Multi-Accounting erkennen: Wie aus einem Nutzer fünfzig werden

Fünfzigtausend neue Registrierungen sind ein Wachstumsdiagramm. Sie sind keine Personenzählung. Ein Teil der "Nutzer" jeder Plattform sind dieselben wenigen Betreiber unter verschiedenen Namen, und jedes dieser Konten sieht für sich betrachtet unauffällig aus. Das ist die bestimmende Eigenschaft von Multi-Accounting: Der Betrug ist auf Kontoebene unsichtbar, weil nicht das Konto die Einheit des Betrugs ist. Der Betreiber ist es. Dieser Leitfaden zur Erkennung behandelt, wer Duplikatkonten betreibt und warum, das Werkzeug, mit dem eine Person wie fünfzig aussieht, und die Signale, die den Ring wieder auf einen einzigen Akteur zurückführen. Die meisten davon liegen auf der Netzwerkebene, also bei derselben Evidenz, die einen IP-Betrugsscore und seine Risikobänder speist.

Ein Verhalten, fünf Namen

Communities benennen dieselbe Handlung immer wieder neu, und das ist wissenswert, weil sich die Fachliteratur zur Erkennung auf alle fünf Begriffe verteilt:

Die Motive laufen fast überall auf Geld hinaus: das erneute Abgreifen der Anreize, die unter Erkennung von Promo- und Gutscheinmissbrauch behandelt werden, das Umgehen von Sperren und Rate Limits, das Aufblähen von Bewertungen und Abstimmungen, Insichgeschäfte auf Marktplätzen (bei sich selbst kaufen, sich selbst bewerten) und das Einstreichen von Belohnungen pro Identität wie Airdrops, bei denen einzelne Betreiber Zehntausende Wallet-"Identitäten" gegen eine einzige Verteilung eingesetzt haben.

Das Werkzeug: Wie aus einer Person fünfzig werden

OWASP klassifiziert die industrielle Variante als OAT-019 Account Creation, die massenhafte Kontoerstellung "for subsequent misuse" (zum späteren Missbrauch), und die zugehörigen Werkzeuge sind billig und legal erhältlich:

• E-Mail-Aliasse und Wegwerf-Postfächer. Plus-Adressierung, Punkt-Tricks und Wegwerf-Domains machen "eindeutige" E-Mail-Adressen in jeder Menge kostenlos.
• Telefonfarmen und VoIP-Nummern. SMS-Verifizierung ist eine Bremsschwelle, die sich in Cent pro Code bemisst.
• Anti-Detect-Browser und Gerätefarmen. Fingerprint-Spoofing pro Profil lässt jedes Konto wie eigene Hardware erscheinen, ein Grund, warum Device Fingerprinting IP-Intelligence an seiner Seite braucht.
• Proxy- und VPN-Rotation. Jedes Konto bekommt seine eigene Exit-IP: aus dem Rechenzentrum, wenn der Ring bequem ist, privat, wenn er investiert (siehe warum Residential Proxies den missbräuchlichen Verkehr dominieren).

Das Ausmaß, das dies ermöglicht, ist öffentlich dokumentiert. Meta berichtet, gegen rund eine Milliarde Fake-Konten auf Facebook pro Quartal vorzugehen, allein 1,1 Milliarden im vierten Quartal 2025, wobei die meisten innerhalb von Minuten nach der Erstellung blockiert werden (Meta Community Standards Enforcement Report). Die Erstellung von Fake-Konten ist nirgendwo ein Randfall; sie ist eine Fertigungsindustrie.

Warum Prüfungen pro Konto es immer wieder übersehen

Prüfungen bei der Registrierung untersuchen Konten einzeln, und einzeln sind die Konten sauber: gültige E-Mail, verifiziertes Telefon, plausibler Name, funktionierende Karte. Multi-Accounting wird erst in den Beziehungen zwischen Konten sichtbar, und Betreiber sind nachweislich schlecht darin, diese Beziehungen zu kappen.

Die stärkste Evidenz stammt aus einer Studie der WWW 2022 mit 8.551 verifizierten Paaren von Sperrumgehungen auf Wikipedia (Characterizing, Detecting, and Predicting Online Ban Evasion). Die Umgehenden versuchten aktiv, anders auszusehen, mit neuen Benutzernamen und gemäßigter Sprache, blieben aber messbar sie selbst: Ihre neuen Konten bearbeiteten dieselben Seiten (Überschneidung 0,12 gegenüber 0,0001 bei unabhängigen Paaren), nutzten ein ähnliches Vokabular und ließen sich mit einem Mean Reciprocal Rank von 0,969 ihrem gesperrten Ursprungskonto zuordnen, also eine nahezu perfekte Re-Identifizierung allein anhand des Verhaltens. Die Erkennung zum Zeitpunkt der Sperre erreichte 0,902 AUC. Menschen ändern Kennungen; ihre Gewohnheiten ändern sie nicht.

Dieser Befund lässt sich verallgemeinern: Der Ring, der seine E-Mails variiert, vergisst, sein Subnetz zu variieren; der, der Proxies rotiert, behält identische Aktivitätszeiten; der, der Fingerprints fälscht, finanziert jedes Konto aus einer einzigen Wallet. Koordination sickert durch. Ihre Aufgabe ist es, die Flächen zu protokollieren, an denen sie durchsickert.

Die Netzwerksignale, die den Ring auffliegen lassen

Identitätsfelder lassen sich am leichtesten fälschen, die Netzwerkposition am schwersten, weshalb IP-Risikoscoring im Zentrum der Erkennung von Multi-Accounting steht:

Gemeinsame Herkunft, richtig verschlüsselt. Mehrere Konten, die sich von einer IPv4-Adresse aus registrieren oder agieren, sind das klassische Indiz, aber bei IPv6 müssen Sie auf das /64-Präfix schlüsseln, weil ein einzelner Anschlussinhaber das gesamte Präfix kontrolliert und kostenlos für jedes Konto eine neue Adresse erzeugen kann (IPv6-Rate-Limiting nach /64). Ringe, die niemals eine IPv4-Adresse wiederverwenden würden, verwenden bereitwillig ein /64 wieder.

Privatkunden-Aktionen von Nicht-Privatkunden-Infrastruktur. Echte Nutzer registrieren sich über private und mobile Anschlüsse; Kontofabriken laufen auf Cloud-Instanzen und VPS-Bereichen. Ein Cluster "unabhängiger" Konten, die aus Rechenzentrums-IP-Bereichen oder von einem einzigen Hosting-ASN stammen, ist ein Skript mit einer Tabelle voller Personas.

Anonymisierung als Eigenschaft der Gruppe. Ein Nutzer mit VPN ist Alltag; Privacy-Tools sind Mainstream. Vierzig neue Konten in einer Kohorte, die alle über VPN- oder Proxy-Exits ankommen, insbesondere aus dem Pool desselben Anbieters, sind eine Koordinationssignatur. Die Markierung zählt am meisten in der Summe und in sensiblen Momenten: Registrierung, Einlösung von Boni, Abstimmungen, Bewertungen.

Residential-Proxy-Pools. Investierte Ringe mieten private Exits, damit jedes Konto über eine glaubwürdige Haushalts-IP ankommt. Das verbirgt die Netzwerkherkunft, sodass, wenn die IP sauber aussieht, die anderen Cluster-Merkmale (Gerät, Zahlung, Timing) die Last tragen müssen.

Korreliertes Timing und unmögliche Geografie. Konten, die im Gleichschritt aufwachen, agieren und schlafen, oder die vorgeben, fünfzig Nutzer zu sein, die irgendwie gemeinsam die Stadt wechseln, clustern sich über Timing und Geolokalisierung, selbst wenn sich jede andere Kennung unterscheidet.

Die Vorsicht, die Sie ehrlich hält. Carrier-Grade NAT bringt Hunderte oder Tausende echter Anschlussinhaber hinter eine Adresse, und Cloudflare hat gemessen, dass CGNAT-IPs trotz ähnlicher Bot-Raten etwa 3-mal häufiger per Rate Limit gedrosselt werden als vergleichbarer Verkehr (Cloudflare). Haushalte, Wohnheime und Büros teilen IPs legitimerweise, und ungefähr jeder vierte Internetnutzer verwendet ein VPN (Security.org). Eine geteilte oder anonymisierte Herkunft ist ein Cluster-Merkmal, niemals ein Urteil.

Ein Playbook zur Erkennung von Multi-Accounting, das auf den Betreiber zielt

1. Protokollieren Sie Cluster-Merkmale bei der Registrierung und bei sensiblen Aktionen. IP und /64-Präfix, ASN und Verbindungstyp, Anonymisierungs-Flags, Geräte-Fingerprint, Zahlungsmittel. Multi-Accounting bestätigt sich häufiger bei Boni-Einlösungen, Abstimmungen und Auszahlungen als bei der Registrierung.
2. Bauen Sie den Graphen auf und lesen Sie ihn dann. Verknüpfen Sie Konten, die zwei oder mehr unabhängige Merkmale teilen. Ein geteiltes Merkmal ist Alltag (CGNAT, ein Haushalt); zwei oder mehr unabhängige Familien von Überschneidungen, etwa Netzwerk plus Zahlung oder Netzwerk plus Gerät, ergeben eine Ring-Hypothese, die einen genaueren Blick wert ist.
3. Entscheiden Sie über Cluster, nicht über Konten. Fünfzig Konten einzeln zu prüfen kostet fünfzig Untersuchungen und verfehlt den Kern. Stellen Sie den Cluster als einen einzigen Fall in die Warteschlange, mit seinen geteilten Merkmalen ganz oben.
4. Reagieren Sie abgestuft. Bei verdächtigen Clustern: Anreize zurückhalten, Empfehlungsprämien deckeln, Abstimmungen und Bewertungen einschränken, Auszahlungen verzögern. Reservieren Sie Massensperren für bestätigte Ringe. Dieselbe Disziplin bei Schwellenwerten, die Sie für Betrugsscores anwenden, gilt auch für Cluster-Maßnahmen.
5. Prüfen Sie rückwirkend. Ringe optimieren gegen die Prüfungen, die Sie bei der Registrierung durchgeführt haben, nicht gegen die, die Sie später durchführen. Periodisches erneutes Clustern über das gesammelte Protokoll ist der Weg, über den Sybil-Jagden bei Airdrops nach der Verteilung Millionen zurückgeholt haben, und so erwischen Sie den Ring, der sauber hineingekommen ist.
6. Behalten Sie Wiederholungstäter im Blick. Sperrumgehung ist Multi-Accounting mit Groll, und die oben genannte Forschung zeigt, dass Umgehende besser getarnt, aber weiterhin verknüpfbar zurückkehren. Vergleichen Sie als dauerhafte Aufgabe neue Registrierungen mit den Merkmalen kürzlich gesperrter Konten.

Ein sauberer Score kann trotzdem ein Cluster-Merkmal sein

Der Betrugsscore eines einzelnen Kontos beantwortet die Frage "Ist dieses Konto riskant?", während Multi-Accounting die Felder braucht, die die Frage "Wer teilt das noch?" beantworten. Wir haben am 05.10.2026 zwei öffentliche Infrastruktur-IPs abgefragt (die Ergebnisse ändern sich, wenn sich Bereiche verschieben): ein DigitalOcean-Droplet und einen Mullvad-VPN-Server.

Das Droplet erhält einen Score von 15 mit recommended_action: "allow", und für sich genommen ist das richtig: Hosting allein ist kein Betrug. Für einen Ring sind jedoch asn.asn 14061 und connection_type: "datacenter" der nützliche Teil, denn vierzig "Privatkunden"-Registrierungen, die sich ein Hosting-ASN teilen, sind die Fabriksignatur, die der Score pro Konto nie erfassen sollte. Der Mullvad-Server erhält 100 und block, aber das Feld, das für das Clustering zählt, ist detection.vpn_provider: "Mullvad", das "derselbe VPN-Pool" in ein Group-by verwandelt. Ein einzelner Mullvad-Nutzer ist immer noch nur ein datenschutzbewusster Kunde, behandeln Sie dieses block also als Schwellenwertentscheidung pro Aktion, nicht als Beweis für ein Zweitkonto.

Cluster-Merkmale aus einer einzigen IP-Abfrage

Die oben genannten Cluster-Merkmale liefert eine einzige Abfrage pro IP: asn, asn_type und connection_type trennen private und mobile Privatkunden von Rechenzentrums- und Hosting-Herkunft; der Detection-Block markiert VPN-, Proxy-, Tor- und Relay-Exits mit proxy_type, anonymity_level und, wenn ein kommerzieller Anbieter identifiziert wird, dem Namen in vpn_provider, sodass "vierzig Konten, ein VPN-Pool" eine Abfrage statt einer Vermutung ist; is_cgnat kennzeichnet geteilte Carrier-Adressen, damit Haushalte niemals als Ringe behandelt werden; und der erklärbare Betrugsscore von 0 bis 100 kommt mit einer recommended_action und den genauen ausgelösten Signalen, einschließlich entlastender. Jedes Feld ist im kostenlosen Tarif mit 1.500 Abfragen pro Tag enthalten, was auf den meisten Plattformen ausreicht, um jede Registrierung und jede sensible Aktion zu bewerten, und Sie können jede IP ohne API-Schlüssel abfragen, um sich zuerst die Struktur der Antwort anzusehen.

Bauen Sie zuerst das Cluster-Protokoll auf

Multi-Accounting ist der Motor unter mehreren Betrugsarten, die auf einem Dashboard verschieden aussehen: Es treibt das oben beschriebene Abgreifen von Gutscheinen und Empfehlungen an, liefert den Persona-Nachschub hinter Kontoübernahmen und Credential Stuffing und versteckt sich im anonymisierten Verkehr, der unter wie VPN- und Proxy-Erkennung funktioniert behandelt wird. Bauen Sie zuerst das Cluster-Protokoll auf. Jede dieser Abwehrmaßnahmen wird schärfer, sobald Ihre Plattform nicht mehr fragt "Ist dieses Konto riskant?", sondern "Wie viele meiner Nutzer ist diese Person?"

Häufig gestellte Fragen

Was ist Multi-Accounting?

Multi-Accounting bedeutet, dass eine Person oder Gruppe mehrere Konten auf einer Plattform betreibt, die ein Konto pro Nutzer vorsieht. Je nach Community heißt es Sockenpuppen-Einsatz (Foren und Wikis), Smurfing (kompetitives Gaming), Gnoming (Wetten und iGaming) oder Sybil-Angriff (Krypto und Web3). Die Motive reichen vom Abgreifen von Registrierungsboni und Empfehlungsprämien bis zum Umgehen von Sperren, zur Manipulation von Bewertungen und Abstimmungen und zum Schönen von Marktplatz-Feedback.

Wie erkennen Websites mehrere Konten derselben Person?

Plattformen korrelieren, was Konten zwangsläufig teilen: Netzwerkherkunft (dieselbe IP-Adresse oder dasselbe IPv6-/64-Präfix, derselbe VPN- oder Proxy-Exit-Pool), Geräte- und Browser-Fingerprints, Zahlungsmittel, Kontaktdaten und ihre Aliasse sowie Verhaltensmuster wie identische Aktivitätszeiten oder Interaktionsabfolgen. Kein einzelnes Signal ist beweiskräftig, daher funktioniert die Erkennung, indem Konten geclustert werden, die mehrere dieser Merkmale teilen, und der Cluster als ein Fall geprüft wird.

Versteckt ein VPN Multi-Accounting?

Es hebelt naive Prüfungen auf dieselbe IP aus, erzeugt aber ein eigenes Signal: Kommerzielle VPN- und Proxy-Exits sind als solche identifizierbar, sodass eine Gruppe "unabhängiger" neuer Konten, die alle über anonymisierte Infrastruktur ankommen, selbst ein Hinweis auf Koordination ist. Forschung zur Sperrumgehung zeigt zudem, dass Betreiber über ihr Verhalten verknüpfbar bleiben. In einer Studie mit 8.551 Paaren von Sperrumgehungen auf Wikipedia ließ sich das umgehende Konto allein anhand von Bearbeitungsmustern nahezu perfekt seinem gesperrten Ursprungskonto zuordnen.

Ist Multi-Accounting illegal?

Meist ist es ein Verstoß gegen die Nutzungsbedingungen, der mit einer Sperre statt strafrechtlich geahndet wird. Strafbar wird es in Verbindung mit Identitätsdiebstahl, gefälschten Dokumenten oder Machenschaften, um sich durch Täuschung Geld zu verschaffen. US-Staatsanwälte haben Anklagen wegen Wire Fraud und schweren Identitätsdiebstahls gegen Ringe erhoben, die massenhaft Konten angelegt hatten, um Empfehlungsboni abzugreifen. In regulierten Branchen wie iGaming können Duplikatkonten zudem Compliance-Risiken für den Betreiber schaffen.

Wie stoppe ich Multi-Accounting, ohne geteilte Netzwerke zu bestrafen?

Behandeln Sie eine geteilte IP niemals allein als Beweis, denn Carrier-Grade NAT, Campus-Netzwerke, Büros und Familien bringen legitimerweise viele echte Nutzer hinter eine Adresse. Prüfen Sie vor jeder Maßnahme ein CGNAT-Flag und den Verbindungstyp, verlangen Sie Bestätigung über unabhängige Signalfamilien hinweg (Netzwerk plus Gerät plus Zahlung plus Verhalten) und reagieren Sie abgestuft: Halten Sie bei verdächtigen Clustern Anreize zurück und schränken Sie Rechte ein, und reservieren Sie Kontosperren für bestätigte Ringe.