Was ist Domain Spoofing?
Du buchst eine Display-Kampagne und siehst im Bericht: Deine Anzeige lief auf großen Nachrichtenseiten. Klasse. Nur: Die Seiten haben deine Anzeige nie gezeigt. Willkommen beim Domain Spoofing.
Beim programmatischen Einkauf werden Werbeplätze in Millisekunden versteigert. Der Verkäufer schreibt in die Gebotsanfrage, auf welcher Domain der Platz liegt. Beim Spoofing ist diese Angabe gefälscht. In Wahrheit liegt der Platz auf einer billigen Seite, auf einer Seite nur für Bots — oder es gibt ihn gar nicht.
Das IAB Tech Lab spricht von „domain misrepresentation“, Google von „counterfeit inventory“, also gefälschtem Inventar. Gemeint ist dasselbe. Domain Spoofing ist eine Spielart von Ad Fraud, also Werbebetrug.
Bekannte Fälle
Die bekanntesten Fälle stammen aus den Jahren 2016 und 2017. Sie haben die Branche aufgeschreckt — und ads.txt erst richtig in Schwung gebracht.
Fall A · 2016
Methbot
6.111
gefälschte Premium-Domains
3–5 Mio. $
Einnahmen pro Tag
Täglich 200 bis 300 Mio. gefälschte Video-Impressionen
Das Sicherheitsunternehmen White Ops deckte das Botnetz auf. Bots simulierten Mausbewegungen auf Kopien großer Medienseiten.
Fall B · 2017
Financial Times
15
Exchanges mit Fake-Video
1 Mio. £
geschätzter Wert pro Monat
Video-Inventar der FT verkauft — obwohl die FT gar kein Video programmatisch anbot
Rund 300 Konten boten das gefälschte Inventar an. Die FT warnte 11.000 Kontakte und führte ads.txt ein.
Methbot endete vor Gericht: 2018 erhob die Staatsanwaltschaft in New York Anklage gegen acht Personen. Wie groß das Problem heute ist, lässt sich schwer sagen — eine aktuelle, unabhängige Gesamtzahl gibt es nicht.
Was gegen Domain Spoofing hilft
Werkzeug
Was es tut
ads.txt
Publisher listet erlaubte Verkäufer
app-ads.txt
dasselbe für Apps und Smart-TV
sellers.json
zeigt, wer hinter einer ID steckt
SupplyChain Object
listet alle Zwischenhändler
ads.txt kam im Juni 2017, sellers.json und das SupplyChain Object im Juli 2019, alle vom IAB Tech Lab. Google nennt ads.txt nicht zwingend, aber dringend empfohlen — sie schützt vor gefälschtem Inventar und hilft, dass Werbegeld bei dir statt bei Betrügern landet.
Häufige Fehler
Fehler 1 · Glauben, ads.txt löse alles
ads.txt ist eine freiwillige Liste. Sie wirkt nur, wenn die Einkaufsplattform des Werbetreibenden sie auch prüft. Frag deine Agentur oder deinen Anbieter, ob sie nur autorisiertes Inventar einkaufen.
Fehler 2 · Die eigene ads.txt verwildern lassen
Alte Partner, die längst weg sind, falsch gesetztes DIRECT statt RESELLER, Dutzende Wiederverkäufer, die niemand kennt. Je länger die Liste, desto schwächer der Schutz. Laut DataBeat kamen im September 2026 bei den 50.000 größten US-Publishern netto über 44.000 neue Reseller-Zeilen dazu — rund 81 % des Zuwachses.
Fehler 3 · Denken, das betreffe nur große Marken
Wer über Google oder ein Netzwerk Display- oder Video-Anzeigen schaltet, kauft im selben Markt ein. Auch Apps sind betroffen: Deshalb gibt es app-ads.txt. Kleine Budgets fallen nur weniger auf.
Fehler 4 · Placement-Berichte nie ansehen
Viele Werbetreibende schauen nur auf Klicks und Kosten. Ein Blick in den Bericht, wo die Anzeigen liefen, zeigt oft seltsame Seiten mit hohem Anteil am Budget. Die schließt du aus.
Was du konkret tun kannst
- Als Werbetreibender: Placement-Berichte regelmäßig prüfen, verdächtige Seiten ausschließen, bei großen Budgets ein Prüf-Tool wie DoubleVerify, IAS oder HUMAN nutzen.
- Als Publisher: eine ads.txt anlegen und aktuell halten. In Google Ad Manager kannst du sie direkt erzeugen.
- Bei Agenturen: nachfragen, ob nur Inventar mit gültiger ads.txt eingekauft wird.
Häufige Fragen
Wie erkenne ich, ob mein Werbebudget in gefälschtes Inventar fließt?
Schau in die Placement-Berichte: Tauchen Seiten auf, die du nicht kennst, oder große Marken zu auffällig niedrigen Preisen? Hohe Impressionen bei kaum Interaktion sind ein weiteres Warnzeichen. Sicherheit geben nur Prüf-Tools.
Muss ich als Website-Betreiber eine ads.txt anlegen?
Wenn du Werbung über AdSense oder ein anderes Netzwerk zeigst: ja, dringend empfohlen. Sonst können Käufer dein echtes Inventar nicht von gefälschtem unterscheiden — und du verlierst Geld.
Was hat Domain Spoofing mit E-Mail-Spoofing zu tun?
Gibt es Domain Spoofing auch bei Apps?
Ja, dort heißt es App-Spoofing: Betrüger geben eine falsche App-ID an. Dagegen hilft app-ads.txt, die der App-Entwickler auf seiner Website ablegt.
Was ist der Unterschied zu Made-for-Advertising-Seiten?
MFA-Seiten sind echt und werden unter ihrem eigenen Namen verkauft — sie bieten nur kaum Wert. Beim Domain Spoofing ist die Herkunft selbst gefälscht.
