Phia Attributionsskandal: 51 % des GMV im Juni unter Verdacht

Ungefähr 51 Prozent. Das ist der Anteil des Warenwerts vom Juni 2026, den eine vorläufige interne Analyse den umstrittenen Affiliate-Tracking-Funktionen von Phia zugeschrieben hat – so berichtete Bloomberg am 11. August in einem Folgeartikel. Phia bestreitet die Methodik, doch das zugrundeliegende Umsatzdiagramm spricht eine eigene Sprache: Der durchschnittliche Tagesumsatz brach von etwa 80.000 Dollar vor der Abschaltung auf einen Bereich von 10.000 bis 28.000 Dollar danach ein. Das entspricht einem Rückgang der täglichen Run Rate von 65 bis 88 Prozent, je nachdem, welches Ende der Spanne man zugrunde legt.

Die Zahlen

Zwei Zahlen bilden den Kern dieser Geschichte, und beide müssen zusammen betrachtet werden. Die erste ist der 51-Prozent-Anteil des GMV im Juni, den eine vorläufige interne Analyse mit den umstrittenen Praktiken in Verbindung brachte, wie Affiverse berichtete. Die zweite ist das von Bloomberg eingesehene Umsatzdiagramm, das zeigt, wie der Tagesumsatz von etwa 80.000 Dollar auf 10.000 bis 28.000 Dollar fiel, nachdem die umstrittene Funktionalität und andere Monetarisierungsfunktionen Anfang Juli abgeschaltet wurden.

Diese beiden Datenpunkte sind nicht ganz dieselbe Aussage. Die 51-Prozent-Schätzung ist eine transaktionsbezogene Attributionsfrage: Wie viel des gutgeschriebenen GMV wäre unter einer strengeren Definition von „bewusster Käuferinteraktion" nicht an Phia geflossen? Der Umsatzrückgang ist eine Frage auf oberster Ebene, die auch Phias Entscheidung erfasst, „den Großteil der Monetarisierungsaktivitäten" abzuschalten – so die Aussage des Unternehmens selbst. Phia stellt ausdrücklich klar, dass beide nicht gleichgesetzt werden sollten, und in diesem engen Punkt haben sie analytisch recht. Der Umsatzrückgang übertreibt den reinen Attributionseffekt, weil er andere abgeschaltete Funktionen in dasselbe Vorher-/Nachher-Fenster bündelt.

Dennoch ist der Bereich relevant. Nimmt man den niedrigen Rückgang von 65 Prozent als Obergrenze für den Anteil der reinen „sonstigen Monetarisierung" und die 88 Prozent als Obergrenze für die Abhängigkeit von den umstrittenen Funktionen, landet der aufmerksame Leser irgendwo dazwischen. Die interne Schätzung von 51 Prozent liegt innerhalb dieses Bands. Sie ist nicht offensichtlich falsch, nur weil Phias Sprecher die Methodik als fehlerhaft bezeichnet.

Die Zeitleiste verdichtet dies weiter. Die Funktion „enable coupon auto drop" wurde am 10. Dezember 2025 aktiviert und am 7. Juli 2026 deaktiviert – demselben Tag, an dem Bloomberg das Unternehmen erstmals für eine Stellungnahme kontaktierte. Das ist ein Betriebsfenster von sieben Monaten. Die Korrektur von impact.com betraf ausstehende oder gesperrte Aktionen ab dem 20. Juni 2026, und Stornierungen wurden am 29. Juli 2026 verarbeitet. Die Quelle gibt nicht an, wie viele Transaktionen impact.com storniert hat oder welchen Dollarwert diese repräsentierten – was von Bedeutung ist, da dies die einzige Quantifizierung des Schadens durch Dritte ist, die wir haben. Ohne diese Zahl können Markenpartner wie Nike, Gap und Nordstrom (von denen keiner gegenüber Bloomberg Stellung nahm) ihr Exposure nicht eigenständig beziffern.

Was wirklich neu ist

Die erste Bloomberg-Untersuchung vom 9. Juli beschrieb eine Browser-Erweiterung, die Affiliate-Attributionen ohne bewusste Käuferinteraktion beanspruchen konnte. Diese Einordnung stimmte mit Phias eigener damaliger Erklärung überein: Ein Code-Pfad in einem neueren Release hatte bei einer Untergruppe von Nutzern zu Fehlzuschreibungen geführt, und das Unternehmen handelte, sobald es informiert wurde. Fehlerhafter Code, schnelle Lösung, Compliance-Einstellung in Vorbereitung. Eine vertraute Geschichte.

Der Folgeartikel vom 11. August bricht diesen Rahmen auf. Drei Dinge sind wirklich neu. Erstens die behauptete Dauer: Die umstrittene Funktion lief vom 10. Dezember 2025 bis zum 7. Juli 2026, nicht nur einige Wochen in einem neuen Release. Zweitens die behauptete Absichtsspur: interne Slack-Nachrichten, historischer Quellcode und Kommunikation der Mitgründerinnen Phoebe Gates und Sophia Kianni mit Führungskräften und Ingenieuren über das automatische Setzen von Affiliate-Tracking. Drittens die Architektur: nicht ein fehlerhafter Code-Pfad, sondern mindestens drei benannte Mechanismen.

Die drei Mechanismen verdienen technische Aufmerksamkeit, da sie unterschiedliche Fehlermodi beschreiben und keine Variationen eines einzigen Themas darstellen. „Enable coupon auto drop" war fernsteuerbar aktivierbar, was ein Feature-Flag-System mit serverseitiger Kontrolle impliziert. Das ist normale Infrastruktur-Hygiene bei A/B-Tests oder schrittweisem Rollout. Es wird zum Beweisstück, wenn das Flag ein Verhalten schaltet, das Attributionsergebnisse für Dritte verändert, die den Flag-Zustand nicht einsehen können. Der „Passive Trigger" soll einem Bericht zufolge in regelmäßigen Abständen einen Cookie auf bestimmten Seiten nach vorheriger Phia-Interaktion zurückgesetzt haben – das ist eine geplante oder ereignisgesteuerte Refresh-Schleife. Der dritte Mechanismus soll bei jedem Klick ausgelöst worden sein, nachdem das Gutscheinfeld erschien, einschließlich des Schließen-Klicks – das ist ein UI-Event-Handler mit absichtlich zu weitem Anwendungsbereich.

Der technische Punkt hier ist, dass es sich um drei architektonisch unterschiedliche Muster handelt. Es ist schwer, drei unabhängige Implementierungen als Versehen zu erklären. Phia lehnte gegenüber Bloomberg eine Stellungnahme zu den Funktionen „Passive Trigger" und „Klick-überall" ab. Das ist das Schweigen, das es zu beachten gilt.

Was wir immer noch nicht wissen: ob die Feature-Flag-Telemetrie aufbewahrt wurde und ob das Stornierungsfenster von impact.com (ab dem 20. Juni) das vollständige Exposure widerspiegelt oder nur das, was aus den eigenen Event-Logs rekonstruiert werden konnte. Wenn die umstrittene Funktion seit Dezember 2025 lief, deckt das Korrekturfenster von impact.com nur die letzten 17 Tage des siebenmonatigen Zeitraums ab.

Was im Performance-Marketing bereits eingepreist ist

Affiliate-Netzwerke und Performance-Marketer haben den Missbrauch von Last-Click-Attribution seit Jahren eingepreist. Cookie Stuffing, erzwungene Klickmuster und Toolbar-basierte Last-Touch-Erfassung sind keine neuen Kategorien. Was nicht eingepreist war, ist das Ausmaß der potenziellen Verzerrung bei einer einzelnen gut finanzierten Shopping-Erweiterung für Verbraucher, die auf dem Traffic großer Einzelhändler wie Nike, Gap und Nordstrom operiert.

Ebenfalls eingepreist: die Tatsache, dass Netzwerke bei einem ersten schwerwiegenden Vorfall eher Stornierungen als Kündigungen vornehmen werden. Die Mitteilung von impact.com betraf ausstehende oder gesperrte Transaktionen seit dem 20. Juni, Korrekturen wurden am 29. Juli verarbeitet, und Marken wurden aufgefordert, sich für zukünftige Partnerschaftsfragen direkt an Phia zu wenden. Bemerkenswert: impact.com erklärte nicht, dass Phia dauerhaft aus dem Netzwerk entfernt worden sei, erklärte nicht, dass aktive Partnerschaften beendet worden seien, und verwendete in seiner Mitteilung nicht den Begriff „Cookie Stuffing". Das ist die diplomatische Sprache einer laufenden Geschäftsbeziehung, keine Ausweisung.

Was für Engineering-Teams, die Attributions-Stacks betreiben, nicht eingepreist ist: die Betriebskosten rückwirkender Stornierungen in großem Maßstab. impact.com gab nicht bekannt, wie viele Transaktionen betroffen waren oder welchen Wert die Stornierungen hatten. Für Finance- und Marketing-Ops-Teams auf Markenseite bedeutet das, dass die Abstimmungsarbeit manuell, partnerweise und auf das Fenster begrenzt ist, das jedes Netzwerk wählt. Wenn eine Marke Phia über mehrere Netzwerke hinweg eingesetzt hat, werden die Stornierungsfenster nicht übereinstimmen.

Die Privacy Sandbox Attribution Reporting API ist genau dafür konzipiert, diese Art von einseitigem Cookie-Schreiben für die Erweiterungsebene unsichtbar zu machen, da die Attribution in eine browserseitig verwaltete Aggregation übergeht. Das löst das Anreizproblem nicht, ändert aber die Angriffsfläche, auf der diese Spiele gespielt werden können. Teams, die noch auf Last-Click-Cookie-Attribution setzen, sollten diesen Vorfall als Vorschau darauf lesen, wie die Übergangsmathematik aussieht.

Die Gegenmeinung

Die gängige Lesart ist, dass Phias Umsatzrückgang von täglich 80.000 Dollar auf 10.000 bis 28.000 Dollar beweist, dass die umstrittenen Funktionen das eigentliche Geschäft waren. Das ist wahrscheinlich übertrieben. Phias eigene Erklärung – dass das Unternehmen Anfang Juli den Großteil der Monetarisierungsaktivitäten und nicht nur die Attributionsfunktionen abschaltete – ist zumindest oberflächlich teilweise glaubwürdig. Wenn ein Unternehmen unter einer Bloomberg-Untersuchung steht und eine Compliance-Einstellung in Betracht zieht, ist das Deaktivieren angrenzender Umsatzströme ein vertretbares Risikomanagement und nicht zwangsläufig ein Beweis dafür, dass diese Streams ebenfalls kontaminiert waren.

Die 51-Prozent-Zahl ist eine vorläufige interne Analyse, kein Prüfungsergebnis. Vorläufige Analysen, die unter Zeitdruck während einer Untersuchung erstellt werden, verwenden häufig konservative Annahmen, die den strittigen Anteil überbewerten, weil Analysten jede Transaktion markieren, die sie nicht sauber begründen können. Phias Einwand gegen die Methodik ist nicht unplausibel.

All das entschuldigt nicht das siebenmonatige Betriebsfenster einer fernsteuerbaren Funktion, über die Mitgründerinnen Berichten zufolge in Slack diskutierten. Aber das numerische Ausmaß des Schadens ist tatsächlich ungewiss, und Leser sollten 51 Prozent nicht als endgültige Antwort behandeln. Die endgültige Antwort wird aus einem forensischen Audit stammen, falls ein solcher stattfindet – nicht aus einem Diagramm, das ein Reporter eingesehen hat.

Wichtige Erkenntnisse

• Die umstrittene Funktion „enable coupon auto drop" lief vom 10. Dezember 2025 bis zum 7. Juli 2026 und wurde an demselben Tag deaktiviert, an dem Bloomberg Phia für eine Stellungnahme kontaktierte. Diese Zeitleiste – nicht die 51-Prozent-Schätzung – ist die härteste Tatsache in der Geschichte.
• Der Tagesumsatz fiel nach der Abschaltung von etwa 80.000 Dollar auf 10.000 bis 28.000 Dollar, ein Rückgang von 65 bis 88 Prozent. Dieser Bereich vermischt jedoch den Attributionseffekt mit anderen deaktivierten Monetarisierungsmaßnahmen. Er sollte nicht als reine Attributionszahl gelesen werden.
• Drei unterschiedliche Mechanismen werden behauptet: eine schaltbare Auto-Attributionsfunktion, eine „Passive Trigger"-Cookie-Refresh-Schleife und ein Klick-überall-Handler. Drei separate Architekturen lassen sich kaum als versehentlich erklären.
• impact.com hat Stornierungen für Transaktionen ab dem 20. Juni ausgestellt und am 29. Juli verarbeitet, ohne jedoch Transaktionszahlen, Dollarwerte offenzulegen oder die Partnerschaft zu beenden. Der vollständige nachgelagerte Schaden bleibt unquantifiziert.
• Überprüfbare Prognose: Wenn Phias Widerspruch gegen die 51-Prozent-Zahl standhält, sollten wir innerhalb von 90 Tagen einen forensischen Audit oder eine Drittpartei-Bestätigung sehen, zusammen mit Stornierungsangaben von mindestens einem weiteren Netzwerk neben impact.com. Wenn beides bis Mitte November 2026 nicht erscheint, wird die 51-Prozent-Schätzung zur Standardreferenz der Branche.