Cookie-Stuffing

Definition: Cookie-Stuffing (auch: Cookie-Dropping) ist die schwerwiegendste Betrugsform im Affiliate Marketing: ein betrügerischer Publisher setzt automatisch Affiliate-Tracking-Cookies von einem oder mehreren Merchants im Browser von Website-Besuchern ohne deren Wissen und ohne dass ein echtes Affiliate-Link-Klick-Ereignis stattgefunden hat. Technische Methoden: unsichtbare iFrames (hidden iFrames mit Affiliate-Redirect-URL die beim Seitenaufruf geladen werden), 1×1-Pixel-Bilder auf Affiliate-Netzwerk-URLs, JavaScript-Snippets die automatisch Affiliate-Tracking-Requests ausführen. Ergebnis: Kauft der betroffene Nutzer später beim Merchant (aus eigenem Antrieb, durch eigene Suche), erhält der Cookie-Stuffer die Provision ohne jegliche Vermittlungsleistung. Rechtliche Einordnung: Cookie-Stuffing ist Computerbetrug (§263a StGB), Datenschutzverletzung (DSGVO – unerlaubte Verarbeitung personenbezogener Daten durch Cookie-Setzen ohne Einwilligung) und schwere Verletzung aller Affiliate-Programm-AGB.

Erläuterung

Cookie-Stuffing unterscheidet sich von anderen Affiliate-Fraud-Formen dadurch dass es vollständig ohne echten Nutzerbeitrag funktioniert. Während Click Fraud zumindest simulierte Klicks erfordert, werden beim Cookie-Stuffing Cookies gesetzt ohne dass der Nutzer auf irgendetwas geklickt hat. Der Merchant zahlt Provision für Conversions die er ohne den Fraudster genauso oder besser (durch Direct Traffic) erhalten hätte.

Technische Methoden im Detail

Hidden iFrame: Häufigste Methode; betrügerische Seite lädt unsichtbares iFrame (width=0, height=0 oder display:none); iFrame-URL: Affiliate-Redirect-URL von Merchant (z.B. awin1.com/cread.php?awinmid=X&awinaffid=FRAUDSTER&p=); Browser lädt iFrame → Netzwerk-Server sieht Request → Tracking-Cookie wird gesetzt; Nutzer merkt nichts; funktioniert bei aktivem Third-Party-Cookie-Tracking
Bild-Tag (Pixel-Stuffing): 1×1 Pixel Bild-Tag mit src= auf Affiliate-Tracking-URL; technisch ähnlich wie iFrame; funktioniert als GET-Request; setzt Cookie wenn Tracking-URL Cookie-Set-Mechanismus hat; einfacher zu implementieren aber auch einfacher zu erkennen
JavaScript-basiert: Skript das Affiliate-Redirect-Requests ausführt (XMLHttpRequest, Fetch); aufwendiger aber flexibler; kann dynamisch verschiedene Merchant-IDs durchrotieren; kann Klick-Simulation imitieren um Detection zu erschweren
Browser-Extension-Variante: Schädliche Browser-Extensions setzen automatisch Affiliate-Cookies wenn Nutzer bestimmte Websites besucht; besonders perfide: Nutzer installiert Extension freiwillig (mit anderen Versprechen), merkt nicht dass Affiliate-Cookies gestufft werden; bekannte Fälle: Shopping-Spar-Extensions die Cookie-Stuffing betreiben

Erkennung und Indikatoren

Anomalie-Indikatoren: Publisher mit vielen Conversions aber kaum Klicks (unplausibles Klick-Conversion-Verhältnis <1:1); sehr hohe absolute Provision-Beträge ohne erkennbare Website-Basis; Publisher-Website hat keine inhaltliche Relevanz zum Merchant; Traffic aus Cookie-Stuffing hat 0 % Klick-Basis → Conversion-Rate würde theoretisch unendlich sein; Netzwerk-Bericht: Conversions des Publishers kommen ohne entsprechende Klick-Referrer
Netzwerk-Erkennung: Anomalie-Detektionssysteme in AWIN, CJ, Impact überwachen Klick-zu-Conversion-Ratios; ungewöhnliche Session-Muster (Conversion ohne vorangegangenen Klick-Eintrag); IP-Analyse: kommen die Conversions von Nutzern die jemals die Publisher-Website besucht haben?; Reverse-Engineering: Netzwerk überprüft ob Publisher-Tracking-Code korrekt eingebunden oder manipuliert wurde
S2S-Tracking als Schutz: Server-to-Server-Tracking erfordert explizites Klick-Ereignis (Tracking-Parameter muss im URL vorhanden sein); Cookie-Stuffing-Methoden setzen kein echtes Klick-Ereignis → hinterlassen keinen S2S-Tracking-Parameter → Conversion wird nicht dem Fraudster zugeordnet; S2S-Tracking macht Cookie-Stuffing wirkungslos

Rechtliche Konsequenzen und Schutzmaßnahmen

Strafrechtliche Einordnung: §263a StGB (Computerbetrug): Manipulation von Datenverarbeitungsvorgängen zur Erlangung eines Vermögensvorteils – Cookie-Stuffing erfüllt diesen Tatbestand; DSGVO: Cookie-Setzen ohne Einwilligung; in den USA: Computer Fraud and Abuse Act (CFAA); bekannte US-Urteile: 7 Millionen USD Schadensersatz (eBay-Fall 2012), mehrere strafrechtliche Verurteilungen; in Deutschland: noch wenig Rechtsprechung, aber Strafbarkeit klar gegeben
Schutzmaßnahmen für Merchants: S2S-Tracking implementieren (macht Cookie-Stuffing technisch wirkungslos); regelmäßige Analyse: Publisher mit Conversions ohne entsprechende Klick-Basis prüfen; Null-Toleranz-Policy in AGB; sofortiger Ausschluss + vollständiger Provisions-Storno bei Nachweis; Meldung an Netzwerk für netzwerkweite Sperrung

Praxistipp: Implementieren Sie Server-to-Server-Tracking als wichtigste Schutzmaßnahme gegen Cookie-Stuffing – mit S2S-Tracking sind Cookie-Stuffing-Methoden technisch wirkungslos weil kein echtes Klick-Ereignis vorliegt. Überprüfen Sie monatlich alle Publisher deren Conversion-Volumen nicht plausibel durch entsprechende Klickzahlen erklärt werden kann – das Verhältnis von gemeldeten Klicks zu Conversions ist das wichtigste Fraud-Frühwarnsignal.