Was ist Klickbetrug? | So funktionieren Click-Bots

Was ist Klickbetrug?

Klickbetrug ist, wenn eine Person oder ein Bot sich als seriöser Besucher einer Webseite ausgibt und auf eine Anzeige, eine Schaltfläche oder eine andere Art von Hyperlink klickt. Der Klickbetrug zielt darauf ab, eine Plattform oder einen Dienst in einer Weise zu täuschen, dass die Plattform oder der Dienst denkt, dass echte Nutzer mit der Webseite, Anzeige oder App interagieren.

Klickbetrug tritt in der Regel in großem Umfang auf – jeder Link wird mehrmals und nicht nur einmal angeklickt, und in der Regel sind mehrere Links das Ziel. Klickbetrüger verwenden zur Automatisierung dieses Prozesses häufig Bots, die immer wieder klicken. Bots machen ca. 50 % des gesamten Internet-Traffics aus.* Bis zu 20 % der Websites, die Anzeigen schalten, werden ausschließlich von betrügerischen Click-Bots besucht.**

Klickbetrug kann verschiedene Hintergründe haben. Die Betrüger sind meistens, besonders bei Anzeigenbetrug, bestrebt, einen finanziellen Gewinn zu erzielen. Manchmal verwenden Unternehmen Klickbetrug, um die Werbebudgets ihrer Mitbewerber zu beeinträchtigen, indem sie ihre PPC-Anzeigen (oder „Pay-per-Click“) mit betrügerischen Klicks angreifen. Klickbetrug könnte auch ideologische Beweggründe haben - künstliche Likes oder Upvotes zu einem Beitrag, um z. B. bestimmte Stimmungen beliebter als in der Wirklichkeit erscheinen zu lassen. Cyberkriminelle können auch Klickbetrug nutzen, um eine böswillige Webseite in Suchmaschinenrankings höher anzeigen zu lassen, so dass sie seriös erscheint.

Häufige Arten von Klickbetrug

Ein Beispiel für Klickbetrug ist Werbebetrug: Wenn ein Betreiber einer Website betrügerische Klicks auf PPC-Anzeigen auf seiner eigenen Website macht. Klickbetrüger können Webseiten mit PPC-Anzeigen einrichten und dann Klick-Bots einsetzen, um auf diese Anzeigen zu „klicken“. Das Werbenetzwerk muss bei jedem Klick den Betreiber der Website (den Betrüger) bezahlen. Je mehr betrügerische Klicks erfolgen, desto mehr muss das Werbenetzwerk an die Website bezahlen, wenn der Betrug unentdeckt bleibt.

Werbebetrug kann auch in Form eines finanziellen Angriffs auf das Unternehmen erfolgen, das die Anzeigen bezahlt. In einem solchen Szenario zielen Betrüger auf PPC-Anzeigen auf einer Website, die sie nicht besitzen. Der Betrüger versucht nicht, mit den Klicks Geld zu verdienen, aber das Unternehmen, das Ziel des Angriffs ist, muss das Werbenetzwerk für jeden Klick bezahlen, und das kostet es Geld.

Ein weiteres Anwendungsbeispiel für Klickbetrug ist, wenn jemand versucht, Suchmaschinenrankings zu manipulieren, indem er die Klickrate künstlich erhöht. Die „Klickrate“ bezieht sich darauf, wie viele der gesamten Besucher einer Seite auf einen bestimmten Link klicken. Die Klickrate ist ein Ranking-Faktor, den Suchmaschinen wie Google einbeziehen, obwohl nicht bekannt ist, wie hoch die Gewichtung dieses Faktors ist. Das Ziel des Klickbetrugs in diesem Szenario ist die Erhöhung der Klickrate einer Webseite, wodurch das Suchmaschinenranking erhöht wird und mehr echte Benutzer die Seite besuchen.

Was ist ein Click-Bot?

Ein Click-Bot ist ein Bot, der zum Ausführen von Klickbetrug programmiert ist. Die Standard-Click-Bots greifen einfach auf eine Webseite zu und klicken auf den gewünschten Link. Ausgefeiltere Click-Bots werden auch dahingehend programmiert, Handlungen auszuführen, die auch ein echter Benutzer ausführen würde – Mausbewegungen, zufällige Pausen vor einer Handlung, unterschiedliche Zeitspannen zwischen Klicks usw. Der Betrüger, der den Bot geschrieben hat, hofft auf diese Weise, die Bot-Klicks als von seriösen Benutzern durchgeführte zu tarnen.

Da Hunderte oder Tausende von Klicks von einem einzelnen Gerät sofort verdächtig erscheinen würden, verwendet eine Klickbetrug-Kampagne in der Regel auf vielen Geräten installierte Bots. Alle diese Geräte haben jeweils eine andere IP-Adresse, und deshalb sieht es so aus, als würde jeder Klick von einem anderen Nutzer stammen. Ein derartiges Netzwerk von Geräten, bei dem jedes Gerät eine Kopie eines Bots ausführt, wird als Botnet bezeichnet.

Botnets betreffen Tausende oder sogar Millionen von Benutzergeräten, auf denen Bots installiert sind. Die meiste Zeit über laufen diese Botnet-Click-Bots infolge einer Malware-Infektion auf den Geräten ohne Wissen der Benutzer. Für Klickbetrug-Angriffe wurden mehrere große, bekannte Botnetze verwendet – so war „Clickbot.A“ ein Klickbetrug-Botnetz, das über 100.000 Benutzerrechner infizierte.

Bei Klickbetrug werden keine Botnetze benötigt; auch ein einzelner Bot kann unrechtmäßige Klicks ausführen. Allerdings ist der Bot-Traffic, der von nur einem Rechner ausgeht, leichter zu erkennen und zu blockieren. Der Webserver kann die Bereitstellung für diese IP-Adresse einfach einstellen.

Stammt Klickbetrug immer von Bots?

Während häufig Bots verwendet werden, um Klickbetrug zu begehen, kann er auch von Billigarbeitern durchgeführt werden. Eine Gruppe von solchen Billigarbeitern wird als „Klickfarm“ bezeichnet. Klickfarmen werden oft in Gebieten mit relativ niedrigen Löhnen betrieben, z. B. in Entwicklungsländern.

Mitarbeiter von Klickfarmen werden beauftragt, bestimmte Webseiten aufzurufen und auf bestimmte Links zu klicken, um die Klickraten oder die Traffic-Gesamtzahlen für diese Seiten künstlich zu erhöhen. Sie können auch in Social-Media-Netzwerken aktiv sein und bestimmte Beiträge oder Seiten „liken“, um ihre Sichtbarkeit zu steigern.

Aus Sicht eines Betrügers hat eine Klickfarm den Vorteil, dass die Mitarbeiter der menschlichen Klickfarm das Verhalten eines legitimen Benutzers überzeugender nachahmen können als ein Bot. Der Nachteil dabei ist, dass die Nutzung einer Klickfarm für Betrüger viel weniger effizient und wesentlich ressourcenintensiver ist.

Die meisten Klickbetrüger haben keinen Zugang zu Dutzenden oder Hunderten von menschlichen Arbeitern, und für sie ist es viel einfacher, ein paar Zeilen Code zu schreiben und Click-Bots zu erstellen. Aus diesem Grund ist das Bot-Management für Unternehmen, die Klickbetrug verhindern wollen, überaus wichtig.

Wie viel kostet Klickbetrug die Unternehmen?

Klickbetrug kostet Werbenetzwerke Milliarden – allein im Jahr 2018 wurde der Verlust der Werbetreibenden durch Betrug auf 19 Milliarden Dollar geschätzt. Wenn Betrüger im Besitz eines Botnets sind oder IP-Adressen übernommen haben, können sie in größerem Umfang Klickbetrug betreiben: Bei einem Ende 2018 entdeckten Langzeitbetrug hat eine einzelne Verbrecherorganisation über 29 Millionen Dollar durch Anzeigenbetrug verdient.

In ähnlicher Weise können die Unternehmen, die die PPC-Werbekampagnen durchführen, auch für betrügerische Klicks von Bots zahlen müssen. Laut einer Quelle verloren Vermarkter im Jahr 2016 7,2 Milliarden Dollar durch Werbebetrug.

Wie wirkt sich Klickbetrug auf die Website-Analyse aus?

Klickbetrug kann verheerende Auswirkungen auf die Website-Analyse haben. Wenn Bots mit einer Website interagieren, werden ihre Aktivitäten in die Daten aufgenommen. Aus diesem Grund können die Betreiber der Website die tatsächliche Wirksamkeit einer Anzeige nicht messen oder das tatsächliche Verhalten seriöser Benutzer beurteilen. Dies ist ein Problem für Unternehmen, die messen möchten, wie gut ihre Inhalte ein Publikum ansprechen, oder die genaue Informationen über Traffic und Nutzerverhalten auf ihrer Website benötigen.

Daher ist eine Strategie zur Verwaltung der Bot-Aktivität für jede Website, Anwendung oder API, die über das Internet verfügbar ist, äußerst wichtig. Wenn böswilliger Bot-Traffic wie Klickbetrug nicht bekämpft werden kann, können Bots die Kundenzufriedenheit negativ beeinflussen und das kann den Unternehmen Geld kosten.

Wie funktioniert Klickbetrugsprävention?

Einige Werbetreibende verfügen über automatisierte Erkennungsprogramme, um Klicks zu blockieren, die wahrscheinlich von Bots ausgehen – Google verwendet z. B. maschinelles Lernen zusammen mit einem manuellen Überprüfungsverfahren, um werbebezogene Aktivitäten von Bots herauszufiltern. Cloudflare Bot-Management nutzt ebenfalls maschinelles Lernen, um Klickbetrug zu erkennen und zu bekämpfen. Wenn die Aktivität eines Nutzers in solchen maschinellen Lernprogrammen zu stark von der typischen Nutzeraktivität abweicht – wenn beispielsweise ein Nutzer nur auf Anzeigen klickt –, dann wird dieser Nutzer als vermuteter Bot gekennzeichnet.

Unternehmen sind nicht die einzigen, die sich gegen Klickbetrug schützen müssen. Kleinere Websites können ihren Bot-Traffic mit dem Super Bot Fight Mode analysieren und sich gegen Bot-gesteuerte Angriffe verteidigen. Dieser Modus ist jetzt für die Tarife Cloudflare Pro und Business verfügbar.

*https://www.theatlantic.com/technology/archive/2017/01/bots-bots-bots/515043/

** https://www.theverge.com/2017/5/24/15681080/ad-fraud-websites-traffic-bots-white-ops-report