Die Zukunft der Onlinewerbung: Vier Szenarien für die Zukunft von Cookies

Cookies sind eine der wichtigsten und zugleich eine der bedrohtesten Arten im Internet - und ein Internet ohne sie ist eine Albtraumvision für Advertiser, die Werbeindustrie, Shops - im Grunde für alle, die darauf angewiesen sind, individualisierte Ergebnisseiten den Nutzern anzuzeigen.

Die kleinen Textschnipsel, die Webseiten den Nutzern anhängen, um ihr Surfverhalten nachzuverfolgen, sind nicht nur ein wertvolles Tool. Schließlich dienen sie dazu, die Wege nachzuverfolgen, die Nutzer durch das Netz nehmen und entsprechend zielgerichtete Werbung auszuspielen. Sie sind auch allgemein verhasst - besonders von zwei Seiten werden sie unter Beschuss genommen:

• Zum einen hat die EU schon vor geraumer Zeit eine Richtlinie erlassen, nach der Webseiten eine Nutzer-Erlaubnis benötigen.
  
• Zum anderen sind immer mehr Blockade-Tools erhältlich, die das Setzen von Cookies verhindern.

Aktuell schwebt in Europa ein Damoklesschwert über den Cookies: Die prominenteste Anti-Cookie-Richtlinie   der EU, offiziell 2009/136/EG getauft, ist immer noch nicht voll umgesetzt: Mit Deutschland, Italien, Polen, Norwegen, Rumänien, Griechenland und Slowenien existieren sieben Staaten, in denen sie noch nicht in geltendes Recht umgesetzt wurde. Bedeutet: Jederzeit kann der Gesetzgeber festlegen, dass Webseiten ein Opt-in benötigen, um Cookies zu setzen. Und das vom Nutzer zu bekommen, wird schwer werden. Die Folge wäre das Ende des getargeten Advertisings und ein Kahlschlag in der Szene für Advertising-Dienstleister. Vielleicht zögern die Staaten deshalb mit der Umsetzung der EU-Richtlinie: Wer ein scharfes nationales Anti-Cookie-Recht installiert, tut der heimischen Interaktivwirtschaft keinen Gefallen.

Die Interaktivindustrie bewegt sich daher aktuell auf mehreren Stellen und feilt an Cookie-Nachfolgern. Diese sollen am besten

a) unlöschbar und unblockbar sein und
b) nicht unter die EU-Richtlinie fallen.

Es geht beim Cookie-Nachfolger darum, wie man künftig ein sauberes und rechtssicheres Tracking hinbekommt.

• Google   arbeitet an einem Werkzeug zur Identifizierung von Nutzern, das das Cookie ersetzen soll - der AdID, so munkelt man laut USA Today  .
• Ähnliche Pläne für einen Cookie-Nachfolger hat laut diversen Medienberichten (wie etwa von PC Welt  ) auch Microsoft in der Schublade
• ...und Apple   verfügt laut Informationen der Zeit   offenbar über viel weitreichendere Wege des Gerätetrackings als zuvor geahnt: So kann Apple offenbar auch Smartphones sehr genau einzelnen Nutzern zuordnen - bisher war das eher schwierig, weil Mobilgeräte schwerer zu identifizieren sind als stationäre PCs.

Vielleicht war der NSA-Skandal auch ein Motor für die hochgefahrenen Bemühungen der großen Internetfirmen: Sollte nun im Fahrwasser des Überwachungsskandals Bewegung ins Thema Datenschutz kommen, so ist es gut, einen Plan B im Ärmel zu haben - den Cookie-Nachfolger, immun gegen Anti-Tracking-Software, unanfällig für die Erlasse von Datzenschützern: Er wird überlebenswichtig für die ganze Targeting- und Retargeting-Industrie, für Shops, die ihren Besuchern maßgeschneiderte Angebote auf Basis ihre Surfverhaltens machen wollen, für Real-Time-Bidding-Anbieter und alle, die sonst ihr Geld mit Advertising verdienen.

Die internen Probleme der Cookie-Debatte

Alle tatsächlichen und vermuteten Pläne der Internet-Riesen lösen jedoch nicht das eigentliche Problem der Onlinewerbebranche. Denn jede Diskussion um Cookies und Tracking hatte bisher die gleichen Grundsatzfehler:

1. Nationale oder europäische Organe versuchen, ein grenzübergreifendes Problem national zu regeln. Heißt zum einen: Brüssel kann die mehrheitlich in den USA sitzenden Firmen nur bedingt mit ihren Vorschriften erreichen; zum anderen heißt das: strenge Regulierungen im Hoheitsgebiet der EU bringen für die Mitgliedsstaaten Wettbewerbsnachteile gegenüber dem Rest der nicht so streng regulierten Welt.
2. Fast immer werden Technik- und Inhaltsebene durcheinandergeworfen. Wenn die Politik etwa sagt, Cookies seien unzulässig, denkt sich die Online-Industrie nur: Dann entwickeln wir eben etwas anderes - zum Beispiel ein Flash-Cookie oder Super-Cookie. Tatsächlich geht es darum, dass die Politik nur anhand der technischen Lösung "Cookies" das Tracking an sich ins Visier nimmt.
   
   
   

   Bild: Nugg.ad

   Stephan Noller

   Allein auf eine Weiterentwicklung von Cookies zu etwa schwer löschbaren Flash-Cookies oder Super-Cookies zu setzen, ist also ein grenzwertiges Unterfangen: "Es ist natürlich nicht prinzipiell verwerflich, seine Technologie weiterzuentwickeln - ich bin lediglich überzeugt, dass die Entwicklung weg vom Cookie sich zum Nachteil der Nutzer und des Datenschutzes auswirken wird", argumentiert beispielsweise Stephan Noller vom Targeting- und Realtime-Advertising-Dienstleister nugg.ad   . Cookies seien den Nutzern heute weitgehend bekannt, sie wüssten damit umzugehen, wissen wie man sie verwaltet und sie können sie regelmäßig löschen. Neue Techniken dagegen unterwandern diese Emanzipation des Nutzers.

Daher ist es es von untergeordnetem Interesse, was etwa Microsoft   in seinen Labors ausheckt. Medienberichte sehen das Unternehmen einen streng geheimen Cookie-Nachfolger entwickeln, der offenbar unlöschbar sein soll, geräteübergreifend trackt und vielleicht sogar EU-konform ist. Doch viel wichtiger ist etwas anderes.

Statt technische Auswege zu suchen, sobald Cookies ins Fadenkreuz geraten, muss es um die Frage gehen, was ein Ende der Cookies und des Trackings für die Online-Industrie bedeuten würde: Wie lässt sich ihm entgegenwirken, wie müsste man damit umgehen, wenn es tatsächlich zum Cookie-Verbot kommt und wer profitiert von den unterschiedlichen denkbaren Szenarien?

Der Kampf um die Deutungshoheit über das Nutzerverhalten

Um beurteilen zu können, wie die Cookie- und Tracking-Zukunft aussieht, hilft ein Vergleich der Arten, wie Nutzerverhalten überhaupt getrackt werden kann - mit oder ohne Cookies. Schematisiert und vereinfacht betrachtet lassen sich drei Wege isolieren. Sie geben Auskunft darüber, wohin sich künftig die Deutungshoheit über Nutzerverhalten verlagert.

1. Tracking-Prinzip eins: Cookies

   Die kleinen Textschnipsel kann theoretisch jeder Publisher setzen, dessen Seite der Nutzer bewusst besucht: Besuche ich etwa irgendeinefirma.de, kann mir die Seite einen sogenannten First-Party-Cookie setzen. Oder aber jeder kann sie setzen, der ein Pixel auf der Seite eines Publishers eingebunden hat (Third-Party-Cookies - hat Firma XYZ ein Banner auf irgendeinefirma.de eingebunden, so kann mir XYZ einen solchen Third-Party-Cookie setzen.
   
   Die Unterscheidung zwischen First- und Third-Party ist deswegen interessant, weil hier trafficstarke Seiten mehr Tracking-Macht bekommen: Third-Party-Cookies lassen sich leicht durch entsprechende Add-Ons oder Browsereinstellungen blocken.
   
   Die gängigen Blockade-Tools ticken jedoch so: wer dem Nutzer ein First-Party-Cookie verpasst hat, darf im Anschluss auch Third-Party-Cookies setzen, aktualisieren und auslesen. Bedeutet konkret: Hat der Nutzer eine Seite bewusst aufgerufen und besucht, darf die ihm auch auf Drittseiten Cookies verpassen. Die Logik dahinter: Die Cookies von dieser Seite sind offenbar okay, denn der Nutzer ist ja bewusst dort hin gesurft. Heißt dann auch, dass Google, wohin sich jeder Nutzer früher oder später mal verirrt, quasi überall Cookies um sich schleudern und auswerten kann, ohne im Blockadefilter hängen zu bleiben.
   
   In der Praxis umgehen viele Advertising-Dienstleister die First-Cookie-Hürde, indem sie sich technischer Kniffe bedienen - etwa bei Bannern: Klickt der Nutzer auf ein Banner von irgendeinerfirma.de, so leitet ihn der dahinter stehende Advertsing-Dienstleister für einen Sekundenbruchteil auf die eigene Seite um. Das sieht der Nutzer nicht, aber er hat sich während der unsichtbaren Umleitung einen First-Party-Cookie gefangen. Und damit ist das Tor für den Advertsing-Dienstleister offen, Third-Party-Cookies zu setzen - denn rein technisch gesehen hat der Nutzer ja für eine Millisekunde seine Seite besucht.
   
   An diesem Beispiel zeigt sich wieder das Grundsatzproblem Nummer eins: Technisch wird hier etwas umgangen, was der Blockade-Tool verwendende Nutzer aber inhaltlich nicht wünscht - er will nicht getrackt werden. Selbst dann nicht, wenn es ein Adserver technisch hinbekommt, alle Hürden zu umgehen, die ihm der Nutzer aufbaut. Damit ist auch die Weiterentwicklung von Cookies hin zu schwer löschbaren Flash-Cookies oder Supercookies   ein grenzwertiges Unterfagen: "Es ist ja nicht prinzipiell böse, seine Technologie weiterzuentwickeln - ich bin lediglich überzeugt: Es wirkt sich zum Schaden der Nutzer und des Datenschutzes aus, was da passiert", sagt Stephan Noller von Nugg.ad   . Cookies seien den Nutzern heute weitgehend bekannt, sie wüssten damit umzugehen, wissen wie man sie verwaltet und sie löschen sie regelmäßig. Neue Techniken dagegen unterwandern diese Emanzipation des Nutzers: "Dass Google und Microsoft ihre Neu-Entwicklungen nicht kommentieren zeigt ja, dass es nicht um Verbesserungen beim Datenschutz geht", glaubt Noller.



2. Tracking-Prinzip zwei: Fingerprinting

   Fingerprinting zeigt sehr deutlich, dass die Cookie-Diskussion eben keine Cookie-Diskussion ist - sondern eine Tracking-Diskussion. Denn Fingerprinting dient ebenfalls dazu, Nutzer zu identifizieren, legt aber nichts auf deren Rechner ab. Bei diesem Verfahren wird ein möglichst genauer Steckbrief vom Nutzer gebildet: Welche Auflösung hat sein Monitor, welchen Browser verwendet er, welche Schriftarten sind zusammen mit welchen Plugins installiert und welche Einstellungen hat er im System vorgenommen? Bestenfalls kann ein Webserver damit den Nutzer eindeutig identifizieren und immer wieder erkennen, wenn er auf der eigenen Seite oder einer Seite eines angeschlossenen Advertising-Netzwerkes auftaucht.
   
   
   

   Felix Schirl

   Mal abgesehen davon, dass damit die Datenschutzthematik nur technisch verschoben wird, birgt Fingerprinting noch andere Nebenwirkungen, sagt Felix Schirl, CIO beim Advertising-Dienstleister Intelliad  :"Beim Fingerprinting darf man nie vergessen, dass der Nutzer nicht eindeutig identifizierbar ist, wenn man grob gefasste Kriterien verwendet. Verwendet man dagegen ein sehr enges Raster an Identifikationsmerkmalen, so wird die Halbwertszeit der Identifikation kürzer und kürzer." Denn die Parameter seien sehr vergänglich beim Fingerprinting: "Die Versionsnummer einer Software ändert sich, die Auflösung eines Bildschirms ändert sich, das Update eines Browsers beeinflusst das Verfahren ebenso."
   

3. Tracking-Prinzip drei: Ökosystem-Tracking

   Sollten Cookies und technische Tracking-Alternativen verboten werden, so würde dies nur noch einen Weg offen lassen - und der würde die Tracking-Macht in der Hand großer Internetkonzerne mit eigenen Ökosystemen konzentrieren - namentlich Google, Facebook und Apple. Diese Unternehmen besitzen Mittel und Wege, Nutzer anhand der Spuren zu tracken, die diese in den Ökosystemen hinterlasssen, in die sie eingeschlossen sind.
   
   • Beispiel Facebook: Das soziale Netzwerk vergibt an jeden Nutzer eine individuelle ID. Betritt er in eingeloggtem Zustand eine Seite, auf der soziale Elemente von Facebook eingebunden sind - ein Like-Button oder eine Kommentarbox - so werden Nutzerdaten an Facebook gesendet. Bei der epedemischen Verbreitung der Facebook-Elemente besitzt das Unternehmen damit ein weitgefasstes Netz an Tracking-Reichweite.
   • Beispiel Google: Das Unternehmen stellt Browser her und Endgeräte, die Nutzerdaten sammeln und übermitteln, es besitzt ein soziales Netzwerk, dessen soziale Plugins ebenfalls steigende Verbreitung genießen und dann ist da noch diese Suchmaschine, die fleißig Input liefert - fast jeder Nutzer, der im Web unterwegs ist, wird irgendwann hier erfasst und mit einer individuellen ID belegt. Wann immer er auf einer Seite des Google-Netzwerkes auftaucht und identifiziert werden kann (anhand von Cookies, Log-in oder Fingerprinting), erhält er die gleiche ID wieder zugewiesen.
     
     Mittels dieser Google ID   können Targeting-Unternehmen Nutzer auch identifizieren, selbst wenn diese ihre Cookies regelmäßig löschen. Denn untereinander tauschen die Unternehmen in Cookie Exchanges Daten über Nutzer aus: In verschiedenen Advertising-Netzwerken fängt sich ein und derselbe Nutzer verschiedene Cookies - doch anhand der Google ID können diese Cookies synchronisiert werden: Man weiß Cookie A aus Netzwerk Eins, Cookie B aus Netzwerk zwei und Google ID 123 gehören zusammen und stehen für das gleiche Individuum.
     
     So kann man einem Nutzer immer wieder das gleiche Cookie mit der gleichen Nummer zuordnen und meidet Dubletten - solange er beispielsweise bei Google eingeloggt oder über Chrome unterwegs ist und seine Google ID verrät.
     
     ID-Tracking ist auch eine Lösung für den Nutzer, der zwischen den Geräten wechselt - ist er eingeloggt in ein- und dasselbe Konto unterwegs, weist seine Customer Journey keine Lücke auf. Die großen Konzerne, die eigene Endgeräte, Browser und Ökosysteme verwalten, können also mehr Einsichten sammeln und an andere Firmen gewinnbringend weitergeben.

All diese gesetzlichen, technischen und wirtschaftlichen Rahmenbedingungen legen eine spezielle Entwicklung nahe, die das Cookie- und Trackingthema in den kommenden Jahren prägen werden.

Sieben Prognosen zur Cookie-Zukunft

1. Ohne Cookies wächst die Bedeutung alternativer Trackingmethoden
Sollte es wirklich zu einem europaweiten Cookie-Verbot kommen oder zu Gesetzen, die hohe Hürden für Third-Party-Cookies aufbauen, so steigert das die Bedeutung alternativer Technologien wie etwa Fingerprinting und Ökosystem-Tracking.

2. Machtverschiebung
Damit verschiebt sich die Macht, Nutzerverhalten zu tracken zu den großen Onlinefirmen, die alternative Tracking-Ökosysteme besitzen. Die hatten schon bei den Third-Party-Cookies einen Vorteil: Denn wenn ihre Domains in Browsern auf verschiedenen Endgeräten als Startseiten installiert sind, erfüllen sie automatisch die in vielen Browsern installierten Voraussetzungen für das Setzen von Third-Party-Cookies.

3. Standortnachteil der EU
In der Folge wird ein europaweites Cookie-Verbot Geschäfte mit Tracking und Nutzerverhalten nicht abschaffen, sondern nur über den großen Teich verschieben - Richtung Google, Facebook und Co.

4. Präzisierung von "Tracking" als Begrifflichkeit
Als Usability-Tool für das Web sind Cookies bis auf weiteres unersetzlich - es wird also eine Unterscheidung geben zwischen guten und bösen Cookies. Kurzfristig vielleicht wird hier zwischen First- und Third-Party-Cookies unterschieden, langfristig wird es inhaltlich definiert werden, was Tracking ist, womit sich technische Schlupflöcher schließen.

5. Opt-in-Jagd

Cookies werden also grundsätzlich nicht abgeschafft werden. Statt um den Besitz der cleversten technischen Tracking-Lösung wird es darum gehen, von möglichst vielen Nutzern die Erlaubnis zu erhalten, sie zu tracken. "Es wird vielleicht statt Cookies eine anders betitelte, technische Lösung geben, doch eines steht fest: Es wird immer Unique Identifier geben", sagt Sven Bagemihl Geschäftsführer der auf datengetriebenes Advertising spezialisierten Q3 Group  . "Sonst ist das Internet nicht refinanzierbar und digitale Werbung so dumm wie die im TV. Verwendet ein Nutzer Cookies, so ist eine Incentivierung dadurch gegeben, dass er einen Mehrwert hat: Infos von Freunden im Netz finden, gute Services, Produkte und für ihn relevante Werbung kriegen."

6. Teilweise Gleichberechtigung
Der Kampf wird also weniger um technische Lösungen als um Nutzer-Opt-ins geführt - damit wird zumindest teilweise eine Gleichberechtigung wiederhergestellt. Denn im Kampf um Opt-ins genießen Google und Co. keine grundsätzlichen Vorteile gegenüber dem kleinen Adserver aus Deutschland.

7. Steigende Bedeutung von Relevanz, Emotion, Inhalt und Infoarbeit
Advertiser müssen immer stärker darum werben, Nutzer-Opt-ins zu erhalten: Webseiten werden relevante Inhalte in Aussicht stellen müssen und im Gegenzug untertänig um die Cookie-Erlaubnis werben. Parallel dazu gilt es die begonnene Infoarbeit zu verstärken, die dem Nutzer Tracking als einen wesentlichen Treibstoff zur Refinanzierung vieler Angebote im Web erklärt.

Aus diesen Rahmendbedingungen ergeben sich vier Szenarien dafür, wer künftig die Macht über die Kontrolle des Trackings gewinnt: