Script-Blocking: warum „vorher“ das ganze Thema ist
Die meisten Banner-Verstöße liegen nicht im Text und nicht in den Knöpfen, sondern in einer Zehntelsekunde: Wenn ein Skript startet, bevor jemand antworten konnte, ist der Rest gleichgültig.
Sobald der Browser eine Skript-Adresse liest, baut der Browser eine Verbindung zu dieser Adresse auf. In diesem Moment erfährt der fremde Server bereits drei Dinge: die IP-Adresse, die aufgerufene Seite und technische Merkmale des Geräts. Das geschieht, bevor auch nur eine Zeile des Skripts ausgeführt wurde.
Der Verstoß liegt nicht im Setzen des Cookies, sondern im Aufbau der Verbindung. Beides passiert vor dem ersten Klick.
Drei Verfahren, ein Ziel
Von der zuverlässigsten zur nachträglichen Lösung
- Umschreiben vor der AusführungDer Blockierer setzt sich an die Stelle, an der der Browser Skripte einliest, und verändert sie: type="text/plain" statt ausführbar. Der Browser sieht dann nur noch Text.
- Kennzeichnung im QuelltextJedes zustimmungspflichtige Skript wird von vornherein als nicht ausführbar eingebunden und trägt eine Kennzeichnung, welchem Zweck es dient.
- Abfangen der NetzwerkaufrufeDie Funktionen, mit denen Skripte Daten senden, werden vorübergehend ersetzt. Hilft gegen Nachzügler, aber nicht gegen den ersten Aufruf.
Der Sonderfall der eingebetteten Inhalte
Ein eingebettetes Video oder eine Karte ist kein Skript, sondern ein Fenster zu einer fremden Seite. Auch dieses Fenster baut beim Laden eine Verbindung auf – und zwar mit denselben Folgen.
Die übliche Lösung ist die Zwei-Klick-Variante: Statt des Fensters erscheint zunächst eine Vorschau mit einem Hinweis, welcher Anbieter dahintersteht. Erst der Klick darauf lädt den Inhalt. Das ist zugleich die deutlichste Form der Einwilligung, weil sie im Moment der Nutzung erfolgt und sich auf genau diesen einen Inhalt bezieht.
Die typischen Lücken
- Der Tag-Manager. Ohne eigene Sperre lädt der Tag-Manager nach, was danach kommt – und umgeht die Blockade von innen.
- Schriftarten von fremden Servern. Sie sehen harmlos aus, übertragen aber dieselbe IP-Adresse wie jedes andere Skript.
- Zählpixel in E-Mails und auf Unterseiten. Die Blockade wirkt nur dort, wo sie eingebunden ist.
- Serverseitige Weitergabe. Wird im Hintergrund gemeldet statt im Browser, greift kein Blockierer – und die Einwilligung ist trotzdem nötig.
Der letzte Punkt verdient besondere Aufmerksamkeit, weil die serverseitige Weitergabe zunimmt. Wenn Messdaten vom eigenen Server aus weitergereicht werden, sieht der Browser nichts Auffälliges – die Pflicht zur Einwilligung entsteht aber nicht durch die Sichtbarkeit im Browser, sondern durch den Zugriff auf das Endgerät und die anschließende Verarbeitung.