Tim Libert hat auf dem 46. Netzpolitischen Abend seine Forschung zu Drittanbieter-Trackern auf einer Million Webseiten vorgestellt. Er hat untersucht, welche Drittanbieter-Dienste über HTTP-Anfragen („Third-Party HTTP Requests“) angefragt werden. Aus diesen Anfragen lassen sich neben der besuchten Adresse auch die IP-Adresse des Nutzers sowie System- und Browserinformationen gewinnen. Mit den Daten können die Drittanbieter die Nutzer analysieren oder sogar eindeutig identifizieren. Die Informationen sind für Werbetreibende, Geheimdienste und Kriminelle von Interesse. All das stelle eine Gefahr für unsere Privatsphäre dar, kritisiert Libert.
Vorgehen und erste Ergebnisse
Für die Analyse hat Libert die Python-Anwendung webXray geschrieben, das auf dem GUI-losen Browser PhantomJS aufbaut. Hiermit lassen sich auch selbst automatisiert Tracker auf Webseiten nachweisen (Anleitung). Libert hat bei der Untersuchung der Top-1-Million-Alexa-Seiten alle Anfragen an Server von Dritten in einer Datenbank gesammelt. Über Whois-Anfragen und „detektivische Arbeit“ hat er auch die Unternehmen hinter diesen Servern abgefragt und in der Datenbank aus über 35 Millionen Anfragen (600 MB, hier) ergänzt (wissenschaftliche Ausarbeitungen hier).
Google sei auf 78 Prozent der Seiten vertreten, Facebook (32 Prozent), Akamai (23 Prozent) und Twitter (18 Prozent) liegen abgeschlagen dahinter. Er sei nun noch auf der Suche nach Interessierten, die seine Ergebnisse visualisieren können und scherzt, dass die Kosten der Untersuchung selbst bisher gering waren:
The companies who are tracking you have a billion dollar to track you – I have 7.50 euro to track them.
Der PhD Candidate an der UPENN und Fellow am Alexander von Humboldt Institut für Internet und Gesellschaft nennt die Google-Cookies, die viele der Top-1-Million-Alexa-Seiten hinterlassen (wollen), auch „Google/NSA Cookies“ und verweist auf die besondere Partnerschaft dahinter. Zudem merkt Libert kritisch an, dass vor allem Nachrichten-Seiten viele Informationen an Dritte herausgeben:
Access to information is surveilled at about five times the normal websites.
Beim Netzpolitischen Abend wünscht sich Libert eine staatliche Regulierung im Bereich Tracking. Technische Lösungen auf Nutzerseite seien nur temporär. Solange da jedoch nichts kommt und solange die Seitenbetreiber die Drittanbieter nicht aussperren, können wir zur Selbsthilfe nur VPN, Adblocker sowie NoScript empfehlen. Auch gibt es Cliqz, einen script-zähmenden Browser aus München.
Drittanbieter bei Gesundheitsthemen und auf chinesischen Webseiten
Libert hat weiterhin herausgefunden, dass 91 Prozent von den untersuchten 80.000 Gesundheitsseiten Informationen an Dritte ausleiten. Unter diesen Informationen sei bei 70 Prozent der Seiten auch die gesuchte Krankheit, die meist im Klartext in der URL enthalten und damit für Dritte sichtbar ist.
Auch sei er an der Frage interessiert, ob sich staatliche Akteure auf den Top-500 Webseiten in China tummeln. Jedoch finden sich nur auf vier Prozent der Seiten Anfragen, die direkt auf die chinesische Regierung zurückgeführt werden können. Allerdings bestehen dort durchaus staatliche Verträge mit Dienstleistern wie dem „Public-Opinion“-Unternehmen „Webterren“, dessen Tracker auf vielen Seiten lauern. Eigentlich sei es wie im Westen: Hauptsächlich leiten auch die chinesischen Webseiten Informationen an kommerzielle Drittanbieter weiter. Darunter sind dort vor allem Unternehmen wie Alibaba, Baidu, Tencent und Google – Analytics ist in China absichtlich nicht blockiert und unverschlüsselt, welch ein Glück. Es könnte durchaus sein, dass sich die chinesische Regierung Zugriff auf deren Datensammlungen verschafft. Ein solches Verfahren erinnert Libert an die NSA/Google Cookies – für weitere Details hoffe er auf einen „Snowden from China“.
Hier ist die Aufzeichnung des Vortrags vom Netzpolitischen Abend – „Web Scale Analysis of Third-Party Tracking with webXray: Techniques and Findings“.
[Update 18:00 Uhr: Wegen Hinweisen auf einen Tracker von doubleclick haben wir den Urheber, das eingebettete YouTube-Video, von unserer Seite entfernt. Doubleclick hat sich wohl auch nicht durch den „privacy-enhanced mode“ von YouTube beirren lassen.]