So werden Sie im Internet ausspioniert

Im Milliardengeschäft Onlinewerbung werden Sie bei jedem Klick analysiert – es sei denn, Sie wehren sich dagegen. Wir verraten Ihnen, was hinter dem Usertracking steckt und was Sie dagegen tun können.
Ein Einkaufsbummel in der Stadt nervt mitunter: vollgestopfte Läden, quengelnde Kinder, die Hose nur in der falschen Größe. Doch einen Vorteil hat das Analogshopping: Man wird nicht permanent von vermummten Gestalten verfolgt, die jeden Schritt, jedes anprobierte Kleidungsstück protokollieren. Eine gruselige Vorstellung – doch im Internet passiert genau das.

Die Spione sind Firmen, die Werbung auf Websites einblenden und das Userverhalten analysieren, allen voran Google. Ihre Werkzeuge: Cookies, Browser- und Handy-Identifizierung. Das Ergebnis: Diverse Seiten blenden gezielt Werbung ein, etwa für Produkte, die man zuvor auf anderen Seiten angeschaut hat. Man möchte die Werbung anschreien, ihr erklären, dass man die Hose längst gekauft hat, dass sie doch bitte dieses lästige Stalking unterlassen soll. Doch es hilft nichts, sie kommt immer wieder.

Onlineshops profitieren
Zu den größten Profiteuren des Trackings zählen Onlineshops. Es verrät ihnen etwa, wie ein User auf die Shopsite kam: über ein spezielles Blog, ein Werbebanner auf einer anderen Website oder eine Google-Suche. Und auch was er auf der Seite tut: Schaut er nur ein Produkt kurz an oder vergleicht er mehrere? Sucht er nach einer Marke? Werbevermarkter analysieren diese Daten und bombardieren den User dann auf anderen Websites mit Produkten und Spezialangeboten dieses Shops.

Jedes Werbebanner ist ein kleiner Ansturm gegen den Kaufwiderstand. „Man geht davon aus, dass nur etwa zwei Prozent aller Shopbesucher sofort etwas kaufen“, sagt Norman Nötzold, Mitgründer und Technikchef von Quisma, einer Performance-Marketing-Agentur. Laut Nötzold lässt sich die Kaufquote mit dieser Retargeting genannten Methode in den zweistelligen Prozentbereich steigern. Genervt fühlen sich User erst ab der fünften Wiederholung der Anzeige, so seine Aussage.
Eine Zielscheibe auf dem User
Für nicht Eingeweihte wirkt Onlinewerbung bisweilen wie eine Geheimwissenschaft. Da gibt es neben dem Retargeting noch kontextbasierte Anzeigen, die sich auf den Inhalt der gerade angezeigten Seite beziehen. Ähnlich funktioniert das Keyword-Targeting, die Werbung auf Basis einzelner Worte, wie in der Google-Suche oder in Gmail. Schließlich gibt es noch das Behavioural Targeting, bei dem Tracker aus dem Verhalten eines Users ein Interesse abzuleiten versuchen. Für diese Bewegungsmuster gibt es sogar eigene Experten, die Customer Journey Manager. Man könnte sie die heimlichen Reisebegleiter im Web nennen, die Websurfer durch die Seiten führen wie ahnungslose Touristen über einen orientalischen Basar.



Diese Onlinewerbung, die Haupteinnahmequelle vieler Websites, wird heute meist über die Klickzahl oder die daraus resultierenden Käufe bezahlt. Ungefähr zwei Drittel der weltweiten Werbeumsätze entfallen auf solche Anzeigen. Je mehr Klicks also, desto mehr Geld für die Website. Google allein nahm im ersten Halbjahr 2012 weltweit 20,8 Milliarden US-Dollar mit solcher nutzungsbasierten Werbung ein. „Personalisierte Werbung ist nicht per se schlecht“, sagt Michaela Zinke, Referentin für Verbraucherrechte im Internet beim Verbraucherzentrale Bundesverband (vzbv). Wenn man schon Werbung sehen muss, dann natürlich lieber eine, die relevant ist. So weit ist die Verbreitung personalisierter Werbung verständlich. „Das große Problem ist, dass der Nutzer nicht selbst entscheiden kann, ob er sie möchte“, sagt Zinke. Der User wird ungefragt analysiert.

Für die Analyse brauchen die Websites Cookies. Besuchen Sie eine Seite, speichert der Server der Website Cookies auf Ihrem PC und liest bereits gespeicherte Cookies der Seite aus. Werbetracker, die beim Seitenaufruf im Hintergrund eine Datenverbindung aufbauen, tun dasselbe. Diese Cookies gibt es in verschiedenen Kalibern, angefangen mit simplen HTTP-Cookies. Diese kleinen Textdateien enthalten oft nur wenige Informationen, etwa Datum und Uhrzeit des Seitenaufrufs. Andere speichern Log-in-Daten oder den Inhalt eines Warenkorbs, um den Nutzer auf verschiedenen Unterseiten der Website zu identifizieren.



Doch natürlich dienen sie auch einem anderen Zweck: „Mit Cookies lassen sich anonyme Userprofile in der Form erstellen, dass User Journeys ausgewertet werden können“, sagt Norman Nötzold von Quisma. Die Profile zeigen, wer was gesucht, angeklickt oder gekauft hat. Einige Cookies haben dabei einen langen Atem. „Wir haben Internetseiten für Kinder untersucht und festgestellt, dass dort zum Teil Cookies mit einer Speicherdauer von bis zu 20 Jahren eingesetzt werden“, sagt Michaela Zinke vom vzbv. Doch es gibt noch schlimmere Cookies.

Flash-Cookies, Evercookies & Supercookies
Flash-Cookies speichern auf vielen Websites die Lautstärke von Webvideoplayern oder Spielstände von Browserspielen. Darüber hinaus sammeln sie aber auch browserunabhängig Informationen über die Rechnerkonfiguration, sodass Tracker einzelne Geräte identifizieren können.



Einige Exemplare kopieren sich sogar an mehrere Stellen im System und müssen zeitgleich gelöscht werden. Andernfalls reproduzieren sich diese Evercookies, sobald man ihre Herkunftswebsite wieder besucht. Die aktuell höchste Eskalationsstufe sind die Supercookies, auch DOM-Storage-Cookies genannt. Das sind keine Dateien mehr, sondern direkt im Browser gespeicherte Daten. Diese im Rahmen von HTML5 entwickelte Methode bietet enorm viel Speicherplatz für interaktive Webanwendungen – und dient als kaum verhinderbare Alternative zu HTTP-Cookies.

Florierender Datenhandel
Welch unfassbare Ausmaße die Datensammelei inzwischen angenommen hat, zeigt eine Trackinganalyse des Fraunhofer-Instituts für Sichere Informationstechnologie (SIT): Der aggressivste Tracker ist auf 265 der 500 größten deutschen Seiten aktiv. „Wenn derselbe Tracker in Seiten verschiedener Anbieter eingebaut ist, dann kann er den Nutzer wiedererkennen und ihn in seinem Surfverhalten ausspionieren“, sagt Markus Schneider, stellvertretender Institutsleiter des SIT.

Das Perfide dabei: Die gesammelten Daten bleiben nicht bei dem einen Trackingdienst, sondern wandern auf verschlungenen Wegen zu anderen Werbedienstleistern. Persönliche Daten dürfen zwar laut Gesetz nicht ohne Zustimmung des Users weitergegeben werden, für anonyme Daten (wie Klicks) gilt das jedoch nicht. Und so floriert der Datenhandel.



EU-Richtlinien nicht im deutschen Gesetz

Die Cookieflut könnte längst verebbt sein, denn laut ePrivacy-Richtlinie der EU dürfen Werbecookies nur mit Zustimmung des Users gespeichert werden. Doch viele Länder, darunter auch Deutschland, lehnen es ab, diese EU-Richtlinie im nationalen Gesetz zu verankern. Während die EU-Richtlinie von den Unternehmen fordert, eine Einwilligung einzuholen, müssen deutsche Nutzer aktiv bei den Firmen widersprechen. Der einfachere Weg: Sie sperren die Datensammler mit ein paar Tricks einfach aus.

Natürlich kennen auch Werbeunternehmen diese Tricks und weichen zunehmend auf neue Trackingmethoden aus. Eine beinahe forensische Methode ist das Browser-Fingerprinting. Trackingdienste können anhand diverser, beim Laden einer Webseite übermittelter Daten einen individuellen Fingerabdruck des Browsers erstellen. Zu den Daten zählen die IP-Adresse, Versionsnummern des Betriebssystems, der installierten Flash-, Java– und anderer Browser-Plug-ins sowie Bildschirmauflösung, Farbtiefe und installierte Schriftarten. Diese Parameter erlauben nahezu unzählige Kombinationen, sodass sich kaum zwei Browser gleichen.

Apps geben Daten weiter



Der Browser ist jedoch erst der Anfang. Mobilgeräte sind das nächste Ziel der Werbefirmen, denn 13,7 Millionen Deutsche surfen mindestens einmal pro Woche mit ihrem Smartphone im Web, so das Ergebnis einer Studie des Bundesverbandes Digitale Wirtschaft. Der Vorteil von Smartphones: Sie haben meist nur einen Nutzer und ermöglichen über die WLAN– und GPS-Lokalisierung ganz neue Useranalysen.

Da Cookies auf Mobilgeräten nur sehr begrenzt gespeichert werden können, beschränkt sich gezielte Mobilwerbung bislang meist auf Apps, weil die enorm viele Daten auslesen können. Das Security-Unternehmen Bitdefender analysierte im November einige Android-Apps, darunter das beliebte Spiel Paradise Island. Es sendet Telefonnummern und Mailadressen an AirPush.com, die Identifikationsnummer des Geräts an Aarki.net – zwei auf Mobilgeräte spezialisierte Werbedienstleister. Andere Apps lesen laut Bitdefender die Kontaktliste sowie besuchte Websites und Suchanfragen aus. Einige aggressive Adware-Apps verändern dafür die Standardsuchmaschine, sodass sie jede Suchanfrage des Users tracken können.

Wertvoller Aufenthaltsort

Am wertvollsten ist aber der Aufenthaltsort des Users. „Nutzerprofile zu erstellen ist extrem einfach, wenn man den Standort des Nutzers trackt, weil man so viel darüber erfährt, was er gern tut“, sagt Sicherheitsforscher Liviu Arsene von Bitdefender. Wenn der Datentracker ein Smartphone zum Beispiel dreimal im Monat in einem Fußballstadion ortet, ist der Nutzer vermutlich Fußballfan. Er interessiert sich demnach wahrscheinlich mehr für Sportkleidung oder Stadiontickets als für Damenschuhe und sieht dann dementsprechende Werbung auf seinem Smartphone.

Google, immer wieder Google
Dieser Nutzeranalyse auf Mobilgeräten verschreiben sich immer mehr Unternehmen, darunter das Start-up Adelphic. Dessen Versprechen: Anhand von 30 Signalen analysiert es die Verhaltensweise von Handy-Usern. Welche Signale das sind, verrät Adelphic nicht, nur so viel, dass sie anhand eines Algorithmus erkennen, wie ein User auf vorherige Werbeangebote reagiert hat. Diese Erkenntnisse waren Google zehn Millionen US-Dollar wert, als man das Start-up im Dezember kaufte. Für Google könnte die Adelphic-Technologie ein weiterer Schritt sein, die Daten zu verarbeiten, die das Unternehmen mit seinen Mobildiensten wie Latitude oder Now sammelt.

Die große Kunst für die Werbefirmen besteht ohnehin darin, die auf verschiedenen Geräten über Apps und Browser gesammelten Datensätze zu kombinieren. Wegen der zunehmenden Fragmentierung der Gerätenutzung (PC, Laptop, Tablet, Smartphone) ist es für Werbetreibende schwierig, gezielte und damit lukrative Werbung für den User einzublenden. Die ehemalige Google-Mitarbeiterin Kamakshi Sivaramakrishnan will dies mit ihrem Start-up Drawbridge leisten.

Algorithmus erkennt User
Der Dienst nutzt statistische Analysen anonymisierter Daten, um den User über mehrere Geräte zu verfolgen. Dazu analysiert er Cookie-Daten der verschiedenen Browser (PC, Mobilgeräte) und prüft mithilfe eines Algorithmus, ob zwei Cookies zu ein und derselben Person gehören könnten. Ist die Wahrscheinlichkeit hierfür hoch, werden die Cookies zu einem Datensatz verknüpft.
Woran der Algorithmus dies erkennt, bleibt freilich geheim. Es scheint jedoch so gut zu funktionieren, dass bereits einige der größten Mobile-Games-Hersteller und Reisewebsites diesen Dienst in der Betaphase nutzen.

User-Verfolgung via TV-Gerät



Beängstigend ist, dass sich diese User-Verfolgung noch steigern lässt, denn nutzungsbasierte Werbung soll auch auf TV-Geräte kommen. Dazu muss man natürlich etwas über den Menschen vor dem TV-Gerät wissen. Sowohl Google (für Google TV) als auch der US-Kabelanbieter Verizon haben Patente angemeldet, die beschreiben, wie sie mithilfe von Kameras und Mikrofonen in TV-Geräten oder Set-Top-Boxen die Zuschauer analysieren. Das Verizon-Patent nennt dafür zwei Beispiele: Ein Paar sitzt vor dem TV und streitet sich – woraufhin ihm TV-Werbung für eine Paarberatung angezeigt wird. Zweite Szene: Ein Paar kuschelt sich auf der Couch zusammen – und bekommt Werbung für Verhütungsmittel zu sehen.

Das klingt unheimlich, und doch ist es das große Ziel der Werbeindustrie: die Online- und Offline-Aktivitäten der Nutzer in der Analyse zusammenzuführen – ähnlich wie bei der Ortung von Smartphones. Ob die in den Patenten beschriebenen Methoden hierzulande legal wären, ist fraglich. Doch an anderer Stelle verschmelzen digitale und analoge Daten schon heute. Dazu müssen Werbeunternehmen nur ihre Daten mit denen von Meldeämtern abgleichen.

Datenbasar auf der Amtsstube
Meldeämter dürfen persönliche Daten verkaufen: Familienname, Vornamen, Doktorgrad, derzeitige Anschriften und die Information, ob der Betreffende verstorben ist. Die Nutznießer sind Inkasso-Unternehmen und Krankenkassen, aber auch Firmen, die Kundenanalysen erstellen oder die über 1000 Adresshändler Deutschlands. Unternehmen nutzen diese Adressen meist für Postwerbung. Das ist auch legal, solange zumindest ein kleiner Hinweis auf der Werbepost erklärt, woher der Absender die Daten hat. „Grundsätzlich können aber auch Online-Werbeunternehmen ihre Datenbestände mit Daten der Meldeämter aktualisieren“, sagt Verbraucherschützerin Michaela Zinke vom vzbv. „In welchem Umfang sie das tun, ist jedoch unklar.“



Die Ämter, so viel weiß man, bekommen pro Adresse bis zu acht Euro. Im Jahr 2011 verdienten sie so 12,1 Millionen Euro. Eine Neufassung des Meldegesetzes soll diesen Datenhandel ab 2014 ohne Zustimmung der Bürger erlauben. Das Gesetz wurde vom Bundestag im Juni verabschiedet, muss aber noch durch den Bundesrat.

Faire Behandlung des Users?
Kann es eine Lösung geben, mit der Websitebetreiber Geld verdienen, den User dabei aber fair behandeln? In ihrer jetzigen Form – heimlich, ohne den Nutzer zu informieren, ohne praktikable Widerspruchslösung – ist Onlinewerbung davon weit entfernt. Millionen User vertrauen deshalb nach wie vor auf Werbeblocker im Browser. Zumindest Firefox hat darauf reagiert und ermöglicht es den Usern, das Speichern ihrer Daten zu unterbinden. Denn, so Gary Kovacs, CEO bei Mozilla, „Privatsphäre sollte nicht nur optional sein“.

„Wenn Websites dem Nutzer aber zeigen, welchen Mehrwert die gesammelten Nutzerdaten bieten, etwa weil sie sinnvolle Produktvorschläge ermöglichen, können auch die Unternehmen profitieren“, sagt Michaela Zinke. Stattdessen behaupten die Webkonzerne, dass Transparenz ihr Geschäftsmodell bedroht – nämlich dann, wenn die Datentracker bekannt gemacht werden und User die Seite daraufhin ganz meiden. „Doch kaum jemand hat es bisher ausprobiert, sodass auch niemand tatsächlich weiß, wie die User reagieren würden“, so Zinkes Einschätzung. Also bleibt dem Nutzer nur: mit den Webstalkern leben – oder sie mit eigenen Mitteln aussperren.

Tipps gegen die Datensammler



Dem Datentracking vollständig zu entkommen, ist unmöglich. Mit diesen Tipps bremsen Sie die Datensammler aber so weit aus, dass diese kein brauchbares Userprofil mehr von Ihnen anlegen können. Gleichzeitig können Sie das Web ohne Komforteinbußen nutzen. Wollen Sie sich noch vor einem Seitenbesuch informieren, nutzen Sie die Cookie-Suchmaschine b-versio. Das Projekt der TU Berlin zeigt alle Cookies einer Seite sowie Infos zu den Trackingdiensten an.

IE, Firefox, Chrome: Cookies löschen
HTTP-Cookies können Sie direkt im Browser löschen. Beim IE gehen Sie im Einstellungsmenü auf „Sicherheit/Browserverlauf löschen“ und setzen ein Häkchen unter „Cookies“. Firefox bietet diese Option unter „Einstellungen/Datenschutz/Einzelne Cookies löschen/alle Cookies löschen“.

In Chrome gehen Sie zu „Einstellungen/Erweiterte Einstellungen anzeigen/Datenschutz/Browserdaten löschen“. Unter „Datenschutz/Inhaltseinstellungen/Cookies“ können Sie auch festlegen, dass Cookies automatisch beim Schließen des Browsers gelöscht werden.

Flashcookies werden Sie so aber nicht los, dafür brauchen Sie ein Add-on wie BetterPrivacy (Firefox) oder Click&Clean (Chrome) – beide gibt es als als Download unter chip.de. Die finden und löschen auch Supercookies jedes Mal, wenn Sie den Browser schließen. In BetterPrivacy müssen Sie nichts einstellen, in Click&Clean entfernen Sie dafür unter „Private Daten löschen ...“ den Haken bei „Deaktivieren“.

Firefox: DOM-Storage ausschalten
Speichern von Webanwendungsdaten im Browser (DOM-Storage) können Sie nur in Firefox deaktivieren. Dazu geben Sie in die URL-Zeile „about:config“ ein, suchen den Parameter „dom.storage.enabled“ und doppelklicken darauf. Das setzt den Eintrag auf „False“, Websites speichern keine Daten mehr.

Internet Explorer: Trackingliste aktivieren
Im IE ist der beste Schutz vor Datentrackern die „Tracking Protection List“ des Fraunhofer-Instituts. Die Liste mit über 350 Einträgen installieren Sie als Plug-in im IE (ab Version 9). Sie blockiert alle gelisteten Tracker, sobald die auf einer Website aktiv werden. Die Liste wird alle drei Tage automatisch aktualisiert, sodass Sie immer auf dem neuesten Stand bleiben.

Android, iOS: Mobilgeräte konfigurieren
Seit Ende November gibt es endlich für Android-Smartphones den Werbeblocker Adblock Plus als App. Diese blockt Werbung auf mobilen Websites, aber auch die Banner in Apps. Außerdem sollten Sie die GPS-Ortungsfunktion Ihres Geräts deaktivieren, wenn Sie sie nicht unbedingt benötigen. In iOS können Sie seit Version 6 immerhin das Werbetracking beschränken. Gehen Sie dazu auf „Einstellungen/Allgemein/Info/Werbung/Ad-Tracking beschränken einschalten“.

Die Top 50 der Datentracker



Quelle