Wie lassen sich ungültige Zugriffe auf ausländische Websites anhand von Zugriffsprotokollen erkennen?

Wenn die Zugriffe auf eine internationale Website steigen, die Zahl der Anfragen jedoch nicht zunimmt, können Sie zunächst in den Zugriffsprotokollen nach auffälligen Anfragen suchen: Welche Quellen greifen wiederholt auf die Website zu, welche Seiten werden angefordert, sind die Abstände regelmäßig und werden Conversion-Einstiegspunkte wie Formulare aufgerufen? Um ungültigen Traffic auf internationalen Websites zu erkennen, müssen mehrere Indizien gemeinsam betrachtet werden. Eine ausländische IP-Adresse, eine hohe Zugriffshäufigkeit oder das Ausbleiben von Anfragen reichen allein nicht aus, um Traffic als ungültig einzustufen. Echte Besuche, legitime Crawler, bösartige Scans und Anzeigenbetrug hinterlassen in den Protokollen unterschiedliche Spuren.

Zuerst den Umfang der Protokolldaten abstimmen, um statistische Abweichungen nicht mit Auffälligkeiten zu verwechseln

Zugriffsprotokolle erfassen Anfragen und sind nicht mit der Anzahl der Besucher gleichzusetzen. Beim Laden einer Seite werden auch Bilder, Skripte und Stylesheets angefordert. Analysetools für Webseiten sind dagegen davon abhängig, dass Skripte ausgeführt werden und die entsprechenden Berechtigungen vorliegen. Abweichende Zahlen zwischen beiden Quellen sind kein unmittelbarer Beleg für künstlich erzeugte Zugriffe.

Ist ein Content Delivery Network (CDN) in die Website eingebunden, protokolliert der Ursprungsserver möglicherweise nur Anfragen an den Origin-Server und erfasst keine Zugriffe, die aus dem Cache bedient werden. Sind die tatsächlichen Client-Adressen nicht korrekt konfiguriert, können die in den Protokollen erfassten Adressen außerdem zu Proxy-Knoten gehören. Vor der Untersuchung sollte geklärt werden, welche Anfragen von den Protokollen abgedeckt werden. Client-Adressen sollten nur dann aus weitergegebenen Angaben übernommen werden, wenn diese von konfigurierten, vertrauenswürdigen Proxys stammen. Weiterleitungsfelder aus beliebigen Anfragen dürfen nicht ungeprüft übernommen werden.

Mindestens sollten Anforderungszeitpunkt und Zeitzone, Client-Adresse, Anfragemethode, Pfad, Statuscode, Antwortgröße in Bytes, Referrer und User-Agent erfasst werden. Sofern verfügbar, sollten auch die Anforderungsdauer, die Entscheidung des Edge-Knotens und eine Request-ID protokolliert werden. URL-Parameter können zur Nachverfolgung der Werbequelle dienen. Formularinhalte, Passwörter oder vollständige Identitätsdaten sollten jedoch nicht in die Protokolle geschrieben werden.

Ähnliche Zugriffsmuster erfordern nicht zwangsläufig dieselben Maßnahmen

Auch diese Indizien haben ihre Grenzen. Der Browser-Cache reduziert die Zahl der Anfragen für statische Ressourcen, und automatisierte Programme können ebenfalls Skripte ausführen. In gemeinsam genutzten Büronetzwerken können mehrere Personen dieselbe öffentliche IP-Adresse verwenden. Auch eine Crawler-Identität lässt sich fälschen. Sie sollte anhand des veröffentlichten IP-Adressbereichs oder durch die vom Betreiber angegebene Methode zur Validierung der Reverse- und Forward-DNS-Auflösung überprüft werden.

Auffälligkeiten anhand von drei Indiziengruppen untersuchen: Häufigkeit, Pfad und Quelle

Die Häufigkeit sollte mit dem eigenen Website-Basiswert verglichen werden. Prüfen Sie zunächst das historische Anfragevolumen an denselben Wochentagen und zu ähnlichen Uhrzeiten und grenzen Sie dann Zeitfenster mit einem plötzlichen Anstieg ein. Analysieren Sie neben der Anzahl der Anfragen pro Client-Adresse auch den User-Agent, die angeforderten Pfade und verfügbare Hinweise auf Sitzungen. Wenn von derselben Adresse in kurzer Zeit zahlreiche Produktseiten angefordert werden, kann dies sowohl auf eine automatisierte Datenerfassung als auch auf legitime Zugriffe über einen gemeinsam genutzten Internetanschluss zurückzuführen sein. Treten zusätzlich feste Zeitabstände, wiederkehrende Reihenfolgen und anhaltende Aktivität auf, wird eine Automatisierung wahrscheinlicher.

Die Pfade geben Aufschluss darüber, was der Traffic tut. Das fortlaufende Ausprobieren nicht vorhandener Administrationspfade hat eine deutlich andere Bedeutung als Zugriffe auf Kategorie- und Produktseiten sowie die Kontaktseite. Seitenaufrufe, statische Dateien und API-Endpunkte sollten getrennt analysiert werden. Andernfalls erhöhen Bildabrufe die Zugriffshäufigkeit, während regelmäßige API-Abfragen leicht als wiederholte Seitenaufrufe missverstanden werden können.

Die Quelle muss anhand weiterer Indizien überprüft werden. Das Referrer-Feld kann fehlen oder gefälscht sein, und die geografische Zuordnung einer IP-Adresse belegt nicht den tatsächlichen Standort des Besuchers. Zugriffe außerhalb der beworbenen Region können auf Proxy-Netzwerke, weitergeleitete Links oder Ungenauigkeiten bei der Geolokalisierung zurückzuführen sein. Erst wenn zusätzliche Indizien wie ein auffälliger Rhythmus, irrelevante Pfade oder massenhaft wiederholte Aktionen hinzukommen, ist eine höhere Risikoeinstufung angemessen.

Protokolle helfen, verdächtige Zugriffe zu lokalisieren, können aber Anzeigenbetrug nicht allein beweisen

Enthält eine Anfrage an eine Landingpage Werbeparameter, belegt das lediglich, dass diese Anfrage entsprechende Kennzeichnungen mitführt. Kopierte Links, von Crawlern erfasste Inhalte und das Vorladen von Seiten können ähnliche Protokolleinträge erzeugen. Um die Qualität bezahlten Traffics zu beurteilen, sollten der Zeitpunkt des Landingpage-Aufrufs, die Kanalparameter und die Klick-ID mit den Werbeberichten abgeglichen und anschließend mit Formularübermittlungen, qualifizierten Anfragen oder Bestelldaten verknüpft werden.

Für einen zeitlichen Abgleich müssen die Zeitzonen vereinheitlicht und zwischen Klick-, Ankunfts- und Conversion-Zeitpunkt unterschieden werden. Greift eine bestimmte Quelle konzentriert auf eine einzelne Landingpage zu, ohne dass weitere Anfragen folgen, kann sie zur Überprüfung vorgemerkt werden. Ein blockiertes Skript, ein fehlgeschlagener Seitenaufruf oder eine unterbrochene domainübergreifende Nachverfolgung können jedoch ebenfalls zu einer unvollständigen Verhaltenskette führen. Prüfen Sie daher zunächst, ob die Seite und die Tracking-Konfiguration ordnungsgemäß funktionieren, bevor Sie die Traffic-Qualität beurteilen.

Auch die genaue Verweildauer lässt sich nicht direkt aus den Protokollen ablesen. Nach der letzten Anfrage kann ein Besucher weiterhin auf der Seite lesen. Ein erfolgreicher HTTP-Statuscode bedeutet zudem nicht, dass der Inhalt vollständig angezeigt wurde. „Nur eine Anfrage“ oder „keine Conversion“ eignen sich daher als Kriterien für eine Vorauswahl, nicht jedoch als Grundlage für eine Sperrung.

Regeln zunächst überprüfen und erst dann den Sperrbereich ausweiten

Für eindeutig erkennbare Scan-Pfade oder anhaltend auffällige Zugriffshäufigkeiten können zunächst Regeln zur Beobachtung eingerichtet und die entsprechenden Anfragen protokolliert werden. Anschließend lässt sich entscheiden, ob eine Ratenbegrenzung, eine Zugriffsprüfung oder eine Blockierung eingesetzt werden soll. Bei mutmaßlichem künstlich erzeugtem Traffic sollten der überprüfbare Zeitraum, Beispielanfragen und zugehörige Kennungen aufbewahrt werden, damit sie mit den Werbeprotokollen abgeglichen werden können. Ein ganzes Land oder eine ganze Region sollte nicht allein deshalb gesperrt werden, weil dort die Conversion-Rate niedrig ist.

Nach dem Aktivieren einer Regel sollte zugleich geprüft werden, ob die Zahl auffälliger Anfragen zurückgeht, reguläre Seiten weiterhin erreichbar sind, verifizierte Crawler nicht blockiert werden und Formularübermittlungen weiterhin funktionieren. Sinkt das Anfragevolumen, während zugleich die Zahl qualifizierter Anfragen abnimmt, sollte auf fälschlich blockierte Zugriffe geprüft werden. Für jede neu hinzugefügte Regel sollte eine Möglichkeit zur Rücknahme vorgesehen sein, damit sich jede Maßnahme auf konkrete Belege zurückführen lässt.