Das Fakeshop-Ermittlungs-Playbook Der Shop verschwindet. Ihr Fall muss es nicht.

Warum die ersten Stunden zählen

Ein Fakeshop ist darauf ausgelegt zu verschwinden. Die Verbraucherzentralen warnen, dass Shops oft gelöscht und unter neuen Adressen wieder eröffnet werden^[1]. Bis ein Opfer merkt, dass nichts ankommt, Strafanzeige erstattet und der Fall auf einem Schreibtisch landet, gibt es womöglich nichts mehr zu sehen.

SCHRITT 01

Beweise sichern

Ein Screenshot allein ist ein schwacher Beweis. Das Berkeley-Protokoll, der von den Vereinten Nationen unterstützte Standard für Online-Ermittlungen, nennt die Webadresse, den Quellcode der Seite und ein vollständiges Seitenabbild als Minimum für die Verwendung vor Gericht^[5]. Es wurde für internationale Verbrechen geschrieben. Nutzen Sie es deshalb als starken Anhaltspunkt und folgen Sie zuerst den Vorgaben Ihrer Behörde.

Was Sie sichern sollten

Was	Warum es zählt	Tipp
Vollständige Webadresse	Zeigt genau, was Sie gesehen haben	Kopieren, nicht abtippen
Vollständiges Seitenabbild	Zeigt den Shop so, wie Besucher ihn sahen, einschließlich Impressum und Kasse	Sichern Sie auch Kasse und Zahlungsseiten, nicht nur die Startseite
Quellcode der Seite	Enthält verborgene Spuren, die später Shops verbinden	Die Funktion „Seite speichern“ im Browser ist ein Anfang
Zahlungsdaten	Oft der beste Weg zu einer echten Person	Notieren Sie IBAN, Empfängername und Zahlungsdienstleister genau wie angezeigt
Zeit, Person und Methode	Andere können prüfen, wie die Sicherung entstand	Halten Sie Ihren Namen, die Uhrzeit und die Werkzeuge fest[5]
Hashwert	Ein digitaler Fingerabdruck, der belegt, dass die Datei seit der Sicherung unverändert ist	Direkt bei der Sicherung erzeugen, mit dem aktuell anerkannten Standard[5]

Ein einfaches Beweisprotokoll führen

Die Beweiskette (Chain of Custody) ist eine chronologische Aufzeichnung, wer den Beweis wann hatte und was damit geschah^[5]. Sie kann so einfach beginnen:

SCHRITT 02

Domain und Zertifikate prüfen

Jeder Shop hängt von externen Firmen ab: Jemand hat die Adresse registriert, jemand hostet die Website, jemand hat ihr Sicherheitszertifikat ausgestellt. Alle hinterlassen Spuren.

Spur	Was sie zeigt	Grenzen
Domain-Abfrage (WHOIS / RDAP)	Registrar, Registrierungsdatum und oft eine Abuse-Adresse	Daten privater Inhaber sind öffentlich oft nicht sichtbar
ICANN RDRS	INTL Ein Anfrageweg für verborgene Registrierungsdaten bei Domains wie .com. Offen für Strafverfolgungsbehörden mit ICANN-Konto[9]	Nicht alle Registrare machen mit. Im Pilotprojekt wurden 26 % der Anfragen bewilligt und 55 % abgelehnt[10]
DENIC (.de)	DE Inhaberdaten von Unternehmen sind öffentlich. Bei Privatpersonen sind nur das Registrierungsdatum und das verwaltende Mitglied sichtbar[11]. Behörden haben ein eigenes Anfrageformular[12]	DENIC registriert nur Domains. Es speichert keine Inhalte und kann Shops nicht vom Netz nehmen[13]
EU-Regeln zu Registrierungsdaten (NIS-2)	EU Registries und Registrare müssen rechtmäßige, begründete Anfragen binnen 72 Stunden beantworten[14]. DE In Deutschland ist das § 50 BSIG, nur für Behörden[15]	Die Anfrage muss gut begründet sein
Hosting und Netzwerk	Welche Firma die Website ausliefert	Viele Shops stehen hinter Cloudflare, das in der Regel nicht der Hoster ist[16]. In einem Netzwerk waren es 98,6 %[17]
Zertifikats-Logs (crt.sh)	Sicherheitszertifikate werden in öffentlichen, durchsuchbaren Registern erfasst[18]. Sie können weitere Adressen desselben Betreibers zeigen	Ein Name im Log beweist keine aktive Website. Einträge können etwa einen Tag brauchen, bis sie erscheinen[18]

Die Werbebibliotheken prüfen (EU)

Die Hälfte der 653 Fakeshop-Domains, die Verbraucherschützer 2025 geprüft haben, hatte auf Google oder Meta geworben^[19]. EU In der EU müssen sehr große Plattformen ein öffentliches, durchsuchbares Verzeichnis ihrer Anzeigen führen, auch dazu, für wen die Anzeige war und wer gezahlt hat, bis ein Jahr nach der letzten Schaltung^[20]. Damit sind die Bibliotheken eine schnelle, kostenlose Prüfung. Für das Lesen ist weder ein Auskunftsersuchen noch eine besondere Ermittlungsmaßnahme nötig.

	Meta-Werbebibliothek	Google Ads Transparency Center
Wo	facebook.com/ads/library, kein Konto nötig	adstransparency.google.com, kein Konto nötig
Nach einem Shop suchen	Ihre Marke oder der Name des Shops, oder seine Webadresse in Anführungszeichen als exakte Wortgruppe. Ein eigenes Domain-Feld gibt es nicht	Name des Werbetreibenden oder Website. Sie können also direkt die Adresse des Shops eingeben[21]
Zuerst einstellen	Land, Anzeigenkategorie „Alle Anzeigen“, aktive und inaktive Anzeigen	Region, dann Zeitraum und Format
Zusatzangaben bei EU-Anzeigen	Im Bereich zur EU-Transparenz: Laufzeit, Zielgruppen, geschätzte Reichweite in der EU, Werbetreibender und Zahlender	Anzeigezeitraum, Zielgruppenkategorien, Reichweite je Standort[21], Name und Standort des Werbetreibenden, Zahlender[21]
Wie lange Anzeigen bleiben	EU-Anzeigen: ein Jahr nach der letzten Einblendung. Anderswo die meisten Anzeigen nur, solange sie aktiv sind[22]	Ein Jahr nach der letzten Schaltung. Neue Anzeigen können 48 bis 72 Stunden brauchen, bis sie erscheinen[23]
Zeigt, wohin die Anzeige führt	Ja, den Link der Anzeige und die angezeigte Domain	Keine anklickbaren Links[23]

TikTok hat eine ähnliche Bibliothek für den Europäischen Wirtschaftsraum, die Schweiz und das Vereinigte Königreich^[24].

Was die Bibliotheken Ihrem Fall bringen

• Wann der Shop aktiv war, und in welchen Ländern und für welche Altersgruppen er geworben hat.
• Wie weit er reichte. Das kann helfen, die Zahl möglicher Opfer zu schätzen.
• Weitere Shops: Andere Anzeigen desselben Werbetreibenden können zu Schwester-Shops führen.
• Wen Sie fragen können: Die Plattform hat die Konto- und Zahlungsdaten des Werbetreibenden. Siehe Schritt 5.

SCHRITT 03

Zahlungswegen folgen

Adressen lassen sich billig ersetzen. An Geld zu kommen ist schwieriger. Deshalb verbinden Zahlungsdaten oft Shops und führen zu Personen.

Spur	Was sie zeigen kann	Weg, je nach Land
IBAN	Die ersten zwei Buchstaben zeigen, wo die Bank sitzt, nicht wo der Kontoinhaber lebt. Virtuelle IBANs können auf ein Konto anderswo verweisen[26]	DE Der Kontenabruf über die BaFin nach § 24c KWG zeigt Inhaber und Verfügungsberechtigte[27]. Andere Länder: siehe Tabelle in Schritt 5
Konto im Ausland	Inhaber und Kontobewegungen in einem anderen EU-Staat	EU Europäische Ermittlungsanordnung: Entscheidung binnen 30 Tagen, Durchführung binnen 90[28]
Verdächtige Transaktionen	Ob das Geld schon aufgefallen ist	DE Zentralstelle für Finanztransaktionsuntersuchungen (FIU) beim Zoll[29]. Staatsanwaltschaften können Daten auf Ersuchen erhalten[30]
Zahlungsdienstleister	Händlerkonto, Auszahlungen, Registrierungsdaten	Siehe Schritt 5
Krypto-Wallet	Transaktionen sind öffentlich, Namen nicht. Eine Börse kennt womöglich ihre Kunden	EU Das SIRIUS-Projekt von Eurojust und Europol enthält Kontakte zu Krypto-Börsen[31]

SCHRITT 04

Shops zu Clustern verbinden

Wer jeden Shop als eigenen Fall behandelt, übersieht den Betreiber. Ein Shop-Cluster ist eine Gruppe von Shops, die etwas teilen, das nur ihr Betreiber teilen würde. Das Ziel: aus vielen kleinen Meldungen einen Fall machen.

Wie viel beweist jede Verbindung?

Gemeinsame Spur	Stärke	Warum
Gleiches Bank- oder Händlerkonto	Stark	Das Geld landet am selben Ort
Gleiche Kontakt-E-Mail oder Telefonnummer	Stark	Durch Zufall kaum zu erklären, außer sie wurde von einer echten Firma kopiert
Identische Vorlage oder Konfigurationsdateien	Mittel	Deutet auf gemeinsame Werkzeuge hin, die aber an mehrere Gruppen verkauft sein können
Gleicher Werbetreibender oder Zahlender in einer Werbebibliothek	Mittel	Lohnt sich zu verfolgen, aber die Namen sind Selbstangaben[33]
Gleiche Analyse- oder Tracking-ID	Mittel	Spricht für ein Konto hinter mehreren Websites
Gleiches Zertifikat	Mittel	Nützlich, aber prüfen Sie zuerst, wer es verwaltet
Gleiche Server-Adresse	Schwach	Häufig in Shop-Clustern[1], aber Tausende unverbundene Websites können sich eine teilen
Cloudflare oder eine junge Domain	Schwach	Für sich genommen kein Beweis[1]

Die Einstufung ist eine Faustregel aus der Ermittlungspraxis, kein rechtlicher Maßstab. Suchen Sie mindestens zwei unabhängige Verbindungen, bevor Sie Shops als verbunden bezeichnen.

Wie echte Netzwerke aussahen

SCHRITT 05

Gezielte Auskunftsersuchen stellen

Fragen Sie die Stelle, die die Daten tatsächlich hat, und fragen Sie nach konkreten Angaben. Der Registrar weiß, wer die Adresse gekauft hat, der Hoster, wer den Server bezahlt, und die Plattform, wer den Shop eröffnet hat.

Wer was hat

Stelle	Hat wahrscheinlich	So erreichen Sie sie
Registrar oder Registry	Daten des Domaininhabers, Zahlung für die Domain	Direkte Anfrage, DENIC-Formular, RDRS
Hoster	Kundenkonto, Zahlung, Zugriffsprotokolle	Kontakt des Anbieters für Strafverfolgungsbehörden. Nach dem Digital Services Act (DSA) der EU müssen Anbieter eine Kontaktstelle für Behörden veröffentlichen[36]
Cloudflare	Kontodaten. In der Regel nicht der Hoster	lawenforcement@cloudflare.com mit Aktenzeichen. Behörden außerhalb der USA möglichst über Rechtshilfe (MLAT)[16]
Shopify und ähnliche Plattformen	Shop-Inhaber, Registrierungsdaten, Auszahlungen	Shopifys Online-Formular für rechtliche Anfragen, an die richtige Gesellschaft gerichtet[37]
Google (Anzeigen, E-Mail)	Daten zu Werbetreibenden und Konten	Online-System für verifizierte Behörden, förmliche Anordnung oder förmliches Ersuchen erforderlich[38]
Meta (Anzeigen, Seiten)	Daten zu Werbetreibenden, Seiten und Zahlungskonten	Online-Anfragesystem für Strafverfolgungsbehörden, förmliche Anordnung oder förmliches Ersuchen erforderlich[39]
Bank oder Zahlungsdienstleister	Kontoinhaber, Transaktionen	Siehe Schritt 3

Die Rechtsinstrumente im Überblick

Das passende Instrument hängt davon ab, wo Sie arbeiten. Zuerst die EU-Instrumente, dann dieselben Aufgaben im nationalen Recht.

EU-Instrument	Was es abdeckt	Das Wichtigste
e-Evidence-Verordnung EU	Direkte grenzüberschreitende Anordnungen an Anbieter, die Dienste in der EU anbieten. Anwendbar seit dem 18. August 2026, ohne Dänemark[40][41]	Antwort binnen 10 Tagen, im Notfall binnen 8 Stunden. Sicherung für 60 Tage. Teilnehmerdaten (Bestandsdaten) bei allen Straftaten. Verkehrs- und Inhaltsdaten bei Straftaten mit einer Höchststrafe von mindestens 3 Jahren, durch richterliche Anordnung[42]
Europäische Ermittlungsanordnung EU	Beweise aus einem anderen EU-Staat[28]	Langsamer, aber breiter anwendbar

Dieselben Aufgaben im nationalen Recht

Eine Karte zur Orientierung, keine vollständige Darstellung der Voraussetzungen in jedem Land. Frankreich und die Niederlande haben neue Strafprozessordnungen beschlossen, die um 2029 erwartet werden. Die Artikelnummern werden sich also ändern^[72]. Sprechen Sie mit Ihrer Staatsanwaltschaft.

Was in ein gutes Ersuchen gehört

• Die genaue Kennung: vollständige Webadresse, Kontoname oder IP-Adresse.
• Der Zeitraum, mit Zeitzone.
• Konkrete Daten: zum Beispiel Kontoinhaber, Datum der Kontoeröffnung und Auszahlungskonto statt „alle Daten“.
• Rechtsgrundlage und Aktenzeichen, an die richtige Gesellschaft gerichtet.
• Ein Hinweis zur Vertraulichkeit. Shopify zum Beispiel informiert Nutzer, sofern das nicht untersagt ist^[37]. Sagen Sie also, wenn eine Benachrichtigung den Ermittlungszweck gefährden würde.
• Ein Sicherungsersuchen, falls die Daten sonst gelöscht werden könnten.

Sechs häufige Fehler

Häufige Fragen

Dieser Leitfaden ist eine allgemeine Information und keine Rechtsberatung. Die Kürzel zeigen, wo ein Gesetz oder Weg gilt: DE Deutschland, AT Österreich, CH Schweiz, UK Vereinigtes Königreich, US USA, FR Frankreich, NL Niederlande, EU Europäische Union, INTL international. Gesetze, Gebühren und Kontaktwege ändern sich. Prüfen Sie deshalb die verlinkte Quelle, bevor Sie sich darauf verlassen.