# Die 10 Betrugsmaschen, die auf Shopbetreiber zielen (nicht auf Kunden), und wie du sie erkennst > Phishing mit falschen Stripe-Mails, Betrug mit Überzahlung und Rückerstattung, Lieferantenbetrug, Domain-Verlängerungsbriefe per Post. Die Maschen, die auf dich zielen und nicht auf deine Käufer, und wie eine solide Sicherheitsbasis die meisten davon stoppt. Ryan Badger - 28. September 2025 - 8 Min. Lesezeit ## Betrug, der den Händler trifft und nicht die Karte Der vorherige Beitrag behandelte [Transaktionsbetrug: gestohlene Karten, Chargebacks, Card Testing](https://v3.shoprocket.io/de/blog/ecommerce-betrug-acht-arten-erkennen-und-verhindern.md). In diesem Beitrag geht es um die andere Seite: Betrug, der direkt auf dich als Shopbetreiber zielt. Phishing-Mails, die vorgeben, von Stripe zu sein. Falsche "Kunden", die per Social Engineering Rückerstattungen erschleichen wollen. Lieferanten, die dein Geld nehmen und verschwinden. Domain-Verlängerungsbriefe per Post. Das meiste davon ist Low-Tech. Es funktioniert, weil ein Shop zu betreiben hektisch ist und die Betrugsmail an einem müden Dienstagnachmittag eintrifft. Die Abwehr besteht größtenteils darin, zu wissen, was auf dich zukommt. ## Die großen Kategorien ### 1. Phishing im Namen von Stripe, PayPal, Shopify oder deiner Bank Du bekommst eine E-Mail: "Dein Stripe-Konto wurde markiert, klicke hier zur Bestätigung." Der Link führt zu einer Login-Seite, die perfekt aussieht. Du gibst deine Zugangsdaten ein. Sie werden abgegriffen. **Worauf du achten solltest:** - Absenderdomain: echte Stripe-Mails kommen von `@stripe.com`, nicht von `@stripe-support.com` oder `@stripe.verify.co` - Dringlichkeit im Ton: "Dein Konto wird in 24 Stunden gesperrt" ist ein typisches Betrugsmuster - Links: fahr mit der Maus darüber, bevor du klickst. Echte Stripe-Links führen zu `dashboard.stripe.com` **Abwehr:** - Aktiviere 2FA bei jeder Zahlungs- und Commerce-Plattform, die du nutzt (Stripe, PayPal, deine Bank, dein Shoprocket-Konto, deine E-Mail). Ein gestohlenes Passwort ist ohne den zweiten Faktor wertlos - Klicke nie auf Login-Links in E-Mails. Gehe direkt über dein Lesezeichen oder die selbst eingetippte URL auf die Seite - Nutze einen Passwortmanager. Er füllt nur auf der echten Domain automatisch aus und verweigert auf Phishing-Seiten stillschweigend den Dienst, was ein guter Hinweis ist ### 2. Die "Überzahlungs"-Masche Ein "Kunde" gibt eine große Bestellung auf, zahlt zu viel (etwa 500 $ zu viel) und bittet dich dann per E-Mail, die Überzahlung auf eine andere Karte oder über einen anderen Weg zu erstatten (PayPal, Banküberweisung, Geschenkkarten). Eine Woche später wird die ursprüngliche Zahlung als Betrug rückgängig gemacht, und du hast Geld erstattet, das du nie wirklich hattest. - Jede Erstattungsanfrage über einen anderen Weg als die ursprüngliche Zahlung - Bestellungen mit ungewöhnlich hohen Beträgen von Neukunden - Dringlicher Druck, schnell zu erstatten **Abwehr:** - **Erstatte nur auf die ursprüngliche Zahlungsmethode.** Stripe erzwingt das standardmäßig, deshalb passiert diese Masche meist dort, wo Verkäufer Erstattungen manuell außerhalb der Plattform abwickeln - Wenn ein "Kunde" auf einem anderen Erstattungsweg besteht, ist allein das schon das Warnsignal ### 3. Die Masche "falsche Adresse, bitte erneut senden" Ein Kunde bestellt, erhält den Artikel und behauptet dann: "Die Adresse war falsch, bitte schick an X noch einmal." Wenn du erneut sendest, behalten sie beides. - Bitten um erneuten Versand mit Verweis auf eine Adressänderung, nachdem die Sendungsverfolgung bereits "zugestellt" zeigt - Mehrere Kunden mit Variationen derselben Geschichte, manchmal koordiniert **Abwehr:** - Prüfe immer die Sendungsverfolgung des Paketdienstes, bevor du bei einem Adressproblem etwas veranlasst - Wurde der Artikel an die Adresse der Bestellung zugestellt, ist die Bestellung erfüllt. Weitere Sendungen gehen auf Kosten des Kunden ### 4. Die SEO- und Bewertungs-Erpressung Jemand schreibt dir: "Ich habe eine Ein-Sterne-Bewertung hinterlassen. Zahl 200 $ und ich lösche sie." Oder: "Ich kann negative Bewertungen gegen Gebühr entfernen." Oder: "Dein Google-Unternehmensprofil wird gemeldet, wenn du nicht zahlst." Das meiste davon ist Bluff. Echte Bewertungen werden über das Verfahren der Bewertungsplattform entfernt, nicht gegen private Zahlung. **Abwehr:** - Zahle nie. Zahlen markiert dich als leichtes Opfer, und es kommen weitere Forderungen - Markiere die Mail als Spam, blockiere den Absender und mach weiter - Bei einer echten negativen Bewertung: antworte öffentlich mit einer vernünftigen Reaktion. Das bringt dir mehr als eine Löschung ### 5. Falsche Lieferanten und Dropshipping-Betrug Du suchst einen neuen Lieferanten, meist über Alibaba oder eine Kaltakquise-Mail. Er bietet viel zu gute Preise. Du schickst eine Anzahlung (oft per Überweisung, weil "PayPal nicht verfügbar ist"). Die Ware wird nie versendet, kommt als Fälschung oder in zu geringer Menge an. - Zahlungsmethoden ohne Käuferschutz (Überweisung, Kryptowährung, Western Union) - Preise mehr als 30 % unter dem Marktpreis - Keine überprüfbare Geschäftspräsenz (kein Fabrik-Audit, keine Alibaba Trade Assurance, keine Firmenregistrierung, die du prüfen kannst) - Kommunikation ausschließlich über Gmail oder WhatsApp statt über eine Geschäfts-E-Mail **Abwehr:** - Nutze Alibabas Trade Assurance für erste Bestellungen. Sie hält die Zahlung zurück, bis du die Lieferung bestätigst - Erst Muster bestellen. Bestelle eine kleine Menge, bevor du dich auf eine volle Charge festlegst - Prüfe das Unternehmen: Registrierungsnummer, googeln, auf LinkedIn nach Mitarbeitern suchen, ihre Produktfotos per umgekehrter Bildersuche prüfen (gestohlene Fotos sind häufig) ### 6. Falsche Google- und Meta-Nachrichten, "dein Eintrag ist nicht verifiziert" "Dein Google-Unternehmensprofil wird demnächst entfernt. Jetzt verifizieren." Oder: "Dein Meta-Business-Konto zeigt ungewöhnliche Aktivität." Der Link führt zu einer gefälschten Login-Seite, die die Zugangsdaten deines Werbekontos stiehlt. Die Übernahme eines Meta-Werbekontos ist besonders schmerzhaft: Angreifer schalten auf deine Kreditkarte eigene Anzeigen, bevor Meta es merkt, und du bekommst die Rechnung. **Abwehr:** - Logge dich direkt (nicht über Links in E-Mails) bei Google Business und im Meta Business Manager ein, um den Status zu prüfen - 2FA bei beiden - Setze Ausgabenlimits für deine Werbekonten. Werden sie übernommen, ist der Schaden auf dein Limit begrenzt ### 7. Die Masche "deine Domain läuft ab" Ein Brief (echtes Papier) oder eine E-Mail von der "Domain Registry of America" oder Ähnlichem kommt an. Das ist nicht dein Registrar. Der Brief ist ein Transferantrag im Gewand einer Verlängerungsrechnung. Wenn du zahlst, überträgst du deine Domain an einen langsamen, teuren Registrar, der das Dreifache deiner bisherigen Gebühr verlangt und einen Wechsel weg von ihm mühsam macht. **Abwehr:** - Wisse, wo deine Domain registriert ist. Kommt der Brief nicht von deinem tatsächlichen Registrar, ignoriere ihn - Aktiviere die Registrar-Sperre für deine Domain (die meisten Registrare bieten sie kostenlos an) - Stelle deine Domain bei deinem echten Registrar auf automatische Verlängerung, damit du nie in "Verlängerungspanik" gerätst ### 8. Falsche Affiliate-, Partnerschafts- und "Markenbotschafter"-Angebote "Wir lieben deine Marke! Wir würden dich gern in unserer Marketingkampagne für 500.000 $ vorstellen. Zahl 2.000 $ für die Platzierung." Oder: "Werde unser Markenbotschafter, schick uns 50 Stück deines Produkts für ein Influencer-Unboxing." (Sie sind keine Influencer; sie verkaufen die Ware weiter.) - Anfragen nach kostenlosen Produkten von Konten, die du nicht überprüfen kannst - Marketingangebote, bei denen du zahlst (nicht umgekehrt) - Vage, allgemeine Nachrichten, die an jede Marke gehen könnten **Abwehr:** - Jeder echte Partnerschaftsvorschlag kommt mit Details: Reichweitenzahlen, frühere Kampagnen, eine Präsentation - Wollen sie kostenlose Ware, schick ein Stück und sieh, was sie damit machen, bevor du fünfzig schickst - Wollen sie Vorauszahlung für eine "Vorstellung" oder "Platzierung", geh davon aus, dass es nicht echt ist ### 9. Die falsche Rechtsdrohung Du bekommst eine DMCA-Takedown-Mitteilung oder einen Brief wegen Markenverletzung von einer "Kanzlei", von der du noch nie gehört hast. Sie verlangen sofortiges Handeln oder Zahlung. Die Kanzlei existiert nicht; der Anspruch ist erfunden. **Abwehr:** - Prüfe, ob die Kanzlei existiert (Google, Anwaltskammer-Register) - Leite die E-Mail an deinen eigenen Anwalt oder deine Rechtsberatung weiter; lass dich nicht direkt darauf ein - Echte rechtliche Mitteilungen kommen auf Papier oder über deinen registrierten Vertreter, nicht als PDF-Anhang von einer Gmail-Adresse ### 10. Die Chargeback-Drohung per E-Mail "Ich will eine Rückerstattung. Wenn du nicht innerhalb von 24 Stunden erstattest, mache ich einen Chargeback bei meiner Bank UND hinterlasse auf jeder Seite eine Ein-Sterne-Bewertung." Manchmal ist das ein berechtigt verärgerter Kunde. Manchmal ist es eine Masche, um Erstattungen für Ware zu erpressen, die sie erhalten und behalten haben. **Abwehr:** - Beurteile jeden Fall einzeln: Hat der Kunde einen echten Grund (falscher Artikel, beschädigte Ware), erstatte. Zeigt die Sendungsverfolgung "zugestellt" und das Problem ist vage, frag nach Details, bevor du erstattest - Wenn trotzdem ein Chargeback kommt, antworte auf den Streitfall mit Versandnachweis und Kundenkommunikation. So gewinnst du die meisten Streitfälle zu "Artikel nicht erhalten" - Denk daran: Stripes Schwelle für die Chargeback-Rate liegt bei 1 %; wenn du jeder Drohung nachgibst, steigt deine Rate, und dein Konto wird markiert ## Die Sicherheitsbasis, die jeder Shop haben sollte Unabhängig von einzelnen Maschen machen ein paar Standardeinstellungen fast alles davon für Angreifer schwerer: - **2FA für jedes Konto** (E-Mail, Stripe, PayPal, Shoprocket, Domain-Registrar, Werbekonten). Idealerweise per Authenticator-App, nicht per SMS - **Passwortmanager** mit einem eigenen Passwort pro Dienst - **Separate Admin-E-Mail** (nicht dein privates Gmail) für Commerce-Konten - **Eigene Geschäftskarte** für Werbung mit niedrigen Limits - **Sendungsverfolgung + Unterschrift bei Zustellung** ab einem Schwellenwert - **Klarer Abrechnungstext (Statement Descriptor)** bei Stripe (senkt Chargebacks durch Friendly Fraud erheblich) - **Regelmäßige Prüfung der Protokolle** in deinen Commerce-Plattformen. Unbekannte Logins solltest du sofort untersuchen ```
``` ## Was Shoprocket übernimmt - **Login-Überwachung.** Logins von neuen Geräten lösen eine E-Mail an den Kontoinhaber aus - **2FA für Verkäuferkonten verfügbar** (aktiviere sie unter Mein Konto → Kontoeinstellungen → Sicherheit, mit einer Authenticator-App) - **Admin-Aktivitätsprotokoll.** Jede wichtige Aktion (Produktänderungen, Erstattungen, Rechteänderungen) wird protokolliert und lässt sich nachvollziehen - **Rollenbasierte Berechtigungen.** Mitarbeitende bekommen nur die Rechte, die sie brauchen; ein Support-Mitarbeiter kann keine Bankdaten ändern - **Schutz bei Erstattungen.** Erstattungen laufen standardmäßig über die ursprüngliche Zahlungsmethode. Keine überraschenden Abläufe wie "Erstattung auf eine andere Karte" Was Shoprocket nicht löst: Betrug, der auf deine E-Mail, deine Werbekonten, deine Domain oder deine Lieferanten zielt. Das liegt außerhalb unseres Bereichs, aber die Basis aus 2FA und Passwortmanager deckt das meiste davon ab. > **Tipp:** Wenn du eine verdächtige E-Mail bekommst, die angeblich von Shoprocket stammt, klicke nicht auf den Link. Logge dich direkt in dein Dashboard ein. Jede echte Mitteilung ist dort auch in den In-App-Hinweisen zu sehen, nicht nur per E-Mail. ## TL;DR - **Die meisten Maschen gegen Händler sind Social Engineering, nicht Technik.** Die Abwehr besteht aus Aufmerksamkeit, nicht aus Software - **Phishing und die Übernahme von Werbekonten** richten finanziell den größten Schaden an. 2FA auf jeder Plattform blockt das meiste davon - **Erstatte nur auf die ursprüngliche Zahlungsmethode.** Die Bitte "schick meine Erstattung anders" ist fast immer Betrug - **Lieferanten sind ein großes Einfallstor.** Nutze Trade Assurance, bestelle erst Muster, prüfe, ob das Unternehmen existiert - **Echte rechtliche oder Plattform-Mitteilungen kommen nicht als Gmail-Anhang.** Ignoriere PDF-Drohungen, solange sie nicht auf Papier oder über einen geprüften Kanal kommen - **Sicherheitsbasis:** überall 2FA, Passwortmanager, Admin-E-Mail getrennt von der privaten, Sendungsverfolgung und Unterschrift bei hochwertigen Sendungen [Starte eine kostenlose Testphase](https://app-v3.shoprocket.io/signup) und bekomm 2FA, rollenbasierte Berechtigungen und Admin-Aktivitätsprotokolle standardmäßig. 14 Tage, keine Karte. --- - HTML version: https://v3.shoprocket.io/de/blog/betrugsmaschen-gegen-shopbetreiber-erkennen-und-abwehren - Language: Deutsch (de) - Also in: [العربية](https://v3.shoprocket.io/ar/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Ελληνικά](https://v3.shoprocket.io/el/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [English](https://v3.shoprocket.io/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Español](https://v3.shoprocket.io/es/blog/diez-estafas-dirigidas-a-duenos-de-tiendas-y-como-detectarlas.md), [Français](https://v3.shoprocket.io/fr/blog/dix-arnaques-visant-les-e-commercants-comment-les-reperer.md), [עברית](https://v3.shoprocket.io/he/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [हिन्दी](https://v3.shoprocket.io/hi/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Bahasa Indonesia](https://v3.shoprocket.io/id/blog/sepuluh-penipuan-yang-menyasar-pemilik-toko-dan-cara-mengenalinya.md), [Italiano](https://v3.shoprocket.io/it/blog/dieci-truffe-contro-i-titolari-di-negozi-ecommerce.md), [日本語](https://v3.shoprocket.io/ja/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Lietuvių](https://v3.shoprocket.io/lt/tinklarastis/sukciavimo-schemos-nukreiptos-i-parduotuviu-savininkus.md), [Norsk](https://v3.shoprocket.io/nb/blogg/ti-svindeltyper-som-rammer-butikkeiere-og-hvordan-du-avsloerer-dem.md), [Nederlands](https://v3.shoprocket.io/nl/blog/tien-oplichtingstrucs-tegen-shopeigenaren-herkennen.md), [Polski](https://v3.shoprocket.io/pl/blog/dziesiec-oszustw-wymierzonych-we-wlascicieli-sklepow-i-jak-je-rozpoznac.md), [Português](https://v3.shoprocket.io/pt/blog/dez-golpes-contra-donos-de-loja-e-como-identificar.md), [Română](https://v3.shoprocket.io/ro/blog/zece-escrocherii-care-tintesc-proprietarii-de-magazine-si-cum-le-recunosti.md), [Русский](https://v3.shoprocket.io/ru/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [ไทย](https://v3.shoprocket.io/th/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Türkçe](https://v3.shoprocket.io/tr/blog/magaza-sahiplerini-hedef-alan-on-dolandiricilik-ve-nasil-fark-edilir.md), [中文](https://v3.shoprocket.io/zh/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md)