Fake-BDK verkauft Finanzierungsrückläufer - und die Autos aus der letzten Welle sind jetzt teurer

Nacht auf Sonntag, kurz nach eins. Eine „Kraftfahrzeuggewerbe GmbH“ aus Hamburg schickt mir ihren „Aktuellen Bestand“: 106 Autos aus Finanzierungsrückläufern, als PDF im Anhang. Wer die Serie hier verfolgt, kennt das. Es ist die fünfte Runde der Bande hinter dem falschen DKB-Fahrzeugkatalog. Nach DKB, einem erfundenen Insolvenzverwalter, Porsche und Bank11 ist diesmal die BDK dran. Das Spannendste steckt aber im Katalog: Einige Autos kenne ich schon. Sie sind seit Oktober teurer geworden.

Domains und Adressen der Täter sind defangt ([.], [@]), damit nichts aus Versehen angeklickt wird.

Die Mail: drei Sätze und eine halbe Firmierung

Die Mail ist kurz. „Im Anhang erhalten Sie unsere aktuellen Verwertungsangebote aus Finanzierungsrückläufern.“ Wer Interesse hat, soll mit der Angebotsnummer antworten. Darunter eine Verkaufs-Persona mit Initial und Nachnamen, eine Hamburger Adresse in Fuhlsbüttel und eine Festnetznummer mit 040.

Schaut euch die Firmierung genau an: „Kraftfahrzeuggewerbe GmbH“. Die echte Firma heißt Bank Deutsches Kraftfahrzeuggewerbe GmbH, kurz BDK. Das ist eine Autobank in Hamburg, die Händler- und Kundenfinanzierungen macht. Ausgerechnet das Wort „Bank“ fehlt in der Mail. Im PDF steht es dann in voller Länge, samt BDK-Logo. Ob Adresse und Telefonnummer zur echten Bank passen, habe ich nicht geprüft. Für euch spielt das keine Rolle, dazu unten mehr.

Technik: neue Domain, alter Cloudflare-Account

Absender ist eine Personenadresse auf freemanagement-mail[.]de. Klingelt da was? Die Welle vom Oktober kam von freemanagement[.]de. Die steht bei VirusTotal inzwischen bei elf Virenscannern als bösartig. Also hängt man „-mail“ dran und macht weiter. Laut DENIC wurde die neue Domain am 7. November um 12:23 Uhr angelegt oder geändert. Dreizehn Stunden später ging die Mail raus.

Die Nameserver sind lia und memphis bei Cloudflare. Dasselbe Paar wie bei allen bisherigen Täterdomains dieser Serie. Das ist kein Zufall, sondern derselbe Cloudflare-Account. Verschickt wird über einen eigenen Amazon-SES-Account in Virginia, mit einer neuen Kennung gegenüber Welle vier. SPF besteht, DKIM besteht, und DMARC besteht auch. Die Täter haben sich sogar eine strengere DMARC-Richtlinie (p=quarantine) gegönnt als bei den Vorgängern. Euer Mailserver sieht also eine vorbildlich authentifizierte Mail. Mein Spamfilter hat ihr 100 % „Ham“ attestiert.

Die Wiedererkennung läuft wie immer über Listmonk, ein Open-Source-Newsletter-Tool. Die verräterischen X-Listmonk-Header haben die Täter diesmal entfernt. Nur steht im Footer der Mail wieder die nackte Empfänger-Kennung, ein Template-Fehler aus den ersten beiden Wellen. Diese Kennung ist dieselbe wie in allen vier Vorwellen. Gleiche Datenbank, gleiche Empfängerliste. Listmonk läuft jetzt direkt auf der Absenderdomain. Beim Crawl von VirusTotal antwortete Cloudflare nur mit „522: Connection timed out“. Der Server dahinter ist also nicht dauerhaft erreichbar. Ich habe ihn nicht selbst aufgerufen.

Der Katalog: ChatGPT mit Preisschild

Der Anhang hat 58 Seiten und 106 Fahrzeuge, nummeriert von BDK001 bis BDK106. Jedes Auto mit FIN, Erstzulassung, Kilometerstand und drei Bildern. Im PDF steckt wieder ein signierter Herkunftsnachweis (C2PA) von OpenAI: erstellt mit ChatGPT, Modell gpt-6.1-sol-wm, am 6. November um 19:21 Uhr UTC. Auf der letzten Seite steht kleingedruckt: „Technisch generierte Abbildungen“. Die Fotos sind also KI-Bilder. Wenigstens ehrlich.

Kein JavaScript, keine Links, keine Formulare. Und auffällig: keinerlei Kontaktdaten, kein Impressum, keine Handelsregisternummer. Der Katalog funktioniert nur zusammen mit der Mail.

Jetzt wird es lustig. Zwei Drittel der Autos, 67 von 106, kosten zwischen 34.000 und 37.500 Euro. Egal, was es ist. Ein Audi Q6 Sportback e-tron: 35.308 Euro. Ein BMW M340d: 35.413 Euro. Ein Škoda Enyaq RS: 35.371 Euro. Das ist keine Preisliste, das ist eine Zielsumme. Für die Gierigen gibt es noch einen Porsche 911 Turbo S für 252.000 Euro und einen Ferrari 296 für knapp 203.000 Euro.

Inflation beim Betrüger

Ich habe die FINs mit den Katalogen der früheren Wellen abgeglichen. Acht Fahrzeuge stammen aus dem „Insolvenzverwertungs“-Katalog vom Oktober. V-Klassen, ein Vito, drei VW T7. Gleiche FIN, gleiche Erstzulassung, gleicher Kilometerstand. Nur der Preis ist gestiegen, und zwar bei allen acht. Zwischen 6 und 27 % in drei Wochen, zusammen gut 60.000 Euro mehr. Ein Vito, der im Oktober 22.130 Euro kosten sollte, steht jetzt bei 27.739 Euro.

Dazu kommt ein Porsche 718 Cayman GT4 RS aus dem Porsche-Fake vom Oktober. Gleiche FIN, centgenau gleicher Preis: 128.716,00 Euro. Ein Auto, das binnen drei Wochen erst Porsche und dann einer Bank gehört und dabei keinen Kilometer fährt. So viel zur Echtheit.

Was die eigentlich wollen

Das Vorwort erzählt die bekannte Legende: Finanzierungsnehmer können ihre Raten nicht mehr zahlen, die Bank will „gebundenes Kapital freisetzen“, darum die günstigen Preise. Dann kommt der entscheidende Satz: „Sämtliche Fahrzeuge werden ausschließlich zum Direktkauf angeboten. Eine Finanzierung oder ein Leasing ist für diese Angebote nicht möglich.“

Eine Autobank, die keine Autos finanzieren will. Wer antwortet, bekommt einen Kaufvertrag auf BDK-Briefkopf und eine IBAN. Das 30-tägige Rückgaberecht soll die letzten Zweifel ausräumen. Ihr überweist 35.000 Euro, und es kommt kein Auto. Der Hinweis „MwSt. ausweisbar“ zeigt, wen sie im Visier haben: Firmen und Selbstständige, die einen Dienstwagen suchen.

Woran ihr es erkannt hättet

Eine Bank, die keine Finanzierung will. Das ist der Kern-Widerspruch der ganzen Serie. Eine Autobank verdient mit Krediten, nicht mit Vorkasse.

Die Domain. freemanagement-mail[.]de hat mit der BDK nichts zu tun. Eine Bank verschickt ihre Angebote nicht von einer Domain, die gestern angelegt wurde.

Die Preise. Ein Elektro-SUV von Audi zum selben Preis wie ein Škoda. Wenn alles 35.000 Euro kostet, hat niemand bewertet.

Ihr wart nie Kunde. Ein „Bestand“ von einer Bank, mit der ihr nie zu tun hattet, an eine Adresse, die ihr dort nie angegeben habt.

Was ihr tun könnt

Rückruf über die offizielle Nummer. Sucht die Nummer der BDK selbst heraus, nicht aus Mail oder PDF, und fragt nach dem Angebot. Deshalb ist es egal, ob die Nummer in der Mail echt aussieht.
Keine Vorkasse ohne Besichtigung. Zahlung nur Zug um Zug bei Übergabe, Papiere im Original.
Empfängerprüfung ernst nehmen. Banken gleichen bei Überweisungen Name und IBAN ab. Meldet eure Bank „Name stimmt nicht überein“, ist das kein Fehler, sondern ein Stoppschild.
Vier Augen bei neuen Zahlungsempfängern. Jede Erstüberweisung über einem festen Betrag braucht eine zweite Freigabe. Wie eine Absenderdomain technisch aufgestellt ist, zeigt der Mail-Check hier auf der Seite. Grüne Haken bei SPF, DKIM und DMARC sagen aber nur, wer gesendet hat, nicht ob er ehrlich ist.
Schnell sein, wenn es passiert ist. Sofort die eigene Bank anrufen, Rückholung beantragen, Anzeige erstatten und die BDK informieren.

Fazit

Welle fünf ist die schlichteste Mail der Serie, mit dem dreistesten Katalog. Frische Domain, dieselbe Empfängerliste, ein ChatGPT-PDF mit Einheitspreisen und Autos, die von Welle zu Welle wandern und dabei teurer werden. Die Bande arbeitet wie ein Fließband. Gegen ein Fließband hilft eine einfache Regel: Keine Bank verkauft euch ein Auto gegen Vorkasse.

Im Mail-Screenshot sind die Empfängeradresse und der Personenname der Absender-Persona unkenntlich gemacht, die Empfänger-Kennung ist gekürzt. Die Bank Deutsches Kraftfahrzeuggewerbe GmbH (BDK) ist hier imitierte Marke, nicht Absender. Die Mail kam weder von ihr noch über ihre Infrastruktur.