Bauplan für Anti-Adfraud: So schützt man seine Kampagne

AdFraud ist im heutigen Klima des digitalen Marketings ein nur allzu häufiges Problem. Schätzungen zufolge gehen jährlich weltweit mehr als 200 Milliarden US-Dollar an digitalen Werbeausgaben durch Betrug oder die Finanzierung von Desinformationsplattformen verloren (vgl. Juniper Research  , 2022; Merrick School of Business   & CHEQ, 2019; University of Baltimore   & CHEQ, 2019; #StopFundingHateNow   Research 2021). Obwohl die Branche insgesamt eine Vielzahl von Maßnahmen zur Bekämpfung dieser Probleme ergriffen hat, sind nicht alle von ihnen wirksam, wie eine aktuelle Analyse der Experten für Anzeigenbetrug und Medienforensik, Dr. Augustine Fou und Michael Maurantonio, zeigt. Als Gegenmittel bedarf es einer verstärkten Analyse von Traffic.

Das Ökosystem: Open-web, Walled garden, Affiliates und die Rolle des IAB

Gängige technische Lösungen, die zur Verhinderung von Anzeigenbetrug eingesetzt werden, erfassen nur einen Teil der Impressions und analysieren in der Regel unter anderem nur die Daten vor dem Bid. Viele Adverification-Anbieter konnten beispielsweise grundlegende IVT-Anomalien (IVT: invaldid traffic), Spoofing, Fake-Content etc. nicht erkennen. Wir zählen über 20 verschiedene Techniken, die Betrüger anwenden, um an Werbegelder zu gelangen.

Die am Markt bekanntesten Tools von Adfraud-Verification Unternehmen, die viele Agenturen heute im Einsatz haben, messen unter anderem nur einen Teil dieser Techniken. Eine Schwäche besteht darin, den Traffic im Pre-Bid zu analysieren, also bevor die eigentliche Auktion abgeschlossen ist. Prebid ermöglicht es Publishern, sich mit Tausenden von Demand-Partnern über eine umfangreiche Bibliothek effizienter Adapter zu verbinden, die es ermöglichen, Gebote auf das verfügbare Anzeigeninventar des Publishers abzugeben. Diese Lücke nutzen Betrüger, um beispielsweise Domain-Spoofing einzusetzen, bestimmte Usergruppen ansprechen zu können oder vorzugeben, eine Newsseite zu sein, wenn sie eigentlich nur eine Anhäufung von Nonsense-Inhalten sind, die von unzähligen Werbeplatzierungen umgeben werden. Wir nennen diese Seiten "Made-For-Advertisement-Pages".

Spoofing von User-Agents

Die Popularität verschiedener Webbrowser hat sich im Laufe der Geschichte des Internets verändert, was sich auf die Gestaltung von Websites ausgewirkt hat, die manchmal nur mit bestimmten Browsern gut funktionieren, anstatt nach einheitlichen Standards des World Wide Web Consortium (W3C) oder der Internet Engineering Task Force (IETF) gestaltet zu sein. Websites enthalten oft Bestandteile zur Erkennung der Browserversion, um Informationen bezüglich Aufbau und Design der Seite entsprechend dem empfangenen User-Agent-String anzupassen. Dies kann dazu führen, dass veraltete oder Nischen-Browser Inhalte gar nicht oder nur inkorrekt darstellen können.

Android-Browser beispielsweise identifiziert sich (unter anderem) als Safari, um die Kompatibilität zu verbessern. Andere HTTP-Client-Programme, wie Download-Manager und Offline-Browser, haben oft die Möglichkeit, den User-Agent-String unaufgefordert zu ändern. Das Spoofing des User-Agents kann also dazu führen, dass die gesammelten Informationen über die Webbrowser-Nutzung ungenau sind. Bots von Betrügern können den HTTP_USER_AGENT leicht fälschen und in einen beliebigen Wert umwandeln, um sich so zu tarnen. Anbieter von Adfraud-Verification, die HTTP_USER_AGENT zur Erkennung von Bots verwenden, übersehen damit 100 Prozent dieser Bots, weil der User Agent gültig oder normal erscheint.

Betrüger nutzen weitere Schwachstellen aus. Sie blockieren Tags oder ändern Messdaten, um eine Identifizierung zu vermeiden. Analyse-Tags und/oder Betrugserkennungs-Tags werden blockiert oder böswillig entfernt. Wenn also Automatismen wirkungslos bleiben, wie kann man dennoch Fraud oder Fehlplatzierungen z.B. auf Desinformationsseiten erkennen und in der Folge verhindern?

Wieso unabhängige Messungen wichtig sind

Unseres Erachtens geht kein Weg an der laufenden, durch unabhängige Instanzen durchgeführten manuellen Kontrolle der Kampagnen vorbei, die in der Regel beim Kunden und nicht bei der beauftragten Mediaagentur liegt. Auch wenn Google-Analytics  , Matomo   etc. nicht in der Lage sind, automatisch echten menschlichen Webseitentraffic von betrügerischem zu unterscheiden, so kann man mittels Analyse des Traffics erste Indizien erkennen, die auf Betrug hinweisen:

• Besucherfrequenzen im Tagesverlauf: Menschen brauchen ihren Schlaf. Wenn also große Teile des Traffics nachts verzeichnet werden, sollte man aufhorchen.
  
• Geo-Targeting: Wenn Sie bei Kampagnen explizit nur User bzw. Userinnen aus Deutschland ansprechen wollen, aber die Mehrheit der Besuche aus anderen Ländern stammt.
  
• Traffic Peaks immer genau zur selben Zeit.
  
• Device-Verteilung, die nicht der der Gesamtbevölkerung bzw. Ihrer Zielgruppe entspricht.

Wir wissen aber, dass Betrüger uns immer eine Nasenlänge voraus sind. Und manchmal helfen sie uns auch dabei, Tools zu verbessern oder Ad-Tech-Audits durchzuführen. Anbieter von Fake-Traffic gibt es viele. Manche sind sogar in der Lage, User-Verhalten zu imitieren, um die klassischen "Betrüger-Anfängerfehler", die wir oben erwähnt haben, zu verhindern. Anzeigenbetrug auf Walled-Garden-Plattformen wie Meta  , TikTok   usw. ist besonders schwer zu erkennen, da diese Plattformen (noch?) keine echte In-Ad-Analyse zulassen. Die einzige Möglichkeit, Anzeigenbetrug auf solchen Plattformen aufzudecken, besteht daher in der forensischen Analyse, d. h. durch Experten der Daten, die auf der Landingpage generiert werden.

Wie ein Analyseprozess aussehen kann

Werbeauftraggeber müssen mehr Verantwortung übernehmen und die Leistung der Kampagnen in Eigenregie genauer überwachen. Wie könnte dieser Prozess aussehen? Die erste Frage, die sich jedes Unternehmen stellen sollte, das auf Online-Werbung setzt, ist, wo werden meine Werbemittel angezeigt. Qualitätsprüfungen der Webseiten, die Media-Planer für die Kampagnen ausgesucht haben, können u.a. mit dem Service von Deepsee.io   durchgeführt werden. Das Unternehmen hat sich auf die Analyse von bestimmten Qualitätskriterien spezialisiert und diese von A bis F abgestuft, wobei A ein sehr guter Wert ist:

• Lässt die Seite Pop-ups zu? Wie viele?
  
• Wird der User unaufgefordert weitergeleitet?
  
• Sind die Seiten aufgebläht, u.a. mit vielen Bildern und sonstigem Content?
  
• Verbrauchen sie viele Ressourcen, um geladen und angezeigt zu werden?
  
• Besitzen sie zu viele Referrals?
  
• Verfügen sie über ads.txt Einträge?

Erste Überprüfung der Seite bild.de ergibt Qualitätsmerkmal "A". Hat man alle Seiten überprüft und nur jene berücksichtigt, die mindestens die Note B erreichen, sollte man sich mit der Analyse der ads.txt Einträge vertraut machen. Manche dubiose Seitenbetreiber oder Markplätze machen unvollständige oder falsche Angaben in den ads.txt bzw. bei Vermarktern in dazugehörenden sellers.json Dateien.

Hat man eine erste Anbieter-Liste ermittelt, sollt man diese einem Brand-Value-Check unterziehen. Seit 2019 analysieren wir Seiten hinsichtlich Besitzverhältnisse, Finanzierungsquellen, Vernetzungen und Verifizierbarkeit ihrer Inhalte. Seitdem haben wir über 200.000 Seiten forensisch überprüft und führen unsere eigene Site-Liste mit über 2.000 Webseiten, die wir als problematisch kennzeichnen. Bei Streaming-Plattformen ist dies etwas komplexer, da sie meist nur als Aggregatoren von Audio-Inhalten agieren, demnach die Analyse auf Content-Ebene stattfinden muss.

Wie gehen wir vor? Jedes Unternehmen, das Werbung schaltet, sollte über sog. Corporate- und Brand-Values verfügen, die die Werte des Unternehmens und dessen Mitarbeiter und Mitarbeiterinnen beschreibt. Wir untersuchen jede Webseite nach diesem Schema:

• Wer ist der Betreiber der Seite? Welche Agenda verfolgt er/sie? Welche Vernetzungen zu anderen Unternehmen, Organisationen und Lobbyisten bestehen?
  
• Wie sind die Artikel und die Schlagzeilen aufgebaut? In welchem Kontext stehen sie? Sind sie tendenziös und reißerisch oder neutral? Bevorzugen sie eine bestimmte Agenda, Gruppierung, Meinung etc.? Wird eine Meinung vertreten und auch als solche gekennzeichnet oder werden Meinungen als Fakten verkauft?
  
• Sind sie rassistisch, sexistisch, diskriminierend? Wird bewusst Desinformation betrieben?
  
• Wie viele Artikel bestehen einen Faktencheck? Ist Misinformation als «Fehler in der Hitze des Gefechts» zu verstehen oder hat das System? Werden Verschwörungstheorien genährt und Pseudowissenschaften propagiert?

Die Kriterien, die wir untersuchen:

• Extremismus (links oder rechts) oder Fanatismus (religiös)
  
• Diskriminierung (sex. Orientierung, Herkunft, Geschlecht, Religion etc.)
  
• Pseudo-Wissenschaften
  
• Verschwörungstheorien
  
• Misinformation, Desinformation, Malinformation, Propaganda
  
• Zugehörigkeit einer Organisation, die o.g. Punkte unterstützt/befürwortet
  
• etc.

Es existieren verschiedene Webseitenanalysten, die nach einem ähnlichen Prinzip arbeiten und über eigenen Datenbanken verfügen. Newsguard   ist mitunter eines der bekanntesten Unternehmen in diesem Bereich, die kommerziell ihre Datenbanken vermarkten. Nach diesem Schritt ist man in der Lage, Seiten zu eliminieren, die nicht den Unternehmenswerten des Werbeauftraggebers entsprechen. Doch wie stellt man nun sicher, dass diese Liste, die wir erste Include-Liste nennen, auch korrekt angesteuert wird?

Include- statt Blocklisten

Es sei hier kurz erläutert, wieso wir auf strikte Include-Listen statt Block-Listen setzen: Wer befindet sich auf dieser Blockliste? Wie werden Dark-Pools und/oder Domain-Spoofs erkannt? Von wem stammen diese Listen, wer überprüft sie in welchem Turnus? Um es kurz zu fassen: Wer geblockt wird, findet einen Weg, wieder an Werbegelder zu gelangen. Ergo bedeutet das, dass im Umkehrschluss jeder Werbungtreibende pro Zielgruppe eigene Include-Listen aufsetzen, kontrollieren und pflegen muss.

Um in Erfahrung zu bringen, ob Werbung wirklich auf den Seiten ausgespielt wird, die man akribisch selektiert hat, benötigt man Analyse-Prozesse und -Tools, die alle Fraud-Techniken erfassen, diese nach erfolgter Werbeauslieferung messen können und zudem vor Angriffen sicher sind. FouAnalytics   hilft Analytikern dabei, sowohl den Traffic der Werbeauslieferung zu messen, als auch jenen Traffic, der auf der Landingpage der Kampagne stattfindet.

Wie unterscheidet sich FouAnalytics von anderen Analyse-Tools? Abgesehen davon, dass den NutzerInnen angezeigt wird, was verdächtig, betrügerisch oder nicht betrügerisch ist, und die unterstützenden Details, damit der Anwender sich selbst davon überzeugen kann, erstellt der User benutzerdefinierte "Ansichten", die auf seinem täglichen Arbeitsablauf basieren.

Ein Website-Betreiber kann sich beispielsweise auf Fragen konzentrieren wie:

1. Woher kommen meine Nutzerinnen und Nutzer?
   
2. Was haben sie auf der Website gemacht?
   
3. Und haben sie etwas gekauft?

Während Advertiser wissen wollen:

1. Wo sind meine Anzeigen gelaufen?
   
2. Waren meine Anzeigen für Menschen sichtbar?
   
3. Waren die Klicks echt?
   
4. Und sind die Klicks tatsächlich auf meiner Website gelandet usw.

Außerdem hat FouAnalytics Cybersecurity eingebaut - mit anderen Worten, es ist gegen Hackerangriffe abgesichert. Dies ist notwendig, da Analyse-Tags und Attributions-URLs, die nicht geschützt sind, mit DDoS angegriffen werden können, d. h. wiederholt geladen werden können, um falsche Daten zu erzeugen oder die Attribution auszutricksen, wodurch die Analysen ungenau und unzuverlässig werden. Das FouAnalytics-Tag ist eindeutig gekennzeichnet, so dass jede Instanz zeitlich eindeutig ist und auf Manipulationen überprüft werden kann. Selbst wenn es kopiert, verändert und wiederholt angegriffen würde, wäre nur ein einziger Seitenaufruf oder eine einzige Impression betroffen - und somit leicht zu erkennen und zu entfernen. Paid-Kampagnen können nach ihrer Quelle einzeln analysiert werden, um somit weitere Optimierungen, sei es in der Auswahl der einzelnen Seiten oder der gebuchten Kanäle, vorzunehmen.

Wo keine Prozesse und keine Verantwortungen, da auch keine Konsequenzen

Wie bei allen Plan-Do-Check-Act Abläufen, sollte jedes Unternehmen klare interne Prozesse für Digitalkampagnen definieren und verabschieden, die auch die Must-haves für alle Digitalmarketing-Verträge beinhalten, wie zum Beispiel Viewabilty-Ziele etc. und die Konsequenzen, wenn Anti-Fraud und Anti-Desinformationsziele nicht erreicht werden. Also muss u.a. jeder Media-Plan mit der Media-Strategie und diese mit den Marken-/Unternehmenswerten gegengeprüft werden.

Wir empfehlen zudem, eine vom Marketing unabhängige Controlling-Stelle zu gründen (intern oder durch ext. Auditor), die folgende Punkte in ihrer Verantwortung durchsetzen kann:

• Aushändigen vollständiger Site-Reports aus der DSP u.a. auf Domain und ancestorOrigins Ebene, planned sowie ex-post.
  
• Auditing der Digital-Kampagnen nicht nur auf Brand-Safety, sondern auch auf Ad-Fraud und anderen KPIs.
  
• Die Streichung von Domains, Vendors und Publishern, die sowohl aus Marken- wie Performance-Sicht nicht den Ansprüchen entsprechen.
  
• Die Erstellung einer Include-Liste mit den Seiten und Partnern, die regelmäßig überprüft werden und zur Marke passen.

Die Kontrollinstanz sollte sich mittels Best Practice Cases mit anderen unabhängigen Experten regelmäßig austauschen. Will man Teile der Verantwortung zurückspielen, muss man die Branchenteilnehmer auffordern oder vertraglich dazu zwingen, strengeres Onboarding von Websites, Werbetreibenden und Wiederverkäufern umzusetzen. So könnten Ad-Techs wie Google gezwungen werden, Werbepartnern und Publishern die Teilnahme an ihren Werbemonetarisierungsprogrammen nur dann zu gestatten, wenn sie von einer dritten und unabhängigen Instanz geprüft werden.

Uns allen ist bewusst, dass aufgrund von länderspezifischen Rechtsgrundlagen solche Schritte nur schwer umsetzbar sein werden. Das hindert jedoch nicht, lokale oder europaweite Trusted Networks zu bilden, die, um vom Werbekuchen profitieren zu können, sich an Regulierungen halten müssen und dazu verpflichtet werden, ähnlich einer IVW  , ÖAK   oder WEMF   bei Presseerzeugnissen, regelmäßig und unangekündigt überprüft zu werden. Ansätze existieren bereits mit dem Digital Ad Trust  , der aber den fahlen Beigeschmack der "Bock-zum-Gärtner"-Problematik besitzt. Kritisch sollte man auch die Tatsache betrachten, dass eine Messung nur als Stichprobe durchgeführt wird und basierend auf dieser Stichprobe ein Zertifikat ausgestellt wird. Mit FouAnalytics messen wir 365/24/7, aber Zertifikate stellen wir keine aus, weil Zertifikate auch nur eine Momentaufnahme darstellen.

Schlägt die Stunde von Retail-Media?

Wird Retail-Media Teil der Lösung werden? Zumal Retail-Media-Unternehmen auf 1st-Party Kundendaten vertrauen und auf echte Käuferprofile setzen, haben auch diese Netzwerke Online on-site ihre Grenzen. Die Tagesreichweitenthematik ist nur eine von vielen, die im übrigen auch News-Plattformen besitzen, die mit Paywalls und Log-ins arbeiten.

Retail-Media bietet aber den Vorteil der durch die Digitalisierung und damit verbundenen Convenience verteufelten Kontrolle der Prozesse: eine bessere Kontrolle der Kampagnen durch den Retailer, da er als Publisher beide Seiten (Werbetreibende und Vermarkter) kontrollieren kann und somit eine strenge Überprüfung möglich macht, bevor eine Werbekampagne zugelassen wird.

Zusammenfassend lässt sich sagen, dass es für das Problem des Anzeigenbetrugs keine Einheitslösung gibt. Es erfordert eine gründliche, ausgefeilte Analyse der Webverkehrsdaten, um betrügerische Aktivitäten zu erkennen und zu verhindern, sowie ein erhöhtes Verantwortungsbewusstsein der KundInnen und eine Verpflichtung zur besseren Überprüfung von Websites, Anbietern und Vermarktern. Filter von Drittanbietern können zwar ein erster Schritt sein, um verdächtige Aktivitäten zu erkennen, aber sie können nur einen Teil des Problems erkennen und besitzen zu viele unbeantwortete Fragen, um Betrugsfälle in ihrer Gesamtheit transparent aufzudecken. Wie neue Technologien, allen voran Block-Chain oder KI-unterstützte Tools, die heute grassierenden Probleme lösen können, bleibt offen. Es existieren interessante Ansätze, die aber noch in den Kinderschuhen stecken. Daher müssen heute Unternehmen umso mehr die Bedeutung fortgeschrittener manueller Analysemethoden zum Schutz der Integrität ihrer Marketingkampagnen erkennen und korrekt einsetzen.

---

iBusiness-Autor Michael Maurantonio ist "Ad Fraud Investigator". Er berät und begleitet Unternehmen bei der Ermittlung derer Customer Journeys und erstellt für seine Kundinnen und Kunden fundierte Multi-Channel-Strategien auf paid-owned-earned Ebene. Er ist ausgewiesener Kommunikationsexperte für Kommunikationspitches, Media-Audits oder -Verhandlungen, Optimierung interner Prozesse sowie für Kommunikationsschulungen für klassische und neue Medien sowie für das Fach Medienkompetenz.