Versteckspiel mit Testern: YouTuber und Digital-Forensiker decken neuen Honey-Skandal auf

Ende 2024 hat der YouTuber MegaLag mit einem Video ein System ans Licht gebracht, das weit über einfache Provisions-Tricks hinausgeht. Seitdem sind die Nutzerzahlen von Honey deutlich gesunken. Von einst etwa 17 bis 20 Millionen Nutzern der Chrome-Erweiterung sind noch 12 Millionen laut aktuellen Zahlen im Chrome Web Store übrig. In einem neuen Video erhebt der YouTuber schwere Anschuldigungen gegen das Unternehmen. Um seine technischen Funde abzusichern, holte MegaLag den renommierten Sicherheitsforscher Ben Edelman ins Boot, der die Entdeckungen aus erster Hand verifizierte.

Gemeinsam entlarvten sie ein System, das in seinen Ausmaßen an den Dieselskandal erinnere. Das sogenannte SSD-System (Selective Standdown) sei eine im Quellcode versteckte Logik, die Honey wie eine Art digitale Tarnkappe nutze. Das Prinzip sei ebenso simpel wie perfide: Die Browser-Erweiterung erkenne anhand spezifischer Merkmale, ob sie gerade von einem Prüfer oder einem gewöhnlichen Nutzer verwendet werde.

Geprüft würden laut den Analysen vier zentrale Kriterien, um potenzielle Tester zu identifizieren: das Alter des Accounts, den Punktestand, eine serverseitige Blacklist und das Vorhandensein von Cookies professioneller Affiliate-Netzwerke wie CJ oder Awin. Wenn Honey vermute, dass ein Branchen-Insider zuschaue, verhalte sich die Erweiterung absolut regelkonform und verzichte auf das Überschreiben fremder Tracking-Links. Sobald die Software jedoch einen normalen Shopper identifiziere – etwa jemanden mit vielen Treuepunkten und ohne professionelle Cookies –, schalte sie in den Angriffsmodus und injiziere eigene Codes, um Provisionen abzugreifen, die eigentlich Influencern zustünden.

Edelman vergleiche dieses Verhalten mit dem Dieselgate-Skandal von Volkswagen, da die Software gezielt so programmiert worden sei, dass sie Testsituationen erkenne und manipuliere. Die Beweise wögen schwer, da sie nicht auf Vermutungen basierten, sondern direkt aus den Konfigurationsdateien und dem JavaScript-Code der Erweiterung extrahiert worden seien. Diese manipulative Logik sei laut Edelman über die Jahre verfeinert worden; so sei die notwendige Punkteschwelle für das Auslösen der Manipulation von etwa 501 Punkten im Jahr 2022 auf aktuell über 65.000 Punkte angestiegen, was eine Entdeckung durch Gelegenheitsprüfer nahezu unmöglich mache.

Die gezielte Verschleierung gegenüber Testern beweise für die Ermittler vor allem eines: Honey habe genau gewusst, dass das eigene Verhalten gegen geltende Netzwerkregeln verstoße, und habe einen erheblichen Aufwand betrieben, um nicht erwischt zu werden. Spuren des Selective-Standdown-Protokolls ließen sich laut MegaLag bis in das Jahr 2017 zurückverfolgen. Damit in eine Zeit, lange bevor PayPal eine Beteiligung an dem Unternehmen gehabt habe.

Ein weiterer Kritikpunkt im Video ist die bewusste Täuschung der Nutzer durch eine künstlich aufgeblähte Gutschein-Datenbank. MegaLag zeige auf, dass Honey oft abgelaufene oder gar funktionslose Codes als exklusiv tarne, nur um den Nutzer länger in der Erweiterung zu halten. Während der automatisierte Prüfvorgang laufe, platziere Honey im Hintergrund seinen eigenen Affiliate-Cookie und überschreibe dabei oft die Links von Influencern oder Content-Erstellern, selbst wenn gar kein funktionierender Rabatt gefunden worden sei. Dieses Vorgehen sorge dafür, dass die Provision am Ende bei PayPal lande, während der ursprüngliche Vermittler leer ausgehe.

In einem weiteren Video hat MegaLag zudem gezeigt, dass Honey auch Coupons aus Nutzereingaben abgreife und diese an andere Nutzer verteile. Versuchten Shop-Betreiber dagegen vorzugehen, würden sie genötigt, eine Partnerschaft mit Honey einzugehen. Das Verhalten von Honey sei insgesamt fragwürdig. Aus Nutzersicht seien primär die Privatsphärereingriffe unangenehm. Die unangenehmste Folge für Händler sei wohl die systematische Zerstörung ihrer Marketingstrategien. Durch das unautorisierte Veröffentlichen privater Gutscheincodes würden massive Einnahmeverluste ausgelöst. Um die Kontrolle über das eigene Rabattsystem zurückzugewinnen, würden Händler dann in eine Partnerschaft mit Honey gedrängt. Unternehmen und Content-Creator, die auf Affiliate-Marketing-Einnahmen angewiesen seien, würden systematisch um ihre Existenzgrundlage gebracht, da Honey sich erst im Moment des Bezahlvorgangs unberechtigt die Provision für bereits sicher geglaubte Verkäufe sichere.