Ratgeber

Testphasen-Missbrauch verhindern, ohne echte Nutzer zu blockieren

Warum Menschen Ihre kostenlose Testphase mit neuen Konten neu starten, welche Signale diese Konten verbinden und ein Entscheidungsablauf, der wiederholte Testphasen stoppt, während ehrliche Nutzer ohne Karte testen.

8 Min. Lesezeit · Aktualisiert am 2026-10-31 · Attrelix

Wie Testphasen-Missbrauch wirklich aussieht

Testphasen-Missbrauch heißt: Eine Person startet Ihre kostenlose Testphase immer wieder mit neuen Konten, um nie zahlen zu müssen. Nach einem Angriff sieht das selten aus. Es gibt keine Traffic-Welle und keine gestohlene Karte. Sie sehen einen stetigen Strom von Konten, die einzeln betrachtet völlig normal wirken:

• Ein neues Wegwerf-Postfach. Eine temporäre Adresse von einer der zehntausenden Wegwerf-Domains, einmal zur Bestätigung genutzt und nie wieder.
• Dieselbe Gmail-Adresse, anders geschrieben. jane.doe@gmail.com, janedoe+2@gmail.com und j.a.n.e.doe@gmail.com landen alle im selben Postfach.
• Derselbe Laptop und dieselbe Internetverbindung zu Hause. Browser, Bildschirm, Schriftarten und IP-Adresse gleichen einem Konto, das vor einem Monat angelegt wurde.

Alle diese Konten bestehen die E-Mail-Bestätigung, ein einfaches „Bitte bestätigen Sie Ihre E-Mail“ bringt also nichts. Die Frage bei der Anmeldung lautet nicht „Ist diese E-Mail echt?“, sondern „Haben wir diese Person schon einmal gesehen?“.

Warum die üblichen Lösungen mehr schaden als nützen

Für jede Testphase eine Kreditkarte verlangen

Eine Kartenpflicht stoppt die meisten wiederholten Testphasen, aber auch einen großen Teil der ehrlichen Besucher, die das Produkt erst einmal ausprobieren wollen. Sie tauschen ein Missbrauchsproblem gegen ein Conversion-Problem. Außerdem lassen sich Karten für mehrere Konten nutzen; eine Karte allein beweist also auch keine neue Person.

Nur nach E-Mail-Domain sperren

Eine Sperrliste für Wegwerf-Domains erwischt die bequemsten Missbraucher. Gmail-Aliase übersieht sie komplett, und eine in den Code kopierte Liste veraltet schnell, weil ständig neue Wegwerf-Domains auftauchen. Mehr dazu in Wegwerf-E-Mail-Adressen bei der Anmeldung blockieren.

Nach IP-Adresse sperren

IP-Sperren sind das gröbste Werkzeug. Ganze Büros, Universitäten und Mobilfunknetze teilen sich Adressen, und ein entschlossener Missbraucher wechselt das Netz in Sekunden. Die IP ist ein nützliches Signal in einem Score, aber kein Grund, allein deshalb abzulehnen.

Die Signale, die ein neues Konto mit einem alten verbinden

Statt einer harten Regel betrachten Sie mehrere schwache Signale und addieren sie. Keines sollte allein entscheiden, zusammen machen sie wiederholte Testphasen aber offensichtlich.

Das Muster ist eindeutig: Signale mit geringem Fehlerrisiko dürfen viel Gewicht haben, solche, die auch ehrliche Nutzer treffen, sollten den Score nur leicht erhöhen.

Ein Entscheidungsablauf, der ehrliche Nutzer zufrieden lässt

Die wirksamsten Setups, die wir sehen, blockieren wenig. Sie geben fast allen eine Testphase ohne Karte und erhöhen die Hürde nur bei hohem Score:

1. Bewerten Sie die Anmeldung auf dem Server, nachdem das Formular abgeschickt wurde und bevor die Testphase beginnt.
2. Zulassen (niedriger Score): normale Testphase starten. Das sollte die große Mehrheit sein.
3. Prüfen (mittlerer Score): Testphase starten, aber etwas verlangen, das einen Missbraucher mehr kostet als einen echten Nutzer — eine Karte, eine Telefonnummer oder ein kleineres Kontingent bis zur Verifizierung.
4. Blockieren (hoher Score): keine Testphase. Bieten Sie den bezahlten Plan oder einen Kontaktlink an statt einer Sackgasse, denn Scores sind Wahrscheinlichkeiten, keine Beweise.

Faustregel: Wer sich den Laptop mit der Schwester teilt, darf nie allein deshalb blockiert werden. Kombinieren Sie Signale für geteilte Geräte nur mit etwas Stärkerem, etwa einem übereinstimmenden Postfach.

So binden Sie es in Ihre Anmeldung ein

Sie brauchen zwei Dinge: etwas auf der Anmeldeseite, das den Browser wiedererkennt, und eine serverseitige Prüfung, bevor Sie die Testphase freigeben. Mit Attrelix sind das ein Script-Tag und ein API-Aufruf:

<!-- Anmeldeseite -->
<script src="https://attrelix.com/v1.js" data-key="pk_live_…" async></script>

# Server, vor dem Start der Testphase (Python)
r = requests.post("https://attrelix.com/v1/check", timeout=3,
    headers={"Authorization": f"Bearer {SECRET}"},
    json={"email": email, "ip": ip, "visitor": form["attrelix_visitor"]})
decision = r.json().get("decision", "allow") if r.ok else "allow"

if decision == "allow":
    start_trial(user)
elif decision == "review":
    start_trial(user, require_card=True)
else:
    offer_paid_plan(user)

Beachten Sie den Fallback: Läuft die Prüfung in ein Timeout, wird der Nutzer zugelassen. Eine Betrugsprüfung darf nie der Grund sein, warum Ihre Anmeldung ausfällt.

Erst messen, dann verschärfen

Starten Sie im reinen Beobachtungsmodus: Zeichnen Sie die Entscheidung ein bis zwei Wochen lang auf, ohne zu handeln, und sehen Sie sich dann die Konten an, die in die Prüfung gegangen wären. Sind es überwiegend wiederholte Testphasen, schalten Sie die Konsequenz ein. Finden Sie dort ehrliche Nutzer, erhöhen Sie die Schwelle oder senken Sie das Gewicht des verantwortlichen Signals. Justieren Sie mit Ihren eigenen Daten, nicht mit fremden Standardwerten.

Zusammenfassung

• Wiederholte Testphasen wirken Konto für Konto sauber. Suchen Sie nach Verbindungen zu früheren Konten.
• Normalisieren Sie E-Mail-Adressen, prüfen Sie Wegwerf-Domains und erkennen Sie das Gerät wieder.
• Addieren Sie Signale zu einem Score; nur starke Signale entscheiden allein.
• Erhöhen Sie bei „Prüfen“ die Hürde statt zu blockieren, und lassen Sie im Fehlerfall durch.