So erkennt Trans.eu modernen Frachtbetrug

Michał Pakulniewicz: Vor zwei Jahren haben wir über Betrug im Transportsektor gesprochen. Damals beschrieben Sie die Entwicklung als eine Art „Sinuswelle“. Mal dominierten falsche Speditionen, mal waren Kriminelle, die sich als Frachtführer ausgaben, das größere Problem. Die wichtigste Gefahr war seinerzeit die Übernahme etablierter Transportunternehmen. Was hat sich seitdem verändert?

Piotr Sobala, Leiter des internationalen Sicherheitsteams, Trans.eu Group: Ich habe den Begriff „Sinuswelle“ bewusst verwendet, weil sich die Formen der Transportkriminalität seit Jahren wandeln. Phasenweise beobachten wir mehr Fälle mit falschen Frachtführern, dann wiederum stellen unseriöse Speditionen das größere Risiko dar.

Vor zwei Jahren erreichten besonders ausgeklügelte Betrugsmodelle ihren Höhepunkt. Kriminelle übernahmen etablierte Transportunternehmen auf legalem Weg und nutzten deren langjährige Geschäftshistorie sowie den aufgebauten Vertrauensvorschuss aus. Nach außen wirkte das Unternehmen sowohl für Speditionen als auch für Frachtführer glaubwürdig. Dadurch konnten die Täter innerhalb kurzer Zeit mehrere hochwertige Ladungen erbeuten.

Man hätte annehmen können, dass sich dieses Modell weiter ausbreiten würde. Stattdessen haben die Täter ihre Strategie geändert. Sie müssen heute nicht mehr unbedingt ein ganzes Unternehmen übernehmen. Es ist deutlich einfacher, die digitale Identität eines Unternehmens zu stehlen.

Was bedeutet das konkret?

Die größte Gefahr geht inzwischen von Phishing aus: Nutzer werden dazu gebracht, ihre Zugangsdaten preiszugeben. Das ist einfacher, günstiger und vor allem schneller, als ein komplettes Unternehmen zu übernehmen. Das Vorgehen folgt meist einem bekannten Muster. Der Nutzer erhält eine Nachricht, die scheinbar von der Plattform stammt.

Darin wird beispielsweise behauptet, er müsse sich erneut anmelden, seine Daten aktualisieren oder ein Problem mit dem Konto lösen. Der enthaltene Link führt jedoch nicht zur echten Website von Trans.eu, sondern zu einer täuschend echt nachgebauten Kopie. Sobald Benutzername und Passwort eingegeben wurden, haben die Kriminellen Zugriff auf das Konto und können für kurze Zeit im Namen des rechtmäßigen Unternehmens handeln.

Viele Unternehmer glauben, eine gefälschte E-Mail sofort zu erkennen. Sind diese Nachrichten wirklich so überzeugend?

Leider werden sie immer professioneller. Frühe Phishing-Kampagnen waren meist relativ leicht zu entlarven. Heute sehen gefälschte Anmeldeseiten dem Original oft zum Verwechseln ähnlich. Der einzige Unterschied liegt manchmal in der Internetadresse – etwa in einem einzelnen Buchstaben oder einer anderen Domain-Endung. Wer unter Zeitdruck arbeitet und täglich Dutzende Nachrichten bearbeitet, übersieht ein solches Detail leicht. Genau darauf setzen die Täter.

Was geschieht danach? Werden die gestohlenen Zugangsdaten sofort eingesetzt?

Nicht unbedingt – und genau das überrascht viele. Ein Krimineller muss sich nicht noch am selben Tag anmelden. Er kann eine Woche, einen Monat oder sogar länger warten. Rund um den Jahreswechsel 2024/2025 haben wir einen besonders starken Anstieg von Phishing-Kampagnen beobachtet. Versuche, die erbeuteten Zugänge zu verwenden, folgten teilweise erst viele Monate später.

Der Betrüger beobachtet die Aktivitäten des Unternehmens und wartet auf den Zeitpunkt, an dem ein Angriff die besten Erfolgschancen verspricht. Erst dann wird das kompromittierte Konto genutzt. Für den Unternehmensinhaber ist es dadurch schwierig, einen späteren Vorfall mit einer Nachricht in Verbindung zu bringen, auf die er Wochen zuvor geklickt hat.

Im Vergleich zur Situation vor zwei Jahren hat sich ein entscheidender Unterschied ergeben. Damals konnten Angriffe monatelang vorbereitet werden. Heute zählt vor allem die Geschwindigkeit. Wer ein bestehendes Unternehmenskonto übernimmt, weiß, dass der Inhaber verdächtige Anmeldungen oder neue Nutzer schnell bemerken kann. Für den Aufbau von Glaubwürdigkeit über mehrere Tage bleibt keine Zeit. Oft stehen nur wenige Stunden zur Verfügung.

Wirkt sich das auf das Ausmaß der Ladungsdiebstähle aus? Nach einer Unternehmensübernahme konnten Kriminelle einen großen Coup sorgfältiger vorbereiten. Ist das mit einer gestohlenen Identität schwieriger?

Ja. Vor einigen Jahren investierten die Täter viel Zeit in die Vorbereitung eines einzelnen großen Coups. Sie übernahmen ein glaubwürdiges Unternehmen, bauten die nötige Infrastruktur auf, bereiteten sich über Wochen vor und täuschten anschließend mehrere Speditionen. So konnten sie innerhalb kurzer Zeit zahlreiche hochwertige Ladungen stehlen. Die Übernahme eines Unternehmens lohnte sich nur, wenn viele wertvolle Transporte geplant waren. Heute sieht die Lage anders aus.

Wer ein kompromittiertes Konto nutzt, weiß, dass das Zeitfenster sehr klein ist. Der Inhaber könnte eine ungewöhnliche Anmeldung bemerken, unsere Analysten könnten verdächtige Aktivitäten erkennen oder das Konto könnte gesperrt werden.

Deshalb ist Schnelligkeit entscheidend. Statt eine groß angelegte Aktion mit vielen Ladungen zu planen, nehmen die Täter oft nur einen oder zwei Transporte ins Visier und verschwinden anschließend. Daraus ergibt sich ein bemerkenswerter Widerspruch: Die Zahl der Betrugsversuche steigt, während der durchschnittliche Schaden pro Diebstahl sinkt.

Dennoch war das vergangene Jahr in Europa ein Rekordjahr beim Ladungsdiebstahl.

Das stimmt und zeigt, dass das Problem keineswegs gelöst ist. Auf dem europäischen Markt erreichte die Zahl der Vorfälle einen Höchststand. Je nach Quelle betrug der Anstieg gegenüber dem Vorjahr das Zwei- oder sogar das Dreifache. Das verdeutlicht, welche Dimension das Thema inzwischen für die gesamte Branche hat.

Unsere Plattformdaten zeichnen allerdings ein anderes Bild. Wir beobachten mehr Betrugsversuche, während der Gesamtwert der gestohlenen Ladungen sinkt. Wie bereits erwähnt, wissen die Täter nach einem erfolgreichen Phishing-Angriff, dass ihnen nur wenig Zeit bleibt. Der Kontoinhaber oder unser Sicherheitsteam entdeckt Unregelmäßigkeiten meist sehr schnell.

Für die Vorbereitung eines groß angelegten Coups bleibt daher kaum noch Spielraum. Die Kriminellen müssen sofort handeln. Das führt zu mehr Angriffen, begrenzt aber den Umfang jedes einzelnen Falls deutlich.

Interessanterweise waren im ersten Halbjahr dieses Jahres auch weniger Unternehmen betroffen. Die Täter suchen weiterhin nach neuen Vorgehensweisen, doch unsere Sicherheitsmechanismen helfen dabei, die daraus entstehenden Schäden zu begrenzen.

Für uns ist das aussagekräftiger als die reine Zahl der Vorfälle. Auch Geschäftspartner sind inzwischen risikobewusster und achten stärker auf verdächtige Aktivitäten. Das trägt ebenfalls dazu bei, Ladungsdiebstähle zu verhindern.

Nach Ihrer Beschreibung war 2025 also vor allem von der großen Phishing-Welle rund um den Jahreswechsel 2024/2025 geprägt. Im ersten Halbjahr folgte eine Stabilisierung, weil neue Schutzmaßnahmen griffen.

Ich würde das gerne als vollständige Erklärung darstellen. Leider wäre das zu einfach. Ich sehe keinen Rückzug der Cyberkriminellen. Im Gegenteil: Es entstehen laufend neue Angriffsszenarien.

Wir haben Fälle beobachtet, in denen ein kompromittiertes Konto nicht sofort zum Diebstahl einer Ladung verwendet wurde. Stattdessen verschickte der Betrüger über das Nachrichtensystem der Plattform PDF-Dateien mit Schadsoftware. Wer eine solche Datei öffnete, riskierte ebenfalls, dass sein Computer infiziert wurde. Das zeigt, wie konsequent Kriminelle nach neuen Möglichkeiten suchen, um Zugriff auf weitere Konten zu erhalten.

Sie haben neue Methoden angesprochen. Ist Phishing weiterhin die größte Gefahr oder treten andere Szenarien inzwischen häufiger auf?

Phishing ist eines von zwei zentralen Angriffsmustern. Bevor ich auf die zweite Methode eingehe – den Aufbau von Briefkastenfirmen auf der Plattform –, ist ein Punkt wichtig: Zur Identitätstäuschung gehört weiterhin die klassische Masche, sich außerhalb der Plattform als ein anderes Unternehmen auszugeben.

Dafür richten die Täter E-Mail-Adressen ein, die den echten Geschäftsadressen sehr ähnlich sehen. Der Unterschied besteht manchmal nur in einem Buchstaben oder einer anderen Domain-Endung.

Anschließend nehmen sie Kontakt zu Frachtführern oder Speditionen auf und versuchen, die Kommunikation von der Plattform wegzuverlagern. Die Methode ist alt, aber nach wie vor äußerst wirksam. Den uns gemeldeten Fällen zufolge findet die große Mehrheit der Betrugsfälle außerhalb von Transportplattformen nach diesem Muster statt.

Und darauf fallen Menschen immer noch herein?

Leider ja. Manchmal glauben wir, eine bekannte Methode könne niemanden mehr täuschen. Die Realität sieht anders aus. Hektik, ein kurzer Moment der Unachtsamkeit oder eine scheinbar dringende Situation reichen aus. Genau darauf basiert jede Phishing-Kampagne: Die Betroffenen sollen gar nicht erst die Zeit haben, in Ruhe nachzudenken.

Deshalb erinnern wir unsere Nutzer immer wieder daran, die Absenderadresse und die Internetadresse zu prüfen. Gespräche sollten nur dann außerhalb der Plattform fortgeführt werden, wenn es dafür einen nachvollziehbaren Grund gibt.

Sie haben Briefkastenfirmen als zweite große Methode der Betrüger bezeichnet.

Phishing bleibt eines der größten Probleme, ist aber nicht die einzige Gefahr. Zunehmend beobachten wir Unternehmen, die ausschließlich dafür gegründet werden, eine über Monate aufgebaute Glaubwürdigkeit später auszunutzen. Das ist der zweite klare Trend, den wir derzeit erkennen.

Vor einigen Jahren versuchten viele Betrüger, etablierte Unternehmen mit einer vorhandenen Geschäftshistorie zu übernehmen. Heute kann es effektiver sein, eine neue Gesellschaft zu gründen, die Prüfung zu bestehen, über mehrere Monate Vertrauen aufzubauen und erst danach den Betrug zu begehen. Das erfordert Geduld, gibt den Tätern aber deutlich mehr Kontrolle über den gesamten Ablauf.

Handelt es sich dabei um komplett erfundene Unternehmen oder um Firmen, die legal registriert sind und tatsächlich Geschäfte betreiben?

Genau das macht diese Fälle so schwierig. Häufig handelt es sich um Unternehmen, die vollständig legal registriert sind. Sie verfügen über eine Lizenz, eine Versicherung, eine Geschäftshistorie und einen identifizierbaren Eigentümer. Außerdem durchlaufen sie den Zulassungsprozess. Formal scheint alles in Ordnung zu sein.

Ein solches Unternehmen lässt sich nicht sofort als verdächtig zurückweisen. Im Gegenteil: Es kann über viele Monate völlig unauffällig wirken.

Führt das Unternehmen über die Börse tatsächlich Transporte durch?

Oft ja. Auch hier beobachten wir eine Veränderung. Früher wollten Betrüger so schnell wie möglich handeln. Heute können sie viel Zeit in den Aufbau ihrer Glaubwürdigkeit investieren. Sie erledigen einzelne Aufträge, sammeln positive Bewertungen und bauen Referenzen auf. Nach außen wirkt alles normal.

Erst später kommt der Moment, für den das Unternehmen ursprünglich gegründet wurde: ein Diebstahl, manchmal auch zwei – danach stellt der Betrieb seine Tätigkeit ein.

Reicht es also nicht mehr aus, ausschließlich die Dokumente zu prüfen?

Genau. Die Dokumentenprüfung bleibt unverzichtbar. Wir müssen wissen, wer ein Unternehmen registriert hat und ob die eingereichten Unterlagen echt sind. Für eine verlässliche Sicherheitsbewertung reicht das allein jedoch nicht mehr aus.

Wer einen Betrug von Anfang an plant, kann den gesamten Ablauf heute deutlich besser vorbereiten als noch vor einigen Jahren. Deshalb ist es ebenso wichtig, die Aktivitäten eines Unternehmens nach Abschluss des Zulassungsprozesses zu beobachten.

Mehr Wachsamkeit und eine gründlichere Prüfung potenzieller Geschäftspartner sind demnach Aufgaben des Plattformbetreibers ebenso wie der Nutzer. Sind die Nutzer inzwischen auch aufmerksamer gegenüber verdächtigen Aktivitäten?

Auf jeden Fall. Vor einigen Jahren prüften viele lediglich zwei Punkte: ob ein Unternehmen verifiziert war und wie lange es bereits bestand. Heute schauen sich Unternehmen deutlich mehr Informationen an.

Sie berücksichtigen die bisherige Zusammenarbeit, die Zahl abgeschlossener Aufträge, Referenzen und die Aktivität auf der Plattform. Wenn eine Firma erst seit wenigen Monaten besteht und kaum eine Geschäftshistorie vorweisen kann, stellen Nutzer immer häufiger zusätzliche Fragen. Das ist eine positive Entwicklung. Das Bewusstsein für Risiken ist eindeutig gestiegen.

Trotzdem gelingt es Kriminellen weiterhin, Menschen zu täuschen?

Leider ja. Auch die Täter lernen aus den Entwicklungen im Markt. Wenn neue Unternehmen genauer geprüft werden, handeln sie nicht zwangsläufig schon eine Woche nach der Registrierung. Sie können mehrere Monate oder noch länger warten. Ihr Ziel ist es, Vertrauen aufzubauen. Je glaubwürdiger sie wirken, desto größer ist die Wahrscheinlichkeit, dass jemand auf eine zusätzliche Prüfung verzichtet.

Lässt sich erkennen, aus welchen Ländern diese Unternehmen besonders häufig stammen?

Nach unseren Beobachtungen handelt es sich dabei häufiger um ausländische Gesellschaften. In den von uns bearbeiteten Fällen tauchen derzeit besonders oft Unternehmen aus dem Vereinigten Königreich, Italien, Rumänien und Litauen auf. Das bedeutet nicht, dass Firmen aus diesen Ländern weniger vertrauenswürdig wären. Es sind lediglich die Standorte, die in unseren Analysen am häufigsten vorkommen.

Und woher stammen die zuvor erwähnten Phishing-Kampagnen?

Bei der Analyse technischer Daten sehen wir, dass viele Anmeldeversuche und große Teile der von den Tätern genutzten Infrastruktur auf IP-Adressen in Armenien verweisen. Hier ist jedoch eine wichtige Unterscheidung notwendig: Eine IP-Adresse sagt nicht aus, wer hinter einem Angriff steckt. Sie kann den Standort einer kriminellen Gruppe oder den Ort gemieteter Server und anderer Infrastruktur anzeigen. Daraus lässt sich nicht schließen, dass die Täter aus diesem Land stammen.

Es klingt, als hätten wir es nicht mehr mit einzelnen Betrügern, sondern mit gut organisierten Gruppen zu tun.

Das deckt sich mit unserer Beobachtung. Wir erkennen immer häufiger eine klare Aufgabenverteilung. Einige Personen verschaffen sich Zugang zu Konten, andere suchen nach besonders attraktiven Ladungen. Wieder andere organisieren den Diebstahl oder kümmern sich anschließend um den Verkauf der Waren.

Das zeigt, dass die Kriminalität in der Transportbranche professioneller organisiert wird. Herkömmliche Prüfmethoden reichen deshalb nicht mehr aus. Wir müssen nicht nur Dokumente analysieren, sondern auch das Verhalten der Nutzer. Sehr häufig liefert gerade dieses Verhalten den ersten Hinweis darauf, dass etwas nicht stimmt.