Das Ende der Drittanbieter-Cookies in Chrome, innerhalb von 2 Jahren
In der vergangenen Woche kündigte Google das Ende der Unterstützung von Drittanbieter-Cookies in Chrome innerhalb von 2 Jahren an, wie Justin Schuh twitterte, Director Engineering Trust & Safety von Chrome.
Diese Ankündigung wurde schon lange erwartet, da Chrome beim Blockieren von Drittanbieter-Trackern den anderen Browsern hinterherhinkt, wie John Wilander anmerkt, der Apple-Ingenieur, der für das in Safari integrierte Datenschutzsystem Intelligent Tracking Prevention (ITP) verantwortlich ist.
Die Beweggründe von Google
Google hatte seine Absichten bereits im vergangenen August angedeutet und erklärt, die Privatsphäre seiner Chrome-Nutzer besser schützen zu wollen, dabei aber sorgfältig den Unterschied zu anderen Browsern zu betonen, die Drittanbieter-Cookies direkt blockieren, ohne Werbetreibenden Alternativen anzubieten. Die 2 damals hervorgehobenen Argumente:
- Das Blockieren von Drittanbieter-Cookies fördere Fingerprinting, also ein Verfahren, das anhand der Merkmale des Browsers, der Erweiterungen, der IP-Adresse usw. einen Fingerabdruck des Nutzers erstellt. Im Unterschied zu Cookies kann der Nutzer seinen Fingerprint nicht einfach zurücksetzen. Die Bemühungen von Chrome, Fingerprinting zu blockieren, sind lobenswert (aber keineswegs einzigartig, Firefox und Safari kämpfen bereits gegen Fingerprinting). Dieses Argument ist dennoch mindestens trügerisch: Fingerprinting ist eine schmutzige Praxis und kann nicht als Alibi dienen, um den Einsatz von Drittanbieter-Cookies zu rechtfertigen.
- Das Blockieren von Drittanbieter-Cookies senke die Werbeeinnahmen der Publisher. Google stützt sich hier auf eine interne Studie, um einen durchschnittlichen Umsatzrückgang von 52 % anzugeben, wenn Drittanbieter-Cookies entfernt werden. Zwar ist die Zahl glaubwürdig (aus Erfahrung ist der Einbruch im RTB deutlich heftiger), doch es ist wenig seriös, eine Studie vorzubringen, die auf dem internen Werbetool Doubleclick basiert, nur 3 Seiten umfasst und keinem externen Audit unterzogen wurde.
Alternative Vorschläge, die die Privatsphäre respektieren?
Als Alternativen hat Google das Projekt „Privacy Sandbox“ geschaffen, um dort erste Ideen festzuhalten und damit die Diskussionen mit anderen Browsern, dem Werbeökosystem und dem Web insgesamt vorwegzunehmen. Googles erklärtes Ziel ist es, neue datenschutzfreundliche Standards zu schaffen; Googles verdecktes Ziel ist es, seinem auf Überwachungskapitalismus basierenden Werbemodell das Überleben zu sichern. Anders als Apple oder Firefox kann Google Drittanbieter-Cookies nicht einfach ohne Plan B blockieren, und zwar aus mehreren Gründen:
- Google würde sich selbst ins Knie schießen, wenn es Doubleclick, sein bei Publishern und Werbetreibenden dominantes Werbetool, sowie AdSense, sein ebenfalls im Web dominantes Werbenetzwerk, töten würde.
- Google könnte den Verlust von Werbeeinnahmen durch Doubleclick und AdSense (Provision auf Werbeeinnahmen der Publisher und auf Werbeausgaben der Werbetreibenden) teilweise kompensieren, indem Werbeausgaben der Advertiser auf seine eigenen Seiten umgeleitet werden (Google AdWords, YouTube...), würde dann aber wegen Missbrauchs einer marktbeherrschenden Stellung angegriffen.
- Google würde sich den Zorn der Publisher zuziehen, wegen erheblicher Einbußen bei den Werbeeinnahmen.
Um bei der Schaffung neuer Standards voranzukommen, lädt Google die Akteure des Webs und des Werbeökosystems ein, sich an den Diskussionen der W3C-Gruppe Web Advertising Business Group zu seinen Vorschlägen zu beteiligen. Bis Ende 2020 will Google erste Tests durchführen, zunächst zur Conversion-Messung, dann zu personalisierter Werbung. Doch wenn man wie die EFF im Detail auf Googles Privacy-Sandbox-Vorschläge schaut, scheinen diese nicht die Privatsphäre der Nutzer zu schützen, sondern eher Googles Werbemodell: den Überwachungskapitalismus.
Conversion-Messung
Heute ist diese Messung ohne Drittanbieter-Cookies möglich, aber nur für Analytics-Tools. Wenn ein Nutzer auf eine Werbung klickt (zum Beispiel auf einen gesponserten Link bei Google), wird er mit einem Tracking-Parameter in der URL auf die Website des Werbetreibenden weitergeleitet. Dieser Parameter wird vom Analytics-Tool erfasst, um ein First-Party-Cookie zu setzen. Dieses Cookie wird dann während der Navigation auf der Website bis zu einem möglichen Kauf an das Analytics-Tool gesendet und erlaubt so die Verbindung zum ursprünglichen Klick. Wenn die Conversion-Messung durch ein Tool erfolgt, das die Werbung ausliefert (zum Beispiel der Retargeter Criteo oder der Adserver des Werbetreibenden), liefert dieses Tool von seiner eigenen Domain aus und setzt daher ein Drittanbieter-Cookie. Der Werbetreibende muss ein Script dieses Tools auf seiner Conversion-Seite installieren, um die Messung durchzuführen.
Wie geht das ohne Drittanbieter-Cookies? Hier muss man festhalten, dass Apple dem W3C bereits eine Technik vorgeschlagen hat, um Conversions ohne Nutzertracking zu messen, genannt „Private Click Measurement“. Google kopiert Apple mit seiner „Conversion Measurement API“, aber auf grobe Weise: Der Werbetreibende kann dem Klick auf eine Werbung Metadaten hinzufügen, darunter die URL der Conversion-Seite, die Reporting-URL für die Conversion und einen zusätzlichen Identifikator. Diese Informationen werden anschließend vom Browser gespeichert, der der Reporting-URL den zusätzlichen Identifikator zurücksenden kann, wenn der Nutzer konvertiert. Problem: Apple überträgt 6 Informationsbits im zusätzlichen Identifikator (also 2^6 = 64 verschiedene Werte; genug, damit der Werbetreibende weiß, welche Kampagne und welche Anzeige „konvertiert“ hat, aber nicht genug für individualisiertes Tracking). Google überträgt 64 Informationsbits (also 2^64 verschiedene Werte), was es ermöglicht, jeden Nutzer auf Schritt und Tritt zu verfolgen.
Personalisierte Werbung
Google schlägt hier vor, den Browserverlauf des Nutzers zu verwenden, um ihn einer Kohorte zuzuordnen. Das Verfahren namens „Federated Learning of Cohorts“ (oder FLoC) erlaubt es, Machine-Learning-Modelle lokal zu verwenden und sie zu aktualisieren, ohne sämtliche Nutzerinformationen (den Browserverlauf) mit dem Netzwerk zu teilen (wenn Sie mehr über Federated Learning erfahren möchten, empfehle ich Googles hervorragenden Comic zu diesem Thema).
Das klingt vielversprechend. Das Problem ist, dass die Kohorte, in die Ihr Browser Sie laut Googles Vorschlag einordnet, im HTTP-Header aller Websites gesendet wird, mit denen Sie interagieren (aktiv oder passiv, Werbetreibende also eingeschlossen)... Das erlaubt denselben Werbetreibenden, die Sie heute fast überall im Web tracken, dank dieser Kohorte zahlreiche zusätzliche Informationen über Sie abzuleiten (ein schlechter Kredit-Score, Zugehörigkeit zu einer Minderheit, was Sie mögen, wohin Sie sich bewegen...), ohne jede Transparenz (ein lokales Machine-Learning-Modell). E-Commerce-Websites könnten das Verhalten von Kohorten untersuchen und ihre Botschaft und ihre Preise je nach Zielgruppe anpassen. Außerdem könnten Websites, die heute Ihre Privatsphäre respektieren (weil sie keine Drittanbieter-Cookies nutzen), nicht entscheiden, Ihre Kohorte nicht zu erhalten.
Schlussfolgerungen
Auch wenn es noch zu früh ist, die Alternativen zu beurteilen, die das Chrome-Team als Ersatz für Drittanbieter-Cookies einführen wird, lassen die ersten Vorschläge vermuten, dass Google zunächst sein Werbegeschäftsmodell priorisieren wird, nicht den Schutz der Privatsphäre der Nutzer seines Browsers.