Fake-Insolvenzverwertung: Gold, Lamborghinis und Bagger - die Täter hinter dem DKB-Katalog sind zurück

Ein Kilo Heraeus-Gold, ein Lamborghini Revuelto, ein Liebherr-Kettenbagger und ein Fendt-Traktor. Alles aus einer „Insolvenzverwertung“, alles in einem PDF, alles sofort verfügbar. Die Mail dazu hat genau zwei Sätze. Wer hier mitliest, kennt den Absender schon: Es sind dieselben Leute, die Anfang Oktober als falsche DKB 113 Autos verkaufen wollten. Neue Domains, neue Story, gleiche Empfängerliste.

Domains und Adressen der Täter sind defangt ([.], [@]), damit nichts aus Versehen angeklickt wird.

Die Mail: zwei Sätze und ein Doktortitel

Betreff: „Derzeitig verfügbarer Bestand“. Absender: ein „Dr.“ mit Allerweltsnamen, Adresse <name>[@]freemanagement[.]de. Der komplette Text:

Sehr geehrte Damen und Herren, im Anhang unsere verfügbaren Positionen.

Dann Grußformel, Name, Tel.: +49 211 94289893. Keine Firma, keine Anschrift, kein Wort dazu, wer hier eigentlich was verwertet. Die DKB-Mail vor zwei Wochen hatte wenigstens noch eine geklaute Bankadresse in der Signatur. Diesmal hat sich niemand mehr die Mühe gemacht.

Woran man die Täter wiedererkennt

Technisch ist die Mail wieder makellos. Versand über Amazon SES aus Irland, DKIM-signiert für freemanagement[.]de, die Domain ist im SES-Account der Täter verifiziert. SPF pass, DKIM pass, DMARC pass. Antworten landen über Cloudflare Email Routing in einem Postfach, das wir nicht sehen. Ein Link fehlt komplett. Euer Mailfilter hat hier nichts zu greifen.

Die Wiedererkennung läuft über die Details. Verschickt wird wieder mit Listmonk, einem Open-Source-Newsletter-Tool. Jeder Empfänger bekommt dort eine zufällige Kennung, die im Header X-Listmonk-Subscriber mitreist. Diese Kennung ist dieselbe wie in der DKB-Mail. Das heißt: dieselbe Listmonk-Datenbank, dieselbe Empfängerliste. Und weil das Template immer noch kaputt ist, steht diese ID auch diesmal im Klartext unter der Mail, direkt über dem „Abmelden“ ohne Link.

Die Domains drumherum rotieren. Die Listmonk-Oberfläche lief Anfang Oktober auf rekaliu-gmbh[.]de, inzwischen auf cn-marketing[.]com. Das ist eine alte Domain mit Historie bis 2015, im April neu registriert und erst im Oktober zu Cloudflare umgezogen. Alle diese Domains nutzen dasselbe Cloudflare-Nameserver-Paar. In meinem Postfach liegen aus der Woche dazwischen zwei weitere Kataloge an dieselbe Kennung, einmal als „Porsche Stuttgart“, einmal als „BANK11“. Die Täter wechseln wöchentlich das Kostüm, aber nicht die Kundenliste.

Immerhin: freemanagement[.]de steht bei VirusTotal schon bei 6 von 92 Engines auf „Phishing“ oder „malicious“. Das PDF bei 0 von 63. Da ist ja auch nichts drin.

Der Katalog: neu gedruckt, alt gerechnet

„VERWERTUNGSKATALOG 2026 - Insolvenzverwertung - Anlagegold. Fahrzeuge. Maschinen.“ 117 Seiten, 112 Positionen. Drei Heraeus-Goldbarren, sieben Lamborghini zwischen 195.000 und 383.000 Euro, 81 Pkw von Audi bis Škoda, 21 Bagger, Radlader, Teleskoplader und Traktoren. Jede Seite mit Foto, Ausstattungsliste und Fahrgestellnummer. Sieht nach Arbeit aus. War es nicht.

Im PDF steckt wieder ein C2PA-Manifest, ein Herkunftsnachweis, den OpenAI an Dateien aus ChatGPT hängt:

claim_generator: ChatGPT
digitalSource:   trainedAlgorithmicMedia
softwareAgent:   gpt-6.1-sol-wm
when:            2026-10-22T11:04:24Z

Erstellt um 13:04 Uhr deutscher Zeit, verschickt um 17:44 Uhr. Der Katalog war keine fünf Stunden alt, als er im Postfach lag. Beim DKB-Fake lag zwischen Erstellung und Versand noch über eine Woche. Die Signatur habe ich wie beim letzten Mal nicht kryptografisch geprüft, die Struktur ist aber stimmig.

Dann der Abgleich mit dem DKB-Katalog. 73 Preise sind centgenau identisch. Der Audi R8 Spyder kostet wieder 66.274,50 Euro, der RS3 Sportback wieder 20.904,90 Euro, der e-tron S wieder 21.394,50 Euro. Die Fotos sind neu gerendert, die Zahlen nicht. Die Täter haben also eine Fahrzeugdatenbank, aus der sie pro Woche einen neuen Katalog im passenden Branding erzeugen lassen. Diesmal noch mit Gold und Baumaschinen obendrauf, damit sich auch der Bauunternehmer und der Landwirt angesprochen fühlen.

Das Gold verrät die Rechenarbeit: 250 Gramm für 25.700 Euro, 500 Gramm für 51.400, ein Kilo für 102.800. Genau 102,80 Euro pro Gramm, egal welche Größe. Im echten Handel ist das Gramm im kleinen Barren etwas teurer als im Kilobarren. Hier hat jemand einen Grammpreis mal Gewicht gerechnet und „LBMA-Zertifizierung laut Unterlagen“ danebengeschrieben.

Was im ganzen Katalog fehlt: der Name der insolventen Firma, das Insolvenzgericht, ein Aktenzeichen, ein Insolvenzverwalter. Also alles, was eine echte Verwertung ausmacht.

Was die eigentlich wollen

Eine Überweisung vorab. Die Mail ist nur der Türöffner. Wer antwortet oder in Düsseldorf anruft, bekommt erfahrungsgemäß einen freundlichen Ansprechpartner, einen Kaufvertrag mit Fantasie-Aktenzeichen und die Bitte um Zahlung vor Übergabe. Begründet wird das gern mit dem Insolvenzverwalter oder einem Treuhandkonto. Eine Besichtigung klappt dann aus irgendeinem Grund nie.

Diesen Teil zeigt die Mail selbst nicht, er läuft im Dialog. Das Ende ist trotzdem absehbar: Das Geld geht auf ein Durchlaufkonto und ist weg, Bagger und Lamborghini hat es nie gegeben. Die Nettopreise bei den Maschinen und „MwSt. ausweisbar“ bei den Autos zeigen, wer zahlen soll: Firmen. Bei Positionen zwischen 11.000 und 383.000 Euro reicht ein einziger Treffer.

Woran ihr es erkannt hättet

Keine Insolvenz ohne Insolvenzverfahren. Echte Verwertungen nennen Schuldner, Gericht und Aktenzeichen. Hier steht nichts davon, nicht in der Mail und nicht auf 117 Seiten PDF.

Ein Katalog von niemandem. Keine Firma, keine Anschrift, kein Impressum. Nur ein Name mit Doktortitel und eine Domain, die nach Firma klingt.

Die Preise. Ein Audi RS3 für knapp 21.000 Euro ist kein Insolvenzschnäppchen, sondern ein Köder.

Zwei Sätze für 112 Positionen. Wer Gold, Supersportwagen und Baumaschinen verkauft, schreibt mehr als „im Anhang unsere verfügbaren Positionen“.

Die Empfänger-ID im Footer. Eine lange Zeichenkette über „Abmelden“ ohne Link ist ein kaputtes Newsletter-Template. Seriöse Verwerter verschicken keine Rundmails mit Massenmail-Software an Unbekannte.

Was ihr tun könnt

Insolvenzangebote gegenprüfen. Fragt nach Schuldner, Gericht und Aktenzeichen und prüft das auf insolvenzbekanntmachungen.de. Den Verwalter kontaktiert ihr über seine Kanzlei-Website, nicht über die Nummer aus der Mail.
Keine Vorkasse für Ware, die ihr nicht gesehen habt. Fahrzeuge und Maschinen nur nach Besichtigung, Zahlung Zug um Zug bei Übergabe, Papiere im Original.
Vier Augen bei Erstzahlungen. Jede Überweisung an einen neuen Empfänger über einem festen Betrag braucht eine zweite Freigabe und einen Rückruf über eine selbst recherchierte Nummer. Das hilft auch gegen Rechnungsbetrug.
Grüne Haken richtig lesen. SPF, DKIM und DMARC sagen nur, dass die Mail wirklich von dieser Domain kommt. Ob dahinter eine echte Firma steht, sagen sie nicht. Wie eine Domain aufgestellt ist, zeigt euch der Mail-Check hier auf der Seite, den Rest erledigen Impressum und Handelsregister.
Einkauf und Geschäftsführung briefen. Den Screenshot oben ins Team schicken, mit einem Satz dazu: „Schnäppchenkatalog als PDF von Unbekannt ist Betrug, bis das Gegenteil bewiesen ist.“

Fazit

Zweite Runde, gleiche Masche, weniger Aufwand. Die Täter lassen sich ihre Kataloge inzwischen am Versandtag von ChatGPT bauen, kopieren die Preisliste aus der Vorwoche und tauschen nur Domain und Story. Technisch ist das nicht zu fangen. Erkennen kann man es nur, wenn man fragt, wer hier eigentlich insolvent sein soll. Darauf hat der Katalog auf 117 Seiten keine Antwort.

Im Mail-Screenshot und im Text sind neben der Empfängeradresse auch der Personenname in Absender und Signatur sowie die Empfänger-ID im Footer unkenntlich gemacht. Ob der Name zu einer realen Person gehört, ist unbekannt. Eine echte Person soll nicht mit der Kampagne in Verbindung gebracht werden.