Neue Techniken sollen die Third-Party-Cookies ersetzen. Im Frühjahr will der Konzern mit ersten öffentlichen Tests beginnen.

Die Zeit drängt: Im Januar 2020 hat Google das Ende von Third-Party-Cookies innerhalb von zwei Jahren angekündigt. Ab März will der Konzern die neuen Techniken für personalisierte Werbung im Browser Chrome testen. Der Konzern geht auf einem schmalen Grat – britische Marktwächter haben bereits eine Untersuchung eingeleitet.

Standard-Diskussionen
Um die neuen Techniken einzuführen, ohne in den Verdacht des Monopolmissbrauchs zu kommen, hat Google die Suche nach den Cookie-Nachfolgern in die Gremien der Web-Standardisierungsorganisation W3C eingebracht. Es geht dabei nicht um eine simple Ablösung der Cookie-Technik, sondern um die Einführung einer ganzen Reihe von Techniken, die die gezielte Werbeausspielung ermöglichen sollen, ohne die Privatsphäre der Nutzer komplett über Bord zu werfen.

Teil des "Privacy Sandbox" genannten Maßnahmenbündels ist das Federated Learning Of Cohorts- kurz: FloC. Bisher werden Cookies im Browser abgelegt, die dann von Werbenetzwerken genutzt werden, um persönliche Profile zu erstellen und darauf basierende Werbung auszuspielen. Mit dem neuen System soll das Targeting in den Browser verlagert werden. Hierbei wird die Browser-Historie direkt auf dem Rechner der Nutzer verarbeitet, um sie anschließend in Gruppen mit gemeinsamen Interessen zusammenzuführen. Werbekunden und Netzwerke könnten dann nicht mehr auf einzelne Nutzeridentitäten zugreifen, sondern nur noch die Gruppe als Ganzes adressieren.

Werbe-Auktionen neu aufgelegt
Ein weiterer Vorschlag Googles versucht die Echtzeit-Werbeauktionen des Programmatic Advertising zu reformieren. Hierzu hatte Google bereits im vergangenen Sommer das Konzept Turtledove vorgestellt. Auch hier soll ein Teil des Biet-Prozesses in den Browser verlegt werden, sodass weniger Daten an die Werbenetzwerke fließen. Entgegen der ersten Version des Konzepts sollen nun "Trusted Server" mehr Daten über die Auktionen vorhalten.

Ein wesentlicher Aspekt des Vorschlags: Zukünftig soll den Publishern eine größere Rolle im Bietprozess eingeräumt werden, sodass sie Werbung aufgrund der selbst erhobenen Daten und dem Wissen über die eigenen Inhalte zuteilen können. Gelöst wird dies mit einer zweigleisigen Auktion, bei der die Website-Betreiber ein Vorgriffs-Recht haben. Das Konzept heißt nun First Locally-Executed Decision over Groups experiment – kurz Fledge. Hinzu kommen noch diverse andere Vorschläge, die etwa Werbebetrug verhindern und die Erfolgskontrolle von Werbung ermöglichen sollen.

Mit Chrome 89 beginnt der Praxistest
Erste Experimente zeigten, dass die neuen Techniken "fast so effektiv sind wie Cookie-basierte Ansätze" sind, schreibt die zuständige Google-Managerin Chetna Bindra in einem Blogbeitrag. Nun sollen die Tests in die Breite gehen. Im März soll mit der Veröffentlichung von Chrome 89 das FloC-Konzept erstmal bei Nutzern in der Praxis erprobt werden, Fledge soll im Laufe des Jahres folgen.

Google betont, dass auch externe Entwickler Zugang zu den "Origin"-Experimenten haben werden, um den beim W3C konkurrierenden Vorschlägen ebenfalls eine Chance zu geben, ihre Praxistauglichkeit zu beweisen. Das Misstrauen in der Adtech-Branche ist groß, dass der größte Werbekonzern der Welt noch mehr Macht an sich reißen könnte.

Hatte Google im vergangenen Jahr immer neue Maßnahmen ergriffen, um das Tracking von Nutzern einzuschränken, wird mit Chrome 89 auch der gegenteilige Weg eingeschlagen: Domaineignern soll ermöglicht werden, mehrere Domains als "First Party Sets" zusammenzufassen, sodass die Daten einer Website auch auf anderen Websites abgerufen werden können – etwa um sich gleichzeitig bei allen Zeitungen eines Verlags einzuloggen. Dies würde aber auch das seitenübergreifende Tracking vereinfachen.

Marktaufsicht ist misstrauisch
Auch Kartellwächter sind alarmiert: So hat die britische Aufsichtsbehörde Competition and Markets Authority (CMA) Anfang Januar bereits eine offizielle Untersuchung begonnen. "Wie die CMA in einer Marktstudie festgestellt hat, werden wie Vorschläge in Googles Privacy Sandbox signifikante Auswirkungen auf Verlage und den Markt für Onlinewerbung haben", erklärt Behördenchefin Andrea Coscelli. Zwar habe man noch kein Urteil gebildet, ob die Vorschläge Googles gegen das Wettbewerbsrecht verstoßen, aber die Behörden wollen diesmal nicht erst tätig werden, wenn das neue System bereits weltweit eingeführt ist.

An der Untersuchung ist auch die britische Datenaufsichtsbehörde ICO beteiligt, die die Praxis des Programmatic Advertsings im Jahr 2019 zwar als rechtswidrig eingestuft, aber letztlich keine durchgreifenden Maßnahmen zur Herstellung eines legalen Werbemarktes ergriffen hatte. Auch die Electronic Frontier Foundation hatte sich kritisch zu den Vorschlägen der Privacy Box geäußert.

Quelle: Onlinewerbung: Google testet Cookie-Nachfolger | heise online

Googles Cookie-Ausstieg: Streit um "Tracking light"

Google versucht zielgruppengenaue Werbung ohne Eingriffe in die Privatsphäre zu ermöglichen. Doch inzwischen hat der Konzern alle Seiten gegen sich aufgebracht.

Es klang zunächst wie ein harmloses Update zum Projekt "Privacy Sandbox", das Google-Manager David Temkin Anfang März im Blog des Konzerns veröffentlichte. Er bekräftigte die Ankündigung Googles, aus dem Geschäft mit Third-Party-Cookies auszusteigen, und das Ziel des Konzerns, mit seinem Anzeigengeschäft die Finanzierung des "offenen Internets" weiter sicherzustellen.

Dann jedoch wechselte Temkin die Tonart: "Heute stellen wir explizit klar, dass wir nicht planen, alternative Identifikationslösungen aufzubauen, die dazu genutzt werden können, individuelle Nutzer quer durch das Netz zu tracken, sobald die Third Party Cookies verschwunden sind." Mehr noch: "Wir werden solche Identifikationslösungen auch nicht in unseren eigenen Werbeprodukten verwenden."

Diese Richtungsentscheidung wurde in der Werbeindustrie wie eine Kriegserklärung aufgefasst. Branchenmedien wie Adweek sahen in der Ankündigung eine klare Absage an Branchenlösungen wie Unified ID, die in den vergangenen Monaten an Popularität gewonnen hatten. Viele Adtech-Anbieter und damit auch viele Medienunternehmen fühlten sich durch Googles Schritt provoziert.

Der deutsche Zeitungsverlegerverband BDZV reagierte harsch: "Jetzt bewahrheitet sich, wovor kleinere digitale Unternehmen seit Jahren gewarnt haben: Dass Google aufgrund seiner Marktmacht nicht mehr auf Cookies angewiesen ist." Der Konzern sammle über Chrome und andere Produkte so viele Daten, dass er andere Tracking-Lösungen nicht mehr für nötig erachte. "So kann Google personenbezogene Werbung ('Behavioral Advertising') viel ausgefeilter als alle anderen Marktteilnehmer zum eigenen Vorteil nutzen und damit viel Geld verdienen", erklärte der Verlegerverband. Auch die Organisation der Mediaagenturen kritisierte den Vorstoß harsch: "Mit Sandbox setzt Google einen weiteren Baustein seines Plans um, das global dominierende Betriebssystem für den Werbemarkt zu werden."

Publikum unter Beobachtung
Um den Streit zu verstehen, muss man den Werbemarkt als Ganzes betrachten. Ein immer größerer Teil der Online-Werbung wird über Echtzeitmarktplätze des Programmatic Advertising verteilt. Ziel sind Nutzer mit einem passenden Werbeprofil. Dazu wertet eine Vielzahl von Werbenetzwerken mithilfe von Cookies aus, auf welchen Webseiten sich Nutzer welche Inhalte ansehen – und zieht daraus Rückschlüsse über Alter, Geschlecht, Einkommenssituation, Hobbies und vieles mehr. Die Cookies waren bisher ein wesentlicher Teil des "Predictive Behavioral Advertising".

In der Folge wirken Tracking-Blockaden wie in Mozillas Firefox heute bereits wie Adblocker: Zwar lässt der Browser Werbung durch, aber ohne entsprechende Datenprofile bleiben viele Werbeplätze leer. Ohne Third-Party-Cookies wird es zwar nicht unmöglich, solche Werbeprofile anzulegen, aber deutlich schwieriger.

Im Zuge der Initiative "Privacy Sandbox" hat Google im Standardisierungsgremium W3C mehrere Vorschläge unterbreitet, die die Funktionsfähigkeit des Werbemarkts weiter sicherstellen sollen. Die derzeit wichtigsten Konzepte heißen "Federated Learning of Cohorts (FLoC) und Fledge.

Bei FloC geht es darum, dass der Nutzer nicht mehr individuell erfasst wird, sondern anhand seiner Surfhistorie einer größeren Zielgruppe von idealerweise mehreren Tausend Nutzern zugeordnet wird, die Werber dann für ihre Zuordnung nutzen können. Bei Fledge hingegen können die Verleger selbst ihre Daten über Kunden einbringen, um auf den Werbebörsen die höchsten Auktionserlöse zu erzielen. Beiden Vorschlägen gemein ist, dass die persönlichen Daten der Nutzer – ob diese nun tatsächlich erhoben oder nur abgeleitet sind – nicht mehr bei Werbenetzwerken und Data-Brokern abgelegt werden. Stattdessen spielt der Browser selbst eine zentrale Rolle bei der Zuteilung der Werbung.

"Post cookie" ist nicht "Post Tracking"
Einige Privatsphäre-Forscher erkennen an, dass sich Google durchaus Mühe gegeben hat, Vorschläge zur Achtung der Privatsphäre im Werbegeschäft aufzugreifen. Doch bisher sind Googles Ausführungen nicht konkret genug, um sich ein abschließendes Bild zu machen.

Thorsten Strufe, Professor für praktische IT-Sicherheit am Karlsruher Institut für Technologie, sieht das Konzept insgesamt kritisch. Die bei FLoC eingesetzte sogenannte "k-Anonymität", bei der sich das individuelle Nutzerprofil hinter einer Gruppen-ID verberge, biete keinen ausreichenden Schutz. So könnten beispielsweise repressive Staaten anhand einer Kohortenidentifikation Rückschlüsse daraus ziehen, ob ein Individuum von den Werbealgorithmen beispielsweise als homosexuell eingestuft werde – und dann mit zusätzlichen Tracking-Methoden den Namen ermitteln. Der Plan Googles, die Nutzergewohnheiten direkt im Browser zu messen, sei daher abzulehnen. Die Begründungen, dass dies im Interesse der Nutzer geschehe, sieht Strufe als "Privacy-Hokuspokus".

Auch die Bürgerrechtsorganisation Electronic Frontier Foundation (EFF) lehnt FloC ab. "Statt das Tracking-Geschäft auf eine neue Grundlage zu stellen, sollten wir uns eine Welt vorstellen, die ohne die unzähligen Probleme der zielgerichteten Werbung auskommt", schreibt EFF-Technologe Bennett Cyphers.

Den Kritikern aus der Werbewirtschaft dagegen gehen Googles Vorschläge zu weit. In Hintergrundgesprächen zeigen Vertreter der Werbebranche zwar Bereitschaft, sich auf eine "Post-Cookie-Ära" einzustellen. Sie wollen aber keine tiefgehenden Einschnitte an ihrem bisherigen Geschäftsmodell vornehmen. Ein Dogma der Branche ist, dass zielgerichtete Werbung im Interesse aller ist, der Werbetreibenden, der Werbewirtschaft, der Medien – und auch der Konsumenten. Schließlich seien die kostenlosen Angebote des "offenen Internets" nur so zu finanzieren.

Tracking, das auf Third-Party-Cookies beruht, soll nach ihren Vorstellungen unvermindert weitergehen. Ein Konkurrenzkonzept zu Googles Plänen ist die "Unified ID". Dabei wird das Tracking von Third-Party-Cookies in die First-Party-Cookies verlagert, die nach Googles Plänen weiter erlaubt sein sollten.

Statt kryptischer Cookie-IDs soll Nutzern eine individuelle ID zugewiesen werden, in die auch persönliche Daten wie die E-Mail-Adresse einfließen sollen, wenngleich in abgeleiteter Form. In dem Konzept ist von erhöhter Kontrolle über die eigenen Daten die Rede. So sollen Website-Betreiber nur dann Inhalte ausliefern, wenn die Nutzer ihre Identität ihnen gegenüber bestätigt haben und der Werbeverwendung zustimmen. Im Ergebnis wären aber wohl die gleichen Informationen über die Nutzer verfügbar, die heute beim Targeting anfallen. Ob Google nach der aktuellen Kampfansage Unified ID boykottieren oder in seinem Browser sogar blockieren will, ist derzeit unklar.

Fundamentalopposition wächst
Google folgt bei seiner Privacy-Sandbox-Initiative dem Rezept, das der Konzern bereits bei der Bekämpfung von Werbeblockern getestet hatte: 2016 gründete er eine Industrie-Allianz, die zum Ziel hatte, die Werbeformen zu verbannen, die die Nutzer in Scharen zur Installation von Adblockern verleiteten. Um sein Ziel durchzusetzen, hatte er seine Marktmacht in die Waagschale geworfen und in Chrome einen Adblocker installiert, der allerdings in der Praxis nicht wirklich zum Zuge kommt und nicht unter Kontrolle der Nutzer steht. Der Erfolg war gemischt: Zwar sind zum Beispiel Video-Anzeigen, die ungefragt auf Webseiten losplärren, mittlerweile fast komplett ausgestorben. Aber die Adblocker-Rate konnte die Initiative nicht wesentlich herunterfahren.

Es ist noch nicht abzusehen, ob Google Erfolg hat, weil auch die Parteien lauter werden, die Tracking komplett abschaffen wollen. Apple und Firefox haben lange vor Google angefangen, Werbe-Cookies und -Skripte einzuschränken oder rundheraus zu blockieren. "Es ist ein Fakt, dass ein vernetztes Ökosystem von Firmen und Datenhändlern, von Fake-News-Verbreitern und Spaltern, von Trackern und Profitmachern heute in unserem Leben präsenter ist als jemals zuvor", schimpfte Apple-Chef Tim Cook auf der Privatsphäre-Konferenz CPDP 2021.

16 Mitglieder des Europaparlaments haben sich einer "Tracking-Free Ads Coalition" angeschlossen, die mit der bisherigen Umsetzung der Datenschutz-Grundverordnung unzufrieden ist: Werbetreibende deckten die Nutzer so lange mit unübersichtlichen Cookie-Bannern ein, bis die Mehrheit schließlich der Datenübermittlung zustimmt. Zwar hat die EU-Präsidentschaft von Portugal einen neuen Entwurf der E-Privacy-Verordnung auf den Weg gebracht, der Lösungen wie Unified ID begünstigen würde. Ihm werden allerdings keine allzu großen Chancen eingeräumt.

Eine Wettbewerbsklage, die Texas gemeinsam mit zehn US-Bundesstaaten gegen Google anstrengt, wurde just um die Privacy Sandbox erweitert. Diese führe nicht zu einem Stopp von Profilbildungen und personalisierter Werbung – sie setze vielmehr Googles Browser Chrome ins Zentrum von Tracking und Targeting: "Google versucht, seine wahre Intention hinter dem Privatsphäre-Vorwand zu verstecken." In der Klage ging es auch um angebliche geheime Absprachen zwischen Google und Facebook. So habe Google Facebook laut Anklageschrift "Informations-, Geschwindigkeits- und andere Vorteile" bei Auktionen verschafft, die Google für die mobilen Apps von Verlagen durchführt.

Ein Kompromiss-Angebot?
Innerhalb von zwei Jahren sollen Third-Party-Cookies durch eine Nachfolgelösung abgelöst werden, schrieb der für die Entwicklung von Chrome zuständige Manager Justin Schuh im Januar 2020: Angesichts des Gegenwindes ein ambitionierter Zeitplan. Momentan sieht es nicht so aus, als ob Google bereits eine Lösung gefunden hätte, die allgemein akzeptiert wird.

Quelle: Googles Cookie-Ausstieg: Streit um "Tracking light" | heise online

Nachfolger für Cookie-Tracking: Chrome aktiviert neue FLoC-Technik

Nutzer-Tracking hat im Web Überhand genommen und seit geraumer Zeit gibt es Widerstand auf breiter Front. Google sitzt als Browser- und Werbeanbieter auf mehreren Stühlen und will mit der Privacy Sandbox Werbung und Datenschutz unter einen Hut bringen. Jetzt wurde erstmals die neue FLoC-Technik in Chrome aktiviert.

Das Web ist vielfältig und es gibt natürlich auch jede Menge Bezahldienste, aber ein Großteil der Inhalte ist frei verfügbar und finanziert sich durch Werbung. Soweit so einfach, aber um Werbung möglichst zielgerichtet auszuspielen, gibt es verschiedenste Tracking-Techniken, etwa Drittanbieter-Cookies oder Fingerprinting.

Das Tracking wiederum höhlt die Privatsphäre der Nutzer aus, denn so ziemlich jeder Schritt im Internet lässt sich dann verfolgen und eindeutig zuordnen. Nutzer wehren sich mit Tracking-Schutzmaßnahmen, wie sie zum Beispiel in Firefox oder Tor Browser stecken.

Google ist das ein Dorn im Auge, denn Geld wird nicht mit Chrome verdient, sondern mit Werbung. Schon länger arbeitet Google deshalb daran, Drittanbieter-Cookies abzusägen, aber trotzdem zielgerichtete Werbung zu ermöglichen. Jetzt ist ein erster Test gestartet.

FLoC soll Datenschutz und Werbung ermöglichen
Schutz der Privatsphäre und zielgerichtete Werbung schließen sich im Web bisher aus. Mit der Privacy Sandbox will Google aber genau das möglich machen. Unter dem Schlagwort will Google einen Werkzeugkasten entwickeln, der invasives Tracking über Third-Party-Cookies oder Fingerprinting einen Riegel vorschiebt, aber gleichzeitig zielgerichtete Werbung erlaubt.

Was das technisch bedeutet, können einige Nutzer in Chrome jetzt sehen. Eine neue Origin-Trial schaltet für einen Teil der Chrome-Nutzer FLoC frei. FLoC steht für Federated Learning of Cohorts und verfolgt folgende Idee: Was Nutzer im Browser machen, wird nur lokal auf dem System nachverfolgt. Anhand der erfassten Interessen landet man in einer Nutzergruppe, der sogenannten Kohorte, die sich zum Beispiel für Sport, Gesundheit und Musik interessieren. Jede Kohorte hat eine ID, die dann mit Werbeanbietern geteilt wird. Jede Woche werden die Interessen aufs Neue ausgewertet und die ID kann wechseln.
Bisher ist noch nicht bekannt, wie viele Kohorten es überhaupt geben soll und wie viele Nutzer jede Gruppe umfassen wird. Die Rede ist nur immer grob von Tausenden Nutzern.

FLoC-Test im Detail
Wie bei Google üblich werden neue Funktionen stückweise verteilt. Im Falle von FLoC kriegen Nutzer das auch gar nicht mit, laut Google sind deutsche Nutzer aber noch nicht dabei, angefangen mit dem Test hat man in Australien, Brasilien, Kanada, Indien, Indonesien, Japan, Mexico, Neuseeland, den Philippinen und in den USA. Geplant ist es aber auch, mit FLoC demnächst in Europa an den Start zu gehen.

Einen Ein-Ausschalter für die Privacy Sandbox gibt es in Chrome noch nicht, den will Google aber im April nachliefern. Bis dahin müssen Nutzer, die FLoC von vornherein verhindern wollen, Drittanbieter-Cookies deaktivieren. Das geht in den Chrome-Einstellungen unter "Datenschutz und Sicherheit". Klicken Sie auf "Cookies und andere Websitedaten" und aktivieren Sie "Drittanbieter-Cookies blockieren".

Aktuell ist der Test für die aktuelle Chrome-Version sowie die Nachfolger Chrome 90 und 91 bis Mitte Juli angelegt.

Das sagt Google zu FLoC
Google verspricht sich von FLoC einen Ersatz für Nutzer-Tracking bei mindestens gleichbleibenden Werbeerlösen. Insbesondere werden drei Punkte von Google als Vorteile hervorgehoben:

• Nutzer gehen in der Menge unter: Ähnlich wie im Tor-Netzwerk sollen Nutzer in den Kohorten untergehen. Sprich es ist nie klar, welche Interessen ein bestimmter Nutzer hat, vielmehr sitzt er in der Interessenblase der Kohorte. Dort sind dann aber wieder jede Menge anderer Nutzer mit den gleichen Interessen unterwegs.
  
• Browser-Verlauf wird nicht geteilt: Dieser Punkt ist natürlich wichtig, der Browser-Verlauf wird weder mit Google noch einer anderen dritten Stelle geteilt, er bleibt nur lokal verfügbar. Lediglich die ID der Kohorte wird geteilt. Im Gegensatz zu Cookies, wo es um individuelle Verfolgbarkeit geht, ist das ein großer Fortschritt.
  
• Sensible Bereiche werden ausgespart: Die Praxis zeigt, dass Menschen auch sehr sensible Dinge im Web suchen, etwa Dr. Google bei Krankheiten konsultieren. Das füllt natürlich den Browser-Verlauf mit sensiblen Themen, die aber bei den Kohorten ausgespart werden sollen. Wie das funktioniert, erklärt Google in einem Whitepaper.

Das befürchten Datenschützer
Grundsätzlich sollte man Initiativen für besseren Datenschutz immer eine Chance geben, im Fall der Privacy Sandbox steckt aber natürlich ein gesundes Maß an Selbsterhaltungstrieb dahinter, schließlich verdient Google sein Geld mit Werbung. Datenschützer sind deshalb zurecht kritisch mit dem Vorhaben. Die Electronic Frontier Foundation zum Beispiel hat schon umfangreich dargelegt, warum FLoC eine schlechte Idee ist. Hauptkritikpunkte sind:

• Neues Tracking: Google stellt die "Vorteile" von FLoC als einzig mögliche Alternative dar, das bestehende Tracking werde also von neuem Tracking abgelöst, eine echte Alternative sollte aber zielgerichtete Werbung als Ganzes in Frage stellen.
  
• Nutzerfreundlich geht anders: Statt einer echten Wahl, was man mit Webseiten teilen möchte, würden Nutzer ein ID-Label mit sich rumtragen, das genau die Themen abbildet, die gerade wichtig sind. Dieses Label wertet dann jede Webseite plus eine große Gruppe von unbekannten Dritten im Hintergrund aus.
  
• Fingerprinting: Nutzer sollen in einer Kohorte mit Tausenden anderer Nutzer nicht identifizierbar sein. Datenschützer befürchten aber, dass die geteilte ID aber Fingerprinting erleichtern könnte, wenn man andere Browser-Merkmale hinzuzieht. Statt in der Masse aller Chrome-Nutzer bewege man sich mit FLoC nur noch in der kleineren Kohorte.
  
• Interessen-Leak: Eine Gefahr könnte auch von Webseiten ausgehen, bei denen sich Nutzer anmelden. Wird dann die Kohorte-ID ausgewertet, hätte man die eindeutige Verknüpfung von Nutzer und Interessen auf dem Silbertablett. Dieses Wissen könnte man nutzen, um Kohorten bestimmten Nutzern zuzuordnen. So wäre dann schnell klar, welche Nutzer sich hinter welcher ID verbergen.
  
• Google kontrolliert die Kohorte: Ein weiterer Kritikpunkt an FLoC ist, dass Google die Kohorte kontrolliert. Sensible Themen wie Gesundheit oder religiöse Ansichten will Google aussparen, was wiederum bedeutet, dass man ein sehr genaues Auge darauf haben muss, wie sich die Interessen der Nutzer entwickeln.

Quelle: Nachfolger für Cookie-Tracking: Chrome aktiviert neue FLoC-Technik - CHIP