Porsche verkauft Gebrauchtwagen per Rundmail? Nein - das ist die nächste Runde des KI-Katalog-Betrugs

Samstagnachmittag, 18:29 Uhr. „Porsche Stuttgart“ schickt mir eine „Fahrzeugliste unserer Kundenaufträge“. 39 Porsche, vom Macan bis zum 968 Turbo S, alles im Kundenauftrag zu verkaufen, Anfragen in der Reihenfolge des Eingangs. Unterschrieben vom Leiter Verkauf der Dr. Ing. h.c. F. Porsche AG, mit Vorstand, Handelsregister und USt-IdNr. Nur die Absenderadresse endet nicht auf porsche.de. Wer hier mitliest, ahnt es schon: Das sind wieder die Leute hinter dem falschen DKB-Fahrzeugkatalog.

Domains und Adressen der Täter sind defangt ([.], [@]), damit nichts aus Versehen angeklickt wird.

Die Mail: diesmal mit Mühe

Die DKB-Mail Anfang Oktober hatte zwei Sätze. Diese hier hat einen richtigen Text:

Die Verfügbarkeit der Fahrzeuge ist begrenzt. Aufgrund der erfahrungsgemäß hohen Nachfrage bearbeiten wir Anfragen in der Reihenfolge ihres Eingangs [...] Bei konkretem Kaufinteresse nennen Sie uns bitte die Angebotsnummer des gewünschten Fahrzeugs und Ihre vollständigen Kontaktdaten.

Fehlerfrei, höflich, mit „Zwischenverkauf vorbehalten“. Darunter das komplette Impressum der Porsche AG: Anschrift Porscheplatz 1, sieben Vorstandsmitglieder, Amtsgericht Stuttgart, HRB-Nummer, Umsatzsteuer-ID. Das sieht alles aus wie vom echten Impressum abgeschrieben. Genau das ist der Trick: Jedes Detail stimmt, nur die Kontaktwege nicht.

Davon gibt es übrigens drei. Absender ist <name>[@]rekaliu-gmbh[.]de. In der Signatur steht <name>[@]porsche-stuttgart-kundenauftrag[.]de. Und im PDF auf jeder Seite info[@]gebrauchtwagen-porsche[.]de. Keine davon gehört Porsche.

Technik: grüne Haken, gleiche Handschrift

Die Mail kommt über Amazon SES, diesmal aus der Region Ohio statt Irland. DKIM-signiert für rekaliu-gmbh[.]de, SPF pass, DMARC pass. Euer Mailfilter sieht eine sauber authentifizierte Mail einer gealterten Domain ohne Link. Da gibt es nichts zu blocken.

Die Wiedererkennung läuft wieder über Listmonk, ein Open-Source-Newsletter-Tool. Es gibt jedem Empfänger eine zufällige Kennung, die im Header X-Listmonk-Subscriber mitreist. Diese Kennung ist identisch mit der aus der DKB-Mail und aus einem weiteren Katalog vom 22.10. Also dieselbe Datenbank, dieselbe Empfängerliste.

Spaßig ist die Domain-Rotation. rekaliu-gmbh[.]de war beim DKB-Fake noch die Adresse der Listmonk-Oberfläche. Jetzt ist sie Absender. Die Listmonk-Oberfläche ist auf pitonak-marketing[.]de umgezogen. Alle diese Domains hängen am selben Cloudflare-Account, erkennbar am gleichen Nameserver-Paar. Die Täter schieben ihre Domains also zwischen den Rollen hin und her wie Schachfiguren.

Neu ist der Rückkanal. Bisher landeten Antworten per Cloudflare-Weiterleitung irgendwo im Dunkeln. porsche-stuttgart-kundenauftrag[.]de hat dagegen ein echtes Postfach bei Zoho Mail. Die Domain wurde am 5. Oktober registriert, zwölf Tage vor dem Versand. Wer antwortet, schreibt also direkt in ein Täterpostfach mit Markennamen in der Adresse.

Der Katalog: KI-Fabrik mit Nachbearbeitung

41 Seiten, 39 Porsche, Preise von 50.743 bis 416.500 Euro. Jede Seite mit Front-, Seiten- und Heckansicht, Fahrgestellnummer, Erstzulassung, Kilometerstand und zwanzig Ausstattungspunkten. Gesetzt in Porsche Next, der Hausschrift von Porsche, als eingebetteter Font. Dazu ein Hinweis auf die optionale Porsche-Approved-Garantie mit Preisen pro Baureihe. Das ist bislang der glaubwürdigste Katalog dieser Serie.

Im PDF steckt wieder ein C2PA-Manifest. Das ist ein Herkunftsnachweis, den OpenAI an Dateien aus ChatGPT hängt:

claim_generator: ChatGPT
digitalSource:   trainedAlgorithmicMedia
softwareAgent:   gpt-6.1-sol-wm
when:            2026-10-07T10:58:19Z

Die Signatur habe ich nicht kryptografisch geprüft, die Struktur ist stimmig. Bei VirusTotal liegt dieselbe Datei seit dem 8. Oktober, mit 16 Einreichungen. Der Katalog war also schon zehn Tage im Umlauf, bevor er bei mir ankam.

Wer genauer reinschaut, findet die Werkbank. Gebaut wurde das PDF mit ReportLab und danach mit PyMuPDF nachbearbeitet. Auf jeder Seite liegt eine nachträglich eingefügte Textebene. Auf dem Deckblatt ist so die Zeile „39 ausgewählte Fahrzeuge“ eingesetzt. Die Angebotsnummern laufen von PE01 bis PE41, aber PE24 und PE36 fehlen. Zwei Autos sind rausgeflogen, der Zähler wurde angepasst. Der Footer behauptet trotzdem tapfer „Angebotsnummern unverändert“.

Und die Daten sind zusammengeklaubt. Der Katalog kennt sechs verschiedene Schreibweisen für die Mehrwertsteuer, von „Inkl. MwSt. (ausweisbar)“ bis „inkl. 19% USt. (ausweisbar)“, und drei Datumsformate. So sieht es aus, wenn man Inserate von verschiedenen Händlern kopiert. Die Fahrgestellnummern stammen vermutlich auch daher. Deshalb nenne ich sie hier nicht.

Anders als beim DKB-Fake sind die Preise nicht absurd. Kein G 63 für 62.000 Euro, sondern Zahlen, die ein Laie für ein gutes Angebot halten kann. Das macht die Sache gefährlicher.

Was die eigentlich wollen

Geld vorab. Die Mail fragt nur nach Angebotsnummer und „vollständigen Kontaktdaten“. Der Rest läuft im Dialog, und den zeigt die Mail nicht. Nach dem bekannten Muster solcher Fake-Händler kommt dann ein Kaufvertrag auf Porsche-Briefkopf. Dazu die Bitte um eine Ausweiskopie und eine Anzahlung „zur Reservierung“, weil es ja so viele Interessenten gibt. Später folgen vielleicht noch Überführung oder Zulassung. Eine Besichtigung klappt aus irgendeinem Grund nie.

Das Geld landet auf einem Konto der Täter und ist weg. Den Porsche gibt es nicht, oder er steht bei einem echten Händler, der nichts davon weiß. Die Ausweiskopie bleibt im Umlauf. „MwSt. ausweisbar“ auf den meisten Seiten zielt auf Firmen und Händler. Bei einem Median von gut 90.000 Euro reicht ein einziger Treffer.

Woran ihr es erkannt hättet

Porsche verschickt keine Rundmails mit Gebrauchtwagen. Gebrauchte Porsche verkaufen die Porsche Zentren, über ihre eigenen Seiten und Porsche-Domains. Ein Hersteller, der Kundenfahrzeuge per Massenmail an „Sehr geehrte Damen und Herren“ anbietet, existiert nicht.

Name und Domain passen nicht zusammen. „Porsche Stuttgart“ von rekaliu-gmbh[.]de. Mehr muss man eigentlich nicht wissen.

Drei Kontaktadressen, keine bei Porsche. Absender, Signatur und Katalog nennen drei verschiedene Domains. Die aus dem Katalog ist nicht einmal erreichbar.

Druck. „Reihenfolge ihres Eingangs“, „Zwischenverkauf vorbehalten“, „nicht jede Anfrage berücksichtigen“. Wer wirklich einen GT3 verkauft, muss niemanden drängeln.

Vollständige Kontaktdaten per Mail an Unbekannt. Ein seriöser Händler fragt nach eurem Wunschauto, nicht zuerst nach eurer kompletten Identität.

Was ihr tun könnt

Angebot über den offiziellen Weg prüfen. Ruft das Porsche Zentrum an, und zwar unter der Nummer von der offiziellen Website. Nicht unter +49 711 94733711 aus der Mail.
Keine Anzahlung ohne Besichtigung. Fahrzeuge nur nach Besichtigung kaufen, Zahlung Zug um Zug bei Übergabe, Papiere im Original. Keine Reservierungsgebühr an jemanden, den ihr nie gesehen habt.
Absender lesen, nicht Display-Namen. Zeigt euren Leuten, wo ihr Mailprogramm die echte Adresse anzeigt. „Marke im Namen, fremde Domain dahinter“ heißt Finger weg. Wie eine Domain technisch aufgestellt ist, zeigt euch der Mail-Check hier auf der Seite. Grüne Haken bei SPF und DKIM beweisen aber nur, wer gesendet hat, nicht dass er ehrlich ist.
Vier Augen bei Erstzahlungen. Jede Überweisung an einen neuen Empfänger über einem festen Betrag braucht eine zweite Freigabe und einen Rückruf über eine selbst recherchierte Nummer.
Melden. Leitet solche Mails an Porsche und eure Verbraucherzentrale weiter. Wer schon gezahlt hat: sofort die eigene Bank anrufen und Anzeige erstatten.

Fazit

Die dritte Runde dieser Bande ist die bisher beste. Das liegt nicht an besserer Technik, sondern an besserer Kulisse: echtes Impressum, echte Hausschrift, realistische Preise und ein echtes Postfach als Rückkanal. Der Katalog kommt weiter aus ChatGPT, die Empfängerliste weiter aus derselben Datenbank. Auffliegen lässt sich das nur mit einer einzigen Frage: Warum schreibt mir Porsche von rekaliu-gmbh[.]de?

Im Mail-Screenshot und im Text ist neben der Empfängeradresse auch der Personenname in Absender und Signatur unkenntlich gemacht. Ob er zu einer realen Person gehört, ist unbekannt. Eine echte Person soll nicht mit der Kampagne in Verbindung gebracht werden. Die Porsche AG ist hier imitierte Marke, nicht Absender.