Aktuell werden gezielt Kund*innen von Webdesign- und Webagenturen mit gefälschten E-Mails angeschrieben. Die Absender geben sich als die jeweilige Agentur oder deren Inhaber*in aus und fordern Geld für angeblich notwendige Domainverlängerungen, WordPress-Updates, Plugin-/Theme-Erneuerungen oder Wartungsarbeiten.
Auch Kund*innen von Design for Humans sind von dieser Betrugsmasche betroffen.
Nach unseren bisherigen Recherchen handelt es sich nicht um einen einzelnen Vorfall. Mehrere Webagenturen und Webdesigner*innen haben seit Anfang September 2026 über sehr ähnliche Fälle berichtet. Dabei werden echte Namen, Fotos, Informationen über die Agenturen und deren Kundschaft sowie nachgeahmte E-Mail-Signaturen verwendet.
Wie funktioniert die Betrugsmasche?
Die Täter*innen geben sich in den E-Mails als die jeweilige Webagentur aus.
Dafür verwenden sie öffentlich zugängliche Informationen und versuchen, die Nachricht möglichst glaubwürdig aussehen zu lassen. Typischerweise werden beispielsweise folgende Informationen kopiert oder nachgeahmt:
- der Name des Webdesigners bzw. der Agentur,
- ein Foto des Webdesigners,
- das Logo oder andere Elemente des Markenauftritts,
- Informationen über die angebotenen Leistungen,
- die Website-Adresse,
- Informationen über bestehende Kund*innen,
- und eine nachgeahmte E-Mail-Signatur.
Wichtig: Es muss sich dabei nicht um die tatsächliche E-Mail-Signatur der Agentur handeln. Auch bei Design for Humans wurde eine Signatur verwendet, die den Eindruck erwecken sollte, von der Agentur zu stammen, aber deutlich von der tatsächlich verwendeten Signatur abweicht.
Anschließend wird behauptet, dass bei der Website des Empfängers beispielsweise eine Domainverlängerung, ein Plugin- oder Theme-Update oder eine technische Wartung erforderlich sei. Dafür wird eine konkrete Zahlung verlangt.
Eine typische Zahlungsforderung: 300 Euro oder Dollar
Ein besonders auffälliges Merkmal der derzeit beobachteten Variante ist die konkrete Zahlungsforderung von 300 Euro bzw. 300 Dollar.
Die E-Mails behaupten beispielsweise, dass eine Domain verlängert, WordPress aktualisiert oder bestimmte Plugins bzw. Themes erneuert werden müssten. Für diese angeblich notwendigen Arbeiten werden dann pauschal 300 Dollar oder 300 Euro verlangt.
Auch in mehreren anderen öffentlich dokumentierten Fällen gegen Webdesigner*innen und Webagenturen taucht ein Betrag von 300 auf. Der genaue Betrag und die konkrete Begründung können sich allerdings unterscheiden. Die wiederkehrende Kombination aus einer vermeintlich notwendigen Website-Leistung und einer Zahlungsforderung von rund 300 Dollar oder Euro ist deshalb ein wichtiges Warnsignal.
Auch von Kund*innen von Design for Humans wurde eine Zahlung von 300 € gefordert.
Ein besonders wichtiges Warnsignal ist die Absenderadresse
Ein auffälliges Merkmal der aktuellen Fälle ist die Verwendung von Gmail-Adressen, die dem Namen der echten Agentur möglichst ähnlich sind.
Im Fall von Design for Humans wurde beispielsweise die Adresse
verwendet.
Design for Humans kommuniziert über E-Mail-Adressen unter der eigenen Domain.
Die gefälschte Adresse ist also so gewählt, dass sie auf den ersten Blick plausibel wirken kann: Der Unternehmensname wird leicht abgewandelt und mit einem allgemeinen Gmail-Postfach kombiniert.
Das ist ein wichtiges Detail: Nicht nur auf den angezeigten Absendernamen achten, sondern die vollständige E-Mail-Adresse prüfen.
Andere betroffene Webagenturen berichten ebenfalls von Gmail-Adressen bei sehr ähnlichen Betrugsversuchen. Gmail scheint bei den bisher dokumentierten Fällen ein häufig verwendeter Versandweg zu sein. Es lässt sich daraus allerdings nicht ableiten, dass ausschließlich Gmail verwendet wird. Auch andere E-Mail-Dienste können grundsätzlich für solche Identitätsfälschungen verwendet werden.
Beispiel
Echte Agentur:
designforhumans.studio
Gefälschte Adresse:
Das fehlende „s“ in „designforhuman“ kann beim schnellen Lesen leicht übersehen werden.
Warum kennen die Täter*innen die Kund*innen der Agentur?
Das ist eine der wichtigsten Fragen bei dieser Betrugsmasche.
Die bisherigen Fälle sprechen dafür, dass öffentlich zugängliche Informationen eine wesentliche Rolle spielen.
Eine mögliche Vorgehensweise ist beispielsweise:
Referenzen / Portfolio einer Webagentur
↓
Kund*innen und deren Websites identifizieren
↓
Kund*innenseite aufrufen
↓
Impressum / Kontaktseite finden
↓
öffentliche E-Mail-Adresse finden
↓
Kund*in im Namen der Webagentur anschreiben
Ein anderer möglicher Weg funktioniert umgekehrt:
Kund*innenseite
↓
Hinweis oder Link „Website by …“ zur Webagentur
↓
Webagentur identifizieren
↓
weitere Kund*innen über Referenzen/Portfolio finden
↓
Kontaktdaten der Kund*innen recherchieren
Dafür ist kein Zugriff auf vertrauliche Kundendaten erforderlich.
Öffentliche Webseiten können automatisiert durchsucht und die darauf enthaltenen Informationen gesammelt werden. Gerade Referenzseiten, Portfolioseiten, Impressumsseiten und öffentliche „Website by …“-Verweise bieten dafür ausreichend Informationen.
Im Fall von Design for Humans ist die Referenzen-Seite von Design for Humans in der gefälschten E-Mail sogar ausdrücklich verlinkt. Das ist ein deutlicher Hinweis darauf, dass öffentlich zugängliche Informationen über unsere Arbeit und unsere Kund*innen bei der Vorbereitung der Nachrichten eine Rolle gespielt haben könnten.
Ob die Täter*innen tatsächlich von unserer Referenzen-Seite ausgegangen sind oder die Informationen über einen anderen öffentlichen Weg gesammelt haben, lässt sich derzeit nicht mit Sicherheit sagen.
Ist die Website der Webagentur gehackt worden?
Nein – für diese Betrugskampagne ist ein Hack der Website der Webagentur nicht erforderlich.
Das ist ein wichtiger Punkt.
Wenn die Täter*innen den Namen, das Foto, die Agentur und sogar deren Kund*innen kennen, bedeutet das nicht, dass sie Zugriff auf die Website oder das E-Mail-Konto der Webagentur hatten.
Die für diese Masche benötigten Informationen können aus öffentlich zugänglichen Quellen stammen:
- Website der Agentur
- Referenzen und Portfolio
- öffentlich sichtbare Fotos
- Impressum
- Kund*innenseiten
- Kontaktseiten
- „Website by …“-Links
Ein Angreifer kann diese Informationen automatisiert sammeln und anschließend eine gefälschte Identität aufbauen.
Auch ein echtes Foto in der E-Mail ist deshalb kein Beweis für einen Einbruch. Fotos von Webdesigner*innen und Agenturinhaber*innen sind häufig öffentlich verfügbar und können problemlos kopiert werden.
Was ist im Fall von Design for Humans bekannt?
Die uns vorliegende gefälschte E-Mail wurde nicht über unseren eigenen Mailserver versendet. In den vollständigen Headern ist als tatsächlicher Versandweg ein Gmail-Server zu erkennen. Als Return-Path ist die Adresse
angegeben.
Das spricht dafür, dass die Täter*innen ein separates Gmail-Konto verwendet haben, um sich als Design for Humans auszugeben.
Für die hier beschriebene Betrugskampagne ist ein Zugriff auf die Website oder das E-Mail-Konto der Agentur jedoch schlicht nicht notwendig.
Das Foto des Webdesigners ist ebenfalls echt – und trotzdem gefälscht
In unserem Fall wurde ein echtes Foto von Jens Hoffmeister verwendet, das öffentlich auf der Website von Design for Humans verfügbar ist.
Das zeigt sehr gut, wie die Masche funktioniert.
Die Täter*innen müssen keinen Zugriff auf private Dateien oder interne Systeme haben. Ein öffentlich verfügbares Foto kann einfach von einer Website heruntergeladen und in eine gefälschte E-Mail-Signatur eingebaut werden.
Dasselbe gilt für:
- Namen
- Firmenlogos
- Telefonnummern
- Adressen
- Website-Links
- Leistungsbeschreibungen
- Referenzen
- Social-Media-Profile
Je mehr öffentlich verfügbare Informationen in der E-Mail angezeigt werden, desto überzeugender kann eine solche gefälschte Nachricht wirken.
Typische Merkmale der gefälschten E-Mails
Die Nachrichten sind teilweise erstaunlich professionell gestaltet. Es gibt aber einige typische Warnsignale.
1. Die Absenderadresse gehört nicht zur Agentur
Das ist eines der wichtigsten Merkmale.
Eine Nachricht kann den Namen eines echten Mitarbeiters oder der Agentur als Absender anzeigen. Entscheidend ist aber die tatsächliche E-Mail-Adresse.
Besonders auffällig sind Adressen wie:
oder
wenn die echte Agentur normalerweise über eine eigene Domain kommuniziert.
2. Die Adresse ähnelt dem Firmennamen
Die Täter*innen verwenden offenbar bewusst leicht veränderte Unternehmensnamen.
Dadurch kann eine Adresse beim schnellen Lesen plausibel aussehen.
Im Fall von Design for Humans:
Echte Marke: Design for Humans
Gefälschte Adresse:
Ein einzelnes fehlendes „s“ kann leicht übersehen werden.
3. Eine unerwartete Zahlung wird verlangt
Die E-Mail fordert Geld für Leistungen, die vorher nicht besprochen wurden.
Typische Begriffe sind:
- Domainverlängerung
- Plugin-Lizenzen
- Theme-Lizenzen
- WordPress-Updates
- Sicherheitsupdates
- Wartungsarbeiten
Besonders verdächtig ist es, wenn plötzlich eine pauschale Zahlung – beispielsweise 300 € bzw. 300 $ – verlangt wird.
4. Die Nachricht erzeugt technischen oder zeitlichen Druck
Häufig wird mit möglichen Konsequenzen argumentiert:
- Sicherheitsprobleme
- Kompatibilitätsprobleme
- Leistungsprobleme
- Ausfälle
- ablaufende Lizenzen
- notwendige Updates
Dadurch soll der Empfänger möglichst schnell handeln, anstatt die Nachricht in Ruhe zu überprüfen.
5. Die E-Mail kennt echte Informationen
Das macht die Masche besonders überzeugend.
Die Täter*innen können beispielsweise den tatsächlichen Namen der Agentur, die eigene Website oder die verwendete WordPress-Technologie kennen.
Das ist kein Beweis dafür, dass die E-Mail echt ist.
Solche Informationen können öffentlich verfügbar sein.
6. Das Foto ist tatsächlich echt
Auch das kann bewusst eingesetzt werden.
Ein echtes Foto eines Mitarbeiters oder der Agenturleitung soll Vertrauen schaffen.
Das Foto beweist jedoch nicht, dass die Nachricht tatsächlich von der Person oder Agentur stammt.
7. Die Signatur sieht offiziell aus
Die Täter*innen können eine Signatur erstellen, die wie eine offizielle Signatur aussieht.
Sie muss dabei nicht einmal mit der tatsächlichen Signatur der Agentur übereinstimmen.
Ein Foto, Firmenname, Logo und eine Adresse reichen oft aus, um beim schnellen Lesen einen offiziellen Eindruck zu erzeugen.
8. Die E-Mail verweist auf die echte Website
Auch ein Link auf die tatsächliche Website ist kein Beweis für die Echtheit der Nachricht.
Im Fall von Design for Humans wurde sogar auf unsere echte Referenzen-Seite verlinkt.
Dadurch entsteht leicht der Eindruck:
„Die E-Mail muss echt sein – schließlich führt der Link tatsächlich zur Website der Webagentur.“
Das ist ein Trugschluss. Einen Link zur echten Website kann jede beliebige Person in eine E-Mail einfügen.
9. Eine einfache Antwort soll den Vorgang auslösen
Im Fall von Design for Humans wurde darum gebeten, einfach mit
„Ja, bitte fortfahren“
zu antworten.
Auch das ist ein Warnsignal, wenn eine solche Aufforderung unerwartet kommt.
Eine solche Antwort kann den Täter*innen außerdem bestätigen, dass die E-Mail-Adresse aktiv ist und jemand tatsächlich auf die Nachricht reagiert.
Was tun, wenn eine solche E-Mail eingeht?
Nicht antworten.
Keine Zahlung leisten.
Keine Links aus der verdächtigen Nachricht anklicken.
Keine Anhänge öffnen.
Wenn Sie unsicher sind, ob eine Nachricht tatsächlich von Ihrer Webagentur stammt, kontaktieren Sie die Agentur über einen bereits bekannten Kommunikationsweg.
Zum Beispiel:
- eine Ihnen bereits bekannte Telefonnummer anrufen,
- eine neue E-Mail an die bisher verwendete Adresse schreiben,
- oder die Website der Agentur selbst aufrufen und dort die Kontaktdaten verwenden.
Verwenden Sie dafür möglichst nicht die Kontaktdaten aus der verdächtigen E-Mail.
Was tun, wenn bereits geantwortet oder bezahlt wurde?
Wenn Sie bereits auf eine solche E-Mail geantwortet haben, besteht zunächst kein Grund zur Panik.
Wenn noch keine Zahlung erfolgt ist, sollte die Kommunikation beendet werden.
Wenn bereits Geld überwiesen wurde, sollte möglichst schnell die Bank oder der jeweilige Zahlungsdienstleister kontaktiert werden.
Wenn Sie Zugangsdaten, Kreditkarteninformationen oder andere vertrauliche Informationen übermittelt haben, sollten diese ebenfalls umgehend abgesichert werden.
Die E-Mail sollte in diesem Fall nicht einfach gelöscht werden. Sichern Sie die Originalnachricht inklusive vollständiger E-Mail-Header. Diese Informationen können für die weitere Untersuchung oder eine Anzeige wichtig sein.
Was können Webagenturen tun?
Webagenturen sollten ihre Kund*innen über diese Betrugsmasche informieren, sobald entsprechende Fälle auftreten.
Darüber hinaus sind einige grundsätzliche Maßnahmen sinnvoll:
- Kund*innen über die offiziellen Kommunikationswege informieren,
- bei Zahlungsaufforderungen einen unabhängigen Bestätigungsweg etablieren,
- verdächtige Nachrichten und vollständige Header sichern
Besonders hilfreich ist eine klare Regel für Kund*innen, zum Beispiel:
Wir fordern keine unerwarteten Zahlungen ausschließlich per E-Mail an. Wenn Sie bei einer Zahlungsaufforderung unsicher sind, kontaktieren Sie uns bitte direkt über die Ihnen bekannte Telefonnummer.
Damit bleibt eine zusätzliche Sicherheitsebene bestehen, selbst wenn jemand Name, Foto, Logo oder E-Mail-Adresse der Agentur kopiert hat.
Warum dieser Artikel?
Wir veröffentlichen diese Informationen, weil inzwischen mehrere Kund*innen von Design for Humans eine solche Nachricht erhalten haben und wir davon ausgehen, dass auch andere Webdesigner*innen und Agenturen betroffen sein können.
Wenn Sie selbst Webdesigner*in oder Betreiber*in einer Webagentur sind und ähnliche Nachrichten erhalten haben, lohnt es sich, Ihre Kund*innen aktiv zu informieren.
Wenn Sie als Kund*in eine solche E-Mail bekommen haben, prüfen Sie zunächst die Absenderadresse und kontaktieren Sie Ihre Webagentur über einen bekannten Kommunikationsweg.
Je mehr Fälle dokumentiert werden, desto besser lässt sich nachvollziehen, wie diese Betrugsmasche funktioniert und wie andere Unternehmen davor geschützt werden können.
Fazit
Die wichtigste Erkenntnis ist:
Eine E-Mail kann sehr glaubwürdig aussehen und trotzdem gefälscht sein.
Ein echter Name, ein echtes Foto, eine echte Website, echte Informationen über die eigene Website und sogar echte Informationen über die betreuende Webagentur sind kein Beweis dafür, dass die Nachricht tatsächlich von der Agentur stammt.
Besonders vorsichtig sollte man sein, wenn eine unerwartete E-Mail:
- von einer privaten Gmail- oder anderen externen Adresse kommt,
- eine Adresse verwendet, die dem Firmennamen ähnlich sieht,
- eine Zahlung für Domain, Plugins, Themes oder Wartung verlangt,
- mit technischen Problemen oder Zeitdruck argumentiert,
- ein echtes Foto oder eine nachgeahmte Signatur verwendet,
- und eine einfache Bestätigung oder schnelle Zahlung verlangt.
Im Zweifel: nicht antworten, nicht bezahlen und die Webagentur über einen bereits bekannten Kommunikationsweg kontaktieren.
Diese Betrugsmasche betrifft nach den derzeit verfügbaren Berichten nicht nur einzelne Unternehmen. Mehrere Webagenturen und Webdesigner*innen haben 2026 sehr ähnliche Fälle öffentlich gemacht. Die verwendeten Details unterscheiden sich, das Grundmuster ist jedoch auffällig ähnlich: Imitation einer Webagentur, öffentlich recherchierte Informationen, gezielte Ansprache von Kund*innen und eine Zahlungsforderung für angeblich notwendige Website-Leistungen.