Warum Sie den Betrug sehen und der Prüfer nicht: Was Cloaking ist

Aktualisiert am 7. November 2026 · 3 Min. Lesezeit

Kurz gesagt: Viele Betrugsanzeigen kommen durch die Prüfung, weil die Seite nicht allen dasselbe zeigt. Ein Programm entscheidet in Zehntelsekunden, wer Sie sind. Wirken Sie wie ein Opfer, sehen Sie die falsche Nachricht mit dem Prominenten. Wirken Sie wie ein Prüfer, ein Virenscanner oder ein Rechercheur, sehen Sie ein harmloses Blog oder eine Fehlermeldung. Das heißt Cloaking („Verschleierung“) und erklärt, warum Sie manchmal eine Website melden und die prüfende Stelle nichts findet.

Wie es entscheidet, wer Sie sind

Wenn Sie auf die Anzeige klicken, läuft Ihr Besuch über ein Zwischensystem, das mehrere Daten prüft: aus welchem Land Sie kommen, mit welchem Gerät und Browser, von welcher Seite und ob Ihre Verbindung nach einem Sicherheitsunternehmen aussieht. Danach schickt es Sie an den einen oder den anderen Ort.

Dafür braucht es keine exotische Technik. Meist kommt kommerzielle Software zur Werbemessung zum Einsatz, dieselbe Art von Werkzeug, mit der jede Agentur Traffic verteilt. Im März 2026 veröffentlichten Confiant und Infoblox vier Monate Recherche zum Missbrauch eines dieser Programme: 15.500 schädliche Domains, davon rund 9.000 gezielt registriert, mit sauberen Seiten für alle, die wie Prüfer aussahen. Die häufigste Kategorie war Anlagebetrug.

Dokumentierte Tricks

• Eine Vorschau, die nicht echt ist. Bitdefender analysierte im Februar und März 2026 310 Kampagnen auf Meta mit mehr als 26.000 Anzeigenschaltungen. In Italien zeigten die Anzeigen als Vorschau die Website echter Restaurants in Florenz. Das automatische System sah ein Restaurant, das Opfer landete woanders.
• Messen, ob Sie lesen. Whalebone untersuchte im Juli 2026 mehr als 400 Domains falscher Medien. Die Seite erfasste, wie weit Sie nach unten scrollten, wie viel Sie lasen, ob Sie den Tab wechselten und an welcher Stelle Sie gingen.
• Ständig die Domain wechseln. Fällt eine Domain, kommt die nächste. Wir haben das live gesehen: weniger als 14 Stunden zwischen der Sperrung einer Domain und ihrem Ersatz.

Was wir selbst sehen

Unsere Daten passen dazu, auch wenn wir nicht in das Innere dieser Systeme schauen können.

• Wegwerf-Adressen. In 398 Anzeigen-Links stecken 294 verschiedene Domains. Ein Teil wirkt maschinell erzeugt: sinnlose Folgen aus Buchstaben und Zahlen. Weniger als die Hälfte endet auf .com. Danach folgen .info, .top, .click und .pro.
• Links, die „nicht gefunden“ melden. Viele Links aus Werbevideos und Werbeblogs liefern einen Fehler, wenn man sie direkt öffnet, wie wir hier berichten. Wir können nicht sicher sagen, dass es Cloaking ist, denn es kann auch ein toter Link sein. Es ist aber genau das, was wir sehen würden, wenn es Cloaking wäre. Und wir versuchen grundsätzlich nicht, diese Systeme zu täuschen, damit sie uns mehr zeigen.

Warum das für Sie wichtig ist

1. Wenn es die Website „nicht mehr gibt“, heißt das nicht, dass sie geschlossen wurde. Zeigt Ihnen ein Angehöriger einen Link und Sie sehen eine Fehlermeldung oder eine normale Seite, hat das System Sie vielleicht aussortiert: anderes Land, anderes Gerät, nicht über die Anzeige gekommen.

2. Sichern Sie Beweise sofort. Wenn Sie Anzeige erstatten wollen, machen Sie Screenshots von dem, was Sie sehen, mit sichtbarer Adresse. Die Polizei oder die Plattform sieht später vielleicht nicht dasselbe. Notieren Sie auch das Datum und wie Sie dorthin gelangt sind.

3. Melden Sie die Anzeige, nicht nur die Website. Nutzen Sie die Meldefunktion des sozialen Netzwerks direkt an der Anzeige. So kann die Plattform sie zuordnen, auch wenn die Seite getarnt ist.

4. Dass eine Anzeige läuft, heißt nicht, dass sie geprüft ist. Die Prüfung hat vielleicht etwas ganz anderes gesehen.

5. Eine bestandene Sicherheitsprüfung beweist nichts. Ein Website-Checker meldet die Seite womöglich als sauber, weil ihm die saubere Version gezeigt wurde.

Wenn Sie Ihre Daten schon hinterlassen haben, folgen Sie dem Ratgeber für Betrugsopfer.

Grenzen

Die Zahlen von Confiant, Infoblox, Bitdefender und Whalebone stammen von diesen Unternehmen und gelten für deren Stichproben. Wir haben nicht von innen überprüft, wie die einzelnen Systeme entscheiden, die in unseren Daten auftauchen.