Ein gültiges HTTPS-Zertifikat, ein sorgfältig gestaltetes Logo, hochauflösende Bilder: Diese Elemente wirken vertrauenswürdig, lassen sich aber fast kostenlos erstellen. Um Warnsignale einer verdächtigen Website zu erkennen, müssen mehrere technische und rechtliche Hinweise miteinander abgeglichen werden – der visuelle Eindruck allein reicht nicht aus. Dieser Artikel stellt messbare Kriterien vor, anhand derer sich eine vertrauenswürdige Website von einer betrügerischen Fassade unterscheiden lässt.
Vertrauenswürdigkeit einer Website: Tabelle mit technischen Warnsignalen im Überblick
Kein einzelnes Signal reicht aus, um eine Website als betrügerisch einzustufen. Erst die Kombination mehrerer Indikatoren gibt den Ausschlag. Die folgende Tabelle fasst die aussagekräftigsten Prüfungen zusammen, geordnet nach ihrer Zuverlässigkeit.
| Geprüftes Signal | Vertrauenswürdige Website | Verdächtige Website |
|---|---|---|
| Alter der Domain (WHOIS) | Mehrere Jahre alt, Inhaber identifizierbar | Domain erst seit einigen Wochen oder Monaten registriert, Daten verborgen |
| Impressum / AGB | Firmenname, SIRET-Nummer, physische Adresse, Kontakt | Fehlen, sind unvollständig oder von einer anderen Website kopiert |
| Identität des Verkäufers (Marketplace) | Name, Land und beruflicher Status werden vor dem Kauf angezeigt | Keine Angaben zum Drittanbieter |
| URL und Domainname | Stimmt mit der Marke überein, keine verdächtigen Zeichen | Rechtschreibfehler, mehrere Bindestriche, ungewöhnliche Endung (.xyz, .top) |
| Browserwarnung | Keine Sicherheitsmeldung | Warnung „Täuschende Website“ oder abgelaufenes Zertifikat |
| Zahlungsbedingungen | Nachverfolgbare Zahlungsmethoden (Karte, PayPal) | Ausschließlich Banküberweisung, Zahlung in Kryptowährung vorgeschrieben |
Eine Domain, die vor weniger als drei Monaten erstellt wurde, in Verbindung mit einem fehlenden Impressum, liefert genügend Hinweise, um auf jeden Kauf zu verzichten. Im Folgenden werden die aussagekräftigsten Abweichungen näher erläutert.
URL und Domainname: erste Hinweise auf Online-Betrug
Die Webadresse ist der schnellste Ansatzpunkt für eine erste Prüfung. Bei sogenannten Homograph-Angriffen wird ein Buchstabe durch ein optisch ähnliches Zeichen ersetzt (etwa ein „q“ statt eines „g“ oder „rn“ als Nachahmung eines „m“). Mit dieser Manipulation zielen Betrüger auf bekannte Marken ab, um deren vertrauenswürdigen Traffic abzufangen.
Ein Artikel, der ausführlich erklärt, wie man eine verdächtige Website wie Aplouf.com erkennt, veranschaulicht die Methode: Prüfen Sie, ob Domainname, angegebene Geschäftstätigkeit und veröffentlichte rechtliche Angaben zusammenpassen.
Neben der Schreibweise verdient auch die Domainendung Aufmerksamkeit. Günstige generische Endungen (.top, .xyz, .click) kommen bei Phishing-Kampagnen überproportional häufig vor, weil sie weniger als einen Euro pro Jahr kosten. Ein seriöser französischer Online-Shop verwendet meist eine .fr- oder .com-Domain.
Aktuelle gesetzliche Pflichten: Was Websites in Frankreich und der EU angeben müssen
Die Vorschriften liefern objektive Kriterien zur Bewertung einer Website – vorausgesetzt, man weiß, worauf man achten muss.
- Das SREN-Gesetz vom 21. Mai 2024 verpflichtet Marktplätze, klar anzugeben, ob der Verkäufer gewerblich oder privat handelt. Fehlt dieser Hinweis auf einem Marktplatz, liegt ein Gesetzesverstoß und ein konkretes Warnsignal vor.
- Der DSA (Digital Services Act) verpflichtet Plattformen dazu, bestimmte Identifikationsangaben gewerblicher Verkäufer vor einer Transaktion einzuholen und zugänglich zu machen.
- Seit dem 13. Dezember 2024 verlangt die EU-Verordnung über die allgemeine Produktsicherheit, dass Produktseiten eine in der EU ansässige verantwortliche Person samt Kontaktdaten nennen. Wird ein Produkt online ohne diese Angaben verkauft, verstößt das gegen die Vorschriften.
Diese Pflichten bieten mehrere konkrete Prüfpunkte. Eine Website, die sie nicht erfüllt, ist nicht zwangsläufig betrügerisch, bewegt sich jedoch außerhalb des geltenden Rechtsrahmens. Dadurch sinken die Möglichkeiten, sich im Streitfall zur Wehr zu setzen.
Fehlendes oder allgemeines Impressum
Die DGCCRF empfiehlt, zu prüfen, ob ein Firmenname, eine physische Adresse und eine Registrierungsnummer angegeben sind. Bei einer französischen Website ist eine fehlende SIRET-Nummer ein deutliches Warnsignal. Kopiert man die Postanschrift in eine Suchmaschine, stellt sich mitunter heraus, dass sie zu einem Brachgrundstück oder einem völlig anderen Geschäft gehört.
Aktuelle Manipulationsmethoden: ClickFix und gefälschte CAPTCHAs
Betrugsmethoden entwickeln sich über klassisches E-Mail-Phishing hinaus weiter. Beim ClickFix-Szenario wird eine technische Fehlermeldung oder ein CAPTCHA vorgetäuscht. Anschließend soll der Nutzer einen Befehl kopieren und auf dem eigenen Computer ausführen. Das Opfer glaubt, ein technisches Problem zu beheben, installiert dabei aber selbst Schadsoftware.
Google hat darauf reagiert und einen speziellen Schutz in Chrome integriert: Der Browser kann Nutzer nun warnen, bevor sie einen als gefährlich eingestuften Befehl einfügen. Solche Browserwarnungen gehören zu den Signalen, die man niemals ignorieren sollte.
Ungewöhnliche Berechtigungsanfragen auf der Seite
Eine seriöse Website fordert weder direkt auf der Startseite Zugriff auf Benachrichtigungen an noch die Berechtigung, die Zwischenablage auszulesen. Solche verfrühten Anfragen deuten auf eine aggressive Datensammlung hin. Wenn eine Seite Sie auffordert, Benachrichtigungen zu erlauben, bevor Sie überhaupt ihre Inhalte aufgerufen haben, schließen Sie den Tab.
Website-Reputation schnell prüfen: Methode in drei Schritten
Die DGCCRF empfiehlt eine einfache Vorgehensweise: Geben Sie den Namen der Website zusammen mit dem Wort „Betrug“ in eine Suchmaschine ein. Zusammen mit zwei weiteren Prüfungen deckt diese Methode die meisten Fälle ab.
- Suchen Sie nach dem Namen der Website oder des Produkts zusammen mit „Betrug“ oder „Bewertungen“, um mögliche negative Erfahrungsberichte anderer Verbraucher zu finden.
- Nutzen Sie ein WHOIS-Tool, um das Erstellungsdatum der Domain und die Identität des Inhabers zu prüfen. Eine erst wenige Wochen alte Domain in Verbindung mit einem Shop, der sehr niedrige Preise anbietet, ist ein verlässliches Warnsignal.
- Prüfen Sie, ob die Website in sozialen Netzwerken vertreten ist: Regelmäßige Aktivität und authentische Kommentare sind ein positives Indiz, auch wenn sie keine absolute Garantie darstellen.
Diese drei Prüfungen dauern weniger als eine Minute und filtern die große Mehrheit betrügerischer Websites heraus, bevor Sie mit der Zahlungsseite interagieren.
Das HTTPS-Schloss, das oft als Sicherheitsgarantie gilt, zeigt lediglich an, dass die Verbindung verschlüsselt ist. Auch eine Phishing-Website kann über ein gültiges SSL-Zertifikat verfügen, das kostenlos erhältlich ist. Dieses Kriterium allein sagt nichts über die Vertrauenswürdigkeit aus und muss immer mit den oben aufgeführten Signalen abgeglichen werden.
