2 Beiträge kategorisiert in "Sicherheit"

14. November 09

Datenschutz fördern: Opt-Out für Web Analytics Tracking-Codes

Fortwährend eine brennende Frage ist die juristische Situation beim Einsatz von Web Analytics Systemen wie Google Analytics auf der eigenen Website – ich habe bereits mehrmals auf diesem Blog darüber berichtet. Die Meinungen zu dieser Thematik gehen von „verboten“ über „riskant“ bis „problemlos“ weit auseinander. In Deutschland sind sich selbst die Gerichte uneins. Je nach Amtsgericht ist die Speicherung der IP-Adresse – darum geht’s schlussendlich – einmal personenbezogen und daher ohne vorgängige Einwilligung des Nutzers untersagt (Amtsgericht Berlin Mitte) oder aber erlaubt (Amtsgericht München). Der Entscheid eines höheren Gerichts steht noch aus, derweil in der Praxis wie bereits in den letzten 15 Jahren (!) IP-Adressen ausser in Analytics-Systemen vor allem auch in Server-Logfiles weiter gespeichert werden – das kümmert allerdings in der aktuellen Diskussion kein Jurist oder Gericht.

Mein Votum in diesem Thema appelliert an die Vernunft und das gemeinsame Wohlwollen von Websitebetreibern und Nutzern. Gespeicherte IP-Adressen können ausser von Internet Service Providern und dem Staat nicht eindeutig einer Person zugeordnet werden – von ganz seltenen und aussergewöhnlichen Fällen mal abgesehen. Dennoch möchten einige Website-Besucher sehr vorsichtig mit ihren Web-Fussabdrücken umgehen – und diesem Bedürfnis sollte ein seriöser Website-Betreiber Folge leisten. Meine Empfehlung für Website-Betreiber, welche ein Analytics-System einsetzen, lautet daher wie folgt:

  • Datenschutzerklärung kommunizieren: Egal welche Daten man sammelt und was man damit tut, es sollte immer für den Nutzer transparent bleiben. Am sinnvollsten hinterlegt man diese Transparenz in einer Privacy Policy bzw. Datenschutzerklärung auf der Website.
  • Analytics-Daten nicht mit personalisierten Informationen verknüpfen: Obwohl die Verknüpfung vielfach interessant wäre, ist dies ohne explizite Einwilligung des Nutzers nicht legal.
  • „Opt-in-Verfahren“ bei Übermittlung persönlicher Daten: Sobald persönliche Daten wie Name, Adresse, E-Mail-Adresse etc. zum Beispiel über ein Kontaktformular oder eine Anmeldung gesammelt und anschließend gespeichert werden, sollte der Besucher um explizite Erlaubnis (Opt-in-Verfahren) zur Speicherung dieser Daten gefragt werden.
  • Ort der Datenspeicherung beachten: Wer die Speicherung der Daten nicht intern betreibt, sondern bei einem Web Analytics-Anbieter als Software as a Service (SaaS) bezieht, sollte sich über den Standort des Datencenters im Klaren sein. Werden die Daten durch den Drittanbieter innerhalb eines europäischen Landes gespeichert, kann man davon ausgehen, dass der Anbieter ähnlichen gesetzlichen Bedingungen unterliegt wie man selbst. Anbieter wie Nedstat, Yahoo oder Webtrekk speichern z.B. die Nutzungsdaten in einem europäischen Land.
  • Option zur Abschaltung des Trackings bieten: Ebenfalls ein faires Verhalten ist es, dem Besucher anzubieten, dass sein Nutzungsverhalten überhaupt nicht gespeichert wird. Bei so einem Opt-out-Verfahren kann der Besucher mittels Deaktivieren einer Check-Box das Tracking abschalten – seine Einstellung wird dabei in einem Cookie gespeichert.

Den letzten Punkt finde ich ganz wichtig und eindrücklich, um dem Besucher zu demonstrieren, dass wirklich ein Wohlwollen seitens des Website-Betreibers besteht. Überdies bin ich überzeugt, dass nur ganz wenige Nutzer von einer solchen Option Gebrauch machen werden (auch dies liesse sich übrigens tracken) – allein die Möglichkeit schafft aber schon sehr viel Vertrauen. Auf diesem Blog besteht übrigens ebenfalls die Möglichkeit, das Tracking via Google Analytics auf Wunsch zu unterbinden. Die Einstellungen werden in einem Cookie gespeichert, so dass ab der Folgeseiten oder beim nächsten Besuch bis auf Widerruf keine Nutzungsdaten des betreffenden Besuchers mehr an Google Analytics gesendet werden.

GoogleAnalyticsAbschalten 
Manche Web Analytics-Systeme bieten solche Opt-Out Funktionen für Ihre Produkte bereits an. Andere – darunter auch bei Google Analytics – kennen eine solche Funktion noch nicht. Allerdings kann man mit ein paar Zeilen JavaScript-Code so etwas recht einfach implementieren. Folgender Code-Ausschnitt zeigt, wie dies für Google Analytics geht. Damit können auch Website-Betreiber welche Google Analytics einsetzen demonstrieren, dass auf Wunsch des Besuchers keine Daten an Google gesendet werden.

<html>
<head>
<script type="text/javascript">

function getCookie(value) {
    var dc = document.cookie;
    var prefix = value + "=";
    var begin = dc.indexOf("; " + prefix);
    if (begin == -1) {
    begin = dc.indexOf(prefix);
    if (begin != 0) return null;
    } else {
    begin += 2;
    }
    var end = document.cookie.indexOf(";", begin);
    if (end == -1) {
    end = dc.length;
    }
    return dc.substring(begin + prefix.length, end);
}


function doGA_Tracking()
{
   var GA_OptOut = getCookie("GA_OptOut");
   if (GA_OptOut && GA_OptOut!=null && GA_OptOut=='true') return false
   else return true;
}

var expdate=new Date();
expdate.setDate(expdate.getDate()+365);

</script>
</head>
<body>


<input type="checkbox" id="GA_OptOut" value="true" onClick="this.checked?document.cookie='GA_OptOut=false;path=/;expires='+expdate.toGMTString()+';':document.cookie='GA_OptOut=true;path=/;expires='+expdate.toGMTString()+';'"> Besuch mit Google Analytics aufzeichnen.<br/>

<script type="text/javascript">
//Wenn neben dem Standard-Tracking-Code (GATC) zusätzlich bei bestimmten Ereignissen, z.B. Klick auf Links, Events oder virtuelle Seitenaufrufe implementiert werden, müssen diese mit untenstehendem Code ergänzt werden (doGA_Tracking()?BESTEHENDER_TRACKINGAUFRUF:'';). Andernfalls würde das Ereignis ein Fehler werfen falls der GATC vom Besucher deaktiviert wird.

//doGA_Tracking()?pageTracker._trackEvent('Links', 'Subscription', 'RSS-Mainfeed'):'';

</script>
<script type="text/javascript">
   var el=document.getElementById('GA_OptOut');
   if (el!=null) el.checked = doGA_Tracking();
</script>


<script type="text/javascript">
   if (doGA_Tracking())
   {
  var gaJsHost = (("https:" == document.location.protocol) ? "
https://ssl." : "http://www.");
  document.write(unescape("%3Cscript src='" + gaJsHost + "google-analytics.com/ga.js' type='text/javascript'%3E%3C/script%3E"));
   }
</script>


<script type="text/javascript">
   if (doGA_Tracking())
   {
  try{
var pageTracker = _gat._getTracker("UA-xxxxxx-x");
pageTracker._trackPageview();
  }
  catch(err) {}
   }
</script>
</body>
</html>

08. November 08

Web Analytics und Sicherheit: Was man über Website-Besucher eigentlich alles auslesen kann

Ein zentraler Teil von Web Analytics Systemen ist die Sammlung der Daten zu Website Besucher. Egal ob ein Web Anlaytics System dahinter steht oder nicht, hinterlassen wir bei jedem Website-Beusch Informationen über uns selbst auf einer Website. Doch was genau wird denn da an Informationen hinterlassen? Genau diese Ungewissheit schürt viele Ängste und Sicherheitsbedenken bei Website-Besuchern und verleitet Gerichte zu voreiligen und nicht ganz nachvollziehbaren Entscheiden (siehe der Diskussion zur Legalität von Google Analytics).

Den Sicherheitsbedenken kann man etwas entgegnen, wenn man genauer anschaut, was für Informationen denn zu einem Websitebesucher ausgelesen werden können. Dazu gehört:

Bei jeden normalen Aufruf einer Website mit jedem Browser:

  • die IP-Adresse
  • Über die IP-Adresse kann der Hostname (meist der Name des ISPs, oder bei grösseren Firmen der Firmenname ersichtlich) ausfindig gemacht werden. Die Aufschlüsslung von IP-Adress zu Hostname kann man sich zum Beispiel bei myip.dk anzeigen lassen
  • Mittels Geo-Datenbanken wie MaxMind oder Hostip kann das Land und unter Umständen die ungefähre Region ausfindig gemacht werden (im Maximalfall das Firmengebäude eines grösseren Unternehmens). Wie dies bei der eigenen IP-Adresse aussieht, zeigt dieses Beispiel.
  • Betriebssystem (Windows, Mac etc. und welche Version), verwendeter Browser (Firefox, Internet Explorer etc und genaue Version davon) sowie Browsersprache (Erfolgt alles über den User Agent)

IP

Wenn JavaScript aktiviert ist (standardmässig) lassen sich zudem folgende Infos auslesen:

  • Installierte Plugins und deren Versionen  (Acrobat Reader, Java, Flash, Silverlight, Media Player ...)
  • Bildschirmauflösung in Pixel sowie Farbtiefe
  • Position und Grösse des aktiven Browserfensters innerhalb des Bildschirms
  • Sämtliche Aktionen des Mauszeigers innerhalb des Browserfensters, z.B. Position des Mauszeigers, Klicks auf eine Button, Link oder innerhalb eines Videos etc.
  • Sämtliche Tastatureingaben des Benutzers innerhalb des Browserfenster (z.B. Texteingabe in ein Formular)
  • Messung der verfügbare Netzwerk Bandbreite wie zum Beispiel mit checkinternetspeed.info (hier allerdings in Java realisiert)

Soweit funktioniert die Datenkollektionsmethode über Page Tags bei Web Analytics Systemen. D.h. die genannten Daten oder wären mit einem Pag Tag eines Web Analytics Systems auslesbar. Darüber hinaus lassen sich maschinell je nach installieretm Plugins (insbesondere ActiveX, Java-Applets) und deren Sicherheitseinstellungen  weitere Systeminformationen auslesen, zum Beispiel:

  • Installierte Soundkarte (über Media Player)
  • Verwendeter CPU
  • usw.

Browserspy zeigt in verscheidenen Beispielen ziemlich interessant, was aus einem System alles möglich und legal ist. Mit Hacks und Ausnützen von Sicherheitslücken insbesondere Plugins wie ActiveX oder Java-Applets wär noch das ein oder andere mehr möglich - das ist dann allerdings illegales Ausspionieren. Bleibt man im legalen Bereich - und etwas anderes werden sich namhafte Web Analytics Hersteller nicht leisten können - werden eigentlich nur Daten gesammelt, welche für die Sicherheit oder für den Datenschutz irrelevant sind. Die persönliche Identifikation eines Benutzer ist so grundsätzliche nicht möglich.

Die einzige Situation, wo ein Benutzer einem Website Betreiber wirklich persönlich bekannt ist, besteht dann, wenn sich dieser irgendwo eingeloggt, wo er seinen Namen und evtl. seine Adresse hinterlassen hat. Dies kann z.B. in einem Self Service Portal eines Telekomanbeiters oder auf eine Site eines Sozialen Netzwerks wie Xing oder Facebook sein, sofern man sich dort registriert hat. In so einem Fall wäre es grundsätzlich für den Betreiber möglich, sämtliche Tätigkeiten auf der betreffenden Website einem bekannten Besucher zuzuordnen. Die Abspreicherung dieser Daten bedarf jedoch dem expliziten Einverständnis durch den Benutzer, z.B. durch Akzeptieren eines entsprechenden Disclaimers (wobei: wer liest den die langen Nutzungsbestimmungen bei der Registrierung für einen Dienst wirklich ganz durch...). Auch über eine Website hinaus besteht von solchen persönlichen Datenablagen ausgehend das Risiko, identifiziert zu werden - zum Beispiel über eingebettete Widgets oder Autologins, wie dies dieser frühere Post über Xing zeigt.

Dies sind aber generelle Sicherheitsrisiken im Internet und haben nichts mehr mit Web Analytics zu tun. Wer also Sicherheitsbedenken hat im Internet: Vorsicht bei der Preisgabe von persönlichen Daten im Internet - und keine Angst vor Web Analytics Page Tags.


Über das Blog | Impressum | Nutzungsbedingungen | Ihren Besuch aufzeichnen [?]


Web Analyticson


Das Buch zum Blog:

  • Buch
    Details zum Buch Buch bei Amazon.de bestellen

Die App zum Blog:

  • iPhone App
    Download

Über den Autor

  • Marco Hassler ist Business Unit Manager und Partner beim IT- und Web-Dienstleister Namics.

    marco.hassler (at) gmail.com

Ethik Code

  • Web Analytics Association Code of Ethics

Twitter Updates

    Web Analytics Fotos

    Web Analytics Association

    • Web Analytics Association