Was braucht es, um einen Menschen im Internet zweifelsfrei zu
erkennen? Darauf gibt es mehr Antworten, als vielen Nutzern lieb
ist. In Episode 168 der Auslegungssache beschäftigen sich
c’t-Justiziar Joerg Heidrich und seine Gäste mit den Möglichkeiten
der Identifikation von Nutzern im Internet. Dafür hat Heidrich sich
zwei c’t-Kollegen eingeladen: Jo Bager, Informatiker und seit fast
30 Jahren in der Redaktion, sowie Sylvester Tremmel, Co-Host des
heise-Security-Podcasts „Passwort“
(https://www.heise.de/thema/Passwort_Podcast). Zum Einstieg gibt es
wie immer das Bußgeld der Woche: Die niederländische Aufsicht AP
(https://www.autoriteitpersoonsgegevens.nl/en/current/uber-fined-nearly-825-million-euros-for-automated-driver-blocking)
hat gegen Uber knapp 825 Millionen Euro
(https://www.heise.de/news/Uber-825-Millionen-Euro-Strafe-fuer-zu-schnelles-Entscheiden-11422747.html)
verhängt, weil der Fahrdienstvermittler Fahrerkonten jahrelang
vollautomatisch sperrte, ohne dass dies durch einen Menschen
überprüft wurde. Uber wehrt sich gegen diese Entscheidung, die
eines der höchsten bislang in Europa verhängten Bußgelder
darstellt. Hauptthema des Podcast ist die Frage, wie Nutzer im Netz
erkennbar sind. Rechtlich beginnt dabei alles beim Personenbezug.
Nach der DSGVO genügt es, dass eine Person mittelbar
identifizierbar ist, etwa über eine Online-Kennung. Klassischer
Anknüpfungspunkt ist die IP-Adresse, seit einem Urteil des EuGH
(https://www.heise.de/newsticker/meldung/BGH-bestaetigt-Dynamische-IP-Adressen-sind-personenbezogene-Daten-3714967.html)
auch für Websitebetreiber ein personenbezogenes Datum. Ihre
Aussagekraft und damit auch die Identifizierbarkeit sinkt
allerdings durch die Nutzung von NAT, Mobilfunk und VPNs. Im
Tracking-Alltag, insbesondere im Rahmen von Werbung, spielen
dagegen Cookies, Werbe-IDs und vor allem Logins die Hauptrolle.
Accountkennungen, Single-Sign-on-Token oder gehashte
E-Mail-Adressen verketten Geräte zuverlässiger als probabilistische
Verfahren, wobei Hashing die Daten lediglich pseudonymisiert. Das
Setzen und Auslesen solcher Kennungen im Endgerät ist nach § 25
TDDDG (https://www.gesetze-im-internet.de/ttdsg/__25.html)
grundsätzlich einwilligungsbedürftig. Ganz ohne explizite Kennung
kommt das Browser- und Device-Fingerprinting aus. Es kombiniert
User-Agent, Sprache, Auflösung, Zeitzone, Schriften,
Renderingunterschiede bei Canvas, WebGL oder Audio und viele
weitere Aspekte zu einem oft bemerkenswert eindeutigen Profil. Wie
weit das geht, zeigt AliExpress
(https://www.heise.de/news/AliExpress-trackt-Nutzer-via-unhoerbarem-Audio-Fingerprinting-11424127.html):
Der Shop erzeugte über die Web Audio API ein unhörbares Signal und
vermaß, wie Prozessor, Treiber und Browser es verarbeiten.
Aufgefallen ist das nur, weil bei einem Entwickler die
Bluetooth-Kopfhörer nicht mehr umschalteten, solange ein
AliExpress-Tab offen war. Auch solches passives Auslesen fällt laut
den europäischen Datenschutzbehörden
(https://www.edpb.europa.eu/system/files/documents/2024-10/edpb_guidelines_202302_technical_scope_art_53_eprivacydirective_v2_en_0.pdf)
unter die DSGVO und ist einwilligungsbedürftig. Dass Fingerprinting
boomt, liegt auch an Google
(https://www.heise.de/news/Google-Device-Fingerprinting-ist-okay-10233355.html),
das die Technik seit Anfang 2025 für Werbekunden erlaubt und
zugleich Werbeblocker beschneidet
(https://www.heise.de/news/uBlock-Origin-Die-Abschaltung-von-Manifest-V2-hat-begonnen-9985221.html).
Schutz – mit variierender Effektivität – bieten Browser wie
Firefox, Safari und Brave, die Gerätemerkmale vereinheitlichen oder
verrauschen, sowie Filter im Heimnetz wie Pi-hole
(https://www.heise.de/ratgeber/Adblocker-fuers-Netz-Starthilfe-und-Tipps-zu-Pi-hole-und-AdGuard-Hom
Kommentare (0)
Melde dich an, um einen Kommentar zu schreiben.