Promo-Missbrauch: Gutschein- und Empfehlungsbetrug erkennen und stoppen

Promo-Missbrauch ist ein einzelner Betreiber, der sich als viele Neukunden ausgibt, um Gutscheine, Empfehlungsprämien und Startguthaben einzusammeln. Sie erwischen ihn beim Einlösen, denn jedes gefälschte Konto muss sich trotzdem von einer Netzwerkadresse aus verbinden, und der Typ dieser Adresse entscheidet, ob Sie den Anreiz einlösen, zurückstellen, eine zusätzliche Prüfung verlangen oder ihn verweigern. Im Folgenden: wie die Maschen funktionieren, welche Reaktion wir vier realen einlösenden Adressen geben würden, die wir am 23.10.2026 abgefragt haben, welche Signale hinter einem IP-Risikoscore und seinen Bereichen von allow bis block stehen und wo die IP-Ebene blind wird.

Was als Promo-Missbrauch gilt

Der Begriff umfasst sechs unterschiedliche Maschen, und jede erfordert eine andere Reaktion:

OWASP katalogisiert die automatisierten Varianten in seinem Projekt Automated Threats. OAT-002 Token Cracking ist die „massenhafte Enumeration von Gutscheinnummern, Gutscheincodes, Rabatt-Token usw.“, und OAT-019 Account Creation bedeutet, „mehrere Konten für späteren Missbrauch anzulegen“. Fünf der sechs Maschen in der Tabelle bauen auf diesen beiden Grundbausteinen auf. Das Kombinieren ist die Ausnahme, weil es die Checkout-Logik missbraucht und nicht die Identität.

Warum Gutschein- und Empfehlungsbetrug gerade jetzt zunimmt

Gutschein- und Empfehlungsbetrug nimmt zu, weil die Verluste inzwischen in die Milliarden gehen und die Werkzeuge als Dienstleistung verkauft werden.

Es geht um viel Geld. Juniper Research prognostiziert, dass Betrug bei digitalen Gütern von 10,4 Mrd. US-Dollar im Jahr 2025 auf 27 Mrd. US-Dollar bis 2030 wächst, ein Anstieg um 162 %, und nennt Promo-Missbrauch als einen von drei wesentlichen Treibern, neben synthetischen Identitäten und Friendly Fraud (Juniper Research, Dezember 2025). Jeder verlorene Dollar kostet zudem mehr als einen Dollar. Die Studie True Cost of Fraud von LexisNexis beziffert die durchschnittlichen Kosten für US-Händler im Einzelhandel und E-Commerce auf 4,61 US-Dollar pro 1 US-Dollar Betrug, wenn Personal- und Gemeinkosten mitgerechnet werden (LexisNexis Risk Solutions, April 2025).

Auch die Werkzeuge sind industrialisiert: Bots zum Anlegen von Konten, Anti-Detect-Browser, E-Mail-Aliasse und gemietete Proxy-Pools erlauben es einem Betreiber, sich als viele Kunden auszugeben.

Ein Blick ins Drehbuch: Wie aus einem Betreiber viele Neukunden werden

Jedes Drehbuch endet gleich: viele Konten, ein Betreiber und gemeinsame Infrastruktur darunter. Zwei öffentliche Fälle zeigen beide Enden.

Das Ende mit Identitätsdiebstahl. Im Mai 2021 erhoben Bundesstaatsanwälte in Massachusetts Anklage gegen 19 Personen wegen eines Betrugssystems, das von Januar 2019 bis mindestens April 2021 lief. Es nutzte mehr als 2.000 gestohlene Identitäten, um Fahrerkonten bei Fahr- und Lieferdienst-Apps zu eröffnen, legte gefälschte Konten an, deren „einziger Zweck“ darin bestand, weitere gefälschte Konten zu werben, und setzte „automatisierte Bots und GPS-Spoofing-Technologie“ ein, um die Einnahmen aufzublähen (NBC Boston, Mai 2021). 2022 bekannten sich zwei Angeklagte schuldig, der Verschwörung zum Überweisungsbetrug und des schweren Identitätsdiebstahls. Ein separates Verfahren in San Diego gegen einen fünfköpfigen Ring mit Fahrerkonten endete mit der Verurteilung seines Anführers.

Das Ende mit reinem Multi-Accounting. Token-Airdrops zahlen pro berechtigter Wallet, daher erzeugen Farmer Wallets statt Identitäten. Nach seinem Airdrop im Juni 2024 verteidigte zkSync seine Sybil-Filterung mit dem Argument, ein aggressiveres Vorgehen „könnte viele organische Nutzer fälschlich markieren“ (Cointelegraph, Juni 2024). Das ist derselbe Zielkonflikt, vor dem jedes Promo-Team steht. Strengere Filter erwischen mehr Farmer und weisen mehr echte Kunden ab.

Beide haben eine gemeinsame Schwachstelle. Gefälschte Identitäten sind billig und E-Mail-Adressen kostenlos, aber jedes Konto muss sich trotzdem von irgendwoher verbinden. Saubere, unterschiedliche Netzwerkstandorte von Privatkunden sind die eine Ressource, die ein Ring nicht auf Abruf erzeugen kann. Er nutzt also Infrastruktur mehrfach, und diese Mehrfachnutzung taucht in Ihren Protokollen auf.

Wie vier einlösende IPs am 23.10.2026 aussahen

Dieselbe Aktion braucht für vier Adresstypen vier verschiedene Reaktionen, und in zwei Fällen ist die recommended_action des Risikoscores nicht die richtige Entscheidung für die Aktion. Am 23.10.2026 haben wir zwischen 05:03:02 und 05:03:17 UTC Abfragen ohne Schlüssel für vier öffentliche Adressen durchgeführt, eine pro Typ, den ein Gutschein- oder Empfehlungsendpunkt sieht. Keine davon hat uns echte Einlösungen geschickt. Sie stehen stellvertretend für die Herkunftstypen:

Die beiden Abweichungen sind der Kern. Der Linode-Server erzielt 10 und allow, weil ein gewöhnlicher Cloud-Server kein Betrug ist: APIs, Integrationen und Monitoring laufen den ganzen Tag aus Clouds. Ein Erstbestellungsgutschein hat jedoch keinen ehrlichen Grund, aus einem Serverschrank eingelöst zu werden. Der Mullvad-Exit erzielt 100 und block, weil die API ihn in Mullvads eigener Serverliste gefunden hat, die ihn als WireGuard-Server ausweist. Aber der VPN-Bericht 2026 von Security.org, eine Umfrage unter 1.008 Erwachsenen in den USA im August 2026, ergab, dass 42 % ein VPN nutzen. Eine VPN-Einlösung ist also oft ein echter Kunde. Eine Karten- oder SMS-Prüfung kostet diesen Kunden Sekunden und einen Ring eine Zahlungskarte oder Telefonnummer pro Konto.

Hier ist die gekürzte Abfrage für die Hosting-Adresse (den gespeicherten PTR lassen wir weg, da er nicht zum aktuellen Reverse DNS passt):

Ihre Regel muss daher detection.is_hosting und asn.connection_type direkt auslesen, denn eine Regel, die auf block wartet, würde diesen Gutschein auszahlen. Frühere Versionen dieses Beitrags verwendeten ein DigitalOcean-Droplet, 104.248.50.21. Am 23.10.2026 erzielte es 12 mit datacenter_ip plus fcrdns_mismatch, einem Reverse-DNS-Signal, das mit Gutscheinen nichts zu tun hat, also haben wir das Beispiel gewechselt.

Der Relay-Ausgang ist der umgekehrte Fall:

is_relay ist true, während is_proxy und is_vpn false sind. Das ist ein Apple-Nutzer mit aktiviertem iCloud+ Private Relay, und eine einzelne Relay-Einlösung ist ein Kunde. Der Tor-Exit trug anonymity_level: "high" und einen Eintrag in Spamhaus ZEN, weshalb es wenig kostet, dort den Anreiz zu verweigern.

Geteilte Adressen bekommen eine Geschwindigkeitsregel, keine Sperre

Geteilte Adressen können in GeoIPHub bewusst nie allein durch den Score blockiert werden. Eine Carrier-Grade-NAT-Adresse ist bei 50 gedeckelt, innerhalb von review, und eine iCloud-Private-Relay-Adresse bei 60, innerhalb von step_up. Eine Sperre würde jeden echten Kunden dahinter blockieren. Der Ring, der sich dort versteckt, muss also durch Zählen erwischt werden, nicht durch Bewerten:

• IPv4: Zählen Sie Einlösungen einer Aktion pro /24 pro Stunde. Unser empfohlener Ausgangswert, keine gemessene Branchenquote, ist drei: Stellen Sie die vierte und alle weiteren Einlösungen aus einem /24 zur Prüfung zurück und justieren Sie die Zahl dann anhand Ihrer eigenen Ergebnisse.
• IPv6: Zählen Sie pro /64, nicht pro vollständiger Adresse. Ein Anschlussinhaber besitzt in der Regel das ganze /64, Rotieren darin kostet also nichts. Wer auf vollständige Adressen schlüsselt, macht aus einem Akteur Tausende. Haushalte und Unternehmen besitzen oft ein /56 oder /48, weiten Sie also darauf aus, wenn immer wieder neue /64 aus einer Zuweisung kommen (siehe IPv6 per /64 drosseln und blockieren).
• Relay und CGNAT: Behalten Sie dieselben Zähler, aber erhöhen Sie den Schwellenwert, denn ein Relay-Ausgang oder eine Mobilfunkadresse bedient legitimerweise viele Kunden.

Die IP-Signale, die Promo-Missbrauch sichtbar machen

Drei IP-Signale machen Promo-Missbrauch sichtbar: gemeinsame Herkunft „verschiedener“ Kunden, Hosting-Herkunft und Anonymisierung, die sich beim Einlösen häuft. Jedes davon deckt Koordination auf, die Prüfungen pro Konto übersehen.

Gemeinsame Herkunft „verschiedener“ Kunden. Viele Neukonten, die eine Aktion von einer Adresse, einem /24 oder einem /64 einlösen, sind das deutlichste Signal, und die obigen Geschwindigkeitsregeln machen daraus eine Entscheidung.

Hosting-Bereiche, wo Privatkunden sein sollten. Echte Neukunden lösen über Heim-Breitband- und Mobilfunkanschlüsse ein. Einlösungen aus Rechenzentrums-IP-Bereichen, also von Cloud-Instanzen, VPS-Anbietern und Hosting-ASNs, sind Skripte, bis das Gegenteil bewiesen ist. GeoIPHub klassifiziert Hosting anhand von 853 kuratierten Hosting-ASNs sowie offiziellen Bereichen von 10 Cloud-Anbietern. Das macht diesen Filter zum günstigsten ersten Durchlauf bei der Berechtigung für Aktionen.

Anonymisierung, die sich beim Einlösen häuft. VPN- und Tor-Flags beim gewöhnlichen Surfen sind schwache Belege. Wenn dieselben Flags bei Empfehlungen und Code-Einlösungen sprunghaft ansteigen, ist das etwas anderes: Der Betreiber rotiert Ausgangspunkte, um die Prüfung auf gemeinsame Herkunft zu umgehen.

Geteilte IPs sind normal, betrachten Sie diese Signale also als Gründe, genauer hinzusehen. Cloudflare stellte fest, dass CGNAT-IPs dreimal häufiger gedrosselt werden als andere IPs, obwohl die mittlere Bot-Rate nahezu identisch ist, 4,8 % gegenüber 4,7 % (Cloudflare, Oktober 2025). Ein CGNAT-Flag sollte Ihre Reaktion abschwächen, nicht verstärken.

Wo die IP-Ebene blind wird: Residential Proxies und Klickfarmen

Eine IP-Abfrage kann eine Einlösung nicht erkennen, die über einen Residential Proxy oder von einem Klickfarm-Smartphone an einem echten Heim- oder Mobilfunkanschluss kommt. Diese Verbindungen stammen von Adressen von Privatkunden-ISPs, und genau so sieht ein echter Neukunde aus. GeoIPHub erkennt keine Residential Proxies. Eine Heim-ISP-Adresse kann sogar das Signal für Privatkunden-ISPs erhalten, das den Score um 20 senkt.

Ein Ring, der Residential-Exits mietet, hat dafür bezahlt, Netzwerkprüfungen zu umgehen. Die Belege müssen also von anderswo kommen:

• Geschwindigkeit im Kontengraphen. Viele Geworbene, die innerhalb von Stunden einem Werbenden gutgeschrieben werden, unabhängig von ihren IPs.
• Überschneidung bei Geräten. Konten, die trotz unterschiedlicher Adressen einen Geräte-Fingerprint teilen.
• Überschneidung bei Zahlungs- und Kontaktdaten. Eine Karte, ein Bankkonto oder eine Telefonnummer hinter mehreren „neuen“ Kunden.
• Qualität der Kohorte. Einlösende, die nie einen zweiten Kauf tätigen.

Warum gemietete Residential-Exits die am schwersten zu beurteilende Herkunft sind, lesen Sie in Betrug über Residential Proxies und warum vertrauenswürdige IPs jetzt riskant sind. Für die allgemeine Form dieses Problems erklärt Multi-Accounting-Erkennung, wie aus einem Nutzer fünfzig werden.

Ein Erkennungs-Playbook, das Sie diese Woche umsetzen können

Die Erkennung funktioniert, wenn Sie drei Ereignisse bewerten, über den Anreiz entscheiden und Ringe statt Konten prüfen.

1. Erfassen Sie drei Ereignisse, nicht eines. Protokollieren Sie die IP und ihre Signale bei der Registrierung, bei der Empfehlung und bei der Einlösung. Die meisten Teams bewerten nur die Registrierung (gefälschte Registrierungen stoppen behandelt diese Prüfung), während sich Missbrauch beim Einlösen konzentriert.
2. Bewerten Sie Werbenden und Geworbenen. In einer Selbstempfehlungsschleife sind beide Seiten derselbe Betreiber. Ein Werbender, dessen Geworbene sich auf ein /24, eine ASN oder einen VPN-Anbieter konzentrieren, ist die Buchhaltung des Rings selbst.
3. Führen Sie Geschwindigkeitszähler pro /24 und pro /64 pro Aktion. Zählen Sie pro Kampagne, nicht global, wie oben beschrieben.
4. Beschränken Sie die Berechtigung für Aktionen, nicht Käufe. Hosting-Herkunft, Tor-Exits oder eine bekannte Missbrauchshistorie beim Einlösen sollten den Rabatt zurückhalten, während ein Kauf zum vollen Preis weiterläuft. Das nimmt den Gewinn weg, ohne Support-Tickets zu erzeugen.
5. Schicken Sie die mittleren Bereiche in die Verifizierung. Ein Score von 26 bis 75 oder ein VPN-Flag bei jedem Score rechtfertigt eine Karten-, Telefon- oder Challenge-Prüfung, nach derselben Logik wie Schwellenwerte für den Risikoscore pro Aktion.
6. Prüfen Sie Cluster, nicht Konten. Stellen Sie Gruppen, die eine IP, ein Präfix oder ein Gerät teilen, in die Warteschlange und beurteilen Sie den Ring in einem Durchgang. Eine IP-Adresse Schritt für Schritt untersuchen zeigt, wie Sie die Belege einer Adresse lesen, bevor Sie gegen ihren Cluster vorgehen.
7. Messen Sie die Qualität der Kohorte. Verfolgen Sie pro Kampagne, wie viele Einlösungen zu einem zweiten Kauf führen. Eine Aktion, deren Einlösende nie wiederkommen, zeigt, wohin das Budget geflossen ist.

Bauen Sie zuerst die Prüfung beim Einlösen ein

Gutschein- und Empfehlungsmissbrauch ist Multi-Accounting, das auf Ihr Marketingbudget zielt. Beginnen Sie mit einer Abfrage beim Einlösen: Lesen Sie is_hosting, is_vpn, is_relay, is_tor und scoring.detection_methods aus, ordnen Sie sie den Reaktionen Einlösen, Zurückstellen, zusätzliche Prüfung oder Verweigern zu und ergänzen Sie die Zähler pro Präfix. Der kostenlose Tarif umfasst 1.500 Abfragen pro Tag mit allen Feldern, und der IP-Fraud-Score-Checker zeigt denselben Score und dieselben Gründe für eine einzelne Adresse ohne Code. Die Übersicht zur Betrugsprävention erklärt, wie der Score aufgebaut ist.

Dieselben Signale schützen benachbarte Türen: die Anonymisierungsebene in wie VPN- und Proxy-Erkennung funktioniert, die Kontosicherheit in Kontoübernahmen und Credential Stuffing erkennen und die Disziplin bei Falsch-Positiven in anonymisierten Traffic erkennen, ohne echte Kunden zu blockieren. Bauen Sie zuerst die Prüfung beim Einlösen ein. Sie ist der günstigste Ort, um aus einem Kopfgeldprogramm wieder ein Wachstumsbudget zu machen.

Häufig gestellte Fragen

Was ist Promo-Missbrauch?

Promo-Missbrauch (Aktionsmissbrauch) ist die Ausnutzung von Marketinganreizen wie Neukundengutscheinen, Empfehlungsprämien, Startguthaben, Treuepunkten und kostenlosen Testphasen durch Personen, für die sie nie gedacht waren. Das reicht von einem Kunden, der eine zweite E-Mail-Adresse anlegt, um einen Erstbestellungsrabatt erneut zu nutzen, bis zu organisierten Ringen, die Tausende gefälschter Konten betreiben, um Budgets für Empfehlungen und Boni leerzuräumen.

Ist Gutscheincode-Missbrauch illegal?

Oft ist er ein Verstoß gegen die Nutzungsbedingungen und keine Straftat. Deshalb begegnen Plattformen dem meisten davon mit Erkennung und Kontosperren. Strafbar wird er, wenn Identitätsdiebstahl, gefälschte Dokumente oder koordinierte Täuschung in großem Umfang im Spiel sind. 2021 erhoben US-Bundesstaatsanwälte in Massachusetts Anklage gegen 19 Personen wegen eines Betrugssystems mit Fahrerkonten für Fahr- und Lieferdienste, das mehr als 2.000 gestohlene Identitäten nutzte und gefälschte Konten anlegte, deren einziger Zweck darin bestand, weitere gefälschte Konten zu werben. Zwei Angeklagte bekannten sich 2022 der Verschwörung zum Überweisungsbetrug (Wire Fraud) und des schweren Identitätsdiebstahls schuldig.

Wie werden Empfehlungsprogramme missbraucht?

Der Kernzug ist die Selbstempfehlung über Multi-Accounting: Derselbe Betreiber kontrolliert den Werbenden und den „Neukunden“, sodass jede gefälschte Registrierung eine Prämie auslöst. Ringe skalieren das mit E-Mail-Aliassen, Anti-Detect-Browsern, Gerätefarmen, VPNs und gemieteten Residential Proxies. Eine IP-Abfrage kann einen Residential-Proxy-Exit nicht von einem echten Privatnutzer unterscheiden, daher müssen diese Konten über Geschwindigkeit sowie Überschneidungen bei Geräten und Zahlungsmitteln erkannt werden.

Welche IP-Signale deuten auf Promo-Missbrauch hin?

Die stärksten Netzwerksignale sind viele „verschiedene“ Neukonten, die dieselbe Aktion von einem IPv4-/24 oder einem IPv6-/64-Präfix einlösen; Einlösungen aus Hosting-Bereichen, wo Privatkunden-Traffic von Heim- oder Mobilfunkanschlüssen kommen sollte; und VPN- oder Tor-Flags, die sich beim Einlösen häufen. Jedes davon braucht Kontext. Carrier-Grade NAT und iCloud Private Relay bündeln viele echte Nutzer hinter einer Adresse, deshalb deckelt GeoIPHub CGNAT-Scores bei 50 und Relay-Scores bei 60, und für diese Adressen ist eine Geschwindigkeitsregel zuständig, keine Sperre.

Wie stoppe ich Promo-Missbrauch, ohne echte Kunden zu blockieren?

Entscheiden Sie über die Berechtigung für die Aktion statt über das Konto: Wenn Risikosignale anschlagen, halten Sie Rabatt und Prämie zurück oder stellen sie zurück, statt die Registrierung oder den Kauf abzulehnen. Lösen Sie risikoarme Einlösungen ein, stellen Sie Einlösungen aus Hosting-Netzen zur Prüfung zurück, verlangen Sie bei VPN-Einlösungen eine zusätzliche Zahlungs- oder Telefonprüfung und verweigern Sie den Anreiz bei Tor-Exits. Bewerten Sie Werbenden und Geworbenen und behandeln Sie geteilte Adressen mit einem Geschwindigkeitslimit pro Präfix statt mit einer Sperre.