Domain Spoofing

Definition: Domain Spoofing ist eine betrügerische Praxis im programmatischen Werbemarkt, bei der minderwertige, schädliche oder komplett gefälschte Websites in Bid Requests einer Real-Time-Bidding-Auktion als Inventar bekannter, vertrauenswürdiger Premium-Publisher ausgegeben werden. Werbetreibende ersteigern dabei in gutem Glauben Anzeigenplatzierungen auf vermeintlichen Premiumumgebungen – sie zahlen entsprechende Preise –, ihre Anzeigen werden jedoch tatsächlich auf qualitativ minderwertigen oder nicht-existenten Seiten ausgespielt, die keinerlei Werbewirkung erzielen oder sogar die Marke schädigen. Domain Spoofing ist eine der verbreitetsten Formen des Ad Fraud im programmatischen Ökosystem und verursacht der Werbeindustrie jährlich Schäden in Milliardenhöhe. Die Methode nutzt eine grundlegende Schwachstelle des RTB-Systems aus: In einer automatisierten Auktion, die in Millisekunden abläuft, ist keine manuelle Prüfung möglich, ob die angegebene Domain tatsächlich der Quelle des Inventars entspricht.

Erläuterung

Im programmatischen Real-Time-Bidding-Prozess enthält eine Bid Request – die Einladung zur Gebotsabgabe für eine einzelne Impression – unter anderem Informationen über die Seite, auf der die Werbung ausgespielt werden soll. Zu diesen Informationen gehört typischerweise die Domain der Publisher-Website (z.B. "spiegel.de" oder "faz.net"). DSPs und die in ihnen hinterlegten Algorithmen bewerten diese Domain-Information, um den Wert der Impression einzuschätzen: Premium-Nachrichtenportale mit hoher Leserschaft und starker Marke rechtfertigen höhere CPM-Gebote als unbekannte Nischenwebsites.

Beim Domain Spoofing manipulieren Betrüger diese Domain-Angabe in der Bid Request. Statt der tatsächlichen URL der minderwertigen Seite, auf der die Impression stattfindet, wird eine gefälschte, hochwertige Domain übermittelt. Der Werbetreibende bietet auf die vermeintlich hochwertige Impression, gewinnt die Auktion, zahlt den entsprechenden Preis – und seine Anzeige wird auf einer Seite ausgespielt, die mit der angegebenen Domain nichts zu tun hat. In manchen Fällen wird die Anzeige auf einer komplett künstlichen, von Bots frequentierten Seite ausgespielt, sodass nicht einmal echte Nutzer die Werbung sehen.

Domain Spoofing schadet nicht nur dem Werbetreibenden (verschwendetes Budget), sondern auch dem legitimen Publisher, dessen Domain gefälscht wird: Marktpreise für sein Inventar können sinken, wenn Billigimitationen das Preisniveau nach unten drücken, und sein Marken-Renommee wird durch Assoziation mit minderwertigen Inhalten potenziell beschädigt.

Die Branche hat auf Domain Spoofing mit zwei wesentlichen technischen Standards reagiert: Ads.txt (Authorized Digital Sellers) und Sellers.json. Ads.txt ist eine einfache Textdatei, die Publisher auf ihrer Domain hinterlegen und in der sie alle autorisierten Verkäufer ihres Inventars auflisten. DSPs können vor dem Gebot prüfen, ob der in der Bid Request angegebene Verkäufer (SSP oder Exchange) tatsächlich in der Ads.txt der behaupteten Publisher-Domain steht. Sellers.json ergänzt diesen Ansatz auf Ebene der SSPs, indem diese wiederum alle ihre Lieferanten und Reseller transparent machen.

Techniken des Domain Spoofings und Varianten

Einfaches URL-Spoofing: Der Betrüger übermittelt in der Bid Request eine falsche Domain. Grundlegendste und am einfachsten durch Ads.txt zu erkennende Variante.
Ad-Injection: Werbeanzeigen werden durch Malware oder Browser-Erweiterungen auf Seiten eingefügt, auf denen der Publisher keine Werbung genehmigt hat. Die Domain ist echt, die Ausspielung jedoch illegitim.
Reseller-Spoofing: Ein unbekannter Reseller in der Supply-Chain gibt an, das Inventar eines bekannten Publishers weiterzuverkaufen, ohne dazu autorisiert zu sein. Sellers.json macht solche unauthorisierten Chains sichtbar.
App-Spoofing: Ähnliches Prinzip im Mobile-In-App-Advertising: Minderwertige oder Fake-Apps werden als bekannte Premium-Apps ausgegeben. App-Ads.txt (für In-App-Inventar) und App-Store-Verifizierung wirken dagegen.

Schutzmaßnahmen gegen Domain Spoofing

Ads.txt-Compliance: DSPs sollten standardmäßig nur Impressionen aus Quellen akzeptieren, die in der Ads.txt der behaupteten Publisher-Domain als autorisierte Verkäufer gelistet sind.
Sellers.json-Prüfung: Vollständige Transparenz über die gesamte Lieferkette vom Publisher über SSPs bis zur DSP, um unauthorisierte Reseller zu identifizieren.
Pre-Bid-Verifikation: Third-Party-Verifizierungsanbieter wie IAS (Integral Ad Science) oder DoubleVerify analysieren Bid Requests auf Fraud-Signale, bevor das Gebot abgegeben wird.
Post-Bid-Monitoring: Kontinuierliche Überwachung ausgespielter Impressionen nach der Auktion, um nachträglich betrügerisches Inventar zu identifizieren und für Rückerstattungsforderungen zu dokumentieren.
Allowlists (White-Lists): Beschränkung des Inventareinkaufs auf vorab geprüfte und freigegebene Publisher-Domains, um das Risiko komplett auszuschließen – auf Kosten möglicher Reichweite.

Praxistipp: Aktivieren Sie in Ihrer DSP die Ads.txt-Compliance-Filterung als Mindeststandard und kaufen Sie programmatisches Inventar nur von verifizierten, autorisierten Verkäufern. Setzen Sie zusätzlich auf einen Pre-Bid-Verifizierungspartner (IAS, DoubleVerify oder Moat), der Bid Requests in Echtzeit auf Fraud-Signale prüft. Analysieren Sie regelmäßig Ihre Top-Publisher-Domains in der DSP-Berichterstellung: Domains mit außergewöhnlich hohem Impressionsvolumen, extrem niedrigen CPMs und null messbarer Wirkung sind Warnsignale für Domain Spoofing.