Klickbetrug: Erkennen, verhindern & erstatten lassen

Dahinter stehen zwei Absichten: Die Klicks sollen entweder das Werbebudget eines Wettbewerbers aufbrauchen oder Publishern über Netzwerke wie Google AdSense unrechtmäßige Einnahmen verschaffen.

Erzeugt werden sie (vornehmlich in Billiglohnländern) manuell durch bezahlte Klickfarmen oder automatisiert durch Bots und Botnets. Betroffen sind alle PPC-Systeme, in der Praxis vor allem bei den Marktführern Google Ads, Microsoft Ads und Meta Ads.

Google führt einen Teil dieser Klicks im Reporting unter „ungültige Klicks“. Klickbetrug ist dabei nur deren vorsätzliche Teilmenge. Zu den ungültigen Klicks zählt Google auch versehentliche Doppelklicks oder harmlose Crawler ohne Betrugsabsicht.

Der Oberbegriff „Ad Fraud“ ist wiederum breiter. Er schließt neben Klickbetrug auch Impression Fraud, Domain Spoofing oder Install Fraud ein. Impression Fraud löst gezielt Ad-Impressionen ohne Klick aus, um die CTR und damit den Qualitätsfaktor eines Wettbewerbers künstlich zu senken.

Für Erstattungs- und Rechtsfragen ist diese Hierarchie entscheidend, weil Google und Gerichte auf die jeweils engere Kategorie abstellen.

Wer klickt und warum

Zwei ökonomische Motive treiben Klickbetrug.

Im ersten Szenario klickt ein Wettbewerber gezielt auf die Anzeigen eines Konkurrenten, um dessen Tagesbudget vor der eigentlichen Zielgruppe aufzubrauchen.

Im zweiten Szenario ist der Klickende selbst Publisher im Display-Netzwerk (etwa Google AdSense) und lässt Klicks auf die eigenen Werbeflächen erzeugen, um höhere Auszahlungen zu kassieren.

Die Kosten für diese Klicks trägt in beiden Fällen der Werbetreibende, dessen Anzeige ausgespielt wurde.

Auf der Ausführungsebene gibt es drei typische Formen.

1. Manuelle Klicks durch einzelne Personen, etwa Mitarbeiter eines Wettbewerbers, sind niedrigvolumig und lokal begrenzt, aber schwer von echtem Traffic zu unterscheiden.
2. Klickfarmen sind organisierte Gruppen niedrig bezahlter Arbeitskräfte, die im Auftrag großvolumig auf Anzeigen klicken.
3. Botnets sind Netzwerke gekaperter Rechner, die automatisiert Klicks erzeugen, ohne dass die eigentlichen Gerätebesitzer davon wissen.

Technisch anspruchsvolle Angriffe kombinieren heute reale Residential-IPs aus Botnets, menschenähnliche Interaktionsmuster und rotierende Device-Fingerprints. Diese Kombination soll die eingebauten Filter von Google Ads und Meta umgehen. Dadurch unterscheiden sich aktuelle Klickbetrugs-Operationen von den offensichtlichen Rechenzentrums-Bots, die die Plattformen aussortieren.

Für die Bewertung der eigenen Kampagne heißt das: Die auffälligen Muster bleiben oft unter der Oberfläche, sichtbare Anomalien sind meist nur die Spitze.

So erkennst du Klickbetrug in deinen Kampagnen

Fünf Signale gelten in der Praxis als belastbar:

• Eine Click-Through-Rate über dem Branchenwert bei gleichzeitig einbrechender Conversion Rate ist der Klassiker: viele Klicks, kein Umsatz.
• Eine sehr kurze Verweildauer knapp über null Sekunden deutet darauf hin, dass Klicker die Seite gar nicht erst wahrnehmen.
• Wiederkehrende Klicks aus identischen IP-Adressen sind ein Muster, das echte Nutzer selten produzieren.
• Eine geografische Verteilung, die nicht zur beworbenen Zielregion passt (etwa gehäufte Klicks aus Ländern außerhalb der eigentlichen Zielgruppe), ist ein weiteres Warnzeichen.
• Klick-Häufungen zu untypischen Zeiten wie 3 Uhr nachts fallen in der Stundenverteilung des Berichts auf.

In Google Ads lässt sich die Grunddiagnose ohne Zusatztools stellen. Die Spalte „Ungültige Klicks“ muss in der Kampagnenübersicht erst über die Spaltenauswahl aktiviert werden. Sie zeigt, wie viele Klicks Google bereits vor der Rechnungsstellung herausgefiltert hat.

Ein niedriger Wert bedeutet allerdings nicht „kein Problem“, sondern nur „der Filter hat wenig erkannt“.

Für die eigentliche Diagnose lohnt der Blick in die Segmente nach Standort, Uhrzeit, Gerät und Netzwerk sowie in die Zielgruppen- und Placement-Berichte, sofern Display- oder Search-Partner-Ausspielung aktiv ist. IP-Adressen führt Google Ads nicht auf.

Wer einzelne Quellen identifizieren will, braucht dafür das Server-Log der eigenen Website oder ein Drittanbieter-Tool.Wer diese fünf Dimensionen einmal pro Woche prüft, erkennt Anomalien früh genug, um zu reagieren, bevor das Monatsbudget aufgebraucht ist.

So handelst du bei Klickbetrug

Wenn du den Verdacht hast, Opfer von Klickbetrug geworden zu sein, sind vor allem Punkt 1 und 2 wichtig: die Ausgaben begrenzen und die Daten sichern, solange die Erstattungsfrist läuft. Der Rest kann danach folgen.

1. Senke das Tagesbudget, statt die Kampagne zu pausieren. Das begrenzt den Schaden und lässt weiter Daten auflaufen. Wer alles abschaltet, verliert echte Anfragen und die Beweisgrundlage gleich mit.
2. Sichere die Daten, bevor du Einstellungen änderst. Exportiere den betroffenen Zeitraum mit den Segmenten nach Uhrzeit, Standort, Gerät und Netzwerk. Läuft Display- oder Search-Partner-Ausspielung, kommt der Placement-Bericht dazu. IP-Adressen zeigt Google Ads nicht, die stehen im Server-Log deiner Website.
3. Beantrage die Erstattung, sobald du einen Zeitraum belegen kannst. Die Frist beträgt 60 Tage ab dem Klick, danach ist der Anspruch verloren. Erwarte kein Geld zurück: Google korrigiert über eine Gutschrift auf dem Werbekonto, und die Anerkennungsquote gilt als niedrig. Der Antrag kostet dich trotzdem nur Zeit.
4. Dreh die kostenlosen Stellschrauben. Search Partners deaktivieren, Geo-Targeting von „Interesse an Ort“ auf „physisch in Ort“ umstellen, Broad Match auf Phrase oder Exact reduzieren, Negativkeywords ergänzen. Auffällige Adressen aus dem Server-Log sperrst du unter Admin → Kontoeinstellungen → Ausschlüsse von IP-Adressen. Auf Kontoebene greift der Ausschluss auch in Performance Max, auf Kampagnenebene nicht.
5. Kaufe noch kein Schutz-Tool. Die Änderungen aus Schritt 4 sind gleichzeitig ein Test. Verschwindet das Muster in zwei bis vier Wochen, lag es am Setup und nicht an einem Angriff.

Welche der drei Ursachen tatsächlich vorliegt, klärt der nächste Abschnitt.

Klickbetrug oder nur schlechtes Kampagnen-Setup?

Viele Kampagnen, die aussehen wie Betrugsopfer, sind schlicht falsch aufgesetzt. Drei Ursachen lassen sich trennen:

• Echter Klickbetrug liegt vor, wenn Wettbewerber, Bots oder Klickfarmen absichtlich klicken.
• Technisch minderwertiger Traffic entsteht durch versehentliche Klicks oder Nutzer, die von Anfang an keine Kaufabsicht haben, ohne dass ein Angriff dahintersteckt.
• Ein Setup-Problem liegt vor, wenn zu offenes Broad Match, fehlende Negativkeywords, aktivierte Search Partners oder ein zu breit gefasstes Geo-Targeting das Budget in Segmente lenken, die nie konvertieren.

In den Datenspalten sieht das dritte Szenario aus wie Betrug, ist aber ein Konfigurationsfehler.

Der Unterschied entscheidet über die richtige Reaktion. Wer ein externes Schutz-Tool kauft, während das eigentliche Problem im Match Type oder in den Search Partners liegt, löst das falsche Problem und zahlt für die Symptombehandlung.

Was helfen kann, ist ein pragmatischer Test: Vor der Investition in Zusatzsoftware zuerst Broad Match auf Phrase oder Exact reduzieren, Negativkeywords ergänzen, Search Partners deaktivieren und Geo-Targeting von „Interesse an Ort“ auf „physisch in Ort“ umstellen. Bleibt das Anomalie-Bild nach zwei bis vier Wochen bestehen, ist die Betrugshypothese belastbarer. Verschwindet es, war es kein Klickbetrug.

Was Google filtert und was wirklich erstattet wird

Für die Erstattungserwartung ist eine Unterscheidung wichtig, die in vielen Marketing-Ratgebern untergeht: Google erstattet nicht in Geld. Werden nachträglich ungültige Klicks erkannt, erfolgt eine Korrektur als Gutschrift auf dem Werbekonto, die gegen künftige Kosten verrechnet wird. Eine Rückzahlung auf das Bankkonto sieht das System nicht vor.

So beantragst du die Erstattung bei Google Ads

Der offizielle Weg für eine nachträgliche Reklamation ist das „Click Quality Form“ von Google Ads.

Die Frist beträgt 60 Tage ab dem betreffenden Klickzeitpunkt, danach ist der Anspruch unwiderruflich verloren. Belastbare öffentliche Werte zur Anerkennungsquote gibt es nicht. Einzelne Agenturberichte nennen unter 5 % der ursprünglich abgerechneten Klicks, was als Einzelangabe und nicht als Branchenkonsens zu lesen ist. Die tragende Verteidigungslinie ist deshalb der proaktive Filter, nicht die nachträgliche Reklamation.

So schützt du deine Kampagnen

Der günstigste Schutz sind die Bordmittel in Google Ads. Auffällige Adressen aus dem Server-Log lassen sich unter Admin → Kontoeinstellungen → Ausschlüsse von IP-Adressen sperren. Auf Kontoebene greift der Ausschluss in allen Kampagnentypen, auch in Performance Max.

Der Weg über die Kampagneneinstellungen (Einstellungen → Weitere Einstellungen) nimmt Performance Max, Video-, Hotel-, App- und smarte Displaykampagnen dagegen aus. Manuell bleibt es in beiden Fällen, und gegen rotierende IPs oder VPN-Nutzung wirkt es nicht. Gegen wiederkehrende Einzelquellen ist es brauchbar und kostenlos.

Das Geo-Targeting sollte von „Interesse an Ort“ auf „physisch in Ort“ umgestellt werden, sonst zählen auch Klicks aus Regionen mit, die nur beiläufig Interesse am Zielort signalisiert haben.

Ein indirekter Schutz ist der Wechsel von manuellem CPC auf Smart Bidding mit CPA- oder ROAS-Ziel: Bots konvertieren nicht, das Conversion-Signal wird zum Filter, weil der Algorithmus Klicks aus nicht konvertierenden Quellen automatisch heruntergewichtet.

Spezialisierte Drittanbieter-Tools wie ClickCease, ClickGUARD, Fraud Blocker oder Lunio (ehemals PPCProtect) automatisieren IP-Ausschlüsse, dokumentieren Vorfälle für Google-Reklamationen und arbeiten mit Fingerprint- und Verhaltensanalyse.

Als Faustregel aus der Agenturpraxis lohnt sich eine solche Investition ab einem monatlichen Werbebudget von rund 5.000 Euro (unser Erfahrungswert, keine unabhängige Studie). Darunter überwiegen in der Regel die Kosten des Tools den zu erwartenden Einspareffekt, und die Bordmittel plus sauberes Kampagnen-Setup reichen aus.

Wichtig bleibt die Reihenfolge: Erst Match Types, Negativkeywords und Search Partners aufräumen, dann IP-Ausschlüsse und Geo-Targeting nachziehen, erst danach ein Drittanbieter-Tool prüfen.

Ist Klickbetrug strafbar?

Wettbewerbsrechtlich ist die Lage in Deutschland eindeutig. Klickbetrug erfüllt den Tatbestand der gezielten Behinderung von Mitbewerbern nach § 4 Nr. 4 UWG und begründet einen Schadensersatzanspruch nach § 826 BGB wegen sittenwidriger vorsätzlicher Schädigung. Damit stehen zivilrechtliche Ansprüche zur Verfügung, sofern der Verursacher identifiziert werden kann.

Strafrechtlich lässt sich Klickbetrug grundsätzlich unter § 263a StGB (Computerbetrug) diskutieren, weil kein Mensch, sondern das Abrechnungssystem der Werbeplattform beeinflusst und dadurch das Vermögen des Werbetreibenden geschädigt wird. Ein Gerichtsurteil, das genau diese Konstellation als Computerbetrug einstuft, existiert bislang nicht. Das häufig zitierte Urteil des LG Frankfurt/Oder vom 10.01.2005 (12 O 294/04) betrifft eine andere Konstellation: Dort wurde ein menschlicher Werbepartner über einen manipulierten Klick-Vorgang getäuscht, und das Gericht hat den Fall unter § 263 StGB (klassischer Betrug) eingeordnet, nicht unter § 263a. Für den heutigen Regelfall, in dem ausschließlich das automatische Abrechnungssystem von Google oder Meta ohne menschlichen Zwischenschritt manipuliert wird, ist die dogmatische Verortung damit weiterhin offen.

Praktisch bedeutet das: Zivilrechtliche Ansprüche sind dogmatisch tragfähig, scheitern aber regelmäßig an der Identifikation des Täters, gerade bei Botnet- oder Klickfarm-Angriffen aus dem Ausland. Strafanzeigen sind möglich, führen aber mangels Ermittlungsressourcen und fehlender höchstrichterlicher Linie nur selten zu Verfahren mit greifbarem Ausgang. Die praktisch wirksame Verteidigung ist deshalb technisch, nicht juristisch.