Mit Gesetzgeber, die für Regulation bei Tracking im Webbereich drängen, Firefox und Safari, die gegen Tracking-Cookies vorgehen und Google, das den grossen Schritt ankündigt, daran zu arbeiten, Third-Party-Cookies vollständig zu entfernen, sieht es so aus, als ob die Ära der Tracking-Cookies zu Ende geht. Werbeunternehmen wie Google müssen jedoch weiterhin relevante Werbung anbieten, um ihr Geschäftsmodell aufrecht zu erhalten. Dieser Artikel wirft einen Blick auf aktuelle Cookie-Tracking-Mechanismen, Anti-Tracking-Massnahmen und Alternativen zu Tracking-Cookies, die von der Industrie verfolgt werden.

Ralph Meier hat bereits einen Artikel zu Tracking im Web-Bereich geschrieben. Hier ein Beschrieb des grundlegenden Funktionsmechanismus des Cookie-Trackings: Das Tracken von Benutzern über mehrere Webseiten hinweg mit Cookies funktioniert durch das Laden von Tracker-Ressourcen. Die Webseiten example.com und example.org zeigen zum Beispiel beide Google-Werbung. Wenn ein Benutzer example.com besucht, lädt der Browser Werberessourcen von Google. Dabei wird von Google ein Cookie im Browser des Benutzers gesetzt. Wenn der Nutzer danach example.org besucht, kontaktiert der Browser erneut Google für Werberessourcen. Die Cookies, die Google dem Benutzer zuvor auf example.com gegeben hat, werden in der Anfrage zum Laden der Werberessourcen auf example.org mitgeschickt. Durch das einmalig identifizierende Cookie und andere Informationen, die der Browser mitsendet, wie beispielsweise die URL, die der Nutzer besucht, kann Google Personen über verschiedene Webseiten und sogar innerhalb einer Webseite verfolgen.

Anti-Tracking-Cookie-Massnahmen

Mit der zunehmenden Verbreitung von Tracking-Cookies sind Bedenken zu Privatsphäre und Datenschutz bei Benutzern und Gesetzgebern gewachsen. Firefox hat in Firefox 86 State Partitioning eingeführt, um zu verhindern, dass der oben beschriebene Mechanismus funktioniert. Wenn Firefox Beispielsweise ein Google-Cookie beim Laden einer Werberessource auf example.com erhält, hält es dieses separat von der Ressourcenladungen auf example.org und teilt das Cookie nicht zwischen den Webseiten. Diese Trennung setzt sich in anderen Speichern, wie Caches, Local- und Session-Storage fort. Safari geht noch einen Schritt weiter und blockiert Cookies von Drittanbietern vollständig.

Das Ende des Cookie-Trackings?

Selbst die vollständige Entfernung von Third-Party-Cookies beseitigt das Cookie-Tracking nicht und es gibt Möglichkeiten, solche Einschränkungen zu umgehen. Eine Werberessource kann ein Skript enthalten, das prüft, ob Third-Party-Cookies gelesen werden können. Wenn es nicht erfolgreich ist, leitet es den Browser des Benutzers vollständig an die Webseite des Trackers weiter, zum Beispiel über window.location. Auf seiner eigenen Webseite kann der Tracker ein First-Party-Tracking-Cookie setzen. Der Tracker leitet dann schnell wieder auf die Seite zurück, von welcher der Benutzer gekommen ist. Da der Tracker sein Cookie als First-Party gesetzt hat, fällt das Cookie nicht unter Third-Party-Cookie-Restriktionen. Dieser Mechanismus wird als Bounce-Tracking bezeichnet. Die Sperrung einer solchen Verwendung von First-Party-Cookies würde aktuelle Web-Mechanismen kaputt machen und Vorgänge wie Single Sign-on (SSO) nicht zulassen. Ausserdem ist die Implementierung einer Sperre nicht trivial, da Tracker beispielsweise eine strengere Isolierung ihrer Ressourcen auf anderen Webseiten umgehen könnten, indem sie bei der Rückleitung auf die ursprüngliche Webseite eine Tracking-ID der URL anhängen, die von der isolierten Ressource ausgelesen und zur eindeutigen Identifizierung verwendet werden kann. Diese Technik ist als Link-Dekoration bekannt. Safari und Firefox verfügen beide über Massnahmen zur Einschränkung der Tracking-Möglichkeiten durch Bounce-Tracking und Link-Dekoration.

Google’s Tracking-Ausrichtung

Google Chrome hat den mit Abstand grössten Anteil am Browser-Markt mit 65% gegenüber dem zweitplatzierten Safari mit 19%. Das gibt Google signifikanten Einfluss bei der Gestaltung des Webs und dem Vorantreiben der Industrie. Bislang hatte Google Chrome im Vergleich zu Safari und Firefox deutlich weniger Schutz vor Tracking. Dies ist wahrscheinlich darauf zurückzuführen, dass Nutzerdaten, die für Werbezwecke verwendet werden, Googles grösste Einnahmequelle darstellen. Google will seit Anfang 2020 eine neue Richtung einschlagen. Sie haben angekündigt an Alternativen zu arbeiten, die Third-Party-Cookies obsolet machen sollen:

(…) we are confident that with continued iteration and feedback, privacy-preserving and open-standard mechanisms like the Privacy Sandbox can sustain a healthy, ad-supported web in a way that will render third-party cookies obsolete. Once these approaches have addressed the needs of users, publishers, and advertisers, and we have developed the tools to mitigate workarounds, we plan to phase out support for third-party cookies in Chrome. Our intention is to do this within two years.

Die verfolgte Alternative soll Federated Learning of Cohorts (FLoC) sein. Diese Technologie zielt darauf ab, individuelle Tracking-Profile durch Profile für Gruppen mit gemeinsamen Interessen zu ersetzen.

FLoC

Die konkrete technische Umsetzung von FLoC ist noch nicht abschliessend festgelegt, aber es wurden bereits einige Umsetzungsideen präsentiert und die allgemeine Richtung definiert. FLoC teilt die Benutzer in Kohorten ein. Eine FLoC-Kohorte ist ein kurzer Name, der von einer grossen Anzahl (Tausende) von Personen geteilt wird und den der Browser aus dem Browserverlauf seines Benutzers ableitet. Der Browser aktualisiert die Kohorte laufend, sowie der Benutzer im Web unterwegs ist. Der Browser verwendet Machine-Learning-Algorithmen, um den Benutzer anhand der Webseiten die er besucht in eine Kohorte einzuteilen. Die Algorithmen können die URLs der besuchten Seiten, den Inhalt der Seiten oder anderen Metriken als Input verwenden. Die zentrale Idee ist, dass die Verarbeitung der Benutzerdaten und die Einteilung in Kohorten lokal im Browser geschieht und diese sensitiven Daten nicht irgendwo hochgeladen werden. Der Browser exponiert nur die generierte Kohorte.

Die spezifische technische Lösung, die FloC schlussendlich verwenden wird, wäre interessant zu untersuchen, da die Anonymisierung von Daten unter Wahrung ihres Informationsgehalts nicht trivial ist. Privacy-freundliche Webseiten können sich auch von der FLoC-Berechnung herausnehmen durch Setzen einer passenden Permissions-Policy mit interest-cohort=().

Fazit

Tracking wird in absehbarer Zeit nicht verschwinden – aber Tracking über Third-Party-Cookies könnte sehr wohl obsolet werden. Tracking-Cookies können theoretisch von jedem verwendet werden, während Alternativen wie FLoC so konzipiert werden können, um in spezifische Browser integriert zu werden. Damit können Browserhersteller beispielsweise einen grossen Browser-Marktanteil für sich ausnutzen um Wettbewerb im Tracking- und Werbebereich zu verdrängen. Das Vorhandensein weniger Spieler oder sogar ein Monopol im Werbebereich kann für die Privatsphäre von Endnutzern von Vorteil sein, aber auch nachteilig in anderen Aspekten, da dies zum Beispiel einen Missbrauch von Einfluss mit sich bringen kann.

Über den Autor

Ahmet Hrnjadovic arbeitet seit dem Jahr 2017 im Bereich Cybersecurity, wobei er sich auf die Bereiche Linux, sichere Programmierung und Web Application Security Testing fokussiert. (ORCID 0000-0003-1320-8655)

Links

• https://blog.chromium.org/2020/01/building-more-private-web-path-towards.html
• https://blog.google/products/ads-commerce/a-more-privacy-first-web/
• https://blog.mozilla.org/security/2020/08/04/firefox-79-includes-protections-against-redirect-tracking/
• https://github.com/WICG/floc
• https://gs.statcounter.com/browser-market-share
• https://hacks.mozilla.org/2021/02/introducing-state-partitioning/
• https://web.dev/floc/#do-websites-have-to-participate-and-share-information
• https://webkit.org/blog/10218/full-third-party-cookie-blocking-and-more/
• https://webkit.org/tracking-prevention/
• https://www.newscientist.com/article/2210928-anonymised-data-isnt-nearly-anonymous-enough-heres-how-we-fix-it/
• https://www.politico.eu/article/brussels-zeroes-in-on-googles-data/