rss feed articles activities all_comments

indeedgeek.de

Florian Eitel

Analysieren oder Aushorchen

Wieviel Benutzertracking ist vertretbar?

Von der einfachen Apache-Logdatei bis hin zum KiloByte großen Javascript: Auf keiner Webseite darf heute ein Benutzertracking fehlen. Doch gleichzeitig wird das mutmaßliche Ausspionieren der Nutzer oft kritisiert. Ich habe mir in letzter Zeit etwas Gedanken dazu gemacht wie ich das richtig umsetzen könnte.

Warum überhaupt Gedanken machen?

Aber bei deinen 3 User kannst du dir das doch auch sparen! – Jupp, stimmt. Aber ich hatte zwei Gründe mir das trotzdem anzuschauen: Zum einen fehlt mir eine zentrale Software um auch diesen Service auf indeedgeek.de anbieten zu können. Nicht das ich es unbedingt brauche aber das aktuelle Setup ist nicht so ganz zufrieden stellend und ich hatte mal wieder Lust zu basteln (because we can ^^). Zum anderen mach ich mir (wenn auch recht selten) die Mühe selbst Inhalt zu produzieren. Es gibt meist wenig Feedback, von daher denke ich, es lesen bestenfalls eine Hand voll Leute mit. Aber ich hab keine Ahnung wie viele wirklich. Deshalb ist es denke ich auch interessant für wie viele Leute man sich die Mühe macht.

Du hattest schon ein Setup, warum habe ich davon nichts bemerkt? – Ich hatte nicht direkt ein Benutzertracking. Ich habe die Apache-Logfiles mit awstats ausgewertet und habe so ein paar wenige Informationen herausziehen können. Aber sonderlich interessant war das nicht. Aber ich musste nichts dafür tun. Für jede Domain wurden alle Zugriffe automatisch in die jeweiligen Graphen überführt.

Na also und was soll dann der Post? Wenn awstats nicht reicht, Google Analytics kann doch fast alles! – Es gibt laut deutschem Datenschutz gewisse Bedenken, was man von Usern gefragt/ungefragt speichern lassen darf oder eben nicht. Die IP-Adresse ist so etwas, was oftmals in dem Zusammenhang genannt wird. Nicht dass ich dem sonderlich viel Bedeutung zukommen lassen würde aber ein Blick in Richtung Datenschutz ist sicher angebracht. Ich habe mir einige Überlegungen dazu gemacht:

Zum einen geht es gar nicht, dass man eine externe Seite für das Tracking einbindet. Wenn ein User auf meine Webseite geht, dann weiß ich als Statistikbetreiber ah, da war ein User. Wenn Google das macht, weiß es das nicht nur von einer Domain sondern von wirklich vielen und kann so annähernd vollständig sagen, welche Seiten ich besucht habe. Und das ohne, dass ich als Benutzer etwas davon mit bekommen würde.

Zudem ist mein Browser so eingestellt, dass er nur Javascript der selben Seite zulässt. Wenn ich nun feitel.indeedgeek.de aufrufe dann wird auch nur Javascript von dieser Domain nachgeladen. Eine Javascript Datei die bei Google liegt, würde wird so erst gar nicht ausgeführt. Das hat weniger was mit Tracking als mit Sicherheit zu tun. Ich muss die Scripte somit erst bestätigen.

Aber bekannte Seiten wie Google Analytics sind oftmals durch Werbeblocker ohnehin ausgesperrt und so wird das Bild der Benutzer sehr verfälscht. Zudem versuchen fast alle Tracking-Dienste Cookies zu setzen. Auch bei diesen wird bei mir erst nachgefragt, ob ich das Cookie akzeptieren möchte oder nur für diese Sitzung beziehungsweise gar nicht erlauben. Wobei auch hier Cookies von dritten Seiten komplett verboten sind. Ganz verboten sind bei mir Tracker die über Flash arbeiten, da ich es hasse wenn überall Flash Animationen und Sound und Videos ohne mein Zutun spielen. Deshalb muss ich auch jedes Flash Element durch Klick bestätigen.

Demnach versagen bei mir (denke ich) so ziemlich die meisten Tracker. Das hört sich vielleicht restriktiv an, allerdings sind die benutzten Addons (in meinem Fall für Firefox NoScript, FlashBlock, AdBlock und normale Einstellungen) denke ich einigermaßen weit verbreitet. Ich betreibe den ganzen Aufwand auch nicht weil ich nicht getracked werden will, sondern weil es mir teilweise zu riskant ist. Wer schon einmal ungewollte Facebook-Pinwandeinträge hatte wird wissen wovon ich spreche. Zudem möchte ich einfach weniger Animationen und Werbung haben.

Was ist erlaubt?

Äh ok, aber was ist dann überhaupt noch erlaubt? – Ich erlaube Cookies bis auf Außnamen für eine Session. Somit werden die meisten Cookies gelöscht wenn ich den Browser schließe. So lange bin ich allerdings identifizierbar. Auch javascript wird bei mir von der selben Domain erlaubt. Somit komme ich auch zu meinen Anforderungen:

Die Daten müssen bei mir liegen. Das ist wohl der wichtigste Punkt. Ich möchte keinem Benutzer zumuten, dass er von anderen Diesten getracked wird nur weil er meine Seite besucht. Das betrifft nicht nur das einbinden von expliziter Tracking-Software sondern generell jeglicher Content der von externen Seiten nachgeladen wird. Deshalb ist zum Beispiel auch mein Flattr Button seit kurzem so modifiziert, dass er erst den Button von Flattr lädt nachdem man einmal drauf geklickt hat. Ansonsten weiß Flattr nichts von dem Besucher. Das ist für mich neben einem Sicherheitsgefühl – wenn nicht Javascript von merkwürdigen Domains nachgeladen wird – auch damit zu tun, dass User bei mir nicht selbst Blocken müssen wenn sie irgendwo nicht erfasst werden wollen.

Zudem möchte ich Cookies auf meine eigene Domain beschränken. Das ist ein Punkt bei dem ich noch etwas unschlüssig bin ob ich überhaupt Cookies setzen soll. Allerdings weiß ich gerade nicht wie ich sie abschalte. Ich setze allerdings nur noch Session-Cookies. Das erscheint mir gerade als brauchbarer Kompromiss da diese nach dem Schließen des Browsers gelöscht werden.

Ich möchte nur die relevanten Daten speichern. Allerdings ist es schwer festzustellen was relevant ist. Viele Tracker speichern alles was sie bekommen können – Die Version des Java Plugins, die Bildschirmauflösung etc. Aktuell habe ich beschlossen erst einmal alles zu speichern. Sicherlich könnte man sich die relevanten Felder heraus picken aber mein Tracker bietet dies noch nicht an und die Änderungen sind mir etwas zu umfangreich. Ich finde die Daten einzeln nicht sonderlich kritisch. Bedenklich finde ich hierbei, dass sich durch die Vielzahl der Daten ein guter Fingerabdruck des Browsers erstellen lässt. Testen kann man dies schön mit dem Tool panopticlick welches eben diesen Fingerabdruck erstellt und vergleicht. Mein Browser ist hierbei zum Beispiel eindeutig unter den bisher 1.6 Millionen getesteten Konfigurationen. Ich finde es allerdings erst einmal akzeptabel die Daten vorübergehend anonym zu erheben und für statistische Zwecke auf eigenen Servern auszuwerten. Bei wirklich kritischen Daten wie die IP werden allerdings die letzten Bits abgeschnitten um so gerade diesem kritischen Punkt nach zu kommen. Zudem wird nicht die genaue Version von zum Beispiel Java gespeichert sondern nur ob es aktiviert ist oder nicht.

Tracking ablehnen

Und wenn ich jetzt nicht getracked werden möchte bleibt nur der Griff zum Blocker? – So war es zumindest bisher. Manche Seiten bieten noch eine Möglichkeit in den Datenschutzbedingungen das Tracken für diese Seite zu deaktivieren. Aber sonderlich komfortabel ist dies nicht wenn man erst bei jeder Seite in die Datenschutzbedingungen schauen muss. Aber wichtig finde ich es, dass es solche eine solche Erklärung gibt und man dort auch vor allem erklärt was man wie lange speichert. Da sich keiner so ein Text durchlesen möchte finde ich die Idee super dies wie bei Creative-Commons-Lizenzen auch über Bildchen zu erklären. Hier gab es mal einen schönen Vorschlag dazu der allerdings nie weite Verbreitung erlangt hat. Ich habe auch mal mein Glück versucht und erklärt was ich speichere. Und zudem existiert bei mir die Möglichkeit das Tracking manuell zu unterbinden.

Um aber automatisch zu signalisieren, dass man nicht verfolgt werden möchte gab es bisher keine Möglichkeit. Mit Firefox4 hat erstmalig ein Browser die Do-Not-Track Spezifikation implementiert. Hierzu kann man im Browser ein Hacken setzen und dann wird bei jedem Request im Header ein DNT-Feld gesetzt. Dies soll der aufgerufenen Webseite signalisieren, dass man nicht getracked werden möchte. Ich finde die Idee sehr gut auch wenn große Firmen wie Google schon angekündigt haben es nicht zu unterstützen. Ich berücksichtige es auf meiner Seite auch wenn ich den Vorschlag noch nicht ganz zu Ende gedacht empfinde. Ich hätte gerne eine genauere Abstufung was getracked werden darf und was eben nicht. Ein generelles Blockieren finde ich eben nicht immer angebracht.

Was gar nicht geht

Ich empfinde die Transparenz als wichtig. Deshalb halte ich unsichtbare Zählpixel ohne Kennzeichnung für etwas schwierig. Auch Bemühungen Werbeblocker durch umbenennen der Tracker-Files zu verwirren führt nicht zum Ziel. Sowohl der Besucher als auch der Betreiber sollten sich auf einen allgemeinen Konsens einigen in wie weit sie ein Tracking für angebracht halten. Der Besucher möchte natürlich möglichst wenig Preis geben und der Betreiber möglichst viel erfahren. Ich finde Verfahren wie unsichtbare Zählpixel erst einmal nicht so glücklich da sie sich schwer blockieren lassen. Auch wenn dabei nicht so viel Informationen abfallen schadet es ohne weitere Kennzeichnung der Transparenz. Auch der Einsatz von Flash-Cookies halte ich für verwerflich da diese sich schlecht filtern lassen und schwer löschen. Wenn schon Cookies dann sollte man nicht versuchen den User zu “hintergehen” und auf solche hässlichen Techniken setzen. Wirklich bedenklich finde ich Lösungen wie evercookie welches verschiedene Techniken kombiniert um ein angeblich unlöschbares Cookie zu erzeugen. Allein auf so eine absolut schwachsinnige Idee zu kommen halte ich schon für verwerflich. Das Zeug von absoluter Arroganz gegenüber seinen Besucher und würde gerne solche Webseiten komplett blockieren.

Fazit

Folgende Regeln halte ich für akzeptabel:

Ich setze nun seit kurzem als Tracker piwik 1.4 mit ein paar kleinen Anpassungen ein. Für die Übergangszeit verwende ich noch Apache Logs, hoffe aber diese deaktivieren zu können wenn ich mit piwik genug getestet habe. Ich habe mir dazu ein kleinen Script geschrieben welches mir die Anfragen ausgibt, die apache aber nicht piwik gelogged hat. So sehe ich wie weit meine Integration von piwik schon auf allen Seiten ist.

Was meint ihr dazu? Sind euch die Regeln zu restriktiv? Wie gestaltet ihr euer Tracking und seit ihr vielleicht nach diesem Artikel zu einem Überdenken bereit?

Comments:

(howto comment?)

Sehr interessante Sache, speziell das mit dem manuellen OptOut. Was mir persönlich auch sehr wichtig ist, ist die Transparenz zu wissen wann welche Information von mir gespeichert wird. Und wenn ich das nicht möchte, will ich die Option haben, es abzustellen. Da ist dein Blog ein wirkliches Musterbeispiel!

Auf meinem Blog habe ich noch Google Analytics eingebunden, was ich aber (erneut) mal überdenken werde. Piwik (und einige andere mehr) habe ich mir vor längerer Zeit mal angesehen, hat mich aber alles nicht überzeugt. Wie bist du inzwischen zufrieden damit?

Was das Javascript von fremden Seiten nachladen angeht: Dieses Vorgehen macht bei populäreren Projekten wie Jquery oder YU richtig Sinn, da sie dann gecached werden können. Aber ich gebe dir recht: Gebe ich eine URL in der Adresszeile ein, spreche ich ein indirektes Vertrauen für diese Webseite aus, nicht für irgend eine andere Seite.