Nutzer mit mehreren Konten erkennen
Empfehlungsboni, Gratis-Pläne und Limits pro Konto belohnen alle, die viele Konten eröffnen. Die Verbindungen zwischen diesen Konten und wie man fair mit einer Gruppe umgeht.
Warum Menschen mehr als ein Konto eröffnen
Mehrfachkonten bedeuten: Eine Person betreibt mehrere Konten bei einem Dienst, der eines pro Person vorsieht. Der Grund ist fast immer, dass es pro Konto etwas gibt:
- Testphasen und Gratis-Pläne — neu anfangen, wenn das Kontingent verbraucht ist.
- Empfehlungs- und Anmeldeboni — sich selbst empfehlen und beide Seiten kassieren.
- Limits pro Konto — Nutzungsgrenzen, ein Gutschein pro Kunde, eine Stimme pro Nutzer.
- Sperren — nach einer Sperre wegen Missbrauchs zurückkommen.
Nicht jedes zweite Konto ist Missbrauch. Manche haben ein berufliches und ein privates Konto, Familien teilen sich einen Laptop. Eine gute Erkennung unterscheidet diese Fälle, statt jede Verknüpfung als Schuld zu werten.
Die Verbindungen zwischen Konten
Jedes Konto wirkt für sich sauber; Mehrfachkonten verrät erst die Verbindung zwischen ihnen. Diese Verknüpfungen lohnt es sich bei der Anmeldung festzuhalten, grob von der stärksten zur schwächsten:
Dasselbe Postfach
Zwei Adressen, die in ein Postfach zustellen — Gmail-Varianten mit Punkt und Plus —, sind die klarste Verbindung überhaupt. Die Normalisierung beschreibt Gmail-Punkte und Plus-Aliase.
Dieselbe Zahlungskarte
Zahlungsanbieter stellen einen Karten-Fingerabdruck bereit, der für dieselbe Kartennummer über Kunden hinweg gleich bleibt (bei Stripe heißt er card.fingerprint). Zwei mit derselben Karte verifizierte Konten gehören sehr wahrscheinlich einer Person.
Dasselbe Gerät
Ein Browser, der ein Konto angelegt hat und jetzt ein weiteres anlegt, ist eine starke Verbindung — es sei denn, das Gerät wird geteilt. Erkennen Sie es mit einem Skript auf der Anmeldeseite statt per IP-Adresse. Cookies allein sind hier schwach, denn sie zu löschen oder ein privates Fenster zu öffnen, ist das Erste, was ein Mehrfachnutzer tut.
Dasselbe Netzwerk
Viele Konten von einer IP oder einem Subnetz in kurzer Zeit sind ein Muster, aber IPs teilen sich Büros, Universitäten und Mobilfunkanbieter. Nutzen Sie das Netzwerk nur als unterstützendes Indiz.
Von Verknüpfungen zu Gruppen
Paarweise Verknüpfungen sind schwer zu nutzen. Fassen Sie sie zusammen: Teilt Konto A ein Gerät mit B und B eine Karte mit C, bilden A, B und C eine Gruppe. Größe und Zusammensetzung der Gruppe sagen viel mehr als jede einzelne Verknüpfung:
| Gruppe | Wahrscheinliche Erklärung | Sinnvolle Maßnahme |
|---|---|---|
| 2 Konten, gleiches Gerät, verschiedene Postfächer und Karten | Geteilter Computer oder eine Person mit Arbeits- und Privatkonto | Zulassen; eventuell keine zweite Testphase |
| 3–5 Konten, Varianten desselben Postfachs | Eine Person, die die Testphase neu startet | Prüfen: Karte verlangen oder Anmeldung vorschlagen |
| 10+ Konten, gleiches Gerät oder Subnetz, Wegwerf-Postfächer | Skriptgesteuerte Farm | Neue Anmeldungen aus der Gruppe blockieren |
Eine Union-Find-Struktur oder eine einfache Spalte „Gruppen-ID“, die Sie bei jeder neuen Verknüpfung zusammenführen, reicht, um Gruppen in Anmeldegeschwindigkeit aktuell zu halten.
Fair mit einer Gruppe umgehen
- Setzen Sie beim Anreiz an. Geht es um Testphasen-Missbrauch, heißt die Maßnahme „keine zweite Testphase“, nicht „kein Konto“.
- Lassen Sie einen Ausweg. Verlangen Sie eine Karte oder Telefonnummer oder bieten Sie den bezahlten Plan an. Lassen Sie keinen echten Menschen in einer Sackgasse, nur weil seine Schwester denselben Laptop benutzt hat.
- Bewahren Sie Belege auf, nicht nur ein Urteil. Speichern Sie, welche Verknüpfungen die Konten verbunden haben, damit der Support eine Entscheidung erklären und rückgängig machen kann.
- Halten Sie Aufbewahrungsfristen ein. Geräte- und Netzwerkdaten sind in vielen Rechtsordnungen personenbezogene Daten (etwa nach der DSGVO); speichern Sie sie nur so lange wie für diesen Zweck nötig und nennen Sie das in Ihrer Datenschutzerklärung.
Erst messen, dann durchsetzen
Lassen Sie die Erkennung zunächst still mitlaufen. Sehen Sie sich nach etwa zwei Wochen die größten Gruppen und eine Stichprobe der Zweiergruppen an. Die großen zeigen, wie viel Missbrauch es gibt; die kleinen, wie viele ehrliche Nutzer jede Regel treffen würde. Legen Sie die Schwellen danach fest.
So macht es Attrelix
Jede Attrelix-Prüfung verknüpft die neue Anmeldung mit früheren Konten Ihres Projekts über normalisiertes Postfach, Gerät und — wenn Sie ihn mitsenden — Karten-Fingerabdruck. Die Antwort enthält die Zahl der verknüpften Konten und eine Gruppen-ID, das Dashboard fasst sie auf einer Cluster-Seite zusammen, und Verknüpfungen addieren Risikopunkte in Stufen: Ein, drei und zehn verknüpfte Konten wiegen zunehmend schwerer. Der Verlauf wird für die Laufzeit Ihres Plans aufbewahrt.
Zusammenfassung
- Mehrfachkonten folgen Anreizen pro Konto; finden Sie diese zuerst.
- Halten Sie Verknüpfungen fest: Postfach, Karte, Gerät, Netzwerk — stärkste zuerst.
- Fassen Sie Verknüpfungen zu Gruppen zusammen und handeln Sie nach deren Größe und Form.
- Passen Sie die Maßnahme an den Anreiz an und lassen Sie immer einen Ausweg.