Wie Kunden prüfen, ob Ihr WooCommerce-Shop echt ist, und wie Sie diesen Test bestehen

Vorsichtige Käufer, Zahlungsanbieter und Google Merchant Center prüfen einen neuen Shop mit denselben Methoden: Sie gleichen die Firmendaten mit Registern ab, schauen auf das Alter der Domain, suchen nach kopierten Fotos und lesen Bewertungen. Ein ehrlicher WooCommerce-Shop kann diesen Test aus reiner Nachlässigkeit nicht bestehen, etwa wegen einer alten Adresse in den AGB oder eines privaten Kontos in der Überweisungsanleitung. Dieser Beitrag geht die Prüfungen aus Sicht des Shopbetreibers durch, mit dem, was Sie bei sich korrigieren sollten, bevor es ein Kunde bemerkt. Die genannten Register und Behörden (KRS, CEIDG, die weiße Liste, das WHOIS von dns.pl, CERT Polska, UOKiK) gelten für Shops, die in Polen registriert sind oder an polnische Kunden verkaufen. Domainhistorie, Schloss, Bildersuche, Bewertungen, Merchant Center und WooCommerce-Einstellungen funktionieren überall gleich.

Der Ratgeber “Okazja czy pułapka?” (“Schnäppchen oder Falle?”) der polnischen Forschungseinrichtung NASK vom November 2025 nennt im Teil über gefälschte Shops Zahlen von CERT Polska für 2024: rund 1.600 angenommene Meldungen und rund 14.000 erfasste Fälle, in denen das Erscheinungsbild bekannter Verkaufsplattformen missbraucht wurde (NASK, Näherungswerte). Wer von solchen Betrügereien gehört hat, prüft jeden Shop, den er nicht kennt, also auch Ihren.

#Wie Kunden prüfen, ob ein Onlineshop vertrauenswürdig ist

Einen Shop zu prüfen ist Open Source Intelligence (OSINT): Schlüsse ausschließlich aus öffentlichen Quellen. Firmenregister, das Verzeichnis der Umsatzsteuerzahler, die WHOIS-Datenbank, Webarchive, Bildersuche und Bewertungen im Netz. Nichts davon erfordert technisches Wissen, deshalb landen dieselben Schritte in Verbraucherratgebern. Sekurak und Securitum veranstalten am 29. Oktober 2026 eine polnischsprachige Online-Schulung mit dem Titel “Jak się nie dać oszukać? Sprawdzamy sklepy internetowe technikami OSINT-owymi” (sinngemäß: Wie man sich nicht betrügen lässt, Onlineshops mit OSINT prüfen), in der live zwei Shops überprüft werden, ein offensichtlicher Betrug und eine professionell wirkende Fälschung (Kursbeschreibung).

Jede Unstimmigkeit, die ein Käufer findet, sieht genauso aus wie ein Betrugssignal. CERT Polska rät in seinem Einkaufsratgeber, AGB, Lieferung, Zahlung und Rückgabe zu prüfen und “für jegliche Unstimmigkeiten zwischen ihnen sensibel” zu sein (eigene Übersetzung, CERT Polska). Für den Käufer sind zwei verschiedene Adressen in Fußzeile und AGB ein Warnsignal, auch wenn eine davon nur eine vergessene Aktualisierung ist.

#Welche Firmendaten ein Onlineshop angeben muss

Zwei polnische Gesetze legen das Minimum fest. Art. 20 Abs. 3 des Unternehmergesetzes (Prawo przedsiębiorców) bestimmt, dass ein Unternehmer, der im Fernabsatz über Telekommunikationsnetze verkauft, “im Angebot mindestens seine Firma, die Steueridentifikationsnummer (NIP) sowie den Sitz oder die Anschrift angibt” (eigene Übersetzung, Dz.U. 2025 Pos. 1480). Art. 5 des Gesetzes über die Erbringung elektronischer Dienstleistungen (ustawa o świadczeniu usług drogą elektroniczną) ergänzt elektronische Adressen, Name oder Firma sowie Sitz und Anschrift, angegeben “in klarer, eindeutiger und unmittelbar zugänglicher Weise” (eigene Übersetzung, Dz.U. 2024 Pos. 1513). Das staatliche Unternehmensportal biznes.gov.pl nennt für den Inhalt der AGB zusätzlich die Behörde, die das Gewerbe eingetragen hat, die Eintragungsnummer, die Geschäftsadresse, E-Mail und Telefon (biznes.gov.pl).

Der Kunde vergleicht diese Angaben an vier Stellen: in der Fußzeile, in den AGB, in der Datenschutzerklärung und auf der Rechnung. Dann gibt er die NIP in eine Firmensuche ein. Die Suche im KRS (polnisches Landesgerichtsregister) zeigt Adresse, Rechtsform, Identifikationsnummern, Eintragungsdatum und Änderungshistorie, in der CEIDG (Register der Einzelunternehmer) genügen Vor- und Nachname oder NIP bzw. REGON (biznes.gov.pl, Geschäftspartner prüfen).

CERT Polska weist auf ein weiteres Detail hin. Steht im KRS unter dem Namen des angeblichen Shopbetreibers ein Ladengeschäft oder ein Unternehmen aus einer ganz anderen Branche als dem Handel, ist das ein wichtiges Warnsignal: Der Betrüger könnte sich als bestehende Firma ausgeben oder deren ungenutzte Domain übernommen haben (CERT Polska). Für einen ehrlichen Shop heißt das: Der im Register eingetragene Unternehmensgegenstand sollte den Handel abdecken, den Sie tatsächlich betreiben. Eine als Planungsbüro eingetragene Gesellschaft, die Kosmetik verkauft, wirft beim vorsichtigen Kunden und beim Zahlungsanbieter Fragen auf.

Was Sie bei sich korrigieren sollten:

• eine einzige Fassung von Firmenname, NIP und Adresse in Fußzeile, AGB, Datenschutzerklärung, den Transaktions-E-Mails von WooCommerce und auf Rechnungen,
• eine Adresse, die mit dem Eintrag in KRS oder CEIDG übereinstimmt und nach einem Umzug in derselben Woche wie der Registereintrag aktualisiert wird,
• eine funktionierende Telefonnummer und E-Mail-Adresse, denn CERT Polska rät Käufern, den Verkäufer zu kontaktieren und vom Kauf abzusehen, wenn das nicht gelingt.

#Wie man das Konto eines Shops auf der weißen Liste prüft

Das polnische Verzeichnis der Umsatzsteuerzahler, die sogenannte weiße Liste (biała lista), lässt sich nach Kontonummer, NIP oder REGON durchsuchen (biznes.gov.pl). Ein Käufer, der eine Überweisungsanleitung bekommen hat, fügt die Kontonummer ein und sieht, ob sie zu der Firma aus den AGB gehört. Das Finanzministerium hat den Start des modernisierten Verzeichnisses für den 15. Oktober 2026 unter wykazpodatnikowvat.mf.gov.pl angekündigt, und am 21. Oktober antwortete diese Adresse bereits (KAS).

B2B-Kunden haben hier ein finanzielles Interesse. Laut der polnischen Finanzverwaltung KAS kann ein Unternehmen, das bei Transaktionen über 15.000 PLN auf ein Konto außerhalb des Verzeichnisses zahlt, die Ausgabe nicht als Betriebsausgabe absetzen und haftet gesamtschuldnerisch mit dem Verkäufer für dessen Umsatzsteuerrückstände. Das lässt sich vermeiden, wenn es binnen 7 Tagen nach dem Überweisungsauftrag den Leiter des Finanzamts benachrichtigt (KAS, Informationen zum Verzeichnis). Die Buchhaltung eines Großabnehmers prüft Ihr Konto deshalb bei der ersten größeren Bestellung.

In WooCommerce tragen Sie die Kontonummer für Überweisungen in den Einstellungen der Zahlungsart direkte Banküberweisung ein (im Code: bacs), und der Shop zeigt sie auf der Bestellbestätigungsseite und in der Bestell-E-Mail an (WooCommerce). Tragen Sie dort das beim Finanzamt gemeldete Geschäftskonto ein. Ein privates Konto des Inhabers oder ein Konto bei einer anderen Bank als im Verzeichnis ist das Erste, was den Test nicht besteht.

#Wie man das Alter einer Shop-Domain per WHOIS prüft

Gefälschte Shops leben nicht lange. CERT Polska beschreibt Phishing-Seiten als massenhaft registriert, kurz nach der Registrierung genutzt und dann zugunsten neuer Adressen aufgegeben (CERT Polska, Warnliste). Deshalb schaut der Käufer auf das Registrierungsdatum der Domain. Für .pl-Domains zeigt die WHOIS-Datenbank der Registrierungsstelle NASK (dns.pl/whois) Erstellungsdatum und Registrar. Beispiel: Eine Abfrage zu cert.pl liefert als Erstellungsdatum den 12. März 1998 und als Registrar NASK. Für jede Domain ist die Wayback Machine die zweite Quelle, dort sieht man, wie die Website in früheren Jahren aussah.

Eine junge Domain bedeutet keinen Betrug, wird aber zusammen mit einem niedrigen Preis und fehlenden Firmendaten für den Käufer zu einem starken Signal. Was Sie tun können:

• nach einem Markenwechsel die alte Domain mit einer 301-Weiterleitung behalten, damit die Historie unter der alten Adresse zum neuen Shop führt,
• auf der Seite “Über uns” angeben, seit wann und unter welchem früheren Namen Sie tätig sind, passend zum Eintragungsdatum im Register,
• keine Domain einer anderen Firma kaufen, ohne ihre Historie in der Wayback Machine zu prüfen, denn alte Inhalte oder Einträge auf Warnlisten gehen mit der Adresse über.

#Bedeutet das Schloss im Browser, dass der Shop sicher ist

Nein. CERT Polska beantwortet die Frage in seinem Ratgeber mit einem Wort und erklärt dann: “Betrüger haben bereits Methoden entwickelt, diese Art von Kennzeichnung auszunutzen” (eigene Übersetzung, CERT Polska). NASK wiederholt es im Ratgeber von 2025: Das Schlosssymbol neben der Adresse ist keine Garantie für Sicherheit (NASK).

Ein kostenloses Zertifikat von Let’s Encrypt wird automatisch ausgestellt: Der ACME-Client “weist der Zertifizierungsstelle (CA) nach, dass der Webserver eine Domain kontrolliert” (eigene Übersetzung, Let’s Encrypt). Niemand prüft dabei die Firma, die Adresse oder ob der Shop überhaupt Ware verschickt. HTTPS ist in einem WooCommerce-Shop aus anderen Gründen Pflicht, überzeugt wird ein vorsichtiger Kunde aber erst durch Firmendaten, Konto und Domainhistorie.

#Wie man prüft, ob Produktfotos gestohlen sind

Die umgekehrte Bildersuche (Google Lens, TinEye, Bing) zeigt, wo ein Foto sonst noch im Netz auftaucht. Der Käufer lädt ein Produktfoto hoch und sieht, ob es aus dem Herstellerkatalog, aus einem fremden Shop oder aus einer Bilddatenbank stammt. NASK zählt “attraktive Produktfotos” zu den Merkmalen gefälschter Shops, neben Produkten bekannter Marken und Kundenbewertungen (eigene Übersetzung, NASK).

Ein Shop, der nur Herstellerfotos verwendet, macht nichts falsch, hebt sich aber auch nicht ab: Dieselben Dateien tauchen in Dutzenden anderer Shops auf, gefälschte eingeschlossen. Ein paar eigene Fotos zu jedem Bestseller (das Produkt auf Ihrem Tisch, die Verpackung mit Versandetikett, eine Aufnahme aus dem Lager) belegen dem Käufer, dass die Ware physisch existiert. Dieselben eigenen Fotos helfen in den Ergebnissen der Bildersuche, wie der Beitrag über Google Lens und Bildoptimierung in WooCommerce erklärt.

#Wie man prüft, ob Shop-Bewertungen echt sind

Seit dem 1. Januar 2023 gelten in Polen die Vorschriften aus der EU-Omnibus-Richtlinie. UOKiK kündigte sie so an: “Jeder Unternehmer, der Zugang zu Produktbewertungen bietet, wird angeben müssen, ob und wie er deren Echtheit prüft und ob er alle Bewertungen veröffentlicht oder nur die positiven. Ausdrücklich verboten wird auch das Veröffentlichen gefälschter oder verfälschter Bewertungen” (eigene Übersetzung, UOKiK). In einer Mitteilung vom Juli 2024 ergänzt die Behörde: “Negative Bewertungen dürfen nicht entfernt werden, wenn jemand mit dem Produkt oder der Dienstleistung tatsächlich unzufrieden war” (eigene Übersetzung), und für den Handel mit gefälschten Bewertungen drohen Strafen bis zu 10 % des Umsatzes (UOKiK).

Käufer achten auch auf die zeitliche Verteilung der Bewertungen. CERT Polska rät zu weniger Vertrauen, wenn es in der Bewertungshistorie eine Lücke gibt, etwa wenn die neuesten Bewertungen aus den letzten zwei Wochen stammen und die vorherigen älter als ein Jahr sind (CERT Polska). NASK warnt vor ausschließlich positiven oder sich wiederholenden Bewertungen, die in kurzer Zeit hinzugefügt wurden.

In WooCommerce lassen sich Bewertungen auf Kunden beschränken, die das Produkt gekauft haben, und als Bewertungen verifizierter Käufer kennzeichnen (WooCommerce). Wenn Sie das so handhaben, schreiben Sie es in einem Satz neben die Bewertungen: wer bewerten darf und ob Sie alle Bewertungen veröffentlichen. Das erfüllt die Informationspflicht und überzeugt zugleich den Käufer. Sammeln Sie Bewertungen über eine externe Plattform, beschreiben Sie deren Prüfverfahren auf dieselbe Weise.

#Wie sich ein gefälschter Shop als echter ausgibt

Der Klon eines echten Shops kopiert Logo, Fotos und Beschreibungen und unterscheidet sich durch die Domain und das Konto für Zahlungen. NASK beschreibt drei Varianten: das Auftreten als bekannter Shop mit dessen Logos, fiktive Websites, die nach kurzer Zeit verschwinden, und Shops, die Ware abweichend von der Beschreibung liefern (NASK). CERT Polska ergänzt leicht zu übersehende Tippfehler in der Adresse und Domains, die von Firmen ohne eigenen Shop übernommen wurden.

Einen ehrlichen Shop betrifft direkt die Variante, die CERT Polska legale Zahlung in einem gefälschten Shop nennt: Der Betrüger kauft parallel in einem echten Shop auf seine eigenen Daten ein, und das Opfer bezahlt unwissentlich seine Bestellung (CERT Polska). In Ihrem WooCommerce sieht das aus wie eine gewöhnliche, bezahlte Bestellung. CERT Polska empfiehlt Käufern, die mit Karte gezahlt haben, die Rückbuchung (Chargeback) als vergleichsweise einfachen Weg, ihr Geld zurückzubekommen. Nutzt das Opfer ihn, kann die Reklamation beim Händler landen, der die Zahlung angenommen hat, während die Ware schon beim Betrüger ist. Signale, für die sich ein Alarm in der Bestellabwicklung lohnt: eine Lieferadresse, die nicht zu den Daten des Zahlers passt, eine Paketstation statt einer Adresse bei teurer Ware, mehrere Bestellungen mit verschiedenen Karten an dieselbe Adresse.

Google stuft ähnliche Praktiken als schwerwiegenden Verstoß gegen die Merchant-Center-Richtlinien ein und behält sich vor, bei solchen Verstößen keine Warnung vorab zu schicken. Die deutsche Fassung der Richtlinie nennt als Beispiele “Eine falsche Identität, einen falschen Unternehmensnamen oder falsche Kontaktdaten angeben” sowie die “Angabe einer falschen oder virtuellen physischen Adresse als Hauptsitz, obwohl Sie vollständig von einer nicht offengelegten Region aus operieren” (Google Merchant Center). Ein ehrlicher Shop mit der Adresse eines virtuellen Büros verstößt nicht gegen diese Regel, solange er nicht verschleiert, von wo aus er tatsächlich arbeitet und versendet. Es lohnt sich trotzdem, das auf der Kontaktseite offen zu sagen.

#Wie man einen gefälschten Shop meldet, der sich als Ihr Unternehmen ausgibt

CERT Polska nimmt Meldungen zu Phishing-Seiten über das Formular incydent.cert.pl/phishing entgegen, verdächtige SMS lassen sich kostenlos an die Nummer 8080 weiterleiten (CERT Polska). Geprüfte Domains kommen für 6 Monate auf die Warnliste. Genutzt wird die Liste von den Telekommunikationsanbietern, die der Vereinbarung mit dem Präsidenten der polnischen Regulierungsbehörde UKE, dem Digitalminister und NASK beigetreten sind (ursprünglich Orange, Plus, Play und T-Mobile), sowie von den privaten DNS-Anbietern Quad9 und NextDNS. Ein Kunde, der eine gesperrte Adresse aufruft, sieht dann eine Warnseite statt der Kopie Ihres Shops.

Die Meldung an CERT ist einer von drei Schritten. Der zweite ist eine Missbrauchsmeldung an den Hoster und den Domain-Registrar, deren Daten Sie im WHOIS und in den DNS-Einträgen des Klons finden. Fügen Sie Screenshots, die Adresse des Klons und die Adresse Ihres Shops bei. Der dritte ist ein Hinweis für Ihre Kunden auf Ihrer Website und in den sozialen Medien: welche Adresse die einzige echte ist und welche Kontonummer gilt. Hat jemand bereits auf das Konto des Klons gezahlt, verweisen Sie ihn an seine Bank und an die Polizei, so rät es CERT Polska.

#Checkliste: der Vertrauenstest für einen WooCommerce-Shop

Die Punkte, die ein vorsichtiger Käufer prüft, vom schnellsten an.

Konsistente Firmendaten gehören in Polen auch zur Einhaltung des Verbraucherrechts, zusammen mit DSGVO, Omnibus, GPSR und den Rückgaberegeln. Den technischen Schutz eines Shops behandelt der Leitfaden zur WordPress-Härtung. Sollen diese Liste in Ihrem Shop geprüft und Zahlungseinstellungen, Transaktions-E-Mails und Fußzeile korrigiert werden, beschreiben Sie Ihr Projekt auf der Seite WooCommerce-Entwickler oder buchen Sie ein WordPress-Sicherheitsaudit.