Fake-Bestellungen im Onlineshop: Muster, Haftung und Schutz

Eine Fake-Bestellung sieht im Shop aus wie jede andere. Erst Wochen später zeigt sich, dass die Rechnung nie bezahlt wird, eine Kartenzahlung zurückgebucht wird oder eine Person, in deren Namen bestellt wurde, von nichts weiß. Die Polizeiliche Kriminalstatistik erfasst solche Taten unter anderem als Waren- und Warenkreditbetrug. 2025 waren das bundesweit 194.466 Fälle, nach 233.987 im Jahr davor, ein Rückgang um 16,9 Prozent ^[1]. Das Bundeskriminalamt hält einen Zusammenhang mit strengeren Sicherheitsvorkehrungen im Online-Versandhandel und der fortschreitenden Einführung der Zwei-Faktor-Authentifizierung bei der Zahlungsabwicklung für möglich ^[1]. Die Zahlen umfassen nur Taten, bei denen mindestens eine tatverdächtige Person im Inland gehandelt hat; das BKA geht davon aus, dass die zunehmende Begehung von Betrugsfällen aus dem Ausland die Entwicklung beeinflusst ^[1]. Über alle Betrugsdelikte hinweg wurden 2025 laut BKA 52,3 Prozent der Fälle unter Nutzung des Internets begangen, 2024 waren es 55,3 Prozent ^[1].

Strafrechtlich ist das Bestellen unter falschem Namen ein Betrug nach § 263 StGB, wenn der Täter den Händler täuscht und ihn so schädigt ^[7]. Wer mit unbefugt verwendeten Zahlungsdaten das Ergebnis einer Datenverarbeitung beeinflusst, kann sich wegen Computerbetrugs nach § 263a StGB strafbar machen ^[8]. Bei beiden Taten ist schon der Versuch strafbar ^{[7, 8]}.

Die häufigsten Muster

Polizei, Verbraucherzentralen und BSI beschreiben mehrere Wege, auf denen Täter an Ware kommen, ohne zu bezahlen:

• Bestellung auf Rechnung unter fremdem Namen: Die Täter bestellen teure Ware und geben eine Lieferadresse an, an der sie nicht gemeldet sind. Sie nutzen etwa den Urlaub der Bewohner oder bringen einen fremden Namen an einem leeren Briefkasten an. Trifft der Zusteller niemanden an, gibt er das Paket meistens bei einem Ersatzempfänger ab, in der Regel bei Nachbarn, und dort holen die Täter es dann ab ^[2].
• Konten bei Zahlungsdiensten in fremdem Namen: Kriminelle legen Konten auf den Namen anderer Personen an, teils mit einer selbst eingerichteten E-Mail-Adresse. Die Betroffenen erfahren davon oft erst durch ein Inkassoschreiben ^[4].
• Übernommene Kundenkonten: Kreditkarten- und Kontodaten werden laut BSI häufig über schlecht gesicherte Online-Accounts, gefälschte Webseiten und schädliche E-Mails abgegriffen ^[9]. Mit den Zugangsdaten bestellen Täter über ein bestehendes Konto ^[4].
• Zahlung mit erbeuteten Karten- oder Kontodaten: Die Polizeiliche Kriminalstatistik zählte 2025 bundesweit 96.383 Fälle von Betrug oder Computerbetrug mittels rechtswidrig erlangter unbarer Zahlungsmittel, 4,8 Prozent mehr als 2024 ^[1].
• Weiterversand über "Warenagenten": Personen werden über das Internet angeworben, um mit Geld aus Straftaten hochwertige Waren wie Fernseher, Computer oder Handys zu kaufen und gegen Provision an vorgegebene Adressen weiterzuschicken ^[3].

Die Verbraucherzentralen verzeichnen nach eigenen Angaben seit Beginn der Corona-Pandemie steigende Beschwerden über Identitätsdiebstahl und damit verbundene Inkassoforderungen bei Online-Bezahldiensten ^[4]. Wie Verbraucher reagieren, in deren Namen bestellt wurde, beschreibt Identitätsdiebstahl: erkennen und richtig reagieren.

Wer den Schaden trägt

Wer am Ende zahlt, hängt von der Zahlungsart ab. Beim klassischen Rechnungskauf schließt der Kunde den Vertrag mit dem Shop und überweist den Betrag selbst ^[4]. Hat nicht die Person bestellt, auf deren Namen die Rechnung lautet, muss die Forderung erst bewiesen werden: Nach Angaben der Verbraucherzentralen muss ein Inkassounternehmen nach einem Widerspruch nachweisen, dass die Person den Vertrag wirklich abgeschlossen hat ^[4]. Gelingt das nicht, hat der Händler niemanden, von dem er den Kaufpreis verlangen kann.

Läuft der Rechnungskauf über einen Online-Zahldienst, bieten diese Dienste nach Angaben der Verbraucherzentralen ein "Factoring ohne Regress": Der Zahldienst kauft die Forderung vom Shop. Der Shop bekommt sein Geld, die Eintreibung übernimmt der Zahldienst in eigener Verantwortung ^[4]. Welche Ausnahmen gelten, regelt der jeweilige Vertrag mit dem Zahldienst.

Bei Kartenzahlungen und anderen elektronischen Zahlungen hängt viel an der starken Kundenauthentifizierung. Zahlungsdienstleister müssen sie verlangen, wenn der Zahler online auf sein Zahlungskonto zugreift, einen elektronischen Zahlungsvorgang auslöst oder über einen Fernzugang eine Handlung mit Betrugsrisiko vornimmt; bei Zahlungen im Internet muss sie den Vorgang dynamisch mit einem bestimmten Betrag und einem bestimmten Empfänger verknüpfen ^[5]. Gemeint ist eine Authentifizierung mit mindestens zwei voneinander unabhängigen Elementen aus den Kategorien Wissen, Besitz und Inhärenz ^[6]. Für Händler wichtig ist § 675v Abs. 4 BGB, der den Schadensersatz bei missbräuchlich genutzten Zahlungsinstrumenten regelt: Akzeptiert der Zahlungsempfänger oder sein Zahlungsdienstleister keine starke Kundenauthentifizierung, haftet der Zahler seiner Bank nicht für den Schaden, und wer die Authentifizierung nicht akzeptiert hat, muss der Bank des Zahlers den daraus entstehenden Schaden ersetzen ^[10]. Das gilt nicht, wenn der Zahler selbst in betrügerischer Absicht gehandelt hat ^[10]. Wie Rückbuchungen ablaufen, steht unter Chargeback-Betrug.

Warnzeichen in der Bestellung

Aus den beschriebenen Mustern lassen sich Fragen ableiten, die du einer auffälligen Bestellung vor dem Versand stellen kannst. Keine davon beweist einen Betrug, mehrere zusammen sind ein Grund zum Nachfassen:

• Weicht die Lieferadresse von der Rechnungsadresse ab, obwohl die Bestellung auf Rechnung läuft? Täter lassen Ware an Adressen liefern, an denen sie nicht gemeldet sind, und holen sie bei hilfsbereiten Nachbarn ab ^[2].
• Wurden bei einem bestehenden Kundenkonto kurz vor der Bestellung E-Mail-Adresse, Passwort oder Lieferadresse geändert? Übernommene Konten und von Tätern eingerichtete E-Mail-Adressen gehören zu den beschriebenen Mustern ^[4].
• Geht es um hochwertige, leicht weiterverkäufliche Elektronik in größerer Menge? Solche Ware wird über angeworbene Warenagenten weitergeleitet ^[3].
• Gehen auf dieselbe Lieferadresse mehrere Bestellungen auf verschiedene Namen ein? Das passt zu Adressen, an denen fremde Namen am Briefkasten angebracht werden oder zusätzliche Briefkästen hängen ^[2].

Wie die Ware zu den Tätern kommt

Beim Bestellbetrug über fremde Adressen spielen Nachbarn eine Rolle, ohne es zu wissen. Laut Polizei klingeln die Täter bei den Ersatzempfängern und bitten unter Vorwänden um die Pakete, etwa weil sie angeblich frisch eingezogen sind oder für einen verreisten Verwandten abholen ^[2]. Wird die Rechnung nicht bezahlt, kann im Zweifel der Ersatzempfänger in Anspruch genommen werden, weil er als letzter bekannter Empfänger des Pakets gilt ^[2]. Hinweise auf solche Adressen sind laut Polizei Auffälligkeiten an Hausbriefkästen: zusätzlich angebrachte Briefkästen, häufig wechselnde oder zusätzliche Namen oder beschädigte Briefkästen ^[2]. Die Polizei rät deshalb, nur Pakete für bekannte Personen anzunehmen und sich bei der Abholung Ausweis und Zustellbenachrichtigung zeigen zu lassen, die Daten zu notieren und den Paketaufkleber zu fotografieren. Die Abholbenachrichtigung des eigentlichen Empfängers sollen sie behalten, um die Weitergabe nachweisen zu können. Bei Verdacht sollen Nachbarn die Herausgabe verweigern und sich an die Polizei wenden, im Notfall über 110 ^[2]. Händlern helfen diese Angaben bei der Anzeige, weil sie zeigen, wer die Ware zuletzt hatte.

Shop und Kundenkonten absichern

Ein Teil der Fake-Bestellungen beginnt mit Lücken im Shop selbst. Das BSI hat 2023 Software-Produkte für Onlineshops untersucht und dabei insgesamt 78 Sicherheitslücken gefunden ^[11]. Die Befunde im Einzelnen ^[11]:

• Fast alle untersuchten Produkte hatten eine unzureichende Passwortrichtlinie.
• In sieben von zehn Produkten steckten JavaScript-Bibliotheken mit bekannten Schwachstellen.
• In der Hälfte der Produkte lief Software, deren offizielles Supportende überschritten war und die keine Sicherheitsupdates mehr erhält.

Das BSI appelliert an Shopbetreiber, Updates zeitnah einzuspielen oder auf sichere Produkte auszuweichen, und rät Händlern, schon bei der Auswahl der Shop-Software auf IT-Sicherheit zu achten ^[11]. Im Abschlussbericht der Studie gibt es eine Orientierungshilfe für Betreiber ^[11]. Wie groß das Thema für Kunden ist, zeigt eine begleitende Befragung: Rund ein Viertel der Befragten war nach eigenen Angaben schon von Datenleaks beim Onlineshopping betroffen, die Hälfte zeigte sich besorgt ^[11]. Das BSI beschreibt, dass Kreditkarten- und Kontodaten beim Onlineshopping in vielen Fällen abgegriffen und missbraucht werden ^[9]. Für Online-Accounts empfiehlt das BSI die Zwei-Faktor-Authentisierung ^[9]. Wie du Updates, Backups und Zugänge einer Website organisierst, erklärt Website-Sicherheit: Updates, Backups und Zugänge. Weitere Maßnahmen für Händler stehen unter Betrugsprävention für Onlineshops.

Wenn eine Bestellung betrügerisch war

Ist die Ware schon unterwegs oder ausgeliefert, helfen diese Schritte:

1. Den Versand stoppen, falls das noch geht, und den Paketdienst um Rücksendung bitten.
2. Den Zahlungsdienstleister oder Kartenakzeptanten informieren, damit er die Zahlung prüfen kann.
3. Strafanzeige erstatten. Das BSI verweist dafür auf die Onlinewachen der Länder ^[9]; wie eine Anzeige abläuft, steht unter Betrug anzeigen.
4. Den Widerspruch der Person ernst nehmen, in deren Namen bestellt wurde: Verbraucherzentralen raten Betroffenen, schriftlich zu widersprechen und eine Kopie der Strafanzeige beizulegen; danach muss der Vertragsschluss bewiesen werden ^[4].
5. Betroffene Kundenkonten sperren und die Inhaber über die Kontaktdaten aus früheren Bestellungen benachrichtigen.

1. Behörde Polizeiliche Kriminalstatistik für das Jahr 2025, Ausgewählte Zahlen im Überblick (IMK-Bericht), Seiten 30 und 31. Bundeskriminalamt. Stand 24.04.2026. abgerufen am 29.10.2026
2. Behörde Vorsicht bei der Annahme von Paketen. Polizeiliche Kriminalprävention der Länder und des Bundes, polizei-beratung.de. Stand ohne Datum. abgerufen am 29.10.2026
3. Behörde Finanzagenten: Vorsicht vor schnellem, leicht verdientem Geld. Polizeiliche Kriminalprävention der Länder und des Bundes, polizei-beratung.de. Stand ohne Datum. abgerufen am 29.10.2026
4. Organisation Was tun, wenn Kriminelle in Ihrem Namen einkaufen?. Verbraucherzentrale Bundesverband und Verbraucherzentralen, verbraucherzentrale.de. Stand ohne Datum. abgerufen am 29.10.2026
5. Gesetz § 55 ZAG: Starke Kundenauthentifizierung. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
6. Gesetz § 1 ZAG: Begriffsbestimmungen (Abs. 24). Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
7. Gesetz § 263 StGB: Betrug. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
8. Gesetz § 263a StGB: Computerbetrug. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
9. Behörde Sicherheit beim Onlineshopping. Bundesamt für Sicherheit in der Informationstechnik (BSI). Stand ohne Datum. abgerufen am 29.10.2026
10. Gesetz § 675v BGB: Haftung des Zahlers bei missbräuchlicher Nutzung eines Zahlungsinstruments. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
11. Behörde BSI-Studie: Viele Software-Produkte für Onlineshops sind unsicher. Bundesamt für Sicherheit in der Informationstechnik (BSI). Stand 27.02.2023. abgerufen am 29.10.2026
12. Behörde Das LKA warnt vor betrügerischen E-Mails!. Landeskriminalamt Sachsen-Anhalt. Stand 21.07.2023. abgerufen am 29.10.2026

Zuletzt geprüft am 30.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.