Tracking im Netz: Beschwerdewelle gegen Cookies
Die Banner auf Webseiten sind selten legal. Datenschützer:innen gehen daher nun gegen mehrere hundert Unternehmen vor.
Den Cookie Missbrauch beenden Foto: noyb.eu
BERLIN taz | Die europäische Datenschutzorganisation Noyb geht mit einer großangelegten juristischen Beschwerdeaktion gegen rechtswidrige Cookie-Banner im Internet vor. Der Verein teilte mit, am Montag rund 560 Beschwerdeschreiben an Unternehmen in 33 Ländern in- und außerhalb Europas verschickt zu haben, deren Cookie-Zustimmungsbanner nicht im Einklang mit der Datenschutz- Grundverordnung (DSGVO) stünden.
Cookies sind kleine Dateien, die Webseiten-Betreiber auf den Rechnern der Nutzer:innen speichern, um sie so wiederkennen zu können – weit über die einzelne Webseite hinaus. Vor einem Jahr entschied der Bundesgerichtshof (BGH), dass die Einwilligung zum Setzen von Tracking-Cookies nicht voreingestellt sein darf. Seitdem haben die meisten Webseiten im deutschsprachigen Raum die umstrittenen Cookie-Banner erstellt. Umstrittten vor allem deshalb, weil sie Nutzer:innen eine Ablehnung nicht gerade leicht machen.
„Eine ganze Industrie von Beratern und Designern entwickelt verrückte Klick-Labyrinthe, um vollkommen unrealistische Zustimmungsraten zu generieren“, kritisiert Max Schrems, Vorsitzender von Noyb. Das sei ein klarer Verstoß gegen die DSGVO. Die sehe vor, dass Nutzer:innen eine echte Wahlmöglichkeit im Sinne von „ja“ oder „nein“ hätten. Dabei ergab die Auswertung der 560 von dem Verein beanstandeten Webseiten: 81 Prozent hätten keinen „Ablehnen“-Button, 73 Prozent nutzten Farben und Kontraste, die Nutzer:innen zum Klick auf „Akzeptieren“ verleiten sollen.
Noyb erklärte, die Unternehmen zunächst angeschrieben und auf die Verstöße hingewiesen zu haben. Erst wenn die Verstöße innerhalb eines Monats nicht behoben seien, würden Beschwerden bei den Datenschutzaufsichtsbehörden erhoben. Die 560 angeschriebenen Unternehmen sollen nur eine erste Runde sein: Der Verein wolle im laufenden Jahr bis zu 10.000 der meistbesuchten Webseiten in Europa prüfen und gegebenenfalls Beschwerden einreichen.
Die Debatte um Tracking-Methoden im Internet hat sich in jüngster Vergangenheit zugespitzt. Dafür sorgten auch die Vorstöße zwei großer US-Unternehmen: Auf der einen Seite Google, das für seinen Chrome-Browser eine Verlagerung des Trackings ins Chrome-eigene Ökosystem testet. Auf der anderen Seite Apple. Die jüngste Version des iOS-Betriebssystems erlaubt es Nutzer:innen, Apps das Tracking komplett zu untersagen. Ersten Zahlen zufolge zeigt das Wirkung: So würden nur gut 10 Prozent der Nutzer:innen Apps das Werbe-Tracking uneingeschränkt erlauben.
Leser*innenkommentare
Rainer B.
Je mehr ätzende Cookies verteilt werden, umso schneller wird sich das mit dem Internet insgesamt erledigt haben. Ich sitze am Fluß und warte.
coconutrebel
Cookies sind eine ungeheure Netzverschmutzung, genauso wie im Werbefernsehen für Arzneimittel ...zu Risiken und Nebenwirkungen...
Da toben sich die Juristenfuzzies so richtig aus. Kann man das nicht anders regeln?
Šarru-kīnu
@coconutrebel Ohne Cookies funktioniert recht wenig im Netz abgesehen von rein statischem Content. Wenn Sie sich hier bei der Taz anmelden speichert ein Sessioncookie beispielsweise ihre Benutzerdaten. Wollen Sie sich zukünftig gern bei jedem Aufruf eines neuen Artikels neu anmelden müssen? Was Sie meinen sind Tracking-Cookies und ehrlicherweise sind diese Cookies den meisten Usern herzlich egal. Wen es interessiert der kann sich relativ einfach selbst schützen. Es sollte trotzdem nicht vergessen werden, dass viele kostenlose Angebote im Web nur existieren können da sie über Werbung finanziert werden. Wer Werbeeinnahmen verunmöglichen will, gefährdet damit den Betrieb eines wesentlichen Teils des www. Das Onlineportal der taz wird sich beispielsweise wohl kaum nur aus den Beiträgen und Spenden finanzieren lassen.
coconutrebel
@Šarru-kīnu Wenn Sie den Telefonhörer abnehmen, sind sie auch nicht sicher, ob sie nicht vielleicht einem Betrüger auf den Leim gehen.
Fehlt nur noch ein Warnhinweis, bevor sie telefonieren können.
Die Katze in der Microwelle - damit fing der Unsinn an.
Jeder der sich im Netz bewegt weiß doch, welche Daten notwendig sind.
Ein kleiner Banner kann
von mir aus darauf hinweisen aber doch nicht so mit 10.000 mal OK anklicken. Zumindest per Stichprobe sollen die Website-Betreiber kontrolliert werden.
Die Cookies helfen auch nicht bei professionellen Betrügern, die es offenbar haufenweise im Netz gibt.
Schon die Änderung der Websites zum Thema Datenschutz hat Millionen gezwungen, hier tätig zu werden. Ohne Rechtsbeistand ist da schwierig gewesen. Ein gigantischer Auftrag und eine gigantische Geld- und Zeitverschwendung.
Was kommt demnächst? Identifizierung per Daumenabdruck?
Ingo Bernable
@Šarru-kīnu Technisch ist es schon längst möglich dynamische und funktionierende Webseiten ganz ohne Cookies und sogar ohne serverseitig gespeicherte Session-Informationen zu bauen, etwa auf Basis von AJAX und signierten Web-Tokens. Cookies braucht es nur dort wo man Informationen über mehrere, nicht zusammenhängende Website-Besuche hinweg erhalten möchte und das ist idR verzichtbar.
Werbung zur Finanzierung kann man auch schalten ohne es mit Tracking zu verknüpfen.
Šarru-kīnu
@Ingo Bernable Was Sie für verzichtbar halten benötigt aber jeder halbwegs zeitgemäße Onlineshop um beispielsweise den Inhalt von Warenkörben zu speichern. Die access token werden deshalb dann weiterhin aus Sicherheitsgründen in einem cookie gespeichert.
Nicht personalisierte Werbung bringt halt auch deutlich weniger Einnahmen. Versuchen Sie mal als kleiner Blogbetreiber echte feste Werbekunden zu generieren. Wie realistisch ist das denn für kleinere Angebote? In der Theorie haben Sie aber natürlich Recht.
Ingo Bernable
@Šarru-kīnu Auf die Gefahr hin mich zu wiederholen: Auch der Warenkorb eines zeitgemäßen Onlineshops lässt sich mit Techniken wie JWT nicht nur völlig problemlos ohne Cookies implementieren, sondern auch ohne serverseitig Informationen zur Session vorzuhalten (bis zum Abschluss der Bestllung versteht sich).
"Die access token werden deshalb dann weiterhin aus Sicherheitsgründen in einem cookie gespeichert."
Warum sollten Daten die im Arbeitsspeicher UND auf der Festplatte gespeichert werden, sicherer sein als Informationen die nur im RAM liegen und zudem kryptograhpisch signiert sind? Tatsächlich setzt der Mechanismus der das Tracking mit 3rd-party Cookies ermöglicht ja genau hier an: die Cookies sind zwar ihrer jeweiligen Ursprungs-Domain zugeordnet, da diese dann aber von allen möglichen Webseiten eingebunden wird, wird das Surfverhalten nachverfolgbar.
"Versuchen Sie mal als kleiner Blogbetreiber echte feste Werbekunden zu generieren."
Die alternative zur Werbung mit Tracking, muss ja kein fester Werbekunde sein, es würde schon reichen, dass sich die Agenturen mit der Information begnügen, DASS die Werbung gezeigt bzw. geklickt wurde, statt auch noch eine nachverfolgbare Information darüber zu erzeugen WER sie gesehen bzw. geklickt hat. Die Ausrichtung der Werbeinhalte an der Zielgruppe wird ja auch jetzt schon unter Anderem am Kontext in dem sie gezeigt werden orientiert. Um zu wissen, dass sich zB Werbung für Luxusuhren auf taz.de vermutlich eher nicht lohnen wird, braucht man nun wirklich nicht die Konsumgewohnheiten sämtlicher Nutzer*innen auszuschnüffeln.
uvw
Der Do-Not-Track-Schalter im Browser würde reichen, technisch und organisatorisch. Er ist eine rechtsverbindliche Erklärung, siehe de.wikipedia.org/w...t_Track_(Software)
Fertig.
Dass dieser einfache Mechanismus nicht durchgesetzt wird, ist rein politisch motiviert und ein großzügiges Entgegenkommen an die Werbeindustrie, zum Schaden einer großen Mehrheit. Damit sind übrigens nicht nur alle tracking Cookies erfasst, sondern auch alle andere Formen von Tracking und Profiling.
Das Gehampel mit den sog. Cookie-Consent-Bannern ist überflüssig, oft absichtlich irreführend und manipulativ. Genau deswegen gibt es sie, um ein scheunentorgroßes Schlupfloch für die Industrie zu lassen, die dieses natürlich gerne in Anspruch nimmt. Und gestaltet man die Cookie-Banner nur unübersichtlich und nervig genug, werden die meisten irgendwann aufgeben und "alles akzeptieren" klicken. Ziel erreicht, ganz legal, obwohl die Rechtslage und DSGVO das exakte Gegenteil erfordert.
An die Politik: Wann verteten Sie eigentlich mal die Interessen einer großen Mehrheit? Oder geht es bei Ihrer Arbeit gar nicht darum?
Bolzkopf
@uvw Im gleichen Atemzug muss man sich fragen, warum signierte und/oder verschlüsselte Mailkommunitaktion so dermaßen boykottiert wird.
Banken, Behörden und natürlich auch Versandhäuser müssten doch ein ezentielles Interesse dafür haben mit den Kunden verläßlich kommunizieren zu können.
Aber statt dessen nimmt man Abermillionen Spam- und Phising-Mails in Kauf.
Ein Schelm, der Böses dabei denkt.
Ingo Bernable
Hat taz.de auch schon Post von Noyb bekommen? Das Cookie-Popup auf dieser Seite arbeitet schließlich ebenfalls mit Dark Patterns wie Nudging und einem Klick-Labyrinth mit einer Liste von über 600(!) einzeln konfigurierbaren Werbeanbietern. Immerhin findet sich schon in der zweiten Ebene auch die Option "Allem widersprechen. Nur wesentliche Cookies erlauben" was dann aber offenbar auch immer noch ganze 17 Stück sind und deren kryptische Benennung (zB "_sp_v1_lt") auch nicht gerade geeignet ist Transparenz über Sinn, Zweck und Notwendigkeit herzustellen.
Bolzkopf
@Ingo Bernable Vllt würde hier der gute alte Cookie-Scraper helfen der die Cookies nur verstümmelt zurückschickt ...
Bolzkopf
@Ingo Bernable +1
Weber
www.privacy-handbuch.de/index.htm
Diogeno
@Weber Nur ein Link? Sonst nichts.
Keine Erläuterung, wo er hinführt und warum man ihn anklicken sollte.
Ist mir persönlich suspekt, auch wenn da etwas von privacy steht. Das kann ja jeder behaupten.
Bunte Kuh
Je umständlicher die Dialoge werden, umso häufiger klickt der Nutzer entnervt auf "alles akzeptieren". Ziel erreicht.
Diogeno
@Bunte Kuh Genauso ist es bei mir.
Leider.