14. November 2026
Fake-Sixt verkauft 42 Gebrauchte - alle pauschal 30 Prozent billiger
Tobias Wilke
@wilketob
Diesmal kam die Betrugsmail nicht in mein Analyse-Postfach, sondern aus der Leserschaft. Die Einsendung begann mit: „Ich bekomme Massen solcher Mails.“ Im Anhang ein 7-Zip-Archiv, darin eine Mail vom 4. November. Absender: ein angeblicher Vertriebsleiter von „Sixt Garching“. Im Gepäck zwei PDF-Kataloge mit 42 Pkw und Transportern, alle sofort lieferbar. Und alle pauschal 30 Prozent billiger als ihr „Originalpreis“.
Ich habe diese Mail also nicht selbst empfangen, sondern als Zusendung bekommen: weitergeleitet als gepackte .eml-Datei, mit allen Original-Headern des Empfängers. Gezippt war sie mit Absicht, damit kein Filter sie unterwegs anhält. Gute Idee. Die Header-Analyse unten beruht deshalb auf dem Weg der Mail zum ursprünglichen Empfänger, nicht zu mir.
An dieser Stelle ein herzliches Dankeschön an die einsendende Person! Namen und Firma nenne ich bewusst nicht. Genau solche Zusendungen machen diese Sammlung vollständiger, als mein eigenes Postfach es je könnte.
Domains und Adressen der Täter sind defangt ([.], [@]), damit nichts aus Versehen angeklickt wird.
Alle bekannten Telefonnummern, Domains und Absender dieser Serie stehen gesammelt in der Übersicht zum Fahrzeugkatalog-Betrug.
Die Mail: Sixt-Impressum, echte Filiale
Der Betreff: „4. Nov – Aktueller Abverkauf Autos & Nutzfahrzeuge“. Die Anrede: „Sehr geehrte Damen und Herren“. Die Mail ging per BCC raus, ein To:-Feld gibt es nicht. Die Fahrzeuge biete man „im Kundenauftrag“ an. Kostenlose Lieferung nach Deutschland, Österreich und in die Schweiz in fünf bis sieben Werktagen. Dazu eine „7-tägige Geld-zurück-Garantie“ und ein Jahr Sixt-Gebrauchtwagengarantie. Wer Interesse hat, soll die Fahrzeugnummern nennen. Die „vollständigen Exposés“ kommen dann per Mail.
Die Signatur ist der eigentliche Trick. „Im Auftrag der: Sixt SE, Zugspitzstr. Nr. 1, 82049 Pullach“. Dazu „Sixt Car Sales GmbH, Filiale Garching, Gutenbergstraße 4“. Handelsregisternummer und Umsatzsteuer-ID gehören zur echten Sixt SE, und den Gebrauchtwagenstandort in Garching gibt es wirklich. Wer das googelt, findet alles bestätigt. Genau dafür ist es da.
Der Unterschied zu den bisherigen Wellen: Sixt verkauft tatsächlich Gebrauchtwagen, über Sixt car sales. Bei einer Bank, die Autos per Rundmail verscherbelt, stutzt man. Bei Sixt eher nicht.
Technik: Outlook statt Newsletter-Software
Absender ist eine Personenadresse auf jagdfeld-garching-sixt[.]com. Nachname der Persona, Ort, Marke, fertig ist die „Filial-Domain“. Registriert am 25. August 2026 bei internet.bs, gut zehn Wochen vor dem Versand. Das DNS liegt bei Cloudflare, die Mail bei OVHcloud Email Pro. Das ist gemietetes Microsoft Exchange. Die Received-Kette zeigt es deutlich: interne Exchange-Server DAG15EX1/2.emp2.local, dann die Ausgangsserver von OVH in Roubaix.
SPF und DKIM bestehen, weil die Täter ihre eigene Domain sauber bei OVH eingerichtet haben. DMARC gibt es nicht, der Record fehlt einfach. Für den Empfänger sieht das aus wie eine ganz normale Geschäftsmail aus Outlook. Und genau das ist sie technisch auch.
Ein Header verrät mehr, als den Tätern lieb sein dürfte: x-originating-ip: [195[.]63[.]22[.]126]. Exchange schreibt dort die IP des Rechners hinein, der die Mail eingeliefert hat. Sie gehört zu 3xK Tech, einem Hoster in Berlin. Das ist kein Büroanschluss in Garching, sondern ein Server im Rechenzentrum. Vermutlich ein gemieteter Remote-Desktop oder ein Proxy.
Der Katalog: Bilder statt Text
Die beiden PDFs heißen „November - Bestandsübersicht gebrauchter Kundenfahrzeuge“ (17 Seiten, 32 Pkw) und „2026 November - Übersicht gebrauchter Nutzfahrzeuge“ (6 Seiten, 10 Transporter). Sixt-Orange, Sixt-Logo, ein Siegel „Beste Autohändler 2026“. Unten auf jeder Seite ein Kasten mit dem Porträtfoto des angeblichen Beraters.
Technisch sind beide Dateien harmlos. Kein JavaScript, keine Links, keine Formulare. Jede Seite ist ein einziges JPEG, es gibt keinen Text im PDF. Das ist praktisch für die Täter: Filter, die nach Begriffen wie „Vorkasse“ oder Bankdaten suchen, finden nichts. Die Metadaten sind komplett durch Platzhalter ersetzt, etwa „PDF title“ plus Zufallskennung. Ein Detail ist trotzdem stehen geblieben. Der „November-Katalog“ für Pkw wurde zuletzt am 11. September bearbeitet. Der Nutzfahrzeug-Katalog am 4. November um 2:42 Uhr deutscher Zeit, gut sechs Stunden vor dem Versand.
Die Fahrzeugfotos tragen das Wasserzeichen „SIXT car sales“ auf Kennzeichenhalter und Showroom-Wand. Sie stammen also sehr wahrscheinlich aus echten Inseraten. Einzeln abgeglichen habe ich das nicht.
30 Prozent, immer
Ich habe alle 42 Preise abgetippt, der Katalog lässt ja keine Textsuche zu. Teilt man Abverkaufspreis durch Originalpreis, kommt bei jedem einzelnen Fahrzeug gerundet 0,70 heraus. Mal 0,695, mal 0,703, je nach Rundung. Ob Fiat 500 für 7.400 Euro oder Audi Q8 für 47.550 Euro: immer 30 Prozent Nachlass. Dazu ist jedes Auto unfallfrei, steht in Garching und hat meist genau einen Vorbesitzer.
Ein echter Händler kalkuliert pro Fahrzeug, nach Zustand, Nachfrage und Standzeit. Ein pauschaler Rabatt auf alles ist eine Formel in einer Tabelle. Zusammen kommen die 42 Fahrzeuge auf 892.365 Euro.
Was die eigentlich wollen
Geld vorab. Wer antwortet, bekommt Exposés, einen Kaufvertrag mit echtem Sixt-Impressum und eine Rechnung mit IBAN. Die Lieferung übernimmt angeblich eine namentlich genannte Fahrzeuglogistik-Firma, die ich nicht verifizieren konnte. Bezahlt wird vor der Auslieferung. Die „Geld-zurück-Garantie“ soll genau diesen Schritt leichter machen. Danach verzögert sich die Lieferung, und irgendwann antwortet niemand mehr.
„MwSt. ausweisbar“, Nutzfahrzeuge, Versand an info@-Adressen: Ziel sind Firmen und Händler, die gleich mehrere Fahrzeuge kaufen könnten. Mit Netto-Rechnung und vielleicht einem Handelsregisterauszug, den die Täter für die nächste Masche weiterverwenden.
Gehört das zur bekannten Serie?
Die Masche passt genau zur Serie mit gefälschten Fahrzeugkatalogen. „Im Kundenauftrag“, PDF statt Link, Antwort als Rückkanal, echtes Impressum einer bekannten Firma. Die Einsendung landete außerdem in einem Postfach, das auch die DKB-, Porsche- und BDK-Wellen bekommen hat.
Die Technik passt aber nicht. Alle fünf bisherigen Wellen liefen über die Newsletter-Software Listmonk und einen eigenen Amazon-SES-Account. Ihre Domains lagen im selben Cloudflare-Account, die PDFs kamen aus ChatGPT. Hier: Exchange bei OVH, ein anderer Cloudflare-Account, ein Bild-PDF ohne KI-Herkunftsnachweis und keine Telefonnummer. Empfängerlisten werden gehandelt, das gemeinsame Postfach beweist also wenig. Ich führe die Sixt-Mail deshalb als Ableger mit offener Zuordnung, nicht als sechste Welle.
Woran ihr es erkannt hättet
- Die Domain. Sixt schreibt von
sixt.de,sixt.comodersixtcarsales.de. Eine eigene Domain für einen einzelnen Vertriebsleiter ist kein Konzern-Standard, sondern ein Warnsignal. - Rundmail an „Damen und Herren“. Sixt car sales verkauft über Website, Inserate und Filiale. Es schickt keine ungefragten Bestandslisten per BCC.
- Der Einheitsrabatt. 42 Autos, 42-mal 30 Prozent. Kein Händler rechnet so.
- Kein Telefon, nur Antwort. Die Mail nennt keine Nummer, die PDFs auch nicht. Alles soll über das Postfach der Täter laufen.
- Gute Daten beweisen nichts. HRB, USt-IdNr. und Filialadresse stehen im echten Impressum. Kopieren kann sie jeder.
Was ihr tun könnt
- Bei Sixt selbst nachfragen. Kontakt über die selbst aufgerufene Website von Sixt car sales suchen und das Angebot schildern. Nie auf die Mail antworten.
- Keine Vorkasse ohne Übergabe. Bezahlt wird bei Abholung, Zug um Zug, Papiere im Original. Eine „Geld-zurück-Garantie“ nützt nichts, wenn der Verkäufer verschwunden ist.
- Absenderdomains in der Firma sichtbar machen. Viele Mailgateways markieren Mails, deren Anzeigename eine Marke nennt, die Domain aber nicht dazu passt. Wie eine Domain technisch aufgestellt ist, zeigt der Mail-Check hier auf der Seite. SPF und DKIM können trotzdem grün sein.
- Vier Augen bei neuen Zahlungsempfängern. Erstüberweisungen an unbekannte Konten über einem festen Betrag nur mit zweiter Freigabe.
- Schon bezahlt? Sofort die eigene Bank anrufen und die Rückholung beantragen, Anzeige erstatten, Sixt über die offiziellen Kontaktwege informieren.
Fazit
Die Sixt-Mail ist die bisher glaubwürdigste Variante der Katalog-Masche. Eine Marke, die wirklich Gebrauchte verkauft, ein echtes Impressum, echte Fotos und ein echtes Outlook-Postfach. Verraten haben sie eine zehn Wochen alte Domain, ein Server in Berlin und eine Rabattformel, die zu ordentlich ist. Wer bei einem Autokauf vorab überweisen soll, sollte gerade bei so viel Ordnung misstrauisch werden.
Die Mail habe ich als Weiterleitung aus der Leserschaft erhalten, nicht im eigenen Postfach. Vielen Dank noch einmal dafür. Empfänger, einsendendes Unternehmen und weitere Empfänger derselben Sendung nenne ich nicht. Im Mail-Screenshot und auf der Katalogseite sind Name und Porträtfoto der Absender-Persona entfernt, weil unklar ist, ob sie zu einer realen Person gehören. Die Sixt SE und die Sixt Car Sales GmbH sind hier imitierte Marke, nicht Absender. Die Mail kam weder von ihnen noch über ihre Infrastruktur.