Recherche: Was die Links von 398 Anzeigen für Anlagebetrug verraten

Aktualisiert am 7. November 2026 · 6 Min. Lesezeit

Kurz gesagt: Wenn jemand auf eine Anzeige klickt, enthält der Link meist Daten der Kampagne, die sie erstellt hat. Wir haben 398 verschiedene Links aus betrügerischen Anlage-Anzeigen in 24 Ländern ausgewertet. In vielen steht der Name, den der Werbetreibende seiner Kampagne gegeben hat: der Prominente, das Land, das Alter der Zielgruppe und das Datum. 13 % sind Kopien früherer Kampagnen, und wenn der Name ein Datum enthält, ist die Anzeige meist weniger als drei Tage alt.

Was wir uns angesehen haben

Jedes Mal, wenn wir eine Anzeige erfassen, speichern wir ihren Link. Von den 705 Funden zwischen dem 26. Oktober und dem 5. November 2026 sind 398 Links verschieden, und alle enthalten Tracking-Parameter. Das sind die Daten, die in einer Webadresse hinter dem Zeichen „?“ stehen.

Werbetreibende nutzen sie, um zu erfahren, welche Anzeige funktioniert. Das ist bei seriöser Werbung genauso. Interessant ist hier, dass viele Betrüger ihre internen Namen sichtbar lassen. In 238 Links stehen von Menschen geschriebene Namen oder lesbare automatische Bezeichnungen. In 130 stehen zufällige Codes aus 10 Zeichen, die nichts aussagen.

Wir haben keinen Link genutzt, um auf Konten oder Systeme zuzugreifen. Kennungen veröffentlichen wir auch nicht, weil sie Lesern nichts bringen.

Der Prominente ist eine Zeile in der Tabelle

In 23 Links enthält der Kampagnenname die missbrauchte Person. Die Namen folgen Formaten wie diesen, aus denen wir die Codes entfernt haben:

Für die Person, die die Kampagne steuert, ist der Prominente nur eine weitere Variable, genau wie das Land. Sie tauscht ihn aus, testet und vergleicht. Rund hundert Links enthalten außerdem den Ländercode. Das bestätigt, was wir bei derselben Plattform mit einem anderen Prominenten in jedem Land gesehen haben.

Sie wählen das Alter aus

Manche Namen nennen die gewählte Zielgruppe: 25+, 30+, 35+, 45+, 32-65, 38-65, 40-64 und 55-65. Das haben wir 37-mal gefunden, und nie sind Menschen unter 25 Jahren dabei.

Die Stichprobe ist klein, denn die meisten Kampagnen schreiben das nicht in den Namen. Sie deutet aber auf das hin, was zu erwarten war: Gesucht werden Erwachsene mit Ersparnissen, nicht irgendwer.

Anzeigen, die erst Stunden alt sind

In 51 Links enthält der Name ein Datum, das wir mit dem Tag vergleichen können, an dem wir die Anzeige gesehen haben. Bei 42 davon beträgt der Abstand zwei Tage oder weniger. Der Median liegt bei einem Tag.

Das ist mit Vorsicht zu lesen: Dieses Datum setzt der Werbetreibende, und es muss nicht das Datum der Veröffentlichung sein. Es passt aber zu dem, was wir sonst sehen. Diese Anzeigen sind sehr neu, wenn sie die Menschen erreichen. Deshalb stehen sie noch auf keiner Warnliste.

Kopieren und von vorn beginnen

52 Links (13 %) tragen Kopiermarken: „Copy“, „Clone“ oder die russische Entsprechung „Копия“. In sechs erscheint die Marke zweimal. Das sind also Kopien von Kopien.

Diese Marke hinterlässt das Anzeigen-Tool, wenn eine Kampagne dupliziert wird. Duplizieren ist in der Werbung normal und beweist für sich allein nicht, dass die ursprüngliche Anzeige gesperrt wurde. Es zeigt aber Serienarbeit: Eine Kampagne wird geklont, ein Detail wird geändert, und sie läuft wieder. Deshalb bringt es wenig, eine einzelne Anzeige zu entfernen, solange das Konto aktiv bleibt.

Russische Bezeichnungen in 16 Ländern

43 Links (11 %) enthalten kyrillischen Text, und zwar in 16 Ländern, von Italien bis Japan und Ghana. Sie verteilen sich auf 26 Plattformen.

In 15 Links ist es die automatische Bezeichnung, die das Anzeigen-Tool erzeugt, wenn es auf Russisch eingestellt ist: „Новое объявление с целью “Лиды”“, also „Neue Anzeige mit dem Ziel ‚Potenzielle Kunden‘“. Andere sind handgeschriebene Notizen mit Wörtern wie „ручной таргет“ (manuelles Targeting) oder „каталог“ (Katalog).

Wir haben das nicht als Einzige gesehen. Im März 2026 veröffentlichte Bitdefender eine Analyse von 310 Kampagnen auf Meta mit denselben Begriffen, darunter „Копия“, „крео“ oder „ручка“, einem Jargon aus der Affiliate-Branche.

Das zeigt nur, dass ein Teil der Käufer dieser Anzeigen das Tool auf Russisch nutzt. Es sagt nichts über die Nationalität von irgendwem aus und auch nichts darüber, wer den Betrug steuert. Die meisten Links enthalten kein Kyrillisch, und wir finden mehrere sehr unterschiedliche Namensstile. Das wirkt nicht wie ein einziges Team, sondern wie viele Anzeigenkäufer mit eigener Arbeitsweise.

Worauf sie aus sind: Ihre Telefonnummer

Wenn der Name das Ziel der Kampagne nennt, steht dort am häufigsten „Leads“ oder „Лиды“, also potenzielle Kunden (31 Links), danach „Sales“ oder „Purchase“ (17). Das heißt: Die Anzeige verkauft nichts, sie beschafft einen Kontakt. Bezahlt wird für Ihr ausgefülltes Formular. Danach kommen die Anrufe.

25 Links enthalten außerdem Felder, die für Affiliate-Programme typisch sind, etwa eine Angebots- oder Affiliate-Kennung. Das deutet darauf hin, dass ein Teil des Traffics von Dritten gekauft wird, die pro Kontakt bezahlt werden.

Zwei Namen, eine Kampagne

Am nützlichsten, um dem Netzwerk zu folgen, sind wiederkehrende Codes. Eine Kampagne dürfte nicht für zwei verschiedene Plattformen werben. Trotzdem gilt:

• Garantésure und Fonds Thesorelle teilen Kampagnencodes, in Frankreich.
• PoundLedgerix und Prizantment teilen Kampagne und Tracking-Pixel, in Großbritannien.
• Immediate Growth und Senvix teilen einen ungewöhnlichen Kampagnennamen.
• Halal Trade AI und WIN Token teilen ein Tracking-Pixel, in den Emiraten und Saudi-Arabien.

Das ist ein stärkerer Beweis als gemeinsame Prominente: Dasselbe Werbekonto bewirbt zwei Namen. Auch deshalb spielt der Name kaum eine Rolle.

Wo sie erscheinen

196 Links geben an, an welcher Stelle von Facebook die Anzeige lief:

Jede vierte Anzeige erschien im Marketplace, einem Ort, an dem Menschen einkaufen wollen und vielleicht weniger wachsam sind. Beachten Sie, dass diese Werte nur die Anzeigen abbilden, die wir erfassen, nicht alles, was veröffentlicht wird.

Was das für Sie bedeutet

1. Dass ein Name auf keiner Liste steht, bedeutet nichts. Diese Anzeigen können einen Tag alt sein. Prüfen Sie, ob das Unternehmen zugelassen ist, nicht, ob davor gewarnt wird: So prüfen Sie einen Broker.
2. Sie wurden nicht zufällig ausgewählt. Die Anzeige zielt auf ein bestimmtes Land und Alter, mit dem Prominenten, der für diese Zielgruppe getestet wurde. Dass sie Ihnen vertraut vorkommt, gehört zum Konzept.
3. Eine Anzeige im Marketplace oder in Ihrem Feed hat niemand geprüft, der für die Anlage garantiert.
4. Wenn Sie Ihre Telefonnummer hinterlassen, haben Sie schon getan, was sie wollten. Falls Ihnen das passiert ist, folgen Sie dem Ratgeber für Betrugsopfer.

Grenzen dieser Recherche

• Wir sehen nur die Anzeigen, die wir in 24 Ländern während elf Tagen erfasst haben. Das ist keine Zufallsstichprobe.
• Die Kampagnennamen setzt der Werbetreibende. Sie können Fehler enthalten oder irreführend sein.
• Wir deuten Abkürzungen, die wir nicht immer bestätigen können. So wissen wir zum Beispiel nicht sicher, was „Cat“ bedeutet.
• Ein Link kann über mehrere Zwischenstellen laufen, und wir wissen nicht, wer welche Anzeige gekauft hat.
• Die Sprache eines Tools zu erkennen heißt nicht, eine Person zu erkennen.