Cloaking und Redirect-Ketten: Wie Scam-Anzeigen sich vor der Prüfung verstecken
Eine Scam-Anzeige wird zur Prüfung eingereicht. Die Plattform prüft die Ziel-URL, findet eine saubere, richtlinienkonforme Seite und gibt die Anzeige frei. Dann klicken echte Nutzer und landen ganz woanders: in einem Fake-Shop, der Fälschungen Ihrer Produkte verkauft oder Zahlungen für Ware kassiert, die nie ankommt.
Das ist kein Einzelfall. Es ist eine gezielte Technik, die Betrüger bei Kampagnen zur Markenimitation auf Google, Meta, TikTok und anderen Plattformen einsetzen. Die Methode heißt Cloaking und wird regelmäßig mit Redirect-Ketten und Traffic-Distribution-Systemen kombiniert, um die Erkennung so schwer wie möglich zu machen.
Wer versteht, wie das funktioniert, versteht auch, warum Meldungen an die Plattformen es so oft nicht stoppen.
Was Cloaking wirklich bedeutet
Cloaking bedeutet, verschiedenen Besuchern unterschiedliche Inhalte auszuliefern, abhängig von Signalen, die verraten, wer sie sind. Bei Betrug mit bezahlter Werbung ist das Ziel einfach: Der Prüfer der Plattform sieht eine konforme Seite, alle anderen sehen den Fake-Shop.
Der Server des Betrügers bewertet jede eingehende Anfrage in Echtzeit und leitet sie entsprechend weiter.
IP-basiertes Cloaking
Die Prüfsysteme der Plattformen arbeiten in der Regel aus bekannten IP-Adressbereichen. Betrüger führen Sperrlisten dieser Bereiche. Kommt eine Anfrage von einer bekannten Prüf-IP, leitet der Server sie auf die unbedenkliche Seite. Alle anderen landen im Fake-Shop. Das funktioniert weiterhin, weil Plattformen ihre Prüfinfrastruktur nicht schnell genug wechseln können, um den aktualisierten Sperrlisten voraus zu sein.
Gerätebasiertes Cloaking
Prüfer nutzen oft Desktop-Umgebungen mit Standard-Browsereinstellungen. Scam-Anzeigen, die sich an Mobilnutzer richten, können Desktop-Browsern die konforme Seite zeigen und Mobilnutzer zum betrügerischen Ziel leiten. Device Fingerprinting geht noch weiter: Browsertyp, Betriebssystem, Bildschirmauflösung und das Verhalten von JavaScript lassen sich nutzen, um einen echten Nutzer von einer Prüfumgebung zu unterscheiden.
Geobasiertes Cloaking
Viele Scam-Kampagnen zielen auf bestimmte Länder. Der Fake-Shop wird nur Nutzern an diesen Standorten angezeigt. Prüfer aus einer anderen Region sehen die konforme Seite. Eine Kampagne, die sich an Verbraucher in Großbritannien richtet, kann so eingestellt sein, dass nur britische IP-Adressen den Fake-Shop sehen, während alle anderen etwas völlig Harmloses angezeigt bekommen.
Der kombinierte Effekt: Eine einzige Scam-Anzeige kann IP-, Geräte- und Standortsignale gleichzeitig nutzen. Damit ist es sehr unwahrscheinlich, dass eine normale Prüfung durch die Plattform jemals auf das betrügerische Ziel stößt.
Traffic-Distribution-Systeme
Cloaking beschreibt die Logik. Traffic-Distribution-Systeme (TDS) sind die Infrastruktur, die sie in großem Umfang umsetzt. Ein TDS sitzt zwischen dem Klick auf die Anzeige und dem endgültigen Ziel und prüft jeden Besucher anhand eines Regelwerks, bevor es ihn weiterleitet. Seriöse Marketingteams nutzen TDS-Tools für Split-Tests. Betrüger nutzen dieselbe Technologie, um Prüfungen massenhaft zu umgehen.
Klickt ein Nutzer auf eine Scam-Anzeige, prüft das TDS:
- Die IP des Besuchers anhand von Sperrlisten bekannter Plattform-Crawler
- Gerätetyp, Browser und Betriebssystem
- Den geografischen Standort
- Ob der Besucher schon einmal da war, um wiederholte Besuche zu vermeiden, die eine Mustererkennung auslösen könnten
- Die Tageszeit, um das gefälschte Ziel nicht zu den Hauptprüfzeiten auszuliefern
Besucher, die alle Prüfungen bestehen, werden zum betrügerischen Ziel geleitet. Alle anderen sehen die saubere Seite.
Das praktische Ergebnis: Die angegebene Ziel-URL der Anzeige, also die, die die Plattform geprüft und freigegeben hat, liefert den betrügerischen Inhalt nie an jemanden aus, den der Betrüger meiden will.
Mit TDS können Betreiber außerdem mehrere Fake-Shop-Ziele gleichzeitig betreiben. Wird eines markiert und entfernt, wird der Traffic automatisch auf ein anderes umgeleitet. Die Anzeige bleibt online und generiert weiter Klicks, während der Betreiber neu aufbaut.
Redirect-Ketten: Abstand zwischen Anzeige und Ziel
Auch ohne Cloaking erfüllen Redirect-Ketten einen eigenen Zweck: Sie schaffen Abstand zwischen der freigegebenen Anzeigen-URL und dem endgültigen betrügerischen Ziel.
Eine Redirect-Kette ist eine Abfolge von URL-Sprüngen. Ein Nutzer klickt auf die Anzeige, landet auf URL A, die sofort auf URL B weiterleitet, die wiederum auf URL C weiterleitet, bis er den Fake-Shop erreicht. Jeder Sprung dauert Millisekunden. Für den Nutzer fühlt es sich wie ein einziger Klick an.
Warum Redirect-Ketten für die Umgehung von Prüfungen wichtig sind
- Die Plattform prüft nur die erste URL. Was nach dieser Weiterleitung passiert, liegt außerhalb der meisten automatisierten Anzeigenprüfungen.
- Zwischendomains können sauber wirken. Manche Ketten laufen über seriös wirkende Domains, URL-Shortener oder Tracking-Links ohne erkennbare Verbindung zum Fake-Shop.
- Einzelne Sprünge lassen sich schnell austauschen. Wird eine Domain in der Kette markiert, ersetzt der Betreiber sie. Die Anzeige läuft über eine neue Zwischen-URL weiter.
- Sie verschleiern die Inhaberschaft. Jeder zusätzliche Sprung macht es schwerer, die Kette bis zum Betreiber zurückzuverfolgen.
Redirect-Ketten werden oft zusammen mit Cloaking eingesetzt. Das TDS sitzt an einem der Zwischenschritte und trifft die Weiterleitungsentscheidung, bevor der Nutzer das endgültige Ziel erreicht. Die URL des Fake-Shops taucht in der Anzeige daher überhaupt nicht auf.
Genau dieser mehrschichtige Ansatz macht solche Kampagnen über normale Plattformmeldungen so schwer greifbar. Wie das auf Meta und TikTok konkret abläuft, zeigt der Leitfaden von Remove.tech zu gefälschten Meta- und TikTok-Anzeigen. Für Brand-Bidding-Betrug speziell bei Google erklärt die Analyse zu betrügerischen Google-Anzeigen die Mechanik im Detail.
Wie Erkennung diese Techniken umgeht
Wirksame Erkennung muss anders funktionieren als die automatisierte Prüfung der Plattformen, denn diese Techniken sind genau darauf ausgelegt, sie auszuhebeln.
Echtes Nutzerverhalten simulieren
Ein Ansatz besteht darin, die Bedingungen nachzustellen, unter denen das gefälschte Ziel ausgeliefert wird: private IP-Adressen (Residential IPs), die nicht auf den Sperrlisten der Plattformen stehen, Geräteprofile echter Verbraucher und Zugriff auf die Anzeige aus der Zielregion. So lässt sich beobachten, was echte Nutzer tatsächlich sehen, statt der sauberen Seite, die Prüfern gezeigt wird.
Überwachung auf Markenebene statt auf Anzeigenebene
Die Plattformprüfung betrachtet einzelne Anzeigen isoliert. Monitoring auf Markenebene betrachtet Muster: Domains, die mit Ihrem Markennamen registriert werden, Websites, die Ihre Produktbilder kopieren, Fake-Shop-Infrastruktur, die in mehreren Kampagnen auftaucht. Diese breitere Sicht kann das betrügerische Ziel auch dann identifizieren, wenn die Anzeige selbst sauber wirkt.
Die Markenschutzplattform von Remove.tech überwacht Suchmaschinen, soziale Medien, Marktplätze und das offene Web auf die unbefugte Nutzung Ihrer Markenidentität. Wird ein Fake-Shop identifiziert, liegt der Fokus auf dem Ziel selbst und nicht nur auf der Anzeige, die darauf verweist. Wird das Ziel entfernt, ist die Kampagne gestört, egal wie viele Weiterleitungen oder Cloaking-Ebenen davor geschaltet sind.
Kontinuierliches Monitoring ist entscheidend
Kampagnen mit Cloaking sind darauf ausgelegt, schnell neu aufgebaut zu werden. Ein Fake-Shop, der heute entfernt wird, kann innerhalb weniger Tage unter einer neuen Domain wieder auftauchen. Für Marken, die bereits mit gefälschten Anzeigen unter ihrem Namen zu kämpfen haben, ist das Muster bekannt: Eine gemeldete Anzeige verschwindet, kurz darauf erscheint die nächste, weil die dahinterliegende Infrastruktur nie angegangen wurde. Nur kontinuierliches Monitoring hält mit der tatsächlichen Arbeitsweise dieser Operationen Schritt.
Was das für Ihre Marke bedeutet
Wenn Ihre Marke Ziel von Scam-Anzeigen ist, erfassen die normalen Plattformmeldungen wahrscheinlich nicht das ganze Bild. Die Anzeigen, die durch die Prüfung kommen, rutschen nicht zufällig durch. Sie sind darauf ausgelegt, zu bestehen.
Ein Kunde, der über eine Cloaking-Kampagne betrogen wurde, weiß nicht, dass er über eine Redirect-Kette geleitet wurde. Er weiß nur, dass er nach Ihrer Marke gesucht, auf etwas geklickt hat, das wie Ihre Anzeige aussah, und betrogen wurde. Diese Erfahrung bleibt an Ihrem Namen hängen.
Markenschutz, der sich nur auf das konzentriert, was in der Anzeigenoberfläche sichtbar ist, übersieht die Infrastruktur, die diese Kampagnen erst möglich macht. Wenn Sie wissen möchten, was derzeit unter Ihrem Markennamen läuft, bietet Remove.tech ein kostenloses Marken-Audit an, das gefälschte Websites, Fälschungsangebote, Imitationsaccounts und nicht autorisierte Werbeaktivitäten abdeckt. Die Anfrage dauert nur wenige Minuten und verschafft Ihnen ein klareres Bild, bevor die nächste Kampagne online geht.
Häufig gestellte Fragen
Was ist Cloaking bei Anzeigen?
Beim Cloaking wird Prüfern der Plattform eine andere Seite gezeigt als echten Nutzern. Prüfer sehen eine saubere Seite, echte Nutzer werden in einen Fake-Shop geleitet. So bringen Betrüger Anzeigen durch die Freigabe, die sonst abgelehnt würden.
Können Plattformen Cloaking automatisch erkennen?
Plattformen nutzen automatisierte Systeme, die jedoch bekannte Grenzen haben. Sie arbeiten aus festen IP-Bereichen und mit erkennbaren Browsereinstellungen, die Betrüger beide identifizieren und herausfiltern. Wirksamere Erkennung erfordert die Simulation echten Nutzerverhaltens über private IP-Adressen in der Zielregion.
Was ist eine Redirect-Kette?
Eine Abfolge von URL-Sprüngen zwischen dem Klick auf die Anzeige und dem endgültigen Ziel. Der Nutzer durchläuft mehrere Zwischen-URLs, bevor er den Fake-Shop erreicht, und jeder Sprung dauert nur Millisekunden. Redirect-Ketten schaffen Abstand zwischen der freigegebenen Anzeigen-URL und dem betrügerischen Ziel und machen es leicht, markierte Domains auszutauschen, ohne die Anzeige zu ändern.
Warum bringt das Melden einer Scam-Anzeige oft nichts?
Eine normale Meldung veranlasst die Plattform, die URL in der Anzeige zu prüfen. Ist Cloaking aktiv, sieht diese Prüfung eine saubere Seite, und die Anzeige bleibt online. Selbst wenn sie entfernt wird, bleiben Fake-Shop und Betreiber unberührt. Wird das Ziel nicht direkt angegangen, startet derselbe Betreiber schnell unter einer neuen URL neu.
Werden diese Techniken auch auf anderen Plattformen als Google eingesetzt?
Ja. Sie werden auch auf Meta (Facebook und Instagram) und TikTok eingesetzt. Die Signale, an denen Prüfer erkannt werden, unterscheiden sich je nach Plattform leicht, der Ansatz ist aber derselbe. Mehr dazu, wie das auf sozialen Plattformen funktioniert, lesen Sie im Leitfaden von Remove.tech zu gefälschten Meta- und TikTok-Anzeigen.
Wie geht Remove.tech gegen Scam-Anzeigen mit Cloaking vor?
Remove.tech setzt beim Ziel an und nicht nur bei der Anzeige. Die Plattform überwacht Suchmaschinen, soziale Medien, Marktplätze und das offene Web auf Fake-Shops und Lookalike-Domains mit Ihrer Marke, lässt sie über rechtliche Mitteilungen und die Mitgliedschaft im Trusted Copyright Removal Program von Google entfernen und deindexieren und achtet weiter darauf, ob dieselbe Infrastruktur unter neuen Domains wieder auftaucht.
