Affiliate-Abzocke und Adressen-Absaugen: So funktioniert der neue SMS Spam

1. Wir zeigen, wie es funktioniert und wer die Strippenzieher sind
2. Die Abo-Falle wartet
3. Dient SMS-Spam der Adressgenerierung für namhafte Verlage?

Wir zeigen, wie es funktioniert und wer die Strippenzieher sind

„Lieber Mobilfunkkunde, Sie wurden unter 500 Personen gezogen! Nutzen Sie Ihre 12h Gratis Chance auf Ihr iPhone6!“ So oder so ähnlich lauten die Texte von Spam-SMS, die in den vergangenen Monaten offenbar immer mehr Handy-Besitzer erhalten haben. Die Nachricht enthält immer einen Link; meist zum URL-Verkürzer bit.ly. Eine Suche bei Google und Twitter nach Begriffen wie „bitly sms spam“ legt die Vermutung nahe, dass solche SMS in großem Stil verschickt werden. Wer aber steht hinter den Nachrichten, wie machen die Versender Geld und wie erfolgreich sind sie dabei? Wir haben versucht, es herauszufinden.anein Thema gewesen ist, ist dieses Problem in den vergangenen Jahren größtenteils aus der öffentlichen Wahrnehmung verschwunden. In den vergangenen 24 Monaten hat sich dies jedoch offenbar geändert. Weil sich internetfähige Smartphones mittlerweile nahezu flächendeckend durchgesetzt haben, ist ein bruchloser Übergang von der SMS ins Web möglich – und damit ist dieser Kanal für halbseidene Praktiken offenbar wieder interessanter geworden. Dem Vernehmen nach werden Telefonnummerlisten in der Adressbranche unter der Hand gehandelt. Wer seine Nummer von Apps zwielichtiger Herkunft auslesen lässt oder an der falschen Stelle auf Formularen oder im Web hinterlassen hat, riskiert, dass diese in die Fänge der Händler gerät. Auch die Nutzung der Messenger-App WhatsApp birgt das Risiko, dass Unbefugte an die eigene Nummer gelangen. So soll über eine offene Schnittstelle von WhatsApp mittels Software für jeden anderen auslesbar sein, ob der Inhaber einer bestimmten Mobilfunknummer online ist. Auf diese Weise könnten Spammer Mobilfunknummern verifizieren. Sie müssen dafür lediglich automatisiert eine Liste möglicher Mobilfunknummern erstellen, wobei sie von den vielen möglichen Kombinationen einige – etwa Nummern mit sieben gleichen Ziffern – bereits ausschliessen können. Mittels der Web-Anwendung WhatsSpy Public können sie an alle Nummern aus dieser Liste ein „Request“ schicken, um so zu prüfen, ob die Nummer in Verwendung ist.* Wer schließlich über eine solche Liste an verifizierten Nummern verfügt, kann mit einem so genannten Bulk SMS Tool SMS in großer Menge und preisgünstig (teilweise für weniger als 1 Cent pro Nachricht) versenden.

Die Abo-Falle wartet

Häufig sind es offenbar Affiliates, die versuchen mit dieser Methode Geld zu verdienen. Bei hochprovisionierten Affiliate-Programmen (wie beim Abonnement-Verkauf) scheint sich das zu lohnen. Gut funktioniert dabei offenbar die Masche, vermeintliche Flirt-SMS zu versenden: „Hiho, habe Deine Nr. von Alex. Wenn Dir meine Bilder auf http://bit.ly/M-Google-Date gefallen, melde Dich doch mal! Kussi A.“ – so kann der Text einer solchen Nachricht lauten. Dieser bit.ly-Link sowie jene aus ähnlichen Nachrichten führen zunächst auf die Seite BensBumsBlog.com (die Domain ist bei einem Anbieter registriert, der die Identität des Inhabers verschleiert). Die dort offenbar einst eingerichtete Weiterleitung funktioniert heute nicht mehr – wie die Seite „Mimikama“ anhand anderer SMS desselben Spammers dokumentiert hat, führten diese Links zum Zeitpunkt des SMS-Versandes auf eine Dating-Seite, auf der die Besucher einen „Test-Zugang“ zum Preis von einem Euro kaufen konnten – eine Abofalle. Willigten die Nutzer der Abbuchung ein, wurden gleich 90 Euro abgebucht. Hinter dem Portal steht das Berliner Unternehmen Ideo Labs, über dessen zweifelhafte Geschäftspraktiken man sich mit einer kurzen Google-Suche informieren kann.

Weil der SMS-Text den Anschein erweckt, dass die Nachricht von der Freundin eines gemeinsamen Bekannten des Empfängers stammt, verzeichnen diese Nachrichten offenbar hohe Klickraten. So wurde https://bitly.com/M-Google-Date – wie die Bitly-Statistiken zeigen – mehr als 171.000 Mal, ein weiterer Link vom vermutlich selben Spammer 125.000 Mal geklickt. Eine fiktive Beispielrechnung anhand dieser Zahlen zeigt, dass diese Spam-Methode durchaus lukrativ sein kann. Schätzt man, dass eine SMS 500.000 Mal verschickt wurde, resultieren daraus bei 1 Cent pro SMS 5.000 Euro Versandkosten. In Affiliate-Programmen, in denen das verkaufte Produkt beim Merchant wenig Kosten verursacht (wie ein schnell und kostengünstig aufgesetztes Dating-Portal), die Bewerbung aber (auch wegen der niedrigen Conversion Rate) hohes Risiko birgt, werden nicht selten hohe Provisionen gezahlt. Geht man bei einem „Ticket“ von 90 Euro von einer Provision von 30 Euro pro abgeschlossenem Abo aus, erhält der Affiliate, wenn von 171.000 Klicks nur 0,5 Prozent konvertieren, 18.750 Euro Provision – das entspräche fast 14.000 Euro Gewinn.

Dient SMS-Spam der Adressgenerierung für namhafte Verlage?

Ein anderes Geschäftsmodell ist es, mittels Spam-SMS Adressen einzusammeln und diese an Verlage oder andere Direktvertriebsunternehmen zu verkaufen. Wer beispielsweise den Link aus der eingangs zitierten SMS von einem Mobiltelefon aus (auf dem Desktop landet man in einer Sackgasse) anklickt, wird über die Seite eines Schweizer „Lead Generierungs“-Unternehmens namens one2one auf eine Seite namens „Myquizplanet“ umgeleitet und dort aufgefordert, seinen Namen und seine Adresse zu hinterlassen. Was mit den Daten geschieht? Unter dem Menüpunkt „Sponsoren“ sind bei Myquizplanet alle großen Adressfirmen wie Schober und AZ Direct ebenso aufgeführt wie namhaften Verlage wie Bauer und Burda sowie der Abo-Sender Sky – für alle von ihnen dürften die so generierten Adressen äußerst interessant sein.

Betreiber von Myquizplanet ist laut Impressum die Firma United Customer GmbH mit Sitz im Schweizerischen Glarus. An derselben Adresse sitzt laut einem Handelsregistereintrag das Unternehmen United Customer Service, bei dem ein Oliver W. aus Hamburg als Gesellschafter agiert. W. ist ebenfalls als Geschäftsführer bei dem Hamburger Unternehmen M. eingetragen, offenbar Teil einer Unternehmensgruppe, die auf ihrer Website „maximalen Erfolg im Dialogmarketing“ verspricht und dort eine lange Referenzliste mit vielen namhaften Verlagen aufführt. Auch das Schweizer Unternehmen one2one, über dessen Website die von uns untersuchte SMS-Spam-Kampagne gesteuert und getrackt wurde, weist Verbindungen zu M. auf: Als „Präsident“ des Unternehmens ist ein Deutscher namens Andreas M. eingetragen – ein Andreas M. befindet sich ebenfalls im Vorstand, die den gleichen Namen wie besagte Unternehmensgruppe trägt. Zudem ist die Domain one2one-online.ch auf Goran Kovacevic aus Wien registriert. Ein Goran Kovacevic ist bei Xing als Geschäftsführer der mittlerweile in Liquidation befindlichen Veseco GmbH geführt, die offenbar ebenfalls mit M. in Verbindung stand.

Eine Suche mit Google oder bei Twitter zeigt, dass offenbar massenhaft solche Spam-Kampagnen via SMS verschickt werden – auch von anderen Hintermännern. Offenbar setzt ein ganzes Firmengewirr auf die illegale Praxis. Foreneinträge beispielsweise weisen auf ein Unternehmen namens Telemark im bosnischen Ilidze hin. Trotzdem werden ein Großteil der Kampagnen von deutschen Mobilnummern verschickt. Wegen der in den Nachrichten verwendeten Anrede „Lieber Mobilfunkkunde“ gehen offenbar viele Empfänger davon aus, dass die SMS von ihrem Netzbetreiber stammt.

Auch solche Adressgenerierungs-SMS verzeichnen deswegen teilweise hohe Klickraten – unser Beispiel wurde bislang mehr als 98.000 Mal angeklickt. Die Conversion Rate (also der Prozentsatz jener Nutzer, die ihre Daten hinterlässt) dürfte in diesem Fall wegen des angeblich lockenden Gewinns deutlich höher liegen als beim Kauf eines „Test-Zugangs“. Selbst, wenn die Adressen günstig verkauft werden – geht man davon aus, dass die Sammler sie an mehrere Unternehmen verkaufen, dürfte auch diese Praxis äußerst lukrativ sein.

Smartphone-Nutzer dürfte auch in Zukunft nur eins helfen: stets vorsichtig zu sein bei der Herausgabe der eigenen Nummer.

*UPDATE, 10. September 12:55 Uhr: Wir haben den Artikel um Informationen über die Möglichkeit, mittels WhatsApp Mobilfunknummern zu verifizieren, ergänzt. Vielen Dank an Christoph Janke für den Hinweis auf WhatsSpy Public!