Ein Puzzle-Entwickler buchte für gut 140 Euro Google-Werbung und zählte hinterher 33 Bots unter 56 Installationen. Der Fall zeigt, wie die automatische Gebotssteuerung von Google ihr eigenes Betrugsproblem verstärkt. Für Werbetreibende geht dabei mehr verloren als das Testbudget.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Werbebetrug bei Google Ads bleibt meist unsichtbar, weil die Zahlen im Dashboard stimmen. Ein einzelner Entwickler hat den Abgleich gemacht: Sein eigenes Analysewerkzeug meldete eine Installation, Google berechnete 21. Zwischen diesen beiden Zahlen steckt das ganze Problem.
Das Wichtigste in Kürze
- 33 von 56 abgerechneten Installationen zeigten in dem Test ein klares Bot-Muster ohne jede echte Nutzung.
- Die verdächtigen Installationen verteilten sich auf 28 Gerätemodelle und 19 US-Bundesstaaten und liefen auf einer längst zurückgezogenen App-Version.
- Google verrechnet ungültigen Traffic als Gutschrift auf künftige Ausgaben, nicht als Rückzahlung; der Antrag läuft nur 60 Tage.
- Laut AppsFlyer tarnen sich 2026 bereits 52 Prozent aller betrügerischen App-Installationen als organischer Traffic.
Was ergab der Test mit Google-Werbung?
Rund 220 kanadische Dollar, umgerechnet etwa 140 Euro, flossen in zwei Wochen in Android-Werbung für eine Puzzle-App. Am Ende zählte das Konto 56 abgerechnete Installationen, doch 33 davon verhielten sich wie automatisierte Skripte: Jede öffnete die App genau einmal, blieb keine Sekunde und kam nie zurück. Die 13 echten Nutzer spielten zusammen 92 Partien. Alle verdächtigen Installationen liefen zudem auf einer alten App-Version, die der Play Store schon Tage zuvor aus der Auslieferung genommen hatte.[1]
Wie erkennt man Bot-Installs?
Ein einzelnes Signal beweist keinen Betrug, das Muster schon. Verräterisch war die Kombination: 28 verschiedene Gerätemodelle aus 19 US-Bundesstaaten, dazu sieben Installationen aus Ländern, die die Kampagne nie ansteuerte, und überall dasselbe leblose Verhalten. Echte Menschen streuen in ihren Daten, Bots wiederholen sich. Solche Bots tauchen im Netz in vielen Rollen auf, vom Ansturm auf einen Produkt-Launch bis zum stillen Auffüllen einer Werbestatistik.
Der eigentliche Hebel steckt in der Gebotssteuerung. Google optimiert Kampagnen auf ein Ziel wie „App-Öffnung“, und genau dieses Signal lässt sich fälschen: Ein Bot installiert die App aus einer zwischengespeicherten Datei, öffnet sie einmal und liefert so die gewünschte Conversion. Der Algorithmus wertet diese Quelle als besonders ergiebig und lenkt noch mehr Budget dorthin. Solche Installationen laufen häufig über gekaperte Privatgeräte, deren Adressen wie normale Anschlüsse wirken und einfache Rechenzentrums-Sperren umgehen. Betreiber, die nur Installationszahlen messen, finanzieren diese Schleife selbst.
Eine Kampagne, die nur Installationszahlen belohnt, bezahlt am Ende die Bots, die genau diese Zahl liefern. Verlässlich wird die Werbung erst, wenn sie misst, was nach der Installation wirklich passiert.
— Markus Seyfferth, Chefredakteur Dr. Web
Was bedeutet das für Werbetreibende im DACH-Raum?
Der Schaden bleibt beim Werbetreibenden. Google filtert ungültigen Traffic zwar automatisch heraus und berechnet ihn dann nicht, doch was erst nach der Abrechnung auffällt, erstattet der Konzern nur als Gutschrift auf künftige Ausgaben, nicht als Rückzahlung.[3] Der Antrag über das Formular für ungültige Klicks bleibt zudem nur 60 Tage lang möglich.
Ein Einzelfall ist das nicht. AppsFlyer wertete für den Betrugsbericht 2026 über 106 Milliarden Installationen aus und kommt zu dem Ergebnis, dass sich inzwischen 52 Prozent aller betrügerischen Installationen als organischer Traffic tarnen.[2] Klickbetrug in Google-Anzeigen beschäftigt die Branche ohnehin seit Jahren.
Für die Praxis zählt nicht die Installation, sondern das Verhalten danach. Kampagnen, die auf ein echtes Ereignis optimieren, etwa ein abgeschlossenes Spiel oder einen Kauf, entziehen den Bots ihr Ziel. Zwei weitere Schritte senken das Risiko: auffällige Rechenzentrums-Adressen sperren und die Geräte- sowie Regionsverteilung wöchentlich prüfen. Genau diesen Weg ging der Entwickler, als er seine Kampagne von „App-Öffnung“ auf „Spiel gewonnen“ umstellte.
Für Unternehmen ohne eigenes Kampagnen-Team übernehmen spezialisierte Google-Ads-Agenturen diese Kontrolle. Der Test bleibt eine Mahnung: Ein sauberes Dashboard beweist noch keinen sauberen Traffic.
Der Branchenkontext
AppsFlyer wertete für den Betrugsbericht 2026 über 106 Milliarden Installationen aus: 52 Prozent aller betrügerischen Installationen laufen inzwischen als organischer Traffic.
Ungültigen Traffic verrechnet Google als Gutschrift auf künftige Ausgaben, nicht als Rückzahlung. Der Antrag über das Formular läuft nur 60 Tage.
Quellen
[1] Nick Abe (Dayzle): Analyse „Google Ads Bot Farm“
[2] AppsFlyer: „State of Fraud 2026“
[3] Google Ads-Hilfe: „Ungültige Klicks und Impressionen“
Mehr Newshunger?
- Google Ads sperrt eine saubere App als angebliche Schadsoftware
- Google-Jail: Neue Domains ranken monatelang nur mit der Startseite
- Popa-Botnetz: Millionen TV-Boxen als heimliche Proxy-Knoten
- Kauf-Bots überrennen den Weihnachts-Launch von tonies
- Klickbetrug bei Google AdWords: das Interview mit Albert Warnecke
- Cybersecurity-Glossar 2026: 99 Begriffe für Entscheider
