Das Surfverhalten von Nutzern zu tracken ist keine Seltenheit, doch wenn dies gegen den ausdrücklichen Willen der Anwender geschieht, wird es problematisch. Eigentlich blockiert Safari standardmäßig Tracking-Cookies, die beispielsweise in auf Webseiten eingebundener Werbung verwendet werden, um einzelne Nutzer identifizieren zu können. Laut WSJ haben Google und weitere Werbeanbieter wie Pointroll, Vibrant Media und WPP einen Trick genutzt, diese Standardeinstellung im Apple-Browser zu umgehen.

Den Google-Code hatte Jonathan Mayer identifiziert, ein technischer Berater des WSJ konnte die Erkenntnisse von Mayer unabhängig bestätigen. Demnach installierten 22 der Top-100-Websites (nach Beliebtheit laut Quantcast), den Tracking-Code von Google bei der Mac-Version des Safari-Browsers, im iPhone-Safari waren es 23 Seiten.

Google ist sich keiner Schuld bewusst

Dabei nutzte Google eine Sicherheitslücke in den Privatsphäre-Einstellungen von Safari. Safari blockiert Tracking nämlich mit der Ausnahme von Websites, mit denen der Nutzer interagiert. Ein Beispiel für eine derartige Website ist das Ausfüllen einer Eingabemaske.

Google fügte einigen Online-Werbeanzeigen Code hinzu, der Safari vorgaukelte, dass der Nutzer eine unsichtbare Eingabemaske ausfüllt. Durch diese Hintertür konnte Google dann ein Cookie auf dem iPhone oder Computer des Nutzers installieren. Zwar waren diese Cookies lediglich 12 bis 24 Stunden gültig, aber aufgrund einer Lücke in Safari können Unternehmen, die bereits ein Cookie auf dem Gerät des Anwenders installiert haben, leicht weitere Cookies hinzufügen. Bei dieser Methode handelt es sich um eine bekannte Technik, über die Anant Garg aus Indien bereits vor zwei Jahren bloggte.

Obwohl Google den Code entfernte, nachdem das Unternehmen vom WSJ angesprochen wurde, wies der Konzern die Anschuldigungen zurück. Man habe sich eine bekannte Eigenschaft von Safari zu Nutze gemacht und auf diese Weise eingeloggten Anwendern Funktionen zur Verfügung gestellt, die sie selbst aktiviert hätten. Auch Vibrant Media ist sich keiner Schuld bewusst und äußerte gegenüber dem WSJ, dass man Safaris Verhalten lediglich dahingehend abgeändert hätte, dass sich der Apple-Browser verhält wie jeder andere auch. Apple will laut Wall Street Journal das Tracking durch Dritte unterbinden.

Apple und Google in der Kritik

Apple macht mit der Entdeckung des WSJ, dass Google und andere Unternehmen die Privatsphäre-Einstellungen von Safari umgehen, erneut Negativschlagzeilen hinsichtlich der Sicherheit privater Daten seiner Nutzer. Erst vor kurzem hatte ein Entwickler ein Datenleck bei der iPhone-App Path aufgedeckt, das auf die Übermittlung des vollständigen Adressbuchs abzielt. Daraufhin folgten weitere Enthüllungen rund um sicherheitskritische Apps wie der von Foursquare.

Aber auch Google gerät mit dem Tracking von Safari-Nutzern binnen kurzer Zeit erneut in die Kritik von Datenschützern. Im Januar hatte der Konzern angekündigt, seine Nutzungsbestimmungen überarbeiten zu wollen. Man wolle so gut wie alle Informationen, die man über seine Nutzer (inklusive YouTube, Googlemail und der Google Suche) habe, zentral zusammenfassen. Diese Ankündigung hatte international für Wirbel gesorgt, bisher allerdings ohne größere Konsequenzen. Die neuen Nutzungsbestimmungen sollen am 1. März in Kraft treten.

Fazit

Wer macht sich schuldig, wenn ein Einbrecher eine Wohnung ausräumt, deren Tür sperrangelweit offen steht? Der Wohnungseigentümer oder der Einbrecher? Diese Frage ist ähnlich müßig wie jene, ob nun Google oder Apple Schindluder mit der Privatsphäre der Nutzer treiben. Verantwortung tragen sicher sowohl Google und die anderen Werbeunternehmen als auch Apple selbst. Schließlich ist der in diesem Fall verwendete Trick schon seit mehr als zwei Jahren bekannt und hätte längst unterbunden werden können.

[Update 17:45 Uhr] Die Meldung war ursprünglich mit „Google spionierte Safari-Nutzer aus" übertitelt. Ein Google-Sprecher betonte gegenüber t3n.de, es seien keinerlei persönliche Informationen übermittelt worden. Von einer Spionage könnte darum keine Rede sein. Inzwischen hat Google in einer Pressemitteilung ausführlich zur Thematik Stellung genommen:

Das Wall Street Journal verzerrt den Sachverhalt und die Gründe. Wir haben eine bekannte Funktionsweise von Safari eingesetzt, um angemeldeten Google-Nutzern Features bereit zu stellen, die von ihnen zuvor aktiviert wurden. Es ist wichtig zu betonen, dass die angesprochenen Werbe-Cookies keine persönlichen Informationen erfassen.

Anders als andere populäre Browser blockiert Apple´s Safari Browser standardmäßig Cookies von Drittanbietern (“3rd Party Cookies”). Nichtsdestotrotz ermöglicht Safari seinen Nutzern Internet-Features zu nutzen, die von Drittanbietern bereitgestellt werden und auf 3rd Party Cookies angewiesen sind, wie beispielsweise “Like” Buttons. Letztes Jahr haben wir damit begonnen, diese Funktionsweise dafür einzusetzen, dass angemeldeten Google-Nutzern bei Safari personalisierte Anzeigen und andere Inhalte angezeigt werden können - wie beispielsweise die Möglichkeit, “+1” für Dinge zu geben, die sie interessieren.

Um diese Features zu ermöglichen, haben wir eine temporäre Verbindung zwischen Safari-Browsern und Google-Servern hergestellt, um feststellen zu können, ob ein Safari-Nutzer bei Google eingeloggt war und diese Art der Personalisierung zugelassen hat. Dies haben wir derart konzipiert, dass die Information zwischen Safari-Browsern und Google-Servern in anonymer Form erfolgte - und haben damit auf wirksame Weise die persönlichen Informationen der Nutzer von den Inhalten getrennt, die sie im Internet aufgerufen haben.

Der Safari-Browser beinhaltete jedoch eine Funktionsweise, die daraufhin auch das Setzen anderer Google Werbe-Cookies im Browser zulies. Damit haben wir nicht gerechnet, und wir haben jetzt damit begonnen, diese Werbe-Cookies aus Safari-Browsern zu entfernen. Es ist wichtig zu betonen, dass diese Werbe-Cookies keinerlei persönliche Informationen erfassen - genausowenig wie in anderen Browsern.

Nutzer des Internet Explorers, Firefox und Chrome waren von alledem nicht betroffen - ebenso wenig Nutzer sämtlicher Browser (inklusive Safari), die interessenbasierte Anzeigen mit dem Google Anzeigenvorgaben-Manager deaktiviert haben."

Weiterführende Links:

• Google's iPhone Tracking - WSJ
• Path und Foursquare in schlechter Gesellschaft: Viele Apps „spionieren“ - t3n News
• Path-App lädt heimlich dein Adressbuch hoch [UPDATE] - t3n News
• Neue Nutzungsbedingungen: Google sammelt deine Daten bald zentral - t3n News
• Cross-domain cookies/sessions in Safari and all other browsers - Anant Garg

Bildnachweis für die Newsübersicht: Foto: AJC1 / flickr.com, Lizenz: CC-BY-SA