In der Goldgräberstimmung des E-Commerce-Zeitalters sehen viele Unternehmen den Datenschutz als lästiges Ärgernis. Erfolgreiches Internet-Marketing lebt nun mal davon, möglichst viele Informationen über Surfer und Online-Kunden zu sammeln, um Werbung und Verkauf zielgruppengerecht zu optimieren.
Damit das zarte Pflänzchen Online-Business durch solch selbstzerstörerisches Treiben keinen dauerhaften Imageschaden erleidet, wurde 1997 unter Mitwirkung der Internet-Pionierin Esther Dyson und der Electronic Frontier Foundation(EFF) das Gütesiegel Truste (sprich: Trast-i) geschaffen.
Doch die von der Industrie unterstützte Initiative hat wieder einmal Anlass für massive Kritik gegeben. Ein Sicherheitsexperte fand heraus, dass Truste auf seinen Web-Seiten Techniken zum Ausspionieren von Usern einsetzt. Damit verstieß die Organisation gegen die eigenen Datenschutzrichtlinien, die sie sich selbst und den etwa 1000 Mitgliedern auferlegt. Truste-Sprecher Dave Steer sagte, dass ihm die Ironie des Vorfalls durchaus bewusst sei. Er verteidigte seine Organisation jedoch mit dem Hinweis, dass aufgrund der Komplexität der Sicherheitsthematik kein Unternehmen und keine Website 100-prozentige Garantien geben könne. Nach Bekanntwerden des Falls entfernte Truste das Tracking-System innerhalb einer halben Stunde.
Wie sich herausstellte, wollte der Web-Administrator lediglich kontrollieren, welche Seiten wie oft aufgerufen werden. Weil Truste nicht die Mittel zum Programmieren einer eigenen Lösung hat, griff man auf eine umstrittene kostenlose Software von Thecounter. com zurück. Dieses Programm liefert Site-Betreibern einen wöchentlichen Bericht unter anderem darüber, wie viele Zugriffe eine Seite von welchem Browser mit welcher IP-Adresse erhalten hat.
Auch wenn das Tool in der bei Truste eingesetzten Weise keine skandalösen Überwachungsfunktion hatte, zählt es von seinen Anlagen her doch zu den bei Usern unbeliebten Web-Bugs der Kategorie "Meantime Exploit". Dieser Tracking-Trick nutzt bekannte Funktionsweisen des HTTP-Protokolls und kombiniert diese so raffiniert, dass sich im Idealfall ein Profil eines Surfers erzeugen lässt. Im Fall von Thecounter.com wird anstelle eines sichtbaren Besucherzählers ein winziges unsichtbares Ein-Pixel-GIF platziert, das beim Aufruf einer Seite einen versteckten Request an eine ZählerSite schickt. Kehrt der Besucher auf die Seite zurück, wird er wiedererkannt und erneut registriert. Zwar sind es vordergründig relativ harmlose Informationen wie IP-Nummer oder HTTP-Referer, die übertragen werden.
Wenn ein und derselbe Web-Bug allerdings - wie es in der Praxis oft geschieht - auf vielen verschiedenen Sites eingesetzt wird, kann während einer Surfsitzung, für deren Dauer die IP-Adresse der DFÜ-Verbindung identisch ist, ein Zusammenhang aus verschiedenen aufgerufenen Sites hergestellt werden. Füllt der User dann zufällig noch ein präpariertes Formular mit seiner E-Mail-Adresse aus, wird er von da an möglicherweise mit Unmengen unerwünschten Werbe-Mails überhäuft.
Cookies machen die Überwachung von Surfverhalten zwar bequemer, jedoch sind sie gerade deshalb in Verruf geraten und können vom Surfer in den Browser-Einstellungen einfach abgeschaltet werden. Meantime Exploit hingegen nutzt die in jedem Browser vorhandene Caching-Funktion. Bei jedem Seitenabruf verständigen sich Server und Browser über den HTTP-Cache-Control-Header darüber, ob eine Seite bereits lokal vorhanden ist. Falls ja, ist eine Übertragung über das Netzwerk nicht mehr erforderlich. Der Web-Bug zweckentfremdet dieses Verfahren. Für das Caching sendet der Server die Header "Last Modified" und "Etag" und kennzeichnet damit Dokumente beim Client. Würde es sich um ein identisches Dokument auf verschiedenen Servern handeln, wäre eine Aktualitätsüberprüfung hinfällig. Da jedoch beim Tracking auf unterschiedlichen Sites ein und dieselbe GIF-URL verwendet wird, wird bei jedem dieser präparierten Seitenabrufe auch die verräterische Cache-Abfrage durchgeführt.
Immerhin lässt sich dieser Mechanismus - wie die Cookies - unterdrücken. Es genügt dazu, in den Browser-Optionen das Caching auszuschalten. Auch beim Benutzen eines Proxys wird der User-spezifische, "verräterische" Teil der Client-Informationen verschleiert, was die Überwachung mit Meantime Exploit ausschließt. Andererseits birgt die Benutzung eines öffentlichen Proxys die Gefahr, dass der Proxy-Betreiber das Surfverhalten seiner User ausspäht. Wer zumindest halbwegs anonym durchs Web navigieren will, sollte daher Anonymizer-Proxies wie etwa den von Anonymizer.com benutzen.
Das Truste-Logo sorgte bereits vor einigen Wochen für negative Publicity. Damals hatte der Pleite gegangene Online-Spielwarenversender Toysmart - ein Truste-Mitglied - seine Kundendatenbank als Konkursmasse zum Verkauf angeboten.
User-Tracking: So schützen Sie sichDass Surfer beim Bummel durch das Web Spuren verschiedenster Art hinterlassen, hat sich längst herumgesprochen. Für den besorgten User stellt sich zunächst die Frage, welche Art von Informationen sein Browser preisgibt. Im Internet existieren einige Dienste, die die versteckten Botschaften aufdecken. Einer davon findet sich unter http://privacy.net/anonymizer/. Um sich vor Dienstleistern zu schützen, die User-Daten systematisch sammeln und daraus Surf-Profile erzeugen, gibt es eine Reihe von Gegenmaßnahmen, die zumeist in Form von Software-Utilities implementiert werden.
Die umstrittenen Cookies sind grundsätzlich kein Problem mehr, sie lassen sich in jedem Browser deaktiviren. Wer auf die Vorzüge von Cookies wie etwa Personalisierung von Websites nicht verzichten will, sollte den Einsatz eines Cookie-Filters erwägen. Programme wie "Cookie-Crusher 2.6" (http://www.thelimitsoft.com/) ermöglichen sowohl die Überwachung als auch ein intelligentes Management von Cookies. Der selbe Hersteller bietet außerdem mit "Cyber Clean 1.5" ein weiteres nützliches Tool für Internet Explorer und Navigator an.
Große Popularität genießt der "Webwasher 2.1.1" (http://www.webwasher.com/) von Siemens als Anonymisierungs-Tool. Eigentlich erfunden als Werbeblocker, verfügt dieses Programm mittlerweile auch über einen intelligenten Cookie-Filter und die Option, den HTTP-Referrer, also die Weitergabe der URL der zuvor besuchten Website, zu entfernen. Der Webwasher fungiert als lokaler Proxy-Server, das heißt, dass jede Anforderung vom lokalen PC ins Internet den Umweg über die kontrollierende Proxy-Software macht, ebenso wie die Daten aus dem Internet.
Eine zumindest teilweise Anonymisierung gestatten generell alle Proxy-Server, die von vielen Providern angeboten werden. So wird dabei beispielsweise die IP-Adresse verändert weitergegeben.
Anwender, die generell verhindern wollen, dass ihr Browser verräterische Herkunftsinformationen übermittelt, können Anonymisierungs-Proxies verwenden. Die mühsame Arbeit, derartige Anbieter ausfindig zu machen, und die manuelle Konfiguration des Browsers nimmt einem das Tool "Multiproxy" (http://proxy.nikto.net) ab. Das Programm erlaubt die flexible und komfortable Wahl zwischen unzähligen Anonymisierern. Von der Website des Anbieters können die Anwender regelmäßig aktualisierte Proxy-Listen herunterladen und Multiproxy damit aktualisieren.
Völlige Anonymität garantiert keine dieser Maßnahmen. So könnte etwa der Betreiber eines Proxy-Servers verräterische Daten vor der Anonymisierung auslesen. Immerhin erschweren derartige Maßnahmen aber den unzähligen verdeckten Datensammlern die Arbeit.