DoppelCart: 119.000 Fake-Shops greifen Kreditkartendaten ab

Die schnelle Antwort: Das Münchner Sicherheitsunternehmen nebty hat am 7. September 2026 ein Netzwerk aus rund 119.000 gefälschten Onlineshops offengelegt, genannt DoppelCart. Die Bezahlseiten lesen Kartennummer, Prüfziffer, Namen und Anschrift schon während der Eingabe mit, teilweise auch den Bestätigungscode Ihrer Bank. Betroffen ist, wer dort bezahlt hat. Eine Betroffenenliste gibt es nicht, Ihr Kontoauszug ist der Test.

Was die Sicherheitsforscher am 7. September offengelegt haben

Der Fund stammt vom Münchner Anbieter nebty, der sich auf Markenschutz im Netz spezialisiert hat. Für die Untersuchung wurden rund 4,36 Millionen Adressen mit der Endung .shop durchleuchtet, also praktisch die gesamte Top-Level-Domain. Bei 118.787 davon fanden sich dieselben Baumuster: identische Aufbaudateien, dieselbe Ordnerstruktur, dieselbe Bezahllogik. 96 Prozent der bestätigten Läden liefen dabei über gerade einmal 27 Warenkorb-Systeme im Hintergrund. Das ist der eigentliche Beleg für eine zentrale Steuerung, denn zufällig entstehen 119.000 Shops nicht aus derselben Vorlage.

Zur Einordnung der Größenordnung hilft der Vorgänger. Im Mai 2024 hatten die Berliner Security Research Labs unter dem Namen BogusBazaar ein Netz aus über 75.000 Fake-Shops dokumentiert, das nach ihrer Auswertung mehr als 850.000 Menschen vor allem in Westeuropa und den USA um Kartendaten oder Kaufpreis gebracht hatte, bei einem Bestellvolumen von über 50 Millionen US-Dollar. DoppelCart ist nach Domainzahl rund anderthalb Mal so groß. Wie viele Menschen tatsächlich gezahlt haben, ist bislang offen: Diese Zahl liegt nicht vor und lässt sich von außen auch kaum ermitteln. Belegt sind die Infrastruktur und der Datenabgriff, nicht die Opferzahl. Das gehört zur ehrlichen Einordnung dazu.

Der technisch interessante Teil steckt in der Bezahlseite. nebty hat mehrere Kassenvorgänge des Netzwerks nachgestellt und dabei Code gefunden, der die eingegebenen Zahlungsdaten nicht etwa am Ende absendet, sondern Feld für Feld während des Tippens über eine dauerhaft offene Verbindung an einen Steuerserver überträgt. Für Sie als Käuferin oder Käufer bedeutet das eine unangenehme Umkehrung der gewohnten Logik: Der Abbruch kurz vor dem Klick auf "Kaufen" rettet nichts mehr. Was Sie eingetippt haben, ist bereits drüben.

Noch weiter geht ein Detail, das in den meisten Meldungen nur nebenbei vorkommt. Nach der Analyse können manche dieser Bezahlseiten auch den einmaligen Bestätigungscode weiterreichen, den Ihre Bank per App oder SMS zur Freigabe verschickt. Dieser Code ist die zweite Sicherheitsstufe beim Onlinebezahlen, jene Rückfrage, die eigentlich verhindern soll, dass eine gestohlene Kartennummer allein genügt. Wird er in Echtzeit an die Täterseite durchgereicht, verliert er genau diese Schutzwirkung. Die Kriminellen tippen den Code dann bei einer ganz anderen, viel teureren Zahlung ein, während Sie glauben, Sie hätten gerade Ihre Turnschuhe für 39 Euro freigegeben.

Bin ich betroffen? Die Prüfung ohne Betroffenenliste

Hier liegt der Unterschied zu einem klassischen Datenleck, und er ist entscheidend für Ihr Vorgehen. Bei einem Hack gibt es ein Unternehmen, das irgendwann eine Liste hat und Sie benachrichtigen muss. Hier gibt es das nicht: Es wurde keine Datenbank kopiert, sondern es wurden Menschen einzeln an der Kasse abgeschöpft. Niemand wird Ihnen also eine Mail schreiben. Die einzige verlässliche Quelle über Ihre Betroffenheit sind Ihre eigenen Unterlagen.

Ein Hinweis zu Frage 4, der in der Praxis den Unterschied macht: Achten Sie besonders auf Kleinstbeträge zwischen einem und fünf Euro von Anbietern, die Sie nicht kennen. Diese Buchungen sind keine Schlamperei, sondern ein Test. Damit wird geprüft, ob eine gestohlene Karte noch gültig ist, bevor der große Betrag kommt. Wer solche Zeilen als Bagatelle abhakt, übersieht regelmäßig die Vorwarnung. Dauerhafte Überwachung Ihrer Daten einrichten, damit Sie nicht allein auf die eigene Aufmerksamkeit angewiesen sind.

Welche Daten hier abfließen und welches Risiko daraus folgt

"Kartendaten gestohlen" ist eine Sammelbezeichnung, hinter der sich sehr unterschiedliche Folgen verbergen. Entscheidend ist, welche Felder tatsächlich abgegriffen wurden, denn jedes einzelne öffnet eine andere Tür.

• Kartennummer, Ablaufdatum und Prüfziffer: Diese Kombination ist der vollständige Schlüssel für Zahlungen im Netz. Sie ist sofort verwertbar und wird typischerweise als Paket weiterverkauft. Der Schutz dagegen ist unbequem, aber eindeutig: Die Karte muss gesperrt und neu ausgestellt werden. Eine gestohlene Kartennummer lässt sich nicht ändern wie ein Passwort, sie lässt sich nur wertlos machen.
• Der Bestätigungscode Ihrer Bank: Das ist die kritischste Zutat, weil sie die letzte Verteidigungslinie betrifft. Wird der Code in dem Moment weitergereicht, in dem Sie ihn eintippen, autorisiert er nicht Ihren Kauf, sondern eine fremde Zahlung. Merken lässt sich daraus eine Regel für den Alltag: Lesen Sie in der Freigabe-Nachricht immer Betrag und Empfänger, nicht nur den Code. Stimmen die nicht mit dem überein, was Sie gerade kaufen, brechen Sie ab.
• Name, Anschrift, E-Mail und Telefonnummer: Diese Angaben wirken harmlos, sind aber der Rohstoff für die zweite Welle. Ein Datensatz, in dem Name, Adresse und ein konkreter Kaufvorgang zusammenstehen, macht jeden späteren Betrugsanruf glaubwürdig, weil der Anrufer Details kennt, die nur der echte Händler kennen könnte. Genau davon leben angebliche Rückerstattungsanrufe, die kurz nach solchen Vorfällen einsetzen.
• Das beim Bestellen angelegte Kundenkonto: Wer sich im Fake-Shop ein Konto angelegt und dabei ein Passwort verwendet hat, das er auch anderswo nutzt, hat mehr verloren als Zahlungsdaten. Dieses Paar aus E-Mail und Passwort wird automatisiert an anderen Diensten durchprobiert, das nennt sich Credential Stuffing, ein Rütteln an sämtlichen Türen mit demselben Schlüssel. Ändern Sie das Passwort überall dort, wo Sie es wiederverwendet haben.

Wie eng Zahlungsdaten und Onlineshops zusammenhängen, hat sich in diesem Sommer schon einmal gezeigt, allerdings über einen ganz anderen Weg: Damals lagen Kundendatensätze offen, weil Händler ihre Zugangsschlüssel zum Bezahldienstleister nicht geschützt hatten. Wie Sie in einem solchen Fall Ihre Betroffenheit eingrenzen, steht in unserer Analyse zum Datenleck über offene Händler-Schlüssel bei Stripe im August 2026. Der Unterschied ist lehrreich: Dort war die Schwachstelle beim seriösen Händler, hier ist der Händler selbst die Fälschung.

Was Sie jetzt konkret tun sollten

Die folgende Reihenfolge ist nicht beliebig. Sie folgt dem Prinzip, zuerst den laufenden Schaden zu stoppen und erst danach das Geld zurückzuholen, denn Rückbuchungen dauern, eine Sperrung wirkt sofort.

• Schritt 1, die Karte sperren lassen: Wenn Sie eine verdächtige Buchung finden oder sich an einen zweifelhaften Kauf erinnern, sperren Sie die Karte über die Banking-App oder den Sperr-Notruf 116 116. Warten Sie damit nicht auf die Klärung der Rückbuchung. Eine gesperrte Karte kostet Sie ein paar Tage Unbequemlichkeit, eine offene Karte kostet potenziell jede Woche neu.
• Schritt 2, die Rückbuchung anstoßen: Bei Kreditkarte läuft das über das Chargeback-Verfahren, das Sie bei Ihrer Bank oder Ihrem Kartenherausgeber als nicht erhaltene Leistung oder nicht autorisierte Zahlung anmelden. Bei SEPA-Lastschrift holen Sie autorisierte Abbuchungen innerhalb von acht Wochen ohne Angabe von Gründen zurück, bei nicht autorisierten gilt eine deutlich längere Frist. Bei PayPal nutzen Sie den Käuferschutz. Fristen laufen ab dem Buchungsdatum, deshalb gehört dieser Schritt an den Anfang der Woche und nicht auf die Liste für irgendwann.
• Schritt 3, Anzeige erstatten und Belege sichern: Erstatten Sie Anzeige, online über die Internetwache Ihres Bundeslandes oder auf der Dienststelle. Banken fragen bei Rückbuchungen häufig nach dem Aktenzeichen. Sichern Sie vorher Bildschirmfotos der Shop-Seite, die Bestellbestätigung und die vollständige Adresse des Ladens, denn diese Seiten verschwinden schnell.
• Schritt 4, wiederverwendete Passwörter austauschen: Falls Sie im betroffenen Shop ein Kundenkonto angelegt haben, ändern Sie dieses Passwort überall dort, wo Sie es ebenfalls benutzen. Beginnen Sie mit dem E-Mail-Postfach, denn über das laufen die Wiederherstellungslinks aller anderen Konten.
• Schritt 5, auf die zweite Welle gefasst sein: Rechnen Sie in den Wochen danach mit Anrufen und Mails, die sich als Bank, Zusteller oder Händler ausgeben und dabei echte Details Ihrer Bestellung nennen. Keine Bank fordert Sie telefonisch auf, eine Zahlung freizugeben, eine Karte zu "entsperren" oder Geld auf ein Sicherheitskonto zu überweisen. Legen Sie auf und rufen Sie über die Nummer auf Ihrer Karte zurück.

Diese fünf Schritte begrenzen den Schaden aus einem einzelnen Kauf. Sie ändern aber nichts daran, dass Ihr Name, Ihre Anschrift und Ihre E-Mail-Adresse ab diesem Moment als geprüfter Datensatz in Umlauf sind und weiterverkauft werden. Löschschutz und Frühwarnung gemeinsam aktivieren, damit dieser Datensatz nicht ungestört weiterwandert.

So erkennen Sie einen Fake-Shop, bevor Sie bezahlen

Der klassische Rat "Achten Sie auf eine professionelle Gestaltung" hilft bei diesem Netzwerk nicht mehr, denn Produktfotos, Beschreibungstexte und teilweise sogar die Support-Adressen sind von den echten Marken übernommen. Die Seiten sehen deshalb genau so aus, wie sie aussehen sollen. Verlässlicher sind vier Prüfungen, die nichts mit dem Aussehen zu tun haben:

• Die Adresszeile lesen, nicht die Seite: In diesem Netz enden praktisch alle Adressen auf .shop, und der Markenname ist meist leicht verändert, ergänzt oder mit einem Zusatzwort kombiniert. Das heißt nicht, dass jede .shop-Adresse betrügerisch wäre, es gibt seriöse Händler mit dieser Endung. Es heißt: Diese Endung in Kombination mit einem bekannten Markennamen verdient eine zweite Prüfung, bevor Sie Zahlungsdaten eingeben.
• Die Adresse kostenlos gegenprüfen: Kopieren Sie die Shop-Adresse in den Fakeshop-Finder der Verbraucherzentrale. Das Werkzeug gleicht die Seite gegen bekannte Betrugsmerkmale ab und antwortet mit einer Ampel. Gelb heißt dabei nicht Entwarnung, sondern "unklar, sehen Sie selbst genauer hin". Neu registrierte Klone sind naturgemäß noch nicht in jeder Liste.
• Die Zahlarten als Prüfstein nehmen: Wird am Ende doch nur Vorkasse, Überweisung oder eine Direktzahlung ohne Käuferschutz angeboten, obwohl vorher Karte und Käuferschutz beworben wurden, brechen Sie ab. Bezahlen Sie im Zweifel mit einer Methode, die eine Rückholmöglichkeit kennt, und niemals per klassischer Überweisung an einen unbekannten Händler.
• Den Rabatt ernst nehmen, aber anders als gedacht: Rund 65 Prozent Nachlass quer durch das gesamte Sortiment ist kein Schlussverkauf. Kein Händler reduziert Neuware pauschal so weit. Ein solcher Preis ist keine Gelegenheit, sondern die Kennung der Falle.

Eine Variante desselben Musters begegnet Ihnen inzwischen auch offline, nämlich dann, wenn der Weg zur gefälschten Bezahlseite gar nicht über eine Suchmaschine führt, sondern über einen aufgeklebten Code auf dem Parkautomaten oder der Speisekarte. Wie diese Masche funktioniert und woran Sie einen manipulierten Code erkennen, zeigt unser Beitrag zu gefälschten QR-Codes in Restaurant und Urlaub.

Warum die betroffenen Marken hier nichts falsch gemacht haben

Ein Punkt, der in der Aufregung oft untergeht und für Ihre eigene Einordnung wichtig ist: Die nachgeahmten Unternehmen sind in diesem Fall Geschädigte. Bei ihnen wurde nach dem bisherigen Kenntnisstand keine Datenbank kopiert und kein System übernommen. Übernommen wurde das, was ohnehin öffentlich im Netz steht, also Bilder, Texte und Kontaktdaten. Berichte nennen einzelne bekannte Marken, bei denen jeweils über 30 Klone gefunden wurden, darunter Anbieter aus dem Haushalts-, Schuh- und Uhrenbereich, die auch im deutschsprachigen Raum verbreitet sind.

Praktisch relevant wird das an einer Stelle: Weil die Klone die echten Support-Adressen mitkopieren, laufen Beschwerden über nicht gelieferte Ware bei den echten Firmen auf, die von der Bestellung nie erfahren haben und auch kein Geld gesehen haben. Wenn Sie also bei einer Marke reklamieren und dort niemand Ihre Bestellnummer findet, ist das keine Ausrede des Kundendienstes. Es ist ein starkes Indiz dafür, dass Sie bei einem Klon eingekauft haben, und der Moment, in dem Sie die Rückbuchung anstoßen sollten statt weiter zu warten.

Häufige Fragen zu den DoppelCart-Fake-Shops

Warum eine einmalige Prüfung hier trügerisch beruhigt

Gestohlene Zahlungs- und Adressdaten tauchen nach einem solchen Vorfall in aller Regel nicht sofort im Darknet auf. Sie werden zunächst intern gebündelt und privat weiterverkauft und erst Wochen oder Monate später breit gehandelt oder als Sammlung veröffentlicht. Wer heute einmal prüft und nichts findet, kann also längst betroffen sein, ohne es zu wissen. Genau an dieser Stelle setzt unser Darknet-Radar an: Es überwacht Ihre hinterlegte E-Mail-Adresse fortlaufend und meldet sich, sobald sie infolge eines Hacks oder einer Datenpanne dort auftaucht oder gehandelt wird, also genau dann, wenn die Daten tatsächlich kursieren, und nicht erst, wenn eine fremde Bestellung auf Ihren Namen ankommt. Im Tarif Tiefenreinigung kommt der Schadensersatz-Service hinzu: Sind Sie von einem Vorfall betroffen, weisen wir Sie auf passende Sammel- oder Musterklagen und auf mögliche Ansprüche nach Art. 82 DSGVO hin, damit Sie Ihre Rechte gegenüber der verantwortlichen Stelle wahrnehmen können. Das ist ein Hinweis auf laufende Verfahren, keine eigene Rechtsberatung. Der Unterschied zum kostenlosen Check bleibt entscheidend: Der zeigt Ihnen, was heute bereits veröffentlicht ist. Das dauerhafte Monitoring ist das, was Sie erreicht, wenn später etwas auftaucht.