Betrugsfall Hines: Gefälschte Agenturanfrage mit Google-Falle

In unserer laufenden Serie zu gefälschten Agenturanfragen haben wir bereits mehrere Varianten eines immer gleichen Musters beschrieben: Ein vermeintlicher Auftraggeber nimmt Kontakt auf, wirkt auf den ersten Blick seriös – und fällt spätestens bei genauerem Hinsehen durch eine Domain auf, die nicht zur angeblich vertretenen Firma passt. Der folgende Fall geht einen entscheidenden Schritt weiter. Er verdient eine eigene Aufbereitung, weil er eine technisch ausgefeiltere Variante der Masche zeigt und inzwischen auch von Dritten dokumentiert und bestätigt wurde.

Die Anfrage im Detail

Am 13. August 2025 ging über unser Kontaktformular eine Anfrage ein, die sich als Nachricht von Alexander Moell, angeblich Marketing Manager bei Hines Deutschland, ausgab. Der Inhalt klang professionell und branchenspezifisch: Die Google-Ads-Strategie solle optimiert, qualifizierte Leads gewonnen und die Kampagnen-Effizienz im deutschen Portfolio gesteigert werden. Gesucht werde eine leistungsorientierte Agentur mit Erfahrung im Performance-Marketing und Verständnis des deutschen Marktes.

Was auf den ersten Blick nach einer hochwertigen Neukundenanfrage aussah, zeigte beim zweiten Blick ein deutliches Warnsignal: Die Absender-E-Mail-Adresse lautete marketing.de@hinesppc.com. Die Domain hinesppc.com hat mit dem echten Immobilienunternehmen Hines nichts zu tun – sie wurde, wie später durch externe Recherchen bestätigt wurde, erst im Juli bzw. August 2025 registriert, also kurz vor dem Versand der Anfragen. Unser WordPress-System schlug zudem eine SPF/DKIM-Warnung an: Die Identität des Absenders konnte nicht verifiziert werden.

Bis hierher ähnelt der Fall den in unserer Serie beschriebenen Domain-Mismatches. Was diesen Fall jedoch von den übrigen unterscheidet, folgt im nächsten Schritt.

Der Trick mit dem angebotenen Lesezugriff

Bei den meisten gefälschten Kontaktanfragen, die uns und anderen Agenturen gemeldet wurden, beschränkt sich der Betrug auf die Anbahnung: Die Täter geben eine falsche Identität an und hoffen auf eine Antwort, um im weiteren Verlauf Geld oder Daten zu ergaunern. Dieser Fall funktioniert anders.

Die Betrüger schrieben in ihrer Nachricht proaktiv, noch vor einem ersten Gespräch, ein konkretes Angebot hinein:

„Um unser erstes Gespräch so produktiv wie möglich zu gestalten, würde ich Ihrem Team gerne vorab temporären Lesezugriff auf unser Google Ads MCC-Konto gewähren.“

Ein solches Angebot klingt für erfahrene Performance-Marketing-Agenturen zunächst vertraut: Lesezugriff auf ein bestehendes Ads-Konto ist ein legitimer und üblicher Schritt im Onboarding-Prozess. Genau das macht den Trick so wirkungsvoll. Wer auf das Angebot eingeht, wird über eine echte Google-Sites-URL – konkret über sites.google.com/view/1lfylqb/preview – auf eine gefälschte Google-Login-Seite weitergeleitet. Die Nutzung einer echten Google-Infrastruktur als Zwischenstufe dient dazu, Misstrauen zu zerstreuen: Der Link beginnt mit sites.google.com und erscheint damit in vielen Sicherheitsprüfungen als unbedenklich.

Wer auf der gefälschten Login-Seite seine Google-Zugangsdaten eingibt, übergibt diese direkt an die Täter. Die zweite von den Tätern genutzte E-Mail-Adresse lautete adsmemberalert@googlemail.com, ebenfalls keine offizielle Google-Adresse, aber optisch an Google angelehnt. Beide Domains – hinesppc.com und google.accounts-authuser.com – wurden laut externer Dokumentation im Sommer 2025 frisch registriert.

Das Muster ist damit zweistufig: Erst wird Vertrauen durch einen legitim wirkenden Kontaktanlass aufgebaut, dann wird ein technisch plausibel klingendes Angebot gemacht, das direkt auf den Diebstahl von Zugangsdaten abzielt.

Was Hines selbst dazu sagt

Das echte Immobilienunternehmen Hines wurde im Zuge der Dokumentation dieses Falls kontaktiert. Die Antwort war eindeutig: Das Unternehmen bestätigte, die fragliche Anfrage nicht verschickt zu haben. Darüber hinaus teilte Hines mit, dass es bereits mehrere ähnliche Meldungen von anderen Agenturen erhalten hatte, die offenbar ebenfalls im Namen von Hines kontaktiert worden waren.

Das ist ein wichtiger Befund. Er zeigt, dass es sich nicht um einen Einzelfall oder einen Versuch handelte, sondern um eine koordinierte Kampagne, die gezielt den Namen und die Reputation eines bekannten, im deutschen Markt aktiven Unternehmens nutzte. Der Markenname Hines wurde dabei bewusst gewählt: Das Unternehmen ist im deutschen Immobilienmarkt präsent, eine Google-Ads-Zusammenarbeit für ein deutsches Portfolio klingt deshalb plausibel.

Auch der Fachblog conversion-traffic.de hat denselben Fall unabhängig dokumentiert und die technischen Details der Umleitung über Google Sites sowie die verwendeten Domains nachvollzogen und veröffentlicht. Die externe Bestätigung macht deutlich: Dieser Fall ist kein Einzelphänomen, das nur eine Agentur betrifft.

Warum dieser Fall wichtig bleibt, auch ein Jahr später

Es könnte verlocken, einen im August 2025 eingegangenen Betrugsversuch als historisches Dokument abzuhaken. Das wäre ein Fehler. Die Masche wird weiterentwickelt, und die Täter lernen aus jedem Versuch.

Die Warnsignale, die wir in den vorherigen Teilen unserer Serie beschrieben haben, gelten unverändert: Eine Domain, die nicht zur angeblich vertretenen Firma gehört, ist ein sofortiges Stopp-Signal. SPF/DKIM-Warnungen des eigenen Mail- oder CMS-Systems sollten ernst genommen werden. Anfragen, die generisch formuliert sind und keine konkreten Kampagnendaten, Ansprechpersonen aus dem Unternehmen oder verifizierbare Kontaktdetails enthalten, verdienen erhöhte Aufmerksamkeit.

Der Fall Hines fügt diesen bekannten Warnsignalen ein neues, spezifisches hinzu: Ein unaufgefordertes Angebot von Lesezugriff auf ein Google Ads MCC-Konto in einer ersten Kontaktaufnahme ist ein Warnsignal, kein Vertrauensbeweis. Echte Auftraggeber machen solche Angebote in der Regel erst, wenn eine Zusammenarbeit konkret vereinbart wird – nicht als Einstiegs-Geste bei einer Kaltakquise. Wer diesen Schritt dennoch unternimmt, tut dies entweder aus Unerfahrenheit oder mit einer bestimmten Absicht. Beides sollte zu einer Nachfrage führen, bevor irgendein Link geöffnet wird.

Wichtig ist auch der technische Aspekt: Eine URL, die mit sites.google.com beginnt, ist keine Garantie dafür, dass das Ziel sicher ist. Google Sites kann von jedem Google-Konto-Inhaber genutzt werden, um Seiten zu erstellen – und diese Seiten können Weiterleitungen enthalten. Die Domainprüfung muss deshalb bis zur tatsächlichen Login-Seite fortgesetzt werden, nicht nur bis zur ersten aufgerufenen URL.

Agenturen, die solche Anfragen erhalten, empfehlen wir: Leiten Sie den Fall direkt an das angeblich vertretene Unternehmen weiter – in diesem Fall hat Hines selbst bestätigt, dass es solche Meldungen sammelt. Erstatten Sie im Zweifel Anzeige, und teilen Sie den Fall mit Branchenkollegen. Je mehr dokumentierte Fälle vorliegen, desto schwerer haben es die Täter, dieselbe Masche unter demselben Namen weiterzuführen.

Der Fall Hines ist abgeschlossen – die dahinterstehende Masche ist es nicht.