Gefälschte Kontaktanfragen – Teil 5: Schutzmaßnahmen

Sie haben in den vergangenen vier Teilen dieser Serie erfahren, wie gefälschte Kontaktanfragen an Marketing- und Werbeagenturen aufgebaut sind, welche Warnsignale die Fälle Siete Foods und Furniture Box gezeigt haben und warum selbst aufmerksame Teams in diese Falle tappen können. In diesem fünften und letzten Teil geht es um das Wichtigste: Was Sie konkret tun können – sowohl wenn Sie gerade eine verdächtige Anfrage auf dem Tisch haben, als auch um sich dauerhaft besser zu schützen.

Sofortmaßnahmen bei Verdacht

Wenn Sie eine Kontaktanfrage erhalten, die Ihnen merkwürdig vorkommt, gilt eine oberste Regel: Ruhe bewahren und nichts überstürzen. Betrüger arbeiten bewusst mit Zeitdruck und attraktiven Budgetzahlen, um schnelle Reaktionen zu provozieren. Tun Sie im akuten Verdachtsfall Folgendes:

Nicht antworten, nicht anrufen, keine Links anklicken. Selbst eine kurze Antwort signalisiert den Angreifern, dass die Adresse aktiv ist – und kann den Druck erhöhen. Rufnummern aus der Nachricht sollten Sie ebenfalls nicht wählen, da auch Telefonnummern gefälscht oder weitergeleitet werden können. Links in der Nachricht – gleich ob in der E-Mail oder im Formular – können auf Phishing-Seiten führen, die Zugangsdaten abgreifen oder Schadsoftware nachladen.

Keinen Kontozugriff gewähren. Ein zentrales Ziel dieser Betrugsmaschen ist der Zugriff auf Werbekonten, insbesondere auf Google-Ads-Konten oder Manager-Konten (MCC). Nehmen Sie keine Kontoverknüpfungs-Einladungen unbekannter Parteien an, teilen Sie keine Zugangsdaten und gewähren Sie keinen Gastzugang. Ist eine solche Einladung bereits eingegangen, lehnen Sie sie in der Plattform direkt ab, ohne vorher auf externe Links zu klicken.

Nachricht als Phishing oder Spam markieren. Das hilft nicht nur Ihrem eigenen Postfach, sondern trainiert auch die Filter Ihres E-Mail-Anbieters – und schützt im besten Fall andere Empfänger, die dieselbe Kampagne noch erhalten.

Die vollständige Absenderadresse prüfen. Wie in den Fällen dieser Serie gezeigt, weicht die Absender-Domain der Betrüger von der echten Firmendomain ab – oft nur durch einen zusätzlichen oder fehlenden Buchstaben oder eine andere Endung. Viele E-Mail-Programme zeigen standardmäßig nur den Anzeigenamen. Klicken oder tippen Sie auf den Absender, um die vollständige Adresse sichtbar zu machen.

Präventive Maßnahmen

Wer wartet, bis eine verdächtige Anfrage eintrifft, handelt reaktiv. Mit den folgenden Maßnahmen reduzieren Sie das Risiko strukturell – und machen es Angreifern deutlich schwerer.

Kontaktformular gegen Bots härten. Das ist aus unserer Sicht der wirksamste dauerhafte Hebel. Automatisierte Massen-Anfragen, wie sie für diese Betrugsmaschen typisch sind, werden häufig von Bots oder Skripten abgeschickt. Zwei bewährte Methoden:

• reCAPTCHA (oder vergleichbare CAPTCHA-Lösungen): Eine Prüfung, die unterscheidet, ob ein Mensch oder eine Maschine das Formular ausfüllt. Google reCAPTCHA v3 arbeitet dabei im Hintergrund ohne sichtbare Aufgabe für den Nutzer.
• Honeypot-Feld: Ein unsichtbares Formularfeld, das echte Besucher nicht sehen und daher auch nicht ausfüllen. Bots hingegen füllen alle Felder aus – und verraten sich so. Diese Methode ist technisch einfach umzusetzen und erzeugt keine Reibung für legitime Anfragen.

Beide Methoden lassen sich kombinieren und sind in den gängigen Content-Management-Systemen und Formular-Plugins entweder bereits integriert oder per Plugin nachrüstbar.

Zwei-Faktor-Authentifizierung aktivieren. Für alle Werbekonten (Google Ads, Meta Ads etc.) und die zugehörigen E-Mail-Konten sollte die Zwei-Faktor-Authentifizierung (2FA) aktiv sein. Das bedeutet: Selbst wenn Zugangsdaten in falsche Hände geraten, ist ein Login ohne den zweiten Faktor – zum Beispiel einen Code per App – nicht möglich. 2FA ist in wenigen Minuten eingerichtet und gehört heute zur Grundausstattung jeder digitalen Sicherheitsstrategie.

Interne Sensibilisierung nicht vergessen. Viele dieser Anfragen zielen darauf ab, den Kontakt an eine bestimmte Person weiterzuleiten – etwa an den „Head of Paid Media“ – oder fordern eine Antwort per E-Mail, um die Kommunikation auf die gefälschte Domain zu verlagern. Sprechen Sie im Team offen über diese Taktiken. Wer die Muster kennt, erkennt sie schneller.

Wo Sie so etwas melden können

Eine gemeldete Fake-Domain oder eine gemeldete Phishing-Mail schützt nicht nur Sie, sondern potenziell auch andere Agenturen und Unternehmen, die dieselbe Masche noch nicht kennen. Diese Anlaufstellen stehen Ihnen zur Verfügung:

Domain-Registrar der Fake-Domain: Über den WHOIS-Dienst (z. B. whois.domaintools.com) können Sie herausfinden, bei welchem Registrar die gefälschte Domain registriert ist. Über das Abuse-Kontaktformular des Registrars können Sie eine Meldung einreichen. Viele Registrare reagieren auf solche Meldungen und sperren missbräuchlich genutzte Domains.

Die imitierte echte Marke: Wenn Betrüger den Namen und das Erscheinungsbild eines echten Unternehmens missbrauchen – wie in den Fällen dieser Serie – sollten Sie dieses Unternehmen direkt informieren. Häufig haben größere Marken eigene Sicherheits- oder Rechtsabteilungen, die aktiv gegen solchen Missbrauch vorgehen können.

Google: Verdächtige E-Mails können direkt im Gmail-Interface als Phishing gemeldet werden. Für weitergehende Meldungen – etwa bei Missbrauch von Google-Diensten oder gefälschten Google-Absenderadressen – steht das Google-Sicherheitsformular unter safebrowsing.google.com/safebrowsing/report_phish/ zur Verfügung.

Phishing-Radar der Verbraucherzentrale: In Deutschland können Sie verdächtige Mails an phishing@verbraucherzentrale.nrw weiterleiten. Das Team wertet diese Einsendungen aus und warnt öffentlich vor aktuellen Phishing-Wellen – ein sinnvoller Beitrag zur kollektiven Abwehr.

BSI – Bundesamt für Sicherheit in der Informationstechnik: Das BSI nimmt über seine Website Meldungen zu IT-Sicherheitsvorfällen entgegen und gibt aktuelle Warnmeldungen heraus. Für Unternehmen, die systematisch betroffen sind, bietet das BSI auch weitergehende Beratung an.

Onlinewache der Polizei – bei tatsächlichem Schaden: Wenn es nicht bei dem Versuch geblieben ist und Ihnen ein konkreter Schaden entstanden ist – etwa durch unberechtigte Buchungen über ein gekapertes Werbekonto – erstatten Sie Anzeige. Die meisten Bundesländer bieten hierfür eine Onlinewache an, über die Sie bequem und ohne Gang zur Dienststelle eine Anzeige aufgeben können. Dokumentieren Sie für diesen Fall alle relevanten E-Mails, Screenshots und Zeitangaben sorgfältig.

Abschluss: Was diese Serie gezeigt hat

In fünf Teilen haben wir eine Betrugsmasche beleuchtet, die in ihrer Ausführung erschreckend professionell ist: gefälschte Domains, die echten Unternehmensdomains täuschend ähneln; vermeintlich lukrative Budgets, die Agenturen unter Zeitdruck setzen sollen; und ein klares Endziel – Zugriff auf Werbekonten, um fremdes Geld für eigene Kampagnen zu nutzen.

Die gute Nachricht: Die Schutzmaßnahmen sind weder kompliziert noch teuer. Ein gehärtetes Kontaktformular, aktivierte Zwei-Faktor-Authentifizierung und ein Team, das die Warnsignale kennt, bilden eine solide erste Verteidigungslinie. Wer zusätzlich im Verdachtsfall die richtigen Stellen informiert, trägt dazu bei, dass diese Maschen schneller aufgedeckt und unterbunden werden.

Wir hoffen, dass Ihnen diese Serie eine nützliche Grundlage für Ihre eigene Sicherheitsstrategie liefert. Haben Sie Fragen oder möchten Sie einen konkreten Fall mit uns besprechen? Sprechen Sie uns gerne an.