Googles Cookie-Ausstieg: Streit um "Tracking light"

Inhaltsverzeichnis

Es klang zunächst wie ein harmloses Update zum Projekt "Privacy Sandbox", das Google-Manager David Temkin Anfang März im Blog des Konzerns veröffentlichte. Er bekräftigte die Ankündigung Googles, aus dem Geschäft mit Third-Party-Cookies auszusteigen, und das Ziel des Konzerns, mit seinem Anzeigengeschäft die Finanzierung des "offenen Internets" weiter sicherzustellen.

Dann jedoch wechselte Temkin die Tonart: "Heute stellen wir explizit klar, dass wir nicht planen, alternative Identifikationslösungen aufzubauen, die dazu genutzt werden können, individuelle Nutzer quer durch das Netz zu tracken, sobald die Third Party Cookies verschwunden sind." Mehr noch: "Wir werden solche Identifikationslösungen auch nicht in unseren eigenen Werbeprodukten verwenden."

Diese Richtungsentscheidung wurde in der Werbeindustrie wie eine Kriegserklärung aufgefasst. Branchenmedien wie Adweek sahen in der Ankündigung eine klare Absage an Branchenlösungen wie Unified ID, die in den vergangenen Monaten an Popularität gewonnen hatten. Viele Adtech-Anbieter und damit auch viele Medienunternehmen fühlten sich durch Googles Schritt provoziert.

Der deutsche Zeitungsverlegerverband BDZV reagierte harsch: "Jetzt bewahrheitet sich, wovor kleinere digitale Unternehmen seit Jahren gewarnt haben: Dass Google aufgrund seiner Marktmacht nicht mehr auf Cookies angewiesen ist." Der Konzern sammle über Chrome und andere Produkte so viele Daten, dass er andere Tracking-Lösungen nicht mehr für nötig erachte. "So kann Google personenbezogene Werbung ('Behavioral Advertising') viel ausgefeilter als alle anderen Marktteilnehmer zum eigenen Vorteil nutzen und damit viel Geld verdienen", erklärte der Verlegerverband. Auch die Organisation der Mediaagenturen kritisierte den Vorstoß harsch: "Mit Sandbox setzt Google einen weiteren Baustein seines Plans um, das global dominierende Betriebssystem für den Werbemarkt zu werden."

Publikum unter Beobachtung

Um den Streit zu verstehen, muss man den Werbemarkt als Ganzes betrachten. Ein immer größerer Teil der Online-Werbung wird über Echtzeitmarktplätze des Programmatic Advertising verteilt. Ziel sind Nutzer mit einem passenden Werbeprofil. Dazu wertet eine Vielzahl von Werbenetzwerken mithilfe von Cookies aus, auf welchen Webseiten sich Nutzer welche Inhalte ansehen – und zieht daraus Rückschlüsse über Alter, Geschlecht, Einkommenssituation, Hobbies und vieles mehr. Die Cookies waren bisher ein wesentlicher Teil des "Predictive Behavioral Advertising".

In der Folge wirken Tracking-Blockaden wie in Mozillas Firefox heute bereits wie Adblocker: Zwar lässt der Browser Werbung durch, aber ohne entsprechende Datenprofile bleiben viele Werbeplätze leer. Ohne Third-Party-Cookies wird es zwar nicht unmöglich, solche Werbeprofile anzulegen, aber deutlich schwieriger.

---

»Mit Sandbox setzt Google einen weiteren Baustein seines Plans um, das global dominierende Betriebssystem für den Werbemarkt zu werden.« Organisation der Mediaagenturen

---

Im Zuge der Initiative "Privacy Sandbox" hat Google im Standardisierungsgremium W3C mehrere Vorschläge unterbreitet, die die Funktionsfähigkeit des Werbemarkts weiter sicherstellen sollen. Die derzeit wichtigsten Konzepte heißen "Federated Learning of Cohorts (FLoC) und Fledge.

Bei FloC geht es darum, dass der Nutzer nicht mehr individuell erfasst wird, sondern anhand seiner Surfhistorie einer größeren Zielgruppe von idealerweise mehreren Tausend Nutzern zugeordnet wird, die Werber dann für ihre Zuordnung nutzen können. Bei Fledge hingegen können die Verleger selbst ihre Daten über Kunden einbringen, um auf den Werbebörsen die höchsten Auktionserlöse zu erzielen. Beiden Vorschlägen gemein ist, dass die persönlichen Daten der Nutzer – ob diese nun tatsächlich erhoben oder nur abgeleitet sind – nicht mehr bei Werbenetzwerken und Data-Brokern abgelegt werden. Stattdessen spielt der Browser selbst eine zentrale Rolle bei der Zuteilung der Werbung.

"Post cookie" ist nicht "Post Tracking"

Einige Privatsphäre-Forscher erkennen an, dass sich Google durchaus Mühe gegeben hat, Vorschläge zur Achtung der Privatsphäre im Werbegeschäft aufzugreifen. Doch bisher sind Googles Ausführungen nicht konkret genug, um sich ein abschließendes Bild zu machen.

Thorsten Strufe, Professor für praktische IT-Sicherheit am Karlsruher Institut für Technologie, sieht das Konzept insgesamt kritisch. Die bei FLoC eingesetzte sogenannte "k-Anonymität", bei der sich das individuelle Nutzerprofil hinter einer Gruppen-ID verberge, biete keinen ausreichenden Schutz. So könnten beispielsweise repressive Staaten anhand einer Kohortenidentifikation Rückschlüsse daraus ziehen, ob ein Individuum von den Werbealgorithmen beispielsweise als homosexuell eingestuft werde – und dann mit zusätzlichen Tracking-Methoden den Namen ermitteln. Der Plan Googles, die Nutzergewohnheiten direkt im Browser zu messen, sei daher abzulehnen. Die Begründungen, dass dies im Interesse der Nutzer geschehe, sieht Strufe als "Privacy-Hokuspokus".

Auch die Bürgerrechtsorganisation Electronic Frontier Foundation (EFF) lehnt FloC ab. "Statt das Tracking-Geschäft auf eine neue Grundlage zu stellen, sollten wir uns eine Welt vorstellen, die ohne die unzähligen Probleme der zielgerichteten Werbung auskommt", schreibt EFF-Technologe Bennett Cyphers.

Den Kritikern aus der Werbewirtschaft dagegen gehen Googles Vorschläge zu weit. In Hintergrundgesprächen zeigen Vertreter der Werbebranche zwar Bereitschaft, sich auf eine "Post-Cookie-Ära" einzustellen. Sie wollen aber keine tiefgehenden Einschnitte an ihrem bisherigen Geschäftsmodell vornehmen. Ein Dogma der Branche ist, dass zielgerichtete Werbung im Interesse aller ist, der Werbetreibenden, der Werbewirtschaft, der Medien – und auch der Konsumenten. Schließlich seien die kostenlosen Angebote des "offenen Internets" nur so zu finanzieren.

Tracking, das auf Third-Party-Cookies beruht, soll nach ihren Vorstellungen unvermindert weitergehen. Ein Konkurrenzkonzept zu Googles Plänen ist die "Unified ID". Dabei wird das Tracking von Third-Party-Cookies in die First-Party-Cookies verlagert, die nach Googles Plänen weiter erlaubt sein sollten.

Statt kryptischer Cookie-IDs soll Nutzern eine individuelle ID zugewiesen werden, in die auch persönliche Daten wie die E-Mail-Adresse einfließen sollen, wenngleich in abgeleiteter Form. In dem Konzept ist von erhöhter Kontrolle über die eigenen Daten die Rede. So sollen Website-Betreiber nur dann Inhalte ausliefern, wenn die Nutzer ihre Identität ihnen gegenüber bestätigt haben und der Werbeverwendung zustimmen. Im Ergebnis wären aber wohl die gleichen Informationen über die Nutzer verfügbar, die heute beim Targeting anfallen. Ob Google nach der aktuellen Kampfansage Unified ID boykottieren oder in seinem Browser sogar blockieren will, ist derzeit unklar.

Fundamentalopposition wächst

Google folgt bei seiner Privacy-Sandbox-Initiative dem Rezept, das der Konzern bereits bei der Bekämpfung von Werbeblockern getestet hatte: 2016 gründete er eine Industrie-Allianz, die zum Ziel hatte, die Werbeformen zu verbannen, die die Nutzer in Scharen zur Installation von Adblockern verleiteten. Um sein Ziel durchzusetzen, hatte er seine Marktmacht in die Waagschale geworfen und in Chrome einen Adblocker installiert, der allerdings in der Praxis nicht wirklich zum Zuge kommt und nicht unter Kontrolle der Nutzer steht. Der Erfolg war gemischt: Zwar sind zum Beispiel Video-Anzeigen, die ungefragt auf Webseiten losplärren, mittlerweile fast komplett ausgestorben. Aber die Adblocker-Rate konnte die Initiative nicht wesentlich herunterfahren.

Es ist noch nicht abzusehen, ob Google Erfolg hat, weil auch die Parteien lauter werden, die Tracking komplett abschaffen wollen. Apple und Firefox haben lange vor Google angefangen, Werbe-Cookies und -Skripte einzuschränken oder rundheraus zu blockieren. "Es ist ein Fakt, dass ein vernetztes Ökosystem von Firmen und Datenhändlern, von Fake-News-Verbreitern und Spaltern, von Trackern und Profitmachern heute in unserem Leben präsenter ist als jemals zuvor", schimpfte Apple-Chef Tim Cook auf der Privatsphäre-Konferenz CPDP 2021.

16 Mitglieder des Europaparlaments haben sich einer "Tracking-Free Ads Coalition" angeschlossen, die mit der bisherigen Umsetzung der Datenschutz-Grundverordnung unzufrieden ist: Werbetreibende deckten die Nutzer so lange mit unübersichtlichen Cookie-Bannern ein, bis die Mehrheit schließlich der Datenübermittlung zustimmt. Zwar hat die EU-Präsidentschaft von Portugal einen neuen Entwurf der E-Privacy-Verordnung auf den Weg gebracht, der Lösungen wie Unified ID begünstigen würde. Ihm werden allerdings keine allzu großen Chancen eingeräumt.

Eine Wettbewerbsklage, die Texas gemeinsam mit zehn US-Bundesstaaten gegen Google anstrengt, wurde just um die Privacy Sandbox erweitert. Diese führe nicht zu einem Stopp von Profilbildungen und personalisierter Werbung – sie setze vielmehr Googles Browser Chrome ins Zentrum von Tracking und Targeting: "Google versucht, seine wahre Intention hinter dem Privatsphäre-Vorwand zu verstecken." In der Klage ging es auch um angebliche geheime Absprachen zwischen Google und Facebook. So habe Google Facebook laut Anklageschrift "Informations-, Geschwindigkeits- und andere Vorteile" bei Auktionen verschafft, die Google für die mobilen Apps von Verlagen durchführt.

Ein Kompromiss-Angebot?

Innerhalb von zwei Jahren sollen Third-Party-Cookies durch eine Nachfolgelösung abgelöst werden, schrieb der für die Entwicklung von Chrome zuständige Manager Justin Schuh im Januar 2020: Angesichts des Gegenwindes ein ambitionierter Zeitplan. Momentan sieht es nicht so aus, als ob Google bereits eine Lösung gefunden hätte, die allgemein akzeptiert wird.

c’t Ausgabe 8/2021

Wir haben uns in c’t 8/2021 sichere WhatsApp-Alternativen angeschaut und geben Tipps für den möglichst reibungslosen Umstieg. Für mehr Privatsphäre beim Einsatz von Microsoft Office-Tools muss man die Cloud umgehen und weitere Funktionen abschalten. Wir zeigen, wie es geht. Sie möchten Anwendungen entwickeln, ohne zu Programmieren. Das klappt in Grenzen mit No Code und Low Code. Spezielle Apps können helfen, Depressionen, Ängsten und Schlafstörungen zu bändigen, bis ein Therapieplatz verfügbar ist. Dies und noch viel mehr lesen Sie in Ausgabe 8/2021, die ab dem 26. März im Heise-Shop und am gut sortierten Zeitschriftenkiosk erhältlich ist.

(jo)