Das ewige Cookie

Es ist eine klassische Aufklärungsaufgabe: Wissen, wer wo was tut. Für Staaten sind Antworten auf diese W-Fragen wichtig, um Gefahren erkennen und Gegenmaßnahmen einleiten zu können. Für Unternehmen entscheiden solche Daten über das Kundenverhalten, wie sie ihre Waren besser vermarkten können.

Im Internet beantworten Cookies die berühmten W-Fragen. Sie speichern, welche Webseiten wir besuchen und wo wir uns ins Internet einwählen. Auf diese Weise können Unternehmen gezielt für Rabatte für lokale Angebote werben oder Produkte anzeigen, die ähnlich sind zu denjenigen, die wir gerade gekauft haben. Vor allem kostenlose Internetdienste wie Suchmaschinen und Soziale Netzwerke finanzieren sich über gezielte, auf die Interessen der Nutzer zugeschnittene Werbung. Dafür werden immer mehr personenbezogene Daten zu umfassenden Nutzungsprofilen zusammengeführt.

Basierend auf unserem Verhalten und unseren Dateneingaben werden aber nicht nur Werbedienste, sondern auch Internetanwendungen aller Art auf Nutzerbedürfnisse angepasst. So kann sich ein Online-Shop "merken", welche Produkte im Warenkorb liegen oder mit welchen Daten man ein Formular ausgefüllt hat.

Cookies müssen künftig akzeptiert werden
Bislang durften die Unternehmen Cookies für dieses so genannte "Behavioural Targeting" beliebig einsetzen. Sie mussten lediglich die Nutzer darüber informieren, die das Speichern der Cookies auf ihrem Rechner verweigern konnten. Das soll sich im Mai 2011 ändern. Spätestens dann sollen nämlich die im vergangenen Jahr im Rahmen des Telekommunikationspakets verabschiedete EU-Regel in Kraft treten. Sie verlangt eine umfassende Information der Nutzer sowie deren Einwilligung.

Eine solche Regelung ist umso wichtiger, als dass mit dem nächsten Web-Standard namens HTML5 noch eine viel umfangreichere Auswertung des Nutzerverhaltens möglich ist. Werbetreibende und andere sollen laut Experten monatelang nachvollziehen können, wo sie die Nutzer einloggen, Inhalte von Warenkörben registrieren, die Surfhistorie protokollieren und möglicherweise auch Inhalte von E-Mails oder anderen Webdiensten einsehen.

Das unlöschbare Supercookie
Dass dies künftig nahezu unbegrenzt möglich ist, hat der polnische Sicherheitsforscher Samy Kamkar kürzlich vorgeführt. Er zeigte mit der Entwicklung einer neuen Cookie-Art, dass die Cookies, die zurzeit noch relativ kleine Dateien sind, künftig wesentlich größer sein und mit den herkömmlichen Methoden nicht mehr gelöscht werden können.

Kamkars Supercookie speichert an mindestens zehn verschiedenen Orten Daten auf dem Nutzerrechner. Dabei kombiniert es herkömmliche Auswertungstechniken mit neuen Techniken, wie sie erst mit der neuen Websprache HTML5 möglich werden. Das Evercookie lässt sich nur dann löschen, wenn es an allen seinen Speicherorte gleichzeitig entfernt wird. Bleibt nur ein Speicherort erhalten, kann es sich aus den noch verfügbaren Daten rekonstruieren. Seine neue Cookie-Technik nannte Kankar denn auch "Evercookie" - auf gut Deutsch "das ewige Cookie".

Möglich wird das Evercookie, weil HTML5 Datenbanken unterstützen kann. Das heißt, dass Website-Betreiber Informationen auf der Festplatte der Nutzer speichern können. Praktisch ist das beispielsweise dann, wenn Nutzer Web-Anwendungen für E-Mail oder Textverarbeitung nicht nur online, sondern auch offline verwenden wollen. Dann kann das Programm auch verwendet werden, wenn gerade einmal kein Netzzugang möglich ist. Google Gears beispielsweise ist ein Standard, der das etwa für GoogleMail oder Online-Aufgabenplaner wie "Remember the Milk" ermöglicht.

Neuer Internet-Standard, neue Spionagemöglichkeiten
Diese Datenbankfähigkeit und einige weitere neue HTML5-Features verwendete Kankar für sein "Evercookie". Er selbst will damit nicht die Privatsphäre von Nutzern verletzen, sondern aufzeigen, was mit dem neuen Internetstandard möglich ist. Er arbeitet zurzeit an weiteren Speicher- und Auswertungsmöglichkeiten. Unter anderem will er aus der Netzwerkkarte eine eindeutige Kennung erzeugen, um die Nutzungsprofile auch einzelnen Rechnern eindeutig zuordnen zu können.

In der Regel verhindern Nutzer die Erfassung durch Cookies über ihre Browser-Einstellungen. Noch können aber nicht alle Browser mit den Tracking-Methoden umgehen, die mit HTML5 möglich werden. Da das Evercookie dank der neuen Websprache seine Daten an vielen verschiedenen Orten abspeichern kann, ist die Datenbereinigung erheblich aufwändiger geworden.

Rezepte gegen das ewige Cookie
Den Code für das Evercookie hat Kankar im Netz veröffentlicht, damit er als "Lackmustest" von denjenigen genutzt werden kann, die die umfassende Erfassung verhindern wollen. Unter anderem stellte Kankar fest, dass allein der Safari-Browser mit der Option "Privates Surfen" in der Lage ist, alle Evercookie-Methoden nach einem Neustart des Browsers zu stoppen.

Weil mit dem neuen Webstandards neue Tracking-Methoden möglich werden, wäre eine verpflichtende Einwilligung seitens der Nutzer, wie sie die europäische Cookie-Regelung verlangt, wertvoll. Dies fordert auch die Artikel-29-Gruppe der europäischen Datenschützer in einem Positionspapier. Dabei könne das Einverständnis sich nicht nur auf das Setzen eines einzelnen Cookies, sondern auch für die weitere Verwendung des Cookies erstrecken.

Allerdings knüpften die Datenschützer dies an drei Bedingungen: Erstens müsse die Einwilligung zeitlich befristet erfolgen. Die Betreiber der Werbenetzwerke müssten des Weiteren den Nutzern die Möglichkeit bieten, ihr Einverständnis "leicht" widerrufen zu können. Schließlich müssten sie Werkzeuge schaffen, die die Überwachung an Ort und Stelle anzeigen.

Allein das Recht zum Widerspruch zeigt, dass sie alle den Lackmus-Test von Samy Kankar erst noch bestehen müssen - vorausgesetzt, die europäischen Mitgliedstaaten achten bei der Umsetzung der europäischen Vorgaben darauf, das Opt-In zu erhalten. In Deutschland jedenfalls, so klagt der Bundesdatenschutzbeauftragte, ist im aktuellen Gesetzesentwurf davon allerdings noch nichts zu sehen.

(Christiane Schulzki-Haddouti)