Verizons Super-Cookies offenbar sehr beliebt
Der US-Mobilfunkprovider Verizon macht seine Benutzer durch eine eindeutige ID identifizierbar. Das wird von der Werbeindustrie anscheindend gerne aufgegriffen.
Bereits im Oktober hatten heise online über ein nicht löschbares Cookie berichtet, dass das US-amerikanische Mobilfunkunternehmen Verizon seinen Kunden unterschiebt. Jetzt hat der Informatiker und Rechtsanwalt Jonathan Mayer weitere Details veröffentlicht. So benutzt Turn, ein amerikanischer Werbeplatzvermarkter, das Verizon-Cookie, um die Cookies von Web-Diensten wieder zu setzen, die Benutzer gelöscht haben. Zu den Kunden von Turn, die diese Möglichkeit nutzen, sollen Mayers Untersuchungen zufolge Google, Facebook, Twitter und Yahoo gehören.
Verizon schiebt offenbar allen seinen Kunden bei sämtlichen Web-Anfragen zusätzliche HTTP-Header unter. Damit sind die Kunden eindeutig identifizierbar, und zwar nicht nur durch Verizon selbst, sondern durch alle Unternehmen, die den Header auslesen – web-weit, über Webseitengrenzen hinweg. Mayer weist darauf hin, dass nicht nur das Smartphone selbst von dem persistenten Tracking betroffen ist, sondern zum Beispiel auch das Notebook -- wenn es per Roaming via Smartphone am Netz hängt. Auch der anonyme Browser-Modus schützt davor nicht.
Turn benutzt das Verizon-Cookie offenbar, um die von Benutzern bei anderen Diensten gelöschten Cookies wiederherzustellen. Mayer fand mehr als dreißig Unternehmen, die sich von Turn gelöschte Cookies wiederherstellen ließen. Von ProPublica auf das Tracking angesprochen, verwiesen Turn-Manager auf die Opt-out Möglichkeit. Der Benutzer muss sich dafür auf der Turn-Website ein Opt-out-Cookie setzen lassen. Dieses Opt-out beendet aber nur Tracking (und damit das Wiederherstellen von Cookies Dritter) durch Turn. Das Verizon-Cookie lässt sich nicht abschalten.
Verizon ist derzeit das einzige US-Mobilfunkunternehmen, das das Tracking einsetzt. AT&T hatte es auch kurz genutzt, dann aber Abstand davon genommen. ProPublica hat auf seiner Homepage einen Test veröffentlicht, mit dem man überprüfen kann, ob der eigene Mobilfunkanbieter einen Tracking-Code wie Verizon nutzt. Nach stichprobenartigen Tests von heise online ist das Verfahren hierzulande noch nicht im Einsatz. (jo)
