Fake-Accounts und Registrierungsbetrug: was sie sind, was sie kosten

Was ist ein Fake-Account?

Ein Konto, das ein Programm auf dem Registrierungsformular einer Website anlegt, oft in Serie.

Man spricht auch von betrügerischen Konten, von Massenregistrierungen, von Fake-Anmeldungen oder von Registrierungsbetrug. Diese Seite spricht von Fake-Accounts, die Programme anlegen: Diese kann ein Bot-Schutz ablehnen.

Siehe: Glossar: Fake-Account

Warum legen Programme Fake-Accounts an?

Ein Registrierungsformular, das allen offensteht, steht auch Programmen offen. Ein Konto öffnet, was ein anonymer Besucher nicht hat:

• Spam von innerhalb der Website senden: Nachrichten, Kommentare, Profile;
• ein Angebot für neue Konten mehrmals nutzen: Gratis-Testphase, Willkommensguthaben, Empfehlungsprogramm;
• verfälschen, was die Website zählt: Registrierte, Stimmen, Bewertungen;
• weiteren Missbrauch vorbereiten, sobald das Konto eröffnet ist.

Was kosten Fake-Accounts?

• Zeit, um sie zu finden, zu sortieren und zu schliessen;
• verfälschte Zahlen: Registrierte, aktive Konten, Konversionen;
• Willkommensangebote, verbraucht von Konten, die nie genutzt werden;
• unerwünschte Nachrichten an Ihre echten Nutzer.

Es ist einfacher, einen Fake-Account bei der Registrierung abzulehnen, als ihn nachträglich zu entfernen. Antisy nennt keine Kostenzahl: Es hat keine Quelle dafür.

Woran erkennt man eine automatisierte Registrierung?

Einige Anzeichen sieht Ihre Website selbst: Registrierungen in schneller Folge, E-Mail-Adressen, die nie bestätigt werden, Konten, die eröffnet und nie genutzt werden.

Antisy betrachtet die Übermittlung selbst. Im Browser werden vom Script gemessen: die vom Browser angegebenen Fähigkeiten, die Sprachen und die Zeitzone des Browsers, die Grafikdarstellung und der Fingerabdruck des Geräts, Hinweise auf Automatisierung, das Verhalten der JavaScript-Engine und der Ablauf der Interaktion. Vom Server von Antisy gelesen werden: die Reihenfolge der HTTP-Header, die IP-Adresse, der User-Agent und der Kontext der Anfrage. Bei einer Registrierung bewahrt Antisy zudem die Kontokennung auf, die Ihre Website übermittelt, verschlüsselt und gehasht.

Antisy veröffentlicht die Regeln seines Ergebnisses nicht: Jede veröffentlichte Regel würde demjenigen, der die Prüfung umgehen will, verraten, was ihn aufhält.

Siehe: Startseite: was das Script misst, und wie lange · Häufige Fragen: warum die Antwort den Grund einer Ablehnung nicht nennt

Was Antisy gegen Fake-Accounts tut

Antisy prüft, ob jede Registrierung von einem Browser stammt und nicht von einem Programm, vor der Erstellung des Kontos, ohne Rätsel für die Person, die sich registriert. Ihr Server erhält ein Ergebnis, allow oder deny, und entscheidet: das Konto anlegen oder ablehnen, ohne zu sagen, warum.

Ein ungültiges, gefälschtes, wiederverwendetes oder abgelaufenes Token wird in jedem Modus abgelehnt. Ein Token wird nur einmal geprüft: Das Token einer angenommenen Registrierung dient nicht dazu, eine zweite anzulegen.

Die Schritte der Einbindung, und der Aufruf, der das Token an das Konto bindet, stehen auf der Seite des Anwendungsfalls.

Siehe: Anwendungsfall: eine Registrierung vor Fake-Accounts schützen · Dokumentation: was nie durchkommt

Was Antisy nicht tut

• Es erkennt keinen von Hand eröffneten Fake-Account: Eine Person, die sich unter falscher Identität registriert, sendet von einem echten Browser.
• Es prüft weder die E-Mail-Adresse noch die Identität der Person: Die Bestätigung der Adresse bleibt Sache Ihrer Website.
• Es schliesst keine bereits angelegten Fake-Accounts: Es wirkt bei der Registrierung, vor der Erstellung des Kontos.
• Antisy ist kein Werkzeug gegen Betrug bei Zahlungen.

Kein Bot-Schutz ist perfekt, und Antisy nennt keine Erkennungsrate. Er kommt zu den anderen Schutzmassnahmen einer Registrierung hinzu, etwa der Bestätigung der E-Mail-Adresse; er ersetzt sie nicht.

Wie weit ist Antisy?

Der Schutz eines Logins oder einer Registrierung läuft über ein Node-Server-Kit (Express, Fastify, Next.js), das auf npm veröffentlicht werden wird; es ist noch nicht veröffentlicht.

Der Zugang erfolgt über eine Warteliste. Die API und das Dashboard sind seit dem 27. Oktober 2026 in Betrieb, gehostet bei Infomaniak in Genf; noch ist kein Kunde in Produktion. Ein Pilot ist geplant; er hat noch nicht begonnen.

Siehe: Der Pilot · Der Warteliste beitreten

Häufige Fragen