Cookie Dropping

Unter Cookie Dropping versteht man eine Methode, bei der versucht wird, bei bloßer Ansicht einer Webseite, einen Cookie im Webbrowser des Nutzers zu platzieren. Diese Methode kommt sehr häufig im Affiliate Marketing zum Einsatz und wird offiziell als Betrug eingestuft. Somit gehört das Cookie Dropping zu den Black-Hat-Methoden im Affiliate-Marketing. Mit Hilfe des Cookies möchte der Affiliate im Falle einer erfolgreichen Conversion eine Provision erhalten. Der normale Internetnutzer bekommt von diesem Vorgang in der Regel nichts mit.

Wie funktioniert das Cookie Dropping?

Wie bereits kurz erwähnt, ist die bloße Ansicht einer Webseite ausreichend, um einen Cookie „zu droppen“ bzw. im Browser zu platzieren. Im Affiliate Marketing ist genau das aber nicht ausreichend. Hier bedarf es nicht der bloßen Ansicht des entsprechenden Werbemittels, sondern es muss aktiv eine Handlung bzw. ein Klick auf ein entsprechendes Werbemittel erfolgen. Diese Klicks werden dann mit Hilfe eines AdServers registriert.

Beim Cookie Dropping werden diese Klicks künstlich erzeugt und im Browser platziert, ohne das der Nutzer davon etwas mitbekommt. Ein aktiver Klick des Nutzers auf einen entsprechenden Link ist somit für das Setzen des Cookies nicht erforderlich. Besucht der Nutzer im Anschluss daran den am Affiliate-Programm teilnehmenden Händler (einen Online-Shop) und tätigt dann einen Kauf, wird dieser mit Hilfe des illegal gesetzten Cookies registriert. Das Problem: Der Affiliate erhält dafür eine bestimmte Provision, die ihm nicht zusteht. Der Sinn hinter dem Affiliate-Programm ist der, dass im Falle einer erfolgreichen Vermittlung eine Provision an den Affiliate, also den Vermittler, gezahlt wird.

Im Ernstfall kann es sogar vorkommen, dass die gezahlte Provision an den falschen gezahlt wird. Hat beispielsweise ein potentieller Käufer eine Webseite besucht und dort auf legalem Wege einen Cookie im Browser platziert bekommen und besucht im Anschluss eine Webseite, die per verbotenem Cookie Dropping einen Cookie setzt, wird der „legale Cookie“ überschrieben. Der Grund dafür ist der, dass die Provision immer an den Vermittler des zuletzt gesetzten Cookies gezahlt wird. Dieses Verfahren bezeichnet man auch als „Last Cookie Wins“. Davon profitiert demnach der Blackhat und nicht derjenige, dem die Provision zustünde. Um die ehrlichen Affiliates zu schützen, zählt das Cookie Dropping zu den verbotenen Black-Hat-Methoden. Hinzu kommt seit dem 1. Dezember 2021 eine rechtliche Hürde: Nach § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG, bis Mai 2024 TTDSG) darf auf dem Endgerät eines Nutzers nur mit dessen Einwilligung etwas gespeichert oder ausgelesen werden, sofern es nicht technisch unbedingt erforderlich ist. Ein heimlich gesetzter Affiliate-Cookie verstößt damit nicht nur gegen die Regeln des Netzwerks, sondern auch gegen das Datenschutzrecht.

Wie reagieren Affiliate Netzwerke auf Cookie Dropping?

Um den ehrlichen Vermittler bzw. Publisher zu schützen, investieren Affiliate Netzwerke viel Zeit und Geld um eventuelle betrügerische Maßnahmen schnellstmöglich zu enttarnen. Man geht heute mehrheitlich davon aus, dass der große Teil solcher Netzwerke (zumindest die großen) über Mittel und Wege verfügen (meistens mit Hilfe einer Software), um solche betrügerischen Handlungen zu entdecken.

Auffälligkeiten im Zusammenspiel mit Cookie Dropping

Bestimmte Auffälligkeiten unterscheiden die ehrlichen von den betrügerischen Affiliates. Das wahrscheinlich auffälligste Indiz für eine betrügerische Maßnahme ist das Wachstum. Im Normalfall sollte das Wachstum bzw. die Anzahl der Klicks und die damit verbundene Provision für den Affiliate langsam und ggf. auch stetig anwachsen. Findet ein solcher Anstieg der Zahlen sehr schnell und vor allem sprunghaft statt, liegt hier mit sehr hoher Wahrscheinlichkeit ein Betrug vor.

Im Falle des Betrugs erfolgt die Strafe

Stellt das Affiliate Netzwerk bestimmte Unregelmäßigkeiten fest und kann einen Betrug nachweisen, hat der betroffene Affiliate mit den entsprechenden Konsequenzen zu rechnen. Zunächst, und das ist die vermutlich naheliegendste Variante, wird der Affiliate mit sehr hoher Wahrscheinlichkeit vom Affiliate Programm ausgeschlossen. Da in einem solchen Fall auch zu Unrecht Gelder an den Affiliate geflossen sind, muss ebenfalls mit einer Strafanzeige gerechnet werden. Naheliegend ist auch, dass der Geschädigte Schadensersatz geltend macht bzw. die bereits gezahlten Provisionen zurückfordern wird. Bei solchen Konsequenzen, die je nach Schwere des Falls natürlich unterschiedlich ausfallen können, sollte man sich im Vorfeld überlegen, ob man dieses Risiko überhaupt eingehen möchte. Grundsätzlich empfiehlt es sich nach dem Grundsatz „Ehrlich währt am längsten“ zu handeln und somit sich selbst, aber auch anderen gegenüber, ehrlich erfolgreich zu sein.

Die zukünftige Entwicklung – Ein Ausblick

Die Frage, die sich stellt lautet: Ist das aktuelle Verfahren des Trackings mit Hilfe von Cookies überhaupt noch zeitgemäß? Die Browser haben hier Fakten geschaffen: Safari blockiert Drittanbieter-Cookies seit März 2020 standardmäßig, Firefox sperrt Cookies seit Juni 2022 in getrennte „Cookie-Behälter“ je Website, und nur Chrome hat seinen angekündigten Ausstieg im April 2025 abgesagt und belässt Drittanbieter-Cookies vorerst. Die Affiliate-Netzwerke haben darauf reagiert: Awin etwa verlangt seit Juli 2024 von allen Advertisern eine Kombination aus eigenem Tracking-Tag im Shop und Server-zu-Server-Tracking, weil Klicks, die allein an einem Drittanbieter-Cookie hängen, sonst gar nicht mehr gezählt würden. Ein über eine fremde Seite „gedroppter“ Cookie erreicht den Shop also in vielen Browsern nicht mehr; das klassische Cookie Dropping verliert damit seine technische Grundlage, auch wenn „Last Cookie Wins“ als Zuordnungsregel in den Netzwerken weiterhin verbreitet ist.

Der entscheidende Punkt ist, dass sich das heutige Internetverhalten jedes Einzelnen im Vergleich zu früher deutlich verändert hat. Eine potentielle Kaufentscheidung im Internet wird in der Regel gründlich eruiert. Somit ist der Weg von „ich überlege mir das zu kaufen“ bis hin zu „ich kaufe mir das“ ein langer, bei dem häufig im Vorhinein viele Webseiten besucht werden. Fraglich ist, ob auf dieser sogenannten „Customer Journey“ nicht alle beteiligten Webseiten einen bestimmten Teil zum Kauf beigetragen haben und es somit auch fairer wäre, die beteiligten Webseiten an der ausgezahlten Provision zu beteiligen. Es würde als nicht nur der zu Letzt gesetzte Cookie zählen, sondern alle Webseiten die zur Kaufentscheidung beigetragen haben.

Spannend zu beobachten wird auch sein, wie sich einzelne Felder der Internetkriminalität entwickeln und sanktioniert werden. Fakt ist, dass durch die immer stärkere Digitalisierung auch die Anzahl der Straftaten im Internet zunimmt.