Canvas Fingerprinting: Tracking ohne Cookies
24.07.2014 - Ein Paper von Forschern der Princeton University und der Universität Leuven hat in den Medien für Furore gesorgt. Es widmet sich öffentlich bisher unbekannten Tracking-Lösungen. Eine davon funktioniert offenbar ohne Cookies.
Seit einigen Tagen kreisen Schreckensmeldungen über eine neue Tracking-Lösung durch deutsche und internationale Medien. So warnt beispielsweise Gizmodo.com vor Canvas Fingerprinting als der "bösesten Art des Trackings". Dokumentiert wurde die neue Methode zuerst von Forschern der Princeton University und der Universität Leuven in einem am 1. Juli erschienen Paper. Unter dem Namen "The Web never forgets: Persistent tracking mechanisms in the wild" widmen sich die Forscher drei nach eigenen Angaben bisher nicht-dokumentierten Tracking-Möglichkeiten. Eine davon ist das Canvas Fingerprinting.
Canvas Fingerprinting funktioniert im Gegensatz zu den bekannten Tracking-Lösungen nicht über Cookies. Die Technologie nutzt die Canvas API (Teil von HTML5) des Browsers um ein verstecktes Bild zu zeichnen. Jeder Computer produziert ein etwas anderes, einzigartiges Bild - wie ein "Fingerabdruck". Diese Information wird an die Website übermittelt, die über diesen Fingerabdruck ein User-Profil erstellt. Der Fingerabdruck ist laut der Forscher dauerhaft und wird ohne Wissen des Users erstellt. Zudem gebe es keine herkömmliche Methode, die Erstellung des Abdrucks zu verhindern.
Die Technik gebe es seit 2012 und wird in 95 Prozent der von den Forschern gefundenen Fällen vom Bookmarking-Dienstleister AddThis entwickelt. Bereits fünf Prozent der 100.000 meistbesuchten Websites weltweit nutzen laut Forschern die AddThis-Technologie. Darunter, Medienberichten zufolge, Seiten des Weißen Hauses, der Telekom oder die des Bloggers Perez Hilton. Die Seite YouPorn.com, auf der ebenfalls der Code von AddThis gefunden wurde, habe die Technik entfernt, heißt es bei Propublica.org. Man sei sich nicht bewusst gewesen, dass AddThis eine Tracking Software enthalte, die ein Gefahrenpotenzial für die Privatsphäre der User darstelle, so eine Sprecherin von YouPorn gegenüber Propublica.org. Die Technologie sei Propublica.org zufolge allerdings nicht sehr zuverlässig.
Fingerprint sammelt pseudonyme Daten
Canvas Fingerprinting lässt sich im Gegensatz zu HTTP-Cookies weder über Browser-Einstellungen noch über Ad-Blocker verhindern. Theoretisch würde die rechtlich schwammige Cookie-Richtlinie greifen, da sie allgemein von Speicherung von Informationen auf Endgeräten der Nutzer spricht. Die EU-Richtlinie besagt, dass Technologie zur Speicherung von Informationen (in der Regel Cookies) nur dann verwendet werden darf, wenn der Nutzer sein ausdrückliches Einverständnis gegeben hat. Das bedeutet, dass statt der Möglichkeit des Nutzers, die Cookies auszustellen (Opt-Out), eine aktive Zustimmung des Nutzers für die Verwendung von Cookies (Opt-In) gegeben werden muss. Die EU-Richtlinie ist zwar noch nicht - eigentlich ist das seit drei Jahren überfällig - in deutsches Recht umgesetzt worden. Die EU-Kommission ist jedoch der Ansicht, dass das deutsche Datenschutzrecht den Vorgaben schon jetzt genüge. Wie die Umsetzung der Cookie-Richtlinie in der Praxis aussehen soll, ist unklar. Es genügt offenbar, die Browser-Einstellungen auf "Cookies akzeptieren" zu setzen, um das Einverständnis zu geben.
Das Canvas Fingerprinting lässt sich so natürlich nicht blockieren. Allerdings belegen Berichte von Microsoft und Apple aus dem Jahr 2012, dass Unternehmen es immer wieder schaffen, die Block-Einstellungen der Browser zu umgehen. So habe Google beispielsweise nicht nur die Einstellungen von Safari, sondern auch die von Internet Explorer umgangen und trotz "Cookies blockieren"-Einstellung weiterhin Cookies gesetzt.
Laut AddThis handelt es sich bei den durch Canvas Fingerprinting gewonnen Daten nicht um personenbezogene, sondern um pseudonymisierte. Die Daten sind demnach datenschutzrechlich von der gleichen Art, wie sie auch über das Tracking mit Cookies gesammelt werden. Und man kann das Canvas Fingerprinting, zumindest den AddThis-Code, blockieren: Auf der AddThis-Website wird eine Opt-Out-Funktion angeboten. Habe man auf den Button geklickt, würde keine Tracking-Technologie der Firma auf dem Computer verwendet, heißt es dort. Das ganze funktioniert mit einem Cookie. (ks)
Vorträge zum Thema:
Anzeige
HighText Verlag
Mischenrieder Weg 18
82234 Weßling
Tel.: +49 (0) 89-57 83 87-0
Fax: +49 (0) 89-57 83 87-99
E-Mail: info@onetoone.de
Web: www.hightext.de
Besuchen Sie auch:
