Vorsicht: Fake-Kanzleien und gefälschte Portale decken Betrug auf

Wer eine unerwartete E-Mail mit einem Angebot über günstige Insolvenzware bekommt, macht meist das Vernünftige: Firmenname googeln, Impressum anschauen, Handelsregister prüfen. Und genau darauf haben sich die Absender inzwischen eingestellt. Die Watchlist Internet hat am 3. September 2026 ein Netzwerk dokumentiert, in dem gefälschte Treuhandkanzleien und Beratungsfirmen von ebenso gefälschten Nachrichtenportalen umgeben sind – mit Lokalnachrichten, Sportmeldungen und dazwischen einem freundlichen Artikel über genau jene Kanzlei, die gerade Insolvenzware verkaufen will.

Die Grundmasche ist alt und auch bei uns mehrfach beschrieben. Kriminelle geben sich als Insolvenzverwalter oder Treuhänder aus, bieten Restposten aus angeblichen Insolvenzverfahren an und verlangen Vorkasse auf ein „Treuhandkonto“. Neu ist die Fassade drumherum. Sie soll dafür sorgen, dass die Recherche, mit der man den Betrug erkennen könnte, ihn stattdessen bestätigt.

Eine Firma, die es gibt – und eine Kanzlei, die es nicht gibt

Ausgangspunkt der Watchlist-Analyse ist die Domain treuhand-fides.com. Sie steht in E-Mails, mit denen angebliche Insolvenzmasse zu auffällig günstigen Preisen angeboten wird. Wer die Adresse aufruft, findet die umfangreiche Website einer Treuhandkanzlei, die nach eigener Darstellung seit 2019 Insolvenzverfahren führt, Sanierungen begleitet und Vermögenswerte verwahrt. Das Impressum ist vollständig, die Daten lassen sich nachschlagen. Nur gehören sie einer anderen Firma.

Die Watchlist spricht von Impressumsdiebstahl: Adresse, UID-Nummer und Handelsregisternummer stammen von der real existierenden Fides Gamma GmbH, die mit alldem nichts zu tun hat. Nach Einschätzung der Watchlist suchen die Betreiber in der Vorbereitung gezielt nach seriösen Unternehmen ohne eigene Website, weil sich diese Lücke am einfachsten besetzen lässt. Eine Bedingung ist das allerdings nicht, wie ein zweiter Fall zeigt, zu dem wir gleich kommen.

Was die echte Fides Gamma GmbH tatsächlich ist, lässt sich nachlesen – nur nicht auf treuhand-fides.com. Die NORD/LB führt sie in ihren Geschäftsberichten als eine von zwei Treuhandgesellschaften der Sparkassen-Finanzgruppe, die seit der Kapitalstärkung der Landesbank 2019 einen Anteil von rund 12 bis 13 Prozent an der Bank halten. Laut Handelsregister entstand die Gesellschaft im Mai 2019 aus einer Vorratsgesellschaft; als Unternehmensgegenstand ist das Eingehen von Beteiligungen und die Übernahme von Aufgaben „auch im Wege der Treuhand“ eingetragen, erlaubnispflichtige Bankgeschäfte ausdrücklich ausgenommen. Von Insolvenzverwaltung, Sanierung oder dem Verkauf von Warenbeständen steht dort nichts. Das „seit 2019“ auf der Fake-Seite ist also korrekt abgeschrieben, die Kanzlei drumherum ist erfunden.

Der Screenshot zeigt, wie durchdacht die Fassade ist. Ganz oben steht die Handelsregisterangabe samt Berliner Adresse – die Daten der echten Firma. Es gibt einen „Mandantenbereich“, einen Menüpunkt „Karriere“ und den Hinweis, Zahlungen liefen „nur über das Anderkonto“. Und unten, prominent als „In den Medien“, die beiden Artikel: der von „Zeit Frankfurt“ mit dem Datum 19.10.2025, der vom „Ratgeber Treuhand & Business“ vom 26.08.2026 unter dem Titel „FIDES Gamma GmbH Erfahrung: Insolvenzware sicher kaufen“. Das ist kein zufälliger Titel. „Firmenname Erfahrung“ ist genau die Suchanfrage, die ein skeptischer Empfänger bei Google eintippt – und der Artikel ist darauf gebaut, dann gefunden zu werden.

Und wenn man dann googelt?

Zum Zeitpunkt der Watchlist-Analyse führten die beiden Links auf der Startseite der falschen Kanzlei zu koelner-zeit.de, Titel „Anderkonto statt Handschlag: Wie die Fides Gamma GmbH Insolvenzmasse zu Geld macht“, und zu zeit-frankfurt.de: „Insolvenzwaren kaufen: Wie der Erwerb über die Fides Gamma GmbH abläuft“. Bei unserem Abruf am 5. September war der Kölner Link durch den Artikel des „Ratgeber Treuhand & Business“ vom 26. August ersetzt – der Medienkasten wird also gepflegt wie ein Schaufenster. Beide Zeitungen geben sich als Regionalblätter aus. Die „Kölner Zeit“ liefert laut Eigenbeschreibung seit 2022 unabhängige Nachrichten aus Köln und bietet, was man von einer Lokalzeitung erwartet: Gastrokritiken, Straßenfeste, Chronik, Sport. Ein Artikel vom 6. August behandelt sogar Probleme der Schifffahrt wegen des niedrigen Rheinpegels. Die „Zeit Frankfurt“ macht dasselbe, nur etwas eleganter aufgemacht.

Der Zweck dieser Konstruktion liegt auf der Hand, und die Watchlist benennt ihn: Wenn eine Zeitung darüber berichtet, wird es schon stimmen. Wer den Firmennamen sucht, findet nicht nur die Kanzlei, sondern auch Medien, die sie positiv erwähnen. Belegen lässt sich der Zusammenhang der beiden Portale nur indirekt – laut Watchlist wurden beide Domains zuletzt am 21. Juli 2026 aktualisiert, was nahelegt, dass dieselbe Gruppe dahintersteht. Bewiesen ist das nicht, aber es passt zum Gesamtbild.

Wer im Impressum der Zeitungen steht

Wer bei den Portalen bis zum Impressum klickt, wird nicht enttäuscht. Beide nennen eine Anbieterkennzeichnung nach DDG, Registergericht, Handelsregisternummer, einen presserechtlich Verantwortlichen nach Medienstaatsvertrag; eines verweist sogar auf die Aufsicht durch die Landesmedienanstalt und auf eine Korrekturrichtlinie. Die genannten Firmen existieren. Hinter „Zeit Frankfurt“ steht laut Impressum eine Frankfurter Produktionsfirma, die nach öffentlich zugänglichen Registerdaten und ihrem eigenen Webauftritt für eine Hip-Hop-Castingshow bekannt ist. Hinter „Ratgeber Treuhand & Business“ steht eine 2004 eingetragene Berliner GmbH, deren Unternehmensgegenstand laut Register Handel, Beratung für Mittel- und Osteuropa und die Organisation von Seminaren umfasst. Ein Stadtmagazin mit Apfelwein-Ressort und Wochennewsletter, herausgegeben von einer Castingshow-Produktion – das hält einer zweiten Prüfung nicht stand, einer ersten aber sehr wohl.

Es ist exakt das Muster, das die Watchlist bei der Kanzlei beschrieben hat, nur eine Ebene höher: Die Fassade hat selbst eine Fassade. Ob die beiden Unternehmen wissen, dass ihre Daten dort stehen, konnten wir bisher nicht klären. Nach allem, was dieser Fall zeigt, sind sie mit hoher Wahrscheinlichkeit die nächsten Bestohlenen, keine Beteiligten. Wir nennen sie deshalb nicht.

Das dritte Portal geht noch einen Schritt weiter, und zwar in die Offenheit. Die „Kölner Zeit“ – „Unabhängige Nachrichten aus Köln · seit 2022“, am 5. September 2026 bei „Ausgabe Nr. 244“, im Fußbereich „sieben Redakteurinnen und Redakteure, sieben Ressorts“ – nennt im Impressum eine GmbH aus Bergisch Gladbach mit Kölner Handelsregisternummer. Darunter steht ein Absatz, den man zweimal lesen muss: Die auf der Redaktionsseite genannten Redakteurinnen und Redakteure seien „Ressortrollen, keine natürlichen Personen“, ihre Porträts KI-generiert und bildeten niemanden ab, den es gibt. Sämtliche Bilder der Website seien KI-generiert, illustrierten das Thema, dokumentierten „aber keine konkrete Szene“ und seien „keine Belege für den Inhalt eines Beitrags“. Im selben Impressum heißt es, die Beiträge seien recherchiert. Auf genau dieser Seite erschien laut Watchlist die Reportage „Anderkonto statt Handschlag“ über die Fides Gamma GmbH – ein Bürobesuch bei einer Kanzlei, die es nicht gibt, geschrieben von einer Redaktion, die es laut eigenem Impressum ebenfalls nicht gibt.

Die Artikel selbst tragen das Übrige bei. Der Text auf zeit-frankfurt.de ist als Reportage angelegt: Besuch im Berliner Büro, zwei Fotos mit dem Nachweis „Foto: Zeit Frankfurt“, Zitate zweier namentlich genannter Männer, die als Geschäftsführer und Verwertungsleiter vorgestellt werden. Der Beitrag auf ratgeber-treuhand-business.de geht einen Schritt weiter. Die Redaktion habe im August 2026 selbst Laptops aus einer Insolvenzmasse bestellt, über das Anderkonto bezahlt und nach zwei Wochen erhalten; der Kauf wird ausdrücklich auch Privatkäufern empfohlen, verlinkt ist treuhand-fides.com. Ein Medium, das seinen Lesern eine Bezugsquelle testet und anpreist, schreibt keinen Artikel. Es schaltet eine Anzeige. Beide Texte nennen dieselben Geschäftsführer der Kanzlei – und die Namen stimmen mit den im Handelsregister eingetragenen Geschäftsführern der echten Fides Gamma GmbH überein. Die Betreiber haben also nicht nur Adresse und Registernummer übernommen, sondern auch die Namen zweier realer Personen, denen Zitate, ein Bürobesuch und ein Fachgebiet angedichtet werden, mit dem sie beruflich nichts zu tun haben. Wir nennen die Namen deshalb nicht.

Ein Kölner Unternehmen bestätigt das Muster

Die Watchlist-Analyse ist nicht die einzige Quelle. Die Quentin Treuhand GmbH aus Köln, eingetragen beim Amtsgericht Köln unter HRB 96674, warnt auf ihrer eigenen Website vor einem Identitätsdiebstahl, der demselben Schema folgt. In ihrem Namen würden Listen mit angeblicher Insolvenzware verschickt; die Website treuhand-gmbh.com verwende Firmenname, Anschrift und Handelsregisternummer ohne Zustimmung. Und als vermeintliche „Medienberichte“ verlinke diese Seite auf zeit-frankfurt.de und ratgeber-treuhand-business.de – also auf zwei jener Portale, die auch die Watchlist dem Netzwerk zurechnet.

Das Unternehmen betreibt eine eigene Website unter quentin-treuhand.de. Die Watchlist-Beobachtung, dass bevorzugt Firmen ohne Webauftritt kopiert werden, gilt also nicht durchgehend. Was die Quentin Treuhand GmbH außerdem beschreibt, deckt sich mit der bekannten Masche: Vorkasse auf ein „Treuhandkonto“, Aktenzeichen angeblicher Insolvenzverfahren, die beim Amtsgericht Köln nicht existieren, sowie Telefonnummern und Mailadressen, die nicht zur Firma gehören. Das Unternehmen erklärt, weder Waren aus Insolvenzverfahren zu verkaufen noch ein Treuhandkonto oder ein „Mandantenportal“ zu betreiben, und hat nach eigenen Angaben Anzeige bei der Polizei erstattet.

Ein Detail verdient Beachtung, weil es zeigt, wie das Netzwerk weiterarbeitet. Am 5. August 2026 wurde laut dem Unternehmen zusätzlich die Domain quentin-treuhand.com registriert – der echte Firmenname, nur mit .com statt .de. Nach den technischen Feststellungen der Firma wird sie von denselben Betreibern kontrolliert wie treuhand-gmbh.com; eine Website gebe es dort nicht, vorbereitet werde ausschließlich der Versand von E-Mails. Die Firma rechnet deshalb damit, dass künftige Betrugsmails von Adressen mit dieser Endung kommen. Diese Zuordnung stammt vom betroffenen Unternehmen selbst; unabhängig prüfen konnten wir sie nicht. Sie ist aber plausibel und für Empfänger praktisch relevant: Wer die Endung nicht Zeichen für Zeichen liest, sieht keinen Unterschied.

Wie gut die Tarnung funktioniert, beschreibt das Verbraucherportal investmentcheck.de, das den Fall am 5. August 2026 dokumentiert hat: Wer bei Google nach „Quentin Treuhand“ suchte, bekam demnach als ersten Treffer die Fake-Seite treuhand-gmbh.com angezeigt, nicht die echte Website des Unternehmens. Und die Betreiber wehren sich offenbar gegen Aufklärung. Nachdem Leser auf investmentcheck.de vor dem Betrug gewarnt hatten, wurde laut dem Portal bei Google beantragt, die Warnseite aus der Suche zu entfernen – unter einem Namen, dessen tatsächliche Existenz investmentcheck bezweifelt. Ein von der Quentin Treuhand GmbH beauftragter IT-Dienstleister wird dort mit der Einschätzung zitiert, dass fünf Wochen nach der Strafanzeige jeder Sperr- und Löschantrag von privater Seite gekommen sei, während die Täter ihre Infrastruktur nach jeder Meldung binnen Tagen umbauten; in Deutschland fehle einer Behörde schlicht der gesetzliche Auftrag, laufende Betrugsinfrastruktur stillzulegen. Das ist die Sicht eines Beteiligten. Sie erklärt aber, warum ein solches Netz wochenlang sichtbar bleiben kann, obwohl das Opfer alles Naheliegende getan hat.

Das Netz verkauft nicht nur Insolvenzware

Auf den Fake-Portalen erscheinen nicht nur Artikel über Treuhandkanzleien. Die Watchlist nennt fünf weitere Domains, die sich als IT-Anbieter und Unternehmensberatungen präsentieren: arl-beratung.de, ber-beratung.de, sgg-beratung.de, kors-beratung.de und hgr-gmbh.de. Deren Kern sind laut Watchlist vermeintliche Stellenangebote, über die teils sensible Daten von Bewerberinnen und Bewerbern gesammelt werden – Daten, die später für andere Betrugsmaschen eingesetzt werden. Auch hier dienen Impressumsdaten real existierender Firmen als Tarnung. Dass zwei dieser angeblichen Agenturen denselben Slogan verwenden und dieselben Mitarbeiter abbilden, hat die Watchlist mit einer Gegenüberstellung der Startseiten dokumentiert.

Wie das konkret aussieht, zeigt hgr-gmbh.de, eine der fünf genannten Seiten. Die Firma präsentiert sich als eigentümergeführte Beratung aus Kiel, „seit 2004“, und trägt auf der Startseite denselben Kasten wie die Kanzlei: „Aus den Medien bekannt“, darunter „Zeit Frankfurt“ mit einem Unternehmensporträt vom 14.11.2025 und der „Ratgeber Treuhand & Business“ mit „HGR Unternehmensberatung GmbH: Erfahrung Kiel“ vom 12.08.2026. Auch hier gilt: Eine HGR Unternehmensberatung GmbH mit dieser Adresse und dieser Registernummer existiert wirklich – laut Registerdaten ein Kleinstunternehmen mit einem einzigen Geschäftsführer, der zugleich alleiniger Gesellschafter ist. Das Fake-Impressum nennt seinen Namen. Mit der Website, dem darauf abgebildeten Team und den ausgeschriebenen Stellen hat das echte Unternehmen nach allem, was wir sehen, nichts zu tun. Die Medienportale bedienen also beide Schichten des Netzes, Kanzlei und Beratungen. Auf der Teamseite stehen drei Personen mit Porträt, Namen und Funktion. Eine Rückwärtssuche zum Foto der „Teamleiterin“ liefert genau einen weiteren Treffer: die Teamseite von eilers-gmbh.com, ebenfalls eine Unternehmensberatung, ebenfalls aus Kiel. Dort arbeitet dieselbe Frau unter demselben Namen in derselben Funktion, und neben ihr derselbe „HR & Recruiting“-Mitarbeiter wie bei HGR. Eilers kommt in der Netzwerk-Analyse der Watchlist nicht vor, steht aber seit dem 16. Juli 2026 auf deren Warnliste betrügerischer Jobangebote – als eigener Eintrag, ohne Verbindung zu den übrigen Seiten. Die Verbindung liefert das Foto. Zwei identische Porträts mit identischen Namen auf zwei angeblich unabhängigen Firmenseiten sind aber kein Zufall, sondern derselbe Baukasten – und dass ausgerechnet die Recruiting-Figur doppelt vorkommt, passt zum Zweck dieser Seiten.

Wer auf den Fotos zu sehen ist, lässt sich nicht sagen. Außer auf den beiden Seiten des Netzes fand die Rückwärtssuche das Bild nirgends – was zu generierten Porträts passen würde, aber kein Beweis dafür ist. Ob die Namen realen Personen gehören, wissen wir ebenso wenig. Deshalb zeigen wir die Gesichter nicht.

Bei der Prüfung dieser Seiten tauchte ein drittes Portal auf: ratgeber-treuhand-business.de, thematisch stärker auf Finanzen ausgerichtet als die beiden „Regionalzeitungen“. Dort sind laut Watchlist sämtliche genannten Kanzleien, IT-Anbieter und Berater vertreten. Es ist dasselbe Portal, das die Quentin Treuhand GmbH unabhängig davon als angebliche Medienquelle auf der gegen sie gerichteten Fake-Seite nennt.

Wen das betrifft – und wen bislang nicht nachweisbar

Die konkret dokumentierten Firmenidentitäten stammen aus Deutschland, die betrügerischen Angebote und Portale sind deutschsprachig, und auch die erfundenen Aktenzeichen beziehen sich auf ein deutsches Amtsgericht. Gefährdet sind damit vor allem Unternehmen und gewerbliche Einkäufer, denen günstige Restposten angeboten werden, sowie Jobsuchende, die auf eine der Beratungsfirmen stoßen. Die Analyse stammt von einer österreichischen Einrichtung, die Seiten sind deutschsprachig, eine Verbreitung im ganzen deutschsprachigen Raum ist also möglich. Eine konkrete Häufung in Österreich oder der Schweiz ist derzeit nicht belegt, und Zahlen zu Opfern oder Schäden nennt keine der beiden Quellen. Wir wollen das nicht mit Schätzungen füllen.

Was die übliche Warnung nicht mehr abdeckt

„Prüfen Sie das Impressum“ ist ein guter Rat, der hier ins Leere läuft. Das Impressum ist echt, nur geklaut. Auch ein Handelsregistereintrag beweist in diesem Fall nichts über die Website, auf der er steht, und positive Suchtreffer sind Teil der Inszenierung. Was hilft, sind Kontaktdaten, die man unabhängig vom Angebot recherchiert hat – etwa Registerdaten zur Überprüfung der Firma und Telefonnummern von einem bereits bekannten offiziellen Webauftritt oder einer anderen vertrauenswürdigen Quelle, nicht die aus der E-Mail und nicht die von der verlinkten Website. Wer über unabhängig recherchierte Kontaktdaten nachfragt, kann direkt klären, ob das Angebot tatsächlich von der Firma stammt. Die Quentin Treuhand GmbH etwa beantwortet diese Frage auf ihrer Website ausdrücklich mit Nein.

Bei Stellenangeboten gilt dasselbe in die andere Richtung. Ausweiskopien, Bankverbindungen und andere persönliche Dokumente gehören erst zu einem Arbeitgeber, dessen Existenz und Zuständigkeit man ohne die Angaben aus der Anzeige geprüft hat. Wer bereits Vorkasse geleistet hat, sollte sofort die Bank verständigen; die Watchlist weist darauf hin, dass sich solche Überweisungen meist nicht mehr zurückholen lassen, ein Versuch aber trotzdem lohnt. Anzeige bei der Polizei ist in beiden Fällen der nächste Schritt. Und wer Daten übermittelt hat, muss damit rechnen, dass sich die Absender wieder melden, diesmal mit einer anderen Geschichte.