Der Antrag, der ein Vertrag ist
Die Mail kam an die allgemeine Firmenadresse, an die alles kommt: Rechnungen, Bewerbungen, Newsletter. Betreff „Ihr Firmen-Eintrag 2026/2027". Im Anhang ein einseitiges PDF.
Oben ein Wort in großer Schrift, darunter der Name eines Bundeslandes. Kein Logo, kein Absender im Kopf. Darunter die eigenen Firmendaten — vollständig, richtig geschrieben, mit der Bitte, sie zu prüfen und gegebenenfalls zu korrigieren. Rücksendung per Fax oder Mail.
Wer unterschreibt, schließt einen Vertrag über 1.860 Euro.
Das Dokument
Alle Firmendaten sind hier durch Musterwerte ersetzt, Absender und Domain neutralisiert. Sonst ist das die Seite, wie sie ankam.
Und jetzt das Entscheidende, weil es der Punkt ist, an dem die meisten Erklärungen dieser Masche danebengreifen:
Dieses Dokument versteckt nichts.
Der Preis steht drin. Die zwei Jahre Laufzeit stehen drin. Die automatische Verlängerung steht drin. Der Satz, dass hier kein Amt schreibt, steht drin. Es gibt kein Kleingedrucktes im Sinne von unlesbar, keinen versteckten Haken, keine falsche Behauptung, die man widerlegen könnte.
Alles steht da. Es steht nur jeweils an der Stelle, an der gerade niemand hinsieht.
Der Hebel ist der Rahmen, nicht das Detail
Ein Formular, das nach Verwaltung aussieht, wird auf Richtigkeit geprüft und nicht auf Notwendigkeit.
Das ist die ganze Mechanik. Die vorausgefüllten Daten verschieben die Frage von „will ich das?" zu „stimmt das?". Die zweite Frage ist in Sekunden beantwortet — Straße stimmt, PLZ stimmt, Telefonnummer stimmt — und wer sie beantwortet hat, fühlt sich fertig. Die erste Frage wird nie gestellt.
Dass die Daten stimmen, belegt übrigens gar nichts. Sie stammen aus offenen Quellen. Richtige Daten sind kein Nachweis einer bestehenden Geschäftsbeziehung, sie sind nur ein Nachweis, dass jemand ein Handelsregister lesen kann.
Wo der Preis steht
Nicht im Betreff. Nicht über den Feldern. Sondern in einer schmalen Spalte am rechten Rand, eingebettet zwischen Lob des Leistungsumfangs und dem Hinweis auf einen kostenlosen Basiseintrag, den man woanders beantragen muss.
Der Preis ist nicht versteckt. Er ist umstellt.
Dazu kommt eine Aufteilung, die kein Zufall ist: Der Jahrespreis steht im Randtext, die Laufzeit und die Gesamtsumme im Fließtext weiter unten. Die kleinere Zahl steht dort, wo mehr Leute lesen. 930 klingt nach einer Position, über die man nachdenkt. 1.860 klingt nach einer Entscheidung.
Und die Verlängerung: automatisch um je ein weiteres Jahr, wenn nicht mindestens drei Monate vor Ablauf schriftlich gekündigt wird. Bei zwei Jahren Laufzeit. Wer nach dem ersten Jahr merkt, dass da nichts kommt, kann nichts tun.
Der Satz, der alles verrät
„Dieser Antrag ist behörden- und kammerunabhängig und ohne öffentlichen Auftrag."
Dieser Satz steht nicht aus Ehrlichkeit da. Er steht da, weil er dastehen muss.
Ein Schreiben, das wie eine amtliche Aufforderung aussieht, braucht die Klarstellung, dass es keine ist — sonst wäre die Aufmachung nicht zu halten. Der Satz ist damit kein Zugeständnis an den Leser, sondern die Quittung für die Gestaltung.
Kein Amt schreibt einem, dass es kein Amt ist.
Wer das einmal gehört hat, findet den Satz auf jedem Dokument dieser Art wieder. Er ist der zuverlässigste Marker überhaupt, zuverlässiger als jedes Gefühl beim Lesen.
Die Unterschrift ist kein Häkchen
Das Dokument sagt es selbst: Der Antrag „wird somit zum Auftrag und Vertragsdokument". Die Unterschrift bestätigt nicht geprüfte Daten. Sie schließt ab.
Passend dazu der Rückkanal: Fax oder Mail, beides an eine Adresse, die nicht zur Absenderdomain der Mail passt. Ein unterschriebenes Blatt Papier ist ein Beweisstück, und der Weg dorthin ist praktisch nicht umkehrbar.
Daraus lässt sich eine brauchbare Faustregel machen, die über diesen Fall hinausgeht: Je schwerer ein Rückkanal umkehrbar ist, desto genauer lohnt der Blick vorher. Ein Klick lässt sich zurücknehmen. Ein Fax nicht.
Warum hier keine Technik hilft
Die Mail war sauber. Der Anhang war sauber. Kein Makro, kein Link, kein Skript, keine Nutzlast — es gab schlicht nichts abzuwehren.
Kein Spamfilter hätte hier angeschlagen, keine Endpoint-Software, kein Backup. Und das ist der Teil, der diesen Fall für Techniker interessant macht: Alles, was wir sonst aufbauen, greift an dieser Stelle ins Leere.
Angegriffen wird nicht ein System, sondern der Ablauf im Büro. Die Annahme, dass Post mit dem eigenen Firmennamen zu einem laufenden Vorgang gehört. Die Gewohnheit, ein Formular zu ergänzen statt es infrage zu stellen. Und eine Zuständigkeit, die nirgends geregelt ist.
Der Unterschied zu einem Fall wie Ransomware über ein altes Scanner-Passwort ist genau der: Dort gab es eine Lücke, die man schließen kann. Hier gibt es keine. Es gibt nur einen Ablauf, den niemand aufgeschrieben hat.
Zweiter Grund, warum das funktioniert: Die Masche zielt nicht auf die Geschäftsführung. Sie geht an die allgemeine Adresse und landet dort, wo Routine abgearbeitet wird — bei jemandem, der den Firmennamen auf einem Formular sieht und daraus schließt, dass das zu irgendetwas gehört.
Die Gegenmaßnahme kostet nichts
Sie ist ein Satz, und der muss nicht bei der IT liegen, sondern bei allen, die Post öffnen:
Was nicht bestellt wurde, bekommt keine Unterschrift.
Dazu eine Zuständigkeit, die benannt ist. Nicht „im Zweifel fragt man jemanden", sondern: Diese eine Person entscheidet, ob etwas unterschrieben wird, und niemand sonst. Das ist keine Prozessreform, das ist ein Halbsatz in einer Einarbeitung.
Wer mag, hängt die Nummer sechs daneben — kein Amt schreibt einem, dass es kein Amt ist.
Wenn schon unterschrieben wurde
Was Firmen in dieser Lage in der Regel tun, in dieser Reihenfolge:
Nicht sofort zahlen, um Ruhe zu haben. Eine Zahlung ist später ein Argument gegen die eigene Position.
Alles sichern: das Original, den Umschlag oder die Mail, das Eingangsdatum. Es kommt auf die Aufmachung an, und die lässt sich nur belegen, solange man sie hat.
Anwaltlich prüfen lassen, ob überhaupt ein wirksamer Vertrag zustande kam und ob eine Frist läuft. Das ist der Punkt, an dem dieser Beitrag aufhört: Ob und wie man aus so etwas herauskommt, entscheidet sich am Einzelfall und gehört zu einem Anwalt, nicht in einen Blogbeitrag.
Sachlich reagieren, schriftlich, ohne Schuldeingeständnis.
Und intern festhalten, wie es passiert ist. Nicht um jemanden zu belangen — sondern weil die Lücke im Ablauf sonst offen bleibt und die nächste Mail in einem Jahr wieder ankommt.
Das Dokument zum Nachlesen
Die vollständige anonymisierte Seite liegt hier als PDF: Eintragungsantrag, anonymisiert .
Firmendaten sind durch Musterwerte ersetzt, Absender und Domain neutralisiert. Wer es weitergibt, gibt nichts weiter — der Text ist echt aus dem Dokument entfernt, nicht mit Balken überdeckt. Warum das ein Unterschied ist und woran man dabei scheitert, wird ein eigener Beitrag.