Wie tragen Cookies zur Erstellung detaillierter Werbeprofile bei, ohne dass der Nutzer zustimmt?

Melden

Obwohl Gesetze wie die DSGVO (Datenschutz-Grundverordnung) vorschreiben, dass Nutzer explizit zustimmen müssen, bevor Tracking-Cookies gesetzt werden, findet die Erstellung detaillierter Werbeprofile oft im Graubereich oder durch technische Umgehung statt.

Hier ist eine detaillierte Erklärung, wie dies technisch und strategisch abläuft:

1. Die Rolle von Third-Party-Cookies (Drittanbieter-Cookies)

Das Hauptwerkzeug für die Profilbildung sind Third-Party-Cookies. Diese werden nicht von der besuchten Website selbst (z. B. einer Nachrichtenseite) gesetzt, sondern von einem Werbenetzwerk (z. B. Google oder Facebook), dessen Skripte auf dieser Seite eingebunden sind.

  • Seitenübergreifendes Tracking: Wenn 1.000 verschiedene Websites das Skript desselben Werbenetzwerks nutzen, kann dieses Netzwerk den Nutzer über alle 1.000 Seiten hinweg identifizieren.
  • Identifikationsnummer: Das Cookie enthält eine eindeutige ID (z. B. ID=123xyz). Besucht der Nutzer eine neue Seite, liest das Netzwerk die ID aus und weiß: „Nutzer 123xyz interessiert sich jetzt auch für Laufschuhe, nachdem er gestern nach Knieschmerzen gesucht hat.“

2. Umgehung der Zustimmung durch "Berechtigtes Interesse"

In den Cookie-Bannern nutzen viele Firmen eine rechtliche Lücke in der DSGVO: das sogenannte „Berechtigte Interesse“ (Legitimate Interest).

  • Anbieter behaupten, dass die Datenerhebung für ihren Geschäftsbetrieb unbedingt erforderlich sei.
  • Oft sind diese Einstellungen in den Bannern tief in Untermenüs versteckt und standardmäßig aktiviert, selbst wenn der Nutzer auf „Nur notwendige Cookies“ klickt. Der Nutzer „stimmt“ also technisch gesehen nicht zu, wird aber trotzdem getrackt, weil er dem „berechtigten Interesse“ nicht explizit widersprochen hat.

3. Browser-Fingerprinting (Tracking ohne Cookies)

Da Nutzer zunehmend Cookies löschen oder blockieren, greifen Werbenetzwerke zu einer weitaus subtileren Methode, die gar keine Zustimmung einholt, weil sie keine Daten auf dem Gerät des Nutzers speichert:

  • Der digitale Fingerabdruck: Ein Skript sammelt Informationen über die Konfiguration des Browsers und des Geräts (installierte Schriftarten, Bildschirmauflösung, Batteriestand, Betriebssystemversion, installierte Plugins).
  • Einzigartigkeit: Die Kombination dieser Merkmale ist oft so einzigartig, dass ein Nutzer unter Millionen von Internet-Usern eindeutig wiedererkannt werden kann – ganz ohne Cookie.

4. Dark Patterns (Manipulative Design-Tricks)

Viele Webseiten nutzen „Dark Patterns“, um eine „Zustimmung“ zu erzwingen, die eigentlich keine freie Entscheidung ist:

  • Der „Alles akzeptieren“-Button ist groß und farbig.
  • Der „Ablehnen“-Button ist versteckt, grau oder erst nach drei Klicks in einem Untermenü erreichbar.
  • Viele Nutzer klicken aus Frust auf „Akzeptieren“, nur um den Banner loszuwerden. Rechtlich ist das fragwürdig, technisch führt es zur Profilbildung.

5. Datenaustausch und ID-Matching

Werbeprofile entstehen oft durch die Kombination von Daten aus verschiedenen Quellen:

  • Zusammenführung: Wenn ein Nutzer sich auf einer Seite mit seiner E-Mail-Adresse anmeldet (z. B. für einen Newsletter), kann diese E-Mail (meist als anonymisierter Hash-Wert) mit einem bestehenden Cookie-Profil verknüpft werden.
  • Offline-Daten: Werbeplattformen kaufen Daten von Adresshändlern oder Bonusprogrammen (Kundenkarten) und verknüpfen diese mit den Online-Profilen. So wissen Werbenetzwerke oft, was jemand im Supermarkt kauft, ohne dass er online jemals danach gesucht hat.

6. Real-Time Bidding (RTB) – Die Datenbörse

Innerhalb von Millisekunden, während eine Website lädt, findet eine Versteigerung statt.

  • Das Werbenetzwerk sendet Informationen über den Nutzer (Interessen, Standort, Gerät) an hunderte Bieter.
  • Selbst wenn ein Nutzer dem Tracking auf einer Seite nicht zugestimmt hat, können Datenfragmente über diese Auktionen in die großen Datenbanken der Werbegiganten fließen und dort bestehende Profile vervollständigen.

Zusammenfassung: Wie das Profil entsteht

Ein detailliertes Profil entsteht nicht durch eine einzige Information, sondern durch die Aggregation (Anhäufung) kleinster Datenpunkte:

  1. Was schauen Sie an? (Themeninteressen)
  2. Wann sind Sie online? (Tagesrhythmus, Arbeitszeiten)
  3. Wo sind Sie? (IP-Adresse gibt Aufschluss über Wohnort und Kaufkraft)
  4. Wie viel geben Sie aus? (Anhand des verwendeten Geräts, z. B. neuestes iPhone vs. altes Android-Handy)

Fazit: Die Profilbildung erfolgt oft durch eine Mischung aus technischer Ausrichtung (Fingerprinting), rechtlichen Grauzonen (Berechtigtes Interesse) und psychologischer Manipulation (Dark Patterns), wodurch der Schutz der DSGVO in der Praxis oft unterlaufen wird.

0