06.11.2025
BETRUGSVERSUCH

Das Merch: Vermeintlicher Konzern bestellt 25.000 T-Shirts – Kunde jedoch Scammer

Was nach einem großen Auftrag aussah, entpuppte sich schlussendlich als Scam-Versuch beim heimischen Startup "Das Merch". Gründer Klaus Buchroithner skizziert den gesamten Vorfall, erläutert die Folgen davon und erklärt, warum er die Person hinter dem Betrug "vielleicht für einen netten Scammer" hält.
/artikel/das-merch-vermeintlicher-konzern-bestellt-25-000-t-shirts-kunde-jedoch-scammer
Das Merch
© Linkedin/Buchroithner - Klaus Buchroithner von "Das Merch".

Der größte Auftrag des Jahres. So schien es letzte Woche beim österreichischen Startup „Das Merch“. Man bekam von einem französischen Konzern, der Umsätze in Milliardenhöhe macht, eine Anfrage über 25.000 T-Shirts (unbedruckt). So wirkte es zumindest.

Das Merch-Founder zweifelte weil „alles zu schnell ging“

„Wir haben uns extrem gefreut“, sagt Gründer Klaus Buchroithner, der zu der Zeit im Urlaub weilte. Der vermeintliche Kunde schickte offizielle Unterlagen durch und lieferte sogar echte Namen von zuständigen Personen für die Bestellung. Alles sah korrekt aus, „Das Merch“ erhielt sogar ein bereits unterzeichnetes Angebotsdokument – mit einem offiziell wirkenden Firmenstempel.

Dass es zudem zu einer Verzögerung der Zahlung für den Auftrag kam, war auch keine „Red Flag“ für das Team, denn in der Vergangenheit war es nicht unüblich, dass bei Konzernbestellungen das Geld aus diversen firmenbürokratischen Gründen – im Gegensatz zur üblichen Vorauszahlung – erst später eintrudeln würde.

Erste Zweifel an der Rechtmäßigkeit des Auftrags traten bei Buchroithner jedoch dann auf, als alles „zu schnell“ ging: „Die Abwicklung und Auftragserteilung kam so plötzlich, ohne dass wir uns, wie im Normalfall, irgendwo registrieren mussten. Auch eine typische ‚Due Dilligence‘, die Konzerne durchführen, blieb aus. Es war einfach alles zu leicht“, sagt der oberösterreichische Gründer.

„Bitte absichern“

Buchroithner, der von seinem Team kontaktiert worden war, hatte im Urlaub die nötige Distanz und Ruhe, um über alles zu reflektieren und wurde noch misstrauischer, als er von dem „Auftraggeber“ den Rat erhielt, die Order versichern zu lassen.

„Zuerst dachte ich, sie wollen eine Absicherung, dass wir liefern können und sich quasi selbst absichern“, erklärt Buchroithner. Dem war aber nicht so. Der vermeintliche Auftraggeber riet tatsächlich dazu, den eigenen Auftrag abzusichern.

Buchroithner informierte sich in Folge dessen beim KSV über den Konzern, fand heraus, dass das französische Unternehmen seinen Milliardenumsatz heuer um 20 Prozent steigern konnte. „Das alles und die Aufforderung zur Versicherung hat mich selbst verunsichert und ich habe dann Gemini (Anm.: von Google entwickelter KI-basierter Chatbot) gefragt, auf welche Punkte man in exakt diesem Fall schauen sollte.“

Die Künstliche Intelligenz gab Tipps und fand schlussendlich Unregelmäßigkeiten. Also wies Buchroithner sein Team an, Montagfrüh beim vermeintlichen Auftraggeber anzurufen.

Bande in ganz Europa aktiv

Dort kam heraus, dass der Konzern keinen offiziellen Auftrag vergeben hatte. „Sie haben sich entschuldigt und erklärt, dass sie eine Scammer-Bande gehackt habe, die in ganz Europa falsche Aufträge erteilt“, weiß Buchroithner jetzt.

Die übliche Masche der Scammer besteht darin, das sie „Last Minute“, die Lieferadresse ändern, dort dann mit einem Mittelsmann in einem Warehouse kooperieren oder die Lieferung abfangen, sprich stehlen, so die Vermutung. Dann die Shirts selbst bedrucken – nochmal zur Erinnerung: die Scammer wollten unbedruckte T-Shirts haben – und zum Mini-Preis verscherbeln. „Bei 25.000 T-Shirts kann man auch zu einem kleinen Preis Geld machen“, sagt Buchroithner.

Das Versicherungsmysterium

Ein Mysterium bleibt bei der ganzen Sache jedoch, die Aufforderung, den Auftrag zu versichern. Entgegen möglicher Annahmen, dass die Scammer auch eine Versicherungssumme auf ein Konto überwiesen bekommen wollten – so verhielt es sich nicht – weiß Buchroithner auch nicht genau, warum er diesen Rat erhalten hat: „Vielleicht war es ein netter Scammer, der uns sympathisch fand“, sagt er. „Und uns empfahl, ‚lasst euch lieber versichern‘. Aber meiner Meinung nach, hätte in so einem Fall keine Versicherung gezahlt.“

Das Merch-Dogma: „Vertrauen keine Einbahnstraße“

Auch wenn „Das Merch“-Team auf den Scam-Versuch draufkam, so gab es dennoch schwerwiegende Folgen für das Startup. Die Linzer haben bei ihrem Produktionspartner in Portugal zwar keinen offiziellen Auftrag vergeben, der Stoff für die 25.000 T-Shirts wurde dennoch produziert, weil der Produzent sonst mit dem nahenden Weihnachtsgeschäft in Verzug gekommen wäre.

„Es ist unsere Verantwortung“, sagt Buchroithner. „Aber wir haben uns nichts vorzuwerfen. Unsere langjährigen Partner haben übers Wochenende den Stoff produziert, Zeit investiert, alles ohne Anzahlung.“ Und da Vertrauen „keine Einbahnstraße sei“, nahm man den Stoff an und startete eine Aktion.

„Bis zum 30. November gibt’s die besten T-Shirts aus Portugal, mit eurem Logo, zum Top-Preis“, schreibt Buchroithner per Linkedin-Post. Man möchte aus einer schwierigen eine „win-win“-Situation machen, bei der es „in Portugal fair produzierte Shirts als hochwertige Geschenke, Teamwear, oder für Events gibt.“ Auch um zu zeigen, dass Vertrauen in beide Richtungen funktioniert.

Aktuell sind von den 25.000 T-Shirts bereits 5.000 verkauft worden. „Aufgrund unserer Liquidität ist diese Aktion für uns nicht total existenzbedrohend“, betont Buchroithner, „,und wir haben eine gute Lösung gefunden, aber es ist schon eine große Belastung. Es ist nicht so, dass wir das locker aus der Portokasse finanzieren können, deswegen ist alles, was wir wegbringen, eine Hilfe. Die Idee ist, auf einen Schlag soviel wie möglich wegzubringen, damit alle wieder normal weitermachen können.“

Deine ungelesenen Artikel:
10.11.2026

Bitcoin Austria geht gegen EU-Krypto-Meldepflicht DAC8 vor

Seit Anfang 2026 müssen Krypto-Dienstleister in der EU umfangreiche Kunden- und Transaktionsdaten erfassen. Die neue EU-Richtlinie DAC8 soll Steuerhinterziehung erschweren, sorgt jedoch für Kritik am Datenschutz. In Österreich will der Verein Bitcoin Austria die Meldepflichten nun gerichtlich überprüfen lassen.
/artikel/bitcoin-austria-geht-gegen-eu-krypto-meldepflicht-dac8-vor
10.11.2026

Bitcoin Austria geht gegen EU-Krypto-Meldepflicht DAC8 vor

Seit Anfang 2026 müssen Krypto-Dienstleister in der EU umfangreiche Kunden- und Transaktionsdaten erfassen. Die neue EU-Richtlinie DAC8 soll Steuerhinterziehung erschweren, sorgt jedoch für Kritik am Datenschutz. In Österreich will der Verein Bitcoin Austria die Meldepflichten nun gerichtlich überprüfen lassen.
/artikel/bitcoin-austria-geht-gegen-eu-krypto-meldepflicht-dac8-vor
(c) envato/twinsterphoto

Der Verein Bitcoin Austria geht gegen die neuen EU-Meldepflichten für Kryptowährungen vor. Rechtsanwalt Oliver Völkel brachte dazu im Oktober 2026 als Kunde des Grazer Krypto-Brokers Coinfinity eine Beschwerde bei der österreichischen Datenschutzbehörde ein. Coinfinity unterstützt die Initiative.

Zuvor hatte Völkel die Löschung seiner bei Coinfinity gespeicherten Daten beantragt, die der Broker aufgrund gesetzlicher Verpflichtungen ablehnte. Nun soll geklärt werden, ob die Datenerfassung mit dem Grundrecht auf Datenschutz vereinbar ist.

Was DAC8 für Krypto-Besitzer:innen bedeutet

Die EU-Richtlinie DAC8 erweitert den automatischen Informationsaustausch zwischen Steuerbehörden auf Kryptowährungen. In Österreich gilt seit dem 1. Jänner 2026 das entsprechende Krypto-Meldepflichtgesetz (brutkasten berichtete).

Seither müssen Krypto-Dienstleister personenbezogene Daten wie Name, Adresse und Steueridentifikationsnummer sowie Käufe, Verkäufe, Tauschgeschäfte und Übertragungen auf selbstverwahrte Wallets erfassen. An die Finanzbehörden werden neben den Kundendaten insbesondere aggregierte Jahressummen je Kryptowert übermittelt. Die ersten Meldungen für 2026 müssen in Österreich bis zum 31. Juli 2027 erfolgen.

Damit will die EU Steuerhinterziehung bekämpfen und den Informationsaustausch zwischen Finanzbehörden verbessern.

Kritik an umfangreicher Datensammlung

„Der Zweck von DAC8 ist an sich etwas Löbliches“, sagt Völkel. Die Initiative kritisiert jedoch den Umfang der Datenerfassung, insbesondere bei Übertragungen auf eigene Wallets. Diese lösen für sich genommen keinen steuerpflichtigen Gewinn aus, müssen aber gemeldet werden.

„Es ist so, wie wenn man den Banken vorschreiben würde, sie sollen jetzt melden, wie viel Bargeld eine Person im Jahr behoben hat“, erklärt Völkel.

Zudem könnten die Jahressummen die tatsächlichen Bestände verzerrt darstellen. Werden dieselben Bitcoin mehrfach auf eine eigene Wallet übertragen, fließen sie wiederholt in die Gesamtsumme ein. „Diese Aufsummierung sagt am Ende des Tages nichts aus“, kritisiert Völkel.

Eine österreichische Besonderheit ist zudem, dass Anbieter Daten auch für letztlich nicht meldepflichtige Kund:innen erfassen müssen. In Deutschland und den Niederlanden sind die entsprechenden Pflichten enger gefasst. Bitcoin Austria fordert daher unter anderem, Wallet-Übertragungen von der Meldepflicht auszunehmen und Speicherfristen zu verkürzen.

Datenlecks könnten Krypto-Besitzer:innen gefährden

Bitcoin Austria warnt außerdem vor Sicherheitsrisiken durch mögliche Datenlecks. Informationen über Krypto-Vermögen könnten Kriminellen helfen, gezielt Opfer für Erpressungen auszuwählen. Völkel verweist dabei auf das besondere Risiko selbstverwahrter Kryptowährungen: Während sich betrügerische Banküberweisungen unter Umständen rückgängig machen lassen, ist das bei Kryptowährungen in Selbstverwahrung in der Regel nicht möglich. „Das ist einfach ein ganz anderes Gefahrenpotenzial“, sagt er.

Laut der französischen Gendarmerie kam es in Frankreich seit Anfang 2025 durchschnittlich alle zwei bis drei Tage zu einem Vorfall im Zusammenhang mit Krypto-Besitz, darunter Entführungen und Geiselnahmen. Die Behörde bringt solche Angriffe unter anderem mit früheren Datenlecks in Verbindung. Ein direkter Zusammenhang mit DAC8 besteht nicht.

Auch in Frankreich wird DAC8 angefochten

Bereits im Februar 2026 brachte der Krypto-Anbieter Bull Bitcoin in Frankreich eine Beschwerde gegen die nationale Umsetzung von DAC8 ein. Eine Entscheidung steht bislang aus.

In Österreich rechnet Völkel zunächst mit einer Abweisung durch die Datenschutzbehörde. Anschließend will er den Rechtsweg über das Bundesverwaltungsgericht bis zum Verfassungsgerichtshof (VfGH) fortsetzen. „Ich rechne damit, dass sich der VfGH diese Überlegungen zumindest ernsthaft anschauen wird“, sagt er.

Langfristig hofft die Initiative auf eine Prüfung durch den EuGH. Als Vergleich nennt er die 2014 vom Europäischen Gerichtshof (EuGH) aufgehobene EU-Richtlinie zur Vorratsdatenspeicherung. „Die Grundrechtswidrigkeit steckt nicht nur im österreichischen Umsetzungsgesetz, sondern eigentlich in der EU-Grundlage“, argumentiert Völkel. Ein österreichisches Gericht könnte dem EuGH die Frage vorlegen, ob die Meldepflichten mit den EU-Grundrechten vereinbar sind.

Toll dass du so interessiert bist!
Hinterlasse uns bitte ein Feedback über den Button am linken Bildschirmrand.
Und klicke hier um die ganze Welt von der brutkasten zu entdecken.

brutkasten Newsletter

Aktuelle Nachrichten zu Startups, den neuesten Innovationen und politischen Entscheidungen zur Digitalisierung direkt in dein Postfach. Wähle aus unserer breiten Palette an Newslettern den passenden für dich.

Montag, Mittwoch und Freitag

AI Summaries

Das Merch: Vermeintlicher Konzern bestellt 25.000 T-Shirts – Kunde jedoch Scammer

AI Kontextualisierung

Welche gesellschaftspolitischen Auswirkungen hat der Inhalt dieses Artikels?

Leider hat die AI für diese Frage in diesem Artikel keine Antwort …

Das Merch: Vermeintlicher Konzern bestellt 25.000 T-Shirts – Kunde jedoch Scammer

AI Kontextualisierung

Welche wirtschaftlichen Auswirkungen hat der Inhalt dieses Artikels?

Leider hat die AI für diese Frage in diesem Artikel keine Antwort …

Das Merch: Vermeintlicher Konzern bestellt 25.000 T-Shirts – Kunde jedoch Scammer

AI Kontextualisierung

Welche Relevanz hat der Inhalt dieses Artikels für mich als Innovationsmanager:in?

Leider hat die AI für diese Frage in diesem Artikel keine Antwort …

Das Merch: Vermeintlicher Konzern bestellt 25.000 T-Shirts – Kunde jedoch Scammer

AI Kontextualisierung

Welche Relevanz hat der Inhalt dieses Artikels für mich als Investor:in?

Leider hat die AI für diese Frage in diesem Artikel keine Antwort …

Das Merch: Vermeintlicher Konzern bestellt 25.000 T-Shirts – Kunde jedoch Scammer

AI Kontextualisierung

Welche Relevanz hat der Inhalt dieses Artikels für mich als Politiker:in?

Leider hat die AI für diese Frage in diesem Artikel keine Antwort …

Das Merch: Vermeintlicher Konzern bestellt 25.000 T-Shirts – Kunde jedoch Scammer

AI Kontextualisierung

Was könnte das Bigger Picture von den Inhalten dieses Artikels sein?

Leider hat die AI für diese Frage in diesem Artikel keine Antwort …

Das Merch: Vermeintlicher Konzern bestellt 25.000 T-Shirts – Kunde jedoch Scammer

AI Kontextualisierung

Wer sind die relevantesten Personen in diesem Artikel?

Leider hat die AI für diese Frage in diesem Artikel keine Antwort …

Das Merch: Vermeintlicher Konzern bestellt 25.000 T-Shirts – Kunde jedoch Scammer

AI Kontextualisierung

Wer sind die relevantesten Organisationen in diesem Artikel?

Leider hat die AI für diese Frage in diesem Artikel keine Antwort …

Das Merch: Vermeintlicher Konzern bestellt 25.000 T-Shirts – Kunde jedoch Scammer