Cookies, Speicher und Tracking nach dem Ende der Drittanbieter-Cookies
Cookies waren der ursprüngliche Weg, einen wiederkehrenden Browser zu erkennen, und zwanzig Jahre lang reichten sie aus. Die Änderungen, die Browser daran vorgenommen haben, erklären, warum Fingerprinting wieder interessant wurde.
Erstanbieter und Drittanbieter
Ein Erstanbieter-Cookie wird von der Website in der Adressleiste gesetzt. Damit bleiben Sie angemeldet. Ein Drittanbieter-Cookie wird von einer anderen Domain gesetzt, deren Inhalt die Seite eingebettet hat, etwa ein Werbeskript, und diese Domain kann es auf jeder Website lesen, die sie einbettet. Diese zweite Eigenschaft machte websiteübergreifendes Tracking trivial: ein Werbetreibender, ein Cookie, jede Website.
Was sich geändert hat
Safari begann 2017, Drittanbieter-Cookies über Intelligent Tracking Prevention standardmäßig zu blockieren, und verschärfte das mehrfach. Firefox folgte 2019 mit Enhanced Tracking Protection und dann mit Total Cookie Protection, das jeder Website einen eigenen Cookie-Behälter gibt, sodass das Cookie eines Drittanbieters auf einer Website auf einer anderen unsichtbar ist. Chromium führte partitionierte Cookies ein (das Attribut Partitioned, „CHIPS“), damit eingebettete Inhalte Zustand pro Top-Level-Website halten können, und kündigte über mehrere Jahre eine pauschale Abschaffung der Drittanbieter-Cookies an, verschob sie und rückte schließlich davon ab, um stattdessen auf die Wahl der Nutzer zu setzen.
Praktisch heißt das: Websiteübergreifendes Tracking per Cookie ist in Safari und Firefox unzuverlässig und in Chromium zunehmend partitioniert. Das ist gut für die Privatsphäre und hat Tracker zu den Signalen gedrängt, die gar keinen Speicher brauchen.
Anderer Speicher
localStorage, IndexedDB und die Cache API sind von Natur aus Erstanbieter-Speicher; sie gehören dem Origin, der sie geschrieben hat, und sind inzwischen in allen großen Browsern nach Top-Level-Website partitioniert, sodass sie nicht wie die alten Drittanbieter-Cookies als websiteübergreifende Kennungen taugen. ETag- und Cache-basierte Tracking-Tricks gibt es, aber sie sind fragil und weitgehend entschärft.
Warum Fingerprinting die Lücke füllt
Ein Fingerprint braucht keinen Speicher. Er wird bei jedem Besuch aus den eigenen Eigenschaften des Browsers neu berechnet, sodass das Löschen von Cookies ihn nicht zurücksetzt und Partitionierung ihn nicht isoliert. Das ist sein Reiz für Tracker und seine Gefahr für alle, die „Websitedaten löschen“ für einen sauberen Neuanfang hielten. Auch die Gegenmaßnahmen sind andere: nicht den Speicher blockieren, sondern die Vielfalt dessen verringern, was eine Seite auslesen kann, wofür die Reduzierung des User-Agents, Canvas-Rauschen und Renderer-Maskierung da sind.
Was eine Diagnose zeigen kann
Eine Seite kann melden, ob Cookies aktiviert sind und ob der Do-Not-Track-Header gesetzt ist (ein Signal, das fast keine Website beachtet, weshalb Browser es zugunsten von Global Privacy Control entfernen). Sie kann keine Cookies anderer Websites lesen, und eine vertrauenswürdige Diagnose setzt selbst keine. PowerScan läuft ohne Cookies, ohne Speicher und ohne Kennungen, was Sie in den Entwicklertools des Browsers überprüfen können: Der Speicherbereich der Website ist nach einem Scan leer.
Was Isolierung heute bedeutet
Wer Accounts getrennt halten will, für den sind Cookies der leichte Teil: Getrennte Profile haben getrennte Cookie-Behälter. Der schwierige Teil ist der Fingerprint, denn zwei Profile auf demselben Rechner mit demselben Browser teilen jedes Hardware- und Rendering-Signal, sofern der Browser sie nicht verändert. Das ist das Thema des nächsten Artikels.
PowerOps
