Was ist eine Klickfarm? Die Fake-Klick-Ökonomie (2026)

Bitten Sie die meisten Werbetreibenden, sich Klickbetrug vorzustellen, und sie denken an einen Server: ein Skript in einem Rechenzentrum, das in einer Schleife auf eine Anzeige einhämmert. Dieses Bild ist die Hälfte des Problems. Es beschreibt Bot-Traffic, und es ist der Grund, warum so viele Abwehrmechanismen darauf ausgelegt sind, Maschinen zu erkennen.

Eine Klickfarm ist die andere Hälfte, und sie ist bewusst so gebaut, dass sie wie Ihre Kunden aussieht. Dieser Leitfaden zeigt, was diese Betriebe tatsächlich sind, was Ermittler bei Razzien fanden, warum die allseits zitierten Kennzahlen unzuverlässig sind und wie Klickfarm-Traffic in einem Google-Ads-Konto aussieht.

Was eine Klickfarm tatsächlich ist

Eine Klickfarm ist ein Betrieb, der Menschen dafür bezahlt, Engagement zu erzeugen, das organisch wirkt. Das Ergebnis ist, was immer der Käufer wünscht: Anzeigenklicks, App-Installationen, Videoaufrufe, Social-Media-Follows, Produktrezensionen, Verkäuferbewertungen oder Suchinteraktionen, die einen Eintrag im Ranking nach oben schieben.

Drei Merkmale definieren sie:

• Echte Hardware. Physische Smartphones, Tablets und Computer, oft Hunderte davon, in Gestellen montiert oder über Tische verteilt und mit einem Steuerrechner verbunden.
• Echte Netzwerkidentität. SIM-Karten für Verbraucher und private Anschlüsse, sodass der Traffic aus Adressbereichen stammt, die legitimen Mobilfunkanbietern und Internetprovidern gehören.
• Echte Menschen. Arbeitskräfte, die die Taps ausführen, teils unterstützt durch Automatisierung für die repetitiven Schritte.

Dieses dritte Element unterscheidet eine Klickfarm von den Bot-Farmen, die wir gesondert behandeln. Eine Bot-Farm ist Software, die einen Menschen imitiert. Eine Klickfarm ist ein Mensch. Das Imitationsproblem verschwindet vollständig, und mit ihm die meisten Signale, nach denen Ihre Betrugsfilter suchen.

Was eine echte Razzia zutage fördert

Das aufschlussreichste Bild einer Klickfarm liefert die Strafverfolgung, nicht das Marketing von Anbietern.

Im Juni 2017 durchsuchten thailändische Polizisten und Soldaten zwei gemietete Häuser im Bezirk Aranyaprathet nahe der kambodschanischen Grenze. Darin fanden sie, wie The Register berichtete, ein behelfsmäßiges Metallgestell mit Hunderten Smartphones, die an einen Monitor angeschlossen waren, und beschlagnahmten:

Zwei Details verdienen Aufmerksamkeit. Erstens übersteigt die Zahl der SIM-Karten die der Handys um mehr als 700 zu 1, denn das Verbrauchsmaterial ist die Identität, nicht das Gerät. Nummer verbrennen, austauschen, weitermachen. Zweitens gaben die Betreiber gegenüber der Polizei an, sich in Thailand niedergelassen zu haben, weil Mobilfunkgebühren dort im Vergleich zu China günstig waren. Das ist ein Margengeschäft, und es zieht dorthin, wo die Einsatzmittel am billigsten sind.

Ein kurzer Hinweis zu den Quellen, denn er betrifft alles, was Sie zu diesem Thema lesen: Diese Razzia fand 2017 statt, kursiert aber breit in aktuellen Artikeln mit Datum 2025 und 2026, mit denselben Zahlen. Wenn Sie die Zahl von 347.200 SIM-Karten als aktuell präsentiert sehen, wird der Fall von 2017 recycelt.

Neuere Ermittlungen konzentrierten sich auf die Identitätsebene, die solche Betriebe versorgt. Bei der Operation SIMCARTEL, koordiniert von Europol und Eurojust im Oktober 2025 in Österreich, Estland, Finnland und Lettland, führten Ermittler 26 Durchsuchungen durch, nahmen sieben Personen fest und beschlagnahmten rund 1.200 SIM-Box-Geräte mit 40.000 aktiven SIM-Karten, die in mehr als 80 Ländern registriert waren. Der Dienst hinter dieser Hardware war genutzt worden, um rund 49 Millionen Online-Konten zu erstellen.

Klickfarm, Bot-Farm, SIM-Farm: drei verschiedene Dinge

Diese Begriffe werden oft synonym verwendet, und das sollten sie nicht.

Eine SIM-Farm erzeugt nicht Ihre gefälschten Klicks. Sie erzeugt die verifizierten Konten und Telefonidentitäten, die Klickfarmen und Bot-Farmen verbrauchen. Deshalb ist das Vorgehen gegen SIM-Farmen für Werbetreibende relevant, obwohl dort nie eine Anzeige geklickt wird.

In der Praxis verschwimmen die Kategorien. Ein moderner Betrieb automatisiert typischerweise die repetitive Arbeit und setzt menschliche Eingaben nur für die Schritte ein, die sie erfordern. Genau dieser Hybrid überwindet Erkennung, die auf eines der beiden Extreme ausgelegt ist.

Die Kennzahlen, die niemand überprüft

Fast jeder Artikel über Klickfarmen nennt einen Preis. Ein Cent pro Klick. Ein Dollar pro Tausend. Zehntausend Aufrufe für ein paar Dollar.

Diese Zahlen stammen von den Anbietern.

Für einen illegalen Markt gibt es keine geprüften Preisdaten. Die kursierenden Zahlen stammen von den Marketingseiten von Diensten, die gefälschten Traffic bewerben, und diese Betreiber haben jeden Anreiz, die größten Volumen zu den niedrigsten Preisen anzupreisen, ob sie liefern oder nicht. Ihre Preisliste als Marktdaten zu wiederholen, ist keine Recherche, sondern Verstärkung.

Was sich überprüfen lässt, stammt aus Ermittlungsakten und von der Nachfrageseite. Der Fall in Thailand liefert einen ehrlichen Datenpunkt: drei Betreiber, 474 Handys, insgesamt rund 4.400 US-Dollar Vergütung im Monat. Das sind die Kosten für den Betrieb der Farm, nicht der Preis, der ihren Kunden berechnet wird, und es zeigt, dass die Marge dünn genug ist, um günstigen SIM-Tarifen über eine Grenze hinweg zu folgen.

Auf der Nachfrageseite ergab die Studie der ANA zur Transparenz im Programmatic-Bereich, dass nur etwa 36 Cent jedes Dollars, der in eine Demand-Side-Plattform fließt, messbar bei einem Verbraucher ankamen; ein weiterer großer Anteil landete bei minderwertigen Medien, darunter ungültiger Traffic und Made-for-Advertising-Inventar. Spätere Benchmark-Arbeiten der ANA bezifferten die Verschwendung im Programmatic-Bereich auf rund 26,8 Milliarden US-Dollar. Diese Zahlen isolieren Klickfarmen nicht gesondert, und wir tun nicht so, als täten sie es, aber sie zeigen die Größe des Geldtopfs, der solche Betriebe lohnend macht.

Die praktische Erkenntnis für Werbetreibende ist einfacher als jede Preisliste: Die Kosten eines gefälschten Klicks für den Käufer sind ein Rundungsfehler im Vergleich zu dem, was Sie dieser Klick bei einem CPC von 4 USD kostet. Die Asymmetrie ist das Geschäftsmodell.

Warum Klickfarmen Standardabwehr schlagen

Gehen Sie den üblichen Erkennungs-Stack durch und sehen Sie zu, wie er Schicht für Schicht versagt.

• IP-Reputation und Sperrlisten. Die Verbindung ist ein echter privater oder mobiler Anschluss. Sie steht in keinem Threat-Feed, und eine Sperre riskiert, einen echten Haushalt auszuschließen. Dasselbe strukturelle Problem, das wir unter warum IP-Sperren gegen Residential Proxies versagen behandeln, gilt hier, aus einem anderen Grund: Diese Adresse ist überhaupt kein Proxy.
• Rechenzentrums- und Hosting-Filter. Nichts zu fassen. Auf dem Weg liegt kein Rechenzentrum.
• CAPTCHA. Ein Mensch ist anwesend. CAPTCHA prüft, ob ein Mensch da ist, und die Farm besteht diese Prüfung ehrlich.
• Geräte-Fingerprinting (Device Fingerprinting), naiv eingesetzt. Das Gerät ist ein echtes iPhone mit einem echten Fingerprint. Fingerprinting hilft trotzdem, aber nur, wenn Sie damit erkennen, dass dasselbe Gerät über mehrere Sitzungen wiederkehrt, nicht um zu entscheiden, ob ein Gerät echt ist.
• Einfache Bot-Heuristiken. Mausbewegung, Touch-Timing und Interaktionskurven stammen von echten Fingern. Es gibt keine Automatisierungskurve zu erkennen.
• Bot-Filterung in GA4. Plattformfilter stützen sich auf Listen bekannter Bots. Das Handy eines Fremden in einem anderen Land steht auf keiner Liste.

Deshalb kosten Klickfarmen mehr als Bots, und deshalb zahlen Käufer trotzdem dafür. Sie bezahlen nicht für Klicks. Sie bezahlen für Klicks, die die Filterung überstehen.

Wie Klickfarm-Traffic in Ihrem Konto aussieht

Weil die technischen Signale schwach sind, verlagert sich die Erkennung auf Muster und Ergebnisse. Keiner der folgenden Punkte beweist für sich etwas. Die Kombination ist das Signal.

• Klicks steigen, Conversions stagnieren oder fallen. Das beständigste Signal beim gesamten Klickbetrug, und eines, das Klickfarmen nicht vermeiden können, ohne tatsächlich bei Ihnen zu kaufen.
• Konzentration auf Ihre teuersten Keywords. Wer die Farm bezahlt, kauft Schaden, und Schaden wird pro Klick berechnet.
• Sitzungen, die kurz, aber nicht sofort beendet sind. Bots springen in weniger als einer Sekunde ab. Ein bezahlter Mensch bleibt gerade lange genug, um plausibel zu wirken, oft eine verdächtig gleichbleibende Handvoll Sekunden über viele Sitzungen hinweg.
• Oberflächliches, aber nicht null Engagement. Ein Scrollen, vielleicht eine Interaktion, dann weg. Echte Absicht erzeugt unordentlicheres, vielfältigeres Verhalten.
• Geografische Häufungen, die Sie nicht bedienen. Traffic, der sich in einer Stadt oder Region außerhalb Ihres Markts konzentriert und über Mobilfunknetze statt über Rechenzentrumsbereiche eintrifft.
• Gleichförmige Geräte. Farmen kaufen Hardware in großen Mengen. Eine ungewöhnliche Häufung eines älteren Gerätemodells oder einer OS-Version über ansonsten unzusammenhängende Sitzungen hinweg ist eine Abfrage wert.
• Timing nach Schichtmuster. Menschliche Betriebe haben Arbeitszeiten. Volumen, das zu gleichbleibenden Ortszeiten beginnt und endet, einschließlich einer Mittagsdelle, ist ein ganz anderer Fingerabdruck als ein Skript, das gleichmäßig rund um die Uhr läuft.
• Wiederholtes Verhalten ohne wiederholte Identität. Dieselbe Interaktionsabfolge, die von ständig wechselnden Adressen wiederkehrt, deutet auf einen koordinierten Betrieb statt auf Zufall hin.

Das letzte Paar, gleichbleibendes Verhalten bei wechselnder Identität, ist der Kern. Eine Klickfarm kann ihre Adresse bei jeder Sitzung wechseln. Sie kann nicht ohne Weiteres ändern, wie ihre Arbeitskräfte trainiert wurden, sich zu verhalten.

So erkennen Sie Klickfarm-Traffic in Google Ads und Meta

Um Klickfarm-Traffic zu erkennen, nutzen Sie die Werbeplattform, um eine verdächtige Häufung zu finden, und Ihre eigenen Websitedaten, um sie zu bestätigen. Google Ads und Meta zeigen Ihnen, wo, wann und auf welcher Art von Gerät Klicks stattfanden. Nur Ihre Website zeigt, was jeder Besucher danach tat, und genau dort verrät sich eine Farm.

Klären Sie zuerst die Erwartungen. Die Invalid Traffic Detection and Filtration Standards des Media Rating Council (Aktualisierung von Juni 2020) nennen Klickfarmen als Beispiel für ausgefeilten ungültigen Traffic (SIVT): incentivierte menschliche Aktivität, bei der sich nachweisen lässt, dass sie über mehrere Nutzer oder Maschinen hinweg organisiert und gesteuert wird. Derselbe Standard führt Emulatoren unter automatisiertem SIVT. Der MRC definiert SIVT als die Kategorie, deren Erkennung fortgeschrittene Analysen und die Bestätigung über mehrere Datenpunkte erfordert. Kein einzelner Bericht liefert sie Ihnen.

Sechs Signale leisten den Großteil der Arbeit:

1. Häufungen nach Region oder Mobilfunkanbieter zu ungewöhnlichen Zeiten. Klicks, die sich auf wenige Regionen konzentrieren, über Mobilfunknetze eintreffen, zu Zeiten, die zu einer Arbeitsschicht anderswo passen statt zum Tagesablauf Ihrer Kunden.
2. Gleichförmige Geräte und Betriebssysteme. Viele unzusammenhängende Sitzungen auf demselben Modell und derselben OS-Version oder Anzeichen von Emulatoren wie generische Hardware-Strings, fehlende Bewegungssensoren oder Bildschirmgrößen, die kein handelsübliches Smartphone hat.
3. Viele Geräte, ein Verhalten. Verschiedene Geräte, die demselben Seitenpfad, derselben Scrolltiefe und derselben Verweildauer folgen. Forschende, die Likes bei Facebook-Like-Farmen kauften, stellten fest, dass die unauffälligeren Farmen normale Nutzer gut genug imitierten, um Facebooks eingesetzter Erkennung zu entgehen, die Farm-Konten aber dennoch häufiger doppelte Kommentare und Likes erzeugten als normale Nutzer (Ikram et al., ACM Transactions on Privacy and Security, 2017). Koordination hinterlässt ein Muster, selbst wenn jede Sitzung menschlich aussieht.
4. Hohe CTR bei nahezu null aktiver Verweildauer oder Conversions. Farmen werden fürs Klicken bezahlt, nicht fürs Lesen oder Kaufen.
5. Wertlose Formulareinträge mit gemusterten Angaben. Fortlaufende Telefonnummern, eine wiederholte E-Mail-Domain, derselbe Name in kleinen Variationen oder plausible Angaben, unter denen bei einem Rückruf nie jemand erreichbar ist.
6. Unnatürliches Timing zwischen Klick und Conversion. Conversions, die immer wieder nahezu dieselbe Anzahl Sekunden nach dem Klick eingehen. Echte Käufer brauchen höchst unterschiedlich lange.

Hier sehen Sie, wo jedes Signal sichtbar ist und wo nicht:

Quellen für die Plattformspalten: Googles Dokumentation zum Bericht zu Standorten und Metas Referenz zu Aufschlüsselungen in der Marketing API, die keine Aufschlüsselung nach IP-Adresse, Mobilfunkanbieter, OS-Version oder Gerätemodell aufführt.

Die leeren Zellen sind der Punkt. Beide Plattformen berichten aggregierte Werte, und keine zeigt eine IP-Adresse oder das, was ein Besucher nach dem Aufruf tat. Eine Klickfarm ist durch Koordination über Sitzungen hinweg definiert, daher erfordert ihre Bestätigung Daten auf Sitzungs- und Geräteebene, die nur Ihre eigene Website erfasst: GA4-Engagement-Daten, rohe Serverprotokolle und Geräte-Fingerprinting, das dasselbe Smartphone hinter einer wechselnden Adresse wiedererkennt.

Was sie tatsächlich erfasst

Drei Ebenen leisten die eigentliche Arbeit, und keine davon ist eine IP-Liste.

Verhaltensbasierte Bewertung der Sitzung, nicht des Klicks. Beurteilen Sie den Besuch danach, wie er verläuft: Verteilung der Verweildauer, Scrollverhalten, Abfolge der Interaktionen und wie all das im Vergleich zu Ihrem echten, konvertierenden Traffic aussieht. Klickfarm-Sitzungen ballen sich eng um ein antrainiertes Skript, und diese Enge ist selbst auffällig. Echte Kunden variieren.

Geräteerkennung, die Adresswechsel übersteht. Fingerprinting ist hier nicht nützlich, um zu beweisen, dass ein Gerät gefälscht ist. Es ist nützlich, um zu beweisen, dass ein Gerät dasselbe ist, das gestern und vorgestern schon da war, von drei verschiedenen Adressen, ohne je etwas zu kaufen.

Ergebnisanalyse. Verfolgen Sie den Traffic bis zum Umsatz. Eine Quelle, die Monat für Monat Klicks und keine Conversions liefert, zeigt Ihnen, was sie ist, ganz gleich, wie menschlich jede einzelne Sitzung wirkt. Das ist auch der Nachweis, der einen Antrag auf Gutschrift oder einen Fall gegen Wettbewerber stützt, denn Plattformen und Gerichte reagieren auf über die Zeit dokumentierte Muster, nicht auf den Verdacht gegen einen einzelnen Klick.

Das allgemeine Prinzip: Fragen Sie nicht mehr, ob dieser Klick von einem Menschen kam. Das tat er. Fragen Sie stattdessen, ob sich dieser Besucher wie jemand verhält, der bei Ihnen kaufen könnte.

Wie ClickFortify mit Klickfarm-Traffic umgeht

ClickFortify wurde unter der Annahme entwickelt, dass die Adresse das schwächste verfügbare Signal ist. Die verhaltensbasierte Bewertung beurteilt jede Sitzung danach, wie sie sich tatsächlich verhält, statt danach, woher sie kommt, sodass sich ein echter Mensch, der fürs Klicken bezahlt wird, sauber von einem echten Menschen mit Kaufabsicht unterscheidet. Die Geräteerkennung verknüpft Aktivitäten über rotierende IPs hinweg, und genau das macht aus einer Streuung scheinbar unzusammenhängender Sitzungen einen einzelnen identifizierbaren Akteur. Bestätigte Täter werden automatisch mit Ihren Google-Ads-Ausschlüssen synchronisiert, sodass Sie keine Liste von Hand gegen einen Gegner pflegen, der seine Adresse schneller wechselt, als Sie tippen können; dieses aussichtslose Rennen erläutern wir im Leitfaden zum Limit von 500 IP-Ausschlüssen.

Jede Sperre ist mit einer Beweiskette versehen: Zeitstempel, Adressen, Gerätekontinuität und Verhalten, genau das, was eine Untersuchung ungültigen Traffics oder eine rechtliche Beschwerde braucht. Sehen Sie sich an, wie es funktioniert, oder ermitteln Sie zuerst Ihr eigenes Risiko mit dem Werbebetrugsrechner.

Das Fazit

Eine Klickfarm ist die ehrlichste Form des Werbebetrugs, die es gibt. Nichts an ihr ist gefälscht außer der Absicht. Echte Menschen, echte Smartphones, echte Netzwerke, echte Taps, und keiner dieser Klicks sollte je zu einem Kunden werden.

Deshalb erreichen die Abwehrmechanismen, auf die sich die meisten Werbetreibenden verlassen, sie nicht. IP-Listen, CAPTCHA und Rechenzentrumsfilter beantworten alle die Frage „Ist das eine Maschine?“, und die Antwort lautet tatsächlich Nein. Die Frage, die eine Klickfarm von Ihrem Markt unterscheidet, ist eine andere: Verhält sich dieser Besucher wie ein Käufer, und taucht er immer wieder auf, ohne je einer zu werden? Beantworten Sie das, über Sitzungen statt über Klicks, und der Raum voller Smartphones ist nicht länger unsichtbar.