Werbebetrug / Ad Fraud

Sophisticated Invalid Traffic (SIVT) bezeichnet im digitalen Werbe- und Messwesen ungültige Aktivitäten, die sich mit einfachen Routinen nicht ausreichend zuverlässig erkennen lassen. Der Media Rating Council (MRC) verwendet diesen Begriff für Fälle, deren Einstufung weitergehende Datenanalysen, die Verbindung mehrerer Hinweise oder eine fachliche Untersuchung verlangen kann. Betroffen sein können Werbeimpressionen, Klicks, Nutzeraktivitäten und bestimmte nachgelagerte Messereignisse.

SIVT ist keine eigenständige Straftat und nicht automatisch gleichbedeutend mit einem professionell organisierten Betrugsangriff. Die Kategorie beschreibt vor allem den Aufwand der Erkennung. Manche Aktivitäten sind bewusst manipuliert, andere können aus komplexen technischen Mess- oder Automatisierungskonstellationen entstehen. Ein konkreter Betrugsvorwurf benötigt zusätzliche Belege.

Wie unterscheidet sich SIVT von gewöhnlichem Invalid Traffic?

Invalid Traffic (IVT) umfasst Messaktivitäten, die bestimmte Qualitätsanforderungen nicht erfüllen und daher nicht als gültige Werbeereignisse berücksichtigt werden sollen. Der MRC unterscheidet innerhalb dieser Oberkategorie zwei Erkennungsstufen. General Invalid Traffic (GIVT) lässt sich durch Listen oder andere standardisierte Prüfungen herausfiltern. Bei SIVT sind zusätzliche Analyseschritte erforderlich.

Ein bekannter Crawler kann anhand einer gepflegten Identifikationsliste erkannt werden. Eine ungewöhnliche Kombination aus simulierten Geräteereignissen, verfälschten Messdaten und mehreren scheinbar voneinander unabhängigen Zugriffen lässt sich hingegen möglicherweise erst durch den Abgleich verschiedener Datenquellen verstehen.

Der Begriff „sophisticated“ beschreibt deshalb weder zwangsläufig den wirtschaftlichen Schaden noch die technische Qualität des Angreifers. Ein aufwendiger IVT-Fall kann bereits vor der Abrechnung erkannt worden sein. Ein einfacher IVT-Fall kann umgekehrt unberechtigt abgerechnet werden, wenn notwendige Filter fehlen.

Welche Fälle nennt der Media Rating Council?

Automatisierte Aktivitäten auf Geräten

Der MRC führt unter anderem spezielle Automatisierungswerkzeuge, Emulatoren und automatisierte Browserabläufe auf. Auch infizierte oder fremdgesteuerte Geräte können in komplexeren IVT-Prüfungen eine Rolle spielen. Die reine Existenz eines Emulators ist noch kein Betrugsnachweis, da Softwaretests und Qualitätskontrollen solche Werkzeuge regulär verwenden.

Organisierte ungültige Aktivitäten von Menschen

Nicht jede problematische Werbeinteraktion wird von einem Bot ausgeführt. Menschen können veranlasst werden, Anzeigen ohne tatsächliches Interesse anzuklicken oder andere vergütete Handlungen auszuführen. Solche koordinierten Vorgänge lassen sich nicht immer anhand einfacher Geräte- oder Browserlisten erkennen.

Manipulierte Browseraktionen

Manche IVT-Verfahren betreffen fremdveranlasste neue Fenster, erzwungene Interaktionen oder anderweitig manipulierte Nutzungsereignisse. Dazu können Konstellationen gehören, bei denen eine Werbeaktion aufgezeichnet wird, obwohl sie nicht auf einer freiwilligen normalen Nutzung beruht. Die technisch genaue Variante ist für jeden Sachverhalt gesondert festzustellen.

Verfälschte Messsignale

Der MRC nennt auch falsche Messereignisse, etwa zu Impressionen, Klicks, Sichtbarkeit oder Conversion-Daten. Bei Impression Fraud kann beispielsweise ein Kontakt künstlich entstehen. Bei Attribution Fraud kann die Zuordnung einer wirklichen Aktion manipuliert sein. Beide Angriffsklassen überschneiden sich mit SIVT, müssen aber nicht in jedem Fall dieselbe Ursache besitzen.

Ungewöhnliche App- und OTT-Umgebungen

Die Erkennung kann bei mobilen Apps, vernetzten Fernsehern und anderen besonderen Medienumgebungen von der klassischen Browsermessung abweichen. Cookies, Browserkennungen oder gewöhnliche JavaScript-Signale stehen dort nicht immer im selben Umfang zur Verfügung. Die MRC-Standards verlangen deshalb, solche Umgebungen angemessen gesondert zu bewerten.

Warum lässt sich SIVT nicht mit einer einfachen IP-Sperrliste erkennen?

Eine IP-Adresse beschreibt zunächst einen technischen Netzanschluss oder Vermittlungsweg. Mehrere legitime Nutzer können dieselbe öffentliche Adresse teilen. Umgekehrt kann eine einzelne Person oder ein automatisierter Prozess über verschiedene Anschlüsse kommunizieren. Die Bewertung allein anhand einer IP-Adresse führt deshalb leicht zu Fehlentscheidungen.

Auch User-Agent-Angaben, Gerätekennungen und Standortinformationen können unvollständig oder veränderbar sein. Ein professioneller Messdienst kombiniert daher je nach verfügbarem Datenbestand mehrere technische Hinweise mit den bekannten Eigenschaften der betroffenen Kampagne. Die Verfahren müssen gleichzeitig berücksichtigen, dass echte Nutzer ungewöhnliche oder wechselnde Verbindungsbedingungen haben können.

Die Aussage, SIVT lasse sich grundsätzlich nicht erkennen, wäre ebenso falsch. Die Kategorie setzt gerade voraus, dass durch weitergehende Untersuchungen eine Einstufung möglich ist. Sie beschreibt schwierigere Erkennung, nicht vollständige Unsichtbarkeit.

Ein fiktives Beispiel aus einer App-Werbekampagne

Ein App-Anbieter vergütet externe Partner für neue Nutzer. Ein Partner liefert plötzlich deutlich mehr Installationen, obwohl die Kampagnenbedingungen unverändert geblieben sind. Die gemeldeten Geräte weisen unterschiedliche Kennungen auf, und die Klickzahlen wirken auf den ersten Blick unauffällig. Später fällt jedoch auf, dass zahlreiche Sitzungen exakt ähnliche technische Abläufe aufweisen.

Die Marketingabteilung vergleicht die Daten mit der eigenen App-Nutzung, den Angaben des Attributionsanbieters und den Abrechnungen. Zunächst werden auch reguläre Erklärungen geprüft: ein neues Gerätetestprogramm, Änderungen der Messsoftware oder technische Fehler können vergleichbare Datenmuster erzeugen. Erst die gemeinsame Analyse zeigt, ob der Verdacht auf künstliche oder falsch zugeordnete Aktionen begründet ist.

Selbst bei einem bestätigten IVT-Muster bleibt eine weitere Frage offen: Wer hat die Ereignisse erzeugt oder ihre Zuordnung beeinflusst? Eine auffällige Traffic-Quelle allein identifiziert noch keinen verantwortlichen Täter.

Welche Warnsignale können auf SIVT hindeuten?

SIVT wird oft erst bei der Kombination mehrerer Beobachtungen erkennbar. Eine ungewöhnliche Klickrate, eine kurze Sitzungsdauer oder eine große Zahl von Kontakten aus einem Land reicht nicht aus. Ebenso können einzelne auffällige Gerätekennungen oder wiederholte Nutzungsabläufe durch legitime Tests entstanden sein.

• Wiederkehrende Ereignisabläufe: Viele angeblich unabhängige Nutzer durchlaufen dieselben technischen Schritte in sehr ähnlicher Reihenfolge.
• Abweichende Geräteinformationen: Mehrere technische Merkmale passen nicht zur angegebenen App- oder Geräteumgebung.
• Unplausible Attribution: Ein Werbepartner beansprucht ungewöhnlich viele Aktionen, die sich kaum mit seiner tatsächlichen Werbeleistung vereinbaren lassen.
• Verdächtige Werbeplätze: Bestimmte Quellen liefern zahlreiche gemeldete Impressionen oder Conversions mit schwer erklärbaren Messdaten.
• Verknüpfte technische Auffälligkeiten: Erst der Vergleich von Zeitpunkten, Browser- oder App-Ereignissen und Plattformberichten ergibt ein stimmiges Verdachtsmuster.
• Abweichungen im Geschäftsergebnis: Hohe angebliche Nutzerzahlen führen kaum zu bestätigten Bestellungen oder fortgesetzter App-Nutzung.

Auch der letzte Punkt ist allein nicht beweiskräftig. Eine unpassende Zielgruppe oder eine schwache Landingpage kann trotz realer Nutzer zu wenigen Käufen führen. Die wirtschaftliche Leistung und die Echtheit der Messereignisse müssen getrennt untersucht werden.

Wie wird ein SIVT-Verdacht untersucht?

Zu Beginn werden die betroffenen Kampagnen, Werbeplätze, Zeiträume und Messdefinitionen dokumentiert. Danach sind vorhandene GIVT-Filter und bereits ausgeschlossene Ereignisse zu berücksichtigen. Eine weitergehende SIVT-Analyse sollte nicht dieselben Kontakte unbemerkt erneut als zusätzlichen Betrugsfall zählen.

Abhängig von der Werbeumgebung können verschiedene Datenquellen sinnvoll sein: Adserver- und Attributionsprotokolle, App-Ereignisse, verfügbare Geräteinformationen, Netzwerkmerkmale, Conversion-Qualität und bereits dokumentierte Korrekturen. Die Vergleichbarkeit ist zu prüfen, weil Systeme unterschiedliche Ereignisse zählen und Daten teilweise zu verschiedenen Zeitpunkten verarbeiten.

Ein qualifizierter Bericht sollte offenlegen, welche Kategorie von Invalid Traffic festgestellt wurde und welche Tatsachen die Einstufung tragen. Aus Gründen des Betrugsschutzes legen Plattformen ihre internen Erkennungsmodelle nicht immer vollständig offen. Das berechtigt jedoch nicht dazu, unbestätigte Schätzungen als bewiesene Täterschaft darzustellen.

Wie lässt sich ein wirtschaftlicher Schaden feststellen?

Ein hoher SIVT-Anteil bedeutet nicht zwangsläufig einen gleich hohen Geldverlust. Werbeplattformen können ungültige Kontakte vor der Rechnung entfernen oder später eine Korrektur vornehmen. Google Ads erläutert, dass erkannte ungültige Klicks bereits herausgefiltert und nicht berechnet werden; bei späterer Feststellung können nach den Bedingungen der Plattform Gutschriften erfolgen.

Für eine Schadensbetrachtung müssen deshalb abgerechnete Kontakte, bereits erfolgte Filterungen, Korrekturen und die konkrete Vertragsleistung zusammengeführt werden. Eine pauschale Formel „SIVT-Anteil mal Kampagnenbudget“ kann den tatsächlichen Verlust erheblich falsch darstellen.

Auch bei vorgetäuschten Leads oder App-Installationen kommt es darauf an, welche Aktionen vergütet wurden und ob sie bereits als ungültig erkannt worden sind. Ein bloßer Vergleich zwischen Klicks und Käufen reicht dafür nicht aus.

Welche Gegenmaßnahmen kommen infrage?

Die Abwehr erfordert zuerst eine nachvollziehbare Diagnose. Bei nachgewiesenen Auffälligkeiten können Werbeplätze ausgeschlossen, Partnerkanäle näher überprüft oder vereinbarte Prüfverfahren des Werbeanbieters verwendet werden. Für bestimmte Kampagnen kann eine unabhängige IVT-Messung helfen, soweit ihre Methode zur Werbeumgebung passt.

• Die Erkennung von GIVT und SIVT nach den verwendeten Kriterien getrennt ausweisen.
• Abrechnungsdaten mit bereits gefilterten und später korrigierten Kontakten vergleichen.
• Auffällige Platzierungen, Partner und Geräteumgebungen anhand nachvollziehbarer Befunde prüfen.
• Technische Ereignisse mit der tatsächlichen Qualität der vermittelten Nutzer oder Kunden abgleichen.
• Erkannte Manipulationsmuster bei der zuständigen Werbeplattform zur Untersuchung melden.
• Automatisierte Sperrregeln auf Fehlentscheidungen gegen echte Nutzer prüfen.

Eine aggressive Sperrung aller auffälligen IP-Adressen oder Gerätetypen kann legitimen Traffic beeinträchtigen. Schutzmaßnahmen sollten an den tatsächlich belegten Sachverhalt angepasst sein.

Welche rechtlichen Grenzen gelten?

SIVT ist eine Messkategorie, kein eigenständiger strafrechtlicher Begriff. Bei einem vorsätzlichen Täuschungsvorgang mit Vermögensschaden können unter den Voraussetzungen des § 263 StGB strafrechtliche Fragen entstehen. Falsche Angaben über vermarktete Werbeleistungen können gegebenenfalls nach § 5 UWG irreführend sein.

Eine technische IVT-Klassifikation erfüllt diese Tatbestände nicht automatisch. Für die Verarbeitung personenbezogener Geräte- und Nutzungsdaten sind außerdem die einschlägigen Vorschriften der DSGVO zu beachten. Die Untersuchung muss ihre Datengrundlage und die Berechtigung zur Verarbeitung berücksichtigen.

Häufige Fragen zu Sophisticated Invalid Traffic

Ist SIVT immer absichtlicher Werbebetrug?

Nein. Die MRC-Kategorie beschreibt aufwendiger zu erkennende ungültige Aktivitäten. Ein strafrechtlicher Betrug setzt zusätzliche Voraussetzungen voraus.

Können echte Menschen SIVT erzeugen?

Ja. Bestimmte organisierte oder vergütete ungültige Interaktionen können nur durch weitergehende Analysen erkannt werden. SIVT besteht nicht ausschließlich aus Bots.

Ist ein hoher SIVT-Wert automatisch ein finanzieller Schaden?

Nein. Bereits herausgefilterte Kontakte dürfen nicht wie zusätzlich bezahlte Werbeereignisse behandelt werden. Die Rechnungsdaten sind gesondert zu prüfen.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei schwer erklärbaren Klick-, Impression- oder Attributionsmustern sollten Unternehmen die Berichte der Werbeplattform und des Messdienstleisters zunächst gemeinsam prüfen. BRANDPROTECTIONNOW begleitet betroffene Unternehmen bei der Analyse von SIVT-Verdachtsfällen, der Verknüpfung technischer und wirtschaftlicher Daten und der Dokumentation möglicher Manipulationsmuster. Die Fachleute stimmen je nach Befund weitere Prüfungen und Gegenmaßnahmen mit den beteiligten Werbe- oder Security-Dienstleistern ab. Informationen zur Leistung finden sich bei BRANDPROTECTIONNOW zum Schutz vor Werbebetrug.

Fachquellen

• Media Rating Council – Invalid Traffic Detection and Filtration Standards Addendum, Juni 2020: SIVT-Definition und Beispiele in Abschnitt 1.1.2.
• MRC – Standards and Guidelines: Veröffentlichungen und ergänzende Informationen zur IVT-Messung.
• Google Ads-Hilfe – Über ungültige Zugriffe: Filterung, Berichte, Abrechnung und Anfragen zur Prüfung.

Traffic Laundering bezeichnet das „Waschen“ von minderwertigem oder betrügerischem Traffic. Ähnlich wie bei Geldwäsche wird die wahre Herkunft verschleiert, indem der Traffic über mehrere Zwischenstationen geleitet wird. Am Ende erscheint er als Besuch einer seriösen Website und wird zu entsprechenden Preisen verkauft.

So funktioniert Traffic Laundering

Betrüger kaufen sehr günstigen Traffic, etwa aus Pop-under-Netzwerken, Bot-Quellen oder Weiterleitungsketten. Diesen leiten sie über unauffällige Zwischenseiten, die Herkunftsangaben überschreiben, bevor er auf einer Website mit Werbeflächen landet. Für Werbesysteme sieht es dann so aus, als kämen die Besucher direkt oder aus Suchmaschinen. Im Unterschied zum Domain Spoofing ist die Website tatsächlich vorhanden, nur ihr Traffic ist künstlich aufbereitet. Werbetreibende zahlen Premiumpreise für wertlose Kontakte, und seriöse Seiten können ungewollt Teil der Kette werden.

Beispiel

Eine Bank kauft Reichweite auf einem bekannten Ratgeberportal. Die Kampagne liefert viele Besuche, aber kaum Interaktion. Eine Prüfung zeigt, dass ein großer Teil der Besucher zuvor mehrere unbekannte Weiterleitungsdomains durchlaufen hat.

Warnsignale und Schutz

• Plötzliche Traffic-Zuwächse bei Partnerseiten
• Hoher Anteil direkter Zugriffe ohne Wiederkehr
• Auffällige Weiterleitungsketten

Bevorzugen Sie kurze, transparente Einkaufswege und verlangen Sie Angaben zu Traffic-Quellen. Mehr dazu im Schutzbereich Werbebetrug (Ad Fraud).

URL Spoofing bezeichnet die Täuschung über die tatsächliche Zieladresse oder Herkunft einer Webressource. Eine URL kann in ihrem sichtbaren Text, ihrer Darstellung oder in technischen Werbeinformationen so erscheinen, als führe sie zu einem vertrauenswürdigen Angebot. Tatsächlich kann der Aufruf auf eine andere Website oder in einen anderen Kontext führen. Der Begriff wird nicht überall gleich verwendet; bei der Analyse muss deshalb angegeben werden, welche Form der Adressfälschung gemeint ist.

Besonders häufig sind Phishing-Links, missverständliche Subdomains, ähnliche Schriftzeichen oder Weiterleitungen. Im programmatischen Anzeigenhandel kann die angegebene Seitenadresse vom tatsächlichen Werbeplatz abweichen. URL Spoofing ist von der regulären Nutzung von URL-Kürzungsdiensten oder Weiterleitungen abzugrenzen: Diese sind nicht automatisch betrügerisch.

Wie ist eine URL aufgebaut?

Eine Webadresse enthält typischerweise ein Schema wie https, einen Hostnamen, gegebenenfalls einen Pfad und weitere Bestandteile wie Suchparameter. Für die Zuordnung zum Server ist der Hostname ausschlaggebend. Ein bekanntes Markenwort irgendwo im Pfad oder in einer Subdomain zeigt deshalb nicht zwangsläufig, dass die Website dem Markeninhaber gehört.

Ein Beispiel verdeutlicht die Struktur, ohne eine reale Domain zu betreffen: Die Adresse https://konto.example.net/marke gehört zum Host konto.example.net, nicht zu einer Domain mit dem Namen „marke“. Die Verwendung eines bekannten Begriffs nach dem Schrägstrich ändert die Domaininhaberschaft nicht. Auch die Zeichenfolge vor dem letzten maßgeblichen Domainbestandteil kann von Betrügern so gewählt werden, dass Empfänger den Host falsch lesen.

Moderne Browser stellen manche Teile der Adresse verkürzt dar. Deshalb kann eine lange URL oder eine bewusst irreführende Schreibweise vor allem auf kleinen Bildschirmen schwer erkennbar sein. Trotzdem ist nicht jede lange Adresse verdächtig: Kampagnenmessung, Sprachauswahl und Weiterleitungen können viele Parameter benötigen.

Welche Techniken werden unter URL Spoofing zusammengefasst?

Ähnlich geschriebene Domains

Beim Typosquatting oder bei einer Lookalike-Domain werden Adressen gewählt, die bekannten Marken oder Unternehmensseiten optisch oder sprachlich ähneln. Eine einzelne Ziffer oder ein vertauschter Buchstabe kann dazu führen, dass eine Täuschung beim flüchtigen Lesen unbemerkt bleibt. Ob eine konkrete Domain unzulässig ist, hängt von ihrer Nutzung und möglichen Rechten ab.

Homographische Schreibweisen

Bei einer Homograph Attack können sich Zeichen aus verschiedenen Schriftsystemen ähnlich sehen. Internationalisierte Domainnamen erlauben technisch solche Schriftzeichen. Browser verwenden Schutzmechanismen zur Darstellung, aber ein visuell ähnlicher Name kann weiterhin für Täuschungsversuche eingesetzt werden. Die internationale Zeichenverarbeitung ist an sich legitim und kein Betrugsmerkmal.

Irreführende Subdomains und URL-Pfade

Eine Adresse kann bekannte Markenwörter in einem Unterbereich enthalten, während die registrierte Hauptdomain zu einem anderen Anbieter gehört. Gerade bei Phishing-Nachrichten kann diese Konstruktion den Anschein einer offiziellen Kunden- oder Supportseite erzeugen. Für die Bewertung muss der tatsächliche Hostname geprüft werden.

Versteckte Weiterleitungen

Bei einem Open Redirect kann eine legitime Website eine frei wählbare Zieladresse weiterleiten, wenn ihre Weiterleitungsfunktion unzureichend abgesichert ist. Eine betrügerische Nachricht zeigt dann zunächst die bekannte Domain, führt Besucher später aber zu einem anderen Ziel. Nicht jede Weiterleitung ist manipuliert; Partnerprogramme, Authentifizierung und Kampagnenmessung arbeiten ebenfalls mit mehreren Stationen.

Falsche Seitenadressen im Anzeigenhandel

Werbeplätze werden in bestimmten Systemen zusammen mit Angaben zur Website oder zum Seitentyp angeboten. Eine unzutreffende URL kann den Eindruck erwecken, die Anzeige werde in einer gewünschten Rubrik oder auf einer bekannten Seite gezeigt. Solche Fälle überschneiden sich mit Domain Spoofing und können Bestandteil von Werbebetrug sein.

Welche Schäden können durch URL-Spoofing entstehen?

Eine gefälschte Zieladresse kann Besucher zu einem nachgeahmten Login, einem fingierten Supportformular oder einer betrügerischen Zahlungsseite führen. Wer dort Zugangsdaten eingibt, kann später mit einem Account Takeover konfrontiert sein. Eine manipulative Weiterleitung kann zugleich die Reputation des Unternehmens belasten, dessen Name als Köder verwendet wurde.

Für Werbetreibende können falsche Seitenangaben zu Ausgaben für andere Werbeumfelder führen als ursprünglich vereinbart. Ein Schaden ist aber erst anhand der tatsächlichen Buchung, Auslieferung und Zahlung bestimmbar. Eine fehlerhaft dokumentierte Weiterleitung ohne Täuschungsabsicht ist eine andere Sachlage.

Eine hohe Zahl von Linkklicks oder Beschwerden allein beweist nicht, dass Besucher tatsächlich auf eine betrügerische Seite gelangt sind. Hierfür sind Original-URLs, ihre beobachteten Weiterleitungen und möglichst zeitnahe technische Aufzeichnungen hilfreich.

Ein fiktives Beispiel aus einer Kundeninformation

Ein Energieanbieter erhält Nachfragen zu einer E-Mail, die angeblich eine dringende Prüfung des Kundenkontos verlangt. Der sichtbare Linktext enthält die bekannte Marke, die tatsächliche Zieladresse führt jedoch zu einer anderen Domain. Die Empfänger werden auf ein nachgeahmtes Anmeldeformular geleitet.

Das Unternehmen sichert eine Originalnachricht, die vollständige Zieladresse und den beobachteten Ablauf. Dann prüft es, ob die falsche Domain registriert wurde, eine fremde Subdomain missbraucht oder ein legitimer Weiterleitungsdienst eingesetzt wird. Die Sicherung sollte keine unnötigen Anmeldeversuche mit echten Zugangsdaten auf der verdächtigen Seite verursachen.

Die konkrete Angriffsvariante bestimmt, welche Stelle anschließend angesprochen werden kann: Domainanbieter, Hostingdienst, E-Mail-Plattform oder Betreiber einer legitim verwendeten Weiterleitungsfunktion. Ein pauschaler Löschanspruch besteht nicht allein deshalb, weil eine Adresse ähnlich aussieht.

Wie können Unternehmen URL-Spoofing erkennen?

Bei verdächtigen Links ist entscheidend, wohin der Browser tatsächlich navigiert. Dazu sollten der vollständige Hostname, die einzelnen Weiterleitungsschritte und der sichtbare Inhalt betrachtet werden. Auch technische Sicherheitsmeldungen oder Kundenberichte können Anlass geben, eine Adresse zu prüfen.

• Originaladresse: Vollständige URL statt nur des anklickbaren Linktexts sichern.
• Hostnamen: Hauptdomain, Subdomains und internationale Schriftzeichen getrennt betrachten.
• Weiterleitungen: Beobachten, ob eine bekannte Domain auf ein nicht erwartetes Ziel verweist.
• Seitenidentität: Stimmen Impressum, Kontaktdaten und tatsächlicher Anbieter zur behaupteten Herkunft?
• Betroffene Kanäle: Handelt es sich um E-Mail-Phishing, Werbung, Social Media oder einen missbrauchten Website-Link?
• Chronologie: Ab wann wurde die verdächtige Adresse verbreitet, und welche Meldungen liegen vor?

Ein gültiges TLS-Zertifikat oder ein Schlosssymbol beweist nicht die Seriosität einer Website. HTTPS schützt die Verbindung zum angegebenen Host; auch eine betrügerisch betriebene Domain kann ein gültiges Zertifikat besitzen.

Welche Schutzmaßnahmen eignen sich?

Unternehmen können ihre Mitarbeiter und Kunden über echte Anmeldewege informieren und verdächtige Adressen über passende Plattformkanäle melden. Für wichtige Marken können Domain-Monitoring, die Beobachtung relevanter Suchergebnisse und die Prüfung von Phishing-Meldungen helfen, auffällige Nachahmungen früh zu bemerken. Solche Maßnahmen erfassen nicht zwangsläufig jede existierende Internetadresse.

Websitebetreiber sollten Weiterleitungsfunktionen mit festgelegten Zielbereichen absichern und frei wählbare Fremdziele vermeiden. Bei Werbeauslieferungen helfen nachvollziehbare Angaben zum Inventar und zu den beteiligten Verkäufern. Bei eigenen E-Mails ergänzen SPF, DKIM und DMARC den Schutz der Absenderidentität; diese Verfahren verhindern jedoch keine fremdregistrierten Lookalike-Domains.

Wann greifen Markenrecht, Wettbewerbsrecht oder Strafrecht?

Bei einer täuschenden Nutzung fremder geschützter Namen kommen unter den gesetzlichen Voraussetzungen § 14 MarkenG und § 15 MarkenG in Betracht. Falsche Angaben über die betriebliche Herkunft können unter bestimmten Bedingungen § 5 UWG berühren. Werden Nutzer zur Vermögensverfügung getäuscht, ist im Einzelfall auch § 263 StGB zu prüfen.

Die bloße Verwendung eines Markennamens in einer URL ist nicht ausnahmslos rechtswidrig. Auch redaktionelle Hinweise, berechtigte Beschreibungen oder zulässige technische Zwecke können eine Domainnennung erklären. Eine Einzelfallbewertung muss Rechte, Verwendung und Täuschung getrennt betrachten.

Häufige Fragen zu URL Spoofing

Kann eine URL sicher aussehen und trotzdem auf eine Betrugsseite führen?

Ja. Ein irreführender Linktext oder eine Weiterleitung kann den tatsächlichen Zielhost verbergen. Die vollständige Adresse und ihr Verlauf müssen geprüft werden.

Ist HTTPS ein Nachweis für eine echte Unternehmenswebsite?

Nein. Ein Zertifikat bestätigt die geschützte Verbindung zur betreffenden Domain, nicht die Berechtigung, sich als ein bestimmtes Unternehmen auszugeben.

Sind alle verkürzten Links gefährlich?

Nein. URL-Kürzung hat legitime Zwecke. Für eine Prüfung ist lediglich der tatsächliche Zielweg zu ermitteln.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei betrügerischen URLs sollten Unternehmen den vollständigen Link und vorhandene Belege sichern und die beteiligten Plattformen beziehungsweise Hostinganbieter informieren. BRANDPROTECTIONNOW steht als Partner für die Analyse von täuschenden Webadressen, die Dokumentation von Marken- und Identitätsmissbrauch und die Abstimmung passender Melde- und Schutzmaßnahmen zur Verfügung. Auch die Folgen für Suchergebnisse und die öffentliche Wahrnehmung können untersucht werden. Informationen zur passenden Leistung stehen bei BRANDPROTECTIONNOW Markenschutz.

Fachquellen

• CISA – Recognize and Report Phishing: Erkennen und Melden betrügerischer Links.
• OWASP – Unvalidated Redirects and Forwards Cheat Sheet: sichere Weiterleitungen.
• Google Safe Browsing: Informationen zu schädlichen Websites.
• § 14 MarkenG und § 5 UWG: Rechtsrahmen bei entsprechenden Täuschungskonstellationen.

User-Agent-Spoofing bezeichnet die absichtliche Veränderung der Browser- oder Clientkennung, die ein Programm bei HTTP-Anfragen an einen Webserver übermittelt. Der klassische User-Agent-Header enthält häufig Informationen über Browser, Betriebssystem oder technische Kompatibilität. Weil diese Angaben vom anfragenden Client stammen, lassen sie sich nicht als unabhängigen Beweis über ein Gerät oder eine reale Person verwenden.

Die Veränderung einer User-Agent-Kennung ist an sich nicht rechtswidrig und auch nicht automatisch verdächtig. Entwickler können damit Websites testen, Datenschutzfunktionen können Angaben reduzieren, und kompatible Software kann bestimmte Kennungen verwenden. Im Missbrauchskontext kann ein Bot dagegen versuchen, wie ein gewöhnlicher Browser oder wie ein bekannter Suchmaschinen-Crawler zu erscheinen.

Was steht im User-Agent-Header?

Bei einer HTTP-Anfrage kann ein Client einen Header mit dem Namen User-Agent senden. Traditionell enthält dessen Wert Angaben zur Software und manchmal zum Betriebssystem. Der Header ist ein Selbstbericht des Clients. Er stammt nicht aus einer vertrauenswürdigen Hardwareprüfung.

Moderne Browser reduzieren teilweise die Detailtiefe der Kennung und verwenden ergänzende Mechanismen wie User-Agent Client Hints. Auch deshalb lässt sich aus dem klassischen Header nicht immer zuverlässig auf ein konkretes Gerätemodell schließen. Webseiten sollten sicherheitsrelevante Entscheidungen nicht ausschließlich an diesen Wert knüpfen.

Manche Anwendungen nutzen Browserkennungen noch für technische Anpassungen. Ist der Header falsch oder ungewöhnlich, kann dies zu Darstellungsproblemen führen. Ein solcher Kompatibilitätsfehler ist von einer absichtlichen Umgehung von Sicherheitskontrollen zu unterscheiden.

Wie wird User-Agent-Spoofing eingesetzt?

Vortäuschen eines normalen Webbrowsers

Automatisierte Programme können Kennungen verbreiteter Browser verwenden. Dadurch wirkt eine Anfrage bei einer einfachen Logauswertung wie regulärer Nutzertraffic. Eine solche Kennung beweist allerdings nicht, dass im Hintergrund eine echte Person aktiv ist oder die im Header genannte Software ausgeführt wird.

Vortäuschen eines Suchmaschinen-Crawlers

Ein Bot kann den Namen eines bekannten Suchmaschinen-Crawlers im User-Agent angeben. Ein Betreiber könnte dann fälschlich annehmen, die Anfrage stamme von einem legitimen Indexierungsdienst. Google beschreibt deshalb Verfahren, um Googlebot anhand von Netzwerkidentität und offiziellen Informationen zu überprüfen. Der sichtbare Header allein reicht für diese Zuordnung nicht aus.

Verbergen einer automatisierten Analyse

Auch Scanner und andere Programme können ihre Kennung verändern, um anders behandelt zu werden. Ob dies zulässig ist, hängt vom konkreten Zweck und den Zugriffsbedingungen ab. Ein autorisierter Sicherheitstest kann mit unterschiedlichen Browserkennungen arbeiten, ohne einen Angriff darzustellen.

Täuschung über Geräteklassen

Im Werbeumfeld kann der Versuch auftreten, eine andere Browser- oder Betriebssystemklasse zu melden als tatsächlich verwendet wird. Device Spoofing geht unter Umständen weiter, weil auch andere Geräteattribute und Kennungen betroffen sein können. Eine falsche Browserkennung allein beweist noch keine finanziell relevante Werbemanipulation.

Welche Risiken entstehen für Unternehmen?

Wenn Schutzsysteme ausschließlich auf vermeintlich harmlose User-Agent-Strings vertrauen, können unerwünschte automatisierte Zugriffe zu spät erkannt werden. Ein Skript kann wiederholt Formulare absenden, Inhalte kopieren oder Anzeigen aufrufen, ohne seine Automatisierung im Header offenzulegen. Die Auswirkungen hängen von den tatsächlich angegriffenen Funktionen ab.

Für SEO-Analysen kann eine falsche Crawlerkennung die Interpretation von Server-Logs erschweren. Ein hoher Anteil angeblicher Googlebot-Zugriffe ist kein Beleg dafür, dass Google die Website besonders intensiv besucht. Ebenso sind Anfragen mit ungewöhnlichen Browserkennungen nicht automatisch bösartig.

Bei Werbekampagnen können falsch dargestellte Clientmerkmale die Messung beeinflussen. Ob ein Kontakt gültig war oder unberechtigt abgerechnet wurde, muss unabhängig vom User-Agent geprüft werden.

Ein fiktives Beispiel bei einer Unternehmenswebsite

Ein Betreiber bemerkt zahlreiche Seitenaufrufe, deren User-Agent auf einen verbreiteten Mobilbrowser hinweist. Die Zugriffe erfolgen in regelmäßigen Intervallen und betreffen fast ausschließlich dieselben Seiten. Bei der Prüfung zeigt sich, dass die Anfragen aus einer automatisierten Testinfrastruktur stammen.

Die technische Beobachtung erklärt das auffällige Muster. Ob die automatisierte Aktivität zulässig ist, bleibt eine zweite Frage. Ein externer Monitoringdienst könnte genau solche Zugriffe im Auftrag des Betreibers durchführen. Deshalb muss die Herkunft mit bekannten Dienstleistern, Testplänen und weiteren Netzwerkmerkmalen abgeglichen werden.

Woran lässt sich User-Agent-Spoofing erkennen?

Eine technisch widersprüchliche Kennung kann ein Hinweis sein. Beispiele sind nicht zusammenpassende Angaben zur Browserfamilie und zum ausgeführten Verhalten. Eine belastbare Prüfung verwendet jedoch mehrere Merkmale und berücksichtigt, dass legitime Clients ebenfalls untypische Kennungen senden können.

• Headervergleich: Passt der User-Agent zum Verhalten und zu anderen verfügbaren Clientinformationen?
• Anfragefolgen: Zeigt der Zugriff automatisierte Muster oder wiederholt dieselben Endpunkte?
• Netzwerkidentität: Lässt sich ein angeblicher Suchmaschinen-Crawler über die vorgesehenen Verfahren verifizieren?
• Berechtigte Dienste: Gehört der Zugriff zu bekannten Monitoring-, Test- oder Sicherheitsdiensten?
• Geschäftliche Wirkung: Entstehen auffällige Login-Versuche, Formularmeldungen, Scraping oder Werbekontakte?

Browser ohne Mausbewegungen, kurze Sitzungen oder fehlende Bildabrufe sind keine ausreichenden Einzelbeweise. Nutzer können assistive Technologien verwenden, Skripte blockieren oder Inhalte über besondere Clients abrufen.

Wie unterscheidet sich User-Agent-Spoofing von Bot Traffic?

Bot Traffic bezeichnet automatisierte Zugriffe, unabhängig von ihrer Kennung. User-Agent-Spoofing beschreibt eine mögliche Täuschung über den eingesetzten Client. Ein Bot kann offen mit korrekter Kennung auftreten oder sich tarnen; ein Mensch kann über einen Browser mit veränderter Kennung arbeiten. Die beiden Kategorien sind deshalb nicht deckungsgleich.

Die Bezeichnung User-Agent-Spoofing sagt auch nichts darüber aus, ob eine Webseite gehackt wurde. Für einen nachgewiesenen Missbrauch müssen weitere Handlungen oder Verstöße vorliegen.

Wie untersucht man auffällige User-Agent-Muster?

Die technische Untersuchung beginnt mit geeigneten Server- und Sicherheitsprotokollen. Anfragen werden nach Zeitraum, Zielpfad und verfügbaren Netzwerk- sowie Kontosignalen gegliedert. Anschließend wird geprüft, ob bekannte automatische Dienste das Verhalten erklären können. Bei behaupteten Suchmaschinen-Crawlern sollten die offiziellen Verifikationsverfahren des jeweiligen Anbieters herangezogen werden.

Erst danach sollte eine konkrete Gegenmaßnahme festgelegt werden. Das alleinige Sperren eines User-Agent-Strings ist häufig leicht zu umgehen und kann legitime Programme treffen. Wo automatisierte Zugriffe geschäftliche Funktionen missbrauchen, sind kontenbezogene Kontrollen, Rate Limits und Verhaltensanalysen hilfreicher.

Welche Schutzmaßnahmen eignen sich?

Ein Webserver sollte für sensible Aktionen authentifizierte Berechtigungen und passende Zugriffslimits verwenden. Diese Kontrollen dürfen sich nicht darauf verlassen, dass eine Browserkennung wahrheitsgemäß ist. Bei öffentlichen Inhalten kann ein geregelter Umgang mit erlaubten Crawlern und missbräuchlichen Abrufen helfen, Schutz und Auffindbarkeit miteinander zu vereinbaren.

• Bekannte Suchmaschinen-Crawler über offizielle Verfahren statt allein über ihren Namen prüfen.
• Login-, Formular- und API-Endpunkte mit geeigneten Rate Limits absichern.
• Automatisierte Zugriffe anhand mehrerer Signale beurteilen.
• Legitime Monitoring- und Sicherheitssysteme in der Analyse berücksichtigen.
• Verdächtige Fälle dokumentieren, bevor umfangreiche Netzsperren gesetzt werden.

Die Erfassung umfangreicher Browser- und Geräteprofile kann datenschutzrechtliche Fragen auslösen. Eine Schutzmaßnahme darf daher nicht voraussetzungslos jede verfügbare Information über Websitebesucher sammeln.

Wann ist User-Agent-Spoofing rechtlich relevant?

Die bloße Veränderung einer Clientkennung ist kein eigenständiger Straftatbestand. Wird sie für einen unberechtigten Zugriff auf besonders geschützte Daten eingesetzt, kann unter den gesetzlichen Voraussetzungen § 202a StGB zu prüfen sein. Bei einer absichtlichen Täuschung über abrechenbare Werbeleistungen können gegebenenfalls Wettbewerbs- oder Betrugsvorschriften einschlägig sein.

Die Rechtsbewertung betrifft das tatsächliche Verhalten und seine Folgen, nicht die ungewöhnliche Kennung als solche. Auch die Speicherung von Zugriffsdaten muss die einschlägigen Datenschutzanforderungen beachten.

Häufige Fragen zu User-Agent-Spoofing

Kann jeder User-Agent gefälscht werden?

Der übermittelte Header kann vom Client beeinflusst werden. Er ist daher kein unabhängiger Herkunftsnachweis.

Ist ein angeblicher Googlebot im Serverlog automatisch echt?

Nein. Google beschreibt zusätzliche Verfahren zur Prüfung seiner Crawler. Der User-Agent-Name allein reicht nicht aus.

Ist User-Agent-Spoofing immer ein Bot-Angriff?

Nein. Auch legitime Browser, Testwerkzeuge und Datenschutzfunktionen können die Kennung verändern.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei verdächtigen Anfragen sollten zunächst die betroffenen Endpunkte und der tatsächliche Zweck der Zugriffe untersucht werden. BRANDPROTECTIONNOW begleitet Unternehmen als Partner bei der Auswertung auffälliger Traffic- und Bot-Muster, der Abgrenzung zu legitimen Crawling-Diensten und der Abstimmung geeigneter Schutzmaßnahmen mit spezialisierten Security-Partnern. Wenn automatisierte Zugriffe Werbekampagnen oder die Website-Verfügbarkeit beeinträchtigen, werden diese Folgen in die Analyse einbezogen. Weitere Informationen: BRANDPROTECTIONNOW bei Bot- und Server-Angriffen.

Fachquellen

• MDN – User-Agent HTTP Header: Bedeutung und Verwendung der Kennung.
• Google Search Central – Verify Googlebot: Verifikation legitimer Crawler.
• OWASP – Bot Management: Erkennung und Behandlung automatisierter Zugriffe.
• § 202a StGB: möglicher strafrechtlicher Bezug bei unberechtigtem Zugriff.

Viewability Fraud bezeichnet die absichtliche Täuschung über die Sichtbarkeit digitaler Anzeigen. Dabei werden Werbekontakte als sichtbar ausgewiesen oder entsprechende Messbedingungen manipuliert, obwohl die Anzeige nach den vereinbarten Kriterien nicht sichtbar war. Die Betrugsform betrifft vor allem Display- und Videowerbung, bei der Sichtbarkeitswerte für Abrechnung, Platzierungsqualität oder die Bewertung einer Kampagne verwendet werden.

Eine gemessene Viewable Impression bedeutet nicht, dass ein Mensch den Werbeinhalt bewusst gelesen oder verstanden hat. Sie beschreibt eine technische Gelegenheit zur Wahrnehmung anhand festgelegter Messkriterien. Deshalb sind Sichtbarkeit, tatsächliche Aufmerksamkeit und absichtlich gefälschte Sichtbarkeit voneinander zu unterscheiden.

Was bedeutet Viewability bei digitaler Werbung?

Bei einer Anzeige wird ermittelt, welcher Anteil des Werbemittels für welche Dauer im sichtbaren Bereich eines Bildschirms lag. Für übliche Display-Anzeigen beschreibt der Media Rating Council (MRC) als verbreitete Mindestvoraussetzung mindestens 50 Prozent der Pixel im sichtbaren Bereich für eine zusammenhängende Sekunde. Bei Videoanzeigen gelten grundsätzlich mindestens 50 Prozent für zwei zusammenhängende Sekunden. Für bestimmte Werbeformate und Messumgebungen bestehen besondere Regeln.

Diese technische Schwelle sagt lediglich aus, ob die Anzeige nach dem betreffenden Standard die Mindestanforderung an Sichtbarkeit erfüllt hat. Sie belegt weder die Aufmerksamkeit einer Person noch einen Werbeerfolg. Eine Anzeige kann den Schwellenwert erfüllen, ohne dass der Nutzer hinsieht. Ebenso kann eine nicht als sichtbar gezählte Anzeige kurzzeitig im Sichtfeld gewesen sein.

Werbeplattformen unterscheiden daher häufig ausgelieferte Impressionen, messbare Impressionen und sichtbare Impressionen. Die Zahl der sichtbaren Anzeigen hängt auch davon ab, welcher Anteil der Auslieferung technisch messbar ist. Ein hoher Anteil nicht messbarer Kontakte ist nicht automatisch ein Betrugsnachweis.

Wie kann die Sichtbarkeitsmessung manipuliert werden?

Ad Stacking

Bei Ad Stacking liegen mehrere Anzeigen übereinander. Für den Nutzer ist möglicherweise nur eine davon zu erkennen, während andere technisch geladen werden. Werden verdeckte Anzeigen als sichtbar gemeldet, ist die Messung unzutreffend. Ob der Fehler vorsätzlich herbeigeführt wurde, muss gesondert geprüft werden.

Pixel Stuffing

Bei Pixel Stuffing werden Anzeigen in winzigen Anzeigeelementen geladen. Eine technisch gezählte Impression kann so entstehen, ohne eine gewöhnliche Werbefläche bereitzustellen. Soweit ein Messsystem eine solche Anzeige als gültigen sichtbaren Kontakt ausweist, kann die Messung missbraucht werden.

Verdeckte oder außerhalb des Bildschirms platzierte Werbemittel

Werbeflächen können durch andere Elemente verdeckt, außerhalb des sichtbaren Ausschnitts positioniert oder in nicht aktiven Teilen der Seite geladen werden. Eine solche Platzierung muss nicht zwingend betrügerisch sein. Manche Anzeigen werden bereits vor dem Erreichen der Stelle geladen. Entscheidend ist, ob die anschließende Sichtbarkeitsmessung die wirkliche Darstellung korrekt berücksichtigt.

Manipulation technischer Sichtbarkeitssignale

Bestimmte Betrugsverfahren richten sich gegen Informationen, mit denen eine Messsoftware die Anzeigefläche, die Fensterposition oder die Anzeigezeit bewertet. So könnten Kontakte als sichtbar gemeldet werden, obwohl die Voraussetzungen nicht erfüllt waren. Ein solcher Verdacht erfordert eine konkrete Prüfung der Messmethode. Eine bloß ungewöhnlich hohe Viewability-Rate reicht nicht aus.

Automatisierte Browser und Bot-Traffic

Bots können den Eindruck von Seitenaufrufen und Werbekontakten erzeugen. Selbst wenn eine Anzeige technisch in einem automatisierten Browser sichtbar ist, bedeutet das nicht, dass ein echter Mensch sie gesehen hat. Die Messung von Invalid Traffic ist deshalb ein eigener Prüfschritt neben der Sichtbarkeitsmessung.

Viewability Fraud und Impression Fraud unterscheiden

Impression Fraud beschreibt allgemein die absichtliche Verfälschung von Anzeigenkontakten. Viewability Fraud betrifft genauer die Angabe oder technische Messung, ob diese Kontakte sichtbar waren. Beide Verfahren können zusammen auftreten, müssen es aber nicht.

Eine regulär ausgelieferte Display-Anzeige am unteren Ende einer langen Seite kann eine gültige Impression sein, obwohl sie nicht sichtbar wurde. Wenn ein Werbetreibender lediglich eine Auslieferung gebucht hat, folgt daraus nicht automatisch ein Vertragsverstoß. Anders kann der Sachverhalt sein, wenn sichtbare Kontakte ausdrücklich vereinbart sind und die gemeldeten Werte absichtlich verfälscht werden.

Auch eine hohe Viewability-Rate ist kein Beleg für eine gute Werbewirkung. Sichtbarkeit ist eine Voraussetzung dafür, dass ein Nutzer Werbung wahrnehmen kann, aber keine Messung von Aufmerksamkeit, Erinnerung oder Kaufabsicht. Kampagnen sollten diese Kennzahlen nicht miteinander verwechseln.

Wie kann ein Unternehmen auffällige Sichtbarkeitswerte erkennen?

Ein ungewöhnlicher Sprung der Viewability-Rate, stark unterschiedliche Werte verschiedener Messdienste oder auffällige Platzierungen können eine Prüfung rechtfertigen. Die Abweichungen können jedoch durch unterschiedliche Messmethoden, nicht messbare Umfelder oder veränderte Anzeigenformate entstehen.

• Sichtbarkeitsrate nach Werbeplatz: Ergeben sich auffällige Unterschiede zwischen einzelnen Websites, Apps oder Anzeigenformaten?
• Messbarkeit: Wie viele der ausgelieferten Impressionen konnten überhaupt auf Viewability geprüft werden?
• Anzeigeposition: Liegen die Werbemittel tatsächlich in dem Bildschirmbereich, der im Bericht angegeben wird?
• Browser- und Geräteverteilung: Unterscheiden sich Messungen zwischen Desktop, mobilen Geräten und eingebetteten Umgebungen?
• Messanbieter: Verwenden die verglichenen Berichte dieselben Definitionen und dieselbe Grundgesamtheit?
• Abrechnung: Wurden sichtbare Impressionen ausdrücklich verkauft, oder wird Viewability nur als zusätzliche Qualitätskennzahl ausgewiesen?

Besonders wichtig ist die genaue Messdefinition. Eine hohe Rate bezogen auf ausschließlich messbare Kontakte ist nicht mit dem Anteil sichtbarer Kontakte an allen ausgelieferten Impressionen identisch.

Beispiel aus einer fiktiven Video- und Display-Kampagne

Ein Unternehmen bucht Werbeplätze mit einer vereinbarten Mindestsichtbarkeit. Die Plattform meldet fast durchgehend sehr hohe Werte. Ein unabhängiger Dienst kommt für einzelne Platzierungen zu einem deutlich niedrigeren Ergebnis. Die Marketingabteilung prüft daraufhin, wie beide Anbieter „messbar“ und „sichtbar“ definieren und ob sie dieselben Kontakte untersuchen.

Bei einer technischen Prüfung eines Werbeplatzes wird festgestellt, dass Anzeigen außerhalb des sichtbaren Seitenbereichs geladen werden. Ob dennoch unberechtigt sichtbare Impressionen gemeldet wurden, ist erst nach der Zuordnung der Messereignisse zu beurteilen. Auch ein technischer Fehler bei der Messung kann zu unterschiedlichen Ergebnissen führen.

Für einen möglichen finanziellen Schaden muss nachgewiesen werden, welche Sichtbarkeitsleistung vertraglich vereinbart, berichtet und bezahlt wurde. Eine abweichende Darstellung in einem einzelnen Screenshot genügt dafür nicht.

Wie wird ein Verdacht auf Viewability Fraud untersucht?

Zu Beginn sollten die Kampagnenbedingungen, die eingesetzten Messstandards und die tatsächlich gekauften Leistungen dokumentiert werden. Danach werden Zeiträume, Werbeplätze, Gerätetypen und Sichtbarkeitsmessungen abgeglichen. Wo möglich, kann eine autorisierte technische Prüfung der betroffenen Seiten oder Apps helfen, die Darstellung der Werbemittel nachzuvollziehen.

Ein unabhängiger Messdienst kann zusätzliche Informationen liefern, sofern seine Methodik zur jeweiligen Werbeform passt. Ein Konflikt zwischen zwei Anbietern wird aber nicht dadurch gelöst, dass automatisch einer als wahr und der andere als manipuliert gilt. Die Zählgrundlage, Filter gegen ungültigen Traffic und vorhandene Messgrenzen müssen verglichen werden.

Ein dokumentierter Betrugsverdacht kann dem Werbeanbieter oder Vermarkter zur Prüfung vorgelegt werden. Der Bericht sollte die betroffenen Buchungen, Zeiträume, Auslieferungsorte und auffälligen Messabweichungen enthalten. Bereits erfolgte Korrekturen sind bei einer Schadensbetrachtung zu berücksichtigen.

Welche Gegenmaßnahmen helfen bei manipulierter Sichtbarkeit?

Die Auswahl nachvollziehbarer Werbeplätze und die genaue Definition der gebuchten Sichtbarkeitsleistung bilden die Grundlage. Werbetreibende können außerdem eine unabhängige Viewability-Messung, geeignete Invalid-Traffic-Filter und eine transparente Berichterstattung über messbare sowie nicht messbare Kontakte vereinbaren.

• Im Kampagnenvertrag festhalten, welche Sichtbarkeitskriterien und Messverfahren gelten.
• Berichte nach Platzierung und Format auswerten, nicht nur die Gesamtrate betrachten.
• Unabhängige Messungen bei geeigneten Kampagnen einbeziehen und deren Methodik dokumentieren.
• Auffällige Werbeplätze anhand überprüfbarer Daten bewerten und gegebenenfalls ausschließen.
• Die Erkennung von Bots und ungültigem Traffic getrennt von der Sichtbarkeitsmessung durchführen.
• Für wichtige Kampagnen eine nachvollziehbare Prüfung möglicher Rechnungsabweichungen vereinbaren.

Eine Platzierung allein deshalb zu sperren, weil sie eine niedrigere Viewability-Rate hat, ist nicht immer wirtschaftlich sinnvoll. Entscheidend ist das Ziel der Kampagne und die tatsächlich vereinbarte Leistung. Eine niedrige Sichtbarkeit kann ein Qualitätsproblem sein, ohne dass eine Manipulation vorliegt.

Welche rechtlichen Folgen können entstehen?

Wer bewusst falsche Angaben zu einer angebotenen Werbeleistung macht, kann unter den Voraussetzungen von § 5 UWG irreführend handeln. Bei nachgewiesener Täuschung über vergütete Leistungen kann unter weiteren Voraussetzungen auch § 263 StGB zu prüfen sein. Vertragsrechtliche Ansprüche richten sich nach den vereinbarten Mess- und Abrechnungsbedingungen.

Ein vom MRC-Standard abweichender Messwert ist nicht automatisch rechtswidrig. Branchenstandards, Vertragsbestimmungen und gesetzliche Verbote sind getrennte Ebenen.

Häufige Fragen zu Viewability Fraud

Ist eine als sichtbar gemessene Anzeige sicher wahrgenommen worden?

Nein. Die technische Mindestdauer und sichtbare Fläche beweisen keine Aufmerksamkeit des Nutzers.

Ist eine nicht sichtbare Anzeige automatisch Betrug?

Nein. Ob eine unsichtbare Impression vertragsgemäß ist, hängt vom gebuchten Produkt und der vereinbarten Messung ab. Betrug setzt eine absichtliche Täuschung voraus.

Warum unterscheiden sich Viewability-Berichte?

Messbarkeit, technische Umgebung, Filterung und Berichtsgrundlagen können unterschiedlich sein. Vor einer Betrugsannahme müssen diese Unterschiede geprüft werden.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei auffälligen Sichtbarkeitswerten sollten Werbeplattform und Messdienst zunächst die verwendeten Definitionen und die betroffenen Platzierungen erläutern. BRANDPROTECTIONNOW begleitet Unternehmen bei der Prüfung verdächtiger Viewability-Daten, der Bewertung möglicher Mess- und Abrechnungsmanipulationen und der Dokumentation relevanter Auffälligkeiten. Je nach Fall können weitere technische Prüfungen und ein angepasstes Monitoring der Werbeplätze folgen. Der passende Leistungsbereich ist BRANDPROTECTIONNOW zum Schutz vor Werbebetrug.

Fachquellen

• MRC/IAB – Retail Media Measurement Guidelines: Sichtbare Werbekontakte und Messgrundlagen.
• IAB/MRC – Attention Measurement Guidelines, November 2025: Abgrenzung von Viewability und Aufmerksamkeit.
• Google Ads-Hilfe – Über ungültige Zugriffe: ungültiger Traffic und Plattformfilterung.
• § 5 UWG und § 263 StGB: mögliche rechtliche Grundlagen im Einzelfall.