Redaktion live
AFFHOUSE
Brief erhalten
Aktuell
Sweepstakes-Casino-Verbote: Betreiber und AffiliatesFallstudie Stake-Sponsoring: Everton, UFC, F1 und KickSportwetten-Marketing: Was DraftKings und FanDuel ausgebenSaaS-Affiliates: 680.000 $ eines Bloggers mit SemrushRobux-Glücksspiel: Warum Affiliates exponiert sindPrizePicks: Wie DFS-Pick'em zum 2,5-Mrd.-$-Geschäft wurdePopunder-Ads-Fallstudie: 30K $ in MENA, 1.536 iGaming-FTDsSpieler-Lifetime-Value: 9.125 $ CPA, 61.376 $ GGR
Wissensdatenbank9 Min. Lesezeit

Was ist Cookie Stuffing? Wie es Provisionen stiehlt

Cookie Stuffing setzt ein Affiliate-Cookie ohne echten Klick und kassiert so die Last-Click-Provision für Verkäufe, die es nicht ausgelöst hat. Mechanik, Fälle, Recht, Erkennung.

Veröffentlicht Aktualisiert

Aufgebrochener Schokokeks mit einer versteckten Platine im Inneren, unter den Worten Cookie Stuffing Steals

Cookie Stuffing bedeutet, ein Affiliate-Tracking-Cookie im Browser eines Besuchers zu platzieren, ohne dass es einen echten Klick oder eine Kaufabsicht gibt, sodass der Stuffer die Last-Click-Provision für Verkäufe kassiert, die er nicht ausgelöst hat. Der Händler zahlt für einen Kunden, den er ohnehin gewonnen hätte, und der Affiliate, der den Käufer tatsächlich vermittelt hat, verliert die Provision.

Es ist eine seit Langem verbreitete Form von Affiliate-Betrug, die vom versteckten Seitencode zu Browser-Erweiterungen gewandert ist.

Im Affiliate-Marketing und in der Performance-Werbung sollte ein Tracking-Cookie eine einzige Tatsache festhalten: Eine Person hat sich entschieden, auf den Link eines Partners zu klicken. Cookie Stuffing kappt die Verbindung zwischen dieser Entscheidung und der Zuordnung. Das Cookie, oder der Tag, der seine Aufgabe übernimmt, wird von Code gesetzt, den der Besucher nie sieht.

Als Arbeitsdefinition umfasst es jede Methode, die eine Affiliate-Kennung ohne echte Nutzeraktion setzt oder überschreibt. Es wird auch Cookie Dropping oder Cookie Forcing genannt.

Der Schaden reicht über einen einzelnen Verkauf hinaus: Die Reports des Programms belohnen den falschen Partner, sodass Budget und bessere Konditionen in Richtung des Betrugs fließen.

Wie Affiliate-Attribution funktioniert und warum sich Stuffing lohnt

Der Besucher klickt auf einen Tracking-Link mit der ID des Affiliates. Der Tracking-Server protokolliert den Klick und speichert die ID in einem Cookie oder als Click ID. Kauft der Besucher innerhalb des Attributionsfensters des Programms oder registriert sich, wird der Verkauf dieser ID zugeordnet. Ob der Deal ein fester CPA oder ein Revenue Share ist (wie sich diese Modelle unterscheiden): Dieser Eintrag entscheidet, wer bezahlt wird.

Viele Programme rechnen nur den letzten Affiliate-Klick vor dem Verkauf an, daher ersetzt ein neueres Cookie ein älteres. Genau das macht Stuffing lohnend. Der Stuffer überzeugt niemanden; er braucht nur seine ID im Browser, bevor ein Kauf stattfindet, der ohnehin passiert wäre.

Angenommen, ein Leser wählt einen Sportwettenanbieter aus der Vergleichstabelle einer Review-Seite und beginnt mit der Registrierung. Beim Einzahlungsschritt löst eine Gutschein-Erweiterung unbemerkt ihren eigenen Affiliate-Link aus. Bei Last Click wird der Betreiber der Erweiterung für die Einzahlung bezahlt, und die Review-Seite geht leer aus.

Cookie Stuffing versteckt sich in Seitencode, Widgets, Weiterleitungen und Software, die der Besucher nie bemerkt. Das sind die Muster, auf die Compliance-Teams achten, beschrieben, damit man sie erkennt, nicht kopiert.

  • Versteckte Seitenelemente. Unsichtbare Bilder, Frames mit null Größe oder Skripte, die im Hintergrund eine Tracking-URL aufrufen.

  • Kostenlose Tools und Widgets. Code, der in ein Widget eingebaut ist, das andere Website-Betreiber einbinden, sodass Besuche auf ihren Seiten den Link des Stuffers auslösen. Das war die eBay-Methode.

  • Erzwungene Weiterleitungen, Pop-ups und Pop-unders. Der Besucher durchläuft einen Tracking-Link, den er nie gewählt hat.

  • Browser-Erweiterungen und Apps. Software, die auf einer Shopseite oder im Checkout einen Affiliate-Tag hinzufügt oder einen bestehenden gegen den eigenen austauscht. Die Vorwürfe gegen Honey und Phia betreffen dieses Muster.

  • Ähnlich aussehende Domains und Linkspam. Tippfehler-Domains und Links in Foren oder Kommentaren, die über eine Tracking-URL laufen.

Die drei werden oft in einen Topf geworfen, zeigen sich in den Daten aber unterschiedlich.

Cookie StuffingClick SpammingClick Injection
Was passiertEin Affiliate-Cookie oder -Tag wird ohne echten Klick gesetzt oder ersetztMassen gefälschter Klicks werden gemeldet, in der Hoffnung, dass einige Nutzer später von selbst konvertierenSchädlicher App-Code löst kurz vor Abschluss einer Installation einen Klick aus
WoWeb-Affiliate-Programme, Browser-ErweiterungenApp-Install- und Web-KampagnenApp-Install-Kampagnen
In den DatenKlicks ohne Impressions oder Referrer; Conversions Minuten nach einem Klick von Käufern, die bereits auf der Seite warenKlick-Spitzen mit kaum Conversions und ohne Häufung um eine typische Verzögerung zwischen Klick und ConversionInstallationen, die fast sofort nach dem angerechneten Klick erfolgen

Die dokumentierten Fälle reichen von Haftstrafen (eBay) über eine laufende Klage (Honey) bis zu einem Pressebericht (Phia).

eBay: der Fall, der mit Haftstrafen endete

Laut dem US Attorney's Office für den Northern District of California hat Brian Dunning zugegeben, etwa zwischen Mai 2006 und Juni 2007 über seine Firma Kessler's Flying Circus ein Cookie-Stuffing-System gegen das Affiliate-Programm von eBay betrieben zu haben. Kostenlose Anwendungen auf zwei seiner Websites enthielten Code, der den Browsern der Besucher ein Cookie mit der Affiliate-ID der Firma zuwies, obwohl sie keinen eBay-Link angeklickt hatten.

Im April 2013 bekannte er sich des Wire Fraud schuldig. Die eBay-Provisionen der Firma beliefen sich im betreffenden Zeitraum auf rund 5,2 Millionen US-Dollar, und beide Seiten hielten einvernehmlich fest, dass 200.000 bis 400.000 US-Dollar davon aus dem System stammten. Im August 2014 wurde er zu 15 Monaten Haft verurteilt; eine Rückerstattung wurde wegen eines separaten zivilrechtlichen Vergleichs mit eBay nicht angeordnet.

Shawn Hogan, ein weiterer eBay-Affiliate, der wegen Cookie Stuffing angeklagt wurde, bekannte sich des Wire Fraud schuldig und wurde laut Presseberichten im Mai 2014 zu fünf Monaten in einem Bundesgefängnis verurteilt.

Honey (PayPal): Vorwürfe in einer laufenden Klage

Ab Ende 2024 verklagten Online-Creator PayPal vor einem Bundesgericht in Kalifornien (inzwischen zusammengeführt als In re PayPal Honey Browser Extension Litigation, Nr. 5:24-cv-09470). Sie werfen der Honey-Erweiterung vor, im Checkout ihr Affiliate-Tracking durch das von PayPal ersetzt und so die Last-Click-Zuordnung für Verkäufe übernommen zu haben, die sie vermittelt hatten. Ihre geänderte Klageschrift bezeichnet dies als Cookie Stuffing über Weiterleitungen. PayPal bestreitet die Vorwürfe.

2025 wies das Gericht die erste Klageschrift ab, ließ aber eine Änderung zu. Am 22. Juni 2026 lehnte Richterin Beth Labson Freeman den Antrag von PayPal ab, die zweite geänderte Klageschrift abzuweisen. Keine der beiden Entscheidungen klärt, ob die Vorwürfe zutreffen.

Phia: ein Bericht aus 2026

Im Juli 2026 berichtete Bloomberg, wie Engadget weitergab, dass Phia, eine KI-Shopping-App und Browser-Erweiterung, mitgegründet von Phoebe Gates und Sophia Kianni, ihren Affiliate-Code an Verkäufe gehängt hatte, die sie nicht ausgelöst hatte. Engadget beschrieb ein Video des Forschers Ben Edelman, das zeigt, wie der Affiliate-Link von Phia auf iOS „unsichtbar in einem zweiten Tab geladen“ wurde, nachdem ein Nutzer die Website eines Händlers besucht hatte. Phia sagte gegenüber Bloomberg, „in einem kürzlichen Release hat unsere Codebasis Fehlzuordnungen verursacht“, und zwar bei einem Teil der Nutzer, und erklärte, das Problem sei behoben. Das ist Presseberichterstattung, keine gerichtliche Feststellung.

Cookie Stuffing kann illegal sein, und wie ernst es wird, hängt von der Ebene ab: Vertrag, Plattformregeln, Zivilklagen oder Strafrecht.

  • Programmbedingungen. Affiliate-Verträge verbieten es in der Regel; ein Verstoß bedeutet meist stornierte Provisionen und ein geschlossenes Konto. Manche nennen es ausdrücklich, etwa ein in der Honey-Klage zitierter Vertrag von Staples. Die Associates Program Policies von Amazon untersagen, eine Amazon-Seite anders als durch den Klick eines Kunden auf einen Special Link zu öffnen, außerdem Special Links in Pop-ups oder Pop-unders, künstlich erzeugte Klicks und Special Links in Browser-Erweiterungen.

  • Plattformregeln. Die Affiliate-Ads-Richtlinie des Chrome Web Store, aktualisiert im März 2025, verlangt eine zugehörige Nutzeraktion, bevor eine Erweiterung jeden Affiliate-Code, -Link oder jedes Affiliate-Cookie hinzufügt, und verbietet es, einen bestehenden Affiliate-Code ohne ausdrückliches Wissen des Nutzers zu ersetzen.

  • Zivilklagen. Händler oder verdrängte Affiliates können wegen Betrugs, Vertragsbruchs oder unlauteren Wettbewerbs klagen. eBay hat sich mit Dunning zivilrechtlich verglichen, und die Honey-Creator stützen sich teilweise auf das kalifornische Gesetz gegen unlauteren Wettbewerb.

  • Strafrecht. Im eBay-Fall klagte die Staatsanwaltschaft Cookie Stuffing als bundesrechtlichen Wire Fraud nach 18 U.S.C. 1343 an. Strafverfahren sind die Ausnahme; die meisten Streitigkeiten enden auf Programm- oder Zivilebene.

Dies ist eine allgemeine Zusammenfassung, keine Rechtsberatung.

Cookie Stuffing wird über Muster in vielen Conversions erkannt, nicht über einen einzelnen merkwürdigen Verkauf. Programme und Netzwerke prüfen:

  • Zeit zwischen Klick und Conversion. Conversions, die sich Sekunden oder Minuten nach dem Klick häufen, besonders wenn die Session über einen anderen Kanal auf der Händlerseite begann.

  • Klicks ohne Sichtkontakt. Keine passende Impression, kein Referrer oder eine verweisende Seite ohne sichtbaren Link.

  • Conversion-Raten, die nicht passen. Die Conversion-Rate oder der EPC eines Partners springt, ohne dass sich der Traffic ändert. Stuffing in großem Umfang zeigt das Gegenteil: eine Klickzahl, die in keinem Verhältnis zu den Verkäufen steht.

  • Überschreibungsmuster. Ein Partner taucht immer wieder als Last Click auf, Minuten nach dem Klick eines anderen Partners.

  • Kundenmix und Cluster. Ein ungewöhnlich hoher Anteil wiederkehrender Kunden oder Klicks, die sich auf dieselben IP-Bereiche, User Agents oder Rechenzentren konzentrieren.

  • Testkäufe. Käufe in sauberen Browsern und mit installierten populären Gutschein-Erweiterungen, wobei geprüft wird, wessen ID im Checkout ankommt.

Casino- und Sportwettenprogramme zahlen pro Ersteinzahlung oder als Anteil am Spielerumsatz, sodass ein per Stuffing gesetztes Cookie den Operator Akquisitionsgeld für einen Spieler zahlen lässt, den seine eigene Markenwerbung gebracht hätte. Affiliate-Bedingungen in anderen Branchen, wie die oben genannten von Amazon und Staples, verbieten diese Methoden, und iGaming-Programme folgen in der Regel demselben Muster. Prüfen Sie die Klauseln zu verbotenem Traffic und zur Stornierung von Provisionen in jedem Programm, dem Sie beitreten.

In regulierten US-Bundesstaaten ist auch der Affiliate eine regulierte Partei. Die Division of Gaming Enforcement von New Jersey registriert oder lizenziert Affiliates, die für Online-Casinos werben, und Pennsylvania verlangt von Online-Casino-Affiliates je nach Vergütungsmodell eine Zertifizierung oder Registrierung. Dort kann eine Betrugsfeststellung zu einer Lizenzfrage werden, nicht nur zu einem Vertragsstreit.

Der erste Schritt sind Belege: Zeitstempel, Click IDs und Testkäufe, die zeigen, wessen Tag im Checkout angekommen ist.

Wenn Sie Affiliate sind:

  • Verfolgen Sie die Provision pro Händler im Verhältnis zu den Klicks. Sinkende Provisionen bei gleichbleibenden Klicks sind das erste Zeichen, dass Sie überschrieben werden.

  • Testen Sie Ihre Links mit installierten gängigen Gutschein- und Cashback-Erweiterungen und prüfen Sie, ob Ihr Tag im Checkout ankommt.

  • Sichern Sie Zeitstempel, Click IDs und Screenshots und senden Sie sie an den Affiliate Manager oder das Compliance-Team des Netzwerks.

Wenn Sie ein Programm betreiben:

  • Prüfen Sie die Top-Partner monatlich auf die Zeit zwischen Klick und Conversion, den Neukundenanteil und die Referrer.

  • Führen Sie die verbotenen Methoden in Ihren Bedingungen auf, einschließlich Software, die Tags ohne Nutzeraktion hinzufügt oder ersetzt.

  • Halten Sie Auszahlungen lange genug zurück, um sie prüfen zu können, und auditieren Sie Gutschein- und Cashback-Partner gesondert.

Ja, denn das Ziel ist der Klick-Eintrag, nicht das Cookie. Browser verschärfen die Cookie-Regeln seit Jahren, und viele Programme speichern inzwischen eine Click ID und bestätigen Conversions per Postback-Tracking. Das ändert die Mechanik, nicht den Anreiz. Software, die einen Tracking-Link in einem versteckten Tab öffnet, also das oben im Phia-Bericht beschriebene Muster, erzeugt einen Klick, der für den Tracker echt aussieht.

Häufige Fragen

Cookie Stuffing verstößt gegen die Bedingungen von Affiliate-Programmen und kann Zivilklagen begründen. Im eBay-Fall klagten US-Staatsanwälte es als bundesrechtlichen Wire Fraud an, und zwei Affiliates wurden zu Haftstrafen verurteilt.

Das bekannteste Beispiel für Cookie Stuffing ist der eBay-Fall: 2006 und 2007 setzten die kostenlosen Web-Tools eines Affiliates das eBay-Cookie seiner Firma in den Browsern von Besuchern, ohne dass auf einen eBay-Link geklickt wurde. Er bekannte sich 2013 des Wire Fraud schuldig.

Cookie Stuffing zeigt sich in Conversions Sekunden nach einem Klick, in Klicks ohne Impressions oder Referrer und darin, dass ein Partner kurz vor dem Checkout wiederholt einen anderen überschreibt.

Cookie Dropping ist meist nur ein anderer Name für Cookie Stuffing. Click Spamming überflutet einen Tracker mit gefälschten Klicks, um später Conversions zu beanspruchen, vor allem in App-Kampagnen.

Browser-Erweiterungen können Cookie Stuffing betreiben, indem sie im Checkout Affiliate-Tags hinzufügen oder ersetzen, was die Richtlinie des Chrome Web Store ohne zugehörige Nutzeraktion verbietet.

Cookie Stuffing passt sich an eine Welt ohne Third-Party-Cookies an. Mit Click IDs und Server-to-Server-Tracking verlagert sich der Angriff darauf, Klicks über versteckte Tabs, Weiterleitungen oder Erweiterungen zu erzeugen.

Quellen

Weiterlesen

Alles in Wissensdatenbank →