Bei CrowdHandler haben wir ausgefeilte Abwehrmaßnahmen gegen Bots entwickelt: Anomalieerkennung, IP-Filterung, CAPTCHAs und Verhaltensanalyse. Doch je intensiver wir gegen Bots vorgehen, desto deutlicher wird eines: Es gibt kein Patentrezept.
Eigentlich sind „Bots“ nicht die Ursache des Problems. Es klingt zwar offensichtlich, aber hinter jedem Missbrauch des Ticketverkaufssystems steht ein Mensch. Genauer gesagt: ein Netzwerk von Menschen, die auf komplexe Weise zusammenarbeiten.
Eine lustige Frage, die meine Denkweise verändert hat
Ich habe gemeinsam mit einem Berater einer großen Sicherheitsfirma die Bot-Aktivitäten analysiert. Wir haben uns Protokolle automatisierter Vorgänge angesehen, beispielsweise von Nutzern, die die Verfügbarkeit prüfen, Layouts auslesen oder Sicherheitssysteme ausloten.
Die Bots wiesen ein Verhaltensmuster auf, das nicht wirklich Sinn ergab, also fragte mich der Berater:
„Was glaubst du, was sie wollen?“
Das war ein guter Einwand, denn die Bots, die wir analysierten, versuchten gar nicht erst, Tickets zu kaufen. Sie sammelten lediglich Daten. Das machte uns wieder bewusst, dass Bots Teil eines viel größeren Ganzen sind.
Bots sind keine „Script-Kiddies“, aber sie sind auch keine KI-Genies.
Es gibt ein weit verbreitetes Vorurteil: Ticket-Bots sind entweder primitive Amateur-Skripte oder hochentwickelte KI, die jede Abwehr überwinden kann.
Die Wahrheit? Weder das eine noch das andere.
Was wir in der Praxis beobachten, ist ein weitaus differenzierteres – und menschlicheres – Ökosystem. Was wie ein einzelner Bot aussieht, ist oft ein koordiniertes Geflecht aus Tools und Taktiken: Scraper, Seat-Mapper, Proxy-Rotatoren, Account-Farmen und Preisberechnungs-Engines.
Willkommen im Ökosystem
Zu den Aufgaben eines Ticketing-Bots können gehören:
- Scraper für Preis- und Verfügbarkeitsdaten
- Sitzplan-Explorer zur Wertermittlung
- Privathaushalts-Proxys zur Vermeidung der Erkennung
- Captcha-Löser (menschlich und KI-gestützt)
- Cook-Gruppen zum Austausch von Informationen und Skripten
- Kontoersteller für Skalierung
- Bots, die mehrere Browser nutzen und über eindeutige IP-Adressen, Kreditkarten und Lieferadressen verfügen
- Bots für den Weiterverkauf, um gesicherte Tickets sofort einzustellen
Selbst Veranstaltungen mit geringer Nachfrage bleiben davon nicht verschont. Einer unserer regionalen Kunden in Amerika, der klassische Konzerte veranstaltet, verzeichnet nach wie vor anhaltenden Bot-Traffic. Warum? Weil seine Daten in Ticket-Aggregatoren einfließen. Websites von Schwarzhändlern listen alles auf. Selbst wenn sie das Ticket noch nicht gekauft haben, können sie es beschaffen, sobald jemand auf „Kaufen“ klickt.
Proxys für Privathaushalte
Im vergangenen Sommer kam es zu einer bedeutenden Wende durch die weitverbreitete Nutzung von Residential-Proxys.
Anstatt von IP-Adressen von Rechenzentren zu stammen, wird der Bot-Verkehr über echte ISP-Adressen von Endnutzern geleitet. 30 bis 100 Millionen davon können gemietet werden, und sie sind von echten Fans nicht zu unterscheiden.
Heute stammt jede vierte schädliche Bot-Anfrage von privaten Internetdienstanbietern.
Wenn wir diese blockieren, laufen wir Gefahr, echte Nutzer auszuschließen – Fans, die unwissentlich dieselben Netzwerke nutzen. Das ist ein Balanceakt mit hohem Risiko.
Die soziale Seite des Scalping: Cook-Gruppen
„Kochergruppen“ bilden den Kern der Menschheitsgeschichte.
Dabei handelt es sich um geschlossene Communities, in denen Scalper Geheimnisse austauschen, Warnmeldungen veröffentlichen, „Erfolgs-Screenshots“ teilen und Schulungen verkaufen. Sie sind häufig auf Discord oder in privaten Foren aktiv.
Es ist nicht unbedingt Geld, das die Mitglieder motiviert. Es gibt auch soziale Werte – Anerkennung, das „Recht, damit anzugeben“ und Status. Bots sind zwar Werkzeuge, aber das eigentliche Spiel dahinter ist menschlich: Es geht um Wettbewerb, Gemeinschaft und Identität.
Wie bei allen Online-Pyramidensystemen verdienen die an der Spitze stehenden Personen ihr Geld mit dem Verkauf von Tools, nicht mit dem Verkauf von Tickets. Die meisten Teilnehmer – die „Trottel“ ganz unten – versuchen lediglich, dazuzugehören.
Eine rechtliche Grauzone
In den USA und Großbritannien ist der Einsatz von Bots zum Kauf von Eintrittskarten illegal. Aber der Verkauf der Software? Nicht unbedingt.
Diese Gesetzeslücke hat einen florierenden Markt für Tools, Dienste und Anleitungen entstehen lassen. Viele der Personen, die Ihre Website überlasten, sind keine professionellen Wiederverkäufer. Es handelt sich um Hobbyisten, die in einigen Browser-Tabs abonnementbasierte Tools nutzen, die sie auf Telegram oder Reddit gefunden haben.
Gleiche Tricks, andere Branche
Der Ticketverkauf ist nicht das einzige Ziel. Der Einsatz von Bots ist in den Bereichen Sneaker, Gaming und Elektronik weit verbreitet. Und die Methoden überschneiden sich oft.
Ich habe einmal einem Mode-Manager dazu gratuliert, dass er es geschafft hatte, Bots bei einem großen Sneaker-Drop zu umgehen – nur um dann zu erfahren, dass sie selbst Bots eingesetzt hatten, um sich mit Produkten anderer Marken einzudecken. Das ist mittlerweile zur Normalität geworden.
Wie ein Bot eigentlich aussieht
Die heutigen kommerziellen Bots bieten ansprechende Benutzeroberflächen, Dashboards und Konfigurationstools. Nutzer können:
- Wählen Sie eine Veranstaltung aus
- Wählen Sie Menge, Preis und Zeitpunkt aus
- Lade deine Proxy-Liste
- Hunderte von Browser-Instanzen starten
Jeder Browser-Tab kann eine andere Kreditkarte, Adresse und IP-Adresse haben. Es ist ein Zahlenspiel. Mehr Versuche = mehr Gewinne. Die Warteschlange für den Ticketverkauf ist mittlerweile eine Lotterie, und die Bots kaufen jedes Ticket, das sie bekommen können.
Sie sollen dafür bezahlen, mitspielen zu dürfen
Es ist ein Wettlauf um die höchsten Ausgaben. Bedenken Sie Folgendes:
- Proxys für Privathaushalte sind teurer als IP-Adressen aus Rechenzentren
- Der Betrieb von echten Browsern ist teurer als der von Headless-Browsern
- CAPTCHA-Lösungsdienste (KI oder menschlich) berechnen eine Gebühr pro Aufgabe
Ihr Ziel ist nicht Perfektion. Es geht darum, den Schwarzhändlern das Leben schwerer zu machen. Viele von ihnen haben ohnehin schon knappe Gewinnspannen. Außerdem leben viele von ihnen in der Angst, „auf die Nase zu fallen“ (d. h., die von ihnen ergatterten Tickets nicht weiterverkaufen zu können). Zwingen Sie sie dazu, mehr Geld auszugeben, und viele werden aufgeben und sich einfacheren Websites zuwenden.
Was funktioniert und was nicht.
Folgendes funktioniert nicht:
- Sich ausschließlich auf IP-Blöcke verlassen
- Statische Herausforderungen, die Bots lernen können
- Schwacher API-Schutz
- Keine Durchführung von Nachkaufprüfungen
- Die Unterschätzung menschlicher Absprachen
Das könnte funktionieren:
- CAPTCHAs gleich zu Beginn des Prozesses einbinden
- Identifizierung von Browsersitzungen und Verfolgung von Übergaben
- Durchsetzung der Richtlinie „Ein Kauf pro IP-Adresse“
- Prüfung verdächtiger Bestellungen
- Blockieren von Webcrawlern vor dem Verkaufsstart
- Überwachung auf Anomalien im Sitzungsverhalten
Die „Bär“-Theorie zur Bot-Abwehr
Es gibt einen alten Witz:
Du musst nicht schneller laufen als der Bär – nur schneller als der Typ neben dir.
Das Gleiche gilt für Bots.
Man kann nicht unbesiegbar sein. Aber wenn es schwieriger ist, deine Website auszunutzen als die deiner Konkurrenten, werden die Bots ihr Augenmerk woanders hin richten. Allein das kann echten Fans Tausende von Tickets sichern.
Keine Wundermittel – aber es gibt Hoffnung
Auch wenn es keine einheitliche Lösung gibt, gibt es doch bestimmte Maßnahmen, die Sie ergreifen können:
- Realistische Erwartungen mit den Beteiligten vereinbaren
- Bauen Sie Ihre Abwehrmaßnahmen mehrschichtig auf
- Aktualisieren Sie Ihr Playbook regelmäßig
- Konzentriere dich darauf, es schwieriger zu machen, aber nicht unmöglich, die Lücke auszunutzen
- Feiere Erfolge, auch wenn sie noch so klein sind
Bots sind Werkzeuge des Menschen. Um sie zu besiegen, müssen wir die menschlichen Beweggründe verstehen, die dahinter stehen.
Bei CrowdHandler haben wir es uns zur Aufgabe gemacht, Fachleuten aus der Ticketbranche dabei zu helfen, gleiche Wettbewerbsbedingungen zu schaffen. Indem wir die Spielregeln verstehen, können wir sie verändern.
Melden Sie sich noch heute für eine kostenlose Testversion an.