Wie sich Werbetreibende vor Ad-Fraud schützen können
Online-Werbung ist ein Milliardengeschäft, von dem immer häufiger Internetkriminelle profitieren – gerade zur Weihnachtszeit. Mittels Ad-Fraud zweigen sie Gelder ab und verursachen der Branche Kosten in Milliardenhöhe. Die Spielarten des Online-Anzeigenbetrugs sind dabei ebenso vielfältig wie schädlich. So ausgefeilt Ad-Fraud erscheinen mag, es gibt Möglichkeiten sich davor zu schützen. Hendrik Herms von Löwenstark Consulting erklärt, wie.
Das Weihnachtsgeschäft ist längst nicht mehr nur für den Einzelhandel die wichtigste Zeit des Jahres. Der Online-Handel boomt – vor allem in Corona-Zeiten – und mit ihm die Werbebranche. Denn Unternehmen wollen ihre Werbeanzeigen bestmöglich im Internet platzieren. Allein 2019 belief sich der Nettoumsatz für digitale Werbung laut Bundesverband Digitale Wirtschaft (BVDW) auf 3,61 Milliarden Euro. Aber mit dem Weihnachtsgeschäft steigt auch das Risiko von Ad-Fraud: Online-Werbebetrug in Milliardenhöhe auf Kosten der Werbetreibenden. Dabei wird eine Werbeleistung mittels gefälschter Werbeanzeigen, Websites, Nutzeridentitäten oder Klicks in betrügerischer Absicht entweder vorgetäuscht oder nur unzureichend beziehungsweise gar nicht erbracht.
Wie funktioniert der Anzeigenbetrug?
Der Anzeigenbetrug ist ausgefeilt und es gibt unterschiedliche Arten, ob durch Manipulation der Ad Impressions oder der Klicks. Klassischer Klickbetrug, der manuelle Klick etwa auf ein Werbebanner, wird mittels Klickfarmen oder Bots professionell betrieben. Niedrig bezahlte Mitarbeiter klicken Werbebanner, Textanzeigen und Videos – oder Softwareprogramme suggerieren menschliches Klickverhalten und generieren so Traffic und hohe Klickzahlen. Über vernetzte Rechner können Bots in einem Botnet miteinander agieren, wobei sich die Klickbetrüger mittels Malware Zugriff auf fremde PCs verschaffen. Das Ergebnis: Der Werbetreibende zahlt ohne Gegenleistung.
Das betrifft ebenfalls Manipulationen der Impressions, für die es verschiedene Methoden gibt. Beim Ad Stacking werden mehrere Werbeanzeigen auf einer Platzierung verkauft, sichtbar ist allerdings nur eine. Diese Methode findet sich oft in Kombination mit dem Ad Stuffing oder Pixel Stuffing: Die Werbeanzeigen sind platziert, aber der Nutzer kann sie nicht sehen, da sie unsichtbar oder nur 1 x 1 Pixel gross sind. Die Ad Views sind damit zwar hoch, die Klickraten jedoch niedrig.
Ein betrügerisches Vorgehen ist ebenso das «Entführen» von fremden Anzeigen, das Ad Hijacking. Werbeanzeigen werden vollständig kopiert, um den eigenen Link statt den der Marke zu platzieren. Wird eine URL gefälscht, um dem Werbetreibenden vorzugaukeln, er inseriere auf einer bekannten Website, handelt es sich um Domain Spoofing, was nicht selten mit Anzeigenbetrug in Suchmaschinen kombiniert wird. Internetbetrüger erstellen gefälschte Websites mit entsprechender Keyword-Abdeckung, die in den Suchmaschinen auf den oberen Positionen ranken und Bekanntheit vorgaukeln. Werbetreibende buchen auf diesen Seiten aber nur Plätze ohne Kundschaft und büssen an Sichtbarkeit ein.
Welchen Schaden verursacht Ad-Fraud?
Der Schaden, der durch Ad-Fraud verursacht wird, liegt international im Milliarden-Bereich. Gemäss dem Sicherheitsanbieter White Ops sind es allein in den USA rund 7 Millionen US-Dollar jährlich. Die britische Financial Times, selbst Opfer von Domain Spoofing, bezifferte 2017 den ihr und ihren Werbekunden entstandenen Schaden mit 1,1 Millionen Euro monatlich. Das im selben Jahr aufgedeckte Botnet «Hyphbot» fälschte 34’000 Domainnamen und über eine halbe Millionen URLs. Der geschätzte Schaden belief sich auf 500’000 Euro täglich.
Der bislang grösste Ad-Fraud-Skandal kostete die Werbewirtschaft 36 Millionen US-Dollar. Polizeibehörden und FBI enttarnten 2018 zwei global organisierte Klickbetrüger-Ringe. Acht Männer betrieben dieses sogenannte 3ve-Systen. Von 2014 bis 2018 fälschten sie unter anderem Websites und Nutzeridentitäten und verschafften sich via Malware Zugriff auf 1,7 Millionen PCs von Privatnutzern und Unternehmen.
Auf dem deutschen Markt nimmt Ad-Fraud ebenfalls zu und hatte allein in der zweiten Jahreshälfte 2018 einen Zuwachs von 30 Prozent. Bei einem Nettoumsatz von 3,6 Milliarden Euro und einer Ad- Fraud-Rate von 4,2 Prozent, wie der BVDW informiert, belief sich der Schaden 2019 auf etwa 150 Millionen Euro.
Wer profitiert von Ad-Fraud und wer sind die Opfer?
Während Kriminelle und betrügerisch agierende Netzwerke von Ad-Fraud profitieren, zählen zu den Opfern nicht nur Werbemarketer selbst, die Werbung platzieren. Grosse Publisher sind ebenso betroffen wie kleine Websitebetreiber, Online-Händler oder Blogger, die Werbeplätze anbieten oder kaufen. Nicht zu vergessen sind Internetnutzer, deren PCs von Klickbetrügern gehackt und für illegal agierende Botnets missbraucht werden.
Wie können sich Werbetreibende schützen?
Schutz bietet bereits eine möglichst kurze Lieferkette bei der Anzeigenbuchung, die nicht mehr als zwei Schritte umfasst: Vom Publisher zum Ad-Network und von dort zum Ad-Exchange. Transparenz, etwa in Form einer Whitelist, schafft zusätzlich mehr Sicherheit im Anzeigenverkauf. Mit dem ads.txt-Skript, das der internationale Werbeverband Interactive Advertising Bureau (IAB) initiiert hat, wird gezielt gegen Domain Spoofing vorgegangen. Google unterstützt die Initiative und besteht auf eine Datei, die wie die robots.txt im Roots-Verzeichnis einer Website hinterlegt ist. Publisher und Werbenetzwerke können hier offizielle Verkaufsplattformen und Anbieter auflisten, mit denen sie beim Verkauf von Werbeanzeigen zusammenarbeiten. Das ads.cert ist eine Weiterentwicklung und Ergänzung. Publisher signiert den «Bid Request», mit dem sich ein Verkäufer oder Wiederverkäufer in der ads.txt-Datei authentifiziert. So ist auch eine nachträgliche Änderung nachvollziehbar.
Qualität ist ein weiteres Kriterium, um sich vor Ad-Fraud zu schützen, indem vertrauenswürdige Partner, wie zum Beispiel Premium Publisher, bevorzugt werden. Das erfordert zwar eine höhere Investition. Anzeigen performen allerdings deutlich besser auf Internetseiten, die dem Nutzer vertrauensvoll erscheinen.
Kontrolle ist und bleibt darüber hinaus ein wichtiger Faktor. So überwacht Google die Klickzahlen von Werbeanzeigen inzwischen mit einem Onlinefilter. Google-Mitarbeiter überprüfen daraufhin verdächtige Aktivitäten im Zusammenhang mit Datum, Zeit und IP-Adresse. Nutzer von Google Ads und Google Analytics können bei der Überwachung ihrer Werbekampagnen zudem Schwankungen in den Klickzahlen kontrollieren und gegebenenfalls melden.
Fazit: Der Kampf ist nicht aussichtslos
Ad-Fraud ist ein Problem, das die Werbebranche vor neue Herausforderungen stellt. Betrüger und schwarze Schafe werden immer wieder versuchen, an dem Milliardengeschäft mit Werbeanzeigen zu partizipieren. Mit jeder neuen Technik gegen den Anzeigenbetrug entwickeln findige Betrüger neue Schlupflöcher. Aussichtslos ist der Kampf deshalb nicht, vorausgesetzt Publisher und Werbetreibende setzen auf Qualität und Transparenz – und das Vertrauen in professionelles Online-Marketing geht nicht verloren. Gewährleistet ist das etwa durch die richtige Auswahl und Platzierung passender Werbemittel sowie die Zusammenarbeit mit vertrauensvollen Websites und Online-Partnern im Premiumumfeld. Professionell definierte Google-Adwords-Kampagnen, zielgruppenorientierte Advertising- und Bidding-Strategien oder die gewissenhafte Überwachung und Kontrolle der Klickzahlen von Werbekampagnen in Google Ads und Google Analytics schaffen zusätzlich Sicherheit.
* Hendrik Herms verantwortet als Geschäftsführer den Bereich Löwenstark Consulting innerhalb der Löwenstark Digital Group. Er befasst sich mit komplexen Kundenproblemen im Bereich E-Business und entwickelt hierfür massgeschneiderte digitale Lösungen und Strategien. Dabei greift er auf eine langjährige Erfahrung als Digitalverantwortlicher in verschiedenen Medienhäusern, wie der Bauer Media Group, der Heise Mediengruppe, der Braunschweiger Zeitung oder dem Fachver-lag Vincentz Network, zurück.
