Cookie Stuffing
Cookie Stuffing ist eine Betrugsmasche im Online-Marketing: Einer Website-Besucherin wird heimlich eine Werbe-Kennung im Browser hinterlegt, obwohl sie nie auf eine Werbeanzeige geklickt hat. Kauft sie später etwas, kassiert der Betrüger die Vermittlungsprovision für eine Empfehlung, die es nie gab.
Viele Online-Shops zahlen Geld an Websites, die ihnen Kunden schicken. Damit der Shop weiß, wer einen Kunden geschickt hat, speichert der Browser beim Klick auf die Werbung eine kleine Datei mit einer Kennnummer. Solche Dateien heißen Cookies. Beim Cookie Stuffing wird diese Kennnummer heimlich gesetzt, ohne dass der Besucher je auf eine Werbung geklickt hat. Kauft er danach zufällig in dem Shop ein, sieht es aus, als hätte der Betrüger ihn vermittelt. Der Shop überweist eine Provision für eine Empfehlung, die nie stattgefunden hat.
Wer am Ende die Provision bezahlt
Das Geschäftsmodell dahinter heißt Affiliate-Marketing, zu Deutsch etwa Partnerwerbung. Ein Blog empfiehlt Kopfhörer, verlinkt zu einem Shop und bekommt bei einem Kauf einige Prozent vom Preis. Das ist ein riesiger Markt: Allein Amazon arbeitet mit Millionen solcher Partner zusammen. Das ganze System beruht darauf, dass die gespeicherte Kennnummer wirklich eine echte Empfehlung abbildet.
Cookie Stuffing zerstört genau diese Grundlage. Der Shop zahlt für Kunden, die ohnehin gekommen wären. Ehrliche Partner verlieren zusätzlich ihr Geld, weil die untergeschobene Kennnummer die echte oft überschreibt. Meist gilt nämlich: Wer zuletzt gesetzt hat, bekommt die Provision.
Die Schäden sind erheblich. Ein bekannter Fall aus den USA betraf zwei Männer, die eBay über Jahre um rund 28 Millionen Dollar erleichterten. Einer von ihnen wurde zu einer Haftstrafe verurteilt. Cookie Stuffing ist also nicht bloß ein Verstoß gegen Nutzungsbedingungen, sondern kann Betrug im strafrechtlichen Sinn sein.
Der unsichtbare Klick im Hintergrund
Technisch braucht es keinen echten Klick. Es genügt, dass der Browser die Adresse des Partnerlinks überhaupt aufruft. Betrüger bauen dafür Bildelemente ein, die nur ein Pixel groß und damit unsichtbar sind. Der Browser lädt sie beim Seitenaufbau automatisch, der Shop registriert den Aufruf und setzt die Kennnummer.
Eine zweite Variante nutzt sogenannte iFrames, also kleine Fenster, die eine fremde Seite in eine andere einbetten. Man kann sie auf null Pixel Größe schrumpfen. Auch Weiterleitungen funktionieren: Die Seite lädt kurz den Partnerlink und springt sofort zurück, schneller als das Auge folgen kann.
Besonders wirksam sind Browser-Erweiterungen, also kleine Zusatzprogramme im Browser. Ein harmlos wirkender Gutschein-Finder kann bei jedem Shop-Besuch im Hintergrund eine Partnerkennung setzen. Weil die Erweiterung mit Erlaubnis des Nutzers installiert wurde, fällt das kaum auf. Abzugrenzen ist das vom Cookie-Banner-Ärger auf Websites: Dort geht es um Zustimmung zur Datenspeicherung, beim Cookie Stuffing um Diebstahl von Provisionen.
Wie Shops und Netzwerke gegensteuern
Große Partnerprogramme werten heute automatisch aus, wie sich Klicks und Käufe zueinander verhalten. Auffällig ist etwa ein Partner mit Millionen Klicks, aber winziger Kaufquote. Auch fehlende Verweildauer zwischen Klick und Kauf ist ein Warnsignal. Solche Konten werden gesperrt, bereits ausgezahlte Provisionen zurückgefordert.
In den Nachrichten taucht das Thema meist in zwei Zusammenhängen auf. Zum einen bei Prozessen gegen Betrüger, zum anderen wenn Google oder Mozilla Erweiterungen aus ihren Stores werfen, die heimlich Partnerlinks setzen. Solche Rauswürfe betrafen schon Erweiterungen mit Millionen Installationen.
Für dich als Nutzer ist der direkte Schaden gering, denn du zahlst keinen Cent mehr. Trotzdem lohnt Vorsicht: Erweiterungen, die dir Rabatte versprechen, verdienen ihr Geld irgendwo. Regelmäßiges Löschen der Cookies und ein kritischer Blick auf installierte Zusatzprogramme sind sinnvoll. Ganz nebenbei verrät eine solche Erweiterung, welche Shops du besuchst.