Websites setzen verstärkt aggressive Methoden zum Nutzer-Tracking ein

Eine Studie der Universitäten Princeton (USA) und Löwen (Belgien) zeigt, dass die Zahl der Websites zunimmt, die aggressivere Methoden zur Nachverfolgung des Nutzerverhaltens einsetzen. Dabei verwenden 5,5 Prozent der 100.000 weltweit meistbesuchten Seiten das sogenannte Canvas Fingerprinting oder nicht minder hartnäckige Evercookies. Im Gegensatz zu herkömmlichen Cookies lassen sie sich nicht einfach löschen.

Diese Methode kam im Untersuchungszeitraum Anfang Mai auf 144 Websites mit der Top-Level-Domain .de zum Einsatz. Dazu gehören unter anderem der Naturschutzbund Deutschland e.V. (NABU), die Tierschutzorganisation PETA, der Automobilhersteller Peugeot sowie die Webauftritte regionaler Tageszeitungen, IBAN-Rechner.de, MSN.de sowie der Ticketverkäufer Eventim.

Beim Canvas Fingerprinting sind den Forscher zufolge zwar 20 Provider aktiv, allerdings setzen 95 Prozent der nutzenden Websites Addthis.com. Erwähnenswert in diesem Bereich ist nur noch der von der OnVista Group entwickelte und inzwischen zu Gruner + Jahr gehörende Dienst Ligatus. Von den insgesamt 5542 ermittelten Domains ist er auf 115 im Einsatz.

Update 28. Juli 20:51: Die im Untersuchungszeitraum entdeckten Skripte für Canvas Fingerprinting vom Anbieter Ligatus, sollten auf in Deutschland betriebenen Websites inzwischen nicht mehr verwendet werden. Dies hat der Anbieter gegenüber der Süddeutschen Zeitung erklärt. Man habe lediglich mit der Technik experimentiert. Die Testphase sei aber mittlerweile beendet. Update Ende

Keaton Mowery und Hovav Shacham hatten 2012 erstmals Canvas Fingerprinting als Methode für das Nutzer-Tracking vorgeschlagen. Sie legten dar, dass sich die in modernen Browsern integrierte Canvas-API ausnutzen lassen, um durch minimale Abweichungen im Rendering desselben Textes eine Art digitaler Fingerabdruck des Browsers zu erstellen. Das geschehe in Sekundenbruchteilen und der Nutzer bemerke es nicht. Auf diese Weise lasse sich ein einmal erfasster Nutzer bei jedem neuen Besuch der Website eindeutig identifizieren.

Auch die Verwendung von Evercookies nimmt den Forschern zufolge stetig zu. Sie kommen auf 10 der 200 meistgenutzten Websites zum Einsatz. Sie entstehen aus der Kombination mehrerer Cookie-Arten und lassen sich aufgrund der mehrfachen Speicherung, die es ihnen erlaubt, sich zu rekonstruieren (daher auch die alternative Bezeichnung “Zombie-Cookies”), nur schwer löschen.

Die Forscher von Princeton und Löwen zeigen auch mögliche Gegenmaßnahmen in ihrem Bericht (PDF) auf. Beispielsweise lässt sich durch Tools wie Ghostery, jeder Inhalt Dritter auf Websites blocken. Zudem kann das Abschalten von Flash Cookies helfen. Allerdings ist das nur begrenzt erfolgreich. Ihnen zufolge lassen sich nämlich einige sogenannte Tracking-Vektoren nicht oder nur mit Verlust wesentlicher Funktionen abschalten.

Erfolgreich vor Canvas Fingerprinting schützt ihrer Erfahrung nach nur der Tor-Browser. Denn dieser fragt jedes Mal nach, ob das erlaubt, untersagt oder dieser Website für die Zukunft genehmigt werden soll. Das von der US-Bürgerrechtsorganisation EEF kürzlich bereitgestellte Privacy Badger helfe gegen Third Party Cookies. Mozilla sei bisher der einzige Browser-Anbieter, der in Ansätzen gegen die neuen Tracking-Methoden etwas unternimmt.

[mit Material von Peter Marwan, ITespresso.de]

Tipp: Wie gut kennen Sie sich mit Browsern aus? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.