Der iranische Minister für Telekommunikation machte vergangenen Dezember über die staatliche Nachrichten- agentur eine merkwürdig klingende Ankündigung. Seine Techniker erarbeiten derzeit ein System zur Identifikation aller Internet-Nutzer seines Landes. Damit ist übrigens keine Ausweis-Pflicht in Internetcafés oder etwas Ähnliches gemeint. So bizarr dies zunächst klingen mag: Aufgrund unserer Spuren im Netz kann man uns auch ohne eine Teheraner Erfindung zuordnen.

IP-Adresse

Die bekannteste Spur im Web ist die eigene IP-Adresse. Die meisten Internet-Service-Provider (ISP) vergeben eine dynamische IP-Adresse. Dabei werden die letzten Ziffern etwa alle 24 Stunden ausgetauscht. Wer unsere IP-Adresse erhält, weiß, welchen Internet-Anbieter wir benutzen und in welcher Großstadt oder Region wir wohnen. Beim Selbsttest wurde erkannt, dass ich entweder in Köln oder Leverkusen wohne. Knapp vorbei, allerdings immer noch falsch.

Mein ISP muss diese Zahlenreihe für eine Woche vorhalten und sich merken, wer der dazu passende Anschlussinhaber ist. Rechteinhaber wie Musiklabels, Softwarefirmen oder Filmstudios etc. haben einen zivilrechtlichen Auskunftsanspruch. Früher musste für den Versand von Abmahnungen bei der Teilnahme an einer Internet-Tauschbörse die Anschrift des Täters beim zuständigen Staatsanwalt eingeholt werden. Seit einigen Jahren ist die direkte Anfrage beim Internet-Anbieter möglich. Auch bei strafrechtlichen Delikten kann eindeutig zugeordnet werden, wer innerhalb der letzten 7 Tage eine bestimmte IP-Adresse benutzt hat. Alle Delikte im Alter von 8 Tagen und älter können nicht mehr aufgeklärt werden. Dann muss T-Online & Co. nicht mehr preisgeben, wer hinter der IP-Adresse steckt. Allerdings darf man getrost davon ausgehen, dass die meisten Unternehmen diese Daten für mindestens ein halbes Jahr und länger vorhalten. Schon wegen der Vorratsdatenspeicherung, die nach EU-Vorgaben hierzulande demnächst wieder eingeführt wird. Die Täter stört das kaum, sie benutzen im Internet eine Umleitung (VPN, Proxy oder TOR) und bleiben somit unerkannt.

Web-Analysetools

WordPress-Blogger benutzen recht häufig das kostenlose Webtracking-Tool Jetpack, dieses kommt übrigens auch bei den Stern Stimmen zum Einsatz. Damit kann ich als Blogger schon einiges über die Besucher meiner Seite in Erfahrung bringen. Beispielsweise kann ich daran erkennen, über welche andere Webseite die Besucher zu mir gelangt sind und was sie bei mir angeklickt haben. Manche Suchmaschinen geben zum Teil preis, welche Suchbegriffe von den Surfern eingegeben wurden. Interessant: Wie viele Besucher hatte ich heute oder im Vergleich dazu gestern? Wie viele waren es diese Woche, Monat oder Jahr? Bei der Zusammenfassung kann ich mir auch ansehen, welche Artikel bislang am besten gelaufen sind. Eine ausführliche Analyse der Besucherströme hat übrigens nichts mit der Gier nach Seitenzugriffen zu tun. Wer dauerhaft zu wenig Besucher anlocken kann, schreibt vielleicht einfach über die falschen Themen oder macht andere Fehler. Diese gilt es zu erkennen.

Die Benutzung von Jetpack muss zwingend im Impressum erwähnt werden. In der Datenschutzerklärung muss im Detail angegeben werden, von welchem Unternehmen die Daten außerhalb der Bundesrepublik Deutschland gespeichert und möglicherweise zu anderen Zwecken ausgewertet werden. Wer das nicht tut, kann sich als Seitenbetreiber juristischen Ärger einhandeln. Muster-Datenschutzerklärungen gibt es zum Beispiel hier.

Das perfekte Webanalysetool, welches bei einem großen Leistungsumfang auch den hohen Ansprüchen von Datenschützern gerecht wird, gibt es noch nicht. Entweder die Daten werden bei simplen Anwendungen lokal gespeichert. Oder aber der Hersteller bietet die Webanalyse kostenlos an, damit er an die Daten all seiner Nutzer gelangt. Einer der Anbieter, der nach diesem Verfahren arbeitet, ist Google Analytics.

Google Analytics

Die Installation ist schon einen Tick komplizierter als bei Jetpack. Aber was Google uns (und damit auch sich selbst) an Informationen liefert, ist extrem umfangreich. Google Analytics erhebt folgende Informationen:

• Herkunft der Surfer (Staat und Stadt/Region)
• ist Deutsch, Englisch oder eine andere Sprache auf dem PC bzw. Smartphone eingestellt?
• Betriebssystem (Linux, Windows, Mac OS X) oder Firmware vom Tablet-PC bzw. Smartphone
• welches Gerät kommt zur Anwendung?
• Browser mit Versionsnummer
• welche Add-ons werden in welcher Version verwendet? (Beispiel: Shockwave Flash, Java, JavaScript, Silverlight, Quicktime, Google Talk Plug-in etc.)
• Auflösung des Bildschirms
• wie lange wurden die Artikel durchschnittlich gelesen? Haben sich die Surfer für einen ausführlichen Beitrag genug Zeit genommen?
• Besucherquellen: Suchmaschinen, Facebook, Twitter, verweisende Webseiten etc.
• ging der Besucher innerhalb der Webseite woanders hin, oder hat er sie komplett verlassen?
• welche Dateien wurden heruntergeladen?
• welche Videos wurden angeschaut?
• Kam der Besucher wieder oder besuchte er die Seite nur einmalig? (Feststellung per Cookie)
• wurden Werbebanner angeklickt?
• wurden Produkte verkauft?
• u.v.m.

Wer jetzt einen Schrecken bekommt, den kann ich zumindest teilweise beruhigen. Ja, Google Analytics ist wahnsinnig ausgereift und kann sehr viele Daten erheben und auswerten. Allerdings passiert dies laut Google stets anonymisiert. Rein theoretisch könnte der Suchmaschinenhersteller die IP-Adresse mit dem Cookie und dem Verhalten auf der Webseite verknüpfen. Google tut dies aber (angeblich) nicht. Und man hat als Webseitenbetreiber glücklicherweise keine Möglichkeit, an diese Informationen zu gelangen. Nach eigenen Angaben werden die letzten Ziffern der IP-Adresse einfach abgeschnitten. Was Google mit den ganzen gesammelten Daten tut, weiß nur Google selbst. Da die Mehrheit der Webseiten die Webanalyse mithilfe von Google Analytics durchführt, gibt es keine Möglichkeit, dieser Datenkrake zu entgehen. Wer sich dagegen wehren will, muss JavaScript deaktivieren. Das geht zwar mit allen Browsern recht einfach, dann funktionieren aber auch die meisten Webseiten nicht mehr. Gegen die Wiedererkennung hilft nur, die auf unserer Festplatte abgelegten Cookies zu löschen. Ausführliche Informationen zum Thema Cookies sind hier verfügbar. Wie gesagt: Wenn jemand unsere IP-Adresse speichern kann, so kommt er nur unter den gesetzlichen Vorgaben an unsere Identität. Google weiß also nicht, wer hinter den IP-Adressen steckt.

Weitere Webtracking Tools

Ausführliche Informationen über uns übergeben wir aber nicht nur Google. Wer einen der im Web verfügbaren Anonymitätschecks macht, dürfte staunen. Auch was die Analyse der Seitenbesucher betrifft, gibt es wirklich nichts, was es nicht gibt. Fast 2.000 verschiedene Tracking-Tools sind derzeit bekannt. Facebook kann beispielsweise sehen, wo sich während unseres Aufenthaltes überall unser Mauszeiger aufgehalten hat. Erkannt werden also nicht nur die Klicks, sondern jede Aktivität in unserem Browser. Das klingt krank? Ein wenig ist es das auch. Aber dennoch: Für Verhaltenspsychologen ist es überaus spannend zu wissen, wie man unsere Aufmerksamkeit am effektivsten erreichen kann, ohne uns zu nerven. Ohne umfassende Beobachtung ist keine aussagekräftige Analyse möglich.

Übrigens. Wer wissen will, wie Google uns einschätzt, kann das hier tun. Umso mehr Angaben wir bei diversen Google-Diensten (YouTube, Gmail etc.) gemacht haben, umso detaillierter liegen sie vor. So auch Alter, Geschlecht, Sprachen, Interessen etc. Hier ist der Verlauf der letzten Suchanfragen, sofern man bei Google eingeloggt war. Der Standortverlauf ist übrigens hier verfügbar. Dort kann man sehen, von wo die Google-Dienste in Anspruch genommen wurden. Zieht man die Informationen aller Angebote von Google zusammen und wertet sie aus, so kann man sich ein umfangreiches Bild eines jeden Anwenders machen. Das bringt uns direkt zur nächsten Frage.

Wie kann ich mich dagegen wehren?

Ein gutes Tool zum Schutz gegen zu viel Neugier ist Ghostery. Das gibt es fast für alle bekannten Betriebssysteme und Browser und sogar für Android- und iOS-Nutzer. Das Browser Add-on zeigt nach der Installation oben rechts einen blauen Geist an. Darunter steht eine Ziffer, das ist die Anzahl der momentan verwendeten Webanalyse-Tools einer Webseite. Wer auf den blauen Geist klickt, sieht im Detail, welche Tools gerade in dieser Sekunde versuchen, mich zu belauschen. Bei jedem Eintrag kann man entscheiden, ob man die Analyse deaktivieren will. Ausgeschaltete Tools erscheinen in rot, die aktiven Tools in blau. Wer die Einstellungen verändert, muss die Seite neu laden. Beim nächsten Besuch hat sich Ghostery unsere Vorlieben gemerkt und führt die Blockade automatisch durch.

Für mich persönlich ist die Anwendung von Ghostery sehr heilsam, weil mir damit immer wieder vor Augen geführt wird, wie viele unterschiedliche Tools gerade versuchen, mich zu überwachen. Bitte keinesfalls die Option Ghostrank aktivieren! Im Anschluss werden diverse Daten an den Hersteller weitergeleitet. Evidon kam deswegen in der Vergangenheit ganz schön in Verruf, weil man die so eingesammelten Daten an die ach so bösen Firmen der Werbewirtschaft verkauft hat. Bei 40 Millionen Nutzern gibt es viel zu vermarkten, selbst wenn nur jeder einhundertste Nutzer den Ghostrank aktiviert haben sollte. Doch keine Sorge, die Weitergabe der eigenen Daten erfolgt nicht automatisch. Wer den Ghost-Rank aus lässt, muss keine Weitergabe des eigenen Nutzungsverhaltens befürchten. Zwar wird immer wieder berichtet, Evidon erhebe angeblich immer nur anonymisierte Daten. Im Privacy Statement des Anbieters ist davon aber leider keine Rede.

Amune & Immunity Zone

Diese Lösung ist derzeit noch nicht online. Aber schon bald soll Immunity Zone an den Start gehen. Im Prinzip ist dies ein Browser im Browser. Soll heißen: Nach der Anmeldung bleiben wir zwar in unserem Browser, werden aber über die Server des Schweizer Unternehmens geleitet. Ergo erhalten die Seitenbetreiber alle Informationen von dort, weil wir die Webseite nur indirekt besuchen. Auch die Cookies werden dort und nicht bei uns lokal gespeichert. Das sogenannte Fingerprinting funktioniert nicht mehr, auch können sich keine Drive-by-Trojaner bei uns einnisten. Zudem bleibt die wahre Identität des Seitenbesuchers verborgen.

Der Pferdefuß? Jede Lösung hat einen Haken, so auch diese. Warum? Weil die Schweizer Betreiber ganz genau erfassen können, wo wir uns im Internet aufgehalten haben. Wer damit leben kann, für den wird es eine gute Sache sein. Wer damit ein Problem hat, muss sich allerdings bewusst machen, dass das gleiche Problem bei allen VPN- und Proxy-Anbietern besteht. So ganz ohne Spuren geht es eben noch nicht. Das ist auch der Grund, warum Terroristen oftmals Internet-Cafés in Anspruch nehmen. In dem Fall müssen sie sich keine Sorgen über ihre Spuren machen.

Die Kosten bei Immunity Zone sind dafür mehr als überschaubar. Beim Testaccount wird man monatlich kostenlos bis zu 3 Gigabyte Daten übertragen können. Dafür wird den Nutzern Werbung eingeblendet. Die zahlenden Nutzer müssen sich hingegen keine Werbung anschauen. Für 9 Euro können demnächst bis zu 50 GB pro Monat übertragen werden. Premium-User ganz ohne Datenlimit sollen monatlich 20 Euro bezahlen.

Weitere Informationen zu den Projekten Amune & Immunity Zone sind hier in meinem Artikel bei Netzpiloten.de verfügbar.