Werbebetrug erklärt: Bots, Klickbetrug und Gegenmittel

Werbebetrug ist jedes vorsätzliche Schema, das Werbeimpressionen, Klicks, Installationen oder Conversions vortäuscht, damit jemand für Traffic bezahlt wird, den keine echte, interessierte Person erzeugt hat. Bots, Klickfarmen, versteckte Anzeigen und gefälschte Websites sind die üblichen Werkzeuge. Klickbetrug, die Variante, die auf Pay-per-Click-Budgets zielt, ist die bekannteste Form.

Was ist Werbebetrug und wie funktioniert er

Digitaler Werbebetrug funktioniert, weil jeder Werbedeal jemanden für ein zählbares Ereignis bezahlt: eine Impression, einen Klick, eine Installation oder eine Registrierung. Eine Partei, die für dieses Ereignis bezahlt wird, etwa ein Publisher, ein App-Betreiber, ein Reseller oder ein Affiliate, bläht die Zahl mit Aktivität auf, hinter der kein Käufer steht.

Der Werbetreibende zahlt doppelt: für die gefälschten Ereignisse und noch einmal, wenn Gebotsregeln die aufgeblähten Platzierungen als Gewinner lesen und ihnen mehr Budget zuweisen. Auch ehrliche Publisher verlieren, weil sie im Preis mit Verkäufern konkurrieren, deren Zahlen erfunden sind.

Der Branchenbegriff lautet ungültiger Traffic (IVT). Er umfasst auch harmloses Rauschen wie Suchmaschinen-Crawler, daher ist nicht jeder ungültige Klick eine Straftat, aber jeder betrügerische Klick ist ungültig.

Arten von Werbebetrug

Werbebetrug tritt in sechs Hauptformen auf, und jede hinterlässt ihre eigenen Spuren in Ihren Daten.

Bot-Traffic: GIVT vs SIVT

Der Media Rating Council (MRC), das US-Branchengremium, das Werbemessung akkreditiert, teilt ungültigen Traffic in zwei Klassen ein. Allgemeiner ungültiger Traffic (GIVT) ist das, was Routinefilter mit Listen und Parameterprüfungen erkennen: bekannter Rechenzentrums-Traffic, deklarierte Crawler, User Agents, die keine Browser sind, Anzeigengrößen 0x0 und 1x1. Komplexer ungültiger Traffic (SIVT) lässt sich nur mit fortgeschrittener Analyse oder manueller Prüfung finden: Emulatoren, gekaperte Geräte, Bots, die sich als Nutzer ausgeben, ungültiger Proxy-Traffic und Rechenzentrums-Traffic, den erst eine tiefere Analyse aufdeckt.

Billige Bots laufen bei Hosting-Anbietern und wiederholen eine einzige einfache Aktion. In einem Bericht sehen sie aus wie Klone: ein Geräteprofil, nahezu sofortige Sitzungen, kein Scrollen. Einfache Skripte überspringen oft JavaScript, sodass der Tracker einen Klick erfasst, den das Pixel der Landingpage nie sieht.

Klickbetrug und Klickfarmen

Klickbetrug ist jeder Klick, der ein Pay-per-Click-Budget aufzehren oder die Einnahmen eines Publishers aufblähen soll. Googles Definition ungültiger Klicks umfasst Bot-Klicks und manuelle Klicks, die die Kosten eines Werbetreibenden in die Höhe treiben sollen, etwa wenn ein Wettbewerber auf Ihre Suchanzeigen klickt.

Eine Klickfarm setzt statt Skripten bezahlte Arbeitskräfte ein, die massenhaft tippen, installieren und sich registrieren, sodass nichts automatisiert wirkt. Der MRC ordnet organisierte, gesteuerte Klickfarm-Aktivität dem SIVT zu. Verräterisch ist, was danach passiert: Registrierungen, die nie zurückkehren oder zahlen.

Versteckte und gestapelte Anzeigen

Bei versteckten Anzeigen werden Impressionen abgerechnet, die niemand gesehen haben kann. Mehrere Anzeigen werden in einem Slot gestapelt, sodass nur die oberste sichtbar ist, Creatives werden in ein 1x1-Pixel gequetscht, oder Malware bzw. eine manipulierte Seite löst im Hintergrund Ad Calls aus.

Die Spur: eine Platzierung mit vielen Impressionen, nahezu null Sichtbarkeit und fast keinen Klicks.

Domain-Spoofing und gefälschtes Inventar

Beim Domain-Spoofing gibt ein Verkäufer billiges oder gefälschtes Inventar als bekannte Website oder App aus, um es zum Premiumpreis zu verkaufen. Der Bid Request sagt „große Nachrichtenseite“; die Anzeige läuft woanders oder nirgends. Auch App-IDs und CTV-Apps werden gespooft.

Das US-Justizministerium erklärte, das Methbot-Schema habe die Domains von Tausenden von Publishern gefälscht, darunter große US-Zeitungen. ads.txt wurde genau dagegen entwickelt. Das Warnzeichen ist eine Premium-Domain zu einem verdächtig niedrigen Preis oder mit Volumen, die diese Website nicht haben kann.

Installations- und Attributionsbetrug

Im Mobile-Bereich ist das vergütete Ereignis meist eine Installation, also verlagert sich der Betrug dorthin. Click Flooding (Click Spam) schickt Massen gefälschter Klicks, damit einer davon den Credit bekommt, wenn ein echter Nutzer von sich aus installiert. Bei Click Injection, einem Android-Trick, löst eine schädliche App einen Klick aus, kurz bevor die Installation einer anderen App abgeschlossen ist. Die Install Referrer API von Google Play meldet, wann eine Installation begann, sodass Attributionstools später eintreffende Klicks verwerfen können. SDK Spoofing sendet erfundene Installations- und Event-Daten an die Attributionsplattform, ganz ohne Gerät.

Spuren: ungewöhnliche Zeiten zwischen Klick und Installation und Installationen ohne In-App-Aktivität; siehe unseren Leitfaden zu In-App-Werbung. Das Gegenstück im Web ist Cookie Stuffing, bei dem ein versteckter Frame ein Affiliate-Cookie setzt, um einen Verkauf zu beanspruchen, den niemand vermittelt hat.

Incentivierter Traffic und Traffic mit geringer Kaufabsicht

Ein Teil des Traffics stammt von Personen, die für das Installieren, Registrieren oder Ausfüllen eines Formulars belohnt werden. Die Belohnung ist der eigentliche Zweck, daher fallen Zweitbesuche und Einzahlungen meist dünn aus. Der MRC stuft incentivierte menschliche Aktivität als ungültig ein, wenn sie organisiert und gesteuert ist, nimmt aber offengelegte Prämienprogramme aus, deren Nutzer aus eigenem Antrieb handeln, und verlangt, dass solche Aktivität gesondert ausgewiesen wird. Bezahlte Installationen, denen ein Werbetreibender nicht zugestimmt hat, liegen auf der falschen Seite dieser Linie, weshalb die Offer-Regeln entscheiden. Missbrauch auf Betreiberseite wie Bonus Hunting behandeln wir in Affiliate-Betrug im iGaming.

Was Werbebetrug kostet und welchen Zahlen man trauen kann

Schlagzeilenträchtige Verlustzahlen sind Modelle. Die meistzitierte stammt aus einer Studie von Juniper Research, die im Herbst 2023 veröffentlicht und in Zusammenarbeit mit dem Anbieter für Ad-Fraud-Schutz Fraud Blocker erstellt wurde. Sie schätzte, dass Werbetreibende 2023 rund 84 Mrd. $ durch Werbebetrug verlieren würden, etwa 22 % der Online-Werbeausgaben, mit einem Anstieg auf rund 172 Mrd. $ bis 2028. Es handelt sich um eine modellierte Schätzung, nicht um eine geprüfte Zählung, und die Verbindung zum Anbieter ist ein Grund zur Vorsicht.

Stellen Sie dieselben Fragen bei jeder Klickbetrug-Statistik: Wer hat sie veröffentlicht, wann, und wie wurde Betrug definiert?

Wie Werbenetzwerke und Exchanges Werbebetrug bekämpfen

Die Prävention von Werbebetrug in einem Netzwerk oder an einer Exchange läuft in zwei Schichten: schnelle Prüfungen vor dem Gebot, langsamere Analyse nach der Auslieferung. Den Weg des Gebots zeigt unser Erklärer DSP vs SSP.

Vor dem Gebot

Die Pre-Bid-Filterung entscheidet in Millisekunden, ob eine Anfrage beantwortet wird; Supply-Chain-Dateien leisten einen Großteil der Arbeit gegen Betrug in der Adtech:

• ads.txt ermöglicht es einem Publisher, die Unternehmen aufzulisten, die sein Inventar verkaufen dürfen.

• app-ads.txt leistet dasselbe für Apps, einschließlich CTV-Apps.

• sellers.json nennt die Unternehmen hinter Seller-IDs.

• Das SupplyChain-Objekt listet jede Partei auf, die einen bestimmten Bid Request bearbeitet hat.

Netzwerke prüfen außerdem IP-Bereiche von Rechenzentren und bekannten Bots, lehnen User Agents ab, die dem Rest der Anfrage widersprechen, und sperren Platzierungen mit schlechter Vorgeschichte. Diese Prüfungen entsprechen der GIVT-Ebene des MRC: billig und schnell, aber ein Bot auf einer Residential-IP mit sauberem User Agent kommt durch.

Nach dem Gebot

Die Post-Bid-Analyse betrachtet, was der Traffic nach seiner Ankunft getan hat: wiederholte Besuche, zeitliche Muster und ob dasselbe Gerät in nicht zusammenhängenden Sitzungen auftaucht. Browser- und Geräte-Fingerprints werden mit dem verglichen, was der User Agent angibt. Manche Netzwerke nutzen auch Ergebnisse als Signal: Eine Quelle, die bei vielen Werbetreibenden schlecht konvertiert, kann überprüft oder gesperrt werden. Werbetreibende führen Wochen später Kohortenprüfungen zur Retention durch, ein Grund, warum viele CPA-Offers Auszahlungen zurückhalten; die Bedingungen des jeweiligen Netzwerks legen die Dauer dieser Zurückhaltung fest.

Jede kleine Anomalie zu blockieren, würde auch echte Nutzer aussperren, daher justieren Netzwerke ihre Schwellenwerte.

Was nach der Erkennung passiert

Erkannte Quellen werden gesperrt, und das Netzwerk kann die Rechnung des Werbetreibenden anpassen. Die Regeln für Erstattungen und Gutschriften unterscheiden sich je nach Netzwerk, also lassen Sie sich die Richtlinie vor dem Start schriftlich geben. Wer für die Traffic-Qualität einsteht, hängt auch davon ab, ob Sie bei einem CPA-Netzwerk oder einem Werbenetzwerk einkaufen.

Signale für Werbebetrug in Ihren eigenen Daten

Werbebetrug zeigt sich zuerst in einem nach subID aufgeschlüsselten Klick-Log; die Frage ist, wo man hinschaut, nicht welcher einzelnen Kennzahl man vertraut.

Im Klick-Log. Dutzende Klicks mit derselben IP, Geräte-ID oder demselben User-Agent-String; Klicks, die im Takt eines Metronoms eintreffen; Traffic aus Hosting-Bereichen oder Ländern, die Sie nicht eingekauft haben.

Im Platzierungsbericht. Eine subID oder Platzierung, deren CTR, Kosten pro Aktion und Verhalten nach dem Klick weit vom Rest desselben Offers abweichen. Vergleichen Sie Quellen zuerst im selben Attributionsfenster, sonst ist die Lücke womöglich ein Artefakt der Einrichtung.

In der Lead-Qualität. Registrierungen, die nie eine E-Mail bestätigen, nie zurückkehren und nie zahlen.

Für sich genommen schwache Signale. Eine hohe Absprungrate oder eine hohe CTR mit wenigen Conversions kann einfach auf eine schwache Landingpage oder ein schwaches Creative hindeuten. Bedeutung bekommen sie, wenn sie zusammen mit Signalen auf Log-Ebene auftreten, etwa alten Browserversionen, einer einzigen Bildschirmgröße oder einem einzigen Hosting-Bereich.

So liest sich ein Cluster (Beispielzahlen, kein echtes Konto):

Platzierung 1077 liegt bei den Leads vorn, doch 40 % ihrer Klicks teilen sich einen kleinen Netzwerkblock, und kein Lead kehrte zurück. Jede Tatsache für sich könnte Rauschen sein; zusammen rechtfertigen sie eine Pause und ein Ticket.

Wie Sie Klickbetrug verhindern und eine Kampagne schützen

Sie können Betrug nicht beseitigen, aber Sie können begrenzen, was Sie dafür bezahlen.

1. Tracken Sie auf Platzierungsebene: eine subID pro Platzierung, rohe Klick-Logs, Postback-Tracking und einheitliche UTM-Parameter.

2. Starten Sie neue Quellen mit einem kleinen Tagesbudget und skalieren Sie erst, wenn die Conversions über die erste Woche hinaus Bestand haben.

3. Sperren Sie früh. Schließen Sie Platzierungen aus, die mehrere Signale auf Log-Ebene gleichzeitig auslösen.

4. Testen Sie den Weg selbst auf einem echten Smartphone, von der Anzeige bis zum Formular, damit eine defekte Weiterleitung nicht für Bots gehalten wird.

5. Fragen Sie Ihr Netzwerk nach seinem Bericht über ungültigen Traffic, seinem Gutschriftverfahren und danach, ob seine IVT-Filterung unabhängig geprüft wird.

6. Reichen Sie Reklamationen mit Daten ein: Datumsangaben, subIDs, ein Export von IPs und User Agents sowie die Conversions Ihres Trackers.

Drittanbieter-Tools zur Erkennung von Werbebetrug und Software zum Schutz vor Klickbetrug reichen von Pre-Bid-Filtern bis zur Post-Click-Verifizierung. Behandeln Sie sie als eine weitere Datenquelle, nicht als Garantie.

Werbebetrug bei Google und in mobilen Apps

Google filtert ungültige Klicks automatisch aus den Berichten und der Abrechnung von Google Ads heraus. Stand Oktober 2026 heißt es auf der Hilfeseite, dass Werbetreibenden diese Klicks nicht berechnet werden und dass Klicks, die nach der Abrechnung als ungültig erkannt werden, auf einer späteren Rechnung gutgeschrieben werden, „sofern angemessen und möglich“.

Facebook und andere soziale Plattformen legen eigene Regeln fest; prüfen Sie deren Abrechnungsbedingungen, bevor Sie mit einer Gutschrift rechnen. Im Mobile-Bereich kommt zum Klickbetrug noch Installations- und Attributionsbetrug hinzu.

Häufige Fragen

Was ist Werbebetrug?

Werbebetrug bedeutet, einen Werbetreibenden dazu zu bringen, für Werbeaktivität zu zahlen, die kein echter Interessent erzeugt hat. Eine Bot-Farm, die auf einer gefälschten Website Banner anklickt, ein Netzwerk, das minderwertiges Inventar als Premium-Publisher ausgibt, oder eine App, die sich den Credit für Installationen erschleicht, gehören alle dazu. Der Oberbegriff der Branche ist ungültiger Traffic.

Welche Arten von Werbebetrug gibt es?

Die Hauptarten von Werbebetrug sind Bot-Traffic, Klickbetrug und Klickfarmen, versteckte oder gestapelte Anzeigen, Domain-Spoofing, Installations- und Attributionsbetrug (Click Flooding, Click Injection, SDK Spoofing) und, je nach Offer-Regeln, incentivierter Traffic. Jede Art hinterlässt andere Spuren in Ihren Berichten.

Ist Werbebetrug illegal?

Werbebetrug ist oft illegal, auch wenn „Werbebetrug“ selbst kein im Gesetz verankerter Straftatbestand ist; die Anklagepunkte hängen vom Schema ab. 2018 klagten Bundesstaatsanwälte in Brooklyn acht Personen wegen der Schemata Methbot und 3ve an, wegen Wire Fraud, unbefugten Eindringens in Computersysteme und Geldwäsche, und der Betreiber von Methbot erhielt später 10 Jahre Haft. Ein Verstoß gegen die Bedingungen einer Plattform ist eine andere Frage. Dies ist keine Rechtsberatung.

Was sind Werbe-Bots?

Werbe-Bots sind Programme, die Seiten laden, Anzeigen ansehen, klicken oder Apps installieren, als wären sie Menschen. Einfache laufen auf Rechenzentrumsservern und werden über Listen erkannt. Komplexe laufen auf infizierten Geräten oder Emulatoren und ahmen Menschen nach, daher erfordert ihre Erkennung Verhaltensanalyse, nicht nur IP-Listen.

Kann man sich über eine Anzeige Malware einfangen?

Malware kann Sie über eine Anzeige erreichen, allerdings meist durch einen Klick und nicht durch das bloße Ansehen. In einer Warnung vom Dezember 2022 wies das FBI darauf hin, dass Kriminelle Suchanzeigen kaufen, die auf nachgeahmte Websites führen, auf denen Malware als echte Software getarnt angeboten wird. Das ist Malvertising, ein anderer Schaden als Werbebetrug: Opfer ist der Nutzer, nicht das Budget des Werbetreibenden.

Wie erkennt man Klickbetrug?

Klickbetrug erkennt man an einem Bündel von Signalen in einem nach subID aufgeschlüsselten Klick-Log: wiederholte IPs oder Geräte, Rechenzentrums- oder Proxy-Traffic, nicht passende Länder, auffällige Klick-Zeitpunkte und Leads, die nie zurückkehren. Eine einzelne schwache Kennzahl reicht nicht. Vergleichen Sie Quellen im selben Attributionsfenster und schicken Sie die Belege an Ihr Netzwerk.

Quellen

• Media Rating Council, Invalid Traffic Detection and Filtration Standards Addendum, June 2020 update

• IAB Tech Lab, ads.txt and app-ads.txt

• IAB Tech Lab, sellers.json and the SupplyChain object

• Google Ads Help, Invalid clicks

• Android Developers Blog, Google Play Referrer API: Track and measure your app installs easily

• Adjust, glossary entries on click injection, click spam and SDK spoofing

• U.S. Attorney's Office, Eastern District of New York, Two international cybercriminal rings dismantled and eight defendants indicted

• U.S. Attorney's Office, Eastern District of New York, Russian cybercriminal sentenced to 10 years in prison for digital advertising fraud scheme

• FBI Internet Crime Complaint Center, Cyber Criminals Impersonating Brands Using Search Engine Advertisement Services to Defraud Users

• Juniper Research, ad fraud study (2023), as reported by Search Engine Land and MediaPost