Der Diebstahl beginnt vor der Tat: Wie organisierte Banden Ladungsdiebstahl vorbereiten

Ein Autohof an der A4 bei Köln, mitten in der Nacht. Ein Wachmann sieht einen beladenen Sattelauflieger noch am Abend in einer Parklücke stehen. Am nächsten Morgen ist er weg. Kein Schloss aufgebrochen, keine Zeugen, keine Hektik. Nur ein leerer Stellplatz und eine Anzeige bei der Polizei.

Genau solche Fälle habe ich in meinem Gedankenexperiment „Was wäre, wenn jemand unsere Lieferketten attackiert?" beschrieben, allerdings aus einer sehr abstrakten Perspektive: Was passiert, wenn jemand nicht die Ware selbst angreift, sondern das Vertrauen, auf dem unsere gesamte Versorgung beruht? Ladungsdiebstahl ist genau das. Nur eben nicht als Gedankenspiel, sondern als tägliche Realität auf deutschen Rastplätzen und in digitalen Frachtenbörsen.

Über einen ganz konkreten Fall aus Köln, bei dem ein Spediteur mit einem versteckten GPS-Tracker eine Bande sogenannter Phantomfrachtführer überführen konnte, habe ich bereits ausführlich berichtet . Diesmal soll es nicht um diesen einen Fall gehen, sondern um etwas, das in der Berichterstattung fast immer zu kurz kommt: die Vorarbeit. Denn kein Sattelauflieger verschwindet einfach so, und kein Betrüger bekommt einfach so eine Ladung ausgehändigt. Beides braucht Vorbereitung. Nur sieht diese Vorbereitung heute sehr unterschiedlich aus, je nachdem, ob die Täter auf dem Hof stehen oder am Bildschirm sitzen.

Die alte Schule: Beobachten, tarnen, zuschlagen

Der Bundesverband Güterkraftverkehr Logistik und Entsorgung (BGL) warnt seit Jahren davor, dass klassischer Ladungsdiebstahl selten Zufall ist. Auch die polizeiliche Kriminalprävention formuliert es unmissverständlich: Die Taten sind gut geplant, mitunter werden komplette Sattelzüge entwendet, und nicht selten sind die Täter sogar in die Transportkette involviert. Sie leisten ihren Beitrag durch das Weitergeben von Informationen oder das gezielte Ausspähen und Abklären von Tatobjekten und Tatorten.¹

Das deckt sich mit dem, was das Bundesamt für Logistik und Mobilität (vormals Bundesamt für Güterverkehr) bereits vor Jahren in seinem Sonderbericht zu Diebstählen im Transportbereich dokumentiert hat: organisierte Banden, die gezielt nach unzureichend gesicherten Fahrzeugen, Ladungsarten und Stellplätzen suchen.²

In der Praxis bedeutet das: Bevor überhaupt eine Plane aufgeschlitzt oder ein Auflieger abgekoppelt wird, wissen die Täter längst, wonach sie suchen. Welcher Autohof schlecht beleuchtet ist. Welche Wochenenden nur mit einem einzelnen Werksschutzmitarbeiter besetzt sind. Welche Fahrzeuge regelmäßig hochwertige Ware transportieren. Diese Informationen fallen nicht vom Himmel, sie werden gesammelt, manchmal über Wochen.

Eine eigene Erfahrung aus der Zeit bei DHL Freight

Ich habe das selbst erlebt, als ich noch als Subunternehmer für DHL Freight unterwegs war. In dieser Zeit gelang es Tätern, an einem Wochenende gleich zwei komplette Auflieger voller Fernseher vom Betriebsgelände zu stehlen. Ausgerechnet an einem Wochenende, an dem nur der Werksschutz vor Ort war.

Bemerkenswert war dabei nicht nur der Zeitpunkt. Die Täter traten mit allen Erkennungsmerkmalen eines echten Subunternehmers auf. Fahrzeuge, Kennzeichnung, Auftreten, alles wirkte auf den ersten Blick vollkommen plausibel. Niemand vom Werksschutz hatte einen Grund, misstrauisch zu werden. Genau das ist der Punkt: Die eigentliche Leistung der Täter bestand nicht im Diebstahl selbst, sondern in der Tarnung, die diesen Diebstahl überhaupt erst ermöglichte. Wer weiß, wie ein Subunternehmer typischerweise auftritt, welche Papiere er vorzeigt und wie der Ablauf an der Rampe funktioniert, kann sich fast unbemerkt in eine bestehende Struktur einschleusen.

Die neue Schule: Vorarbeit am Bildschirm

Während sich am Autohof nach wie vor Wachleute, Kameras und aufmerksame Fahrer als Hindernis in den Weg stellen, hat sich ein zweiter Vorbereitungsweg etabliert, der ganz ohne physische Präsenz auskommt: der Zugriff auf digitale Zugangsdaten.

Seit September 2025 ist eine Angriffswelle aktiv, bei der Kriminelle gezielt gefälschte Domains registriert haben, um die Identitäten von Speditionen, Frachtenbörsen und Logistikdienstleistern zu kompromittieren. Nach aktuellen Erkenntnissen wurden dabei bereits über 1.600 eindeutige Zugangsdaten zu wichtigen Branchenplattformen erbeutet, darunter Flottenmanagementsysteme, Frachtenbörsen und Bezahldienste.³ Wer im Besitz gültiger, aber gestohlener Zugangsdaten ist, muss keine Firewall überwinden. Er meldet sich einfach an, so, als wäre er der rechtmäßige Nutzer.

Mir liegen inzwischen auch aus meinem eigenen Netzwerk entsprechende Hinweise vor. Mehrere Speditionen haben mir in den vergangenen Wochen unabhängig voneinander berichtet, dass verstärkt versucht wird, über Phishing-Mails oder gezielten Identitätsdiebstahl an Zugangsdaten zu Frachtenbörsen-Konten oder an vertrauliche Frachtdaten zu gelangen. Aus nachvollziehbaren Gründen möchten die betroffenen Unternehmen an dieser Stelle nicht namentlich genannt werden, doch die Häufung solcher Meldungen ist bemerkenswert und deckt sich mit dem, was auch überregional beobachtet wird.

Diese Vorarbeit unterscheidet sich fundamental von der physischen Ausspähung eines Autohofs. Niemand muss nachts durch die Gegend fahren und Stellplätze fotografieren. Es reicht, eine überzeugende E-Mail zu verschicken und zu warten, bis jemand auf einen Link klickt oder Zugangsdaten in eine gefälschte Login-Maske eingibt.

Warum Frachtenbörsen zum bevorzugten Ziel werden

Frachtenbörsen wie TIMOCOM, Trans.eu oder Teleroute sind für die Branche unverzichtbar, gerade weil dort in Sekundenschnelle Ladung und Laderaum zusammenfinden. Genau diese Geschwindigkeit macht sie aber auch attraktiv für Betrüger.

TIMOCOM als europäischer Marktführer wirbt selbst damit, jedes Unternehmen vor der Freischaltung einer Eingangsprüfung zu unterziehen. Wer zusätzlich den sogenannten Business Partner Check durchläuft, wird als verifiziertes Unternehmen gekennzeichnet, sichtbar für alle anderen Marktteilnehmer.⁴ Ein eigens entwickelter Algorithmus scannt die Börse zudem fortlaufend auf Unregelmäßigkeiten.

Das erschwert es Betrügern erheblich, sich direkt auf der Plattform ein gefälschtes Konto einzurichten, das dann unbemerkt bliebe. Genau deshalb verlagert sich der Angriffspunkt aber zunehmend an die Ränder des Systems: auf E-Mail-Kommunikation außerhalb der Plattform, auf Telefonate, auf Momente, in denen ein Disponent unter Zeitdruck eine Nachricht für bare Münze nimmt, ohne sie über die Plattform selbst zu verifizieren. Genau davor warnt auch TIMOCOM in den eigenen Sicherheitshinweisen ausdrücklich und rät, Auftragsbestätigungen und Kommunikation möglichst innerhalb der geprüften Plattformstruktur zu halten statt über offene E-Mail-Kanäle.⁵

Für einen ausführlichen Artikel zu diesem Thema habe ich mittlerweile bei mehreren großen Frachtenbörsen, darunter TIMOCOM, Trans.eu und Teleroute, um ein Statement gebeten, wie sie konkret gegen Identitätsdiebstahl und Phishing-Versuche im Zusammenhang mit ihrer Plattform vorgehen. Sobald mir Antworten vorliegen, werde ich sie an dieser Stelle beziehungsweise in einem Folgeartikel einordnen.

Zwei Wege, ein Prinzip

So unterschiedlich der Autohof bei Köln und eine gephishte Frachtenbörse auf den ersten Blick wirken, folgen beide demselben Grundprinzip: Wer erfolgreich stehlen will, greift nicht zuerst nach der Ware. Er verschafft sich zuerst Zugang, sei es durch eine überzeugende Tarnung vor Ort oder durch gestohlene Zugangsdaten am Bildschirm.

Genau das hatte ich in meinem Gedankenexperiment zu Lieferkettenangriffen bereits vermutet: dass moderne Logistik nicht in erster Linie von Zäunen und Schlössern lebt, sondern von Vertrauen. Vertrauen darauf, dass ein Subunternehmer tatsächlich der ist, für den er sich ausgibt. Vertrauen darauf, dass eine E-Mail wirklich von der Frachtenbörse stammt. Genau dieses Vertrauen ist die eigentliche Schwachstelle, die organisierte Banden und Phantomfrachtführer gleichermaßen ausnutzen.

Für Speditionen bedeutet das: Sicherheit hört nicht bei der Schranke oder der Kamera auf. Sie beginnt bei der Frage, wie gut ein Unternehmen in der Lage ist, Vertrauen zu überprüfen, bevor es gewährt wird. Für uns Fahrer bedeutet es vor allem eines: Aufmerksamkeit bleibt auch dann eine Waffe, wenn die eigentliche Tat längst nicht mehr auf dem Betriebshof beginnt, sondern in einem Postfach.

Quellen und weiterführende Informationen

• Mein Artikel: Was wäre, wenn jemand unsere Lieferketten attackiert?
• Mein Artikel: Phantomfrachtführer: Wenn die Ware ganz legal verschwindet