Wiedererkennung ohne Cookies
Cookies verschwinden aus den Browsern – die Wiedererkennung nicht. Fingerprinting, Zählpixel und serverseitige Verfahren leisten dasselbe, sind schwerer zu bemerken und unterliegen denselben Regeln.
Die Debatte über das Ende der Drittanbieter-Cookies erweckt den Eindruck, das Nachverfolgen ende mit diesen Cookies. Tatsächlich ist es ausgewichen. Die Nachfolgeverfahren erreichen dasselbe Ziel auf Wegen, die weder im Cookie-Verzeichnis des Browsers auftauchen noch sich durch Löschen beseitigen lassen.
Wie schwer die Verfahren zu bemerken sind
Fingerprinting: der Wiedererkennungswert des Geräts
Jeder Browser verrät beim Aufruf zahlreiche Kleinigkeiten: Bildschirmauflösung, Zeitzone, Spracheinstellung, installierte Schriftarten, Grafikkarte, unterstützte Funktionen. Einzeln ist nichts davon aussagekräftig. Zusammengenommen ergibt sich in vielen Fällen eine Kombination, die nur bei einem einzigen Gerät genau so vorkommt.
Der Unterschied zum Cookie ist grundlegend: Es wird nichts abgelegt. Löschen hilft nicht, weil nichts da ist. Und die Kombination bleibt über Sitzungen hinweg weitgehend stabil.
Zählpixel und die Umgehung über eigene Adressen
Ein Zählpixel ist ein Bild von einem Pixel Größe, das von einem fremden Server geladen wird. Der Abruf selbst ist die Meldung: Übertragen werden IP-Adresse, Zeitpunkt und die Seite, auf der das Bild stand. In E-Mails ist das seit Jahrzehnten die übliche Art, Öffnungen zu zählen.
Eine Steigerung ist das CNAME-Verfahren: Der Messdienst wird über eine Unteradresse der eigenen Domain eingebunden – etwa statistik.beispiel.de. Für den Browser sieht das wie eine eigene Adresse aus, weshalb Sperrlisten und Browserschutz häufig nicht greifen. Rechtlich ändert das nichts: Wer die Daten empfängt, bleibt dieselbe fremde Stelle.
Serverseitige Weitergabe
Beim Server-Side-Tagging meldet nicht mehr der Browser an den Messdienst, sondern der eigene Server. Der Browser spricht nur noch mit der besuchten Seite; was von dort aus weitergegeben wird, ist von außen nicht mehr erkennbar.
Das hat legitime Gründe – weniger Skripte, schnellere Seiten, mehr Kontrolle über die übertragenen Felder. Es verschiebt aber die Prüfbarkeit: Was ein Blockierer im Browser nicht sieht, kann der Blockierer nicht anhalten, und was ein Prüfer im Netzwerkprotokoll nicht sieht, muss der Prüfer dem Betreiber glauben.
Die Erlaubnispflicht knüpft an den Zugriff auf das Gerät, nicht an die Art der Ablage. Ein Verfahren wird nicht dadurch zulässig, dass es schwerer zu entdecken ist.
Für eine Bestandsaufnahme folgt daraus, dass eine reine Cookie-Liste zu kurz greift. Vollständig wird sie erst, wenn sie neben Cookies auch Local Storage, eingebettete Inhalte, Pixel, Unteradressen fremder Dienste und serverseitige Weitergaben erfasst – letztere lassen sich nur intern feststellen, nicht durch Prüfung von außen.