Cookie-Betrug im Affiliate-Marketing: Cookie Spreading, Fake-Leads, AdWords-Hijacking …

Nach­dem ich in dem Arti­kel “Was haben Coo­kies mit Geld­ver­die­nen zu tun?” über ver­schie­de­ne Coo­kie-Arten, deren Defi­ni­ti­on und Bedeu­tung im Affi­lia­te-Mar­ke­ting geschrie­ben habe, gehe ich heu­te auf den unschö­nen Aspekt von Coo­kies ein, auf den Cookie-Betrug.

Dass Coo­kies im Affi­lia­te-Mar­ke­ting recht oft für betrü­ge­ri­sche Aktio­nen ver­wen­det wer­den, leuch­tet einem vor allem dann ein, wenn man sich bewusst wird, wel­che wich­ti­ge Rol­le sie beim Geld­ver­die­nen spie­len. Auf der Jagd nach Pro­vi­sio­nen und Vor­tei­len gegen­über ande­ren Affi­lia­tes ist man­chen wohl jedes Mit­tel oder jede betrü­ge­ri­sche Metho­de recht.

Eine der häu­figs­ten Betrugs­ma­schen ist das soge­nann­te Coo­kie Spreading.

Cookie Spreading

Die­ser Betrug läuft fol­gen­der­ma­ßen ab. Über eine häu­fig fre­quen­tier­te Web­site oder ein ent­spre­chend prä­pa­rier­tes Wer­be­ban­ner wird ein gefälsch­tes Coo­kie ver­teilt und ande­re vor­han­de­ne Coo­kies ande­rer Affi­lia­tes überschrieben.

Dadurch wird nicht mehr die­sem Affi­lia­te die mög­li­che Pro­vi­si­on zuge­schrie­ben, falls es zu der gewünsch­ten Akti­on des Users kommt (in den meis­ten Fäl­len ein Kauf), son­dern dem Betrü­ger, der den “ehr­li­chen” Coo­kie über­schrie­ben hat, ohne dass er eine kor­rek­te Ver­mitt­ler­leis­tung durch­ge­führt hat.

Die­se Masche funk­tio­niert am bes­ten in gro­ßen Online-Shops, wo vie­le User ein­kau­fen, beson­ders gut. Wenn man auf die­se Art und Wei­se meh­re­ren Hun­dert Besu­chern einen sol­chen Coo­kie unter­ju­belt und nur weni­ge Pro­zent davon in dem Shop ein­kau­fen, kann man schon rich­tig Kas­se machen.

Außer­dem wer­den die­se Betrü­ger ihre gefälsch­ten Coo­kies nicht auf einem Shop, son­dern auf meh­re­ren ver­tei­len (daher auch die eng­li­sche Bezeich­nung “spre­a­ding”, was auf Deutsch “Ver­brei­tung” bedeutet).

Coo­kie Spre­a­ding schä­digt ein­mal ehr­lich agie­ren­de Affi­lia­tes bzw. Publisher, aber auch Mer­chants, denn die­se müs­sen auch Pro­vi­sio­nen für Kun­den abfüh­ren, die nie einen Affi­lia­te-Link oder ‑ban­ner ange­klickt haben.

Wei­te­re Infor­ma­tio­nen zu Coo­kie Spre­a­ding fin­den Sie in fol­gen­dem Arti­kel “Affi­lia­te-Betrug mit Coo­kie-Spre­a­ding”. Dar­in gibt es auch noch genaue­re Erläu­te­run­gen, wie das Spre­a­ding tech­nisch durch­ge­führt wird.

Betrug mit den First Cookies

Was es mit den First Coo­kies auf sich hat, wur­de im Arti­kel über Coo­kies erläu­tert. Beim First Coo­kie bekommt der Affi­lia­te die Pro­vi­si­on, des­sen Coo­kie auf dem Rech­ner und dem ein­ge­setz­ten Brow­ser als ers­tes gesetzt wur­de. Die gro­ße Abwick­lungs­platt­form Share-it setzt bei­spiels­wei­se die­ses Ver­fah­ren ein.

Und da ja der zuerst gesetz­te Coo­kie eines Affi­lia­tes mit die­ser Metho­de nicht von einem ande­ren über­schrie­ben wer­den kann, pas­siert es bei einem neu­en Pro­dukt­launch häu­fig, dass man­che Affi­lia­tes ein paar Minu­ten frü­her als gewünscht ihre E‑Mail-Lis­te anschrei­ben. Die Emp­fän­ger kli­cken auf den Affi­lia­te-Link in der Mail und der First Coo­kie wird gesetzt.

Ande­re Affi­lia­tes, die das neue Pro­dukt eben­falls über ihren Ver­tei­ler bewer­ben, haben nun kaum eine Chan­ce mehr, über ihren Affi­lia­te-Link Ver­käu­fe zu gene­rie­ren, vor allem dann wenn der User in meh­re­ren Ver­tei­lern steht und schon den ande­ren zuerst gesen­de­ten Affi­lia­te-Link des zu früh ver­sen­de­ten News­let­ters ange­klickt hat.

Man kann aber noch viel frü­her sei­ne First Coo­kies set­zen und sich einen unge­recht­fer­tig­ten Vor­teil gegen­über den ande­ren Affi­lia­tes ver­schaf­fen, wenn man bei einem geplan­ten Pro­dukt­launch schon Wochen vor­her Infos zu dem Pro­dukt in einer Mail ver­sen­det und dar­in Blog­ar­ti­kel mit Affi­lia­te-Infor­ma­tio­nen von Share-it mani­pu­liert und anschlie­ßend den Link ver­schlei­ert. Somit wer­den schon eine lan­ge Zeit vor dem eigent­li­chen Pro­dukt­launch First Coo­kies gesetzt, die nicht mehr über­schrie­ben werden.

Adwords-Hijacking

Eben­falls eine betrü­ge­ri­sche Metho­de zum Set­zen von Affi­lia­te-Coo­kies ist das soge­nann­te Adwords-Hijacking.

Dabei wird die Adwords-Anzei­ge vom Erstel­ler so kon­zi­piert, dass der dort einen Affi­lia­te-Link hin­ter­legt. Für den User sieht die Anzei­ge so aus, als wür­de er nach einem Klick auf den Link in der Anzei­ge zum Anbie­ter wei­ter­ge­lei­tet wer­den, doch das pas­siert in Wirk­lich­keit über einen Affiliate-Link.

Für die­se Akti­on muss der Erstel­ler sol­cher irre­füh­ren­der oder gar betrü­ge­ri­scher Adwords-Anzei­gen zwar für jeden Klick bezah­len. Wer es im gro­ßen Stil macht, wird aller­dings mehr Ein­nah­men als Aus­ga­ben für den Betrug erzielen.

Gefälschte Leads oder Sales

Auch von sol­chen Betrü­ge­rei­en wird im Inter­net berich­tet. Anschei­nend kann man bei eini­gen Affi­lia­te-Pro­gram­men gefälsch­te Bestel­lun­gen oder gefälsch­te Leads gene­rie­ren. Wie man gefak­te Leads (wie News­let­ter-Ein­tra­gun­gen oder Down­loads) pro­du­ziert, kann ich mir noch ganz gut vor­stel­len, bei Sales — also Ein­käu­fen — wird es wohl kom­pli­zier­ter. Aber man­che fin­den auch für die­sen schwer zu rea­li­sie­ren­den Betrug einen Weg.

Was kann man gegen Cookie-Betrug machen?

Die hier vor­ge­stell­ten Betrugs­me­tho­den sind die am häu­figs­ten vor­kom­men­den, aber längst noch nicht alle. Wer über ein gutes tech­ni­sches Ver­ständ­nis sowie betrü­ge­ri­sche Ener­gie ver­fügt, der wird noch mehr Betrugs­mög­lich­kei­ten mit­tels Coo­kie­set­zung entdecken.

Wer im Inter­net nach Coo­kie-Betrug goo­gelt, wird eine gro­ße Anzahl an infor­ma­ti­ven Bei­trä­gen fin­den. So haben ich noch ande­re Infor­ma­tio­nen dazu gefun­den. Bei­spiels­wei­se kann man Web­sites für bestimm­te Such­be­grif­fe bau­en, wie für die Anfra­ge “Ist Sound­so ein Betrü­ger”. Kommt dann ein User auf die­se Web­site, nach­dem er sich bei Goog­le über einen Inter­net­mar­keter und des­sen mög­li­ches betrü­ge­ri­sches Ver­hal­ten infor­mie­ren woll­te, kann man ihm über ein auf die­ser Web­site ein­ge­bun­de­nes Skript ein Coo­kie unterjubeln.

Kauft der User irgend­wann etwas von die­sem Mar­keter, bekommt der ein­falls­rei­che Affi­lia­te die Pro­vi­si­on zuge­wie­sen. Die­ses Ver­fah­ren lässt sich noch wei­ter aus­bau­en mit Pro­dukt­tests, irgend­wel­chen Reviews usw.

Oder man ver­wen­det falsch geschrie­be­ne Domains, auf die dann User kom­men, die den ent­spre­chen­den Such­be­griff falsch bei Goog­le ein­ge­ge­ben haben und setzt auf die­se Wei­se auch ein Cookie.

Im Inter­net habe ich noch einen Arti­kel über den Eng­land-Trick bei Goog­le-Adwords-Anzei­gen und Gut­schein-Betrug gele­sen. Affi­lia­te-Hop­ping oder Brand-Bid­ding sind ande­re Betrugsversuche.

Und es wer­den regel­mä­ßig neue Betrugs­ma­schen erfun­den. Dabei stellt sich die Fra­ge, war­um gegen die­se Betrü­ge­rei­en nicht kon­se­quen­ter vor­ge­gan­gen wird. Es wird vor allem des­halb nichts getan, weil vie­le die­se Betrugs­mög­lich­kei­ten gar nicht ken­nen. Außer­dem pro­fi­tie­ren vie­le davon, also war­um den Betrug stoppen.

In die­sen Pro­zess sind Kun­den, Mer­chants, ehr­li­che und betrü­ge­ri­sche Affi­lia­tes invol­viert. Dem Kun­den selbst dürf­te es ohne­hin egal sein, was bei dem Kauf­pro­zess über einen Affi­lia­te-Link pas­siert. Die meis­ten haben von dem The­ma Affi­lia­tes kei­ne Ahnung und wis­sen gar nicht, dass bei Käu­fen über einen Affi­lia­te-Link Pro­vi­sio­nen gene­riert wer­den bzw. dass es über­haupt sol­che Links gibt.

Der Ver­käu­fer zahlt in den meis­ten Fäl­len ger­ne Pro­vi­sio­nen — ob die­se nun gerecht­fer­tigt sind oder nicht — denn letzt­end­lich ist dadurch auch ein Pro­dukt­kauf zustan­de gekom­men und der Mer­chant erzielt somit Einnahmen.

Bei den­je­ni­gen, die digi­ta­le Pro­duk­te ver­kau­fen, kann der Mer­chant mit den hier auf­ge­führ­ten Tricks mit dem First Coo­kie sogar als eige­ner Affi­lia­te für sei­ne Pro­duk­te Pro­vi­sio­nen abgrei­fen. Wer kann das schon kontrollieren?

Die unehr­li­chen Affi­lia­tes wer­den schon mal gar nichts dage­gen haben, dass die Betrü­ge­rei­en wei­ter­hin mög­lich sind, denn sie leben schließ­lich gut davon. Und die ehr­li­chen Affi­lia­tes betrei­ben Wer­bung für die Pro­duk­te, wer­den ab und zu Pro­vi­sio­nen erhal­ten und sich dar­über freu­en. Wer bekommt als Affi­lia­te schon sol­che Maschen von ande­ren Affi­lia­tes mit? Meist sind es nur Ver­mu­tun­gen, aber kei­ne Bewei­se. Wer mit sei­nen spo­ra­disch erwor­be­nen Pro­vi­sio­nen nicht zufrie­den ist, wird vom Mer­chant immer wie­der auf­ge­for­dert, noch mehr zu tun, noch mehr zu werben.

Um die­sen ille­ga­len Tricks zu ent­ge­hen, müss­te man als Inter­net­nut­zer regel­mä­ßig sei­ne Coo­kies löschen oder am bes­ten einen Coo­kie-Clea­ner ein­set­zen, der die­sen Schritt auto­ma­tisch durchführt.

E‑Privacy-Richtlinie noch nicht europaweit umgesetzt

Auch der Gesetz­ge­ber wur­de schon aktiv. 2009 hat die Euro­päi­sche Uni­on die Coo­kie-Richt­li­nie bzw. E‑Pri­va­cy-Richt­li­nie erlas­sen, die seit dem 25. Mai 2011 Vor­schrift ist.

Die Richt­li­nie bestimmt u. a., dass Coo­kies, die nicht dem allei­ni­gen Zweck der Nach­rich­ten­über­mitt­lung über ein elek­tro­ni­sches Kom­mu­ni­ka­ti­ons­netz oder der von einem Nut­zer aus­drück­li­chen gewünsch­ten Dienst­leis­tung die­nen, nur noch mit vor­he­ri­ger Ein­wil­li­gung des Nut­zers erlaubt sein. Wie die­se Ein­wil­li­gung ein­ge­holt wer­den soll, lässt die Richt­li­nie offen.

So gibt es bei der Ein­wil­li­gungs-Gestal­tung unter­schied­li­che Auf­fas­sun­gen. Näm­lich ob der User aktiv in die Ver­wen­dung der Coo­kies ein­wil­li­gen muss mit­tels eines Opt-in-Ver­fah­rens oder ob es schon aus­reicht, wenn er die Opti­on hat, der Coo­kie-Ver­wen­dung zu wider­spre­chen mit­tels Opt-out.

In Deutsch­land wur­de die E‑Pri­va­cy-Richt­li­nie noch nicht in natio­na­les Recht umge­wan­delt, obwohl die Frist für die Richt­li­ni­en­um­set­zung schon fast zwei Jah­re abge­lau­fen ist. Die Fol­ge könn­te eine Abmahn­wel­le sein, da die meis­ten Web­sei­ten-Betrei­ber die User über die­se Richt­li­nie nicht ( oder nicht aus­rei­chend) infor­mie­ren und kei­ne Ein­wil­li­gungs­mög­lich­keit für die Coo­kie-Ver­wen­dung anbie­ten. Zu die­sem The­ma wird wohl noch eini­ges auf die Inter­net­user zukommen.

Wie man die Richt­li­nie auf einem Inter­net­auf­tritt umset­zen kann, zeigt der Web­auf­tritt von RTL​.nl.

Es wird eine Vor­schalt­sei­te ange­zeigt, auf der man über einen But­ton das Set­zen von Coo­kies akzep­tie­ren muss. Erst dann wird man zum eigent­li­chen Web­auf­tritt weitergeleitet.

Wil­ligt man nicht ein, kann man folg­li­cher­wei­se auch nicht die Web­site von rtl​.nl besu­chen. Irgend­wie auch blöd.

Wie man sieht, ist die Richt­li­nie der EU noch eine gro­ße Bau­stel­le. Ich bin mal gespannt, wie es da bei uns in Deutsch­land wei­ter­geht. Gegen den Coo­kie-Betrug wird wohl auch in nächs­ter Zeit nichts unter­nom­men werden.

(Bild­quel­le Arti­kel­an­fang: #45200577 © Afri­ca Studio/Fotolia.com)