Bots im Internet sind nicht per se schlecht. Zur Unterscheidung ist auf die Absicht ihres Erstellers einzugehen. Gute Bots werden zur Ausführung hilfreicher oder nützlicher Aufgaben für ein Unternehmen oder die Besucher einer Website programmiert. So etwa ein Suchmaschinen-Bot, der das Internet durchsucht, um neue Inhalte zu finden, die die Suchergebnisse verbessern. Von solchen Bots geht in der Regel keine Gefahr aus. Böse Bots dagegen werden von Cyberkriminellen und Betrügern programmiert, um Unternehmen und Webseitenbesucher schaden. Zu den schädlichen Bots zählen DDoS-Attacken, Scraper-Bots, Account Takeover (ATO), Spam und Ad Fraud Bots (Click und Impression Fraud).

Bots erzeugen Invalid Traffic (IVT). IVT bezieht sich auf Ad Impressions oder Klick-Aktivitäten, die nicht auf der Aktivität menschlicher User mit echtem Kaufinteresse beruhen, sondern automatisch und in den meisten Fällen durch Bots generiert werden. Invalid Traffic besteht nicht ausschließlich aus böswilligen Bots mit einer betrügerischen Absicht, man unterscheidet zwischen General Invalid Traffic (GIVT) und Sophisticated Invalid Traffic (SIVT). General Invalid Traffic (GIVT) entsteht, wenn „gutartige“ Bots auf eine Website zugreifen. Diese Bots identifizieren sich selbst als solche und sind in gängigen Bot-Übersichtslisten (wie der IAB/ABC International Spider and Bots List) aufgeführt. Webmaster können dadurch GIVT leicht erkennen und aus ihren Daten entfernen. Unter GIVT fallen Suchmaschinen-Crawler, Bots und andere bekannte Crawler, Rechenzentren oder doppelte und versehentliche Klicks auf Werbeanzeigen.

Anders dagegen ist der Sophisticated Invalid Traffic (SIVT) einzustufen, der überwiegend auf betrügerischen Manipulationen beruht. Durch die Manipulation, die in verschiedenen Formen auftreten kann, wird dieser Traffic von gängigen Analytics-Diensten nicht zuverlässig als Invalid Traffic erkannt. SIVT strebt aktiv danach, mit allen möglichen Mitteln als menschlicher Traffic eingestuft zu werden. Beispiele für SIVT sind: fortgeschrittene Bots, versteckte Anzeigen / Ad Stacking, Cookie Stuffing, Auto-Reload / Auto-Refresh von Websites und Werbeanzeigen, Proxy-Traffic, Klickfarmen, Klickbetrug durch Wettbewerber oder Domain / Device Spoofing.

SIVT stiehlt das Werbebudget von Werbetreibenden und bereichert gleichzeitig die Betrüger, die hinter den Bots stecken. Diese erstellen beispielsweise unzählige Fake Websites, befüllen sie entweder mit geklauten oder KI-generierten Inhalten und registrieren sie bei verschiedenen Werbenetzwerken. Anschließend lassen sie Bots automatisiert auf die eingebundenen Werbeanzeigen klicken, um ihren Verdienst in die Höhe zu treiben. Je mehr bot-generierte Klicks auf Werbeanzeigen stattfinden, desto mehr Geld erhalten die Betrüger. Dabei müssen betroffene Unternehmen meist mit erheblichen finanziellen Schäden rechnen, die vielfältig sind und sich durch diverse Abteilungen und Metriken ziehen. Juniper Research schätzt, dass im Jahr 2023 weltweit ein Schaden von über 100 Milliarden Dollar durch Anzeigenbetrug entstehen wird – ein großer Teil davon durch Invalid Traffic. Advertiser sind in der Regel schwerwiegender von Invalid Traffic betroffen, als Publisher. Die negativen Folgen von IVT lassen sich in drei Kategorien unterteilen.

Von Bots erzeugte Klicks (Fake-Klicks) und Impressions fressen das Werbebudget auf und generieren letztlich keine Kunden. Besonders problematisch ist dies, wenn Werbetreibende Programmatic Inventare von Betrügern einkaufen, welche praktisch nie von Menschen gesehen werden, sondern Millionen- und Milliardenfach Anzeigen an Bots ausliefern. Zudem können Bots menschliches Verhalten simulieren, was zu verzerrten Remarketing-Listen (Fake-Remarketing) und damit zu einer weiteren nachgelagerten Verschwendung des Werbebudgets führt. So können Bots Zielgruppen kontaminieren und Daten verfälschen, was eine gezielte Optimierung von Werbekampagnen nahezu unmöglich macht.

Bots simulieren einen vermeintlich echten Browserverlauf und sind mittlerweile auch in der Lage, Cookie-Banner zu akzeptieren. Es kommt zu Verzerrungen der Website-Statistiken und der Opt-in-Raten. Die Website- und CMP-Daten führen zu einer verzerrten Datenbasis. Gängige Webanalyse-Tools sind nicht in der Lage bösartige Bots zu identifizieren, sondern bieten in der Regel nur einfache Filtermöglichkeiten für den oben genannten GIVT, also gute Bots wie Suchmaschinen-Crawler.

Mit Captchas gesicherte Formulare sind für Bots schon lange ein gefundenes Fressen. So sind gefälschte Leads und falsche Daten im CRM keine Seltenheit mehr. Das Vertriebsteam wird mit unnötigem Arbeitsaufwand konfrontiert und muss manuell Bots von echten Usern unterscheiden. Zudem kann dies zu Compliance-Problemen aufseiten der Website Betreiber führen, sofern echte, geklaute Kundendaten durch Bots im eigenen CRM landen.

Aufgrund der wachsenden Zahl von Bad Bots und durch ihr zunehmend raffiniertes Verhalten stellt die Erkennung von Bots die Industrie vor enorme Herausforderungen. Wenn Invalid Traffic allerdings frühzeitig erkannt und blockiert wird, können Werbetreibende schwerwiegende Auswirkungen vermeiden. Ein genauer Blick auf die Daten von Google Analytics oder einem ähnlichen Analysetool kann einige Indikationen für mögliche Bot-Aktivitäten liefern. Daher ist eine regelmäßige Analyse der eigenen Analytics-Daten essenziell. Es sei jedoch angemerkt, dass Bots mittlerweile so raffiniert sind, dass es sehr schwierig ist über reine Webanalyse-Tools klare Aussagen über die Traffic-Qualität zu gewinnen.

Einige Indikatoren wären aber beispielsweise:

Gleichermaßen kann man im Mediaeinkauf in der DSP ebenfalls einige auffällige Muster analysieren:

Werbetreibende sollten daher nicht auf einen günstigen CPM optimieren, sondern guten Publisher-Traffic von "realen" Publishern einkaufen.

Des Weiteren sollte man versuchen, Invalid Traffic zu blockieren oder im Falle von Fake Impressions nachhaltig aus seinen Kampagnen zu exkludieren. Manuelle Maßnahmen sind zeitaufwendig und kostenintensiv; und mit diesen begrenzten Mitteln ist Invalid Traffic kaum zu blockieren. Es geht darum, aktive Schutzmaßnahmen über alle Online-Marketing-Kanäle zu implementieren und programmatische Kampagnen nachhaltig von Fake-Inventaren und betrügerischen Apps zu befreien.

Die Bot-Erkennung sollte zudem in Echtzeit aktiv sein, um größtmögliche Wirkung zu erzielen. Am wirkungsvollsten ist ein kumulativer Schutz durch eine Kombination von manuellen und automatisierten Maßnahmen, beispielsweise durch die Einrichtung von IP-Blocklisten für Werbekanäle und die manuelle Überprüfung von Publishern und gegebenenfalls Ausschluss von diesen und die Einschränkung von Kampagnen auf Geolocation-Basis.