Seit ein paar Tagen kommt es immer wieder zu Meldungen, dass eine neue Firmen-Suchmaschine namens Erfahrungen.app die Daten von meiner Firma (natürlich auch andere) erfasst hat und man soll sich doch bitte registrieren. Ich habe einmal recherchiert und kann nur feststellen, dass das Ganze nicht nur neu ist, sondern auch die Bewertungen von anderen Plattformen wie TrustLocal, TrustPilot, CHECK24, und so weiter kopiert und in einer eigenen Datenbank zusammenfasst. Deshalb meine aktuelle Warnung nicht vor schnell einen neuen Werbevertrag abschließen, denn es gibt bei Erfahrungen. App noch nicht mal ein vernünftiges und Bewertbares Impressum.

Der erste Eindruck ist nach meiner Prüfung im Kern richtig: erfahrungen.app wirkt derzeit wie ein sehr junges, automatisiert aufgebautes Bewertungs- und Firmenverzeichnis, das massenhaft Unternehmensprofile aus öffentlichen Daten erzeugt und dabei offenbar Bewertungsdaten anderer Plattformen übernimmt. Ich würde die drei Profile momentan weder kostenpflichtig buchen noch vorschnell „beanspruchen“.

Was ich konkret gefunden habe:

• Die Firma muss einer Aufnahme offenbar nicht zustimmen. Die Plattform erklärt selbst, rund 1,3 Millionen öffentliche Firmenprofile zu führen. Ein nicht beanspruchtes Profil könne anschließend vom Unternehmen registriert bzw. „beansprucht“ werden. Dass Reiseblog24, CSP24 oder Artem24 im jeweiligen eigenen Impressum nichts dazu schreiben, ist daher nicht überraschend.
• Die Bewertungsbestände sehen sehr stark nach einer Übernahme von Trustpilot aus. Beispielsweise führt erfahrungen.app bei CHECK24 exakt 363.933 Bewertungen auf, zeigt aktuelle vollständige Rezensionstexte, Verfasser, Zeitpunkte, „verifiziert“-Kennzeichnung, Antwortquote und typische Antwortzeit. Das sind charakteristische Trustpilot-Daten. Auch Adressen wie Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein. tauchen als Firmenkontakt auf. Beispiel CHECK24, Beispiel Weltbild
• In der Datenschutzerklärung räumt die Plattform selbst ein, „öffentlich zugängliche Bewertungsmetadaten anderer Portale“ zu verarbeiten. Eine klare, gut sichtbare Zuordnung jeder einzelnen Bewertung zu Trustpilot konnte ich aber nicht feststellen. Datenschutzerklärung
• Die behaupteten „22.000.000 echten Kundenbewertungen“ sind also offenbar nicht gleichbedeutend mit 22 Millionen originär bei erfahrungen.app abgegebenen Bewertungen. Die Darstellung kann beim flüchtigen Lesen einen anderen Eindruck vermitteln.
• Es gibt deutliche Fehler, die für einen automatisierten Import sprechen: Das Profil unter holidaycheck.de wird beispielsweise als „Joachim u. Karl-Heinz Hegele Gasthaus“ bezeichnet, zeigt aber Rezensionen zu HolidayCheck. Bei Weltbild passen Firma, Sitz und Adresse ebenfalls erkennbar nicht sauber zusammen.
• Die Website behauptet zugleich, „eigene Daten“ zu haben und „kein US-Portal mit deutscher Oberfläche“ zu sein. Das passt schlecht zu ihrer eigenen Datenschutzerklärung und den AGB, die als Betreiber eine US-Gesellschaft nennen. Selbstdarstellung

Besonders problematisch finde ich die Betreiberangaben:

• Im aktuellen Impressum steht „Erfahrungen Deutschland GmbH, Gänsemarkt 43, Hamburg“.
• Eine Handelsregisternummer, das zuständige Register, eine vertretungsberechtigte natürliche Person und eine Telefonnummer fehlen dort.
• Dagegen nennen Datenschutzerklärung und AGB eine „erfahrungen.app LLC“ in Kalifornien als Betreiber bzw. Verantwortlichen.
• Die dort angegebene Adresse 10100 Santa Monica Blvd, Suite 2600 ist keine eindeutig zuordenbare Betreiberadresse; sie wird auch von verschiedenen anderen Unternehmen verwendet.
• Für beide genannten Gesellschaften konnte ich über eine normale öffentliche Suche keinen belastbaren Registerbeleg finden. Das beweist nicht, dass sie nicht existieren – aber für eine Plattform, die Transparenz und Registerprüfung zu ihrem Kerngeschäft erklärt, ist dieser Widerspruch ein erhebliches Warnsignal.
• Die Domain besteht zwar seit 2021, die derzeitige Plattform und ihre Rechtstexte scheinen aber erst seit Ende August 2026 in dieser Form online bzw. indexiert zu sein. Die Eigenangaben „900 übernommene Profile“, „1,3 Millionen Profile“ und „Deutschlands #1 Bewertungsportal“ sind derzeit nicht unabhängig belegt.

Meine Einschätzung: Ich kann aufgrund dessen nicht sagen, dass es sich um Betrug handelt. Für einen seriös nachprüfbaren Geschäftspartner reichen die vorliegenden Angaben momentan aber ebenfalls nicht. Es handelt sich wahrscheinlich vor allem um eine aggressive Akquise: Profile werden automatisiert angelegt, Firmen werden darüber informiert und zur Registrierung gebracht; anschließend werden Pakete für 49€, 99€ oder 299€ monatlich angeboten.
Laut Preisseite soll das reine Beanspruchen kostenlos sein, kostenpflichtige Tarife werden aber prominent vermarktet. Preise und Leistungsumfang

Was ich gemacht habe:

1. Nicht über den Link in der Mail registrieren und nichts bezahlen.
2. Die Profilseiten und die erhaltenen E-Mails einschließlich vollständiger Kopfzeilen sichern.
3. Schriftlich Herkunft, Rechtsgrundlage und genaue Quelle der dargestellten Bewertungen verlangen.
4. Außerdem Handelsregisterauszug, Registernummer und Vertretungsberechtigte der „Erfahrungen Deutschland GmbH“ beziehungsweise Registerbeleg der LLC anfordern.
5. Der weiteren werblichen Kontaktaufnahme ausdrücklich widersprechen. Unverlangte Werbe-E-Mails erfordern grundsätzlich auch im B2B-Bereich eine vorherige ausdrückliche Einwilligung; die Ausnahmen sind eng begrenzt. Das ergibt sich aus § 7 UWG.

Hier die wichtigsten Punkte:

Michael Lieder

So sieht eine Original-Erpresser-E-Mail aus:

Was steckt dahinter?

Wie sollte ich reagieren?

Originaltext aus einer Erpressungs-eMail:

GPSR-Compliance für Ihren Shop ab Dezember 2024

Hier sind die wichtigsten Punkte, die Sie zur GPSR-Compliance wissen und umsetzen sollten:

EMOTET ist eine sehr komplexe und gefährliche Schadsoftware, die erstmals im Jahr 2014 entdeckt wurde. Seitdem hat sie sich zu einer der gefährlichsten und am weitesten verbreiteten Schadsoftware auf der Welt entwickelt. Was EMOTET so besonders macht, sind seine Fähigkeit, sich selbstständig zu verbreiten und seine modular aufgebaute Struktur, die es Hackern ermöglicht, zusätzliche Funktionen hinzuzufügen.

EMOTET wird in der Regel als Malware-as-a-Service (MaaS) verkauft, was bedeutet, dass Kriminelle es mieten können, um ihre eigenen Angriffe durchzuführen. EMOTET wird oft als "Banking-Trojaner" bezeichnet, da er ursprünglich darauf abzielte, Bankdaten und Finanzinformationen zu stehlen. Inzwischen ist EMOTET jedoch zu einem universellen Tool geworden, das von Kriminellen für eine Vielzahl von Zwecken eingesetzt wird, darunter:

• Verbreitung von Ransomware und anderen Malware-Typen
• Phishing-Angriffe, bei denen Benutzer dazu verleitet werden, persönliche Informationen preiszugeben oder auf schädliche Links zu klicken
• Spionage und Diebstahl von Unternehmensdaten
• Verbreitung von Spam und anderen unerwünschten E-Mails

EMOTET nutzt verschiedene Techniken, um sich zu verbreiten, einschließlich Social Engineering und Spear-Phishing-Angriffe. Sobald sich EMOTET auf einem System befindet, kann es sich selbstständig verbreiten und andere Systeme im Netzwerk infizieren. Überdies ist EMOTET schwer zu erkennen und zu entfernen, da es sich in der Regel in mehreren Schichten von Verschlüsselung und Code-Obfuscation versteckt.

Insgesamt ist EMOTET eine äußerst gefährliche und ausgefeilte Schadsoftware, die von Kriminellen auf der ganzen Welt eingesetzt wird. Es ist wichtig, dass Benutzer und Unternehmen sich bewusst sind, wie EMOTET funktioniert und wie man sich dagegen schützen kann. Dazu gehört die Verwendung von Antiviren-Software, das Aktualisieren von Software und Betriebssystemen, das Durchführen von regelmäßigen Sicherungskopien und Schulungen von Mitarbeitern zu Phishing-Angriffen.

Was können Sie tun?

• eMails mit Werbung, Gewinnbenachrichtigungen oder anderen „komischen“ Betreffs oder auch ohne Betreff einfach löschen und nicht öffnen.
• Klicken Sie nicht auf Links bei eMails, deren Absender Sie nicht kennen
• Achten Sie auf die typischen Phishing-Anzeichen wie:
  • Unbekannte oder kryptische oder nicht passende eMail-Adresse
  • Linkadresse versteckt oder passt nicht zum Inhalt, z.B. generische Zeichenfolge
  • Dringlichkeit der eMail ist sehr hoch, evtl. vom Vorgesetzten oder einem Krisenstab

Es gibt verschiedene Maßnahmen, die Unternehmen und Einzelpersonen ergreifen können, um sich vor EMOTET zu schützen:

1. Verwenden Sie eine zuverlässige Antiviren-Software: Eine gute Antiviren-Software kann helfen, EMOTET zu erkennen und zu entfernen, bevor es Schaden anrichten kann.

2. Aktualisieren Sie Ihre Software und Betriebssysteme: EMOTET nutzt oft Schwachstellen in veralteter Software und Betriebssystemen aus, um sich zu verbreiten. Durch das Aktualisieren von Software und Betriebssystemen können diese Schwachstellen geschlossen werden.

3. Führen Sie regelmäßige Sicherungskopien durch: Wenn Ihre Daten gesichert sind, können Sie im Falle einer Infektion durch EMOTET Ihre Daten wiederherstellen, ohne Lösegeld zu zahlen.

4. Schulen Sie Ihre Mitarbeiter: Mitarbeiter sollten über Phishing-Angriffe und andere Methoden aufgeklärt werden, die EMOTET verwendet, um sich zu verbreiten. Sie sollten wissen, wie man verdächtige E-Mails erkennt und welche Maßnahmen sie ergreifen sollten, wenn sie eine verdächtige E-Mail erhalten.

5. Blockieren Sie unerwünschte E-Mails: EMOTET wird oft über Spam- und Phishing-E-Mails verbreitet. Sie können Ihre E-Mail-Filter so einrichten, dass unerwünschte E-Mails automatisch blockiert werden.

6. Implementieren Sie eine Netzwerksicherheitsstrategie: Eine gut konzipierte Netzwerksicherheitsstrategie kann helfen, Ihre Netzwerke und Systeme gegen EMOTET und andere Schadsoftware zu schützen. Dies kann den Einsatz von Firewalls, Intrusion Detection und Präventions Systemen und anderen Sicherheitsvorkehrungen umfassen.

Insgesamt ist die beste Verteidigung gegen EMOTET eine Kombination aus technischen Schutzmaßnahmen, regelmäßigen Schulungen von Mitarbeitern und einer vorsichtigen und proaktiven Haltung gegenüber der Cybersicherheit.