Analytics- und Werbetools: Welche Risiken für Ihre Privatsphäre?

Wenn Sie im Web surfen oder eine mobile App nutzen, werden Sie von zahlreichen Unternehmen getrackt. Hier ist ein, notwendigerweise unvollständiger, Überblick über die verschiedenen Analytics- und Werbetools und ihre Folgen für Ihre Privatsphäre.

Analytics-Tools

Diese Tools sollen Nutzungsstatistiken für eine Website oder eine App liefern. Sie ermöglichen es zum Beispiel, Folgendes zu erfassen:

• Kennzahlen wie die Anzahl der Besucher, Sitzungen, Seitenaufrufe oder Conversions.
• Die aufgerufenen Seiten und Bildschirme.
• Die Einstiegswege auf die Website (direkt, Suchmaschinen, soziale Netzwerke, andere Websites).
• Die Merkmale der Besucher: Region, Gerät, Browser, Bildschirmgröße usw.

Im Web: Analytics-Tools mit First-Party-Cookies

Die meisten Analytics-Tools trennen die Daten nach Kunden. Ihr Navigationsverlauf auf L'Équipe ist zum Beispiel für die Statistiken von Lemonde nicht relevant. Im Web wird diese Trennung technisch durch First-Party-Cookies erzwungen: Sie werden über ein Pseudonym verfolgt, das auf der Domain des Kunden liegt (zum Beispiel lequipe.fr), und dieses Pseudonym kann technisch nicht von einer anderen Domain gelesen werden (zum Beispiel lemonde.fr). Beispiele für Tools, die First-Party-Cookies verwenden:

• Google Analytics: Googles Analytics-Tool ist auf den meisten Websites und in vielen Apps präsent. Standardmäßig arbeitet es mit First-Party-Cookies.
• Adobe Analytics: Durch den Kauf von Omniture im Jahr 2009 bietet Adobe ein Analytics-Tool an, das bei großen Kunden häufig eingesetzt wird.
• AT Internet: Französisches Analytics-Tool, das auf französischen Medienseiten weiterhin recht beliebt ist.
• Matomo: ehemals Piwik, ein Open-Source-Analytics-Tool, das selbst gehostet werden kann (wie auf diesem Blog).

First-Party-Cookies haben den „Vorteil“, langlebiger zu sein als Third-Party-Cookies. Um die Privatsphäre ihrer Nutzer zu schützen, blockieren Browser Third-Party-Cookies immer häufiger (Safari, Firefox und Brave geben den Ton an; Chrome ist Schlusslicht, hat aber entschieden, Third-Party-Cookies innerhalb von 2 Jahren zu blockieren).

Wenn Sie sich auf einer Website einloggen, verlieren Sie allerdings Ihre Anonymität. Die Website kann dann potenziell Ihren Verlauf auf der Website, unabhängig vom verwendeten Gerät, mit bereits über Sie gespeicherten CRM-Daten kombinieren (Ihr Abonnement, Ihre Käufe usw.). Ohne personenbezogene Daten im Klartext zu senden, übermitteln manche Websites einfach Ihre Kunden-ID an das Analytics-Tool und exportieren anschließend die Rohdaten aus dem Analytics-Tool in ihr Business-Intelligence-Tool zur späteren Analyse.

Wie lässt sich dieses Tracking vermeiden? Sie können einen Adblocker wie uBlock Origin installieren.

Im Web: andere Analytics-Tools mit Third-Party-Cookies

Einige Web-Analytics-Tools können Sie jedoch über mehrere Websites hinweg tracken, und zwar über Third-Party-Cookies: Ihr Pseudonym liegt auf der Domain des Analytics-Tools, sodass dieses unabhängig von der besuchten Website darauf zugreifen kann. Die Folgen für Ihre Privatsphäre sind offensichtlich schwerwiegender: Das Tool kann Sie dann über Ihre Navigation auf allen Websites profilieren, auf denen es installiert ist. Beispiele:

• Google Analytics: Das kostenlose Analytics-Tool von Google ist auf den meisten Websites und in vielen Apps präsent. Standardmäßig setzt Google Analytics im Web First-Party-Cookies, bietet seinen Kunden aber zusätzlich zu diesen Cookies eine Opt-in-Option zur Aktivierung von Third-Party-Cookies (auf der Domain doubleclick.net). Diese Option ermöglicht es der Kundenwebsite, bestimmte Werbefunktionen wie Remarketing zu aktivieren, aber auch aggregierte Informationen zum Besucherprofil zu erhalten (demografische Merkmale und Interessen). Die Aktivierung dieser Funktion erlaubt Google natürlich, Sie noch genauer zu profilieren.
• Quantcast: Dieses Werbeunternehmen bietet Publishern ein kostenloses Analytics-Tool an. Es hilft Publishern, ihr Publikum besser zu verstehen, ermöglicht Quantcast aber vor allem, seine Datenbank mit Nutzerprofilen anzureichern.

Mit dem Zielgruppen-Builder von Google Analytics können Werbetreibende sehr präzise Zielgruppen definieren, um sie anschließend erneut anzusprechen:

Auch hier schützt Sie ein Adblocker wie uBlock Origin.

Analytics-Tools in Apps

Der Überwachungsgrad von Analytics-Tools in Apps ist höher. Zunächst greifen diese Tools auf Nutzerkennungen zu, die langlebiger sind und allen Apps zugänglich sein können: insbesondere IDFA bei Apple und AAID bei Google. Nutzer können diese Kennungen deaktivieren, aber die Optionen sind gut versteckt (und die Überwachung ist damit nicht beendet, andere „First-Party“-Kennungen übernehmen dann). Zum Vergleich: Third-Party-Cookies werden von Browsern und datenschutzfreundlichen Erweiterungen zunehmend blockiert.

Außerdem bieten Analytics-Tools, die auf Apps spezialisiert sind oder dort begonnen haben, Funktionen zur individuellen Nachverfolgung von Nutzern. Bei Web-Analytics-Tools ist das noch weniger verbreitet; diese Tools sind im Allgemeinen älter und funktional „im Rückstand“. Außerdem erfassen App-Analytics-Tools häufig nicht anonymisierte personenbezogene Daten wie Ihren Namen oder Ihre E-Mail-Adresse, was bei Web-Analytics-Tools seltener ist. So verkauft Mixpanel zum Beispiel seine Lösung auf seiner Website:

Diese Unternehmen können also viele Informationen über Sie zusammenführen. Einige sind reine Analytics-Anbieter und haben keinen kommerziellen Grund, Ihre personenbezogenen Daten aus verschiedenen Apps zu kombinieren. Andere bieten jedoch auch Werbedienste an und erlauben sich daher, Ihre personenbezogenen Daten zu kombinieren. Beispiele, die bei App-Tests auf diesem Blog identifiziert wurden:

• Mixpanel: reines Analytics-Tool, das mit Apps begonnen hat.
• Amplitude: ein weiteres reines Analytics-Tool, das mit Apps begonnen hat.
• Adjust: Analytics-Tool für Apps, das außerdem Attribution (wissen, welche Werbekampagnen wirksam sind), Betrugsprävention, Zielgruppensegmentierung und Retargeting anbietet.
• Appsflyer: ein weiteres Analytics-Tool für Apps, das zahlreiche Dienste wie Marketinganalyse, Betrugsprävention oder Attribution anbietet.

Hier wird es schwieriger, sich zu schützen, da Apps Ihnen nur sehr selten Kontrolle über diese Tools geben. Unter iOS müssen Sie auf Apps wie DNSCloak, AdGuard oder NextDNS zurückgreifen.

Werbelösungen

Da Werbung sehr häufig auf Ihrem Verhalten basiert, respektieren diese Lösungen Ihre Privatsphäre nicht. Je nach Zweck des Unternehmens ist das Risiko jedoch unterschiedlich. Über die Website Ad Ops Insider (mehr Details hier) hier das Schema, das die Austauschbeziehungen zwischen den verschiedenen Akteuren zusammenfasst, die daran beteiligt sind, Ihnen eine Werbung auszuliefern:

Schauen wir uns nun die verschiedenen beteiligten Tools und ihre Auswirkungen auf Ihre Privatsphäre an.

Tools, die im Auftrag eines Publishers oder Werbetreibenden arbeiten

Diese Tools müssen Ihre Verhaltensdaten aus mehreren Kunden nicht kombinieren, um gut zu funktionieren. Hier sind die wichtigsten Tools auf Publisher-Seite (die Website, auf der die Werbung angezeigt wird):

• Der Publisher-Adserver: der „Dirigent“, das Tool, das entscheidet, welche Werbekampagnen angezeigt werden, wenn Sie eine Medienseite besuchen, und deren Auslieferung im Auftrag des Publishers misst. Er muss zwischen Direktverkäufen (Werbekampagnen, die direkt vom Publisher verkauft werden, häufig mit einer festen Anzahl von Werbeeinblendungen) und indirekten Verkäufen vermitteln (Werbung, die der Publisher nicht kontrolliert, sondern an Ad-Networks und SSPs delegiert). Der Publisher-Adserver muss Ihre Navigation im Web nicht kennen, um korrekt zu funktionieren, sondern „nur“ Ihr Verhalten auf der Website des Publishers.
• Die SSP (Supply-Side Platform) oder Ad-Exchange: der programmatische Marktplatz. Seine Aufgabe ist es, die Werbegelegenheiten des Publishers zu versteigern. Er ist mit zahlreichen DSPs (programmatische Einkaufsplattformen, die von Werbetreibenden betrieben werden) und Ad-Networks verbunden (Vermittler, die oft ebenfalls programmatische Einkaufsplattformen entwickelt haben). Auch er muss Ihr Verhalten im Web nicht kennen, um korrekt zu funktionieren. Häufig lässt der Publisher mehrere SSPs über einen Mechanismus namens „Header Bidding“ miteinander konkurrieren.

Einige Lösungen kombinieren sowohl einen Publisher-Adserver als auch eine SSP: darunter insbesondere Google Ad Manager (dominanter Akteur), AppNexus (seit der Übernahme durch AT&T in Xandr umbenannt), Freewheel (von Comcast übernommen) oder Smart AdServer (französischer Akteur). Viele Lösungen bieten nur eine SSP an.

Auf der Seite der Werbetreibenden sind dies die wichtigsten Tools:

• Der Advertiser-Adserver: das Tool, das Werbung ausliefert und ihre Wirksamkeit im Auftrag des Werbetreibenden misst. Es misst alle Kampagnen des Werbetreibenden: direkte und indirekte Käufe (über Ad-Networks und DSPs). Der Advertiser-Adserver muss Ihre Navigation im Web nicht kennen, um korrekt zu funktionieren, sondern „nur“ die verschiedenen Interaktionen mit den Anzeigen des Werbetreibenden speichern.
• Die DSP (Demand-Side Platform): die programmatische Einkaufsplattform. Ihre Aufgabe ist es, Werbung im Auftrag des Werbetreibenden auf den richtigen Websites, für die richtige Zielgruppe (die relevantesten Nutzer) und zum richtigen Preis zu kaufen. Dieses Tool muss Ihr Verhalten im Web nicht kennen, um korrekt zu funktionieren, kann aber intelligenter bieten, wenn es Ihre Historie mit dem Werbetreibenden kennt. Der Werbetreibende kann mehrere DSPs nutzen, um sie miteinander konkurrieren zu lassen.

Einige Lösungen kombinieren sowohl Advertiser-Adserver als auch DSP: Hier findet man weiterhin Google über Display & Video 360 (dominanter Akteur), aber auch Adform. Viele Lösungen bieten nur eine DSP an.

Publisher und Werbetreibende können außerdem DMPs (Data Management Platforms) einsetzen. Diese Tools ermöglichen es ihnen, Ihre Navigationsdaten zu sammeln, sie mit personenbezogenen Daten aus einem CRM zu kombinieren (Abonnements, Käufe usw.) und sie bei Bedarf an ihre Werbetools zu übertragen. Beispiele:

• Ein Publisher kann Sony PlayStation eine Werbekampagne verkaufen, die auf Abonnenten seines Videospiel-Newsletters ausgerichtet ist. Die DMP des Publishers sammelt die Abonnenten des Videospiel-Newsletters und überträgt diese „Zielgruppe“ an den Adserver des Publishers, der die Kampagne an die richtige Zielgruppe ausspielen kann.
• Eine E-Commerce-Website möchte Personen, die ihre App bereits installiert haben, aus einer Werbekampagne zur Bewerbung der App ausschließen. Die DMP des Werbetreibenden sammelt die Profile der Nutzer, die die App installiert haben, und überträgt diese „Zielgruppe“ an die DSP des Werbetreibenden, die sie aus der Werbekampagne ausschließen kann.

Gezielte Werbekampagnen führen also mechanisch zu einem Leak Ihrer personenbezogenen Daten an diese Adtech-Akteure.

Die wichtigsten Anbieter von DMPs sind Marketingriesen wie Oracle, Salesforce oder Adobe. Diese Unternehmen bieten viele weitere Marketingtools wie CRMs an und können so den Großteil der Kundenmanagement-Bedürfnisse eines Werbetreibenden abdecken.

Programmatic: dort, wo Ihre personenbezogenen Daten im großen Stil durchsickern

Theoretisch müssten diese Tools Sie nicht mit einem einzigen Pseudonym im gesamten Web oder über alle Apps hinweg verfolgen, um zu funktionieren (sondern nur im Rahmen ihres Kunden, genau wie Analytics-Tools mit First-Party-Cookies). Genau das tun sie aber trotzdem (über Third-Party-Cookies), und dadurch ermöglichen sie unter anderem programmatische Käufe.

DSPs und Ad-Networks, die programmatisch Werbeflächen kaufen, „müssen“ Sie kennen, um intelligent bieten zu können. Sie haben jedoch keinen direkten Zugriff auf Ihr Endgerät (sie werden von den SSPs aufgerufen, die ihrerseits Zugriff auf Ihr Endgerät haben). In Apps ist das kein Problem, denn die SSPs senden Ihre Werbekennung (IDFA bei Apple, AAID bei Google).

Im Web haben Sie keine eindeutige Kennung für alle Websites, die Sie besuchen. Die SSPs müssen Ihre Kennung daher mit den angeschlossenen DSPs synchronisieren (so weiß zum Beispiel DSP 1, der Sie über die Kennung „123“ erkennt, dass Sie bei SSP A die Kennung „xyz“ haben, und kann Sie erkennen, wenn SSP A ihm die Werbegelegenheit sendet). Wenn Sie tiefer einsteigen möchten: Der Mechanismus der Cookie-Synchronisierung ist auf der Website Ad Ops Insider, aus der auch das folgende Schema stammt, sehr gut erklärt:

Fassen wir das Leck Ihrer personenbezogenen Daten zusammen:

• In Apps leaken die SSPs Ihre personenbezogenen Daten ohne vorherige Kennungssynchronisierung an zahlreiche DSPs und Ad-Networks (manchmal Hunderte). Dieses Datenleck ist vollständig verborgen (es findet zwischen den Servern der SSPs und den Servern der DSPs statt). Sie sehen nur die Werbung des DSP, der die Auktion gewonnen hat, aber jeder aufgerufene DSP konnte Ihr Nutzerprofil anreichern.
• Im Web müssen die SSPs Ihre Kennungen vorab mit den angeschlossenen DSPs synchronisieren. Dadurch kann man diese „Kennungssynchronisations-Pixel“ vorbeiziehen sehen, die übrigens zusätzliche Latenz verursachen.

Diese Lecks Ihrer personenbezogenen Daten beschränken sich nicht auf Interaktionen zwischen SSPs und DSPs; das ist nur eine Vereinfachung. Sie finden auch bei anderen Akteuren der Werbekette statt, zum Beispiel (nicht erschöpfende Liste):

• Lösungen zur Betrugserkennung (Werbung zieht kriminelle Akteure an, weil es ein lukrativer Markt ist und ein erheblicher Teil der ausgelieferten Werbung nie von Menschen, sondern nur von Bots gesehen wird).
• Lösungen zur Sichtbarkeitsmessung (wenig skrupellose Publisher platzieren Werbung gerne am Seitenende, wo Sie sie nie sehen werden).
• Lösungen, die Nutzerdaten verkaufen; zum Beispiel erfassen Social-Sharing-Tools wie ShareThis Ihre Browserdaten, um sie weiterzuverkaufen.
• Attributionslösungen, die jede Ihrer Werbeinteraktionen messen, um zu bewerten, welche Werbekampagnen am wirksamsten sind.

Zu diesem Thema können Sie hier die Elemente der Beschwerde von Brave gegen Google und das IAB (Interactive Advertising Bureau, die Lobbygruppe der Adtech-Unternehmen) zur Verletzung der DSGVO durch RTB lesen (Real-Time Bidding: programmatische Werbung). Die Beschwerde wurde im September 2018 eingereicht; die ICO (die englische CNIL) hat die Untersuchung wegen Coronavirus pausiert, man sollte also nicht ungeduldig sein.

Hier ist ein Panorama der wichtigsten Akteure (auch hier keine erschöpfende Liste), die an der Werbekette beteiligt sind:

Was können Sie tun? Wenn Sie den Empfehlungen dieser Akteure folgen, können Sie für jeden von ihnen Opt-out-Cookies installieren, was nicht sehr praktisch ist. Außerdem haben diese Akteure das Transparency & Consent Framework (TCF) mitentwickelt, ein Protokoll zur Weitergabe von Informationen über Ihre Einwilligung. Aber das TCF funktioniert nicht richtig:

• Wie wir bereits gesehen haben, nutzen die Einwilligungsbanner, auf die sich das TCF stützt, Dark Patterns, um die Ablehnung des Trackings zu erschweren, ganz abgesehen davon, dass sie nicht richtig funktionieren.
• Das TCF ist ein Kommunikationsprotokoll zwischen Adtech-Akteuren; nichts verpflichtet sie anschließend, das empfangene Signal zu respektieren.
• Insbesondere verhindert die Verweigerung Ihrer Einwilligung nicht, dass diese Akteure Ihre personenbezogenen Daten sammeln oder Sie sogar profilieren. Manche sind lediglich der Ansicht, dass sie personalisierte Werbung deaktivieren müssen.
• Kontrollen und damit Sanktionen gibt es nahezu nicht; die Werbeindustrie behauptet, Selbstregulierung reiche aus.

Folgen dieses hochkomplexen Ökosystems, in dem alles erlaubt scheint:

• Ihre personenbezogenen Daten leaken an Hunderte verschiedene Tools, ohne dass echte Kontrolle möglich ist.
• Publisher erhalten nur die Hälfte des Geldes, das Werbetreibende ausgeben; die Vermittler nehmen jeweils eine Provision.

Studie zur Transparenz im Programmatic. Beachten Sie, dass die Studie 15 % des ausgegebenen Geldes nicht erklären kann.

Ad-Networks: Vermittler, die zugleich mit Publishern und Werbetreibenden arbeiten

SSPs und DSPs sind Tools, über die Publisher und Werbetreibende Kontrolle haben („Self-Service“-Tools):

• Die Provision ist im Vertrag festgelegt (in der Regel zwischen 5 % und 15 %).
• Die Konfiguration der SSP liegt beim Publisher (Mindestverkaufspreis, akzeptierte Werbetreibende, akzeptierte Werbeformate, bevorzugte Vereinbarungen für bestimmte Marken).
• Die Parametrisierung der Werbekampagnen liegt beim Werbetreibenden (oder bei der Agentur, die die DSP betreibt, unter Validierung des Werbetreibenden): Auswahl der Ausspielungsorte, des Targetings, der Werbeformate oder der Gebotsstrategie zur Zielerreichung.

Ad-Networks lassen dem Werbetreibenden oder Publisher dagegen nicht die Kontrolle:

• Der Publisher hat über seine SSP nur minimale Kontrolle, wenn das Ad-Network programmatisch einkauft.
• Der Werbetreibende kann nicht im Voraus entscheiden, auf welchen Websites oder Apps er ausspielt.
• Er hat oft keinen Zugang zu einem detaillierten Reporting seiner Werbekampagne.
• Er wählt seine Gebotsstrategie nicht selbst, sondern delegiert die Entscheidungen an das Ad-Network.
• Im Gegenzug ist der Aufwand minimal.
• Die Provision des Ad-Networks ist oft undurchsichtig, steigt aber leicht auf 30 % (Google AdSense) oder sogar 50 % (Criteo).

Warum also über ein Ad-Network gehen? Aus zwei Hauptgründen:

• Die Kampagne ist günstiger zu betreiben (keine komplexe Parametrisierung auf einer DSP nötig).
• Die Ergebnisse sind oft besser (diese Ad-Networks überwachen Sie sehr umfassend, Ihre personenbezogenen Daten machen sie effizienter).

Man könnte glauben, dass Ad-Networks im Vergleich zu DSPs und SSPs, die direkt von Werbetreibenden und Publishern betrieben werden, in der Minderheit sind. Das ist aber nicht der Fall:

• Im Web macht Google AdSense einen erheblichen Teil der Publisher-Erlöse aus.
• Ebenfalls im Web haben Vermittler wie Criteo ein sehr großes Gewicht. Sie kaufen programmatisch, können aber auch direkt bei Publishern einkaufen, um die SSP-Provision zu vermeiden.
• In Apps sind die Ad-Networks von Google und Facebook sehr mächtig: Google AdMob und Facebook Audience Network.
• In Apps hat Programmatic weiterhin mehr Schwierigkeiten, sich durchzusetzen, weil Werbeformate oft individuell gestaltet sind und schlechter in die Standardisierungsschublade von Programmatic passen. Ad-Networks bleiben dort sehr mächtig.

Für Ihre Privatsphäre sind diese Ad-Networks eine Katastrophe, denn um mehr Geld zu verdienen, müssen sie Sie besser profilieren. Hier ist „ihr“ positiver Kreislauf:

• Erfassung Ihrer personenbezogenen Daten über die Auslieferung gezielter Werbung (oder einfach durch das „Mithören“ von Werbegelegenheiten im Programmatic).
• Bei einigen (Google, Facebook, Twitter, Pinterest, LinkedIn) zusätzliche Erfassung Ihrer personenbezogenen Daten über unverzichtbare B2C-Dienste (Suchmaschine, soziale Netzwerke, berufliches Netzwerk usw.).
• Bei einigen (Google, Facebook, Quantcast usw.) zusätzliche Erfassung Ihrer personenbezogenen Daten über Analytics-Tools.
• Verbesserung der „Profiling“- und „Pricing“-Algorithmen durch die Masse der gesammelten personenbezogenen Daten und durch die Messung der Leistung von Werbekampagnen.
• Die Wirksamkeit von Werbekampagnen steigt, also sind Werbetreibende bereit, mehr Geld auszugeben.
• Publisher steigern ihre Einnahmen und sind bereit, ihre Werbeinventare weiter zu öffnen.
• Noch breitere Erfassung Ihrer personenbezogenen Daten.

In diesem kleinen Spiel schlagen sich die folgenden Unternehmen sehr gut, lassen Ihnen aber fast keine Kontrolle, weil ihre Geschäftsmodelle im Widerspruch zum Respekt Ihrer Privatsphäre stehen:

• Google: Der Riese aus Mountain View weiß alles über Ihre Absichten, wovon sein Ad-Network profitiert, das im Web dominiert (Google AdSense) und in Apps sehr stark vertreten ist (Google AdMob). Ihre Kontrolle über diese Erfassung Ihrer personenbezogenen Daten ist sehr begrenzt: Google erlaubt Ihnen nicht, die Erhebung Ihrer personenbezogenen Daten abzulehnen, sondern nur personalisierte Werbung und die Verknüpfung Ihrer personenbezogenen Daten mit Ihrem Google-Profil abzulehnen.
• Facebook: Der Riese aus Menlo Park kennt Sie ebenfalls sehr genau, wodurch sein Ad-Network Facebook Audience Network in Apps sehr gut funktioniert. Facebook gibt Ihnen keine Kontrolle über seine Erfassung Ihrer personenbezogenen Daten.
• Criteo: der französische Adtech-Riese, weltweit führend im Retargeting (die Werbung, die Ihnen überallhin folgt, nachdem Sie ein Produkt angesehen haben), erlaubt Ihnen nicht, die Erhebung abzulehnen, sondern nur personalisierte Werbung.

Was tun? Eine Beschwerde von Privacy International wurde im November 2018 gegen Criteo, Quantcast und Tapad eingereicht; die CNIL hat die Untersuchung zu Criteo im März 2020 begonnen. Man sollte also nicht ungeduldig sein.

Die einzige Lösung für heute bleibt technisch und ist daher nicht allen Nutzern zugänglich: im Web die Installation eines Adblockers wie uBlock Origin oder unter iOS Apps wie DNSCloak, AdGuard oder NextDNS.