So werden wir ausspioniert

Tracker werten das Nutzerverhalten im Web bis ins Detail aus. Schutz gewähren gewisse ­Browser-Erweiterungen oder der E-Blocker.

Durchleuchtet: Wer im Web surft, hinterlässt viele Spuren. Foto: Getty Images

Durchleuchtet: Wer im Web surft, hinterlässt viele Spuren. Foto: Getty Images

Feedback

Tragen Sie mit Hinweisen zu diesem Artikel bei oder melden Sie uns Fehler.

Seit dem Facebook-Cambridge Analytica-Skandal haben es auch die Letzten gemerkt: Kein Klick bleibt anonym. Tracker verfolgen uns und durchleuchten Nutzer bis ins Detail. Was geht da ab?

Was ist ein Tracker?

Tracker sind kleine Programme, die der Betreiber in seine Website eingebaut hat, um mehr über seine Besucher zu erfahren. Surft ein Nutzer die Website an, werden die Programme vom Browser automatisch ausgeführt und sammeln ­Informationen, ohne dass der Nutzer es merkt. Tracker sind primär nichts Schlechtes. Sie melden dem Betreiber, wie sich Besucher auf der Seite bewegen, und verbessern so die Benutzerfreundlichkeit. Viele haben indes anderes im Sinn: Sie registrieren, wofür sich Besucher interessieren. Tracker sind heute gang und gäbe. Die wichtigsten Hersteller sind Google, Facebook und Twitter. Datenschützer der Firma E-Blocker haben kürzlich zehn Schweizer Datingpor­tale untersucht und dabei über 80 unterschiedliche Tracker entdeckt.

Was für Infos sammeln sie?

Sie bringen in Erfahrung, wie sich ein Besucher auf der Seite bewegt, welche Links er anklickt, wo er sich aufhält, welche Produkte er kauft. Besondere Session-Replay-Verfahren beobachten anhand der Mausbewegungen, was jemand eintippt, was er löscht und wohin er (anhand der Maus-Augen-Korrelation) blickt. Laut einer Untersuchung der Zürcher Hochschule für Angewandte Wissenschaften (ZHAW) nutzten Anfang März 7 Prozent von 374 populären Schweizer Websites diese Technik.

Wie funktioniert Tracking?

Von Tracking spricht man, wenn Datensammler versuchen, Nutzer über mehrere Seiten hinweg zu verfolgen. Das Ziel ist, Profile zu erstellen. Der Surfer muss dafür eindeutig wiedererkannt werden. Das übernehmen Tracker. Schaut man sich im Netz ein paar Turnschuhe an, verpasst einem der Tracker eine ID (z. B. 1234), die bei einem erneuten Besuch oder auf einer anderen Seite wieder ausgelesen werden kann. Beim traditionellen Tracking-Verfahren mit Cookies wird diese ID im Browser des Nutzers lokal abgelegt. Löscht er die Cookies, funktioniert die Identifikation nicht mehr. Deshalb setzen Datensammler zunehmend auch sogenanntes Fingerprinting ein. «Dabei wird die ID bei jedem Website-Besuch durch den Tracker anhand eindeutiger Browsermerkmale berechnet und muss nicht beim Nutzer gespeichert werden», sagt Nico Ebert, Dozent für Wirtschaftsinformatik an der ZHAW. Sie lässt sich darum auch nicht ­löschen.

Welche Tracker sind drauf?

Das lässt sich mit Browsererweiterungen wie Lightbeam oder Ghostery herausfinden. Noch feiner sind die Resultate von Privacy­score, einem Forschungsprojekt der Universität Hamburg.

Sind alle Tracker unsichtbar?

Nein, viele kann man sehen, sind aber getarnt: etwa der Facebook-Like-Button, die Google-Maps-Karten, Youtube-Videos, Social-Media-Inhalte oder -Buttons, Werbe-Banner, die Standardinformationen (Betriebssystem, Gerät, IP-Adresse) an Dritte schicken, sobald der Browser die Site lädt. Man muss nicht einmal draufklicken.

Wissen Tracker, wer surft?

Nein, unbewusst preisgegebene Daten sind zunächst als ID (1234) gespeichert und nicht mit einer realen Person verknüpft. Man spricht von pseudonymen Daten. Problematisch wird es, wenn die ID angereichert und mit personenbezogenen Daten (Name, Adresse etc.) zusammengeführt wird und so ein umfangreiches Persönlichkeitsprofil entsteht, wie kürzlich bei Facebook bekannt wurde. Solche Profile können sensible Daten enthalten wie Kreditwürdigkeit oder Gesundheit – was für Banken oder Ver­sicherungen hochinteressant ist.

Darf man pseudonyme Daten mit Personen vereinen?

Um eine ID mit einem Personenprofil zu vereinen, müssen die ­Firmen die Einwilligung der Nutzer holen. Diese hat aber jeder mit Eröffnung des Nutzerkontos bei Apple, Google, Facebook oder ­Microsoft längst gegeben.

Können auch kleinere Firmen pseudonyme Daten einer echten Person zuordnen?

Ja. Aber in Europa dürfen personenbezogene Daten nicht gehandelt werden. Deshalb werden ­solche Datenprofile durch eine ­E-Mail-Adresse gehasht. Das heisst: Sie werden nach einem mathematischen Verfahren in einen Zahlenwert überführt, der sich nicht zurückrechnen lässt. Das gilt dann als Pseudonym und darf gehandelt werden. Der Datenkäufer wendet jetzt dasselbe (normierte) Hashverfahren an, hasht alle E-Mail-Adressen in der eigenen Datenbank und vergleicht dann die Werte mit den Hashes der gekauften, pseudonymisierten Daten. So lassen sich die Daten einfach «de­pseudonymisieren». Zudem konnten Forscher der Uni Hamburg vor zwei Wochen zeigen, dass man aus einem Hashwert durchaus die ursprüngliche E-Mail-Adresse errechnen kann, was die gängige Praxis infrage stellt. Und Wissenschaftler der Uni Stanford demonstrierten, dass von der Tracker-ID auf das Social-Media-Profil und so höchstwahrscheinlich auf die «wahre Identität» der Person geschlossen werden kann.

Ist Tracking legal?

Gemäss heutigem Datenschutzrecht muss die Bearbeitung von Personendaten in den jeweiligen Datenschutzerklärungen auf den Portalen für jeden einzelnen Tracker mindestens erwähnt werden. «Aber das ist in den wenigsten Fällen vollständig der Fall», sagt Anwalt Martin Steiger, spezialisiert auf Recht im digitalen Raum.

Wie kann ich mich schützen?

Schutz gewähren Browser-Erweiterungen wie die oben genannten Ghostery oder Lightbeam. Es gibt auch Hardware-Lösungen wie den E-Blocker, den man an den Router anschliesst. (SonntagsZeitung)

Erstellt: 22.04.2018, 00:24 Uhr

Artikel zum Thema

Einmal aufs Datingportal – von 50 Datensammlern beobachtet

Wer Liebesabenteuer im Internet sucht, gibt mehr von sich preis, als er denkt. Welche Partnervermittler Daten sammeln. Mehr...

Wie Sie sich vor Tracking schützen

Wer im Web surft, bleibt nicht unentdeckt. Die Frage ist, wie viel Nachverfolgung man als Webnutzer goutieren soll. Mehr...

Im Facebook-Google-Selbstversuch

Die über mich gesammelten Daten kann ich einsehen – und stelle dann fest: Von drei Behauptungen Zuckerbergs sind zwei falsch. Mehr...

Die Redaktion auf Twitter

Stets informiert und aktuell. Folgen Sie uns auf dem Kurznachrichtendienst.

Abo

SonntagsZeit. Im Digital-Abo.

Die SonntagsZeitung digital ohne Einschränkung nutzen. Für nur CHF 10.- pro Monat.
Jetzt abonnieren!

Kommentare

Weiterbildung

Gamen in der Schule

Die Schule bereitet Kinder auf die Arbeitswelt vor. Das Rüstzeug soll auch spielerisch vermittelt werden.

Die Welt in Bildern

Grossflächig: Der für seine in die Landschaft integrierten Kunstwerke bekannte französische Künstler Saype zeigt im Park La Perle du Lac sein Werk «Message from Future». (16. September 2018)
(Bild: Valentin Flauraud) Mehr...