Affiliate-Betrug: Cookie Spreading

Als in der Zeitschrift Internet World Business um November 2008 ein Artikel über betrügerische Affiliates erschienen ist, war der Sturm der Entrüstung in Deutschland groß. Die Affiliate-Netzwerke wiegelten ab. Affiliates äußerten die Meinung, das sei eine Neid-Diskussion, weil die "klassische" Display-Werbung rückläufige Prognosen hat.

Was ist Cookie-Spreading?

Vorweg: Affiliate-Marketing ist ein hervorragendes Instrument für Werbetreibende, sich zusätzlichen Traffic zu besorgen. Und das Beste: Meist muss nur dann eine Provision bezahlt werden, wenn auch tatsächlich etwas gekauft wird. Das Risiko scheint vielen gleich Null zu sein. Dummerweise gibt es nicht nur ehrliche Affiliates, sondern scheinbar nicht wenige, die ihren Vorsprung an technischem Wissen nutzen, die Werbetreibenden (Merchants) gehörig über den Tisch zu ziehen. Hebt man den intransparenten Eia-Popeia-Schleier hoch, der über diesen Machenschaften liegt, wird schnell klar: Das ist klassischer Betrug und somit kriminell. Das  Besondere: Viele sind sich dessen noch nicht mal bewußt. Ein Auto klauen, ja - das ist kriminell. Aber Provisionen über das Internet generieren, das ist doch naja nicht so ganz sauber, aber doch nicht gleich kriminell. So oder so ähnlich die Meinung, die ich bei Gesprächen immer wieder zu hören bekomme.

Zunächst eine kurze technische Erklärung: Klickt ein Besucher auf einer Seite eines Affilitates z. B. auf einen Link oder ein Banner, wird dem Besucher in den Browser ein Cookie gesetzt, das z. B. 30 Tage gültig ist. Kauft der Besucher anschließend beim Werbetreibenden etwas ein, wird das Cookie beim Kaufabschluss ausgelesen und dem Affiliate ein vorher festgelegter Prozentsatz von der Höhe des Umsatzes (also des Warenkorbwertes) gutgeschrieben. Von diesem Prinzip gibt es mehrere Spielarten, deren Erklärung hier zu weit führen würde..

Die folgende Abbildung erläutert nun, wie Cookie Spreading prinzipiell funktioniert:

Abb. 1: Das Prinzip des Cookie-Spreadings

Hier gilt es zu beachten, dass das einzige verbindende Element zwischen dem linken (1) und dem rechten (2) Kasten das gesetzte Cookie ist. Es findet keine echte Vermittlung per Link oder Anzeige eines gut sichtbaren, verlinkten Banners statt! Der Affiliate hat damit keine Vermittlungsleistung für den Shopbetreiber erbracht. 

Beispiel: Der Besucher hat für 100 € beim Shop A eingekauft. Beim Abschluss des Warenkorbes wurde über das Cookie erkannt, dass der "Vermittler" dieses Besuchers Affiliate B war. Dieser bekommt dann z. B. 7%, also 7.- € für diese (erfolgreiche) Vermittlung gut geschrieben. Das mag auf den ersten Blick viel Geld sein, aber man muss im Hinterkopf behalten, dass natürlich nicht jeder Besucher etwas kauft. Für alle Vermittlungen, die keine Umsätze generieren, bekommt der Affiliate gar nichts.

Gewinnspiele sind besonders beliebt für Cookie-Spreading

Hmmm... Wirft man die Gehirnmaschine an, erkennt man schnell, worum es hier geht: Je mehr Browser mit einem Affiliate-Cookie ausgestattet sind, desto mehr Provisionen lassen sich generieren. Wie bekommt man also Besucher dazu, sich so ein Cookie aufladen zu lassen? Man lockt sie auf jedwede Art von Seiten und pumpt den Browser mit Cookies voll. Ist die Zahl genügend groß und ist man registrierter Affiliate von großen Shops - ja dann schlägt einfach die statistische Wahrscheinlichkeit zu, dass dort auch ohne echte Linkvermittlung gekauft wird.

Beispiel: Man veranstaltet ein Gewinnspiel (gibts deswegen jeden Tag im Web mehrere?). Preis: Ein Ei-Fone oder ein Ei-Pod laufen immer gut. Auch jeden anderen Kram, den Menschen gerne haben möchten. Vermutlich werden die meisten Preise noch nicht einmal tatsächlich verlost. Ein Lock-Bild reicht, damit viele ihr Gehirn wegschalten, mehr oder weniger "schwere" Fragen zu beantworten...


und ihre Daten oder mind. die Mailadresse zu hinterlassen. Beim Aufruf der Seite mit dem Gewinnspiel wird bereits ein oder mehrere Cookies gesetzt. Den Traffic bekommt man im Web recht einfach. Ein paar Postings bei Twitter oder anderen Social Media Plattformen reichen oft schon, eine Welle gewinnen-wollender Besucher anzulocken. Natürlich gibt es noch sehr viel mehr Möglichkeiten, über normale Sites mit genügend Traffic solche Cookies zu setzen.

Geht nun ein mit solchen Cookies aufgeladener Browser zum Einkaufen zu einem der großen Shops, bekommt der "Affiliate" seine Provision. Ohne, dass er eine echte Vermittlungsleistung erbracht hätte. Er bekommt mithin Geld für eine Leistung, die er nicht erbracht hat. Im Gegenteil, hat er seine Cookies einfach nur breit gestreut (daher Cookie Spreading).

Warum funktioniert der Betrug mittels Cookie-Spreading so gut?

Das perfide dabei ist: Der Werbetreibende (Merchant) sieht ja nur seine Verkäufe, die scheinbar durch den Affiliate zu Stande gekommen sind. Er freut sich auch noch, dass ihm da einer SO viel Kunden bringt und zahlt die Provision gerne. Dass die Besucher einfach sowieso freiwillig und direkt zu ihm gekommen sind bzw. wären, weiß er nicht bzw. kann er nicht erkennen. Das Cookie schlägt beim Verkauf "an" und zeigt scheinbar eindeutig, dass dieser Besucher von Affiliate A vermittelt wurde. Freufreu. Dass man schlicht und einfach nur 100.000 oder mehr Browsern ein Cookie verpasst hat... Davon hat der Shopbetreiber keine Ahnung.

Noch perfider: Oft sind es gerade die betrügersichen Affiliates, die anteilig (scheinbar) die Top-Partner sind, weil sie die meisten Besucher bringen. Und dafür werden sie nicht selten noch zusätzlich vom Shopbetreiber belohnt, in dem er die Provision für seine "Top-Affiliates" erhöht. Damit die auch richtig Spaß haben, weiter zu machen und noch mehr zahlende Kunden zu bringen...

Ist es deswegen so, dass meist die kleinen Shops nur wenig echten Traffic von Affiliates bekommen - und die Großen verdammt viel? Das hat nichts damit zu tun, dass die Großen mehr bezahlen. Das Gegenteil kann der Fall sein. Nein. Man braucht den "Sowieso-Traffic" der großen Shops, damit das Cookie-Spreading nicht auffällt. 20.000 Cookies zufällig zu verteilen bringt natürlich nichts, wenn man es für den Klein-Klein-Shop macht. Dort ist die Wahrscheinlichkeit verdammt gering, dass jemand innerhalb von 30 Tagen zufällig einkauft. Aber bei den großen, bekannten Shops kommen jeden Tag eine Menge Kunden zum Einkaufen. Liegt beim Besucher ein Cookie z. B. von einem Gewinnspielbesuch, dann registriert der Shop einen Verkauf mit Provisionsfälligkeit.

Der geneigte Leser mag sich jetzt fragen, warum dem niemand Einhalt gebietet? Hmmmm.. wer denn?

1. Die Shopbetreiber/Werbetreibenden/Merchants?

Die ahnen meist nichts von dem Betrug oder können ihn nicht nachweisen.

2. Die Affiliate Netzwerke?

Die sollten das tun und sie sagen das auch laut. Würden sie das konsequent durchziehen, schaden sich die Netzwerke natürlich selber. An jeder Vermittlung bekommen auch sie einen Teil der Vergütung für den Betrieb ihres Netzwerks. Damit will ich nicht sagen, dass die Netzwerke dem Treiben tatenlos zusehen. Ein Gedankenspielchen: Stellen wir uns mal vor, 2/3 aller Affiliate-Umsätze eines Netzwerkes wären tatsächlich betrügerisch generiert worden. Nur mal angenommen. Was könnte ein Affiliate-Netzwerk machen,
wenn es ihm gelänge, dies zu unterbinden? Richtig. Dichtmachen. So gesehen würde ich es betriebswirtschaftlich verstehen, wenn man bei den Netzwerken solchen Machenschaften nicht mit Prio 1A hinterher jagt. Ist aber nur so ein Gedankenspiel. Wahrscheinlich würde es helfen, auch öffentlichkeitswirksamer gegen böse ;-) Affililates vorzugehen. Immer nur gebetsmühlenartig in der Presse verlautbaren zu lassen, dass dies kein Thema wäre und man es im Griff hätte... ich bin nicht sicher, ob das auf Dauer Schaden vom Ruf der Branche fernhält. In der Szene brodelt es. Ehrliche Affiliates werden immer saurer - schließlich werden ihre Cookies nicht selten von den Spreader einfach überschrieben. Ich könnte es mir gut vorstellen (nicht billigen, aber vorstellen), wenn immer mehr vom ehrlichen in das schwarze Lager wechseln. DANN bekommen die Netzwerke ein echtes Problem.

3. Die Werbeagenturen?

Hier gilt sinngemäß das Gleiche. Auch die Agenturen bekommen meist einen Prozentanteil am Provisionskuchen ab. Der Affiliate bekommt Geld, das Netzwerk und auch die Agentur. Sie sollte ihren Kunden eigentlich durch Kontrollen vor allzu großen Betrügereien schützen. Wenn jemand das Know How hat / haben sollte, dann sie. Hofft man. Trotzdem wollen einfach keine Fälle bekannt werden, wo betrügerische Affiliates zur Rechenschaft gezogen wurden. Dass wirtschaftliche Interessen (man verdient auch an unrechtmäßigen Klicks) dem Interesse des betreuten Kunden diametral entgegen laufen, ist hier wohl schwer zu übersehen. Die Agenturen sollten daher dem Kunden gegenüber plausibel machen, wie bzw. warum sich sich nicht selber schaden, wenn sie unehrliche Affiliates aussortieren.

Und jetzt kommts:

4. Die Online-Verantwortlichen des Werbetreibenden?

Sollte man meinen, dass die ein hohes Interesse haben sollten, hier einzugreifen. Wie sieht die betriebliche Realität aus? Machen  wir uns nichts vor. Nicht selten müssen dem Vorstand/Chef/Geschäftsführer, kurz jemandem aus dem Krawattensilo steigende Zahlen vorgelegt werden. Wie die zu Stande kommen, versteht dort eh keiner. Da schau mal her, wie viele Kunden wir zusätzlich über Online-Marketing Maßnahmen (hier eben Affiliates) generiert haben. Prima. Und nächstes Quartal erwarten wir eine Steigerung...
Der Gedanke ist sicher nicht sooo weit, dass man sich da lieber mit teurem Geld Verkäufe "kauft". Betriebswirtschaftlicher Unsinn? Aber klar. Aber hey - wer nur ein wenig Einblick in die Branche hat weiß, dass diese Gedanken nicht an den Haaren herbei gezogen sind.

Also irgendwie blöd jetzt, oder? Niemand in der ganzen Kette hat wirtschaftlich gesehen so richtig beinhartes Interesse, dem Ganzen Einhalt zu gebieten, irgend etwas aufzudecken oder den Zorn inzwischen (!) mächtiger Affiliates auf sich zu ziehen. Der Staatsanwalt? Schließlich sprechen wir über Wirtschaftskriminalität. Und Betrug ist ein sog. Offizialdelikt, dass auch ohne Anzeige bei Kenntnisname verfolgt werden müsste. Keinesfalls möchte ich Juristen zu nahe treten - aber ich denke, die meisten wissen noch nicht einmal, dass so etwas überhaupt existiert - geschweige denn das System technisch so tief zu verstehen, um eine gerichtsverwertbare Beweissicherung durchführen zu können. Und viele Kiddies diskutieren in Blogs fleißig, dass das "dodal" in Ordnung wäre, weil ja keiner geschädigt würde. Man muss nur mal ein wenig googlen und findet erschreckende Unkenntnis und nicht selten auch tiefe Einblicke in das geistige Niveau mancher "Affiliates". Und selbst Studierende sind sich oft jeder juristischen Schuld unbewusst.
Trotzdem beißt die Maus hier keinen Faden ab: Mit Cookiespreading wird keine Leistung für den Werbetreibenden erbracht und trotzdem wird nach Provision abgerechnet. Das ist -vergleichbar gesehen- nichts anderes als Ladendiebstahl.

Cookie-Spreading mit geschützten Markenbegriffen

Eine Sonderform des Affiliate-Betrugs bedient sich (meist zusätzlich) des Brand-Grabbings. Dabei werden bekannte Markennamen mit kleinen, oft auf den ersten Blick nicht sichtbaren Tippfehlern benutzt. Man bucht dann z. B. bei Google Adwords diese Tippfehler Keywords und leitet auf eine eigene Website, die Werbung für die eigentliche Marke macht. Das gelingt in der Regel sogar dann, wenn der Markeninhaber bei Google den Markennamen angemeldet hat (dann kann diesen Begriff niemand buchen - aber die Tippfehler sind natürlich in der Regel nicht mit eingeschlossen!). Nicht selten wird auch per iFrame sogar frech die Seite des Markeninhabers gleich on-the-fly mit eingebunden. Ein Klick und man ist auf der "eigentlichen" Seite - das Cookie ist gesetzt und wenn jetzt etwas eingekauft wird, bekommt der Affiliate seine Provision. Die meisten Surfer merken diesen "Umweg" gar nicht. Dass da "Amnazon.de", "Quelie.de" oder "Neckermanm.de" stand, fällt fast niemandem ins Auge (diese Beispiele sind rein fiktiv und nur zur Verdeutlichung gewählt - haben Sie beim Lesen die Tippfehler denn gleich erkannt?). Die ganz großen Händler überwachen zwar ihren Markennamen regelmäßig auch auf Tippfehler-Domains, aber eben nicht alle. Und oft reicht es auch, mit einem solchen Tippfehler im organischen (nicht bezahlten) Bereich der Suchergebnisse aufzutauchen - auch ohne gleich eine Tippfehler-Domain registriert zu haben. Der Tippfehler "Amnazon" bringt immerhin fast 1.000 Treffer bei Google. Für gute Suchmaschinenoptimierer ist hier ein Platz auf der ersten Seite eher Kindergeburtstag, als eine echte Herausforderung. Sieht man sich nun noch einmal die Abbildung 1 oben an, wird folgendes klar: Zielt Cookie-Spreading auf Marken (Brands) ab, kann besonders viel Provision kassiert werden. Warum? Weil der Suchende sowieso schon nach der Marke bzw. dem Unternehmen gesucht hat und es sehr viel wahrscheinlicher ist, dass er gleich etwas kaufen möchte. Die Kaufquote (Conversion Rate) ist also hier besonders hoch - und der Betrug sehr viel lukrativer für den Affiliate.

Schlussbetrachtung:

Keinesfalls darf das Affiliate-Modell insgesamt als "betrügerisch" gebrandmarkt werden. Einzelne, besonders schwarze Schafe bringen es jedoch scheinbar zunehmend in Misskredit. Die ehrlichen Affiliates leiden hierunter besonders. Zum einen schadet es dem Ruf einer ganzen (durchaus sinnvollen) Branche - zum anderen werden natürlich auch immer wieder die "ehrlich" gesetzten Cookies von den Spreadern überschrieben und diese damit um ihren Erlöse gebracht. Die Erfahrung in der Branche zeigt, dass für einen Shop in der Regel nur 10-20% der Affiliates 90% der Provisionen zugeschlagen werden. Einige wenige machen also richtig Gewinn, die meisten anderen dümpeln mit einigen Euro pro Monat vor sich hin. Alle Affiliate-Netzwerke haben gut sichtbare Richtlinien aufgestellt und diese und andere Betrügereien werden dort als nicht erlaubt deutlich beschrieben. Wer erwischt wird, fliegt raus. Fraglich bleibt aber, warum nicht auch jedesmal Anzeige erstattet wird. Schließlich handelt es sich um Betrug. Vielleicht sollten die Netzwerke hier öffentlichkeitswirksamer gegen solche Machenschaften vorgehen, damit auch breit wahrgenommen wird, dass und was sie dagegen tun. Und am Ende man darf auch nicht vergessen, dass Cookie-Spreading nur eine von mehreren Möglichkeiten ist, auf unehrliche Weise Provisionen abzurechnen...

Empfehlung:

Nehmen Sie an Affiliate-Programmen als Händler teil oder betreiben selbst ein solches Programm, sehen Sie sich in regelmäßigen Abständen genauer an. Leider gibt es richtig fiese Techniken, um den Betrug zu verschleiern. Einige Seiten zeigen z. B. nur dann den entscheidenden iFrame-Programmteil an (mit dessen Hilfe das Cookie gesetzt wird), wenn der Besucher über eine genau definierte andere Seite per Link vermittelt wurde (Referrer gesteuertes Spreading). Die Seite selber wird per robots.txt und weiteren Maßnahmen vor den Robots der Suchmaschinen versteckt und ist so gut wie nicht aufzufinden. Allzu technisch wollen wir hier aber nicht eindringen, denn schließlich sollen die ehrlichen Affiliates nicht auf dumme Gedanken gebracht werden...

Wenn Ihnen der Beitrag gefallen hat oder nützt, vergessen Sie bitte nicht, eine Bewertung abzugeben ;-)