Es war das Jahr 1994, als Lou Montulli eine zündende Idee hatte: Wäre es nicht toll, wenn sich Webseiten ihre Nutzer über mehrere Besuche hinweg merken und so ihre Angebote individualisieren können? Schnell schritt der damals 23-jährige Netscape-Entwickler zur Tat, erfand ein System, mit dem Webseiten kleine Textdateien am Rechner ihrer Nutzer speichern konnten, und verpasste dem Ganzen auch noch einen niedlichen Namen: Cookies. Was er damals nicht wusste: Damit legte er auch die Grundlage für jenes Werbetracking, das in den folgenden Jahren die Privatsphäre der Nutzer mit steigender Aggressivität aushöhlen sollte.

Ein notwendiger Bruch

Dass das nicht so weitergehen kann, dürfte mittlerweile so gut wie allen bewusst sein. Immer mehr Nutzer greifen zu Tools, um Tracker zu blockieren, auch die Regulatoren versuchen dieses Phänomen seit Jahren in den Griff zu kriegen – mit eher überschaubarem Erfolg. Begrenzt durchdachte Versuche der EU, die Privatsphäre der Nutzer zu schützen, haben der Welt wenig erfreuliche Phänomene wie die allseits verhassten Cookie-Banner eingebracht.

Nun naht das Ende jener "Third Party Cookies", die webseitenübergreifendes Tracking erlauben, aber tatsächlich. Nachdem einige Browserhersteller diese bereits jetzt zu großen Teilen blockieren, will nun der Branchenprimus dem Treiben ein Ende bereiten. Anfang 2024 soll bei Chrome die Deaktivierung dieser Dritt-Cookies beginnen.

Wie von Google gewohnt, soll all das Schritt für Schritt passieren. Ab Anfang des Jahres wird dies zunächst einmal bei einem Prozent aller User getestet, zwischen dem dritten und vierten Quartal sollen dann die "Third Party Cookies" nach und nach bei sämtlichen Usern blockiert werden.

Eine Alternative muss (?) her

Jetzt stellt sich natürlich die Frage: Warum dauert das so lange? Ein Feature abdrehen sollte doch nicht so schwer sein. Die Antwort darauf ist schlicht: weil Google das Konzept der personalisierten Werbung nicht einfach ersatzlos streichen will.

Also wurde in den vergangenen Jahren unter dem Namen "Privacy Sandbox" an allerlei "datenschutzfreundlichen Alternativen" gearbeitet, wie es Google selbst formuliert. Das zum Teil mit direkter Einbindung von Regulatoren wie der britischen Competition and Markets Authority sowie der weiteren Öffentlichkeit. Dabei gesammeltes Feedback hat auch tatsächlich zu allerlei Änderungen und sogar komplett gestrichenen Projekten geführt.

Sie ist schon da

Mittlerweile ist eben diese "Privacy Sandbox" fixer Bestandteil von Chrome. Wer sich jetzt wundert, dass dem so ist, der muss sich selbst ein (kleines) bisschen an der eigenen Nase nehmen. Wurden diese Funktionen doch in den vergangenen Wochen sämtlichen Usern "angeboten". Zumindest in der EU sind sie nämlich nicht von Haus aus aktiviert – dank lokaler Datenschutzregeln.

Trotzdem ist davon auszugehen, dass viele an dieser Stelle zugestimmt haben, und das liegt schlicht daran, dass das Unternehmen diese Dialoge sehr geschickt formuliert hat. "Eine Funktion zum Datenschutz bei Werbung aktivieren" heißt etwa eine der Überschriften. Auch der Rest des Textes liest sich auf den ersten Blick wie ein echter Gewinn für die Privatsphäre.

Das ist zwar nicht komplett falsch, aber nur, wenn es in Relation zu den erwähnten "Third Party Cookies" gesetzt wird. Im Vergleich zu diesen ist die "Privacy Sandbox" fraglos ein Fortschritt. Trotzdem ist das natürlich erneut ein System, um die Interessen der Nutzer zu erfassen. Das als Datenschutzmaßnahme zu verkaufen ist schon reichlich frech. Zumal es in der aktuellen Übergangsphase natürlich zunächst mal ein Mehr an Tracking darstellt statt die versprochene Reduktion. Erst wenn die "Third Party Cookies" komplett deaktiviert wurden, verändert sich dieses Gesamtbild.

Themen

Doch sehen wir uns mal an, worum es eigentlich geht: Das Kernstück des gesamten Systems sind die "Ad Topics". Der Browser erstellt anhand der besuchten Webseiten eine Liste an Themen, für die sich die Nutzerinnen und Nutzer interessieren. Anhand dieser kann dann eine andere Seite individualisierte Werbung ausliefern. Welche Webpages konkret besucht wurden, erfährt der Werbende hingegen nie. Zudem läuft die Auswertung der Interessen rein lokal ab.

Auch sonst hat man sich dabei einiges einfallen lassen, um die Auswirkungen auf die Privatsphäre möglichst gering zu halten. So gibt es eine fixe – und öffentlich einsehbare – Liste an Themen, die überhaupt vergeben werden. Damit soll etwa problematisches Targeting nach Religion oder sexueller Orientierung unterbunden werden.

Im Browser selbst werden die Themen alle vier Wochen automatisch gelöscht, Webseiten erhalten pro Woche nur Informationen über ein einzelnes neues Interesse. Das soll ein langfristiges Tracking auf Basis dieser Daten verhindern – oder dies zumindest massiv beschränken. Zudem können die User im Browser selbst die Liste an Themen anpassen, etwa einzelne gezielt entfernen, und es werden auch zufällige Themen eingestreut, um das Erstellen individueller Profile weiter zu erschweren.

Retargeting und Co

Die "Privacy Sandbox" umfasst aber noch eine Reihe von anderen Schnittstellen. Darunter welche, um den Erfolg einer Werbekampagne zu messen, also ob auf diese geklickt wurde – und wenn ja, wann ungefähr. Oder auch für das "Retargeting", um Nutzern, die auf einer Seite für etwas Interesse gezeigt haben, dieses woanders als Werbung anzubieten. Alles wieder mit Bedacht darauf, dass möglichst wenige konkrete Daten über die User weitergegeben werden.

Technisch ist das alles durchaus durchdacht, das ändert aber nichts an dem zuvor schon angeschnittenen Punkt. Es ist und bleibt eine Form von Tracking. Google selbst argumentiert damit, dass es dies für ein funktionierendes Online-Werbesystem braucht, da ohne individualisierte Werbung die Preise sinken würden und viele Webseiten nicht mehr überleben könnten. Ob dem wirklich so wäre, ist eine durchaus umstrittene Debatte, die an dieser Stelle auch nicht letztgültig geklärt werden kann.

Klar ist aber, dass die Auswüchse der vergangenen Jahre dazu geführt haben, dass sich viele selbst mit "sanften" Versionen des Werbetrackings nicht mehr wohlfühlen. Zumal natürlich jedes zusätzliche Stück an Datensammlung immer das Potenzial zum Missbrauch hat, egal, wie durchdacht es ist.

Deaktivierung, leicht gemacht

Zumindest eine gute Nachricht gibt es aber: Wer all das nicht will, kann es tatsächlich komplett deaktivieren. In den Chrome-Einstellungen findet sich im Bereich Privatsphäre eine eigene Kategorie zum Thema Werbung. Dort sind wiederum derzeit drei Punkte gelistet: Wer diese deaktiviert, hat damit die gesamte "Privacy Sandbox" abgeschaltet.

Wer schon in den Einstellungen ist, könnte übrigens gleich die alten "Third Party Cookies" deaktivieren. Die Realität ist, dass heutzutage ohnehin bereits die meisten Webseiten ohne diese funktionieren. Und wo das nicht der Fall ist, kann man dann noch immer einzelne Ausnahmen definieren. Rechts in der Adresszeile des Browsers findet sich dann ein Icon, das zeigt, welche Cookies blockiert wurden und wie man diese bei Bedarf freigibt.

Android zieht nach

Das Web ist aber nur eine der Plattformen, für die die "Privacy Sandbox" vorgesehen ist. In den vergangenen Wochen mögen deswegen einige User auch bereits ähnliche – und ähnlich irreführend formulierte – Dialoge unter Android erhalten haben. Zum Teil wurde dafür sogar über Pushnachricht "geworben".

Unter Android ist das Ganze als Ersatz für jene alte "Werbe ID" gedacht, die bisher für App-übergreifendes Werbetracking bei Googles Betriebssystem verwendet wird. Google impliziert dabei, dass das mit einem Ende der zunehmend als problematisch angesehenen "Werbe ID" einhergeht, offiziell angekündigt wurde das allerdings bislang nicht. Allerdings lässt sich die "Werbe ID" ohnehin bereits seit einiger Zeit komplett deaktivieren. Das, nachdem Apple bei iOS mit der App Tracking Transparency ebenfalls den Zugriff auf eine vergleichbare ID strikter geregelt hat.

Doch zurück zur "Privacy Sandbox" unter Android. Die Bestandteile sind sehr ähnlich zur Chrome-Variante, nur dass es in diesem Fall natürlich primär um die Auswertung der App- und nicht der Webseitennutzung geht.

Auch unter Android lässt sich all das zentral deaktivieren, wie so oft ist es bei Googles Betriebssystem aber schwer, einen zentralen Ort zu nennen, da die Hersteller ihre Systemeinstellungen unterschiedlich strukturieren. Bei Pixel-Smartphones findet sich das Ganze derzeit jedenfalls unter "Sicherheit & Datenschutz > Datenschutz > Werbung". An derselben Stelle kann übrigens auch gleich die schon erwähnte "Werbe ID" entfernt werden.

Es braucht mehr, es kommt mehr

Dass die "Privacy Sandbox" besser als klassische Tracking-Methoden ist, daran gibt es wenig Zweifel. Das bestätigen selbst jene, die Google sehr kritisch gegenüberstehen, etwa die Bürgerrechtsorganisation Electronic Frontier Foundation (EFF). Auch die Möglichkeit zur zentralen Deaktivierung ist fraglos ein Gewinn, selbst wenn man über die damit einhergehenden, ärgerlich irreführenden Formulierungen hinwegsieht.

Insofern wäre eine Onlinewelt mit "Privacy Sandbox" natürlich besser als eine mit klassischem Tracking. Das natürlich unter der Voraussetzung, dass auch offensiv gegen andere Formen des Trackings vorgegangen wird. "Third Party Cookies" sind da ja nur ein Thema. Zunehmend versuchen Webseiten dieses Tracking über digitale Fingerabdrücke zu ersetzen, wo eine Fülle an Merkmalen eines Browsers und des darunterliegenden Systems genutzt werden, um eine einzelne Browser-Installation eindeutig zu identifizieren – und so erst recht wieder ein seitenübergreifendes User-Profil zu erstellen. Wie gut das derzeit noch immer geht, kann jeder auf der Webseite "Am I unique" nachprüfen.

Zumindest versichert Google, dass man auch dieses Thema angehen will – oder genau genommen schon dabei ist. Jener "User Agent String", über den früher sehr viel über einzelne Browser erfahren werden konnte, wurde mittlerweile massiv reduziert. Auch andere Datensammlungen wurden beschränkt, für die Zukunft gibt es Pläne, ein generelles "Privacy Budget" einzuführen, mit dem solche Daten nur mehr in beschränktem – und hoffentlich nicht eindeutigen – Umfang abgefragt werden können. Zudem arbeitet Google auch an einem System zur Verschleierung der IP-Adressen.

Besser? Ja, eh ...

Aus Sicht der User sind das alles durchaus erfreuliche Trends, egal, wie man jetzt zur "Privacy Sandbox" steht. Zumindest ist sie deaktivierbar, der Rest sind dringend notwendige Aufräumarbeiten mit den größten Auswüchsen des Online-Trackings.

Nun kann man natürlich sagen: Wer das nicht will, kann ohnehin auf andere Browser wechseln, die noch mehr gegen Tracking tun. Und hätte damit auf einer individuellen Ebene zwar recht, ignoriert aber gleichzeitig, dass die breite Masse solche Dinge einfach nicht im Auge hat und nun mal zu allergrößten Teilen Chrome nutzt. Weltweit gesehen hat Chrome derzeit einen Marktanteil von mehr als 60 Prozent. Insofern ist allein schon das Streichen der "Third Party Cookies" und der Kampf gegen Fingerprinting ein echter Fortschritt für sehr viele.

... aber!

Gleichzeitig gibt es da aber einen anderen Blickwinkel, der nicht ausgeblendet werden kann. Nämlich dass all das wie ein fast schon verzweifelter Versuch von Google und der Werbeindustrie (also zumindest jener Teile, die verstanden haben, dass das mit dem aktuellen Zustand des Online-Trackings nicht so weitergehen kann) wirkt, das System der personalisierten Werbung zu erhalten. Genau das kritisiert denn auch die EFF: Anstatt verbesserte Tracking-Methoden zu entwickeln, sollte man lieber auf eine Welt ohne personalisierte Werbung hinarbeiten, heißt es dort in Richtung Google.

Scheitern ist eine Option

Ob all diese Pläne aufgehen, ist aber ohnehin mehr als fraglich. Realität ist: Hätte man ein solches Konzept vor zehn Jahren gesetzt, wäre die Rezeption wohl eine andere gewesen. Mittlerweile ist die Ablehnung von Tracking ausreichend stark, dass die Einführung eines jeden neuen Systems diese nur neu befeuert – egal, ob es konkrete Verbesserungen bietet oder nicht. So sprechen sich andere Browserhersteller wie Apple oder Mozilla denn auch gegen Googles Lösungen aus. In Abwandlung einer bekannten Redewendung könnte man also sagen: Die "Privacy Sandbox" ist zu viel, zu spät.

Google gewinnt, auch wenn sie verlieren

Das Unternehmen könnte also selbst von einem Scheitern der eigenen Initiative noch profitieren – und hätte am Weg geschickt regulatorische Bedenken wegen des Abdrehens der "Third Party Cookies" beseitigt. Immerhin hat man es ja versucht. (Andreas Proschofsky, 5.11.2023)