Wie wir B2B-Käufer verifizieren: mutmaßlicher E.Leclerc-Identitätsmissbrauch

Ich bin Leo, Vertriebsspezialist bei ClipClop eBike. Die meisten Vormittage laufen gleich ab: ein paar Großhandels-E-Mails, eine Kataloganfrage, jemand fragt nach MOQ- und FOB-Preisen. Das ist die normale Arbeit für eine OEM-Fabrik, die ins Ausland verkauft.

Dann ging eine Anfrage ein, die fast zu perfekt wirkte.

Der Absender trat unter dem Namen Jeandis SAS auf und stellte sich als stellvertretender Einkaufsleiter von JEANDIS SA vor, einem Beschaffungszentrum in Verbindung mit E.Leclerc-Märkten im französischen Marmande. Er bat um einen Katalog und eine Preisliste. Die Nachricht enthielt eine französische Telefonnummer, eine Adresse in Marmande, einen Link zur E.Leclerc-Website sowie eine professionelle Signatur.

Ein bekannter europäischer Einzelhändler.
Ein Unternehmen, das existiert.
Eine reale Straßenadresse.
Eine Anfrage, die nach Einkauf klingt.
Nichts karikaturhaft Gefälschtes.

Genau deshalb ist diese Art von E-Mail so schwierig. Das Unternehmen in der Signatur mag echt sein. Die Person, die Ihnen schreibt, ist möglicherweise dennoch unüberprüft.

Ich habe den Lead nicht abgeschlossen. Ich habe ihn auch nicht als qualifiziert eingestuft. Ich habe ihn auseinandergenommen.

Zuerst habe ich das Unternehmen überprüft, nicht die E-Mail.

Das offizielle französische Unternehmensverzeichnis führt die JEANDIS SA als aktives Unternehmen unter der SIREN-Nummer 383 339 595, gegründet am 23. Oktober 1991. Der eingetragene Hauptsitz befindet sich in der RN113 Avenue François Mitterrand, 47200 Marmande. Die Hauptaktivität sind Hypermärkte. Dieselben Aufzeichnungen verzeichnen einen E.Leclerc Express-Standort in Marmande unter diesem Unternehmen.

Also existiert die juristische Person wirklich. Das stimmt so weit.

Was sie jedoch nicht beweist, ist die Autorisierung. Ein Registereintrag sagt mir, dass ein Unternehmen existiert. Er sagt mir nicht, dass die Person in meinem Posteingang dort arbeitet, E-Bikes beschaffen kann oder berechtigt ist, diese E-Mail-Adresse zu verwenden. Genau diese Trennung – Unternehmen versus Kontakt – ist der Kern der Käuferverifizierung.

Dann habe ich mir die Domain angesehen: jp@achat-jeandis.com. Ich konnte diese Domain anhand offizieller Firmeninformationen nicht unabhängig mit JEANDIS SA in Verbindung bringen. Die Header zeigten, dass die Nachricht von achat-jeandis.com gesendet wurde. SPF war für diese Absenderdomain erfolgreich. Zudem gab es eine DKIM-Signatur von einem E-Sicherheitsanbieter.

An einem geschäftigen Verkaufstag fühlen sich diese grünen Häkchen beruhigend an. Das sollten sie nicht.

SPF und DKIM beantworten eine konkrete Frage: Wurde diese Nachricht von der Domain autorisiert, die sie gesendet hat? Sie beantworten jedoch nicht die Frage, die eine Fabrik tatsächlich wissen muss: Gehört diese Domain dem Unternehmen, das in der Signatur angegeben ist? Eine Domain kann authentifizierte E-Mails versenden und dennoch keine nachgewiesene Verbindung zu dem Händler haben, dessen Identität sie nutzt. Authentifizierung validiert die Infrastruktur. Sie stellt keinen Beschaffungsausweis aus.

Wir haben auch öffentliche Diskussionen über Identitätsmissbrauch im Zusammenhang mit E.Leclerc / JEANDIS gefunden, die dieselbe Domain betreffen. Das ist zwar kein gerichtliches Urteil, hat aber dennoch das Risikoniveau erhöht. Sobald eine Domain im Kontext von Identitätsmissbrauch diskutiert wurde, sollten Sie nicht mehr annehmen, sondern verifizieren.

Der Wortlaut verlieh dem Ganzen eine weitere Ebene. Der Absender forderte neue Produkte und einen Katalog. Keine Modelle, Stückzahlen, Jahresvolumina, Lieferfenster, Konformitätshinweise oder Beschaffungsprozesse. Eine breit gefasste Erstanfrage ist noch kein Betrugsnachweis. Echte Einkäufer fangen oft weit gefasst an. Ein großer Händler sollte dennoch konkret werden, bevor der Lead als ernsthaft eingestuft wird.

Ich habe weder unseren vollständigen Preiskatalog versendet, Bankdaten weitergegeben, einen Vertrag aufgesetzt, ein kostenloses Muster verschickt noch eine Drittanbietergebühr bezahlt. Ich habe keine Bestellung allein per E-Mail angenommen. Ich habe die Anfrage als unverifiziert und mit hohem Risiko eingestuft.

Das ist der Unterschied zwischen dem Sammeln von Leads und deren Qualifizierung.

Der Prozess, den ich anwende, ist einfach.

Überprüfen Sie die Rechtspersönlichkeit in einem offiziellen Register. Verlassen Sie sich nicht auf Dateien, die der Käufer beifügt.

Trennen Sie das Unternehmen von der Person. Stellen Sie beide Fragen: Existiert dieses Unternehmen? Arbeitet diese Person dort und hat sie die Befugnis zu kaufen?

Prüfen Sie die Domain nach dem @-Zeichen. Ein Name, der die Marke enthält, ist nicht automatisch offiziell.

Nutzen Sie einen selbst gefundenen Kanal. Rufen Sie nicht nur die Nummer in der verdächtigen E-Mail an. Ermitteln Sie offizielle Kontakte eigenständig und fragen Sie nach, ob diese Person und E-Mail autorisiert sind.

Prüfen Sie dann die kommerzielle Anfrage. Ein reales Projekt umfasst in der Regel Spezifikationen, Stückzahl, Bestimmungsort, Compliance-Anforderungen, Zahlungsbedingungen und einen namentlich genannten Verantwortlichen.

Kein einzelnes Warnsignal ist ein endgültiges Urteil. Das Risiko steigt jedoch, wenn mehrere gleichzeitig auftreten: ein echtes Unternehmen mit einer unbekannten Domain; eine Kataloganfrage ohne Mengenangabe; Dringlichkeit ohne klaren Prozess; kostenlose Muster vor einer Qualifizierung; die Aufforderung, an einen unbekannten Dritten zu zahlen; eine plötzliche Änderung des Bankkontos; ein Mitarbeiter, der sich nicht unabhängig verifizieren lässt.

Lehnen Sie nicht jede ungewöhnliche E-Mail ab. Erhöhen Sie die Verifizierung, wenn das Risiko steigt.

In unserem Team halte ich mich an eine Regel: Prüfen Sie den Käufer, bevor Sie den Deal optimieren. Vertriebsteams handeln schnell – Unternehmen, Produkt, Preis, MOQ, Zahlung. Eine weitere Ebene liegt davor: Identität, Entscheidungsbefugnis, kommerzielle Absicht. Erst dann sollte eine Fabrik über Muster, POs und Geld sprechen.

Dieser Fall beweist nicht, dass eine namentlich genannte Person eine Straftat begangen hat.

Was es jedoch zeigt, ist enger gefasst. JEANDIS SA ist ein echtes französisches Unternehmen mit einer dokumentierten E.Leclerc-Präsenz in Marmande. Die Anfrage verwendete achat-jeandis.com und bestand den SPF-Check für diese Domain. Öffentliche Berichte haben das Risiko von Identitätsdiebstahl im Zusammenhang mit derselben Domain diskutiert. Die Identität hinter der E-Mail konnte nicht als verifiziert betrachtet werden.

Das ist der Standard, den ich mir von anderen Lieferanten wünsche: unabhängige Verifizierung, keine Panik und kein blindes Vertrauen.

Bevor Sie sensible kommerzielle Informationen weitergeben, stellen Sie die lästigen Fragen: Wer ist das Unternehmen? Wer ist die Person? Arbeitet sie dort? Ist die Domain tatsächlich mit dem Unternehmen verknüpft? Ist die Anfrage spezifisch? Können Sie dies über einen selbst gefundenen Kanal verifizieren?

Die überzeugendsten geschäftlichen E-Mails sind nicht immer die sichersten. Ein echter Firmenname, eine reale Adresse, eine ordentliche Signatur und authentifizierte E-Mails können neben einer Identität stehen, die nach wie vor unbestätigt ist. Ein paar Minuten Prüfung können eine Fabrik vor einem weitaus größeren Verlust bewahren.

Haftungsausschluss
Dieser Artikel basiert auf einer bei ClipClop eBike eingegangenen Großhandelsanfrage sowie auf öffentlich zugänglichen Unternehmens- und Sicherheitsinformationen. Persönliche Details wurden weggelassen oder verallgemeinert. Dies ist weder eine rechtliche Feststellung noch eine strafrechtliche Anschuldigung gegen eine Einzelperson oder ein Unternehmen.