Cookies von Drittanbietern sind in Googles Chrome (fast) tot – es lebe der Drittanbieter-Cookie?

Ob das – tatsächlich – stimmt, ist die Frage, die durch Googles kürzlich eingeführte Funktion namens Related Website Sets (RWS) (umbenannt von First-Party Sets) aufgeworfen wird.

„Eine Möglichkeit für ein Unternehmen, Beziehungen zwischen Websites zu deklarieren“, so fasst es Google gerne zusammen.

Genauer gesagt definiert es eine Gruppe von „verwandten Websites“, die „vertrauenswürdige Inhalte“ teilen.

Stellen Sie sich vor, Sie besitzen eine Reihe von Schlüsseln für verschiedene Zimmer in einem Haus – jedes Zimmer steht für eine andere Website, die demselben Unternehmen gehört (z. B. YouTube, Gmail und Google Maps von Google). Mit RWS schlägt Google ein Szenario vor, bei dem, sobald Sie einen Raum aufschließen, die anderen Räume Sie erkennen und sich automatisch öffnen, ohne dass der Schlüssel erneut benötigt wird. Bei dieser „Erkennung“ geht es technisch darum, wie Websites Nutzer über verschiedene Dienste desselben Unternehmens hinweg identifizieren und verfolgen.

Wenn Sie eine Website besuchen, helfen kleine Datenpakete, die Cookies genannt werden, der Website, sich Informationen über Ihren Besuch zu merken. Bisher konnten Cookies von einer Website nicht mit einer anderen geteilt werden, es sei denn, die beiden Websites gingen ausdrücklich eine Partnerschaft ein (man stelle sich vor, man bräuchte eine besondere Vereinbarung, um denselben Schlüssel für verschiedene Zimmer zu verwenden, die verschiedenen Personen gehören). RWS ändert dies, indem es einer Gruppe von Websites, die sich im Besitz desselben Unternehmens befinden, erlaubt, die Cookies der anderen automatisch zu erkennen.

Befürworter von RWS argumentieren, dass es die Nutzererfahrung verbessert, indem es eine nahtlose Interaktion zwischen verschiedenen Diensten ermöglicht. Wenn man zum Beispiel bei Google Mail angemeldet ist, kann man problemlos auf YouTube oder Google Maps zugreifen, ohne sich erneut anmelden zu müssen. Das Unternehmen behauptet, es gehe um Bequemlichkeit und die Aufrechterhaltung benutzerfreundlicher Dienste in einem wettbewerbsintensiven Markt.

Die Sichtweise der Kritiker:

Kritiker sehen in RWS jedoch ein ausgeklügeltes Instrument zur tieferen Verfolgung und Profilierung von Nutzern. Die Hauptsorge besteht darin, dass Google durch die gemeinsame Nutzung von Cookies durch mehrere Websites die Nutzer möglicherweise umfassender über verschiedene Dienste hinweg verfolgen und Daten über ihre Aktivitäten in einer Weise sammeln könnte, die die Nutzer möglicherweise nicht erwarten oder der sie sich nicht bewusst sind.

Verbesserte Nachverfolgungsmöglichkeiten: Mit RWS können, sobald Sie mit einer Website in der Gruppe interagieren, andere Websites in dieser Gruppe auf diese Informationen zugreifen, was zu einer detaillierteren Nachverfolgung Ihres Online-Verhaltens führen kann. Zum Beispiel könnte das, wonach Sie bei Google suchen, Einfluss darauf haben, was Sie bei YouTube sehen, ohne dass es klare Grenzen gibt.

Unscharfe Grenzen der Zustimmung: Für die Nutzer wird es schwieriger, ihre Datenschutzeinstellungen zu kontrollieren, wenn ihre Daten automatisch über mehrere Websites verteilt werden. Dies kann dazu führen, dass die Grenzen dessen, was die Nutzer freigegeben haben, verschwimmen, sodass sie nur schwer nachvollziehen können, wer über ihre Daten verfügt und wie sie verwendet werden.

Potenzial für Datenverbreitung: Die Möglichkeit für mehrere Websites, auf dieselben Cookies zuzugreifen, könnte zu einer Verbreitung personenbezogener Daten über verschiedene Plattformen hinweg führen, was das Risiko von Datenschutzverletzungen oder unbefugter Datenweitergabe erhöht.

Brave Software, eine der Datenschutz- und sicherheitsorientierten Alternativen zu Google Chrome und Hersteller des Brave Browsers, hat sich zusammen mit Forschern der University of St. Andrews, des Imperial College London und der Hong Kong University of Science & Technology dazu entschlossen, dies genauer zu untersuchen.

In einer Studie wurde untersucht, welche Schäden und Risiken RWS mit sich bringen könnte, wenn und wie die Cookies von Drittanbietern (die in einem langwierigen Prozess abgeschafft werden sollen) in anderer Form ein „Comeback“ feiern und Datenschutzvorteile, die den Nutzern sonst zugutegekommen wären, zunichte machen.

Google sagt, das Ziel von RWS sei es, „Erfahrungen“ wiederherzustellen, die zuvor durch Cookies von Drittanbietern ermöglicht wurden, nur dieses Mal mit „verbessertem Datenschutz“ im Hinterkopf. Und Google ist unmissverständlich – die „Erlebnisse“ sind notwendig und müssen neu geschaffen werden.

„Related Website Sets ist eine Möglichkeit für ein Unternehmen, Beziehungen zwischen Websites zu deklarieren, sodass Browser einen begrenzten Zugriff auf Cookies von Drittanbietern für bestimmte Zwecke zulassen“, erklärt Google auf seiner Website, die sich an Entwickler richtet.

Chrome verwendet diese Informationen dann, „um zu entscheiden, wann einer Website der Zugriff auf ihre Cookies erlaubt oder verweigert werden soll, wenn sie sich im Kontext eines Drittanbieters befindet.“

Eines scheint klar zu sein: Google schiebt die Abschaffung der Cookies von Drittanbietern immer weiter hinaus, während es einen Ersatz entwickelt. Die einzige Frage, die sich stellt, ist, ob dieser Ersatz eine Verbesserung oder nur ein Feigenblatt sein wird.

Die Studie über das RWS-Verhalten, die auf der Brave-Website zusammengefasst ist, behauptet, dass RWS trotz Googles positiver Darstellung der Funktion einen Schaden für die Privatsphäre darstellt, da es „einige der Datenschutzvorteile der Abschaffung von Drittanbieter-Cookies umkehrt“.

Das Ende der Cookies von Drittanbietern

Cookies von Drittanbietern sind seit Jahren das Rückgrat der Online-Werbung. Sie verfolgen die Aktivitäten der Nutzer über verschiedene Websites hinweg, um personalisierte Werbung zu schalten. Diese Cookies werden von anderen Domains als derjenigen, die Sie direkt besuchen, gesetzt und ermöglichen es den Werbetreibenden, Ihre Surfgewohnheiten im gesamten Web zu verfolgen. Diese Praxis hat jedoch erhebliche Bedenken hinsichtlich des Datenschutzes aufgeworfen und zu strengeren Vorschriften wie der GDPR in Europa und dem CCPA in Kalifornien geführt.

Als Reaktion auf diese Bedenken und die veränderte Einstellung der Verbraucher zum Datenschutz kündigte Google an, die Cookies von Drittanbietern in seinem Chrome-Browser abzuschaffen. Diese Entscheidung wurde auch durch ähnliche Schritte anderer Browser wie Firefox und Safari vorangetrieben, die bereits damit begonnen hatten, Cookies von Drittanbietern standardmäßig zu blockieren.

RWS ermöglicht es einer Sammlung verwandter Websites, die Cookies der anderen zu erkennen. Das bedeutet, dass Cookies von Drittanbietern zwar blockiert sind, einer Reihe von Websites, die denselben Eigentümern gehören, aber dennoch Tracking-Daten untereinander austauschen können.

Weiterhin sind die von Google angegebenen Gründe für die Einführung der Funktion – als eine Art Transparenzhinweis für Chrome-Nutzer, dass eine Organisation verschiedene Websites betreibt – im Großen und Ganzen nutzlos, wenn man bedenkt, wie viele Nutzer dem tatsächlich Beachtung schenken werden.

Wie RWS und seine „eine Organisation, die verschiedene Websites betreibt“ in Wirklichkeit funktioniert, wird am Beispiel von Google erklärt, das es verwendet, um die Videos, die ein Nutzer auf YouTube ansieht (unabhängig davon, ob er in seinem Konto angemeldet ist oder nicht), mit seinem gesamten Google-Konto zu verknüpfen. Dasselbe gilt zum Beispiel für Facebook und Instagram, da beide zu Meta gehören.

Aber warum sollte der Nutzer glauben, dass er datenschutzrechtlich besser dran ist als jetzt, wo Cookies von Drittanbietern ihn verfolgen und das Leben aus seinen persönlichen Daten saugen, um die Werbebranche zu füttern?

Warum die Besorgnis?

1. Fortsetzung des Trackings: Während die Abschaffung der Cookies von Drittanbietern als Sieg für die Verfechter des Datenschutzes gewertet wurde, könnte sich die Einführung von RWS wie ein Rückschritt anfühlen. Sie ermöglicht es Google im Wesentlichen, das Tracking von Nutzern über sein breites Spektrum an Diensten fortzusetzen und detaillierte Profile von Nutzerpräferenzen, Interessen und Verhaltensweisen zu erstellen.

2. Machtverschiebung: Der Schritt könnte als Verschiebung der Machtdynamik zugunsten großer Konglomerate gesehen werden, die mehrere Plattformen besitzen. Kleinere Unternehmen und unabhängige Websites werden nicht von den vernetzten Fähigkeiten von RWS profitieren, was möglicherweise zu einem weniger wettbewerbsfähigen Markt führt, auf dem die größten Akteure einen noch größeren Vorteil bei der Verfolgung und Ausrichtung auf die Nutzer haben.

3. Fragen des Datenschutzes und der Transparenz: Es gibt Bedenken, wie transparent Google diese neue Tracking-Methode handhaben wird. Den Nutzern ist möglicherweise nicht ganz klar, wie ihre Informationen über verschiedene Plattformen hinweg weitergegeben werden, was zu Problemen bei der effektiven Verwaltung von Datenschutzeinstellungen über mehrere Dienste hinweg führen könnte.

Die Studie legt nahe, dass die Nutzer das nicht denken sollten und Google die Erwartungen nicht nur steuert, sondern im Grunde versucht, sie zu schaffen.

Der Nutzer erwartet bereits, dass beide Seiten Informationen miteinander austauschen“, und deshalb muss der Browser Cookies von Drittanbietern nicht blockieren, wenn diese Seiten demselben Unternehmen gehören“, fasst die Studie Googles RWS-Werbung zusammen.

Die Ergebnisse der Studie deuten jedoch darauf hin, dass RWS eine weitere Iteration der vielen Funktionen ist, die in der Vergangenheit entwickelt und eingesetzt wurden, um das Internet-Geschäftsmodell von Big Tech aufrechtzuerhalten, nämlich jene, die der Werbeindustrie zugute kommen.

Die Forscher fanden heraus, dass das „Datenschutzmodell“ des Internets mit RWS einen weiteren Schlag erleidet, der es schwächen wird.

Wie so viele andere für den Nutzer schädliche und unnötig komplizierte Entscheidungen in Chromes übergreifendem „Datenschutz-Sandkasten“-Vorschlag dient RWS dazu, sicherzustellen, dass Chrome weiterhin in erster Linie den Bedürfnissen der Werbetreibenden dient, selbst wenn Google (endlich) die Cookies von Drittanbietern abgeschafft hat“, heißt es in der Zusammenfassung der Studie.

Die Studie untersuchte, ob (die meisten) Internetnutzer tatsächlich feststellen würden, ob Websites „verwandt“ sind, und wie genau dies gemäß der RWS-eigenen Site-Relationship-Liste ist.

„In unserer Studie hat die große Mehrheit der Nutzer (~73 %) mindestens einmal falsch entschieden, ob zwei Websites miteinander verwandt sind, und fast die Hälfte (~42 %) der während der Studie getroffenen Entscheidungen (d. h. alle Entscheidungen von allen Nutzern) waren falsch“, so die Testergebnisse.

„Besonders besorgniserregend ist, dass in den Fällen, in denen beide Websites (laut RWS-Funktion) miteinander verbunden waren, die Benutzer in 37 % der Fälle annahmen, dass die Websites nicht miteinander verbunden waren, was bedeutet, dass die Benutzer dachten, Chrome würde sie schützen, obwohl dies nicht der Fall war.

Da die grundlegende „Prämisse“ – oder das Argument – für RWS als „grundlegend falsch“ angesehen wird, stellt sich ein weiteres Problem: Warum sollten die Nutzer glauben, dass zwei Websites, die von derselben Organisation betrieben werden, in Bezug auf den Datenschutz sicher sind? Das sollten sie nicht, meinen die Initiatoren der Studie.

Sie behaupten weiterhin, dass es anderen Browsern wie Brave, Firefox und Safari im Gegensatz zu Chrome gelingt, die Nachverfolgung von Nutzern durch verwandte Websites zu unterbinden (allerdings müssten sie Konten mit unterschiedlichen E-Mails und „Informationen“ registrieren – was bedeutet, dass selbst dies Google nicht davon abhält, Ihre Aktivitäten auf verschiedenen Websites zu „verknüpfen“).

Und das, obwohl RWS als „vorteilhaft“ und als signifikante positive Abkehr von den Cookies Dritter verkauft wird.

Es wird darauf hingewiesen, dass es Unternehmen gibt, die aktiv daran arbeiten, Nutzer über Websites hinweg zu verfolgen und dabei Datenschutzfunktionen in anderen Browsern zu umgehen, dass aber Chrome solche Bemühungen ermöglicht, während diese Unternehmen daran arbeiten, sie auszugleichen.

Angesichts des Marktanteils von Chrome ist RWS eine schlechte Nachricht für das Web, aber es gibt auch einen Silberstreif am Horizont. Nicht nur haben die engsten Konkurrenten wie Brave, Firefox und Safari RWS abgelehnt, sondern dieser „allgemeine Webvorschlag“ wurde aus der W3C Privacy Community Group entfernt – „und wird von keiner datenschutzorientierten Gruppe im W3C mehr in Betracht gezogen.“