Ich bin ein ehemaliger CIA-Offizier für Cyberoperationen und untersuche Bot-Traffic. Deshalb ist es plausibel, dass mehr als 80 % der Twitter-Konten in Wirklichkeit gefälscht sind – und Twitter ist damit nicht allein.

Dan Woods

Inzwischen haben Sie wahrscheinlich von der ins Stocken geratenen Übernahme und dem sich anbahnenden Rechtsstreit zwischen Twitter, einem Unternehmen, das nicht zum Verkauf stand, und Elon Musk gehört, der sein Angebot zur Übernahme des Unternehmens zurückgezogen hat.

Im Mittelpunkt dieses Konflikts steht das Thema Bot-Traffic, mit dem ich mich recht gut auskenne. Seit sechs Jahren leite ich ein Team von Data Scientists, das Interaktionen im Web analysiert, um Bots, die von ihnen angegriffenen Anwendungen und ihre Ziele zu identifizieren.

Im Durchschnitt werden täglich etwa 2 Milliarden Transaktionen über die Bot-Abwehrinfrastruktur von F5 abgewickelt, und wir haben Hunderte von Unternehmen aus praktisch allen Branchen über ihren Bot-Traffic informiert.

Aufgrund dieser Erfahrungen ist der Bot-Traffic bei Twitter mit ziemlicher Sicherheit weitaus höher, als das Unternehmen öffentlich angegeben hat, und sogar höher, als intern angenommen wird. Fairerweise muss man sagen, dass Letzteres wahrscheinlich auf alle Organisationen zutrifft, die von bösartigen oder unerwünschten Bots angegriffen werden, aber keine erstklassige Technologie zu deren Abwehr einsetzen.

Hier sind einige unserer Erkenntnisse über Bots aus den vergangenen Jahren und die Gründe, warum wir so leicht zu diesem Schluss kommen konnten.

Bots versuchen immer, etwas zu erreichen.

Ein Unternehmen, das seinen Kunden die Anmeldung bei Online-Konten ermöglicht, wird feststellen, dass automatisierte Angriffe auf die Anmeldeanwendung erfolgen, um irgendeine Form von Betrug zu begehen. Ein Unternehmen, das online Sonderpreise anbietet, wird feststellen, dass automatisierte Verfahren eingesetzt werden, um Preise, Tarife und Gebühren für den Weiterverkauf auszulesen. Dafür gibt es Dutzende solcher Beispiele.

Im Fall von Twitter besteht ein wesentlicher Anreiz darin, Follower zu gewinnen. Es herrscht die Auffassung, dass die Tweets einer Person umso interessanter sein müssen, je mehr Follower sie hat. Tatsächlich sind Konten mit mehr Followern tendenziell einflussreicher.

Das Ziel, den eigenen Einfluss zu vergrößern, ist der Punkt, an dem dieses Modell bedenklich werden kann. Stellen Sie sich vor, welchen Einfluss Sie ausüben könnten, wenn Sie Millionen von Twitter-Konten automatisiert steuern würden, die mit den echten Konten von Personen des öffentlichen Lebens und Privatpersonen interagieren. Dies dürfte hoch motivierte staatliche Akteure mit praktisch unbegrenzten Ressourcen anziehen.

Wenn es einen Anreiz und die nötigen Mittel gibt, wird es mehr Bots geben.

Auf Twitter gibt es nicht nur einen enormen Anreiz, sondern auch die entsprechenden Mittel. Im Internet gibt es unzählige Dienste (darunter Marktplätze im Darknet und Deep Web), die gegen Bezahlung Twitter-Konten, Follower, Likes und Retweets anbieten.

Zu Forschungszwecken habe ich diese Dienste mit einem von mir erstellten Twitter-Konto ausprobiert. Im Zuge weiterer Tests hat das Konto für weniger als 1.000 US-Dollar inzwischen fast 100.000 Follower. Einmal twitterte ich völligen Unsinn und bezahlte Follower dafür, ihn zu retweeten. Das taten sie. Diese Konten haben Namen wie TY19038461038 und folgen ebenfalls zahlreichen anderen Konten.

Ich fragte mich allmählich, wie einfach es wohl wäre, mithilfe von Automatisierung ein Twitter-Konto zu erstellen. Ich bin kein Programmierer, aber ich informierte mich auf YouTube und Stack Overflow über Automatisierungs-Frameworks. Wie sich herausstellte, ist es ganz einfach.

Um meine Tests auf die nächste Stufe zu heben, schrieb ich an einem Wochenende ein Skript, das automatisch Twitter-Konten erstellt. Mein recht einfaches Skript wurde durch keinerlei Gegenmaßnahmen blockiert. Ich versuchte weder, meine IP-Adresse oder meinen User-Agent zu ändern, noch unternahm ich sonst etwas, um meine Aktivitäten zu verschleiern.

Wenn es für eine Person mit begrenzten Fähigkeiten so einfach ist, kann man sich vorstellen, wie einfach es für eine Organisation aus hochqualifizierten, motivierten Personen sein muss.

Unternehmen unterschätzen häufig das Ausmaß ihres Bot-Problems.

Vor einigen Jahren setzte ein soziales Netzwerk aus den USA die Bot-Abwehr von F5 ein und stellte fest, dass 99 % seines Anmeldeverkehrs automatisiert waren. Ja, Sie haben richtig gelesen: 99 %.

Tatsächlich stellen wir bei vielen Anwendungen fest, dass 80–99 % des Datenverkehrs automatisiert sind. Diese Ergebnisse sind kein Sonderfall, sondern bei vielen Unternehmen üblich, darunter Einzelhändler, Finanzinstitute, Telekommunikationsanbieter und Schnellrestaurants.

Das waren natürlich niederschmetternde Nachrichten für das Unternehmen. Dort wusste man zwar, dass es ein Bot-Problem gab, hatte sich aber nie vorstellen können, dass es so schlimm war. Die Tragweite wurde schnell klar: Nur ein winziger Bruchteil der Kundenkonten gehörte tatsächlich echten Menschen. Hinter dem Rest steckten Bots.

Für soziale Netzwerke spielt die Anzahl der täglich aktiven Nutzer (Daily Active Users, DAU), die nur einen Teil aller Konten ausmachen, bei der Unternehmensbewertung eine wichtige Rolle. Die Offenlegung, dass ihre DAU nur einen Bruchteil der angenommenen Zahl betrug, führte zu einem erheblichen Wertverlust.

Unternehmen, die von Bots profitieren, wollen es nicht immer wissen.

Man könnte argumentieren, dass es für die Aktionäre dieses Unternehmens besser gewesen wäre, wenn das Unternehmen die Wahrheit nie erfahren und stattdessen einfach behauptet hätte, dass sein Bot-Problem weniger als 5 % ausmache.

Dieser Druck betrifft nicht nur soziale Netzwerke, deren Bewertung von der Anzahl der täglich aktiven Nutzer (DAU) abhängt. Er betrifft auch Unternehmen, die stark nachgefragte Produkte mit begrenztem Bestand verkaufen, etwa Konzertkarten, Sneaker, Designerhandtaschen oder das nächste iPhone.

Wenn diese Produkte innerhalb weniger Minuten von Bots aufgekauft werden, nur um anschließend auf dem Sekundärmarkt zu stark überhöhten Preisen weiterverkauft zu werden, verärgert das die Kunden. Das Unternehmen verkauft seinen gesamten Bestand dennoch in kürzester Zeit.

In solchen Fällen möchte ein Unternehmen möglicherweise den Anschein erwecken, alles in seiner Macht Stehende zu tun, um Bots zu stoppen, während es hinter den Kulissen nur sehr wenig unternimmt.

Es geht nicht nur um Twitter – das Bot-Problem betrifft uns alle.

Wenn ich das Ausmaß und die Geschwindigkeit der Automatisierung betrachte, die wir heute erleben, dazu die Raffinesse der Bots, die bestimmte Anreize wahrscheinlich anziehen, sowie den relativen Mangel an Gegenmaßnahmen, den ich bei meinen eigenen Recherchen festgestellt habe, kann ich nur zu einem Schluss kommen: Aller Wahrscheinlichkeit nach sind mehr als 80 % der Twitter-Konten tatsächlich Bots. Das ist natürlich meine persönliche Einschätzung.

Ich bin sicher, dass Twitter wie jedes andere Unternehmen versucht, unerwünschte Automatisierung auf seiner Plattform zu verhindern. Doch wahrscheinlich hat das Unternehmen es mit hochentwickelter Automatisierung durch äußerst motivierte Akteure zu tun. Unter diesen Umständen lässt sich das Bot-Problem nicht im Alleingang lösen. Dafür sind ebenso hochentwickelte Tools erforderlich.

Hier steht jedoch etwas weitaus Wichtigeres auf dem Spiel. Das Bot-Problem wiegt schwerer als Werbeeinnahmen, Aktienkurse oder Unternehmensbewertungen. Wenn wir zulassen, dass dieses Problem fortbesteht, gefährdet das die gesamte Grundlage unserer digitalen Welt.

Wenn man zulässt, dass sich Bots von überall aus ungehindert verbreiten, führt dies zu massivem Betrug, der Schäden in Milliardenhöhe verursacht. Dadurch werden Existenzen zerstört und Staaten sowie skrupellosen Organisationen Werkzeuge an die Hand gegeben, um Falschinformationen zu verbreiten, Konflikte zu schüren und sogar politische Prozesse zu beeinflussen. Das bedeutet mehr Betrug, mehr Falschinformationen und mehr Konflikte, die unsere Fähigkeit beeinträchtigen, weltweit miteinander zu kommunizieren und Beziehungen zueinander aufzubauen.

Wenn wir als Gesellschaft all die Annehmlichkeiten, das Wissen, die Unterhaltung und die anderen Vorteile des Internets und unserer mobilen, vernetzten Welt nutzen wollen, müssen wir etwas gegen den automatisierten Datenverkehr im Internet unternehmen. Bots lassen sich nur mit einer eigenen, hochentwickelten Automatisierung bekämpfen.

Von Dan Woods, Global Head of Intelligence bei F5

Über den Autor

Dan Woods

Weitere Blogbeiträge von Dan Woods