Über die eigene Domain geleitete Werkzeuge

Wie Verdachtsfälle erkannt werden, wenn ein Dienst als Erstanbieter getarnt lädt, und warum sie nie automatisch als Verstoß gelten.

Die Zuordnung von Aufrufen zu Diensten hängt am Zielhost. Wird ein Werkzeug über die eigene Domain geleitet oder auf einer eigenen Subdomain selbst betrieben, ist der Aufruf technisch ein Aufruf der Website selbst und damit für den Werkzeug-Katalog unsichtbar. Für diese Fälle gibt es einen zweiten, ausdrücklich vorsichtigeren Erkennungsweg.

Warum die normale Zuordnung hier scheitert

Zwei Aufbauten sind betroffen. Beim Weiterleitungsaufbau empfiehlt der Anbieter selbst, die Datenannahme über die Kundendomain zu führen. Der Aufruf geht dann an die eigene Adresse. Beim Eigenbetrieb läuft das Werkzeug auf einer eigenen Subdomain. In beiden Fällen ist der Aufruf aus Sicht des Browsers erstanbieterlich. Er taucht deshalb nicht einmal in der Liste der externen Domains auf. Ohne zusätzliche Signale bliebe ein solches Werkzeug im Bericht schlicht abwesend, obwohl es Verhalten misst.

Dass diese Lücke praktisch jeden Cookie-Scanner betrifft und wie sie sich ehrlich eingrenzen lässt, ist in Der blinde Fleck der Cookie-Scanner beschrieben.

Woran ein Werkzeug trotzdem erkennbar ist

Den Übertragungsweg kann man verlegen, die eingesetzte Programmbibliothek nicht ohne Weiteres umbauen. Sie legt ihren eigenen Namensraum im Browser an, setzt Einträge mit charakteristischen Präfixen im Endgerätespeicher und trägt ihre Konfiguration sichtbar mit sich. Der Scanner erfasst deshalb pro Seite zusätzlich:

Namensräume der Bibliothek, auch solche, die sich nach dem Start wieder entfernen. Sie werden schon beim Seitenaufbau mitgeschrieben.
Die ausgelesene Konfiguration, insbesondere die eingestellte Zieladresse der Datenannahme.
Namen von Cookies und Einträgen im lokalen Speicher, getrennt nach vor und nach der Einwilligung.
Merkmale in erstanbieterlichen Aufrufen, die keiner Katalog-Signatur zugeordnet werden konnten.

Hinterlegt sind derzeit acht Werkzeuge, für die dieser Aufbau verbreitet und dokumentiert ist: PostHog, Matomo, Plausible, Fathom, Umami, Snowplow sowie Google Analytics 4 und der Google Tag Manager in serverseitigem Betrieb.

Die eben beschriebenen Signale stammen alle aus der Bibliothek, die im Browser läuft. Genau die fehlt beim rein serverseitigen Aufbau: Der Container antwortet auf der eigenen Domain, beantwortet die Messung selbst und reicht sie im Hintergrund weiter. Kein fremder Namensraum, kein fremder Aufruf.

Was bleibt, ist der Cookie, den er auf dem Endgerät setzt. Für 35 Anbieter ist hinterlegt, welche Cookie-Namen eindeutig zu ihnen gehören — darunter jene, die ausschließlich bei serverseitigem Betrieb entstehen. Der Abgleich ist bewusst eng gefasst: Er greift nur bei Cookies der eigenen Domain (liegt der Cookie beim Anbieter selbst, wurde dieser ohnehin kontaktiert und über den normalen Weg gefunden), nur bei Namen, die genau einem Anbieter gehören, und nur für Werkzeuge, die kein anderes Verfahren bereits erkannt hat. Eine von mehreren Anbietern geteilte Namensfamilie bleibt außen vor — einen geratenen Namen in einen Befund zu schreiben, wäre schlimmer als die Lücke.

Auch dieser Fund ist ein Verdacht, kein bestätigter Verstoß. Er belegt, dass etwas auf dem Endgerät abgelegt wurde und von wem — nicht, was übertragen wurde.

Wie aus Signalen ein Ergebnis wird

Gezählt werden nicht Fundstellen, sondern Signalarten. Zwei Cookies desselben Werkzeugs sind ein Signal, nicht zwei. Jede Art trägt ein Gewicht. Ein Namensraum mit ausgelesener Konfiguration wiegt am schwersten, ein Dateiname am wenigsten. Ab einer Summe von vier bei mindestens zwei verschiedenen Arten gilt ein Werkzeug als wahrscheinlich, ab drei als zur Prüfung vorgelegt, darunter wird es verworfen. Zeigt die ausgelesene Konfiguration auf die eigene Domain, gilt das Werkzeug unabhängig von der Summe als wahrscheinlich. Identität und Zielpunkt stammen dann aus derselben Quelle.

Darüber liegt eine harte Sperre. Ein Kandidat, der ausschließlich aus Pfad- und Dateinamen besteht, wird immer verworfen. Solche Pfade sind frei umbenennbar und kollidieren mit beliebigen Anwendungsschnittstellen. Sie dürfen bestätigen, aber nie tragen. Und wenn der Katalog dasselbe Werkzeug ohnehin über seine Adresse erkannt hat, gewinnt dieser Treffer. Ein Doppel-Befund entsteht nicht.

Warum ein solcher Fund kein Verstoß ist

Der Übertragungsweg ist rechtlich neutral. Ob eine Messung über die Anbieterdomain, über die eigene Domain oder aus dem Eigenbetrieb läuft, ändert nichts an der Einwilligungsfrage. Die hängt am Was und Wozu, nicht am Wohin. Umgekehrt gilt aber auch: Eigenbetrieb befreit nicht. Setzt das Werkzeug weiterhin nicht erforderliche Einträge auf dem Endgerät, bleibt die Einwilligung nach § 25 TDDDG Pflicht.

Entscheidend ist die Konfiguration: ob cookielos gemessen wird, ob anonymisiert wird, ob die Einwilligung steuert. Von außen ist das nur in Teilen ablesbar. Ein erkanntes Werkzeug ist deshalb zunächst ein Hinweis mit Belegen, keine Feststellung. Die bloße Tatsache, dass ein Dienst über die eigene Domain läuft, erzeugt nie einen kritischen Befund.

Was gemessenes Verhalten daran ändert

Die Bewertung folgt dem, was tatsächlich beobachtet wurde, nicht dem Aufbau:

Eintrag auf dem Endgerät vor der Einwilligung: belegter Zugriff nach § 25 TDDDG, kritisch. Das ist eine Messung, keine Vermutung, und wird deshalb auch hier hochgestuft. Der betroffene Cookie- oder Speichereintrag wird namentlich ausgewiesen.
Übertragung vor der Einwilligung bei sicherer Identität: wichtig, mit dem Hinweis, die Rechtsgrundlage zu prüfen. Auch ohne Cookie schlägt die Beobachtung die Behauptung, es werde nichts übertragen.
Nichts vor der Einwilligung, Dialog wurde bedient: Information, gemessen cookielos beziehungsweise einwilligungsgesteuert.
Reine Container-Infrastruktur: Information. Ein Container überträgt selbst nichts. Zu prüfen ist, was über ihn ausgespielt wird.
Nur ein schwaches Einzelsignal: Information, manuelle Prüfung.

Auch bei der Frage nach dem Auftragsverarbeitungsvertrag bleibt die Bewertung zurückhaltend. Automatisch angelegt wird ein solcher Punkt nur für die Werkzeuge, bei denen die Daten nachweislich beim Anbieter verarbeitet werden. Für die typischen Eigenbetriebs-Kandidaten erscheint stattdessen ein Klärungshinweis. Im Eigenbetrieb gibt es keinen fremden Auftragsverarbeiter, dann genügt der Vertrag mit dem Hoster.

Freigabe durch einen Menschen

Bevor ein so erkanntes Werkzeug in Verarbeitungsverzeichnis und Datenschutzerklärung einfließt, muss es je Mandant bestätigt werden. Die Entscheidung — bestätigt oder verworfen — gilt mandantenweit, überlebt jeden weiteren Scan und ist der Punkt, an dem aus einer Wahrscheinlichkeit ein dokumentierter Sachverhalt wird.

Was diese Prüfung nicht leistet

Nur acht Werkzeuge sind hinterlegt. Jeder andere Dienst, der über die eigene Domain geleitet wird, bleibt unsichtbar. Er erscheint weder als Werkzeug noch als unbekannte Domain. Das ist die größte Lücke des Scanners. Ein leerer Befund an dieser Stelle ist kein Freispruch.

Keine Namensauflösung. Es wird nicht geprüft, wohin eine Subdomain tatsächlich zeigt. Ob ein Werkzeug wirklich selbst betrieben wird oder ein Cloud-Dienst hinter einer eigenen Adresse steht, ist damit nicht zu unterscheiden. Daher die Zurückhaltung bei der Frage nach dem Auftragsverarbeitungsvertrag.

Keine Inhaltsanalyse. Ausgewertet werden Adressen und im Browser sichtbare Zustände, nicht die übertragenen Nutzdaten. Ein Werkzeug, das seine Merkmale ausschließlich im Anfragekörper trägt, wird darüber nicht erkannt.

Verschleierung ist möglich. Namensräume kann man umbenennen, Bibliotheken in eigene Bündel einbauen, Speicherpräfixe ändern. Wer das tut, entgeht der Erkennung.

Messung ganz ohne Spur bleibt außen vor. Der verbreitete serverseitige Aufbau hinterlässt einen Cookie und wird darüber gefunden. Meldet ein Server einen Besuch aber ohne jede Spur im Browser — ohne Cookie, ohne Speichereintrag, ohne Aufruf —, gibt es nichts zu beobachten. Kein browserbasiertes Verfahren kann das leisten.

„Wahrscheinlich" ist kein Nachweis. Die Einstufung sagt, wie viele unabhängige Signale zusammenkamen. Sie ersetzt weder die Rückfrage beim Betreiber noch den Blick in dessen Konfiguration.