IT-Sicherheit
Fake-Insolvenzverkauf per E-Mail: wie Betrüger alte Anwalts-Domains nutzen
Ein angeblicher Rechtsanwalt bietet Restposten aus einem Insolvenzverfahren an, die Domain ist sogar echt. Ich zeige dir an einem aktuellen Fall, woran du die Masche erkennst und warum du nicht einmal „Abmelden“ antworten solltest.
Würdest du bei dieser Mail stutzig werden? Ein Rechtsanwalt bietet Wallboxen, Solartechnik und Maschinen aus einem Insolvenzverfahren an, deutlich unter Marktpreis. Saubere Signatur, eigene Kanzlei-Webseite, echte Domain. Genau solche Angebote erreichen gerade viele Unternehmen, und sie sind gut genug gemacht, dass im Tagesgeschäft schnell jemand die Katalognummer zurückschickt. Ich habe mir einen aktuellen Fall genauer angesehen und zeige dir, woran du die Masche erkennst.
Das Wichtigste in Kürze
- Betrüger geben sich als Anwälte oder Insolvenzverwalter aus und bieten Restposten aus angeblichen Insolvenzen an: Wallboxen, Solarmodule, Werkzeug, Fahrzeuge.
- Bezahlt werden soll per Vorkasse. Geliefert wird nie.
- Neu ist der Trick mit der Domain: Die Täter kaufen abgelaufene Domains echter Kanzleien und verschicken darüber ihre Mails.
- Echte Insolvenzverwalter schreiben dich nicht ungefragt an, um dir einen Traktor zu verkaufen. 😉
Die Mail
Der Inhalt in Kurzform: Ein Unternehmen aus dem Bereich erneuerbare Energien wird aufgelöst, die Bestände gehen „direkt an Fachbetriebe“. Im Anhang ein Katalog mit 100 Positionen, jede nur einmal vorhanden. Beispiele direkt im Text: eine Wallbox für 495 €, eine zweite für 833 € und ein Traktor für 57.477 €. Verkauf „formlos über Kaufvertrag und Rechnung“, Rückmeldung mit Katalognummer genügt.
Unterschrieben von einem Rechtsanwalt für Zivil- und Wirtschaftsrecht, mit Kanzleiadresse, Durchwahl und Link zur Webseite. Wirkt alles ordentlich.
Woran man es trotzdem erkennt
Die Anrede passt nicht. Die Mail ist an einen anderen Firmennamen gerichtet als den des Empfängers. Das ist eine Serienmail aus einer gekauften Adressliste. Der Absender schreibt sogar dazu, aus welcher Firmendatenbank er die Daten hat.
Das Angebot passt nicht. Ein IT-Dienstleister bekommt Wallboxen und einen Traktor angeboten. Der Verteiler ist offensichtlich „alles, was nach Betrieb aussieht“.
Ort und Domain passen nicht zusammen. Die Kanzlei sitzt laut Signatur in Nordrhein-Westfalen. Die Mailadresse gehört aber zu einer Domain, die nach Familienrecht in einer Kleinstadt in Brandenburg klingt. Ein Wirtschaftsanwalt, der über eine Familienrechts-Domain aus einem anderen Bundesland Restposten verkauft? Eher nicht.
Zwei Telefonnummern. Im Text steht eine andere Durchwahl als in der Signatur. Das ist typisch: Die Nummer im Text landet bei den Tätern, die in der Signatur sieht nur seriös aus.
Druck und Zeitpunkt. Verschickt um kurz vor zwei in der Nacht zum Sonntag. Dazu die üblichen Formeln: „Verfügbarkeit begrenzt“, „jedes Stück nur einmal“, „Paketpreis nach Absprache“.
Der Anwalt existiert nicht. Unter dem Namen und der Adresse findet sich in keinem Verzeichnis eine zugelassene Kanzlei.
Der eigentliche Trick: eine abgelaufene Domain
Spannend wird es beim Blick hinter die Kulissen. Die Domain hat jahrelang tatsächlich einem Anwalt für Familienrecht gehört, das zeigt das Webarchiv. Irgendwann wurde sie nicht mehr verlängert. Laut DENIC hat sie nur vier Tage vor dem Versand der Mail den Inhaber gewechselt. Heute leitet sie auf eine Kanzlei-Webseite weiter, deren Domain erst vor zwei Monaten registriert wurde.
Für die Täter hat das zwei Vorteile:
- Eine alte Domain hat eine Vorgeschichte. Manche Filter bewerten so eine Domain freundlicher als eine, die gestern angelegt wurde.
- Wer die Domain googelt, findet alte Einträge einer echten Kanzlei. Das wirkt glaubwürdig.
Technisch ist die Mail damit sogar „echt“: Sie kommt tatsächlich von der Domain, die im Absender steht. Ein SPF-Eintrag ist vorhanden, ein DMARC-Eintrag auch, der steht allerdings auf „nichts tun“. Die üblichen Prüfungen, ob ein Absender gefälscht ist, schlagen also nicht an. Es ist ja nichts gefälscht, die Domain gehört jetzt einfach den Betrügern.
—> Das heißt auch: Den „Originalabsender“ zu warnen, bringt nichts. Wer an die Adresse aus der Mail schreibt, schreibt direkt an die Täter.
Was du tun solltest, wenn so eine Mail bei dir ankommt
- Nicht antworten. Auch nicht mit „Abmelden“ im Betreff, wie es die Mail freundlich anbietet. Damit bestätigst du nur, dass deine Adresse gelesen wird.
- Den Anhang nicht öffnen. In diesem Fall war es vermutlich nur ein Katalog. Darauf verlassen würde ich mich nicht.
- Als Spam oder Phishing melden, damit der Filter dazulernt.
- Wer schon bezahlt hat: sofort die Bank anrufen und versuchen, die Zahlung zurückzuholen, dann Anzeige bei der Polizei. Das geht auch online über die Onlinewache deines Bundeslandes.
Wenn du so ein Angebot doch prüfen willst
Manchmal ist ein Angebot ja wirklich interessant. Dann prüfe es in dieser Reihenfolge:
- Gibt es den Anwalt? Im Bundesweiten Amtlichen Anwaltsverzeichnis der Bundesrechtsanwaltskammer stehen alle zugelassenen Anwälte in Deutschland.
- Gibt es das Verfahren? Insolvenzverfahren werden öffentlich bekannt gemacht, unter insolvenzbekanntmachungen.de. Kein Verfahren, kein Verkauf.
- Rückruf über die offizielle Nummer, also die aus dem Anwaltsverzeichnis. Niemals über die Nummer aus der Mail.
- Keine Vorkasse. Seriöse Verwertungen laufen über Auktionen oder mit Besichtigung und Abholung gegen Zahlung. Wer vor Besichtigung Geld sehen will, ist raus.
Was der Mailfilter geleistet hat und was nicht
In diesem Fall hat „Hornetsecurity“ die Mail abgefangen, sie ist gar nicht erst im Postfach gelandet. Gut so. Aber eine Mail von einer „echten“ Domain mit gültigen Einträgen ist für jeden Filter ein Grenzfall. Die nächste Variante kommt vielleicht durch.
Deshalb gilt, was ich auch in Was ein Mailfilter abfängt und was nicht geschrieben habe: Technik fängt viel ab, der Rest ist eine Absprache im Team. Hier ist sie ganz einfach: Niemand zahlt Vorkasse an jemanden, den er nur aus einer Mail kennt.
Und noch ein Tipp für deine eigene Domain
Dieser Fall zeigt, was mit einer Domain passieren kann, die man einfach auslaufen lässt. Ein paar Monate später verschickt jemand Fremdes in deinem früheren Namen Betrugsmails. Und wer die Domain googelt, landet bei dir.
—> Wenn du eine Domain nicht mehr brauchst, etwa nach einer Umfirmierung oder dem Ende eines Projekts, lass sie lieber weiterlaufen und leite sie auf deine aktuelle Seite um. Eine .de-Domain kostet weniger als einen Euro im Monat. Das ist deutlich günstiger als der Ärger, wenn sie in falsche Hände gerät.
Häufige Fragen
Ist jede Mail mit Insolvenzware Betrug?
Nicht jede, aber ungefragte Angebote per Mail mit Vorkasse fast immer. Echte Insolvenzverwalter verwerten über Auktionshäuser und Plattformen und schreiben nicht wahllos Firmen an.
Kann ich gegen die Absender vorgehen?
Meldungen beim Hoster und beim Registrar der Domain können dafür sorgen, dass Seite und Domain abgeschaltet werden. Die Täter selbst sind meistens nicht greifbar. Das Wichtigste ist, nicht zu zahlen.
Warum sehen die Mails so professionell aus?
Weil die Täter Webseite, Signatur und Text inzwischen in wenigen Minuten erzeugen, oft mit KI. Rechtschreibfehler als Warnzeichen kannst du vergessen. Achte auf das, was nicht zusammenpasst.
Lass uns einmal drüberschauen
Du hast eine Mail bekommen und bist nicht sicher, ob sie echt ist? Leite sie mir einfach weiter, ich schaue sie mir an. Und wenn dein Mailfilter so etwas bisher durchlässt, sprechen wir über Hornetsecurity.
Melde dich direkt über Kontakt.
