Durch das Positionspapier der Datenschutzkonferenz ist Tracking wieder in aller Munde. Auf der Webseite restoreprivacy.com wird eine hilfreiche Übersicht bereitgestellt, die bei der Suche nach geeigneten Mittel gegen Tracking weiterhelfen soll. Mit der Übersicht können die verschiedenen Lösungen anhand von Vor- und Nachteilen gut in puncto Datenschutz verglichen werden.
Der Inhalt im Überblick
Tracking im Alltag
Bei Tracking gibt es leider keinen Beipackzettel, der besagt: „Für Risiken oder Nebenwirkungen fragen Sie Ihren Websitebetreiber oder Tracking-Anbieter“. Denn Risiken gibt es allemal. Insbesondere beim Surfen im Internet werden Nutzer auf Schritt und Tritt verfolgt. Das Nutzerverhalten wird aufgezeichnet und ausgewertet, um statistische Aussagen über die Nutzung von Webangeboten treffen zu können. Es werden jedoch auch individuelle Nutzerprofile angefertigt. Es wird z.B. aufgezeichnet, wie sie in einem sozialen Netzwerk interagieren, eine Suchmaschine nutzen oder Zeitung online lesen. Dabei können auch Informationen über den Gesundheitszustand, sexuelle Vorlieben und politische Überzeugungen in Ihr Nutzerprofil einfließen.
Man kann sich ein Nutzerprofil dabei wie einen Eisberg vorstellen. Der sichtbare Teil – die Werbung, die Ihnen angezeigt wird – ist nur die Spitze des Eisbergs. Der potenziell viel gefährlichere, unsichtbare Teil ist das über Jahre gewachsene Persönlichkeitsprofil. Problematisch ist dabei, dass Nutzer häufig nicht wissen,
- „ob“ ihr Verhalten aufgezeichnet und ausgewertet wird
- „wer“ ihr Verhalten aufzeichnet und
- „zu welchen Zwecken“ es ausgewertet wird
1.) Werde ich getrackt?
Als Faustformel gilt: Jede Website, die mit Werbung Geld verdienen möchte, setzt Web-Tracker ein. Zudem verfolgen viele Websites mithilfe von Trackern das Nutzerverhalten auf der Seite, um die Website nutzerfreundlich zu gestalten. Einige der Anti-Tracking-Tools, die wir weiter unten aufführen, zeigen dem Nutzer an, welche Tracker auf einer Website gerade aktiv sind.
2.) Wer trackt mich?
Es gibt unterschiedlichste Akteure. Tracking wird u.a. von sogenannten Adservern genutzt. Das sind Werbenetzwerke, die auf vielen verschiedenen Websites Werbung einspielen. Hierfür vermieten die Websitebetreiber – einer Plakatwand vergleichbar – ihre Werbeflächen an die Adserver. Die Adserver spielen dort dann die Werbung ihrer Kunden ein. Ein Werbenetzwerk wird beispielsweise von Google betrieben. Kunden können dann Werbung bei der Google Suche, YouTube oder auf „Partnerwebsites“ schalten.
Darüber hinaus gibt es noch viele andere Arten und Akteure des Trackings. Beispielsweise können auch über Social Plugins (kleine Symbole von Facebook, Twitter & Co. am Seitenende), die auf vielen Websites eingebunden werden, Seitenaufrufe getrackt werden.
3.) Wofür werde ich getrackt?
Es gibt verschiedenste Gründe für Tracking, sei es staatliche Schnüffelei, Dynamic Pricing oder die benutzerfreundliche Gestaltung von Websites. Der Hauptzweck ist aber passgenaue Werbung. Hierdurch soll das ewige Problem der Werbung gelöst werden, welches Henry Ford treffend beschrieben hat:
„Ich weiß, die Hälfte meiner Werbung ist hinausgeworfenes Geld. Ich weiß nur nicht, welche Hälfte“.
Blick in die Zukunft
Wenn man den Prognosen der Wirtschaft glaubt, ist Tracking im Internet aber erst der Anfang. Danach werden wir bald unentrinnbar mit dem Internet der Dinge vernetzt sein. Wenn wir bald von intelligenten Geräten umgeben sind, bei denen wir nicht wissen, ob sie etwas über uns preisgeben, was sie preisgeben und an wen sie es preisgeben, drohen wir wie Goethe’s Zauberlehrling zu enden:
„Die ich rief, die Geister
werd ich nun nicht los.“
Ein schon sehr reales Bespiel lieferte letzte Woche das Mithören von Alexa oder handelsübliche Smart-TVs.
Anti-Tracking Tools
Eine umfassende Übersicht über Anti-Tracking Mittel finden Sie bei Restore Privacy. Wir haben hier die unserer Meinung nach gebräuchlichsten Mittel aufgezählt:
- Do-Not-Track Funktion:
Man kann in seinem Browser durch ein Häkchen die Do-Not-Track-Funktion aktivieren. Dann schickt der Browser bei jedem Websiteaufruf dem Websitebetreiber eine Mitteilung „bitte tracke den Nutzer nicht“. Das Problem: Ob sich ein Websitebetreiber sich daran hält, ist ihm überlassen. - Privater-Modus des Browsers:
Bei Google Chrome „Inkognito-Modus“, bei Firefox und Safari „privates Fenster“ oder häufig auch schlicht „Porno-Modus“ genannt. Es werden dann kein Browserverlauf, keine Sucheingaben und keine Cookies gespeichert. Die Aktivität wird so für andere Nutzer des Geräts unsichtbar. Problematisch ist allerdings, dass dadurch Tracking durch die Website oder andere Unternehmen nicht unterbunden wird. - Browser-Plug-Ins/-Add-Ons:
Anti-Tracking Add-Ons wie NoScript, AdBlock, Disconnet und Ghostery versprechen, dass man Tracking mit wenigen Klicks beenden kann. Dem Nutzer wird dann in seinem Browserfenster angezeigt, ob er getrackt wird, wer ihn trackt und er kann entscheiden, ob er das Tracking zulassen möchte oder nicht. Ein Nachteil ist, dass auch hier nicht immer ganz transparent ist, ob die Add-Ons selbst den Nutzer tracken. So soll Ghostery bei der Aktivierung der Option „Ghostrank“ der Werbeinsdustrie anonymisierte Auswertungen zu gefundenen Trackern anbieten. Zudem funktionieren die Add-Ons nicht immer einwandfrei auf Mobilgeräten oder blocken so umfassend, dass Websites nicht ordentlich aufgebaut werden. - Proxy Server:
Bei Proxy Servern fungiert der Proxy Server als Kommunikationsschnittstelle, sodass der Nutzer nicht direkt eine Verbindung zu dem Server der Website aufbaut, sondern zuerst über den Proxy Server, der dann die Anfrage weiterleitet. - VPN-Netzwerke:
Hier werden die eigenen Anfragen über ein VPN-Netzwerk weitergeleitet und dadurch sind sie nicht mehr nachverfolgbar. Jedoch bieten nicht alle VPN-Netzwerke vollumfänglich Schutz gegen Tracking. Sie sind zudem kostenpflichtig. Ein guter Anbieter ist Perfect Privacy. - DIY–Lösungen:
Technisch versierte Nutzer können zu verschiedensten Mitteln greifen. So gibt es Anleitungen, wie man sein eigenes Anti-Tracking Gerät baut. Ein interessante DIY-Lösung hat ein Team aus Dänemark entwickelt. Mithilfe eines Aufsatzes in Form von Pilzen oder geschmolzenem Plastik kann man Alexa am lauschen hindern, indem sie mit einem Mix aus Geräuschen dauerbeschallt wird. - Plug & Play Geräte:
Der Vorteil bei Plug & Play Geräten ist, dass sie keine Software installiert werden muss, alle Geräte im heimischen WLAN-Netzwerk geschützt werden (nicht nur ein Browser oder ein Gerät). Zu nennen ist hier beispielsweise der eBlocker. Dieser hat zudem noch den Vorteil, dass Praktiken wie Preisdiskriminierung unterbunden werden können, die IP-Adresse anonymisiert werden kann oder Jugendschutzeinstellung getroffen werden können. Das Gerät lässt sich auch selbst bauen.
And the winner is…
Wie so oft: Es kommt es darauf an, was man will!
Wenn man sich nur oberflächlich an angezeigter Werbung stört, dann genügt der Private Modus des Browsers. Hier muss man sich aber bewusst sein, dass es in den meisten Fällen nur den anderen Nutzern des Geräts was vormachen kann.
Möchte man sichergehen, dass man wirklich nicht getrackt wird, helfen Browser Plug-Ins schon ein gutes Stück weiter. Sie sind außerdem leicht zu installieren. Man kriegt einen Überblick über die eingesetzten Blocker und kann sie nach Belieben blocken.
Ist man ein technischer Laie und möchte dennoch vollumfänglichen Schutz genießen, sollte man zu einer umfassenden Plug & Play Gerät greifen. Hierdurch kann man Tracking zuverlässig für das gesamte WLAN-Netzwerk verhindern. Ein Feature das insbesondere interessant ist, wenn man viele vernetzte Geräte im Haushalt hat, wie einen Smart-TV, Smart-Speaker oder intelligente Thermostate. So kann man verhindern, dass die Geräte unbemerkt nach draußen „schwatzen“.
Vielleicht sollte man noch „uBlock orgin“ als Alternative zu Ghostery erwähnen. Erfordert ein wenig Einarbeitung, ist aber in Verbindung mit No Script ein gutes Anti-Tracking Setup.
Sehr interessanter Beitrag und wertvolle Links, vielen Dank. Im privaten Bereich sollte sich das Jeder mal ansehen. Aber wie ist das im Arbeitsverhältnis? Habe ich als Mitarbeiter, der täglich im Internet arbeiten muss, einen Anspruch darauf, dass der Arbeitgeber für ausreichend Datenschutz meiner (beruflichen und privaten) Personendaten sorgt? So dass niemand bequem Profile anhand meiner Online Arbeitstätigkeit erstellen kann, die ggf. bis in den privaten Bereich hinein Auswirkungen haben können? Natürlich sollte ein AG schon aus Eigeninteresse darauf achten, dass nicht zuviel Insider-Wissen nur durch das tägliche Nutzerverhalten der MA ins Netz gerät, aber ich fürchte, dass daran noch gar nicht oft genug gedacht wird. Über die beruflichen Vernetzungen (xing, fb, Job-Portale, Forenbeiträge usw.) kann man mit Sicherheit bereits recht leicht ein genaues Profil erstellen, Nutzer sind durch Fingerprinting (Browser, Gerätekennungen, Standorte, Klickverhalten usw.) auch ohne jede weitere personenbezogene Angabe zu bestimmen. Moderne Suchmaschinen erleichtern das Auffinden. Kann ich dann anhand einiger beruflicher Aktivitäten im Netz die Zugehörigkeit und Person genau bestimmen, ist der Weg zu den privaten Veröffentlichungen nicht mehr weit (Instagram, twitter, Sportvereinseite usw.) – dass die berufliche Tätigkeit dabei den Weg ebnet zu Denunziation, Identity Theft, Blackmail uvm. sollte zu denken geben. Nach DSGVO sehe ich die Verantwortlichkeit hier beim AG, der die personenbezogenen Daten seiner Mitarbeiter verarbeitet und sie anweist, solche im Netz zu hinterlassen. Ich meine hier weniger Personen, die aufgrund ihrer beruflichen Tätigkeit Bekanntheitsstatus haben (Speaker, Celebrities), sondern eher die Millionen Mitarbeiter, die einfach am PC und im Internet arbeiten im Rahmen ihres Arbeitsvertrages. Muss ein Mitarbeiter bei einer solchen Tätigkeit das Risiko hinnehmen, dass durch massives Tracking solche Profile entstehen und (gegen ihn/sie) genutzt werden, oder müssten AG hier aktiv darauf hinwirken, dieses Risiko zu minimieren (Anti-Tracking Methoden vorsehen, Internet-Policy die z.B. berufliche Foren/Social Media-Nutzung regelt usw.)? Oder bin ich da völlig auf dem Holzweg?
Das ist tatsächliche eine interessante Frage. Es ist aber ein nur schwierig zu lösendes Problem.
Schließlich wird in Arbeitsverträgen in der Regel keine Pflicht geregelt sein, dass ein Arbeitnehmer zur Erbringung seiner Arbeitsleistung bestimmte Dienste wie die Google Suche nutzen muss. Kurz gesagt, es wird nicht vorgeschrieben, sich bei der Arbeit von Dritten tracken zu lassen. Faktisch wird es aber häufig darauf hinauslaufen, da Mitarbeiter Suchdienste verwenden oder Webseiten nutzen, auf denen Tracking-Tools eingesetzt werden.
In manchen Fällen kann man die Nutzung von gewissen Diensten sogar als erforderlich für die Durchführung des Beschäftigungsverhältnisses ansehen, wenn ein Mitarbeiter z.B. im Marketing für die Außendarstellung eines Unternehmens zuständig ist und daher Facebook, Xing etc. nutzen muss.
Andererseits besteht aber durchaus eine Pflicht des Arbeitgebers, bei der Anschaffung und dem Betrieb von Software nach dem Grundsatz des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen nach Art. 25 DSGVO, datenschutzrechtliche Pflichten wie den Grundsatz der Datenminimierung zu beachten (aber auch das ist angesichts der Datenverarbeitung durch Microsoft bei Nutzung von Office 365 eher ein frommer Wunsch).
Fazit: Letztendlich bin ich ganz bei Ihnen, dass es faktisch ein blinder Fleck des Datenschutzes ist, da es faktisch häufig möglich sein wird, das Nutzerverhalten bei der Arbeit mit privaten Nutzerprofilen zu verbinden. Da die Nutzung bestimmter Services aber – außer vielleicht bei der Nutzung eines E-Mail Anbieters – arbeitsvertraglich nicht vorgeschrieben wird, lässt sich hier keine Verantwortlichkeit des Arbeitgebers zum Schutz der Mitarbeiter vor Tracking durch Dritte begründen.
Hallo,
E-Blocker ist leider insolvent. Gibt es Alternativen?
DoNotTrack ist noch mehr tot als HALF-LIFE, ich bevorzuge NoScript(ScriptDefender) und(oder) uBlock(uMatrix).