Schon im August 2019 hatte Chrome-Chefentwickler Justin Schuh angekündigt, sein Team wolle eine Sammlung von offenen Standards entwickeln, durch die ein „privateres Web“ geschaffen werden solle. Jetzt hat Schuh nachgelegt und erklärt, das Ziel seines Teams sei es, Drittanbieter-Cookies innerhalb der nächsten zwei Jahre obsolet zu machen und ihre Unterstützung durch den Chrome-Browser einzustellen.

Die Sammlung von Vorschlägen, die zu einem Web ohne Tracking-Cookies führen soll, nennt Google die Privacy Sandbox. Das selbsterklärte Ziel des Werbegiganten ist es, die Daten der Nutzerinnen und Nutzer besser zu schützen, aber gleichzeitig Möglichkeiten für zielgerichtete Onlinewerbung offenzulassen. Am Ende sollen Werbetreibende also weiterhin Möglichkeiten haben, den Erfolg ihrer Kampagnen auszuwerten, und Anzeigen an bestimmte Bevölkerungsgruppen auszuspielen – nur sollen einzelne Nutzerinnen oder Nutzer nicht mehr über Website-Grenzen hinweg verfolgt werden können.

Laut Schuh hat Google bereits positives Feedback von anderen Mitgliedern des World Wide Web Consortiums erhalten. „Dieses Feedback und die damit verbundenen Vorschläge anderer Normungsteilnehmer geben uns die Zuversicht, dass Lösungen in diesem Bereich funktionieren können“, erklärt Schuh. Andere sind aber offenbar deutlich weniger begeistert von den Ideen des Chrome-Teams.

Die Electronic Frontier Foundation (EFF) hat sich schon im August mit den Plänen von Google befasst. Einige Vorschläge, etwa die Vergabe eines Budgets für Fingerprinting, begrüßt die digitale Bürgerrechtsorganisation. Beim Fingerprinting werden Browser-API ausgenutzt, um Nutzerinnen und Nutzer eindeutig identifizieren zu können – ganz ohne Cookies. Um den legitimen Einsatz dieser API nicht zu verhindern, schlägt Google daher vor, jeder Website eine bestimmte Anzahl an Zugriffen zu erlauben. Erst nach Überschreitung wird der Zugriff vom Browser unterbunden.

„Unglücklicherweise ist das der Punkt, an dem die guten Sachen enden. Der Rest der Vorschläge von Google reicht von mittelmäßig bis geradezu gefährlich“, schreibt die EFF und bezieht sich dabei unter anderem auf Googles Vorschlag, eine API zur Messung von Konversionen zu schaffen. Der Vorschlag sieht vor, dass der Browser jedes Mal einen Wert in eine Tabelle schreibt, wenn dem User eine Werbung gezeigt wird. Besucht der User dann die Ziel-URL der Werbung, wird dieser Wert an den Werbetreibenden übermittelt.

Die Idee an sich findet die EFF gar nicht mal schlimm, die Organisation kritisiert jedoch, dass Google eine viel zu große Datenmenge pro Werbung zulassen will. So könnte jede ausgespielte Anzeige eine einzigartige Erkennungs-ID erhalten, wodurch einzelne Nutzerinnen und Nutzer am Ende doch wieder gezielt verfolgt werden könnten. Apple hatte zuvor unter dem Namen Ad Click Attribution eine ähnliche Lösung in den Raum gestellt. Apple will jedoch deutlich kürzere IDs verwenden, wodurch eine Erkennung einzelner Surfer kaum möglich wäre.

Da Werbetreibende nicht nur den Erfolg ihrer Anzeigen messen, sondern auch zielgerichtet ihre Werbung ausspielen wollen, hat Google einen Vorschlag namens Federated Learning of Cohorts (FLoC) eingebracht. Der Browser selbst würde anhand des Surfverhaltens die Nutzerinnen oder Nutzer einer bestimmten Gruppe zuordnen, die dann wiederum von der Werbeindustrie als Ziel ausgewählt werden könnte. „Ein FLoC-Name wäre im Wesentlichen ein Verhaltenskredit-Score: eine Tätowierung auf Ihrer digitalen Stirn, die eine prägnante Zusammenfassung darüber gibt, wer Sie sind, was Sie mögen, wohin Sie gehen, was Sie kaufen und mit wem Sie in Verbindung stehen“, so die EFF.

Auch Google hält den eigenen Vorschlag für nicht ganz perfekt. „Websites, die persönliche Daten einer Person kennen (zum Beispiel wenn sich Personen mit ihrer E-Mail-Adresse anmelden), könnten ihre FloC aufzeichnen und offenbaren. Das bedeutet, dass Informationen über die Interessen einer Person letztendlich öffentlich werden können. Dies ist zwar nicht ideal, aber immer noch besser als die heutige Situation, in der persönliche Daten mit einer genauen Browservergangenheit verbunden werden können, die über Cookies von Drittanbietern erhalten wird“, heißt es dazu auf der offiziellen GitHub-Seite des Vorschlags.

Ein weiterer Vorschlag zur Zielgruppenerfassung nennt sich PIGIN (Private Interest Groups, Including Noise). Bei diesem Vorschlag würden Werbetreibende Website-Besucher in bestimmte Interessengruppen einteilen. Anschließend würden diese Daten über eine API im Browser gespeichert – und Nutzerinnen und Nutzer könnten selbst bestimmen, ob sie in eine bestimmte Interessengruppe eingeteilt sein wollen oder nicht. Der Browser soll außerdem sicherstellen, dass die Einteilung sicher genug ist, um nicht die Identität des Users zu verraten. Erst wenn das gewährleistet ist, soll der Browser diese Einteilung wieder an eine Website weiterleiten.

Laut Google würde der Browser beispielsweise prüfen, ob mindestens 1.000 Menschen auf derselben Liste stehen. Außerdem soll er ein Maximum von fünf Interessengruppen an Websites weiterleiten. Die EFF argumentiert jedoch, dass diese Vorgaben nicht ausreichen, um eine persönliche Identifikation zu verhindern. Wie FLoC sei PIGIN am Ende keine Verbesserung im Vergleich zu Drittanbieter-Cookies, da sie „Tracker mit einem massiven neuen Informationsstrom versorgen, den sie nutzen könnten, um ihre eigenen Benutzerprofile zu erstellen oder zu erweitern.“

Ebenfalls interessant:

• Tracking ohne Cookies: So funktioniert Canvas-Fingerprinting
• Cookieless Tracking: Was auf Online-Marketer zukommt
• Firefox 72 ist da: Browser stellt nervigen Benachrichtigungs-Spam ab