Affiliate-Betrug: die Arten, wie du ihn erkennst und wie du ihn stoppst

Affiliate-Betrug ist jede Aktivität in deinem Affiliate-Programm, die nur erzeugt wird, um eine Auszahlung auszulösen, ohne echten Wert zu schaffen: ein gefälschter Klick, ein untergeschobenes Cookie, ein von Bots ausgefülltes Formular, ein Kauf über den eigenen Link. Warum das wichtig ist, ist schnell erklärt und ein bisschen schmerzhaft. In einem Affiliate-Programm bezahlst du Affiliates für Ergebnisse. Sobald jemand ein Ergebnis fälschen kann, kann er es dir also auch in Rechnung stellen. Am Ende zahlst du echtes Geld für Aktivität, hinter der nie ein Kunde stand. Schlimmer noch: Diese gefälschte Aktivität verfälscht still und leise die Daten, auf die du jede andere Entscheidung stützt.

Die gute Nachricht gleich vorweg: Betrug lässt sich sehr gut erkennen, wenn du die Signale kennst, und das meiste davon fängst du ab, bevor auch nur ein Dollar dein Konto verlässt. Dieser Leitfaden zeigt dir die wichtigsten Arten, wie die Erkennung von Affiliate-Betrug tatsächlich funktioniert und wie du ihn stoppst, ohne dein Programm in einen Ort zu verwandeln, an dem ehrliche Affiliates ungern arbeiten.

Wer Affiliate-Betrug begeht und warum

Der Anreiz erklärt alles. Affiliates werden für die Aktivität bezahlt, die sie dir schicken. Ein unehrlicher Affiliate hat also ein direktes, offensichtliches Motiv, genau diese Aktivität zu fälschen. Zahlst du pro Verkauf, versucht er, Verkäufe zu fälschen oder sich Verkäufe gutschreiben zu lassen, die er gar nicht ausgelöst hat. Zahlst du pro Lead oder pro Klick, wird das Fälschen noch billiger, denn ein Bot füllt ein Formular aus oder klickt einen Link viel schneller, als ein Mensch irgendetwas kauft.

Eines möchte ich klar sagen, weil es bestimmt, wie du reagieren solltest: Die große Mehrheit der Affiliates ist ehrlich. Die meisten sind Creator, Rezensenten und Betreiber, die lieber etwas Dauerhaftes aufbauen, als ein Programm für eine schnelle Auszahlung zu verbrennen. Betrug kommt meist von einer kleinen Gruppe: Gelegenheitstätern, die testen, was dein System durchlässt, ein paar professionellen Betrügern, die das in vielen Programmen machen, und gelegentlich einem sonst seriösen Affiliate, der eine Abkürzung nimmt, von der er glaubt, dass du sie nie bemerkst.

Genau wegen dieser Mischung ist Misstrauen gegenüber allen die falsche Haltung. Richtig ist ein System, das jede Aktivität nach denselben Regeln bewertet, die ehrliche Mehrheit ohne Reibung bezahlt und die Ausnahmen still vor der Auszahlung abfängt. Die Kontrollen gehören in die Technik im Hintergrund, nicht in eine Mauer aus manuellen Freigaben, die deine besten Affiliates bestraft.

Die wichtigsten Arten von Affiliate-Betrug

Betrug tritt in einer Handvoll gut erkennbarer Formen auf. Hier kommt jede einzelne: wie sie funktioniert und was sie dich wirklich kostet.

Cookie Stuffing

Beim Cookie Stuffing wird das Tracking-Cookie eines Affiliates im Browser eines Besuchers abgelegt, ohne dass diese Person je auf einen echten Link geklickt hat. (Ein Tracking-Cookie ist die kleine Datei, die deinem System sagt: „Dieser Affiliate hat diesen Besucher vermittelt.“) Der Betrüger lädt das Cookie unsichtbar, oft über ein verstecktes Bild, einen iFrame oder ein Skript auf einer Seite, die nichts mit deinem Produkt zu tun hat. So wird es bei allen gesetzt, die dort landen.

Der Schaden ist gestohlene Attribution. Kauft einer dieser Besucher später ganz von selbst bei dir, sieht es durch das untergeschobene Cookie so aus, als hätte der Affiliate ihn geschickt. Du zahlst Provision für einen Kunden, der sowieso gekommen wäre. Im großen Stil kann ein einziger Cookie-Stuffer auf einer Seite mit viel Traffic unbemerkt einen großen Teil deiner organischen Verkäufe für sich verbuchen.

Klickbetrug und Bot-Klicks

Klickbetrug bedeutet, Klicks auf Affiliate-Links zu erzeugen, die kein echter Mensch gemacht hat, meist mit Bots. (Ein Bot ist ein automatisiertes Skript, das sich als Browser ausgibt.) Direkt lohnt sich das nur, wenn du pro Klick zahlst. Es taucht aber überall auf, weil aufgeblähte Klickzahlen die Statistik eines Betrügers stark aussehen lassen und spätere Ansprüche über Cookies vorbereiten können.

Bot-Traffic ist billig und schnell, die reinen Zahlen können also riesig sein. Verräterisch ist, dass diese Klicks so gut wie nie konvertieren, weil am anderen Ende kein Mensch sitzt. Zahlst du pro Klick, wird dir jeder einzelne berechnet. Zahlst du nicht pro Klick, entstehen dir trotzdem versteckte Kosten: Deine Klick- und Conversion-Daten werden so verzerrt, dass du nicht mehr erkennst, welche echten Affiliates wirklich etwas leisten.

Gefälschte Leads

Gefälschte Leads sind ausgefüllte Formulare, Anmeldungen oder Testphasen, die nur angelegt werden, um eine Auszahlung pro Lead auszulösen, ohne dass eine echte Person oder Absicht dahintersteht. (Ein Lead ist ein Interessent, der eine kleine Aktion vor dem Kauf ausführt, zum Beispiel seine E-Mail-Adresse einträgt.) Die klassische Variante nutzt Wegwerf-E-Mail-Adressen, also Postfächer, die nur ein paar Minuten existieren. So kann ein Skript Hunderte „Leads“ erzeugen, die genau so lange echt aussehen, bis die Auszahlung erfolgt ist.

Zahlst du eine Prämie pro Lead, trifft dich das direkt im Geldbeutel. Selbst in einem reinen Programm mit Vergütung pro Verkauf verstopfen gefälschte Anmeldungen dein CRM, ruinieren deine Conversion-Rate vom Lead zum Kunden und können Probleme bei der E-Mail-Zustellbarkeit auslösen, wenn du Adressen anschreibst, die nicht zustellbar sind oder dich als Spam melden.

Affiliate-Hijacking und Brand Bidding

Beim Affiliate-Hijacking schiebt sich ein Affiliate vor Käufer, die ohnehin schon auf dem Weg zu dir waren, damit sein Tracking einen Verkauf gutgeschrieben bekommt, den er nicht ausgelöst hat. Die häufigste Form ist Brand Bidding: Der Affiliate schaltet eine Suchanzeige auf deinen eigenen Markennamen, fängt jemanden ab, der dein Unternehmen bei Google eintippt, und leitet diesen kaufbereiten Besucher über einen Affiliate-Link weiter.

Der Käufer gehörte schon dir. Suchen nach deiner Marke sind der günstigste Traffic mit der höchsten Kaufabsicht, den du je bekommst, und Hijacking macht daraus einen voll verprovisionierten Verkauf. In deinem Dashboard sieht der Hijacker wie ein Star aus, weil er sich ganz unten im Funnel, wo die Conversion-Raten spektakulär sind, fremde Verkäufe gutschreiben lässt. Brand Bidding ist die häufigste Lücke in den Regeln, die ich bei ansonsten gut geführten Programmen sehe. Es verdient deshalb eine eigene, ausdrückliche Zeile in deinen Affiliate-Bedingungen.

Eigenkäufe (Self-Referrals)

Bei Eigenkäufen kaufen Affiliates über ihren eigenen Link oder lassen Freunde und Fake-Konten darüber kaufen, um die Provision auf den eigenen Kauf einzustreichen. Manchmal ist es nur ein einmaliger Griff nach einem Rabatt. Manchmal ist es ein Ring aus Fake-Konten, der Käufe und Erstattungen im Kreis laufen lässt, um Provisionen abzugreifen.

Hier fließt das Geld direkt ab: Du finanzierst einen Rabatt und zahlst Provision auf einen „Verkauf“, der keinen neuen Kunden gebracht hat. Ringe, die Eigenkäufe mit späteren Erstattungen oder Rückbuchungen kombinieren, schaden dir doppelt: Sie kassieren auf dem Hinweg die Provision und holen sich auf dem Rückweg das Geld für den Verkauf zurück.

Traffic-Verschleierung über Proxys und VPNs

Bei der Traffic-Verschleierung wird versteckt, woher gefälschte Aktivität wirklich kommt, damit sie an Filtern vorbeirutscht und wie eine Streuung normaler Besucher aussieht. Betrüger leiten Klicks und Anmeldungen über Proxys, VPNs, das Tor-Netzwerk oder gemietete Rechenzentrumsserver. (Ein Proxy oder VPN ist ein Zwischenknoten, der die echte IP-Adresse des Besuchers gegen eine andere austauscht. Eine Rechenzentrums-IP gehört zu einer Serverfarm, nicht zu einem privaten Internetanschluss.)

Die Verschleierung selbst bringt noch keine Auszahlung. Sie ist die Tarnung, die jede andere Betrugsart schwerer erkennbar macht. Eine einzige Bot-Farm kann als Tausende einzelner Besucher aus verschiedenen Ländern erscheinen. Deshalb ist die IP-Reputation, also die Frage, ob eine Adresse ein echter privater Anschluss oder ein bekannter Zwischenknoten ist, eines der nützlichsten Signale, die du hast.

Hier alle sechs Arten noch einmal kurz auf einen Blick:

So erkennst du Affiliate-Betrug

Affiliate-Betrug zu erkennen heißt, eine Handvoll Signale zu lesen und zu bemerken, wenn sie nicht zu echtem menschlichem Verhalten passen. Kein einzelnes Signal ist ein Beweis. Betrug zeigt sich als Bündel von Signalen, die in dieselbe Richtung zeigen. Diese hier haben sich ihren Platz verdient.

Traffic-Qualität und IP-Reputation. Das stärkste Signal ist, woher der Traffic tatsächlich kommt. Echte Kunden kommen meist über private oder mobile Anschlüsse. Strömen Klicks und Anmeldungen von Rechenzentrums-IPs, bekannten Proxys, VPNs oder Tor-Exit-Nodes herein, ist das Verschleierung und schon für sich ein starkes Warnsignal. Dienste für IP-Reputation erfassen außerdem Adressen, die kürzlich irgendwo im Internet für Missbrauch genutzt wurden. So fallen Betrüger auf, bevor sie in deinem Programm überhaupt etwas getan haben.

Bot-Signale und Geräte-Fingerprints. Echte Browser verhalten sich wie echte Browser. Automatisierter Traffic löst typischerweise Bot-Erkennungsregeln aus: fehlende Browserfunktionen, unmögliche Bildschirmgrößen, typische Spuren von Headless-Browsern oder Dutzende „Besucher“, die sich einen einzigen Fingerprint teilen.

Tempo und plötzliche Spitzen. Menschen kommen in menschlichem Tempo. Hundert Klicks oder Anmeldungen von einem Affiliate in neunzig Sekunden oder eine schnurgerade Aktivitätslinie um 3 Uhr nachts: Das ist eine Maschine. Plötzliche Spitzen, die zu keiner dir bekannten Kampagne passen, gehören zu den Mustern, die du am leichtesten erkennst, sobald du darauf achtest.

Unpassende Conversion-Raten. Das ist der leise Hinweis, der Bots auch dann entlarvt, wenn die IPs sauber aussehen. Tausende Klicks und fast null Verkäufe bedeuten, dass am anderen Ende kein Mensch sitzt. Umgekehrt deutet eine verdächtig perfekte Conversion-Rate ganz unten im Funnel oft auf Hijacking oder Eigenkäufe hin, bei denen der „Affiliate“ nur Käufer abgreift, die sich längst entschieden hatten.

Doppelte Konten und Wegwerf-E-Mails. Gefälschte Leads und Ringe mit Eigenkäufen hinterlassen Spuren: viele Anmeldungen mit derselben IP, demselben Gerät oder derselben Zahlungsmethode, ganze Schübe von Adressen aus Domains für Wegwerf-E-Mails, Namen, die leicht abgewandelte Kopien voneinander sind. Wenn du die Kontodaten eines Affiliates mit den Käufern abgleichst, die er vermittelt, fällt ein Großteil der Eigenkäufe auf.

Anteil ungültigen Traffics über die Zeit. Jedes einzelne Warnsignal kann ein Fehlalarm sein. Schwer zu fälschen ist ein Muster. Verfolge, welcher Anteil des Traffics jedes Affiliates als ungültig markiert wird. Dann hebt sich ein Wiederholungstäter deutlich von einem ehrlichen Affiliate ab, der gelegentlich einen merkwürdigen Klick schickt.

Der rote Faden: Bewerte die Qualität der Conversions, nicht nur das Volumen. Ein Affiliate, der weniger Klicks schickt, aus denen echte, treue Kunden werden, ist viel mehr wert als einer, der eine Flut schickt, die so gut wie nie konvertiert. Die Einnahmen pro Klick sind dafür ein guter, ehrlicher Maßstab.

So verhinderst und stoppst du Affiliate-Betrug

Die Erkennung sagt dir, was passiert ist. Bei der Vorbeugung geht es darum, alles so einzurichten, dass gefälschte Aktivität gar nicht erst bezahlt wird. Das wichtigste Prinzip: vor der Auszahlung prüfen, nicht danach. Geld zurückzuholen, das du schon überwiesen hast, ist langsam, unangenehm und oft unmöglich. Es gar nicht erst zu zahlen, ist sauber.

Das hier funktioniert wirklich, ungefähr sortiert nach Wirkung:

• Bewerte und prüfe jede Aktion in Echtzeit, bevor sie auszahlbar wird. Jeder Klick und jeder Lead wird in dem Moment, in dem er entsteht, gegen die Betrugssignale oben geprüft. So landet nichts Verdächtiges im Stapel „bereit zur Auszahlung“.
• Schick verdächtige Aktivität zur Prüfung in Quarantäne, statt sie automatisch abzulehnen. Halte alles mit hohem Risiko in einem Zustand „erfasst, aber unbezahlt“. Stellt sich heraus, dass es ein echter Kunde hinter einem Firmen-VPN ist, kannst du es freigeben. Fehlalarme gibt es wirklich, und ein gutes System lässt dich sie korrigieren, ohne echten Betrug zu bezahlen.
• Begrenze die Aktivität pro IP. Eine Adresse, die zwanzig „Anmeldungen“ erzeugt, ist eine Person oder ein Bot, nicht zwanzig Kunden. Limits pro IP stoppen die billigsten Massenangriffe sofort.
• Verfolge den Ruf deiner Affiliates und sperre Wiederholungstäter. Halte für jeden Affiliate fest, wie viel seines Traffics ungültig ist. Wer auffällig bleibt, bekommt erst eine Warnung, dann werden Zahlungen zurückgehalten, dann wird er gesperrt. Der meiste Betrug kommt von wenigen Konten. Wenn du sie entfernst, ist das Gröbste erledigt.
• Zieh Programme nur auf Einladung oder mit Freigabe in Betracht. Eine offene Anmeldung ist bequem, aber eben auch eine offene Tür. Wenn du Bewerbungen prüfst oder neue Affiliates mit niedrigeren Limits starten lässt, bis sie sich bewährt haben, verhinderst du viel Betrug, bevor er anfängt.
• Setz Budgets und zahle für verifizierte Ergebnisse. Zahle wo immer möglich pro verifiziertem Verkauf statt pro rohem Klick oder unqualifiziertem Lead. Je weiter unten im Funnel dein Auszahlungsauslöser sitzt, desto weniger lässt sich fälschen. Und begrenze, was ein einzelner Affiliate in einem Zeitraum verdienen kann. Dann kann selbst ein Betrug, der durchrutscht, nicht mit deinem Monatsbudget durchbrennen.

Meine Haltung, ganz offen: Wenn dein Programm zuerst zahlt und erst danach prüft, hast du den Kampf schon verloren. Der einzige verlässliche Ort, um Affiliate-Betrug zu stoppen, ist die Schranke zwischen „Aktivität erfasst“ und „Aktivität auszahlbar“. Alles davor ist Erkennung. Diese Schranke ist Vorbeugung.

So geht Rekomi mit Affiliate-Betrug um

Wir haben den Betrugsschutz von Rekomi genau um diese Schranke herum gebaut. Hier steht deshalb, was er macht, konkret und ohne Marketing-Glanz.

Jeder Klick und jeder Lead wird in Echtzeit bewertet, bevor er überhaupt bezahlt werden kann. Dabei wird jede Aktivität in mehreren Dimensionen gegen die IP-Reputation geprüft: ob die Adresse ein bekannter Proxy, ein VPN, ein Tor-Exit-Node oder eine Rechenzentrums-IP ist, ob sie mit aktuellem Missbrauch an anderer Stelle in Verbindung steht, ob sie nach einem Bot aussieht, dazu ein kombinierter Betrugs-Score, der diese Signale zu einer Zahl zusammenführt. Diese Bewertung passiert in dem Moment, in dem die Aktivität ankommt, nicht bei einer nächtlichen Aufräumaktion, nachdem die Auszahlungen schon raus sind.

Ein entscheidendes Detail, auf dem all das aufbaut: Rekomi erfasst die echte IP-Adresse des Besuchers so, dass Affiliates sie nicht fälschen können, statt einem Wert zu vertrauen, den der Client manipulieren könnte. Das ist wichtiger, als es klingt, denn erst eine vertrauenswürdige IP macht alles andere verlässlich. Nur so können wir Limits pro IP durchsetzen und Aktivität zuverlässig auf Duplikate prüfen, damit aus zwanzig Treffern von einer Adresse nicht zwanzig Auszahlungen werden.

Traffic mit hohem Risiko landet in Quarantäne: erfasst und für dich sichtbar, aber nicht bezahlt. Ist etwas ein Fehlalarm, zum Beispiel ein echter Kunde hinter einem Firmen-VPN, kann die Marke diese Aktivität prüfen und manuell validieren. So geht ein ehrlicher Verkauf nicht an einen vorsichtigen Filter verloren. Affiliates mit dauerhaft hohem Anteil an ungültigem Traffic werden markiert und können automatisch gesperrt werden, damit ein einzelner Betrüger dein Programm nicht immer weiter austesten kann.

Und das System arbeitet nach dem Fail-closed-Prinzip: Im Zweifel zahlt es nicht. Kann Traffic aus irgendeinem Grund nicht bewertet werden, wird er nicht bezahlt. Unbewertet heißt nie automatisch bezahlt, sondern zurückgehalten, bis eine Bewertung möglich ist. Das passt ganz natürlich dazu, für verifizierte Ergebnisse zu zahlen. Mehr dazu liest du in unserem Beitrag zu Cost per Sale im Vergleich zu Cost per Click.

Ich will hier ehrlich sagen, wo die Grenze liegt, denn kein Anbieter kann ehrlicherweise etwas anderes versprechen: Nichts beseitigt 100% des Betrugs. Entschlossene Betrüger entwickeln sich ständig weiter, und jedes System, das eine perfekte Quote verspricht, würde dich anlügen. Was die Bewertung in Echtzeit zusammen mit einer harten Schranke vor der Auszahlung leistet: Sie ändert die Kosten-Nutzen-Lage für Betrüger. Der überwältigende Großteil wird vor der Auszahlung abgefangen, und der Rest wird so aufwendig, dass sich die meisten Betrüger lieber ein leichteres Programm suchen.

Fazit

Affiliate-Betrug ist real, aber kein Mysterium, und du kannst ihn sehr gut in den Griff bekommen. Er tritt in wenigen erkennbaren Formen auf, hinterlässt klare Signale und lässt sich an einer bestimmten Stelle stoppen: an der Schranke zwischen Aktivität und Auszahlung. Bewerte jede Aktion in Echtzeit, schick Verdächtiges in Quarantäne, begrenze die Aktivität pro IP und zahle für verifizierte Ergebnisse. Dann bezahlst du deine ehrlichen Affiliates vollständig, während die gefälschte Aktivität still an der Tür abprallt.

Dein nächster Schritt: Öffne deine Affiliate-Berichte und sortiere deine Affiliates nach Conversion-Rate. Bei jedem mit einer Flut von Klicks und fast keinen echten Kunden lohnt sich als Erstes eine Viertelstunde Recherche. Wenn diese Prüfung lieber automatisch bei jedem Klick und jedem Lead laufen soll, bevor du überhaupt zahlst, sieh dir an, wie die Preise und der eingebaute Betrugsschutz von Rekomi funktionieren. Dort kannst du Rekomi auch 14 Tage kostenlos testen.