Gefälschte Hosting-Rechnungen erkennen und richtig reagieren

«Ihre Zahlung ist abgelaufen», und schon ist die Kreditkarte weg

Freitagnachmittag, kurz vor Feierabend. Im Postfach liegt eine Mail vom Hosting-Anbieter: Das hinterlegte Zahlungsmittel sei abgelaufen, die Rechnung für die Domain offen. Wenn nicht innert 48 Stunden bezahlt werde, gehe die Website vom Netz. Ein Klick auf den Link, Kreditkartennummer eingeben, erledigt. Denkt man.

Genau so läuft eine Betrugsmasche, vor der die Kantonspolizeien Zürich und Bern im Juli 2026 gewarnt haben. Die gefälschten Mails imitieren Schweizer Hosting-Anbieter wie Webland, betroffen waren aber auch schon Kunden von Hostpoint und Cyon. Der Absender wirkt echt, das Logo stimmt, der Ton klingt nach Buchhaltung. Und der Link führt auf eine Seite, die exakt aussieht wie das Login des Providers, aber nur eines will: Ihre Kartendaten.

Warum ausgerechnet Hosting und Domains funktionieren

Die Masche ist deshalb so wirksam, weil kaum jemand im Betrieb weiss, wann die eigene Domain oder das Hosting-Paket wirklich fällig ist. Diese Verträge laufen im Hintergrund. Einmal eingerichtet, verlängern sie sich automatisch, die Abbuchung passiert lautlos über eine Kreditkarte, und der Beleg landet irgendwo im Buchhaltungsordner. Wer im Betrieb die Website betreut, ist oft gar nicht die Person, die zahlt.

Diese Lücke nutzen die Täter aus. Sie müssen nichts über Ihre Firma wissen. Sie verschicken die Mail an tausende Adressen und setzen darauf, dass ein Teil der Empfänger tatsächlich eine Domain bei genau diesem Anbieter hat. Bei einer kleinen Firma mit einer Handvoll Mitarbeitenden reicht es, wenn eine Person am falschen Tag auf den Link klickt.

So sieht die Falle im Detail aus

Der Ablauf ist fast immer gleich. Zuerst kommt die Mail mit einer erfundenen Dringlichkeit: abgelaufene Karte, fehlendes Zahlungsmittel, letzte Mahnung. Dann folgt die Drohung, meist ein Serviceunterbruch: Die Website werde gesperrt, die Domain freigegeben, die E-Mail-Adressen abgeschaltet. Für einen Betrieb, dessen Kundenkontakt über die Firmenmail läuft, klingt das nach einem echten Notfall.

Der Link im Mail führt dann auf eine nachgebaute Seite. Adresse und Aussehen ähneln dem echten Provider so weit, dass es im Vorbeigehen niemandem auffällt. Dort tippt man Login und Kartendaten ein, und die Seite bestätigt sogar freundlich, dass alles in Ordnung sei. Zu diesem Zeitpunkt sind die Daten längst bei den Tätern. Oft dauert es nur Stunden, bis die erste Abbuchung auftaucht.

Woran Sie die Fälschung erkennen

Der wichtigste Punkt zuerst: Ein seriöser Anbieter sperrt nichts innert 48 Stunden per Mail-Drohung. Echte Fälligkeiten haben Wochen Vorlauf, und die Verlängerung läuft normalerweise ohnehin automatisch. Wer Sie unter Zeitdruck setzt, will genau das: dass Sie nicht nachdenken.

Schauen Sie auf die Absenderadresse, nicht auf den angezeigten Namen. «Webland» im Klartext heisst nichts, entscheidend ist, was hinter dem @ steht. Fahren Sie mit der Maus über den Link, ohne zu klicken, und lesen Sie die Adresse, die unten im Browser oder Mailprogramm erscheint. Passt sie nicht exakt zur Domain Ihres Providers, lassen Sie die Finger davon.

Und wenn Sie unsicher sind, gibt es einen einfachen Weg, der jede Fälschung aushebelt: Öffnen Sie den Browser und tippen Sie die Adresse Ihres Anbieters von Hand ein, oder nutzen Sie ein gespeichertes Lesezeichen. Loggen Sie sich dort direkt ein. Ist wirklich eine Rechnung offen, sehen Sie das in Ihrem Kundenkonto. Steht dort nichts, war die Mail ein Betrug. Diesen einen Schritt sollten Sie sich zur Gewohnheit machen, bei jeder Rechnung, die per Mail zur Zahlung drängt.

Was tun, wenn schon Daten eingegeben wurden

Wenn jemand im Betrieb bereits Kartendaten eingetippt hat, zählt jede Minute. Rufen Sie sofort bei der Kartenherausgeberin an und lassen Sie die Karte sperren. Die Nummer steht auf der Kartenrückseite und in Ihrem E-Banking. Ändern Sie danach das Passwort für das betroffene Hosting-Konto, und falls Sie dasselbe Passwort noch anderswo verwenden, dort ebenfalls.

Erstatten Sie Anzeige bei der Kantonspolizei und melden Sie den Vorfall dem Bundesamt für Cybersicherheit über antiphishing.ch. Das kostet ein paar Minuten und hilft, die Fake-Seiten schneller aus dem Netz zu nehmen. Behalten Sie in den folgenden Wochen Ihre Kartenabrechnung im Auge. Manche Täter testen zuerst mit einem kleinen Betrag, bevor sie richtig zuschlagen.

Vorher aufräumen zahlt sich aus

Am besten kommt die Mail gar nicht erst in die Situation, jemanden zu überraschen. Halten Sie fest, welche Domains und Hosting-Verträge Sie haben, bei welchem Anbieter sie laufen und wann sie fällig sind. Eine einfache Liste reicht. Wer weiss, dass die Domain im März verlängert wird und heute August ist, klickt im August auf keine angebliche Mahnung.

Legen Sie ausserdem fest, wer im Betrieb solche Rechnungen prüfen darf, und sorgen Sie dafür, dass niemand allein unter Zeitdruck eine Kartenzahlung freigibt. Zwei Augenpaare bei jeder Zahlungsaufforderung von aussen sind der beste Schutz, den es gibt, und er kostet nichts.

Checkliste

• Nie über den Link in der Mail zahlen. Adresse des Providers von Hand eintippen oder Lesezeichen nutzen und dort einloggen.
• Absenderadresse prüfen, nicht nur den angezeigten Namen. Was hinter dem @ steht, zählt.
• Zeitdruck ist ein Warnsignal. 48-Stunden-Drohungen kommen nicht von seriösen Anbietern.
• Fälligkeiten kennen: Liste aller Domains und Hosting-Verträge mit Anbieter und Verlängerungsdatum führen.
• Vier-Augen-Prinzip bei jeder Zahlungsaufforderung per Mail festlegen.
• Falls schon Daten eingegeben: Karte sofort sperren, Passwort ändern, Anzeige erstatten, Vorfall auf antiphishing.ch melden.
• Kartenabrechnung in den Wochen danach kontrollieren, auch auf kleine Testbeträge.

Unsicher, ob eine Rechnung echt ist, oder wollen Sie Ihre Verträge einmal sauber aufgelistet haben? Melden Sie sich bei uns, wir schauen das mit Ihnen an.