Bank11 verkauft Gebrauchtwagen mit 45 % Rabatt? Nein - Vorkassebetrug im schicken Newsletter

Sonntag, 5:30 Uhr morgens. „BANK11“ möchte mir einen Gebrauchtwagen verkaufen. Bis zu 45 % Rabatt, 24 Monate Herstellergarantie, kostenlose Lieferung, 14 Tage Rückgaberecht. Die Fahrzeugliste hängt als PDF dran. Elf Stunden vorher hatte mir „Porsche Stuttgart“ schon dasselbe Geschäft angeboten. Und Anfang Oktober die DKB. Das ist die vierte Runde der Bande hinter dem falschen DKB-Fahrzeugkatalog. Und die mit Abstand hübscheste.

Domains und Adressen der Täter sind defangt ([.], [@]), damit nichts aus Versehen angeklickt wird.

Die Mail: endlich mit Grafikabteilung

Die ersten drei Wellen waren Textmails mit zwei, drei Absätzen. Diese hier ist ein richtiger Newsletter. Responsive, Bank11-Farben, das Logo per CSS nachgebaut, ein versteckter Vorschautext für die Inbox-Ansicht. Kein einziger Rechtschreibfehler. Wer diese Mail zwischen echten Händler-Newslettern findet, zuckt nicht.

Der Inhalt ist schnell erzählt. Gebrauchtwagen „für Ihren privaten oder geschäftlichen Fuhrpark“, Liste im Anhang, bei Interesse anrufen unter +49 2131 2663 262 oder schreiben an vertrieb[@]bank11-fahrzeuge[.]de. Unten die Firmierung „Bank11 für Privatkunden und Handel GmbH“ mit Neusser Anschrift. Bank11 gibt es wirklich, das ist eine Autobank in Neuss, die Händler- und Kundenfinanzierungen macht. Nur kommt die Mail nicht von dort.

Technik: drei Domains, null Bank11

Absender ist bank11[@]pckmarketing[.]com. Antworten gehen per Reply-To an bank11-fahrzeuge[.]de. Die echte Bank sitzt auf bank11.de. Drei Domains, und nur eine gehört der Bank. Die kommt in der Mail nicht vor.

Verschickt wird wieder über einen eigenen Amazon-SES-Account, diesmal aus Virginia. Nach Irland und Ohio ist das die dritte AWS-Region in vier Wellen. SPF besteht, die DKIM-Signatur passt zur Absenderdomain. Einen DMARC-Eintrag hat pckmarketing[.]com gar nicht erst. Euer Mailserver hat also nichts in der Hand. Einen Haken gibt es doch: Der Spamfilter meines Postfachs fand die Domain bereits auf einer URI-Blackliste. Die Bayes-Statistik hielt die Mail aber für so harmlos, dass sie das komplett wieder ausgeglichen hat. Hübsches Design zahlt sich eben aus.

Die Domain pckmarketing[.]com wurde am 3. Februar 2026 registriert. Das ist genau einen Tag nach flrdl[.]com, dem Absender der DKB-Welle. Beide lagen acht Monate herum, bevor sie zum Einsatz kamen. Domains auf Vorrat kaufen und reifen lassen, damit Reputationsfilter sie nicht als „neu“ markieren. Das ist Planung, kein Zufall.

Die Wiedererkennung läuft wie gehabt über Listmonk, ein Open-Source-Newsletter-Tool. Jeder Empfänger bekommt dort eine zufällige Kennung, und die steht im Header X-Listmonk-Subscriber. Sie ist in allen vier Wellen identisch. Gleiche Datenbank, gleiche Empfängerliste. Die Abmelde-Adresse zeigt auf maileradmin.pitonak-marketing[.]de - wie bei der Porsche-Welle vom Vorabend. Diese Subdomain hat keinen DNS-Eintrag. Der sichtbare Link „Newsletter-Abmeldung“ im Footer zeigt auf #. Abmelden ist also nicht vorgesehen.

Der Trick mit der Weiterleitung

Das Schlauste an dieser Welle ist bank11-fahrzeuge[.]de. Die Domain wurde am 8. Oktober angelegt und hat ein echtes Postfach bei Zoho Mail. Gibt man sie im Browser ein, landet man laut VirusTotal-Crawl auf www.bank11.de, also bei der echten Bank. Ich habe sie nicht selbst aufgerufen.

Denkt kurz drüber nach, was das bewirkt. Ein misstrauischer Empfänger tippt die Domain ein, sieht die echte Bank11-Seite und ist beruhigt. Gleichzeitig sehen Sicherheitsscanner eine Weiterleitung auf eine seriöse Bank und vergeben Note 0 von 93. Eine einzige Weiterleitungsregel bei Cloudflare, und Opfer und Scanner bestätigen sich das Märchen selbst.

Der Katalog: InDesign statt ChatGPT

Die PDFs der früheren Wellen kamen laut eingebettetem Herkunftsnachweis aus ChatGPT. Dieses nicht. Fahrzeugauswahl.pdf ist ein 23-seitiges Querformat-Dokument aus Adobe InDesign. Die internen Sprungmarken heißen Bank11 Catalog 2026.indd:Bookmark 1 bis 35. Die Metadaten wurden entfernt, ein KI-Manifest gibt es nicht. Als einzige Schrift ist Santander Text eingebettet, die Hausschrift einer ganz anderen Bankengruppe. Da hat jemand eine Vorlage recycelt.

Inhaltlich: 35 Fahrzeuge von Mercedes, BMW, Audi und VW, Erstzulassung Ende 2024 bis Sommer 2026, alle aus erster Hand, meist unter 20.000 km. Preise von 22.990 bis 84.990 Euro, ausnahmslos auf 990 gerundet, „Rabatt“ jeweils 38 bis 45 %. Die G-Klasse G 450 d, gut ein Jahr alt, für 84.990 Euro. Dazu Vitos, Sprinter, Crafter und T7 California. Das ist eine Preisliste für Handwerksbetriebe und Firmenfuhrparks.

Klickbar ist im PDF nur das Inhaltsverzeichnis, das zu den Fahrzeugseiten springt. Kein JavaScript, keine externen Links. VirusTotal kennt die Datei seit dem 15. Oktober. Einer der eingereichten Dateinamen lautet NICHT ÖFFNEN Fahrzeugauswahl.pdf. Da war jemand schneller als ich.

Was die eigentlich wollen

Die FAQ-Seite im PDF sagt es selbst. Die Autos stammen angeblich „aus bestehenden Finanzierungsverträgen“ und werden „im Interesse der Finanzierungsnehmer vorzeitig veräußert“. Das ist dieselbe Legende wie beim DKB-Fake. Dann kommt der entscheidende Satz: „Sobald der Zahlungseingang erfolgt ist, kümmern wir uns um die Bereitstellung und Auslieferung.“ Und in Großbuchstaben oben drüber: „WIR BIETEN WEDER FINANZIERUNG NOCH LEASING FÜR DIE ANGEBOTE AN!“

Eine Autobank, die keine Autos finanzieren will, sondern Vorkasse verlangt. Wer anruft, bekommt einen „persönlichen Ansprechpartner“, einen Kaufvertrag auf Bank11-Briefkopf und eine IBAN. Garantie, Rückgaberecht und kostenlose Lieferung nehmen die letzten Bedenken. Ihr überweist 40.000 Euro, und „innerhalb von 10 Werktagen“ kommt kein Auto. Danach meldet sich niemand mehr, und die nächste Welle hat eine neue Domain.

Woran ihr es erkannt hättet

Eine Bank, die keine Finanzierung will. Das ist der Widerspruch, an dem die ganze Geschichte zerbricht. Eine Autobank lebt von Krediten. „Nur Direktkauf, nur Vorkasse“ ist das Gegenteil davon.

Die Domains. Absender pckmarketing[.]com, Antwort an bank11-fahrzeuge[.]de. Die echte Bank sitzt auf bank11.de. Dass eine Domain zur echten Seite weiterleitet, beweist gar nichts.

Die Preise. Eine einjährige G-Klasse mit 20.000 km für 85.000 Euro, inklusive neuer HU und Lieferung bis vor die Tür. Wenn es zu gut klingt, ist es das auch.

Ihr wart nie Kunde. Ein Newsletter von einer Bank, bei der ihr kein Konto habt, an eine Adresse, die ihr dort nie angegeben habt.

Was ihr tun könnt

Rückruf über die offizielle Nummer. Sucht die Nummer von Bank11 selbst heraus, nicht aus Mail oder PDF, und fragt nach dem Angebot.
Keine Vorkasse ohne Besichtigung. Zahlung nur Zug um Zug bei Übergabe, Papiere im Original. Keine Überweisung an jemanden, den ihr nie gesehen habt.
Vier Augen bei neuen Zahlungsempfängern. Jede Erstüberweisung über einem festen Betrag braucht eine zweite Freigabe. Prüft auch, ob der Kontoinhaber zum angeblichen Verkäufer passt.
Reply-To anschauen. Zeigt euren Leuten, wo ihr Mailprogramm die Antwortadresse anzeigt. Wie eine Domain technisch aufgestellt ist, zeigt der Mail-Check hier auf der Seite. Grüne Haken bei SPF und DKIM sagen aber nur, wer gesendet hat, nicht ob er ehrlich ist.
Schnell sein, wenn es passiert ist. Sofort die eigene Bank anrufen, Rückholung der Überweisung beantragen, Anzeige erstatten. Bank11 informieren, damit die Bank Bescheid weiß.

Fazit

Welle vier sieht aus wie echtes Bankmarketing. Newsletter, InDesign-Katalog und eine Domain, die zur echten Bank weiterleitet. Darunter steckt dieselbe Empfängerliste, derselbe Cloudflare-Account und dieselbe Masche wie bei DKB und Porsche. Die Täter werden mit jeder Runde besser darin, seriös auszusehen. Am eigenen Widerspruch scheitern sie trotzdem: Eine Bank, die keine Kredite vergeben will, ist keine.

Im Mail-Screenshot ist die Empfängeradresse unkenntlich gemacht. Die Bank11 für Privatkunden und Handel GmbH ist hier imitierte Marke, nicht Absender. Die Mail kam weder von ihr noch über ihre Infrastruktur.