Ads.txt – Was es ist und warum es Sie nicht vor Invalid Traffic und Klickbetrug schützen kann

Bildquelle

Während die ursprüngliche Veröffentlichung von ads.txt im Jahr 2017 auf Anzeigen auf Websites abzielte, nahm der mobile Anzeigenbetrug weiter zu. Daher veröffentlichte das IAB TechLab 2019 app-ads.txt, eine Aktualisierung der bestehenden Spezifikation, die auch zur Bekämpfung von Anzeigenbetrug in mobilen Apps verwendet werden kann.

Der neue Standard wurde auch schnell von Google und AdMob aufgegriffen und hat nun eine noch höhere Akzeptanz als ads.txt für Websites. 68 % der 1.000 größten Google-Play-Apps verfügen über einen app-ads.txt, aber nur 42 % der 1.000 größten Apps im App Store von Apple.

Die app-ads.txt verdient einen eigenen ausführlichen Artikel auf unserer Website. Bis dahin finden Sie die aktuelle Spezifikation und Anweisungen für die Implementierung in Apps auf der offiziellen IAB-Website.

Schwachstellen von ads.txt

Nachdem wir uns nun mit den Absichten und Vorteilen der ads.txt-Datei befasst haben, müssen wir einen Blick auf mögliche Schwachstellen werfen. Zuallererst: Es gibt einige Lücken im System, die von Betrügern ausgenutzt werden könnten, und der größte Fehlerfaktor ist, wie so oft, menschliches Versagen.

MANGELNDE AUFMERKSAMKEIT UND WARTUNG SEITENS DER PUBLISHER

Die Datei ads.txt ist keine Lösung, die man einfach erstellt und dann vergisst. Publisher müssen die Einträge aktiv im Auge behalten, sie pflegen und auch regelmäßig überprüfen.

Wenn mehr und mehr Parteien autorisiert werden, Anzeigeninventar im Namen des Publishers zu verkaufen, wird die ads.txt-Datei immer größer. Dadurch wird sie nicht nur sehr schwer zu lesen und zu pflegen, sondern spiegelt auch nicht mehr genau wider, wer zum Verkauf des tatsächlichen Inventars berechtigt ist.

Jedes Mal, wenn ein neuer Partner aufgenommen wird, muss diese Information in die Datei aufgenommen werden. Umgekehrt gilt dasselbe: Jedes Mal, wenn eine Partnerschaft endet, müssen die Informationen aus der Datei entfernt werden. Andernfalls laufen Publisher Gefahr, dass längst abgelaufene Partnerschaften immer noch Zugriff auf ihr Werbeinventar haben – zumindest laut dem ads.txt-Eintrag. Diese Situation kann sehr schnell von böswilligen Partnern ausgenutzt werden, womit wir wieder bei der Frage der gefälschten Anzeigenanfragen wären.

Nehmen wir das obige Beispiel der New York Times. Sie hat derzeit 21 autorisierte Partner (Stand: Juni 2022), die das Anzeigeninventar verwalten dürfen. Mit allen Partnern wurde eine direkte Beziehung aufgebaut, so dass niemand das Inventar ohne weiteres weiterverkaufen kann.

Schaut man sich dagegen ESPN.com an, wird man fast erschlagen. Sage und schreibe 460 Partner sind dort aufgelistet, und mehr als die Hälfte von ihnen sind Reseller.

404BOT – BEHALTEN SIE IHRE RESELLER IM AUGE

Zu Beginn des Jahres 2019 machte ein neuer Betrug die Runde: 404Bot. Die Betrüger nutzten die Funktionalität der ads.txt aus, indem sie Konten bei Werbenetzwerken eröffneten, die bei großen Publishern als zugelassene Reseller gelistet waren.

Es wird geschätzt, dass die Betrüger aufgrund der oben erwähnten mangelnden Übersicht in einer großen ads.txt-Datei über einen Zeitraum von mehreren Monaten zwischen 15 und 80 Millionen US-Dollar stehlen konnten.

Der Plan war ziemlich einfach:

1. Die Betrüger erstellten Konten bei Werbenetzwerken, die als Reseller bei großen Publikationen gelistet waren.
2. Dann schickten sie Bot-Traffic an gefälschte, aber echt aussehende URLs auf der Website des Publishers, die nicht existierten und einen 404-Statuscode zurückgaben – daher der Name 404Bot. Der HTTP-Statuscode 404 bedeutet, dass der Browser zwar mit einem bestimmten Server kommunizieren konnte, dieser aber die angeforderte Datei nicht finden konnte.
3. In diese gefälschten URLs war jedoch Werbecode eingebettet, der auf die übliche Weise ausgeführt wurde.
4. Die Betrüger wurden dann von dem Werbenetzwerk für den erfolgreichen Verkauf von Werbeinventar von Premium-Publishern bezahlt.

Der große Vorteil dieses Ansatzes war auch, dass die URLs in allen Reports legitim erscheinen. Wenn jemand die URLs besuchen wollte, wurde ihm nur der Hinweis angezeigt, dass die Seite nicht gefunden wurde. Es hätte aber auch sein können, dass der Artikel in der Zwischenzeit vom Publisher wieder gelöscht worden war. Die perfekte Tarnung für den Betrug.

Als Publisher sollten Sie unbedingt den Inhalt Ihrer ads.txt-Datei im Auge behalten und Reseller so weit wie möglich meiden. Alle Domains, die vom 404Bot betroffen waren, hatten eines gemeinsam: Ihre ads.txt-Dateien waren riesig und enthielten eine Menge Reseller-Partner. Je mehr Reseller darin aufgeführt sind, desto höher ist die Wahrscheinlichkeit, dass Sie von Betrug betroffen sind.

SOCIAL ENGINEERING ZUR AUFNAHME IN DIE ADS.TXT

Mit der Einführung von ads.txt erhielten Publisher immer mehr Anfragen von Betrügern, die sich als digitale Marketingagenturen ausgaben und sich einen offiziellen Platz als Reseller in der Liste sichern wollten. Die Masche sah in etwa so aus:

Betrüger nahmen Kontakt zu großen Publishern auf, um in deren ads.txt aufgenommen zu werden. Dabei gaben sie vor, in der Vergangenheit als Reseller tätig gewesen zu sein und das Anzeigeninventar der Publisher bereits verkauft zu haben. Einer dieser Anbieter schaffte es in kurzer Zeit auf über 60 Listen, weil die Publisher die Anfragen nicht richtig überprüften, sondern aus Angst vor Umsatzeinbußen vor allem in der Anfangszeit viele Freikarten verteilten.

Sie können sich wahrscheinlich denken, wie die Geschichte ausgeht. Sobald die Betrüger auf der Liste standen, konnten sie Werbeplätze bei Premium-Publishern zu einem hohen Preis verkaufen und Bot-Traffic nutzen, um ihre Gewinne zu steigern.

In diesem Fall war es nicht direkt eine Schwachstelle in der ads.txt, sondern Social Engineering und damit der Mensch als schwächstes Glied.

Ads.txt kann Sie nicht vor Invalid Traffic und Klickbetrug schützen

In diesem Artikel haben wir alles Wissenswerte über ads.txt behandelt: Was es ist, wie es funktioniert und auch, was die Schwachstellen sind. Während der aktuelle Stand ein Schritt in die richtige Richtung ist, um Anzeigenbetrug – in diesem Fall vor allem Domain-Spoofing – einzudämmen, ist es wichtig, eine Sache im Hinterkopf zu behalten: Ads.txt schützt Ihre Werbeausgaben nicht vor Invalid Traffic und Klickbetrug!

Selbst wenn Ihre Anzeige auf einer Website auf legitime Weise angezeigt wird, ist dies keine Garantie dafür, dass echte Menschen sie sehen oder gar anklicken. Ads.txt stellt sicher, dass Ihre Anzeige nur von autorisierten Partnern angezeigt wird, nicht aber, dass echte Menschen mit ihr interagieren.

Als Werbetreibender werden Sie daher weiterhin ungültigen Bot-Traffic und gefälschte Klicks auf Ihre Anzeigen sehen, was Ihr Werbebudget verschlingt, selbst wenn Ihre Anzeigen direkt auf Publisher-Websites ausgeliefert werden.

Sehr besorgniserregend ist in diesem Zusammenhang ein Report von Ende 2019, der zu dem Ergebnis kommt, dass Websites, die ads.txt verwenden, etwa 10 % mehr Invalid Traffic (IVT) haben als Websites, die ads.txt nicht implementiert haben.

Um dieses Problem zu lösen, benötigen Sie eine Software zur Erkennung von Anzeigenbetrug, die Bots erkennen und verhindern kann, dass diese auf Ihre Anzeigen klicken und Ihr Werbebudget verschwenden.

Melden Sie sich noch heute für eine kostenlose 7-tägige Testversion von fraud0 an und überzeugen Sie sich selbst von den Ergebnissen – ohne jegliche Bedingungen und ohne Kreditkarte.