Website ausgeschlossen. Banner trotzdem dort.

Weshalb eine ausgeschlossene Website weiterhin Werbung erhalten kann

Zuerst müssen naheliegende Erklärungen geprüft werden: War die Liste zum betreffenden Zeitpunkt aktiv? Galt sie für die tatsächlich ausliefernde Kampagne und den betreffenden Einkaufsweg? Wurde die gesamte Domain ausgeschlossen oder nur ein Teil davon? Stammt das beobachtete Werbemittel überhaupt aus dieser Kampagne?

Die technische Umsetzung ist plattformspezifisch. Google dokumentiert beispielsweise Unterschiede zwischen Domain- und Subdomainausschlüssen sowie deren Geltungsbereichen. Aus einer aktivierten Liste lässt sich deshalb noch keine Aussage über sämtliche Kampagnen eines Unternehmens ableiten. [1]

Daneben gibt es Manipulationen der Inventarherkunft. Hier sind insbesondere Domain-Spoofing und Dark Pools relevant.

Domain-Spoofing: Die angegebene Website ist nicht der tatsächliche Auslieferungsort

Beim Domain-Spoofing wird Werbeinventar unter einer falschen Domain angeboten. Der Einkauf erhält die Angabe «Website A», während das Werbemittel tatsächlich in einem anderen Umfeld erscheint. Ein Ausschluss von Website B kann wirkungslos bleiben, wenn die Einkaufsentscheidung auf der falschen Angabe A basiert.

Das ist mehr als eine theoretische Möglichkeit. Adalytics dokumentierte bei Gannett Abweichungen zwischen deklarierten und tatsächlichen Seiten-URLs über einen längeren Untersuchungszeitraum. Der Fall zeigt, weshalb Angaben im Bid Request mit der beobachteten Auslieferung verglichen werden müssen. Er belegt jedoch nicht die Ursache des hier geschilderten Vorfalls. [2]

Ein Filter kann die eingehenden Angaben korrekt verarbeiten und trotzdem am tatsächlichen Auslieferungsort vorbeifiltern.

Dark Pools: Gemeinsame Verkäuferkonten erschweren die Zuordnung

Unter Dark Pooling versteht die einschlägige Forschung die problematische Bündelung von Inventar organisatorisch unabhängiger Publisher über gemeinsame Verkäufer-IDs. Dabei können Angebote unterschiedlicher Qualität über dasselbe Verkäuferkonto monetarisiert werden. Vekaria, Nithyanand und Shafiq untersuchten, wie Desinformationsseiten solche Strukturen zur täuschenden Monetarisierung nutzen. [3]

Dabei gilt: Eine gemeinsame Verkäufer-ID allein beweist weder Betrug noch die Umgehung einer Ausschlussliste. Auch legitime Vermarktungsstrukturen bündeln mehrere Websites. Für den Befund müssen Eigentumsverhältnisse, deklarierte Beziehungen und tatsächliche Transaktionen zusammen betrachtet werden.

Wird die reale Domain korrekt übermittelt und ein wirksamer Domainausschluss angewendet, sollte die gemeinsame Verkäufer-ID diesen Ausschluss nicht aufheben. Der kritische Punkt ist die verschleierte, falsche oder unzureichend geprüfte Zuordnung zwischen Website, Inventar und Verkäufer.

Was ads.txt und sellers.json leisten

ads.txt nennt die für eine Website autorisierten Verkäuferkonten. sellers.json beschreibt die hinter Verkäufer-IDs stehenden Akteure. Das SupplyChain Object kann zusätzliche Angaben zu den beteiligten Stationen einer Transaktion liefern.

Diese Informationen gehören zur Prüfung. Das IAB Tech Lab betont selbst, dass ads.txt einen bestimmten Zweck erfüllt und zusammen mit weiteren Standards sowie Auslieferungskontrollen eingesetzt werden muss. [4]

Eine Verkaufsberechtigung ist noch kein Nachweis, dass eine konkrete Impression auf der behaupteten Website erschien.

Umgekehrt sollte ein auffälliger Eintrag nicht vorschnell als Beweis für einen Geldfluss behandelt werden. Ein Websitebetreiber kann Angaben veröffentlichen; ob das genannte Konto tatsächlich für die beobachtete Transaktion verwendet wurde, ist eine weitere Frage.

Auf stopfundinghate.ch haben wir diese Unterscheidung bereits aufgegriffen: im Gastbeitrag von Dr. Augustine Fou vom November 2022 und in unserem Artikel zur forensischen Kampagnenprüfung vom April 2023. Die zentrale Aufgabe bleibt der Abgleich deklarierter Angaben mit unabhängig beobachtbaren Signalen. [5][6]

Unser Prüfweg: Von der Meldung zum belastbaren Befund

Der Ablauf folgt dem H.O.T. AG Forensic Audit Framework: Analyze, Detect, Report, Eliminate, Optimize. [7] Für einen mutmasslich verletzten Websiteausschluss lässt sich daraus folgender konkreter Prüfauftrag ableiten.

1. Den Vorfall sichern und die Kampagne zuordnen

Wir dokumentieren Seitenadresse, Zeitpunkt mit Zeitzone, Werbemittel und verfügbaren Browserkontext. Soweit möglich, werden die zugehörigen Netzwerkaufrufe und technischen Kennungen gesichert.

Parallel benötigen wir den damaligen Kampagnenstand: aktive Ausschlusslisten, deren Versionen und Zuordnungen sowie die Änderungshistorie. Eine heutige Konfiguration beweist nicht, welche Regel zum Beobachtungszeitpunkt galt.

Ein Screenshot dokumentiert den sichtbaren Befund. Erst die Zuordnung zu Kampagne, Auslieferungszeitpunkt und Einkaufsweg macht daraus einen prüfbaren Kampagnenvorfall.

2. Einkaufsangaben und beobachteten Kontext vergleichen

Soweit verfügbar, vergleichen wir die deklarierte Domain beziehungsweise Seitenadresse mit den nach der Auslieferung gemessenen Umgebungsinformationen.

Hier kann FouAnalytics mit In-Ad-Messung zusätzliche Evidenz liefern. Unser früherer Artikel beschreibt unter anderem die Analyse von location.ancestorOrigins: Diese Browserinformation kann die Origins übergeordneter Frames sichtbar machen und so Hinweise auf die Einbettung eines Werbemittels geben. [6][8]

Sie liefert jedoch nicht automatisch vollständige Seiten-URLs oder sämtliche Inhalte der umgebenden Seite. Browserunterstützung, Einbettung und Referrer-Regeln können die Beobachtbarkeit begrenzen. Ein aufgerufener Messtag beweist zudem für sich genommen weder Sichtbarkeit noch einen menschlichen Kontakt.

Eine Abweichung wird deshalb auf alternative Erklärungen geprüft, etwa legitime Einbettungen oder eine unpassende Zuordnung von Ereignissen. Sie ist ein Untersuchungsbefund; für die Feststellung absichtlicher Täuschung sind weitere Belege erforderlich.

3. Die Verkäuferstruktur rekonstruieren

Wir gleichen die verfügbaren Transaktionsangaben mit ads.txt, sellers.json und den SupplyChain-Angaben ab. Dabei prüfen wir insbesondere:

• Welche Kombination aus Werbesystem und Verkäufer-ID wurde verwendet?
• Welche Organisation steht hinter dem Konto?
• Welche weiteren Domains verwenden dieses Konto, und wem gehören sie?
• Passen deklarierte Verkäuferrollen und beobachteter Einkaufsweg zusammen?
• Gibt es Lücken oder Widersprüche in der dokumentierten Lieferkette?

Eine Verkäufer-ID ist im Kontext des jeweiligen Werbesystems zu lesen. Dieselbe Zeichenfolge bei zwei verschiedenen Exchanges bezeichnet nicht automatisch denselben Verkäufer.

Auch der Zeitpunkt zählt: Aktuelle Transparenzdateien können seit dem Vorfall verändert worden sein. Fehlen historische Fassungen, wird diese Einschränkung festgehalten. Den tatsächlichen Zahlungsempfänger können wir nur insoweit bestätigen, wie entsprechende Abrechnungs- oder Zahlungsbelege vorliegen.

4. Befund, Umfang und Messlücken berichten

Der Bericht trennt klar, was beobachtet, technisch zugeordnet, bestätigt oder weiterhin offen ist.

Bestätigte Verstösse werden mit der passenden Datenbasis ausgewiesen: Zeitraum, Kampagnen, gemessene Auslieferungen und beobachtbare Umfelder. Eine Quote innerhalb einer messbaren Teilmenge darf nicht ohne Begründung auf die gesamte Kampagne übertragen werden.

Fehlende Messbarkeit wird als solche ausgewiesen. Sie ist keine Bestätigung korrekter Auslieferung.

5. Die belegte Ursache gezielt abstellen

Die Massnahme richtet sich nach dem Befund. Das kann eine korrigierte Listenzuordnung, ein gesperrter Verkäuferzugang, ein ausgeschlossener Supply Path oder die vorübergehende Unterbrechung einer betroffenen Quelle sein.

Wir empfehlen überprüfte Inclusion Lists und möglichst überschaubare Einkaufswege, wo sie zum Mandat passen. Auch erlaubte Domains müssen jedoch auf korrekte Auslieferung kontrolliert werden. FouAnalytics liefert dafür Messdaten; notwendige Änderungen werden im Einkauf beziehungsweise bei den verantwortlichen Plattformen umgesetzt.

Eine pauschale Sperre gemeinsam genutzter Verkäuferkonten kann auch legitime Publisher treffen. Deshalb dokumentieren wir die Begründung und den erwarteten Wirkungsbereich jeder Massnahme.

6. Nach der Korrektur erneut messen

Eine Änderung ist abgeschlossen, wenn ihre Wirkung angemessen überprüft wurde. Wir kontrollieren die betroffenen Kampagnen und Einkaufswege erneut und halten den Nachbeobachtungszeitraum sowie die Messabdeckung fest.

Tritt im gemessenen Zeitraum kein weiterer Verstoss auf, ist das ein Ergebnis für diesen Zeitraum und Scope. Es ist keine zeitlich unbegrenzte Garantie.

Was Werbekunden von ihren Partnern verlangen sollten

Werbekunden benötigen Zugang zu den Daten, mit denen vereinbarte Ausschlüsse überprüft werden können. Dazu gehören nachvollziehbare Auslieferungsangaben, dokumentierte Regeländerungen und – soweit verfügbar – die beteiligten Verkäufer und Einkaufswege.

Ebenso wichtig sind benannte Verantwortliche, Fristen für die Untersuchung und ein vereinbarter Umgang mit bestätigter Fehlplatzierung. Über Erstattung oder Gutschrift entscheiden die Belege und die jeweiligen Vereinbarungen.

Die entscheidende Frage lautet:

«Welche Evidenz zeigt, dass unsere Ausschlüsse bei der tatsächlichen Werbeauslieferung eingehalten werden?»

Damit wird aus einer Liste von Einstellungen ein kontrollierbarer Prozess.

H.O.T. AG: Den konkreten Widerspruch untersuchen

Wir unterstützen Werbekunden dabei, mutmassliche Ausschlussverletzungen zu prüfen: von der Sicherung des Vorfalls über die Analyse von Auslieferung und Supply Paths bis zur dokumentierten Nachkontrolle.

Vor Beginn klären wir Fragestellung, Datenzugang, Messabdeckung und Verantwortlichkeiten. Bei einem unabhängigen Audit werden Prüfrolle und operative Einkaufsverantwortung transparent getrennt.

Besprechen Sie Ihren konkreten Fall mit H.O.T. AG.

Quellen und weiterführende Beiträge

1. Google Ads Help: Exclude placements at the account level. Plattformspezifische Dokumentation; keine allgemeine Regel für sämtliche DSPs.
2. Adalytics: Marketers & ad tech companies should regularly audit log files. Untersuchung zu Abweichungen zwischen deklarierten und tatsächlichen Seiten-URLs bei Gannett.
3. Vekaria, Y.; Nithyanand, R.; Shafiq, Z.: The Inventory is Dark and Full of Misinformation: Understanding the Abuse of Ad Inventory Pooling in the Ad-Tech Supply Chain. IEEE Symposium on Security & Privacy 2024; arXiv-Fassung zuletzt überarbeitet am 14. Oktober 2023.
4. IAB Tech Lab: ads.txt: Don’t Blame the Tools, Learn How to Use Them. Zweck und Zusammenspiel der Transparenzstandards.
5. Dr. Augustine Fou, deutsche Übersetzung Michael M. Maurantonio: Wie verschiedene AdFraud-Erkennungstechnologien funktionieren, 29. November 2022.
6. Michael M. Maurantonio: Die grosse Geldverbrennung: Warum Adfraud die Werbebranche auffrisst!, 27. April 2023.
7. H.O.T. AG: Das Forensic Audit Framework und Domain Spoofing und Dark Pools: Warum ads.txt allein nicht genügt.
8. MDN Web Docs: Location: ancestorOrigins property. Funktionsweise und technische Einschränkungen.