherung stimmt. Den Bericht kaufen Sie nur, wenn Sie die Details brauchen.