Auf 19 Betrugsseiten stand 2022 das Logo von Zeit Online

Auf dem Bildschirm sieht die Seite aus wie eine Nachrichtenseite: oben der Schriftzug ZEIT ONLINE mit dem Wappen, darunter ein Sonderbericht über eine sichere Anlage, rechts drei Leserstimmen mit Gewinnsummen, unten ein Formular für Name und Telefonnummer. Wer es ausfüllt, bekommt einen Anruf. Die Seite gehört nicht zur ZEIT, und der Bericht ist erfunden.

Die öffentlichen Listen der kopierten deutschen Medien führen ZDF, RTL, VOX, Spiegel, Bild, Welt, Krone, Standard. Die ZEIT kommt darin so gut wie nicht vor. In den Scandaten steht sie zweimal: vier Monate lang 2022 sichtbar über 19 Adressen, und vier Jahre lang in der Schicht, die nur Maschinen lesen, im Seitentitel einer ZDF-Fälschung.

Der Köder trägt ein Logo aus dem Fernsehen#

Der Weg dorthin ist meist derselbe: eine Anzeige, ein Suchtreffer. Die Prominenten auf der Seite wissen nichts von ihrem Auftritt, und die Leser, die den Gewinn bestätigen, gibt es nicht.

Wer solche Seiten betreibt, kauft sie fertig. CORRECTIV hat den Handel im August 2025 vermessen und kam auf mindestens 26 erfundene Medien weltweit¹, von der „Neuen Berliner Zeitung“ bis zum „New York Mirror“. Ein einzelner Text erscheint dort ab 15 US-Dollar, ein Paket für den deutschen Markt kostet 45.000 Euro. Das Bundeskriminalamt zählte für 2025 rund 335.000 Fälle von Cybercrime im engeren Sinne² und 202,4 Milliarden Euro Schaden für die deutsche Wirtschaft. In dieser Summe steckt weit mehr als der Betrug mit gefälschten Nachrichtenseiten.

Ein einziges von 37 Dokumenten nennt die ZEIT, in Leserkommentaren#

Zwei Stränge laufen nebeneinander, die nicht dasselbe sind: staatsnahe Desinformation und kommerzieller Anlagebetrug. Gleiche Technik, verschiedene Zwecke.

Den ersten Strang beschrieben EU DisinfoLab und Qurium 2022 unter dem Namen „Doppelgänger“: mindestens 17 kopierte Medien³, 56 Domains im Anhang, darunter Bild, Spiegel, Welt, FAZ, Süddeutsche und t-online. Das Auswärtige Amt zählte 2024 in sechs Wochen mehr als 50.000 inauthentische Konten auswaertiges-amt.de ↗ auf X und über 1,8 Millionen automatisierte deutschsprachige Beiträge. Der zweite Strang läuft über den Verbraucherschutz: mimikama und Watchlist Internet listen seit 2019 ZDF, RTL, VOX, SAT.1, Der Spiegel, Der Standard und die Krone; die Polizeiliche Kriminalprävention nennt ZDF, RTL, VOX, ProSieben, ARD One, Bild und die taz.

37 dieser Dokumente aus 17 Institutionen, von 2019 bis 2026, liegen gesichert vor und wurden nach Markenformen durchsucht: zeit.de, Zeit Online, ZEIT als eigenständiges Wort, Zeitverlag; deutsche Komposita wie „Zeitstempel“ oder „die Zeitung“ zählen nicht mit. Ein einziges Dokument nennt die Marke: ein netzpolitik-Beitrag von 2020, und beide Treffer stehen dort in Leserkommentaren, die auf einen ZEIT-Artikel verweisen. In den übrigen 36 kommt sie nicht vor.

EU DisinfoLab schreibt, die Untersuchung sei auf Hinweisen anderer aufgebaut, „notably reports from T-Online and the Sueddeutsche Zeitung“. mimikama schreibt, die aufgeführten Medien seien „uns gemeldet“ worden. Beide Korpora beginnen bei einem Hinweis, und Hinweise entstehen vor dem Bildschirm.

Der Sonderbericht über Joachim Sauer lief unter dem ZEIT-Logo#

Zwischen dem 1. März und dem 22. Juni 2022 hielt der Scannerdienst urlscan.io 293 Scans auf 19 Hostnamen fest, die alle gleich gebaut sind: de.zeitonline, dahinter eine Wegwerfdomain. heredes.link, carthrow.link, pressrun.link und sechzehn weitere. 248 dieser Scans tragen den Titel „BREAKING“. 26 gesicherte Seitenkopien aus dieser Gruppe, verteilt über 16 Hostnamen und alle vier Monate, zeigen dieselbe Seite: den Schriftzug ZEIT ONLINE und daneben eine Navigation aus NEWS, MODE, PROMIS und UNTERHALTUNG, die es bei zeit.de nicht gibt.

Die Schlagzeile lautet in allen 26 Kopien gleich: „SONDERBERICHT: Joachim Sauer neuste Investition sorgt für Begeisterung bei Fachleuten und Angst bei den Großbanken“. Der Text beginnt mit der Ortsmarke „(ZEIT)“ und behauptet, der Chemiker habe bei „Late Night Berlin“ ein Vermögensschlupfloch angekündigt. Darunter steht eine Logoleiste „Wie Gesehen Bei“ mit ARD, Deutscher Welle und RT Deutsch, unten ein roter Balken „Aktivieren Sie mein Konto“. Das Datum über dem Artikel ist immer der Tag des Aufrufs, die Ankündigung immer von letzter Woche. Joachim Sauer ist Geschädigter dieser Seiten; das Zitat gibt es nicht. In einer Zeile blieb sogar die Vorlage stehen: Mitten im Text fordert plötzlich ein „Müller“ die Deutschen auf, die Gelegenheit zu nutzen.

Der Knopf führt zu einem Anmeldeformular namens „Gewinn code System“, das die übrigen Scans zeigen. Auf denselben Domains lagen zeitgleich Trichter für Bitcoin Profit, Bitcoin Lifestyle und Bitcoin Billionaire in sechs Sprachen; eine zweite Nachrichtenmarke kommt dort nicht vor. 222 der 293 Scans laufen über eine einzige Adresse bei Google Cloud, später kommen Hoster in Russland, Estland und China dazu. Wer die Seiten betrieb, sagt das nicht: Der Standort eines Servers benennt keinen Betreiber. In den 37 Dokumenten steht keine dieser 19 Adressen, und „Gewinn code System“ auch nicht.

Im Layout stand ZDF und im Seitentitel die ZEIT#

Drei Dateien liefert ein zweiter Baukasten zusammen aus: 8IWK09TS0713.css, 0VMH8T114VCN.css, EGEPSXGHGRBH.css. Eine Abfrage nach diesen Namen liefert 3.762 Scans auf 34 Domains, vom 3. Oktober 2019 bis zum 23. August 2023. In 63 dieser Scans hat urlscan überhaupt einen Seitentitel festgehalten. Diese 63 tragen genau einen Wert: „Zeit Online“. Die anderen 3.699 sagen zum Titel nichts.

Zu sehen war die ZEIT auf diesen Seiten nicht. Sie zeigen ZDF, RTL und VOX, eine erfundene „Bitcoin-Revolution“ und erfundene Leserstimmen; 98,4 Prozent aller Scans laufen unter Pfaden, die den Namen Oliver Welke tragen, und der Moderator ist Geschädigter der Fälschung. Die elf gesicherten Seitenkopien enthalten keine einzige Datei von zeit.de, dafür die Anweisung „robots: noindex“, mit der die Seite Suchmaschinen fernhält. So stand der Markenname an einer Stelle, die im Layout nicht vorkommt und die keine Suchmaschine indexieren sollte: in der maschinenlesbaren Schicht, die schon der Suchmaschinenoptimierung als Angriffsfläche diente⁴.

Ein Textbaustein verbindet beide Familien. Auf der ZEIT-Seite von 2022 steht: „Ich nutze Gewinn code System etzt seit etwas mehr als 2 Wochen, und habe mit meiner ursprünglichen Einzahlung von 250 € schon 5.802 € erzielt.“ Derselbe Satz steht mit demselben Tippfehler, demselben Betrag und derselben Unterschrift „Ernst Schneider, Cologne“ in zwölf gesicherten Kopien des ZDF-Baukastens; getauscht sind Produktname und Einzahlung. Ob dahinter dieselbe Werkstatt steht, ist damit nicht belegt, Textbausteine wandern in diesem Markt.

Ein Scan ist kein Besucher. Er belegt, dass jemand eine Adresse zur Prüfung eingereicht hat, und sonst nichts: keine Reichweite, keine Betriebsdauer. Der älteste Scan, am 3. Oktober 2019 auf einer Domain namens aktualisierenmedia.com, zeigt den Baukasten, aber keinen Titel. Für 2019 ist das Werkzeug belegt, der Name noch nicht.

Hinter Unsinnsdomains stand das echte zeit.de#

Dieselbe Abfrage zeigt den umgekehrten Fall. Im August 2025 tauchten binnen zwei Wochen ararjipo.shop, jibilonet.shop, diarrike.shop, zutabibi.space, zeexxuke.shop und lumlumrefa.shop auf, alle hinter Cloudflare, alle mit echtem ZEIT-Inhalt und dem exakten ZEIT-Seitentitel. Drei lieferten byte-identisches HTML aus, Prüfsumme 685c9cf. Einzelfälle desselben Musters reichen weiter zurück, garykpotter.store am 29. Mai 2022, barbaraosstanley.shop im Februar 2023, ednaoqaaustin.shop im Januar 2025. Auf namoladiz.com stand im März 2025 ein vollständiger ZEIT-Artikel ohne Bezahlschranke, samt der mitkopierten Google-Tag-Manager-Kennung des Verlags.

Diese Seiten spiegeln zeit.de, statt es zu fälschen. Wozu, ist offen; Werbeumgehung, Scraper-Frontend und Abo-Wäsche sind Vermutungen, belegt ist keine davon. Die gemeinsame Cloudflare-Adresse taugt dabei nicht als Indiz, sie bedient Hunderttausende Seiten. Sichtbar wird der Vorgang nur, weil der Scannerdienst mitschreibt, was Analysten und Maschinen als Leser⁵ bei ihm einreichen.

Die erfundenen Zeitungen bebildern sich bei stern.de und img.zeit.de#

Die letzten Scans des ZDF-Baukastens stammen vom August 2023. Im März 2026 stand ein neues Netz. Auf einem einzigen Server bei Linode liegen 30 erfundene Pressemarken: hamburgecho.de, oestpost.at, kapitalreport.ch und 27 weitere, zuletzt gesehen am 13. August 2026. Alle 30 laden dasselbe Zählskript von Yandex Metrica, und alle 30 holen ihre Bilder per Hotlink direkt bei den echten Redaktionen, von stern.de, welt.de, nzz.ch, krone.at und orf.at. Am 25. März 2026 luden deutschland-bericht.de und livefokus.de zwei Bilder von img.zeit.de: das Aufmacherbild eines Steinmeier-Gastbeitrags und eine Meldung über Darmkrebsvorsorge. Die Bilder liefern die echten Verlage aus, und sie bezahlen den Verkehr dafür. Ein Impressum hat deutschland-bericht.de nicht, dafür rund 45 plausible Schlagzeilen.

Jeder Aufruf eines dieser Portale schreibt eine Zeile in das Zugriffsprotokoll des echten Verlags. Keine der sechs geprüften Seiten setzt eine Referrer-Regel, also überträgt der Browser die Herkunft: Im Protokoll von img.zeit.de steht die Adresse der Fälschung. Ein Klick ist dafür nicht nötig. In den geprüften Dokumenten kommt dieser Weg nicht vor.

Beschlagnahmen halten nicht, das Markenrecht hält#

Die naheliegende Gegenmaßnahme ist die Beschlagnahme der Domain. Sie wirkt oft nur kurz. Das DFRLab überschrieb seine Nachuntersuchung im Oktober 2024 mit „Doppelganger Websites Persist One Month Following U.S. Government Seizures“. DomainTools verfolgte, wie der Betrieb von rrn[.]media auf rrn[.]so umzog und den Namen mitnahm. Recorded Future nennt Störmaßnahmen „at least partial“, ihre Wirkung „often temporary“.

Ein Weg hält. Im Oktober 2023 musste der Registrar NameCheap nach einer Entscheidung der WIPO die Domain diplomatie.gouv[.]fm an den französischen Staat herausgeben; seither, schreibt EU DisinfoLab, haben ähnliche Entscheidungen weitere Doppelgänger-Domains an ihre rechtmäßigen Inhaber zurückgegeben.

Dieser Weg setzt eine erkennbar benutzte Marke voraus. Für die 19 Adressen von 2022 war sie das: Das Logo stand über jedem Absatz. Gemeldet hat sie trotzdem niemand, jedenfalls steht in keinem der 37 Berichte ein Wort davon. Für den Seitentitel unter dem ZDF-Layout greift der Weg gar nicht erst, denn dort sieht den Namen weder ein Leser noch ein Faktenchecker noch ein Schiedsgericht. So bleibt beides liegen: das eine, weil es niemand gemeldet hat, das andere, weil es niemand sieht.

Der Befund ordnet keine Seite einem Betreiber zu und nennt keine Opferzahl. Er misst außerdem Berichte, nicht Häufigkeit: Wie oft die ZEIT wirklich kopiert wurde, sagen diese Dokumente nicht. Eine Anfrage an den Zeitverlag ist gestellt und unbeantwortet; bis dahin steht hier nichts über den Verlag. Nachprüfbar ist das Material: 332 gesicherte Artefakte mit vollständiger Adresse, Zeitstempel und Prüfsumme, also Belege, die ein Screenshot nicht liefert⁶. Die 19 Adressen von 2022 sind längst tot. Ihre Seiten liegen im Scanarchiv, und dort liest sie niemand.

Eigene Erhebung, 20. und 21. August 2026, über den Suchindex von urlscan.io; keine der genannten Seiten wurde dafür aufgerufen. Zahlen und Zitate: CORRECTIV („Ein Medienimperium aus Luftschlössern“, 06.08.2025), Bundeskriminalamt (bka.de, Pressemitteilung zum Bundeslagebild Cybercrime, 12.05.2026), EU DisinfoLab und Qurium („Doppelganger“, 09/2022), Auswärtiges Amt (auswaertiges-amt.de, Technischer Bericht, 05.06.2024), HarfangLab (2025), Recorded Future („Stimmen aus Moskau“, 02/2025), DomainTools (2026), DFRLab (09.10.2024), mimikama (2019), Watchlist Internet, Polizeiliche Kriminalprävention (09.01.2025), netzpolitik.org (2020), Bayerisches Landesamt für Verfassungsschutz (07/2024). Betrugs- und Klon-Domains sind nicht verlinkt.