Der Werkzeug-Katalog

Der Scanner beobachtet Netzwerkaufrufe. Damit aus einem Aufruf ein benannter Dienst wird, braucht es einen Katalog. Er umfasst derzeit 2.831 Signaturen für 2.412 unterschiedliche Werkzeuge in 20 Kategorien, von Analytics und Werbung über Karten, Video, Schriften und Zahlungsdienste bis zu Auslieferungsnetzen.

Woraus eine Signatur besteht

Jeder Eintrag trägt vier Angaben: den kanonischen Namen des Werkzeugs, ein Adressmuster, eine Kategorie und eine Einwilligungsklasse. Mehrere Signaturen können auf denselben Namen zeigen. Ein Dienst hat oft einen Ladepfad, einen Messpunkt und ein Werbeziel auf verschiedenen Hosts. Der Name ist die Klammer. Über ihn hängen Verarbeitungsverzeichnis, Auftragsverarbeitungsvertrag und Datenschutzerklärung am selben Eintrag.

Die Einwilligungsklasse unterscheidet vier Fälle: einwilligungspflichtig (der Regelfall bei Tracking und Werbung), kontextabhängig (Infrastruktur und Auslieferungsnetze), unklar (hängt an der Konfiguration, etwa bei datensparsamer Statistik) und keine. Bei kontextabhängigen Diensten fließt eine IP-Adresse ab. Geregelt wird das üblicherweise über einen Auftragsverarbeitungsvertrag, nicht über den Banner. Etwas mehr als die Hälfte der Signaturen ist als einwilligungspflichtig geführt, gut ein Drittel als kontextabhängig. Trifft ein Werkzeug über mehrere Muster zu, gewinnt die strengste Klasse. Ein harmloser Skript-Ladepfad entschärft nie einen beobachteten Messaufruf.

Wie zugeordnet wird

Geprüft wird jede Aufruf-Adresse gegen alle Muster. Groß- und Kleinschreibung spielt keine Rolle. Sieht ein Muster wie ein Hostname aus, muss es den echten Host des Aufrufs treffen, exakt oder als Subdomain. Eine Fremddomain, die den Namen bloß enthält, wird dadurch nicht zum Treffer.

Passen mehrere Muster, gewinnt das spezifischere: zuerst das am Host verankerte vor einem reinen Pfadmerkmal, danach das längere vor dem kürzeren. Ohne diese Reihenfolge entstünden zwei Fehler. Ein über ein Auslieferungsnetz ausgespieltes Design-Element würde dem Redaktionssystem zugerechnet, ein Befund, den es nicht gibt. Und ein spezialisierter Dienst würde hinter einem allgemeinen Konzernmuster verschwinden.

Wenn Infrastruktur Tracking transportiert

Läuft ein Messaufruf über einen Infrastruktur-Host, etwa einen serverseitigen Container auf einer Cloud-Adresse, würde die Host-Verankerung ihn als „Infrastruktur" einstufen und damit entschärfen. Für eine kleine Zahl eindeutiger Sammelpfade wird der Aufruf deshalb dem tatsächlichen Werkzeug zugeschrieben, sodass die normale Bewertung greift. Mehrdeutige Anwendungspfade sind ausdrücklich nicht dabei. Sie bleiben ein Infrastruktur-Treffer zur manuellen Prüfung, statt automatisch zu einem Verstoß hochgestuft zu werden.

Umgekehrt sind Einwilligungsdienste im Katalog gesondert markiert. Sie müssen vor der Einwilligung laden, sonst gäbe es keinen Dialog, und werden nie als Verstoß gewertet.

Was mit unbekannten Dritt-Domains geschieht

Trifft kein Muster, verschwindet der Aufruf nicht. Die Zieladresse wird auf die registrierbare Domain reduziert und einer von zwei Gruppen zugeordnet:

• Unbekannter externer Dienst. Der Regelfall, als wichtiger Punkt zur Klärung ausgewiesen. Der Empfänger ist nicht benannt, die Übermittlung der IP-Adresse hat trotzdem stattgefunden.
• Funktionale Auslieferung. Nur, wenn jeder beobachtete Aufruf an diese Domain wie ein statischer Bestandteil der Website aussah, also wie Stylesheet, Bild, Schrift, Skript oder Medium, und mindestens ein positives Merkmal dafür spricht, etwa ein typischer Asset-Pfad oder der eigene Markenname im Pfad. Das Ergebnis ist ein Hinweis auf den nötigen Auftragsverarbeitungsvertrag, kein Verstoß.

Die Einstufung als funktionale Auslieferung ist absichtlich schwer zu erreichen. Ein einziger dynamischer Aufruf, ein Pfadmerkmal aus dem Werbeumfeld oder ein Kennungs-Parameter in der Adresse schließt sie aus, auch dann, wenn dieser Aufruf erst nach der Einwilligung erfolgte. Wer eine Domain dauerhaft nicht mehr sehen will, kann sie je Konto auf die Domain-Ausnahmeliste setzen. Sie erzeugt dann keine Punkte mehr.

Wie der Katalog wächst

Nicht zugeordnete Dritt-Domains werden systemweit gesammelt und nach Häufigkeit sortiert, je Domain ein Eintrag, mit gekürzten Beispielseiten und einer begrenzten Zahl von Belegen. Aus dieser Rangliste entsteht die Reihenfolge, in der neue Signaturen recherchiert werden. Was tausendfach auftaucht, wird zuerst benannt. Jede Beobachtung durchläuft dabei einen kleinen Lebenszyklus: automatisch als unbekannt oder funktional erfasst, danach von Hand auf ignoriert, Kandidat oder bestätigt gesetzt. Neue Signaturen gehen mit Regressionstests in den Katalog, damit ein hinzugefügtes Muster kein bestehendes überdeckt.

Für die gespeicherten Beispiele gilt dieselbe Sparsamkeit wie beim Beweis zum Befund: abgelegt werden nur Seitenadressen ohne Abfrageparameter, nie vollständige Aufruf-Adressen.

Was ein solcher Katalog in der Breite sichtbar macht, zeigt die Auswertung nach eingesetztem Baukasten: Welche Website-Baukästen vor der Einwilligung tracken.