Cross-Device-Tracking: Wie Ihre Aktivitäten über Geräte hinweg verfolgt werden

Die zunehmende Vernetzung unserer digitalen Geräte – von Smartphones über Laptops bis hin zu Smart-TVs – hat Unternehmen neue Möglichkeiten eröffnet, das Verhalten von Nutzern über verschiedene Plattformen hinweg zu verfolgen. Diese Praxis, bekannt als Cross-Device-Tracking, ermöglicht es, ein umfassendes Nutzerprofil zu erstellen, das für personalisierte Werbung, Marketinganalysen und andere Zwecke genutzt wird. Doch diese Technologie birgt erhebliche Risiken für die Privatsphäre und Sicherheit von Nutzern.

Was ist Cross-Device-Tracking?

Cross-Device-Tracking bezeichnet die Technologie, die es Unternehmen ermöglicht, die Aktivitäten eines Nutzers über mehrere Geräte hinweg zu verknüpfen und zu analysieren. Dazu gehören Geräte wie Smartphones, Tablets, Laptops, Smart-TVs und sogar Wearables. Der Hauptzweck ist die Erstellung eines einheitlichen Nutzerprofils, das das Verhalten über verschiedene Geräte hinweg abbildet, um personalisierte Inhalte, insbesondere Werbung, bereitzustellen.

Die Technologie wird vor allem im digitalen Marketing eingesetzt, um Werbekampagnen zu optimieren und die Effektivität von Anzeigen zu messen. Doch die Methoden, die dabei verwendet werden, werfen erhebliche Fragen zur Privatsphäre und Datensicherheit auf, insbesondere da Tracking oft ohne explizite Zustimmung der Nutzer erfolgt.

Wie funktioniert Cross-Device-Tracking?

Cross-Device-Tracking basiert auf zwei Hauptansätzen – deterministische und probabilistische Methoden – sowie ergänzenden Techniken wie Cookies, Browser-Fingerprinting und Audio-Beacons. Im Folgenden werden diese Methoden detailliert beschrieben.

1. Deterministisches Tracking

Deterministisches Tracking verwendet eindeutige Identifikatoren, die direkt mit einem Nutzer verknüpft sind, wie z. B. Benutzerkonten, E-Mail-Adressen oder Login-Daten. Wenn sich ein Nutzer auf einer Plattform wie Google, Amazon oder Netflix mit demselben Konto auf verschiedenen Geräten anmeldet, können diese Aktivitäten eindeutig miteinander verknüpft werden.

Beispiel: Ein Nutzer meldet sich auf seinem Smart-TV bei Netflix an und schaut später eine Serie auf seinem Smartphone weiter. Netflix kann diese Aktivitäten über das Benutzerkonto verknüpfen und so personalisierte Empfehlungen geben.

2. Probabilistisches Tracking

Probabilistisches Tracking hingegen basiert auf der Analyse indirekter Daten, um Geräte einem Nutzer zuzuordnen. Dazu gehören Informationen wie IP-Adressen, Gerätetypen, Betriebssysteme, Browser-Einstellungen, Standortdaten oder Verhaltensmuster (z. B. besuchte Websites oder Suchanfragen). Diese Daten werden kombiniert, um die Wahrscheinlichkeit zu berechnen, dass verschiedene Geräte von derselben Person genutzt werden.

Probabilistisches Tracking nutzt Algorithmen, um Muster zu erkennen, etwa wenn ein Smartphone und ein Laptop dieselbe IP-Adresse oder ähnliche Surfgewohnheiten aufweisen. Beispielsweise könnte ein Nutzer, der auf seinem Laptop nach Schuhen sucht und später auf seinem Smartphone einen Kauf tätigt, über diese Daten verknüpft werden.

3. Cookies und Supercookies

Cookies sind kleine Textdateien, die von Websites im Browser eines Nutzers gespeichert werden, um Informationen wie Präferenzen oder Surfverläufe zu speichern. Cross-Device-Tracking nutzt Cookies, um Nutzeraktivitäten über Geräte hinweg zu verfolgen, insbesondere wenn dieselben Websites oder Werbenetzwerke auf mehreren Geräten besucht werden. Supercookies, auch als „evercookies“ bekannt, sind besonders problematisch, da sie selbst nach dem Löschen von regulären Cookies bestehen bleiben können.

Beispiel: Ein Nutzer besucht eine E-Commerce-Website auf seinem Laptop und später auf seinem Smartphone. Ein Cookie, das von einem Werbenetzwerk wie Google Ads gesetzt wurde, kann diese Besuche verknüpfen.

Sicherheitsrisiken: Cookies können ohne Wissen des Nutzers geteilt oder verkauft werden, was zu umfassenden Nutzerprofilen führt.

4. Browser-Fingerprinting

Browser-Fingerprinting erstellt ein einzigartiges Profil eines Nutzers basierend auf den spezifischen Merkmalen seines Geräts oder Browsers, wie z. B. Bildschirmauflösung, installierte Schriftarten, Plugins, Betriebssystemversion oder Zeitzoneneinstellungen. Dies ist eine besonders invasive Methode, da sie ohne Zustimmung des Nutzers erfolgt und nicht einfach deaktiviert werden kann.

Sicherheitsrisiken: Fingerprinting kann zur De-Anonymisierung von Nutzern verwendet werden, selbst wenn sie anonyme Browser wie Tor nutzen.

5. Audio-Beacons (Ultraschall-Signale)

Audio-Beacons sind unhörbare Ultraschallsignale, die von einem Gerät (z. B. einem Fernseher) ausgesendet und von einem anderen (z. B. einem Smartphone) empfangen werden können. Unternehmen wie SilverPush oder Lisnr nutzen diese Technologie, um Werbeinteraktionen zu verfolgen. Beispielsweise kann eine Werbung auf einem Fernseher ein Signal aussenden, das ein in der Nähe befindliches Smartphone erkennt, um zu bestätigen, dass derselbe Nutzer beide Geräte verwendet.

Sicherheitsrisiken: Diese Methode ist besonders invasiv, da sie ohne Wissen oder Zustimmung des Nutzers erfolgt und sensible Daten wie Standort oder Verhalten erfassen kann.

6. Cross-Device-Attribution

Cross-Device-Attribution ist eine spezifische Anwendung des Trackings, die darauf abzielt, die Kundenreise über Geräte hinweg zu analysieren. Dabei verwenden Werbetreibende Modelle wie Multi-Touch-Attribution, um zu verstehen, wie Interaktionen auf einem Gerät (z. B. ein Klick auf eine Anzeige) zu Aktionen auf einem anderen Gerät (z. B. ein Kauf) führen.

Beispiel: Ein Nutzer sieht eine Anzeige auf seinem Smartphone, recherchiert das Produkt auf seinem Laptop und kauft es später auf einem Tablet. Cross-Device-Attribution hilft, den Beitrag jedes Geräts zur Kaufentscheidung zu messen.

Sicherheits- und Privatsphärerisiken

Cross-Device-Tracking birgt erhebliche Risiken für die Privatsphäre und Sicherheit, die aus einer IT-Sicherheitsperspektive besonders besorgniserregend sind:

1. Tracking ohne Zustimmung: Viele Methoden, insbesondere probabilistisches Tracking, Fingerprinting und Audio-Beacons, erfolgen ohne explizite Zustimmung. Dies wird oft durch die Aggregation von Daten wie IP-Adressen oder Geräteeinstellungen ermöglicht, ohne dass Nutzer informiert werden.
2. Detailliertes Profiling: Durch die Kombination von Daten aus verschiedenen Geräten entstehen umfassende Nutzerprofile, die für gezielte Werbung, aber auch für Überwachung oder Missbrauch durch Dritte genutzt werden können.
3. Rechtliche Grauzonen: Obwohl Datenschutzgesetze wie das nDSG oder die Datenschutz-Grundverordnung (DSGVO) in der EU strenge Anforderungen stellen, ist unklar, ob viele Tracking-Praktiken diesen entsprechen. Laut IAPP müssen Unternehmen klare Offenlegungen über ihre Datenerfassung machen, was oft nicht geschieht.
4. Datenlecks und Sicherheitslücken: Die Speicherung und Verarbeitung von Daten über Geräte hinweg erhöht das Risiko von Datenlecks. Unzureichende Sicherheitsmassnahmen machen die Daten anfällig für Angriffe.
5. De-Anonymisierung: Techniken wie Fingerprinting oder Audio-Beacons können dazu verwendet werden, anonyme Nutzer zu identifizieren, was besonders problematisch ist für Nutzer, die anonyme Tools wie Tor oder Bitcoin verwenden.

Regulatorische Maßnahmen und Gegenmaßnahmen

Schutzmassnahmen für Nutzer

Angesichts der Risiken sollten Nutzer proaktive Schritte unternehmen, um ihre Privatsphäre zu schützen:

1. Cookies und Tracking blockieren: Verwenden Sie Browser-Erweiterungen wie uBlock Origin oder Privacy Badger, um Cookies und Fingerprinting zu verhindern. Browser wie Firefox oder Mulvad bieten integrierte Anti-Tracking-Funktionen.
2. Anmeldungen einschränken: Vermeiden Sie automatische Logins auf Websites, insbesondere auf öffentlichen oder geteilten Geräten, um deterministisches Tracking zu minimieren.
3. App-Berechtigungen überprüfen: Überprüfen Sie die Berechtigungen von Apps, insbesondere solche, die Zugriff auf Mikrofon oder Standort verlangen, da diese für Audio-Beacons genutzt werden können.
4. VPN verwenden: Ein Virtual Private Network (VPN) verschleiert Ihre IP-Adresse und erschwert probabilistisches Tracking.
5. Software aktualisieren: Halten Sie Betriebssysteme, Browser und Apps auf dem neuesten Stand, um Sicherheitslücken zu schliessen, die für Tracking ausgenutzt werden könnten.
6. Bewusstsein schaffen: Informieren Sie sich über die Datenschutzrichtlinien von Websites und Apps, um zu verstehen, wie Ihre Daten verwendet werden. Lesen Sie diese auch wirklich und klicken Sie nicht einfach auf akzeptieren.