Das Bundesamt für Cybersicherheit hat am Montag vor einer Masche gewarnt, die es Swiss Washing nennt: Online-Shops, die sich als kleine Schweizer Geschäfte ausgeben, tatsächlich aber aus dem Ausland betrieben werden und Ware aus Asien zu überhöhten Preisen verkaufen.
Die Merkmale, die das BACS nennt, sind alltäglich genug, um zu funktionieren.
Die Adresse besteht aus einem Vornamen und einem Schweizer Städtenamen. Auf der Seite «Über uns» steht eine Gründungsgeschichte, die es nie gab. Oft kommt eine angebliche Geschäftsaufgabe dazu — sie erklärt, warum alles so günstig ist und warum man sich beeilen muss.
Was im Kleingedruckten steht
Zwei Stellen verraten die Herkunft, und beide stehen dort, wo niemand hinsieht.
Das Impressum fehlt entweder ganz oder nennt eine Adresse in Portugal, England oder den Niederlanden.
Die Rückgabebedingungen nennen das Hauptlager in Asien. Das ist der teure Teil: Das Rücksendeporto übersteigt den Warenwert oft deutlich. Wer zurückschicken will, zahlt drauf — und lässt es bleiben. Genau damit rechnen die Betreiber.
Das Detail, das Sie selbst nachsehen können
Die Bilder auf diesen Seiten stammen aus Bildgeneratoren. Das allein ist kein Betrugsmerkmal — viele seriöse Betriebe nutzen solche Werkzeuge.
Auffällig ist die Nachlässigkeit: Die Betreiber lassen die Dateinamen stehen. Im Quelltext solcher Seiten finden sich Dateien, die wörtlich «ChatGPT_Image_» und dann das Datum heissen.
Das lässt sich in zehn Sekunden prüfen. Rechtsklick auf ein Produktbild, «Bild in neuem Tab öffnen» oder «Grafikadresse kopieren» — und der Dateiname steht in der Adresszeile.
Ein Betrieb, der seine eigenen Produkte fotografiert hat, hat dort einen Dateinamen stehen, der nach seinem Produkt klingt.
Was in der Meldung nicht steht
Das BACS beschreibt die Masche. Es sagt nicht, wie diese Leute an eine .ch-Adresse kommen.
Die Antwort ist unspektakulär und steht bei der Registerbetreiberin selbst: Man muss weder Schweizerin noch Schweizer sein noch Wohn- oder Firmensitz in der Schweiz haben, um eine .ch-Adresse zu registrieren.
Es genügt ein Kontaktdatensatz mit vollständiger Anschrift. Geprüft wird er nicht.
Damit ist die .ch-Endung genau das, was sie technisch ist — eine Endung. Sie sagt nichts über den Ort, an dem jemand sitzt, und auch nichts darüber, ob es die Person überhaupt gibt. Wir haben das vor zwei Wochen ausführlicher beschrieben, als der Ständerat eine Änderung beschlossen hat.
Der zweite Teil, der jetzt wichtig wird
In jenem Beitrag ging es um zwei Punkte derselben Motion. Der erste ist der bekanntere: Schweizer Domains sollen künftig nur an eindeutig identifizierte Personen gehen.
Der zweite Punkt wirkte damals wie ein Nachsatz. Behörden sollen Domains nicht mehr nur bei Phishing oder Schadsoftware sperren können, sondern auch bei anderen Missbrauchsfällen.
Warum das zählt, zeigt ein Blick in die geltende Verordnung über Internet-Domains. Ihr Artikel 15 nennt genau drei Fälle, in denen die Registerbetreiberin eine Adresse blockieren darf:
a. mit unrechtmässigen Methoden an sensible Daten gelangen
b. schädliche Software verbreiten oder nutzen
c. Handlungen nach a oder b unterstützen
Ein Shop, der tatsächlich Ware liefert — nur schlechtere als versprochen und aus einem anderen Land — ist keines davon. Er verbreitet keine Schadsoftware, und er greift keine Zugangsdaten ab.
Es gibt im selben Artikel zwar einen Absatz zu falschen Angaben des Halters. Der erlaubt aber nur, eine bereits laufende Blockierung zu verlängern. Dasselbe gilt für die Aufforderung an den Halter, sich auszuweisen: Sie erfolgt gleichzeitig mit der Blockierung, nicht vorher.
Der Einstieg in dieses Verfahren ist immer derselbe Absatz — und Täuschung über die eigene Herkunft steht nicht darin.
Ob und wie sich das ändert, ist offen; die Motion ist ein Auftrag an den Bundesrat, kein geltendes Recht. Neun Tage nach dem Entscheid hat das BACS aber den Anschauungsfall geliefert.
Was das für einen Betrieb heisst
Beim Einkauf: Die drei Stellen prüfen, die kaum jemand ansieht — Impressum, Rückgabebedingungen, Dateinamen der Bilder. Das dauert eine Minute und greift auch dann, wenn die Seite professionell aussieht.
Beim eigenen Auftritt: Dieselben Merkmale wirken umgekehrt. Ein vollständiges Impressum mit echter Adresse, nachvollziehbare Rückgabebedingungen und eigene Produktbilder sind keine Formalien — sie sind das, woran ein Kunde Sie von einer Attrappe unterscheidet.
Wer Zweifel an einem Shop hat, kann das BACS über dessen Meldeformular informieren.