So schützen Sie Werbekampagnen vor betrügerischem Traffic und Bots

Betrügerischer Traffic ist für digitale Werbung inzwischen ein alltägliches Risiko und kein gelegentliches technisches Problem mehr. Werbetreibende können Geld durch automatisierte Klicks, gefälschte Impressionen, fingierte Leads, wiederholte Formularübermittlungen und andere Interaktionen verlieren, die in Kampagnenberichten wertvoll erscheinen, tatsächlich jedoch kaum oder gar keinen geschäftlichen Nutzen haben. Das Problem ist 2026 besonders relevant, weil automatisierter Traffic das normale Surfverhalten überzeugender nachahmen kann als einfache Bots der Vergangenheit. Schutz erfordert daher mehr als das Sperren einiger verdächtiger IP-Adressen. Marketingteams müssen verstehen, woher der Traffic stammt, festlegen, welche Aktionen tatsächlich einen geschäftlichen Wert darstellen, ungewöhnliche Muster überwachen und an mehreren Punkten zwischen einer Werbeanzeige und einem abgeschlossenen Verkauf Kontrollen einsetzen. Ziel ist nicht, jede automatisierte Anfrage von einer Website zu entfernen, da auch legitime Suchmaschinen-Crawler und Monitoring-Dienste automatisierten Traffic erzeugen. Praktisch geht es darum, zu verhindern, dass nicht menschliche oder manipulierte Aktivitäten Werbebudgets verbrauchen und die zur Kampagnenoptimierung verwendeten Daten verfälschen.

Betrügerischen Traffic in Werbekampagnen im Jahr 2026 verstehen

Ungültiger Traffic ist eine umfassendere Kategorie als vorsätzlicher Werbebetrug. Dazu können versehentliche Doppelklicks, wiederholte Interaktionen ohne echtes Interesse, automatisierte Crawler, Traffic aus Rechenzentren sowie absichtlich erzeugte Klicks oder Impressionen gehören. Google beispielsweise stuft automatisierte Tools, Bots, Spider und bestimmte ungewöhnliche Traffic-Muster als ungültige Aktivität ein und filtert Traffic heraus, den die eigenen Systeme als ungültig erkennen. Werbetreibende sollten ihre Ergebnisse dennoch selbst analysieren, da ein Werbedienst feststellen kann, ob ein Klick technisch auffällig erscheint, aber nicht wissen kann, ob ein eingereichter Lead später einen Anruf beantwortet, eine echte geschäftliche E-Mail-Adresse verwendet oder zu einem zahlenden Kunden wird. Die Traffic-Qualität muss daher sowohl aus werblicher als auch aus geschäftlicher Sicht bewertet werden.

Das Ausmaß des Problems unterscheidet sich erheblich zwischen Kampagnen, Ländern, Geräten und Traffic-Quellen, weshalb es keinen glaubwürdigen universellen Prozentsatz gibt, der für jeden Werbetreibenden gilt. Als aktueller Vergleichswert berichtete Fraudlogix für eine Stichprobe von 26,3 Milliarden Werbeimpressionen im ersten Quartal 2026 über einen Anteil ungültigen Traffics von 18,12 %. Für den vollständigen Datensatz des Jahres 2025 hatte das Unternehmen 20,64 % angegeben. Diese Werte stammen von einem einzelnen Messanbieter und sollten nicht direkt auf eine konkrete Kampagne übertragen werden. Sie verdeutlichen jedoch, weshalb die Überprüfung der Traffic-Qualität auch dann relevant bleibt, wenn Kampagnen-Dashboards unauffällig aussehen. Ein Unternehmen, das gezielt ausgewählten Suchmaschinen-Traffic einkauft, kann einem völlig anderen Risiko ausgesetzt sein als ein Werbetreibender, der große Mengen an offenem programmatischem Inventar bezieht.

Betrug kann mehr beeinträchtigen als nur das Geld, das für einzelne Klicks oder Impressionen ausgegeben wird. Minderwertige Interaktionen können die Daten verfälschen, die für die automatisierte Kampagnenoptimierung verwendet werden. Ein Beispiel ist eine Lead-Generierungs-Kampagne, bei der Bots wiederholt ein einfaches Kontaktformular ausfüllen. Wenn jede Übermittlung als wertvolle Conversion behandelt wird, kann das Werbesystem nach und nach mehr Budget den Zielgruppen, Platzierungen oder Traffic-Quellen zuweisen, die ähnliche gefälschte Leads erzeugen. Die Kampagne kann dann effizient erscheinen, weil die ausgewiesenen Kosten pro Lead sinken, während das Vertriebsteam immer mehr unbrauchbare Anfragen erhält. Deshalb sollten Marketingverantwortliche Traffic anhand nachgelagerter Ergebnisse bewerten, beispielsweise qualifizierter Leads, verifizierter Registrierungen, abgeschlossener Käufe, langfristig gewonnener Kunden oder anderer Resultate, die das tatsächliche Geschäftsziel widerspiegeln.

Warnsignale, die in der Praxis besonders relevant sind

Ein plötzlicher Anstieg des Traffics ist noch kein Beweis für Betrug. Deutliche Veränderungen sollten jedoch untersucht werden, wenn sich die entsprechenden Geschäftsergebnisse nicht in dieselbe Richtung entwickeln. Eine Kampagne kann beispielsweise doppelt so viele Klicks erhalten, während die Verkaufszahlen unverändert bleiben. Ebenso kann eine bestimmte Platzierung eine ungewöhnlich hohe Klickrate erzeugen, ohne dass Besucher anschließend nennenswerte Aktivitäten durchführen. Weitere Warnsignale sind ein schneller Anstieg der Formularübermittlungen ohne vergleichbare Zunahme qualifizierter Leads, ungewöhnlich geringe Interaktion bei einer einzelnen Quelle, wiederholte Conversions innerhalb sehr kurzer Zeiträume oder große Traffic-Mengen zu Tageszeiten, in denen die Zielgruppe normalerweise kaum aktiv ist. Ein aussagekräftiges Signal ergibt sich meist aus dem Verhältnis mehrerer Kennzahlen und nicht aus einem einzelnen ungewöhnlichen Wert.

Geografische Daten und Geräteinformationen können Probleme sichtbar machen, die in kontoweiten Durchschnittswerten untergehen. Eine Kampagne, die beispielsweise auf Kunden in Manchester, Birmingham und London ausgerichtet ist, sollte genauer geprüft werden, wenn plötzlich ein großer Teil der bezahlten Besuche außerhalb des vorgesehenen Marktes entsteht. Marketingteams sollten außerdem Betriebssysteme, Browser, Geräte, Netzwerke und Platzierungen mit der tatsächlichen Conversion-Qualität vergleichen. Das bedeutet nicht, dass ein unbekannter Browser oder eine ausländische IP-Adresse automatisch gesperrt werden sollte. Reisende, Unternehmensnetzwerke, Mobilfunkanbieter, Datenschutzdienste und wechselnde IP-Adressen können ebenfalls ungewöhnliche Daten erzeugen. Einschränkungen sollten auf wiederholten Nachweisen geringer Qualität beruhen und nicht auf Vermutungen über ein einzelnes technisches Merkmal.

Auch die Lead-Qualität liefert wertvolle Hinweise. Betrügerische Lead-Kampagnen hinterlassen häufig praktische Spuren, die in einem Media-Dashboard nicht sichtbar sind: Telefonnummern, die nicht existieren, temporäre E-Mail-Adressen, mehrfach eingereichte identische Kontaktdaten, unsinnige Namen, unmögliche Adressen oder Personen, die angeben, niemals Informationen angefordert zu haben. Marketing- und Vertriebsdaten sollten deshalb so miteinander verknüpft werden, dass erkennbar ist, welche Kampagnen, Quellen und Anzeigen akzeptierte oder abgelehnte Leads hervorgebracht haben. Bereits ein einfacher wöchentlicher Bericht, der die Gesamtzahl der Leads mit der Zahl qualifizierter Leads vergleicht, kann Probleme erkennen lassen, die unsichtbar bleiben, wenn das Marketingteam ausschließlich Formularübermittlungen misst. Gleichzeitig wird verhindert, dass wirksamer Traffic reduziert wird, nur weil eine einzelne Kennzahl ungewöhnlich erscheint.

Schutzmaßnahmen vor und während der Auslieferung von Kampagnen aufbauen

Wirksamer Schutz beginnt bereits bei der Auswahl der Werbequellen. Werbetreibende sollten wissen, welche Netzwerke, Publisher, Anwendungen und Platzierungen ihr Budget erhalten können, anstatt jede verfügbare Impression als gleichwertig zu behandeln. Beim Einkauf programmatischen Inventars können Standards zur Transparenz der Lieferkette helfen, Unsicherheiten zu reduzieren. Die ads.txt-Spezifikation des IAB Tech Lab ermöglicht es Publishern anzugeben, welche Werbesysteme autorisiert sind, ihr Inventar zu verkaufen. Sellers.json stellt zusätzliche Informationen bereit, mit denen Käufer direkte Verkäufer und Vermittler identifizieren können, die am Verkauf einer Werbemöglichkeit beteiligt sind. Diese Standards können nicht jeden Bot erkennen, erschweren jedoch das Verbergen nicht autorisierten Inventars hinter irreführenden Verkäuferbeziehungen und geben Käufern mehr Informationen darüber, woher Werbeinventar stammt.

Platzierungsberichte sollten anschließend regelmäßig geprüft und nicht als rein administrative Information behandelt werden. Eine kleine Gruppe von Websites oder Anwendungen kann mitunter einen unverhältnismäßig hohen Anteil der Klicks erzeugen, ohne vergleichbare Conversions zu liefern. Solche Quellen können einzeln untersucht und ausgeschlossen werden, wenn genügend Hinweise darauf vorliegen, dass sie keine brauchbaren Ergebnisse bringen. Dasselbe Prinzip gilt für Partner-Traffic, Affiliate-Kampagnen und andere externe Akquisitionsquellen. Verträge sollten klar definieren, was als akzeptabler Lead oder als gültige Conversion gilt, welche Nachweise bei Streitigkeiten über die Traffic-Qualität verfügbar sind und wie mit ungültigen Aktivitäten finanziell umgegangen wird. Eindeutige Bedingungen lassen sich wesentlich leichter durchsetzen als ein allgemeines Versprechen, „hochwertigen Traffic“ zu liefern.

Auch Targeting-Einstellungen reduzieren unnötige Risiken. Die geografische Ausrichtung sollte den Gebieten entsprechen, in denen ein Unternehmen seine Kunden tatsächlich bedienen kann, während Sprach- und Zielgruppeneinstellungen zum vorgesehenen Markt passen sollten. Kampagnenmanager sollten veraltete Platzierungen regelmäßig entfernen sowie Suchbegriffe, Verweisquellen und Partner-Traffic überprüfen. Bekannte interne Unternehmensnetzwerke können gegebenenfalls ebenfalls ausgeschlossen werden, damit Mitarbeiter bei ihrer täglichen Arbeit nicht wiederholt bezahlte Anzeigen sehen oder anklicken. Google Ads unterstützt derzeit IP-Ausschlüsse, einschließlich Einstellungen auf Kontoebene. IP-Sperren sollten jedoch gezielt eingesetzt werden, da sich IP-Adressen ändern können und viele legitime Nutzer dasselbe Netzwerk verwenden. Sie sind eine nützliche Kontrollmaßnahme, aber keine vollständige Strategie gegen Werbebetrug.

Kontrollen für Werbekonten, Media-Einkauf und Landingpages

Die Website, auf der bezahlter Traffic ankommt, bildet eine zweite Schutzebene. Sicherheitsdienste können Merkmale wie die Häufigkeit von Anfragen, die Reputation eines Netzwerks und das Surfverhalten analysieren, um gewöhnliche Besucher von verdächtiger Automatisierung zu unterscheiden. Anstatt jedem Besucher eine aufwendige Prüfung aufzuerlegen, sollte eine sinnvolle Konfiguration zusätzliche Kontrollen nur dann einsetzen, wenn eine Anfrage mehrere Risikosignale aufweist. Das ist wichtig, weil zu aggressive Filter echte Conversion-Raten ebenso leicht reduzieren können, wie zu schwache Filter Bots durchlassen. Moderne Systeme zur Bot-Erkennung unterscheiden außerdem zwischen bekannten legitimen automatisierten Diensten und missbräuchlicher Automatisierung. Die aktuelle Dokumentation von Cloudflare unterscheidet beispielsweise verifizierte Bots und Agents, die sich transparent identifizieren und akzeptable Verhaltensregeln einhalten, von Traffic, der versucht, seinen tatsächlichen Zweck zu verbergen.

Formulare verdienen bei Lead-Generierungs-Kampagnen besondere Aufmerksamkeit, weil eine günstige automatisierte Übermittlung eine scheinbar wertvolle Conversion erzeugen kann. Zu den grundlegenden Schutzmaßnahmen gehören die Begrenzung übermäßig vieler Übermittlungen, das Zurückweisen offensichtlicher Duplikate, die Prüfung auf plausible Inhalte in Pflichtfeldern sowie der Einsatz von Bot-Prüfungen bei verdächtigem Traffic. Versteckte Formularfelder, die normale Besucher nicht sehen, können ebenfalls helfen, einfache automatisierte Übermittlungen zu erkennen, sollten jedoch nicht als alleinige Prüfung verwendet werden. Unternehmen mit besonders wertvollen Leads können eine Bestätigung per E-Mail oder Telefon verlangen, bevor eine Registrierung als qualifiziert gilt. Jeder zusätzliche Schritt schafft jedoch gewisse Hürden. Der Umfang der Verifizierung sollte deshalb vom Wert der Conversion und vom tatsächlich beobachteten Betrugsniveau abhängen.

Auch das Conversion-Tracking sollte zwischen einer ersten Aktion und einem geschäftlich relevanten Ergebnis unterscheiden. Eine Formularübermittlung kann weiterhin für Analysen erfasst werden, ohne zwangsläufig das wichtigste Signal zur Optimierung der Werbeausgaben zu sein. Wenn der Vertriebsprozess dies ermöglicht, kann das Marketingteam spätere Ergebnisse wie einen qualifizierten Lead, einen wahrgenommenen Termin, eine bestätigte Bestellung oder einen abgeschlossenen Verkauf in den Reporting-Prozess zurückführen. Dadurch entsteht ein deutlich stärkerer Schutz vor gefälschten Conversions, weil die Erzeugung einer Formularübermittlung einfacher ist als das Bestehen weiterer geschäftlicher Prüfungen. Gleichzeitig verbessert sich die Kampagnensteuerung: Traffic-Quellen, die weniger Leads, aber mehr tatsächliche Kunden liefern, können ein höheres Budget verdienen als Quellen, die große Mengen günstiger, aber unbrauchbarer Anfragen erzeugen.

Traffic-Qualität messen und auf verdächtige Aktivitäten reagieren

Die Überwachung des Traffics funktioniert am zuverlässigsten, wenn bereits vor dem Auftreten eines Problems normale Leistungsbereiche festgelegt wurden. Marketingteams sollten typische Klickraten, Conversion-Raten, Quoten qualifizierter Leads, Bestellwerte und Zeiträume bis zur Conversion für wichtige Kampagnen und Traffic-Quellen kennen. Saisonale Veränderungen und Aktionszeiträume müssen berücksichtigt werden, weil legitime Nachfrage plötzliche Anstiege verursachen kann, die Anomalien ähneln. Vergleiche sollten deshalb geeignete Zeiträume und Segmente berücksichtigen, anstatt ausschließlich einen kontoweiten Durchschnitt zu verwenden. Wenn eine Quelle normalerweise drei Prozent ihrer Besucher konvertiert und plötzlich zehnmal mehr Traffic mit nahezu keinen Conversions liefert, ist eine Untersuchung sinnvoll. Geht derselbe Traffic-Anstieg dagegen mit einem proportionalen Verkaufswachstum einher, kann schlicht eine stärkere Nachfrage dahinterstehen.

Wenn verdächtige Aktivitäten auftreten, sollten zunächst Belege gesammelt werden, bevor größere Änderungen vorgenommen werden. Nützliche Informationen können den betroffenen Zeitraum, die jeweilige Kampagne und Anzeige, die Quelle oder Platzierung, die geografische Verteilung, den Geräte-Mix, das Conversion-Verhalten und Veränderungen der Lead-Qualität umfassen. Google fordert Werbetreibende, die eine Untersuchung wegen ungültigen Traffics beantragen, ausdrücklich dazu auf, Angaben wie die betroffenen Zeiträume, Kampagnen und Nachweise ungewöhnlicher Entwicklungen bereitzustellen. Die Systeme des Unternehmens filtern automatisch Aktivitäten, die als ungültig eingestuft werden, und können bei erkanntem ungültigem Traffic Abrechnungsanpassungen oder Gutschriften vornehmen. Werbetreibende sollten dennoch eigene Aufzeichnungen führen, da geschäftliche Probleme wie gefälschte Kontaktdaten nicht allein anhand eines Werbeklicks erkannt werden können.

Eine unabhängige Überprüfung des Traffics kann sinnvoll sein, wenn die Werbeausgaben, das programmatische Volumen oder das Betrugsrisiko hoch genug sind, um die zusätzlichen Kosten zu rechtfertigen. Die Überprüfung kann vor dem Einkauf des Inventars, nach der Auslieferung der Anzeigen oder in beiden Phasen stattfinden. Ziel ist es, die Angaben des Medienverkäufers mit einer zusätzlichen Einschätzung der Traffic-Qualität zu vergleichen, anstatt sich vollständig auf einen einzigen Bericht zu verlassen. Kleine Werbetreibende benötigen nicht zwangsläufig einen kostspieligen Spezialdienst. Eine sorgfältige Auswahl der Platzierungen, korrektes Conversion-Tracking, Webanalyse, Berichte zur Lead-Qualität und regelmäßige Prüfungen der Traffic-Quellen können bereits einen erheblichen Teil unnötiger Ausgaben verhindern. Zusätzliche Verifizierung wird vor allem mit zunehmendem Kampagnenumfang und wachsender Komplexität der Lieferkette relevanter.

Eine nachhaltige Anti-Fraud-Routine für Marketingteams

Maßnahmen gegen Werbebetrug sollten Bestandteil des normalen Kampagnenmanagements sein und nicht erst als Notfallreaktion auf einen dramatischen Traffic-Anstieg eingesetzt werden. Tägliche Kontrollen können sich auf größere Veränderungen bei Ausgaben, Klicks und Conversions konzentrieren. Wöchentliche Auswertungen können Platzierungen, Länder, Geräte und Quoten qualifizierter Conversions vergleichen, während eine umfassendere monatliche Prüfung Traffic-Quellen identifizieren kann, die nach geschäftlichen Qualitätskontrollen wiederholt schwach abschneiden. Die genaue Häufigkeit sollte vom Kampagnenvolumen abhängen. Ein kleiner lokaler Werbetreibender benötigt möglicherweise keine tägliche forensische Analyse, während ein großes Unternehmen, das Millionen von Impressionen über zahlreiche Publisher einkauft, eine kontinuierliche automatisierte Überwachung benötigen kann. Entscheidend sind ein verlässlicher Prozess und klar definierte Verantwortlichkeiten für die Untersuchung von Auffälligkeiten.

Schwellenwerte sollten Untersuchungen auslösen, aber nicht automatisch als Beweis für Betrug interpretiert werden. Ein Team könnte beispielsweise eine Quelle markieren, wenn ihr Traffic stark steigt, während qualifizierte Conversions zurückgehen, wenn doppelte Leads den normalen Bereich überschreiten oder wenn eine neue Platzierung erhebliche Ausgaben verursacht, ohne nachgelagerte Ergebnisse zu liefern. Die betreffende Quelle kann anschließend mit historischen Daten und anderen Kampagnensegmenten verglichen werden, bevor Einschränkungen eingeführt werden. Dieser Ansatz reduziert Fehlentscheidungen. Ganze Länder, Netzwerke oder Gerätekategorien nach nur einem verdächtigen Tag zu sperren, kann echte Kunden ausschließen und die Kampagnenleistung verschlechtern. Maßnahmen gegen Betrug sollten mit zunehmender Beweislage präziser werden. Temporäre Einschränkungen sollten getestet und regelmäßig überprüft werden, anstatt dauerhaft unverändert bestehen zu bleiben.

Der wirksamste Schutz im Jahr 2026 besteht aus einem mehrstufigen Prozess, der verantwortungsvollen Media-Einkauf, transparente Inventarquellen, sinnvolles Targeting, Bot-Kontrollen auf Website-Ebene, präzise Conversion-Messung und regelmäßige Prüfungen der tatsächlichen Geschäftsqualität miteinander verbindet. Kein einzelner Filter kann garantieren, dass jede Werbeinteraktion von einem echten potenziellen Kunden stammt, und aktuelle Branchendaten sollten als Vergleichswerte und nicht als Prognose für eine konkrete Kampagne betrachtet werden. Marketingteams erhalten einen verlässlicheren Schutz, wenn sie sich auf wirtschaftliche Ergebnisse konzentrieren: darauf, wie viel verifizierte Kundenaktivität eine Traffic-Quelle im Verhältnis zu den dafür entstandenen Kosten erzeugt. Betrügerischer Traffic lässt sich dadurch leichter erkennen, weil Klicks, Impressionen und Formularübermittlungen nicht mehr automatisch als wertvoll gelten, nur weil sie in einem Werbebericht erscheinen.