Wie der Scanner misst

Der Scanner lädt jede Website in einem echten Browser (Chromium, ohne sichtbares Fenster) und protokolliert jeden ausgehenden Netzwerkaufruf und jeden Zugriff auf den Endgerätespeicher. Ein reiner Abruf des Quelltextes würde das meiste übersehen. Werkzeuge werden heute überwiegend zur Laufzeit nachgeladen, oft über einen Tag-Manager.

Frischer Kontext

Jeder Scan startet mit einem leeren Browserprofil: keine Cookies, kein lokaler Speicher, keine früheren Einwilligungen. Das ist entscheidend. Wer eine Website im eigenen Browser prüft, hat dem Banner in der Regel längst zugestimmt und sieht deshalb nicht mehr, was ein Erstbesucher auslöst. Auf demselben frischen Kontext beruht der öffentliche Free-Scan, der dieselbe Messung ohne Konto an einer beliebigen Website vorführt.

Phase 1: vor der Einwilligung

Die Seite wird geladen, ohne den Banner zu berühren. Alles, was in dieser Phase hinausgeht, geschieht ohne Einwilligung. Parallel protokolliert der Scanner, was auf dem Endgerät abgelegt wird: Cookies wie auch Einträge im lokalen Speicher. Das ist der wortgetreue Tatbestand des § 25 TDDDG. Er knüpft an den Zugriff auf Informationen im Endgerät an, nicht an eine Datenübertragung.

Erfasst wird dabei auch, was eingebettete Fenster ablegen — ein Video oder ein Buchungswerkzeug speichert unter der Adresse des Anbieters, nicht unter der der Website. Von der Seite aus ist das nicht einsehbar. Für § 25 macht das keinen Unterschied: Ein Eintrag auf dem Endgerät ist ein Eintrag, gleich aus welchem Fenster er stammt.

Einwilligungsdialog erkennen und bedienen

Der Scanner benennt derzeit 69 Consent-Management-Plattformen. Die Erkennung läuft über zwei Wege: 39 Plattformen tragen eine hinterlegte Signatur aus CSS-Selektoren, mit der sich der Dialog im Seitenaufbau direkt finden lässt. 30 weitere werden am Ladepfad ihres Skripts erkannt — die Anbieter liefern es von eigenen Domains aus, das ist eindeutig genug für eine namentliche Zuordnung. Jede dieser 69 Erkennungen wird regelmäßig gegen echte Seiten nachgeprüft, damit eine Plattform, die ihr Banner umbaut, nicht unbemerkt aus der Erkennung fällt.

Dazu zählen auch Weißmarken-Varianten, die unter anderem Namen auftreten, technisch aber auf einer bekannten Plattform beruhen. Wird keine bekannte Plattform gefunden, greifen allgemeine Heuristiken über Schlüsselbegriffe: Der Dialog wird dann bedient, aber nicht benannt. Findet sich überhaupt kein Dialog, ist das selbst ein kritischer Befund.

Phase 2: nach der Einwilligung

Nach der Zustimmung protokolliert der Scanner erneut. Aus der Differenz ergibt sich, was erst mit der Einwilligung lädt und damit korrekt gesteuert ist, und was schon vorher lief. Beide Phasen stehen anschließend Aufruf für Aufruf in der Aufruf-Zeitleiste.

Zuordnung zu Diensten

Jeder Aufruf wird gegen den Werkzeug-Katalog mit derzeit 2.831 Signaturen geprüft, die 2.412 unterschiedliche Werkzeuge in 20 Kategorien abdecken. Trifft nichts zu, verschwindet der Aufruf nicht. Er wird als unbekannter Dritt-Dienst ausgewiesen und zur Prüfung vorgelegt. Ein Aufruf an einen Dritten ist auch dann datenschutzrechtlich relevant, wenn wir den Empfänger nicht benennen können. Seine IP-Adresse hat der Besucher in jedem Fall übertragen.

Einwilligungsmodus von Google

Manche Google-Werkzeuge senden schon vor der Einwilligung ein Signal, das den Einwilligungsstand mitteilt, ohne zu tracken. Solche Aufrufe werden erkannt und nicht als Verstoß gewertet. Eine Ausnahme gibt es: Wurde parallel ein Eintrag auf dem Endgerät gesetzt, gilt die Messung und nicht das Signal.

Wie häufig Tracking vor der Einwilligung tatsächlich vorkommt, lässt sich mit diesem Verfahren in der Breite messen: Die Auswertung deutscher Websites beruht auf derselben Zwei-Phasen-Messung, die hier beschrieben ist.