Black-Friday-Betrugsmaschen 2026: 9 Betrugsmaschen, die auf Ihre Mitarbeiter abzielen – und wie Sie sie verhindern können

Kurz gesagt: Der Black Friday ist die Woche mit den meisten Phishing-Angriffen im Jahr. Im Jahr 2025 stiegen die Phishing-Angriffe zum Thema Black Friday in den Wochen vor dem Ausverkauf um 620 %; bei etwa 8 von 10 Marken-Phishing-Versuchen wurde Amazon imitiert, und etwa 1 von 11 neu registrierten Black-Friday-Domains war bösartig. Das Problem für Arbeitgeber: Der Großteil dieser Einkäufe erfolgt über Firmenlaptops und -handys, über denselben E-Mail-Posteingang, den Ihre Mitarbeiter auch für Rechnungen und Anmeldungen nutzen. Im Folgenden finden Sie die neun Betrugsmaschen, die Ihr Unternehmen im November erreichen, sowie eine Zusammenfassung mit fünf Regeln, die Sie noch heute weiterleiten können.

Warum der Black Friday ein Problem für die Unternehmen ist, nicht für die Verbraucher

Angreifern ist es egal, ob ein Klick zu Hause oder am Arbeitsplatz erfolgt. Für sie zählt nur, dass Ende November jeder mit Paketbenachrichtigungen, Bestellbestätigungen, Rabattcodes und Meldungen wie „Ihre Zahlung ist fehlgeschlagen“ rechnet. Genau diese Erwartung macht sich das Phishing zunutze. Drei Faktoren machen diesen Zeitraum für Unternehmen besonders riskant:

• Arbeitsgeräte, private Einkäufe. Eine gefälschte Lieferbenachrichtigung, die auf einem Firmenlaptop geöffnet wird, kann Malware in das Firmennetzwerk einschleusen – nicht auf einen privaten PC.
• Gemischtes Posteingangsfach. Mitarbeiter, die ihre geschäftliche E-Mail-Adresse für Online-Shops nutzen, erhalten am Arbeitsplatz Phishing-E-Mails, die sich dort neben echten E-Mails von Lieferanten befinden.
• Druck zum Jahresende. Die Finanzabteilungen schließen das Geschäftsjahr ab, die Personalabteilung wickelt die Bonuszahlungen ab – alle haben alle Hände voll zu tun. Betrugsversuche, die auf Zeitdruck setzen, kommen besser an, wenn die Leute in Eile sind.

Die 9 Black-Friday-Betrugsmaschen, die Mitarbeiter betreffen

1. Die gefälschte Zustellbenachrichtigung

„Ihr Paket konnte nicht zugestellt werden. Zahlen Sie 1,95 €, um einen neuen Zustelltermin zu vereinbaren.“ Versendet per E-Mail oder SMS (Smishing) unter Verwendung der Namen PostNL, DHL, DPD, UPS oder eines generischen „Paketdienstes“. Die 1,95 € sind nicht das eigentliche Ziel; es geht vielmehr um die Kreditkartendaten. Im November, wenn alle auf eine Sendung warten, ist dies der Betrugsfall mit dem höchsten Aufkommen.

Ein eindeutiges Anzeichen: Eine Gebühr für ein Paket, das Sie nicht bestellt haben, und ein Link, der nicht zur Domain des Transportunternehmens führt.

2. Der Webshop mit Marken-Lookalikes

Anzeigen und E-Mails zum Thema „Black Friday: 70 % Rabatt“ von einer Domain, die wie eine bekannte Marke aussieht: nike-blackfriday-outlet.com, bol-deals.shop. Der Shop nimmt Zahlungen entgegen, versendet aber entweder gar nichts oder versendet gefälschte Waren. Check Point stellte fest, dass etwa jede elfte neue Black-Friday-Domain bösartig war.

Ein eindeutiges Anzeichen: Eine Domain, die erst vor wenigen Wochen registriert wurde, Preise, die weit unter denen aller anderen liegen, und als Zahlungsmittel nur Banküberweisung oder Kryptowährung.

3. Die Bestellbestätigung für eine Bestellung, die Sie nie aufgegeben haben

„Vielen Dank für Ihre Bestellung im Wert von 899 €. Falls Sie diese Bestellung nicht getätigt haben, können Sie sie hier stornieren.“ Der Link führt zu einer gefälschten Anmeldeseite von Amazon, Apple, PayPal oder Microsoft. Allein auf Amazon entfielen in der Darktrace-Analyse für das Jahr 2025 rund 80 % der Fälle von Markenimitation.

Ein eindeutiges Anzeichen: Sie werden aufgefordert, sich anzumelden, um die Bestellung zu stornieren. Bei seriösen Shops können Sie Ihre Bestellungen einsehen, indem Sie die App oder die Website selbst öffnen.

4. Das QR-Code-Angebot

Plakate, Flyer und E-Mails mit einem QR-Code: „Scannen Sie den Code, um Ihren exklusiven Black-Friday-Gutschein zu erhalten.“ Durch das Scannen wird das Opfer auf sein Smartphone umgeleitet – außerhalb der E-Mail-Filter des Unternehmens –, wo eine gefälschte Anmeldeseite auf es wartet. Das ist „Quishing“, und diese Masche verbreitet sich zunehmend, da E-Mail-Sicherheitstools den Inhalt von Bildern nicht auslesen können.

Ein eindeutiges Anzeichen: Nur über einen QR-Code lässt sich das Angebot nutzen.

5. Die Meldung „Ihre Zahlung ist fehlgeschlagen“

Streaming-Dienste, Online-Shops und sogar SaaS-Tools: „Ihre Zahlung konnte nicht verarbeitet werden. Aktualisieren Sie Ihre Kartendaten bitte innerhalb von 24 Stunden.“ Im beruflichen Umfeld ist diese Variante besonders gefährlich, da sie auch auf Unternehmensabonnements abzielt – und genau die Person, die die Rechnungen bezahlt, ist auch diejenige, die darauf reagieren wird.

Ein eindeutiges Anzeichen: eine Frist sowie ein Link zum „Aktualisieren der Zahlungsdaten“ anstelle einer Aufforderung, sich beim Dienst anzumelden.

6. Der Lieferant mit einer Black-Friday-Rechnung

Betrug durch gefälschte geschäftliche E-Mails mit saisonalem Bezug: Ein bekannter Lieferant schickt per E-Mail eine reduzierte Jahresendrechnung oder ein „Black-Friday-Angebot mit Zahlungsfrist bis Montag“ mit neuen Bankdaten. Die Absenderadresse kann echt sein, da das E-Mail-Konto des Lieferanten gehackt wurde.

Ein eindeutiges Anzeichen: geänderte Bankverbindung und eine Frist. Überprüfen Sie dies telefonisch unter einer Nummer, die Sie bereits haben.

7. Die Anfrage nach einer Geschenkkarte vom „Chef“

„Könntest du als Black-Friday-Überraschung 10 Geschenkkarten für das Team kaufen? Ich bin gerade in einer Besprechung, schick mir bitte die Codes.“ Betrugsfälle durch CEO-Simulationen erreichen um die Feiertage herum ihren Höhepunkt, da die Anfrage plausibel klingt. Laut APWG waren Geschenkkarten im Jahr 2025 die häufigste Auszahlungsmethode bei Business-E-Mail-Compromise-Angriffen.

Verräterische Anzeichen: Geheimhaltung, Eile und ein ungewöhnlicher Kommunikationskanal (WhatsApp, private E-Mail).

8. Die Wohltätigkeitsorganisation und die „Giving Tuesday“-Spendenaktion

Der Dienstag nach dem Cyber Monday ist der „Giving Tuesday“. Gefälschte Wohltätigkeitsorganisationen, oft mit echt aussehenden Logos, bitten über einen Link um Spenden. Am Arbeitsplatz kommen diese Aufrufe in Form von E-Mails zum „Matching-Programm des Unternehmens“ an.

Ein eindeutiges Anzeichen: Spendenlinks in E-Mails; echte Kampagnen verweisen auf eine Website, die Sie selbst finden können.

9. Die Browser-Erweiterung und der „Gutscheinfinder“

„Installieren Sie diese Erweiterung, um automatisch die besten Black-Friday-Rabatte zu finden.“ Manche sind seriös, andere hingegen erfassen alle Aktivitäten des Browsers, einschließlich Unternehmens-Logins. Auf einem Dienstlaptop ist dies ein Datenleck, das nur darauf wartet, zu passieren.

Ein eindeutiges Anzeichen: Eine Erweiterung, die darum bittet, „alle Ihre Daten auf allen Websites zu lesen und zu ändern“.

So sieht das in Ihrem Netzwerk aus

Ein einziger Klick auf Betrugsversuch 1, 3 oder 5 endet in der Regel auf eine von drei Arten: gestohlene Anmeldedaten, die innerhalb weniger Stunden beim Microsoft 365-Konto des Unternehmens ausprobiert werden, ein bösartiger Download, der einem Angreifer einen Zugang zum Laptop verschafft, oder eine Kartenzahlung, die den Auftakt zu einem Betrug bildet. Die Betrugsversuche 6 und 7 zielen direkt auf das Geld des Unternehmens ab. Für keine dieser Methoden ist ein versierter Angreifer erforderlich; es reicht ein einziger vielbeschäftigter Mitarbeiter in der letzten Novemberwoche.

Das Black-Friday-Briefing in 5 Punkten (kopieren und versenden)

Drei Dinge, die die IT-Abteilung diese Woche tun kann

• Führen Sie eine saisonale Phishing-Simulation durch. Eine gefälschte Paketbenachrichtigung in der zweiten Novemberwoche zeigt, wer darauf klicken würde, bevor die echten Benachrichtigungen eintreffen, und die anschließende Schulung findet statt, solange das Thema noch aktuell ist. Die Phishing-Simulationen von Guardey umfassen Vorlagen für Liefer- und Bestellbestätigungen.
• Sperren Sie neu registrierte Domains für zwei Wochen. Die meisten Black-Friday-Betrugsdomains sind erst wenige Tage alt. Eine DNS-Filterregel für Domains, die jünger als 30 Tage sind, beseitigt einen Großteil des Risikos, ohne dass dies Auswirkungen auf die Nutzer hat.
• Erinnern Sie das Finanzteam gesondert daran. Die Betrugsmaschen 6 und 7 zielen speziell auf diese Abteilung ab. Ein zweiminütiges Gespräch ist wirkungsvoller als eine unternehmensweite E-Mail.

Häufig gestellte Fragen

Sind Betrugsfälle am Black Friday wirklich schlimmer als im Rest des Jahres?

Ja. Darktrace verzeichnete in den Wochen vor dem Black Friday 2025 einen Anstieg der Phishing-Angriffe mit Black-Friday-Bezug um 620 %, und Kaspersky registrierte zwischen Januar und Oktober 2025 mehr als 6 Millionen Versuche, auf Phishing-Seiten zu gelangen, die auf Online-Shops, Zahlungssysteme und Banken abzielten. Das Volumen erreicht in den letzten beiden Novemberwochen seinen Höhepunkt.

Was ist der häufigste Black-Friday-Betrug?

Gefälschte Zustellbenachrichtigungen per SMS und E-Mail. Sie funktionieren, weil fast jeder ein Paket erwartet.

Sollte es Mitarbeitern gestattet sein, auf Arbeitsgeräten einzukaufen?

Die meisten Unternehmen lassen dies zu. Die Faustregel lautet: in Ordnung, aber niemals mit der geschäftlichen E-Mail-Adresse oder dem geschäftlichen Passwort und niemals durch die Installation von Erweiterungen. Wer strengere Maßstäbe anlegen möchte, ist mit einem Webfilter, der neu registrierte Domains blockiert, besser beraten als mit einer Richtlinie.

Woran erkenne ich, ob ein Online-Shop gefälscht ist?

Überprüfen Sie das Alter der Domain (eine WHOIS-Abfrage dauert zehn Sekunden), achten Sie auf eine physische Adresse und eine Handelsregisternummer und seien Sie misstrauisch gegenüber Shops, die ausschließlich Banküberweisungen akzeptieren. Preise, die weit unter denen aller anderen Händler liegen, sind das größte Warnsignal.

Möchten Sie wissen, wie Ihr Team abschneiden würde? Unser kostenloses Quiz zum Thema Cybersicherheit enthält eine Runde, in der genau diese Szenarien behandelt werden.