App-Install-Betrug: Click Injection und SDK-Spoofing

Die meisten Texte über Klickbetrug konzentrieren sich auf bezahlte Suche, wo ein verschwendeter Klick Sie einen Cost-per-Click kostet und Smart Bidding verunreinigt. Die mobile Nutzerakquise hat ihre eigene Betrugsökonomie, und die funktioniert anders.

In App-Install-Kampagnen zahlen Werbetreibende pro Installation, und ein Attributionsanbieter entscheidet, welche Quelle für jede Installation den Zuschlag erhält. Dieses Bezahlmodell schafft einen bestimmten Anreiz: Wenn ein Betrüger das Attributionssystem überzeugen kann, dass er eine Installation geliefert hat, wird er bezahlt, ob er etwas Echtes getan hat oder nicht. Das Ergebnis ist eine Familie von Techniken, die darauf ausgelegt sind, Installationen komplett zu fälschen oder die Zuordnung von Installationen zu stehlen, die ohnehin stattgefunden hätten.

Dieser Leitfaden erklärt die vier wichtigsten Techniken, den Fingerabdruck, den jede in Ihren Daten hinterlässt, und wie die Erkennung funktioniert.

Warum App-Install-Betrug eine eigene Kategorie ist

Betrug in der bezahlten Suche verschwendet einen Klick. App-Install-Betrug verfälscht die Attribution.

Dieser Unterschied ist wichtig, weil sich der Schaden doppelt verstärkt. Erstens zahlen Sie eine Prämie für eine Installation, die gefälscht oder gestohlen war. Zweitens schreiben Ihre Attributionsdaten die Installation nun der falschen Quelle zu, sodass Ihre nächste Budgetrunde zum Betrüger fließt statt zu den Kanälen, die echte Nutzer liefern. Saubere Attribution ist die Grundlage jeder Entscheidung in der Nutzerakquise, und diese Techniken greifen sie direkt an.

Die vier folgenden Techniken reichen vom Stehlen der Zuordnung echter Installationen bis zum Erfinden von Installationen aus dem Nichts.

Click Injection: die Zuordnung in letzter Sekunde stehlen

Click Injection ist Attributionsdiebstahl. Sie erzeugt keine gefälschte Installation. Sie stiehlt die Zuordnung einer echten.

Eine bösartige App, die bereits auf dem Gerät ist, wartet auf das Signal, dass eine andere App installiert wird. Sobald sie eine laufende Installation erkennt, löst sie einen gefälschten Klick aus, sodass das Attributionssystem nach Abschluss der Installation diesen gefälschten Klick als letzten Kontaktpunkt sieht und den Betrüger bezahlt. Die echte Installation hätte ohnehin stattgefunden. Der Betrüger hat sich einfach kurz vor der Ziellinie eingeschoben.

• Der Fingerabdruck ist die Zeit. Ein echter Klick erfolgt deutlich bevor eine Installation abgeschlossen ist, weil der Nutzer die App herunterladen und öffnen muss. Ein eingeschleuster Klick erfolgt im letzten Moment und erzeugt eine ungewöhnlich kurze Zeit zwischen Klick und Installation.
• Das Indiz ist die Verteilung. Eine legitime Quelle zeigt eine natürliche Streuung der Zeiten zwischen Klick und Installation. Eine Quelle, die von sehr kurzen Zeiten dominiert wird, deutet auf Injection hin.
• Der Schaden ist falsche Zuordnung. Budget, das einer organischen oder einer anderen bezahlten Quelle zugerechnet werden sollte, fließt stattdessen an den Injektor.

Deshalb ist die Zeit zwischen Klick und Installation eines der wichtigsten Signale bei der Erkennung mobilen Betrugs. Eine Quelle, deren Installationen sich bei unmöglich kurzen Zeiten häufen, liefert keine Nutzer; sie fängt sie ab.

Click Flooding: Klicks streuen, um organische Installationen abzufangen

Click Flooding, manchmal auch Click Spamming genannt, ist ein Zahlenspiel. Der Betrüger meldet eine riesige Menge an Klicks, die kein echter Nutzer gemacht hat, und setzt darauf, dass einige Nutzer die App organisch installieren und die Flut auf Basis des letzten Klicks die Zuordnung abgreift.

Das ist plumper als Injection, aber im großen Maßstab wirksam, weil ständig organische Installationen stattfinden. Wenn ein Betrüger genug gefälschte Klicks ausgelöst hat, ist einer davon der jüngste Kontaktpunkt, wenn ein organischer Nutzer installiert, und das Attributionssystem zahlt aus.

• Der Fingerabdruck ist eine lange, flache Zeit zwischen Klick und Installation. Weil die Klicks zufällig sind und nichts mit echten Installationen zu tun haben, ist die Zeit zwischen Klick und Installation oft sehr lang und breit gestreut.
• Das Indiz ist die Conversion-Rate. Eine geflutete Quelle zeigt ein riesiges Klickvolumen bei einer winzigen Rate von Klick zu Installation, weil fast keiner der Klicks echt ist.
• Der Schaden sind gestohlene organische Installationen. Die Installationen wären kostenlos zustande gekommen. Die Flut stuft sie als bezahlt um.

Click Flooding und Click Injection liegen an entgegengesetzten Enden der Timing-Verteilung, und genau deshalb erfasst ein Blick auf die Verteilung der Zeiten zwischen Klick und Installation beide.

SDK-Spoofing: Installationen aus dem Nichts erfinden

SDK-Spoofing ist die technischste und gefährlichste Variante, denn sie braucht überhaupt kein echtes Gerät, das die App installiert.

Hier fälscht der Angreifer die Kommunikation zwischen einer App und dem Attributionsanbieter und erzeugt Signale, die Installationen und In-App-Ereignisse melden, die nie stattgefunden haben. Gut gemacht entstehen Installationsdatensätze, die oberflächlich legitim aussehen können, was sie schwerer erkennbar macht als die timingbasierten Angriffe.

Der Schutz davor hängt von den Integritätskontrollen zwischen App und Attributionssystem ab, etwa von signierter und verifizierter Kommunikation, die ein Angreifer weder wiederholen noch fälschen kann. Wo diese Kontrollen schwach sind oder fehlen, können gefälschte Installationen sauber aussehend hereinfließen. Deshalb gehört die Sicherheit der Attributionsintegration selbst, nicht nur die Kampagneneinstellungen, zur Abwehr mobilen Betrugs.

Install-Hijacking und die erweiterte Familie

Install-Hijacking ist ein enger Verwandter der Injection. Eine bösartige App greift in eine laufende legitime Installation ein und leitet die Attribution auf sich selbst um, und stiehlt damit wieder die Zuordnung einer Installation, die der Nutzer ohnehin vorhatte.

Daneben umfasst die Landschaft des mobilen Betrugs Gerätefarmen, die echte oder emulierte Geräte in großem Umfang betreiben, botgesteuerte In-App-Ereignisse, die aktive Nutzer nachahmen sollen, und incentivierten Traffic, der Installationen ohne echtes Interesse erzeugt. Der rote Faden ist derselbe wie überall im Werbebetrug: Automatisierung, die lange genug wie ein echter Nutzer aussieht, um bezahlt zu werden. Da automatisierter Traffic im Web inzwischen den menschlichen übertrifft, werden diese gefälschten Nutzer immer ausgefeilter.

Wie die Erkennung tatsächlich funktioniert

Mobilen Betrug können Sie nicht mit bloßem Auge erkennen, so wie Sie vielleicht eine wiederkehrende IP in einer Suchkampagne entdecken. Die Erkennung ist statistisch und stützt sich auf eine Handvoll Signale.

Die stärkste Abwehr kombiniert diese Signale, statt sich auf ein einzelnes zu verlassen. Timing-Verteilungen erfassen die Attributionsdiebe, Integritätskontrollen erfassen die Spoofer, und die Interaktion nach der Installation ist das Auffangnetz, das Installationen entlarvt, die gut aussahen, aber nie zu Nutzern wurden. Dieselbe Philosophie mehrerer Signale, die bezahlte Suche schützt, gilt auch hier: Ein einzelnes Warnzeichen ist kein Beweis, aber mehrere unabhängige Signale, die in dieselbe Richtung weisen, sind es.

Fazit

App-Install-Betrug ist eine eigene Disziplin, weil er die Attribution angreift und nicht nur Klicks. Click Injection und Install-Hijacking stehlen die Zuordnung echter Installationen, Click Flooding streut Klicks, um organische Installationen abzufangen, und SDK-Spoofing erfindet Installationen aus dem Nichts. Jede Technik hinterlässt einen Fingerabdruck, meist in Timing, Volumen, Gerätemustern und Verhalten nach der Installation. Das Budget für Nutzerakquise zu schützen heißt, diese Signale gemeinsam zu beobachten und die Integrität Ihrer Attributionsintegration als Teil Ihrer Betrugsabwehr zu behandeln, nicht als Nebensache.