Wenn der Risk Manager «wir haben ATO» sagt und der Marketer «ein unverständliches Wort» hört — verliert das Business Geld. Nicht weil es keinen Schutz gibt, sondern weil Teams nicht eine Sprache sprechen.

Dieses Glossar schließt eine Basis-Lücke: Schlüsselbegriffe, die jeder kennen sollte, der mit digitalem Traffic, Ads-Budgets oder Online-Zahlungen arbeitet.

🔐 Finanzieller und transaktionaler Fraud

BIN-Angriff (BIN Attack)

Was es ist: automatisiertes Durchprobieren von Bankkartennummern.

BIN sind die ersten 6 Ziffern der Karte, die Bank und Produkttyp identifizieren. Sie sind nicht geheim: Datenbanken dazu sind öffentlich. Der Betrüger kennt die BIN und probiert mit Skripten die restlichen Ziffern, Gültigkeit und CVV — Tausende Kombinationen pro Minute.

Wie es in der Praxis aussieht: ein Online-Shop erhält plötzlich Hunderte Mikrotransaktionen zu 1–2 Rubel von verschiedenen Karten derselben Bank. Das sind keine Käufer — das ist Durchprobieren. Ziel des Angriffs ist, aktive Karten für späteren Abfluss zu finden.

Warum es für das Business gefährlich ist: neben direkten Verlusten führt ein BIN-Angriff zu Strafen der Zahlungssysteme wegen Überschreitung des zulässigen Anteils fehlgeschlagener Transaktionen.

Chargeback (Rückbuchung)

Was es ist: eine erzwungene Rückerstattung an den Käufer über das Zahlungssystem — am Verkäufer vorbei.

Der Mechanismus entstand als Verbraucherschutz: wenn die Ware nicht ankam oder die Karte ohne Wissen des Inhabers genutzt wurde, zahlt die Bank das Geld zurück. Der Verkäufer verliert Ware und Betrag und zahlt zusätzlich eine Gebühr für den Chargeback selbst.

Die dunkle Seite — Friendly Fraud: der Käufer hat die Ware erhalten, war zufrieden, ruft aber die Bank an und sagt «ich habe das nicht bestellt». Die Bank stellt sich auf die Seite des Kunden. Der Verkäufer bleibt ohne alles. Laut Chargebacks911 sind bis zu 86 % der Chargebacks im E-Commerce genau Friendly Fraud, keine echten Betrugsfälle Dritter.

Botnet

Was es ist: ein Netz infizierter Geräte, das ein Angreifer ferngesteuert kontrolliert.

Dazu können Tausende Computer, Smartphones und IoT-Geräte gehören — die Besitzer ahnen oft nicht, dass ihr Gadget fremde Befehle ausführt.

Botnets haben mehrere Einsätze: DDoS-Angriffe, Credential Stuffing und — besonders relevant für Werbe-Ökosysteme — Click Fraud. Das Botnet klickt Banner, der Werbetreibende zahlt jeden Klick, der Report sieht anständig aus — und hinter dem Traffic steckt kein einziger lebendiger Mensch.

Skimming und Shimming (Skimming & Shimming)

Was es ist: physische Methoden zum Diebstahl von Kartendaten.

Ein Skimmer ist eine Auflage auf den Kartenleser eines Geldautomaten, die Magnetstreifendaten liest. Ein Shimmer ist ein Mikrochip so dünn wie ein Haar, der in den Slot gesteckt wird und Chipdaten abfängt.

Ihr Online-Gegenstück ist — Magecart-Angriffe: Einschleusen von schädlichem JavaScript auf die Bestellseite. Während der Käufer Kartendaten eingibt, kopiert das Skript sie still und sendet sie an den Betrüger.

📢 AdTech-Fraud: Werbeschemata

Werbebetrug ist ein eigenes Ökosystem, in dem Geld still und methodisch abfließt. Budgets werden abgebucht, Metriken sehen normal aus, Reports erfreuen — aber hinter den Zahlen stecken keine echten Käufer.

Click Fraud (Klickbetrug)

Was es ist: Nachahmung von Klicks auf Anzeigen mit Bots oder Gerätefarmen.

Die häufigste Art von Werbebetrug. Der Werbetreibende zahlt jeden Klick — und zahlt für Leere. Moderne Bots können menschliches Verhalten nachbilden: zufällige Pausen, Scrollen, Mausbewegung. Eine einfache IP-Prüfung reicht nicht mehr — nötig ist Verhaltensanalyse auf Ebene der ganzen Session.

Click Injection (Klick-Injektion)

Was es ist: mobiler Betrug, bei dem eine schädliche App im letzten Moment vor der Installation ihren Klick «einfügt» — und die Attribution übernimmt.

Das Schema läuft so: eine schädliche App auf dem Smartphone des Nutzers verfolgt Signale zum Download anderer Apps aus dem Store. Im richtigen Moment erzeugt sie einen fiktiven Klick vom echten Gerät — das Attributionsystem entscheidet, dass genau diese Quelle den Nutzer brachte, und zahlt dem Betrüger eine Provision.

Warum das gefährlich ist: das Opfer ist ein echter Nutzer, das Gerät ist echt, die Installation ist echt. Den Betrug ohne Analyse zeitlicher Muster zwischen Klick und Installation zu erkennen ist praktisch unmöglich.

SDK Spoofing

Was es ist: Nachahmung von Mobile-App-Installationen ohne echte Installation.

Der Betrüger fängt den Traffic zwischen Mobile-App und Attributionsystem ab (MMP: AppsFlyer, Adjust, Branch) und spielt Signale legitimer Installationen im industriellen Maßstab nach. Es gibt keine echten Nutzer — nur einen Strom gefälschter Events, für die der Werbetreibende jeweils zahlt. Bedrohungsumfang: ein infizierter Server kann Tausende fiktive Installationen pro Stunde erzeugen.

Ad Stacking (Anzeigen-Stapeln)

Was es ist: mehrere Werbebanner übereinander in einem Werbeblock.

Der Nutzer sieht nur das oberste Banner, aber der Impression wird allen Lagen gleichzeitig gutgeschrieben. Jeder Werbetreibende im Stapel zahlt für eine «Impression», die niemand gesehen hat. Einfaches Schema mit großem Schaden.

Domain Spoofing (Domain-Täuschung)

Was es ist: Verkauf billigen Werbeinventars unter dem Anschein von Premium-Placements.

Der Betrüger nimmt an RTB-Auktionen teil und setzt in den Bid Request eine autoritative Domain — etwa forbes.com. Der Werbetreibende zahlt zu Top-Media-Sätzen, während die Anzeige auf einer anonymen Site mit aufgeblähter Audience läuft.

Pixel Stuffing

Was es ist: ein Werbebanner von 1×1 Pixel — für den Nutzer unsichtbar, zählt aber als Impression.

Technisch ist die Anzeige auf der Seite, der Impression-Zähler feuert, das CPM-Budget wird verbraucht. Faktisch sieht niemand die Werbung. Wird auf Sites mit großem Seitenvolumen genutzt.

Geo Masking (Geo-Maskierung)

Was es ist: Vertauschung der Traffic-Geolocation — billiger Traffic aus einem Land wird als teurer aus einem anderen ausgegeben.

Der Werbetreibende kauft Audience aus den USA oder Westeuropa zu den passenden Sätzen. Tatsächlich erhält er Traffic aus günstigen Regionen — über Proxys, VPN-Farmen oder infizierte Geräte. Es gibt keine Conversions.

Cookie Stuffing

Was es ist: betrügerisches Austauschen oder verstecktes Hinzufügen von Affiliate-Cookies im Browser des Nutzers ohne dessen Wissen.

Partnerprogramme arbeiten nach dem «Last Click»-Prinzip: wer den Käufer zuletzt brachte, erhält die Provision. Ein Cookie-Stuffer setzt seine Affiliate-ID im Hintergrund in den Browser des Opfers. Wenn der Nutzer selbst kauft, «denkt» das System, der Betrüger habe ihn gebracht.

Invalid Traffic / IVT (ungültiger Traffic)

Was es ist: jeder Traffic in Werbesystemen, der keine echte Interaktion eines lebenden Nutzers mit der Anzeige ist.

IAB und MRC teilen IVT in zwei Stufen:

• General IVT (GIVT) — bekannte Bots, Suchcrawler, Monitoring-Dienste.
• Sophisticated IVT (SIVT) — fortgeschrittene Schemata: Botnets, die Menschen imitieren, Gerätefarmen, Klick-Injektionen.

🛡️ Schutz-Tools: Begriffe, die man kennen sollte

Device Fingerprinting (digitaler Geräteabdruck)

Was es ist: eine Technologie zur Geräteerkennung anhand einer Menge seiner Merkmale — ohne Cookies.

Das System sammelt Parameter: Browserversion, Schriften, Bildschirmauflösung, Zeitzone, GPU-Verhalten. Zusammen ergeben sie einen einzigartigen «Abdruck», mit dem das Gerät auch nach IP-Wechsel oder Cookie-Löschung erkannt werden kann.

Phishing-as-a-Service (PhaaS)

Was es ist: fertige Infrastruktur für Phishing-Angriffe zur Miete.

Für ein paar Dutzend Dollar im Monat erhält der Betrüger eine exakte Kopie der Bank- oder Marketplace-Oberfläche, ein Opfer-Management-Panel und automatischen Versand. Technisches Wissen ist nicht nötig. Das wurde zum Haupttreiber des Wachstums von Account-Takeover-Angriffen (ATO).

Warum man das wissen sollte

Antifraud ist nicht nur eine technische Aufgabe. Es ist eine gemeinsame Sprache zwischen Marketing, Sicherheit und Finanzen. Wenn das Team versteht, worin Cookie Stuffing sich von Click Fraud unterscheidet und SDK Spoofing von Click Injection, wird echter Schutz möglich: nicht auf Folgen reagieren, sondern Verluste am Eingang verhindern.

«Das Verstehen der Antifraud-Terminologie lässt ein Business von reaktivem zu proaktivem Schutz wechseln. Wenn ein Spezialist klassisches Carding von synthetischer Identität unterscheiden kann — kann er Regeln gezielt einstellen und Conversion erhalten».