Gewinnspiele und Teilnahmebetrug: Bots erkennen, ohne echte Gewinner zu verlieren

Teilnahmebetrug bei einem Gewinnspiel bezeichnet jeden Versuch, Gewinne oder zusätzliche Teilnahmen mit Mitteln zu erlangen, die den Teilnahmebedingungen widersprechen: Mehrfachkonten, automatisierte Skripte, koordinierte Teilnahme oder Manipulation der Ziehungsmechanismen. Um ihn zu erkennen, kombiniert der Veranstalter drei Signalfamilien: technische Indizien (Gerät, Netzwerk, Duplikate), Verhaltensindizien (Rhythmus, Abfolge der Aktionen, Timing) und Kohärenzindizien zwischen der Anmeldung und den übrigen Daten. Kein einzelnes Signal reicht aus, um einen Betrug zu beweisen; erst ihre Häufung, dokumentiert und nach vorab schriftlich festgelegten Kriterien angewandt, rechtfertigt einen Ausschluss.

Warum nimmt Teilnahmebetrug bei Online-Gewinnspielen zu?

Ein Online-Gewinnspiel belohnt eine einfache und wiederholbare Handlung: ein Formular ausfüllen, einen Beitrag teilen, abstimmen, einen Freund werben. Diese Einfachheit macht die Automatisierung verlockend. Ein Skript kann Formulare mit hoher Geschwindigkeit absenden, ein Kontonetzwerk kann koordiniert abstimmen, und eine Gruppe von Teilnehmern kann Empfehlungen untereinander aufteilen, um eine Rangliste künstlich aufzublähen.

Die häufigsten Betrugsformen lassen sich in vier Familien einteilen:

• Mehrfachkonten: Eine Person legt mehrere Identitäten an, um ihre Chancen zu vervielfachen.
• Automatisierung: Bots füllen Formulare aus oder lösen Aktionen in einer für Menschen unmöglichen Frequenz aus.
• Koordination: Eine organisierte Gruppe (manchmal bezahlt) erzeugt Teilnahmen oder Stimmen en bloc.
• Umgehung der Regeln: Identitätsdiebstahl, um einen Preis zu beanspruchen, fiktive Empfehlungen, Anlegen von Konten für Dritte ohne deren Zustimmung.

Wichtig für den Veranstalter ist, dass diese Betrugsformen nicht alle gleich aussehen. Ein Bot hinterlässt vor allem Spuren von Geschwindigkeit und Regelmäßigkeit. Ein koordiniertes Netzwerk hinterlässt Spuren der Synchronisierung zwischen Konten. Ein isolierter Betrüger, der mehrere E-Mail-Adressen nutzt, hinterlässt vor allem technische und dokumentarische Spuren. Es braucht daher unterschiedliche Kontrollen für jeden Fall.

Welche Verhaltenssignale sollten überwacht werden?

Die technische Erkennung (IP-Adressen, VPNs, Browser-Fingerabdrücke, Duplikate von E-Mail oder Telefonnummer) ist notwendig, aber unzureichend. Sie erkennt weder einen Teilnehmer, der ein legitimes VPN nutzt, noch einen Bot, der bei jeder Anfrage die Adresse wechselt. Verhaltenssignale hingegen beschreiben die Art und Weise, wie eine Aktion ausgeführt wird.

Verdächtiges Timing

Ein menschlicher Teilnehmer hat einen unregelmäßigen Rhythmus. Er liest die Teilnahmebedingungen, zögert, geht zurück, schließt den Tab, öffnet ihn erneut. Ein Bot hat einen zu regelmäßigen oder zu schnellen Rhythmus. Zu prüfende Signale sind:

• Absendungen in nahezu identischen Intervallen (zum Beispiel alle drei Sekunden über mehrere Stunden).
• Teilnahmen, die sich in den ersten Sekunden nach Eröffnung des Gewinnspiels konzentrieren oder kurz nach einer vom Veranstalter veröffentlichten Erinnerung.
• Aktivitätsspitzen außerhalb der Zeiten, in denen die Zielgruppe tatsächlich online ist, besonders wenn die Aktivität ohne erkennbare Logik über mehrere Zeitzonen verteilt ist.

Anormale Verläufe

Der Verlauf bezeichnet die Abfolge von Seiten und Aktionen. Ein menschlicher Pfad ist oft ungeordnet: eine Startseite, dann die Gewinnspielseite, dann eine Pause, dann das Formular. Ein Skript folgt in der Regel einem direkten Weg, ohne die Teilnahmebedingungen zu konsultieren, ohne zu scrollen, und überspringt manchmal Pflichtschritte (zum Beispiel das Formular absenden, ohne jemals die Bestätigungsseite der E-Mail zu laden).

Ein starkes Signal ist der invariante Pfad: Hunderte von Teilnahmen, die exakt derselben Ereignisabfolge bis auf die Millisekunde folgen, sind bei Menschen höchst unwahrscheinlich.

Unmögliche Engagement-Geschwindigkeit

Bestimmte Aktionen haben eine realistische Mindestdauer. Das Eingeben eines Namens, einer E-Mail, einer Adresse und das Beantworten einer Allgemeinwissensfrage dauert eine gewisse Zeit. Wenn die vollständige Absendung in kürzerer Zeit erfolgt als das Lesen der Frage, ist das ein starkes Indiz für Automatisierung oder kopierte Antworten.

Dieser Schwellenwert muss anhand echter Tests festgelegt werden, indem mehrere Personen beim Ausfüllen des Formulars auf verschiedenen Geräten gestoppt werden, und nicht anhand einer Intuition. Ein zu strenger Schwellenwert benachteiligt schnelle Personen, Nutzer von Autovervollständigung und diejenigen, die ihre Daten legitim kopieren und einfügen.

Kohärenz zwischen den Daten

Ein Konto kann isoliert normal erscheinen und verdächtig werden, wenn man es mit anderen Informationen vergleicht: eine Postanschrift, die keinem von den Teilnahmebedingungen akzeptierten Liefergebiet entspricht, eine Telefonnummer, die bereits bei mehreren Anmeldungen verwendet wurde, ein Geburtsdatum, das mit der geforderten Altersgruppe unvereinbar ist, oder ein Benutzername, der einem Muster folgt (user2481, user2482...).

Operative Checkliste der Warnsignale

Hier ist eine Liste, die direkt zur Vorbereitung der Kontrolle eines Gewinnspiels verwendet werden kann. Jedes Signal muss notiert und nicht als Beweis behandelt werden.

1. Mehr als fünf Anmeldungen, die denselben Browser-Fingerabdruck oder dieselbe Geräte-ID über die Laufzeit des Gewinnspiels teilen.
2. Eine regelmäßige Absendefrequenz mit wenigen Sekunden Abweichung über mehr als zehn aufeinanderfolgende Teilnahmen.
3. Eine Ausfüllzeit des Formulars unter dem bei Ihren Tests gemessenen Mindestschwellenwert.
4. E-Mails mit Wegwerf-Domain oder automatisch generiertem Muster (zufällige Zeichenketten, inkrementierte numerische Suffixe).
5. Empfehlungen, die einen geschlossenen Graphen bilden: Eine kleine Gruppe von Konten wirbt ausschließlich untereinander.
6. Eine Konzentration von Teilnahmen innerhalb weniger Minuten nach einer Erinnerungsveröffentlichung in sozialen Netzwerken.
7. Stimmen oder Likes aus demselben IP-Adressblock oder von demselben Access-Provider über einen kurzen Zeitraum.
8. Postanschriften oder Telefonnummern, die mit den Teilnahmebedingungen unvereinbar sind.
9. Konten, die kurz vor Beginn des Gewinnspiels erstellt wurden und keine andere Aktivität aufweisen.
10. Teilnahmen, die an Validierungsschritten scheitern (Bestätigungslink nie geöffnet), aber dennoch gezählt werden.

Ein einzelner Punkt rechtfertigt nichts. Drei oder mehr konvergente und dokumentierte Punkte rechtfertigen eine manuelle Überprüfung. Ein Ausschluss muss auf einer Indizienhäufung beruhen, nicht auf einem einzigen Indiz.

Wie lässt sich ein Risikoscore aufbauen, ohne Ungerechtigkeiten zu automatisieren?

Ein Risikoscore weist jedem Signal einen Wert zu und aggregiert diese Werte, um über eine Aktion zu entscheiden: akzeptieren, prüfen, aussetzen. Das Prinzip ist einfach, die Umsetzung erfordert Vorsicht.

Nehmen wir den hypothetischen Fall einer Kosmetikmarke, die eine Verlosung mit Teilnahme per Formular und Empfehlung organisiert. Die Marketingabteilung könnte Punkte wie folgt vergeben: 2 Punkte für eine verdächtige Frequenz, 3 für ein Telefon-Duplikat, 1 für eine Wegwerf-E-Mail-Domain, 2 für eine Empfehlung im geschlossenen Graphen. Ein Teilnehmer, der 4 Punkte erreicht, wird in die manuelle Prüfung überführt; er wird niemals automatisch ausgeschlossen.

Die einzuhaltenden Konstruktionsregeln:

• Jedes Kriterium dokumentieren und seine Gewichtung vor dem Start des Gewinnspiels festhalten und diese Spur aufbewahren.
• Score und Entscheidung trennen: Der Score priorisiert die Prüfungen, ein Mensch entscheidet.
• Falsch-Positive testen: Das Modell auf vergangene Teilnahmen oder eine Teststichprobe erneut anwenden, um zu sehen, wie viele echte Teilnehmer gemeldet würden.
• Sensible Kriterien vermeiden: Kein Kriterium darf auf Daten beruhen, die eine Herkunft, eine Meinung oder ein geschütztes Merkmal offenlegen.

Bei den Werkzeugen gibt es Lösungen zur Identitätsprüfung, Bot-Erkennung und Reputationsanalyse von IP-Adressen oder E-Mails. Die Wahl hängt vom Volumen, vom Budget und von der Fähigkeit des Teams ab, die Ergebnisse zu interpretieren. Ein Werkzeug, das einen undurchsichtigen Score ohne Erklärung liefert, ist im Streitfall schwer zu verteidigen. Bevorzugen Sie solche, die die Gründe einer Meldung offenlegen.

Wie lässt sich ein Teilnehmer ausschließen, ohne einen DSGVO-Streit zu erzeugen?

Dies ist der Punkt, an dem Veranstalter sich am häufigsten irren. Der Ausschluss eines Teilnehmers ist eine Entscheidung, die eine Person betrifft, und sie beinhaltet die Verarbeitung personenbezogener Daten. Sie muss daher auf einer klaren Rechtsgrundlage und einem nachvollziehbaren Verfahren beruhen.

Welche Rechtsgrundlage ist zu wählen?

Für die Betrugsbekämpfung wird häufig das berechtigte Interesse des Veranstalters angeführt, sofern eine Abwägung zwischen diesem Interesse und den Rechten der Teilnehmer durchgeführt und dokumentiert wird. Zudem muss die Teilnahmebedingungen die Teilnehmer klar darüber informieren, dass Anti-Betrugs-Kontrollen durchgeführt werden, welche Daten analysiert werden und wie lange sie aufbewahrt werden. Diese Information muss vor der Teilnahme zugänglich sein und nicht erst nach einem Ausschluss entdeckt werden.

Prüfen Sie die Position Ihres Datenschutzbeauftragten oder Ihrer Rechtsberatung: Die genaue Qualifizierung hängt von der Verarbeitung, dem Wohnsitzland der Teilnehmer und den verwendeten Werkzeugen ab.

Welches Verfahren ist vor einem Ausschluss zu befolgen?

Ein verteidigungsfähiges Verfahren läuft in Schritten ab:

1. Die Meldung qualifizieren: Listen Sie die beobachteten Signale mit den Zeitstempeln und den technischen Daten auf, die sie belegen.
2. Manuell prüfen: Eine zweite Sicht, idealerweise getrennt von der Person, die den Score konfiguriert hat, prüft den Fall. Sie sucht auch nach legitimen Erklärungen (gleicher Haushalt, gleiches Firmennetzwerk, geteiltes Telefon).
3. Die Person informieren, wenn dies möglich und verhältnismäßig ist, indem der Grund sachlich beschrieben wird, ohne theatralische Anschuldigung und ohne das Detail des Erkennungsmodells offenzulegen, das seine Umgehung ermöglichen würde.
4. Eine Antwortmöglichkeit innerhalb einer angemessenen Frist über einen identifizierten Kanal lassen.
5. Entscheiden und festhalten: die Entscheidung mit ihrer Begründung in einem internen Register dokumentieren.
6. Die Aufbewahrung der Daten der Analyse auf die für die Bearbeitung von Beschwerden und die Erfüllung gesetzlicher Pflichten erforderliche Dauer begrenzen.

Wie lässt sich eine Reputationskrise vermeiden?

Ein schlecht gemanagter Ausschluss landet schnell in sozialen Netzwerken, oft in Form eines aus dem Kontext gerissenen Screenshots. Einige Prinzipien begrenzen dieses Risiko:

• Niemals den Namen oder das Pseudonym eines ausgeschlossenen Teilnehmers veröffentlichen.
• Keine öffentliche anklagende Formulierung wie „Betrüger“ verwenden; bevorzugen Sie „Teilnahmen, die den Teilnahmebedingungen nicht entsprechen“.
• Im Voraus eine Standardantwort für Einsprüche vorbereiten, die von der Rechtsabteilung validiert wurde.
• In den Teilnahmebedingungen erklären, wie die Ziehung geregelt ist und wie die Prüfungen durchgeführt werden. Klare Teilnahmebedingungen schützen mehr als reaktive Kommunikation.

Häufige Fehler, die zu vermeiden sind

• Ausschluss allein aufgrund der IP-Adresse, die von Tausenden von Personen geteilt werden kann (Mobilfunkbetreiber, Firmennetzwerk, Studentenwohnheim).
• Einem Gewinner absagen, ohne ihn zu benachrichtigen: Schweigen wird als willkürliche Sanktion wahrgenommen.
• Änderung der Regeln während des Gewinnspiels, um Teilnehmer auszuschließen, ohne dass dies in den ursprünglichen Teilnahmebedingungen steht.
• Unbegrenzte Aufbewahrung der Daten des vermuteten Betrugs.
• Einen ausgelosten Gewinner als verdächtig behandeln, bevor die Signale geprüft wurden, was zu schwer zurücknehmbaren Anschuldigungen führt.

Wie lassen sich echte Gewinner während der Kontrolle schützen?

Die Anti-Betrugs-Kontrolle darf die Preisvergabe nicht für alle verzögern. Eine bewährte Praxis besteht darin, die Ziehung auf Basis der gültigen Teilnahmen durchzuführen und dann nur die ausgewählten Gewinner vor der Bekanntgabe zu prüfen. Es ist auch möglich, eine Reserveziehung vorzusehen, die in den Teilnahmebedingungen beschrieben wird, um einen Gewinner zu ersetzen, dessen Teilnahme nach der Prüfung ungültig ist.

Diese Wahl hat zwei Vorteile. Sie begrenzt die Anzahl der Personen, die einer eingehenden Prüfung unterzogen werden, und sie vermeidet, dass ein Verdacht auf die gesamte Teilnehmerbasis fällt. Sie erfordert jedoch, dass die Teilnahmebedingungen die Reihenfolge der Vorgänge und die Prüfungsfrist präzisieren.

Für ein von einem kleinen Team organisiertes Gewinnspiel bleibt die nützlichste Regel die einfachste: die Kriterien vor dem Start dokumentieren, niemals aufgrund eines einzigen Signals ausschließen und jede Entscheidung nachvollziehbar festhalten. Das ermöglicht es, im Streitfall zu zeigen, dass die Behandlung kohärent, verhältnismäßig und für alle gleich war.