Tracking, nein danke!

Die vergangene Woche war Tracking durch Webseiten ein Dauerthema. Niemand scheint unseren Willen nach Privatsphäre respektieren zu wollen. Da muss doch irgendwie Abhilfe möglich sein? Wir zeigen, wie.

Tracking überall!

Hier ein Auszug aus kürzlich erschienen Artikeln, ohne Anspruch auf Vollständigkeit oder Repräsentativität:

Meta

Watson berichtet, dass Meta (Facebook, Instagram, WhatsApp, Metaverse, …) seit August in Norwegen mit einer täglichen Geldstrafe von 1 Million Kronen belegt sei. Die Privatsphäre der User würde verletzt, indem unbefugt deren Bewegungsdaten (online und offline) zu Marketingzwecken ausgenutzt würden.

Invasive kommerzielle Überwachung zu Marketingzwecken ist heute eines der grössten Risiken für den Datenschutz im Internet.

Norwegische Datenschutzbehörde (zitiert von Watson)

(Zusätzlich hält auch der oberste deutsche Datenschützer die neue Zahlen-statt-Tracking-Option von Meta für Augenwischerei und nicht DSGVO-konform.)

Schweizer Zeitungsverlage

Dass die grossen Schweizer Zeitungsverlage detaillierte Daten über die Gewohnheiten ihrer Leserinnen sammeln, dürfte keine Überraschung sein. Dass aus dem Leseverhalten auch Rückschlüsse auf die weltanschaulichen und politischen Ansichten gezogen werden können, dürfte auch niemanden wirklich verwundern. Viele dürften auch die Meinung des Gesetzgebers teilen, dass Daten über diese Ansichten besonders schützenswerte Personendaten seien, deren Bearbeitung und Weitergabe weitergehenden Auflagen unterliegen.

Und trotzdem liessen es sich die Schweizer Zeitungsverlage nicht nehmen, genau diese Präferenzen an Werbenetzwerke in der ganzen Welt zu verteilen, neben USA auch nach Russland und China, wie die «Republik» berichtet. Alles Staaten, die laut Datenschutzverordnung keinen angemessenen Datenschutz bieten.

SRF

Auch SRF sammelt sehr persönliche Daten, die ebenfalls Auskunft über die besonders schützenswerten Lebensbereiche Weltanschauung, Politik oder Religion geben können. Und teilen diese potenziell u.a. mit Indien, einem Land, welches aus Bundessicht ebenfalls keinen adäquaten Datenschutz bereitstellt.

So weit so schlecht. Einzeln aufgeführt ist das Schweizer Radio und Fernsehen aber wegen ihrer Cookie-Diskriminierung: So wird Webseite-Nutzern aus der EU direkt angeboten, alle unnötigen Cookies abzulehnen; Besucher aus dem SRF-Heimatland müssen das aber mühsam händisch zusammenklicken.

Wie funktioniert Tracking?

Das Ziel von Tracking ist, möglichst viel über die Nutzerinnen eines Internetangebots zu erfahren: Woher sie kommen, was sie sich wie lange angeschaut haben, auf welche Werbung sie geklickt haben, wohin sie weitergezogen sind etc.

Diese Informationen können mehr oder weniger invasiv gesammelt werden:

• Auswertung der Server-Logfiles (wann wurde welche Seite mit welchem Browser von woher abgerufen; im ersten Bild unten)
• Browser liefert (via Trackingpixel, JavaScript, …) aktiv gewisse Informationen an einen Tracking-Server zu liefern (im zweiten Bild)
• Oder gar das Einliefern jeder Mausbewegung, jeder Scrollaktivität, jeder Textauswahl und -eingabe in Echtzeit an den Trackingserver (“Session-Replay“, im letzten Bild)

Die Daten kann man dann für unterschiedliche Zwecke verwenden, beispielsweise:

• Um Statistiken zu führen (und seine Aktivitäten zu koordinieren: Mailingliste, Social Media, …)
• Um effizienter Werbung ausspielen zu können
• Um Missbrauch erkennen zu können (z.B. möchten Zahlungsdienstleister gerne jede besuchte Webseite verfolgen, nicht nur die eigentliche Bezahlseite)
• Um die Daten mit den persönlichen Interessen der Besucher mit anderen Webseiten zu aggregieren, mit Logindaten zu verknüpfen und/oder zu verkaufen

Mechanismen zum Tracking sind u.a.:

• Cookies, um wiederkehrende Benutzer zu identifizieren.
• Nutzung des sogenannten “Referrers“, des Namens der Webseite, von welcher aus man sich durchgeklickt hat.
• Zusätzliche Parameter am Ende der URL (z.B. ?utm_campaign=dnip-newsletter). Hiermit sehen wir, wie viele Nutzer via Newsletter auf den Artikel aufmerksam wurden. Andere Newsletter-Systeme nutzen das auch, um personenbezogen die Klicks in den Mails zuzuordnen.
• Umleitung der URLs über einen URL-Redirector (z.T. als URL-Verkürzer ausgelegt), um die ausgehenden Links zu verfolgen.
• Fingerprinting, eine mehr oder weniger invasive Analyse des Browsers/Geräts, von dem die Seite aus besucht wurde.
• Abfangen von Tastendrücken, Mausbewegungen etc. (“Session Replay” von oben)
• Viele dieser Funktionen werden mittels JavaScript realisiert.

Für alle diese Techniken (Cookies, URL-Parameter, Redirects, Fingerprinting, JavaScript, …) gibt es auch Einsatzzwecke, die im Interesse der Besucherinnen sind (und die meisten wurden auch mit dem Ziel geschaffen). Aber etliche davon werden heute primär im Interesse des Diensteanbieters genutzt. Und dahinter gibt es ein ganzes System von Datenhändlern.

Fazit

Alle leben den Überwachungskapitalismus voll aus und sammeln z.T. sehr persönliche Daten über uns und teilen sie mit der ganzen Welt, oftmals mit dem Ziel, aus diesen Daten direkt oder indirekt Geld zu machen.

Wieder einmal haben wir als Bürgerinnen Pech gehabt und werden von allen im Regen stehen gelassen: Inländische und ausländische Firmen, privaten und öffentlichen Medien, von den Bundesbehörden.

Im Westen nichts Neues. Schade.

«Hey, das könnt ihr aber nicht machen! Ihr könnt uns jetzt nicht einfach so im Regen stehen lassen! Nicht nach diesem Teaser am Anfang des Artikels!», werden jetzt viele von euch rufen. Zu recht.

OK, dann folgen hier also noch ein paar Tipps zum Eigenschutz:

Tipps zum Eigenschutz

Wenn uns also niemand gegen die Online-Bespitzelung im Namen der Datensammelwut schützt, können wir uns dann wenigstens selbst schützen? Ja, und es ist gar nicht so schwierig!

Browser

Google verdient jährlich über 200 Milliarden Dollar mit Werbung. Deshalb ist Googles Chrome-Browser meist der letzte, der Tracking-Features deaktiviert, die für die Werbeindustrie wichtig sind. So wird Chrome erst im Verlauf des nächsten Jahres Möglichkeiten bieten, sogenannte Third-Party-Cookies zu deaktivieren. Gleichzeitig hat Chrome als einziger Browser das sogenannte Topics API eingeführt, mit dem Werbetreibende ohne eigenes Tracking einfach den Browser fragen können, welche Interessen die Person vor dem Browser so hat. (Von anderen Google-Aktivitäten gegen Adblocker und ihrer Weiterleitung jeder mittels Chrome angesurften URL — auch im privaten Inkognito-Modus — an Google im Klartext ganz zu schweigen.)

Chrome versucht auch aktiv, effektive Werbeblocker zu erschweren, auch wenn nicht mehr so rasch und aggressiv wie zuvor angekündigt. Zusätzlich hatte Chrome dieses Jahr einige Monate lang Funktionen aktiviert, die es u.a. Webseiten erlaubt hätte, nur auf genau definierten Konfigurationen von Gerät, Browser und Plugins zu arbeiten; also z.B. Werbeblocker ganz auszuschliessen.

• Wechsel von Chrome und Derivaten (Edge, Brave, …) zu Firefox

(Ja, auch Firefox ist nicht ohne Fehler, aber ein wichtiger Schritt vorwärts. In den Einstellungen darf man gerne einige Punkte ändern: Z.B. unter “Datenschutz & Sicherheit” die Datenerhebung deaktivieren bzw. unter “Startseite” die Suchmaschine wechseln und Pocket deaktivieren). Eine andere privatsphärefreundliche Funktion von Firefox ist die eingebaute, cloud-freie Übersetzung.)

Plugins

Folgende Plugins helfen, weniger Werbung und Risiken ausgesetzt zu sein und weniger Daten in die Welt hinauszuposaunen. Um es etwas Einfacher zu machen, habe ich Icons hinzugefügt:

• 🚎: Reinsetzen und läuft. Auch ohne Konfiguration nötig.
• 🏗️: Braucht etwas Konfigurationsaufwand. Aber der lohnt sich.

Hier die empfohlenen Plugins. (Die Links sind jeweils für das Firefox-Plugin; es gibt viele dieser Plugins aber auch für Chrome-basierte Browser und dem MacOS-Safari, leider nicht Safari auf den Mobilgeräten.)

• uBlock Origin 🚎: Der Ad-Blocker mit Unterstützung für viele der Standardfilterlisten. Die Standardeinstellungen sind bereits sehr gut.
• Consent-O-Matic 🚎: Klickt sich automatisch durch die Cookie-Banner und lehnt alle (aus Sicht des Betreibers) unnötigen Cookies ab.
• ClearURLs 🚎: Viele URLs enthalten Informationen über den Pfad, über den man zur URL gekommen ist (über welches soziale Medium bzw. Mailingliste die URL ankam oder wer die URL empfohlen hat etc.). Ein typischer Vertreter davon sind Parameter hinter der URL, die mit utm_ beginnen. Diese werden mit dieser Erweiterung entfernt. (Aktivieren des «AdGuard URL Tracking Protection»-Filters in den uBlock-Origin-Filterlisten (Kategorie «Datenschutz») löscht diese Tracking-Parameter ebenfalls. Dieses Plugin hier kann aber zusätzlich noch einige Tracking-Redirects umgehen.)
• Cookie AutoDelete 🏗️: Wenn der letzte Tab einer Website geschlossen wird, werden auch alle ihre Cookies gelöscht. Neben den Trackinginformationen gehen dabei aber auch erwünschte Informationen verloren, dass man auf einer Website eingeloggt ist. Um sich nicht dauernd neu anmelden zu müssen, muss man für diese Domains dann Ausnahmen einrichten (pro Domain je 3 Klicks).
• Firefox Multi-Account Containers 🏗️: Wahrscheinlich kennen alle den privaten Surfmodus, der Cookies und andere Website-spezifischen Informationen vom Standardmodus isoliert. Der Nachteil: Die Tabs und ihre Informationen gehen beim Schliessen des Browsers verloren. Die Container machen diese Isolation vielseitiger: Man kann einzelne Tabs von Hand oder automatisch nach Domain einer isolierten Umgebung zuordnen. Diese Tabs teilen sich dann untereinander Cookies etc., aber nicht mit anderen Umgebungen. Umgebungen kann man beliebig viele anlegen, beispielsweise nach Konto, Arbeit/Privat oder Themengebiet.

Ach ja: Beim Installieren von unbekannten Plugins immer vorsichtig sein. Insbesondere, wenn sie unerwartet viele Berechtigungen verlangen. Da gibt es eine (aktuelle und zukünftige) schwarze Schafe darunter! (Das gilt grundsätzlich für alle Software.)

Anstelle von Cookie AutoDelete und den Containern kann man sich auch einen Zweitbrowser installieren, der beim Beenden alle Daten löscht: Z.B. LibreWolf auf dem Desktop und Firefox Klar (Android, iOS; auch bekannt als Firefox Focus ausserhalb des deutschsprachigen Raums). Diesen Zweitbrowser nutzt man dann für alles, was man nicht mit seinem Hauptbrowser mischen möchte und wo man keine Persistenz braucht.

Wirkt das auch?

Natürlich gibt es auch eine Möglichkeit, sich einen Überblick zu verschaffen, ob und wie gut dieses Setup funktioniert.

• Adblock Test: Wie gut werden Werbung, Analytics, Tracker geblockt?
• EFF Cover Your Tracks: Wie eindeutig ist dein Browser? Wie gut kann ihn Fingerprinting wiedererkennen?
• Am I Unique?: Ähnliche Information zu Fingerprinting, anders aufbereitet.

Dienste

Trotz Werbe- und Trackingblocker können Webdienste, mit denen du intensiver interagierst, trotzdem ganz viel Wertvolles über dich, dein Verhalten und deine Interessen herausfinden. Insbesondere, wenn du zur Nutzung des Dienstes ein Konto anlegen musst. Deshalb hier noch ein paar Tipps:

• Nutze Anwendungen und Dienste, hinter denen Organisationen stehen, deren Geschäftsmodell nicht auf Überwachungskapitalismus beruhen.
• Wenn dir die Dienste etwas wert sind und du es dir leisten kannst: Unterstütze diese Organisationen, so dass sie das Geschäftsmodell nicht ändern müssen.
• Überlege dir auch, ob wirklich überall ein Clouddienst sinnvoll ist. Oder ob man die heimischen Lampen nicht auch ohne Umweg über die Cloud ein-/ausschalten können sollte. Oder die persönlichen Dateien auch daheim speichern kann. (Damit sinkt auch die Abhängigkeit vom Willen des Herstellers oder Ausfällen; ist aber insbesondere im zweiten Fall etwas Mehrarbeit.)
• Last, but definitely not least: Wechsle deine Standardsuchmaschine auf etwas, was nicht Google ist, auch wenn dies fast auf allen Browsern der Standard ist. Alleine diese Voreinstellung ist Google übrigens etliche Milliarden im Jahr wert.

Dienstewechsel

Hier ein paar Vorschläge:

• Suchmaschine [Neu 09:04]: DigitalCourage hat einen Suchmaschinentest, in dem sie MetaGer und StartPage empfehlen.
• Kartenkonstantedienst: OpenStreetMap, mit Apps wie OsmAnd/OsmAnd+ (Android) oder OsmAnd (iOS)
• Instant Messaging: Signal oder Threema
• Video: Piped (ein privatsphärefreundliches Frontend für YouTube)
• Cloud Storage: NextCloud (zum selber Hosten oder bei einem Provider)

Längere Listen dazu gibt es z.B. bei PrivacyGuides oder PrivacyTools.

Das ganze Netz (für Profis)

(Wer technisch nicht so versiert ist, darf diesen Abschnitt überspringen.)

Man kann auch das ganze Netz oder den ganzen Rechner schützen, nicht nur den Browser. Das ist aber technisch etwas anspruchsvoller und deshalb nicht für alle. Hier ein paar Beispiele:

• Pi-Hole: Werbe- und Trackingschutz für das ganze lokale Netzwerk, inklusive auch von wenig konfigurierbaren Apps, Mobil- oder sonstigen Endgeräten. Dazu wird die Software auf einem Linux-Server installiert (z.B. ein Raspberry Pi, aber nicht notwendigerweise) und als DNS-Server für das Netzwerk konfiguriert. Die Aufgabe eines DNS-Servers ist es, z.B. Namen wie dnip.ch in IP-Adressen wie 94.237.81.241 umsetzen. Das Pi-Hole (ursprünglich von “Raspberry Pi sinkhole”) liefert aber bei der Namensauflösung von bekannten Tracking- und Werbeservern eine alternative Antwort oder einen Fehlercode zurück und blockt damit deren Nutzung.
• Zen Ad Blocker: Lokal auf dem eigenen (Windows-, Linux-, macOS-)Rechner installiert, klemmt sich Zen in die HTTPS-Verbindungen ein und filtert dort unerwünschten Verkehr.
• NetGuard: Auf Android-Geräten simuliert NetGuard ein VPN, welches selektiv Netzwerkverbindungen von neugierigen Apps ins Nirvana umleiten kann.

Tracking bei DNIP

Auch wir nutzen Tracking. Für die Webseite nutzen wir dazu eine lokale Matomo-Installation, d.h. wir haben die Zugriffszahlen nur auf unserem Server und schauen zwischendurch auf diese Statistiken, die wir mit niemandem sonst teilen. Matomo nutzt in unserer Konfiguration Cookies und Fingerprinting (Betriebssystem, Browser, Mobil/Desktop, …).

Wir nutzen diese Daten nicht zum Ausspielen von Werbung, da DNIP aus Überzeugung werbefrei ist.

Im Newsletter (den du übrigens unten abonnieren kannst) sind die Links mit URL-Parametern versehen, die aber nicht personalisiert sind und uns damit insbesondere Aussagen über die Beliebtheit des Newsletter liefern, aber nicht, wer wann die Artikel liest.

Literatur

• Daniel Schurter: Verbot von personalisierter Werbung für Facebook und Instagram in Europa – das wissen wir, Watson, 2023-11-01.
  Hintergrund zur Strafe gegen Meta in Norwegen.
• Adrienne Fichter: «Blick», TX Group und NZZ schickten Leserdaten nach Moskau, Republik, 2023-11-02.
  Tracker bei den Zeitungsverlagen, Hintergrund zum Datenbusiness.
• Samuel Rüegger: SRF und Datenschutz: Bedenken bezüglich Cookies, KI und grenzüberschreitender Datenübertragung, 2023-09-07.
  Detaillierte Analyse zum und Kritik am SRF-Datenschutz, nicht nur zu Cookies.
• Adrienne Fichter: SRF-Cookies: EU-Besucher:innen bessergestellt, DNIP, 2023-11-03.
  Analyse der SRF-Ausreden, äh, Antworten.
• Schweizerische Eidgenossenschaft: Bundesgesetz über den Datenschutz (Datenschutzgesetz, DSG) vom 25. September 2020, aktuell im Stand vom 2023-09-01.
  Das seit 1. September 2023 gültige Datenschutzgesetz.
• Schweizerische Eidgenossenschaft: Verordnung über den Datenschutz (Datenschutzverordnung, DSV) vom 31. August 2022, aktuell im Stand vom 2023-09-01.
  Die zugehörige Verordnung, u.a. mit der Länderliste.
• WOZ, Digitale Gesellschaft und CCC-ZH: Ratgeber «Digitale Selbstverteidigung», ca. 2019.
  Viele Tipps, nicht nur rund um Webseiten und Tracking.
• Arkenfox: Extensions.
  Eine alternative Empfehlungs- (und Vermeidungs-)Liste.
• Marcel Waldvogel: Was uns Ransomware zu Datenschutz und Datensicherheit lehrt, 2022-12-05.
  Hintergrund und einige Checklisten für den Schutz der Daten auf dem eigenen Rechner. Nicht nur gegen Ransomware.
• PrivacyGuides.Org.
  Liste mit privatsphärefreundlichen Diensten.
• PrivacyTools.io.
  Weitere Liste mit privatsphärefreundlichen Diensten.
• Jen Caltrider, Misha Rykov und Zoë MacDonald: So ungezogen war die Tech-Branche noch nie: Der Weihnachtsshopping-Ratgeber 2023 ist da!, Mozilla Foundation, 2023-11-14.
  Etliche Produkte, bewertet vor allem nach ihrem Datenschutz. [Neu 2023-11-20]
• Jessica Wawrzynak: Smarte Spielzeuge: Datendiebe im Kinderzimmer?, 2023-12-18.
  Eine Checkliste für Anzeichen nach datenhungrigen Spielsachen. [Neu 2023-11-20]
• Mike Kuketz: Empfehlungsliste.
  Viele (privatsphärefreundliche) Empfehlungslisten auf einer Seite. [Neu 2023-11-20]
• John Oliver: Data Brokers, Last Week Tonight with John Oliver (HBO), 2022-11-04.
  Hintergründe über den Datenhandel, knackig präsentiert (YouTube-Video). [Neu 2024-01-05]
• Data Dealer-Team: Data Dealer: Legal, illegal, scheissegal, seit 2011.
  Online-Spiel, welches den Datenhandel lustig-informativ auf die Schippe nimmt. Demoversion.

PS: Das Titelbild wurde mittels ChatGPT im DALL•E-Modus erzeugt: Ein Hund sollte im Sand Spuren verfolgen. Die generative KI “bestand” darauf, dass Hunde nur ihren eigenen Pfotenabdrücken folgen können. Hier der Versuch, das auf Entenspuren zu ändern. Ziemlich creepy, das Resultat. Irgendwie ist diese “creepiness” aber passend zu Tracking…