Sieben Tracking-Techniken in der Analyse: Was nach dem Cookie kommt

Daten gelten als wichtigster Rohstoff des neuen Jahrtausends. Und wie immer, wenn es um Rohstoffe geht, entbrennt schnell ein Kampf darum. In diesem Fall gibt es nicht nur verschiedene Unternehmen, die gerne die Datenhohheit für sich beanspruchen wollen, sondern auch widerstreitende Gruppen, die ganz unterschiedliche Interessen vertreten. Zum einen gibt es Unternehmen, die den Rohstoff fördern wollen. Es gibt Parteien, die ihn nutzen möchten. Und zuletzt gibt es eine Gruppe, die ihn schützen möchte.

Letztere Gruppe wird nicht nur durch Nutzer, Politiker und Datenschützer vertreten, sondern auch durch eine Software-Industrie, die neue Browser- und Betriebssystemversionen, Adblocker und Anti-Tracking-Lösungen an den Mann bringen wollen. Am Ende rangeln alle Beteiligten um die Frage, wem die Trackingzukunft gehört und wer zu welchem Preis werblich relevante Informationen über die Surfer erhält.

Grundvoraussetzung im Tracking

Dabei sind die datenschutzrechtlichen Voraussetzungen in Deutschland - anders als oft beklagt - eigentlich gar nicht so schlecht. Zwar fühlen sich durch die sogenannte Cookie-Richtlinie inzwischen viele Website-Betreiber dazu genötigt, einen als störend empfundenen Warnhinweis einzublenden, der über den Einsatz von Cookies informiert. Aktiv zustimmen müssen die Nutzer aber nicht. Wer das Angebot weiter nutzt, hat zugestimmt. Und genau genommen wird der Warnhinweis auch gar nicht gefordert. Es handelt sich eher um eine Vorsichtsmaßnahme der Anbieter.

Datenschutzrechtlich relevant sind nur personenbezogene Daten. Dazu gehören Name, Adresse, Telefonnummer, persönliche EMail-Adresse und - auch wenn dies umstritten ist - eventuell die IP-Adresse des Nutzers. Davon abgesehen dürfen in der digitalen Welt aber alle Nutzungsdaten zum Zwecke der Werbung oder Marktforschung einwilligungslos in Nutzungsprofilen verarbeitet werden. Bedeutet: Solange persönliche Daten beispielsweise durch eine Nutzer-ID pseudonymisiert wurden, kann durchaus zu Werbezwecken gespeichert und weitergegeben werden, welche Webseiten der Nutzer besucht hat, welche Artikel er in den Warenkorb gelegt hat oder welche Anzeigen ihm bereits ausgespielt wurden.

Ein aktives Einwilligungserfordernis ist für den Einsatz von Cookies nicht erforderlich. Der Nutzer muss lediglich darüber informiert werden und eine Möglichkeit zum Opt-out haben.

Regulatorisch ist für cookiebasierte Tracking-Methoden also der Boden gut bereitet. Die früher häufig geäußerte Sorge, dass mit der Cookie-Richtlinie eine Zustimmungspflicht gefordert würde oder gar ein faktisches Cookie-Verbot geplant sei, hat sich als unbegründet erwiesen.

Die Rahmenbedingungen des Trackings haben sich geändert

Trotz dieser guten Voraussetzungen haben sich in den vergangenen Monaten die Rahmenbedingungen für das Tracking geändert und die Herausforderungen verschärft. Dem cookiebasierten Tracking attestiert inzwischen selbst der wirtschaftsfreundliche Bundesverband Digitale Wirtschaft   einen Bedeutungsverlust. Vor allem sogenannte Third-Party-Cookies, zentrales Element aller Tracking-Technologien, sind in Verruf geraten. Dies hat dazu geführt, dass

• immer mehr Nutzer aktiv Schutzmaßnahmen wie Adblocker installieren, um dem Tracking zu entgehen. Der Trend ist inzwischen tragfähig genug um ganze Unternehmen wie Eyeo oder eBlocker darauf zu gründen.
  
• In der Folge gehen relevante Browser- und Betriebssystemanbieter wie Mozilla   oder Apple   dazu über, das Cookie-Handling per Default strenger zu handhaben und eigene Adblocker zu installieren. Insbesondere Third-Party-Cookies unterliegen meist einem deutlich strengere Regime.

Diese Entwicklung wird durch signifikante Änderungen in der Nutzungsgewohnheit verschärft. Während vor wenigen Jahren der Großteil der Internet-Nutzung noch über Personal Computer abgewickelt wurde, haben sich die Nutzungsszenarien inzwischen drastisch verändert:

• Immer mehr Endgeräte mit neuen Betriebssystemen werden genutzt (Smartphone / Tablet / Laptop / Desktop / Smart-TV). Ein Trackingverfahren muss daher auf allen Geräten funktionieren und den Nutzer geräteübergreifend identifizieren.
  
• Der Browser verliert zunehmend an Bedeutung. Stattdessen gewinnen Apps und gänzlich unabhängige Systeme wie Wearables, Connected Cars, Musiksysteme, Smart Home und IoT-Devices an Gewicht. Solche Walled Garden stellen besondere Ansprüche ans Tracking.
  
• In der durchgängig digitalisierten Welt ist eine klare Kanalabgrenzung unerwünscht, komplexe Customer Journeys müssen unterstützt werden. In Zeiten von Omnichannel-Handel und Crosschannel-Marketing muss eine Trackinglösung umfassend alle Kontaktpunkte (inklusive dem POS) umfassen.

Während cookiebasierte Trackingverfahren auf der einen Seite mit einem Bedeutungsverlust in ihren angestammten Anwendungsbereichen kämpfen, bieten sie auf der anderen Seite keine zufriedenstellenden Lösungen für zukunftsrelevante Herausforderungen.

So stellt sich unterm Strich die Frage, welche Tracking-Systeme die Herausforderungen meistern werden und in Zukunft eine Rolle spielen werden. Oder anders ausgedrückt:

Technische Analyse: Sieben Tracking-Methoden für Marketing und E-Commerce

iBusiness hat die alternativen Tracking-Methoden darauf hin untersucht, ob sie geeignet sind, die Herausforderungen der Zukunft zu lösen.

Legende
Anforderung voll erfüllt:
Anforderung überwiegend erfüllt:
Anforderung kaum erfüllt:
Anforderung nicht erfüllt:

Folgende Aufgaben gilt es zu meistern:

1. Robustheit / Nutzerakzeptanz: Eine Trackinglösung muss robust funktionieren, so dass sie nur schwer umgangenen werden kann. Alternativ muss die Nutzerakzeptanz so hoch sein, dass die Technologie nicht ausgeschaltet wird.
   
2. Crossdevice-Tracking: Die Lösung muss in der Lage sein, einen Nutzer auf mehreren Geräten zu identifizieren.
   
3. Crosschannel-Tracking: Die Lösung muss den Nutzer über eine Vielzahl von Kanälen tracken und auch Offline-Touchpoints einschließen.

Selbstverständlich kann eine Tracking-Lösung auch mehrere Technologien kombinieren, um zu einem besseren Ergebnis zu gelangen.

1. Fingerprinting (Browser/Canvas)

Bewertung nach Zukunftsfähigkeit
Robustheit
Crossdevice-Tracking:
Crosschannel-Tracking:

Beim Fingerprinting wird eine bestimmte Kombination von Hard- und Software-Merkmalen erkennt (Browser, -PlugIns, Betriebssystem, Landes- und Spracheinstellungen, Zeitzone, Auflösung etc.). Auf einem PC ergibt sich eine riesige Menge möglicher Kombinationen. Beim Browser-Fingerprinting werden die Informationen durch kleinen JavaScript ermittelt, beim Canvas-Fingerprinting erzeugt ein JavaScript über eine HTML-Funktion eine Grafik, die sich je nach eingesetzter Hard-/Software-Kombination minimal unterscheidet (Kantenglättung, Anti-Alising, Grafikarte und -treiber, Rechengeschwindigketi etc.). In beiden Fällen wird das Ergebnis in einen Zahlenwert (Hash) umgewandelt und an die Tracking-Software übermittelt.

Vorteile:

• Die Merkmalskombination kann zu einem (nahezu) eindeutigen Schlüssel werden, wenn genügend Merkmale abgefragt werden. Canvas-Fingerprinting ist reduzierter, die Genauigkeit liegt aber immer noch bei circa 5 bis 20 Prozent.
  
• Das Verfahren kann nur verhindert werden, wenn JavaScript ausgeschaltet wird. Darunter leidet aber das Surferlebnis. Adblocker erkennen allerdings die Fingerprinting-Methode und sorgen für unbrauchbare Werte.

Nachteile:

• Die Merkmalskombination ändert sich mit der Zeit, weil beispielsweise Updates installiert werden.
  
• Je mehr Merkmale abgefragt werden, desto höher ist die Wahrscheinlichkeit, dass eine die Identifikation durch eine Änderung im System gestört wird. Anders gesagt: Je genauer die Identifizierung, desto kürzer die Haltbarkeit.
  
• Es wird das Gerät, nicht der Nutzer identifiziert.
  
• Nicht für Smartphones und Tablets geeignet. Die Geräte ähneln sich zu stark.

Strategischer Ausblick:
Das Verfahren eignet sich nicht, um dauerhaft Nutzerinformationen zu speichern. Dazu verfällt der Wert zu schnell. Für reine Online-Marketing-Zwecke ist der Zeitraum allerdings zumeist ausreichend. Crosschannel- oder Crossdevice-Tracking lässt sich mit dieser Technologie nicht erzielen.

2. eTag-Tracking

Bewertung nach Zukunftsfähigkeit
Robustheit
Crossdevice-Tracking:
Crosschannel-Tracking:

Bei jeder Übertragung zwischen Webserver und Webbrowser wird mit den Headerinformationen der sogenannte Entity Tag (kurz: E-Tag) übertragen. Er wird für das Browsercaching genutzt und enthält eine Prüfsumme, die mitteilt ob das angeforderte Element bereits im Cache enthalten ist. Weicht die Prüfsumme ab, wird das Element neu übermittelt; ist sie gleich, verwendet der Browser das vorhandene Element.

Zu Tracking-Zwecken wird eine Grafik mit einer Abmessung von 1x1 Pixel auf jeder zu trackenden Website untergebracht werden. Der E-Tag-Wert wird dabei als ID zweckentfremdet, so dass der Nutzer wiedererkannt wird. Der E-Tag kann sowohl vom Server, als auch vom Client (per JavaScript) ausgelesen werden. Userprofile lassen sich so auf die selber Weise wie mit einem Cookie erzeugen.

Vorteile:

• Äußerst robust. Das Tracking ist unabhängig von Cookies oder IP-Adressen und überlebt sogar VPN-Verbindungen. Es ließe sich nur verhindern, wenn er mit jedem Seitenaufruf seinen Browsercache löscht. Dies würde den Nutzer aber erheblich in seinem Surfverhalten einschränken.
  
• Das Tracking funktioniert domainübergreifend.

Nachteile:

• Wird beim Schließen des Browsers der Caches gelöscht, bleibt das Tracking auf eine Session beschränkt. Für mobile Anwendungen ist dies jedoch nicht sinnvoll.
  
• Der User hat keine eigene Möglichkeit zum Opt-Out. Dies macht den Einsatz rechtlich problematisch. Das Opt-Out muss durch den Anbieter bereitgestellt werden.

Strategischer Ausblick:
Das Verfahren ist deutlich robuster als Cookies und kann beinahe den gleichen Zweck erfüllen. Erreicht wird dies allerdings durch den nicht bestimmungsgemäßen Gebrauch einer Funktion. Dies führt zu einer rechtlichen Problematik. Der Trackinganbieter muss eine Lösung für den Opt-Out anbieten. Allerdings hat der Nutzer von außen gar keine Möglichkeit, nachzuweisen, dass er getrackt wird. Er kann den Opt-out daher nur schwer einfordern.

3. Local Storage (auch Web Storage, DOM Storage)

Bewertung nach Zukunftsfähigkeit
Robustheit
Crossdevice-Tracking:
Crosschannel-Tracking:

Mit HTML5 wurde ein Verfahren eingeführt, mit dem sich Daten permanent auf dem Client-Computer speichern lassen. Zuvor war dies Webseiten aus Sicherheitsgründen grundsätzlich nicht erlaubt. Local Storage (Web Storage und DOM Storage) wurde im Jahre 2013 seitens des World Wide Web Consortium (W3C) standardisiert und gibt die Möglichkeit Daten strukturiert abzulegen. Dies macht HTML5 Local Storage ist deshalb sehr flexibel und kann ähnlich wie Cookies dazu verwendet werden, um den Nutzer wiedererkennbar zu machen

Moderne Browser bieten dem Nutzer vergleichbare Möglichkeiten zur Verwaltung von Local-Storage-Daten wie zur Verwaltung von Cookies: Man kann sich die Daten auflisten lassen und (gesamt oder gezielt) löschen. Apples Safari-Browser regelt die Zugriffsrechte nach vergleichbaren Regeln wie bei 3rd-Party-Cookies. Das heißt, dass ein JavaScript von Website A nicht auf Daten zugreifen kann, die durch Website B abgelegt wurden. Für den Firefox-Browser ist ein ähnliches Verhalten geplant. Man kann daher davon ausgehen, dass in Zukunft stärkere Zugriffsbeschränkungen gelten werden, die denen für 3rd-Party-Cookies ähneln.

Vorteile:

• Das Verfahren ähnelt Cookies. Es wird lediglich ein anderer Mechanismus genutzt

Nachteile:

• Die Verwendung von Local Storage ist nur mit JavaScript möglich. Deaktiviert der Nutzer JavaScript, unterbindet er das Tracking. Allerdings beeinträchtigt das zugleich die Nutzung vieler Websites.
  
• Moderne Browser bieten dem Nutzer vergleichbare Möglichkeiten zur Verwaltung von Local-Storage-Daten wie zur Verwaltung von Cookies.
  
• Apple Safari-Browser wendet strenge Zugriffsregeln für DOM-Daten an (Website A kann nicht auf Daten von Website B zugreifen).
  
• Andere Browser-Hersteller streben ähnliche Verfahren an

Strategischer Ausblick:
Local Storage oder Cookies - weder bei den Vor- noch bei den Nachteilen nehmen sich die beiden Verfahren etwas. Cookies sind vielen Anwendern jedoch vertrauter. Dies kann dazu führen, dass sie Cookies aktiv löschen, aber das DOM-Management übersehen. Umgekehrt kann dies auch ein Nachteil sein, da sie Cookies eher trauen und wieder freigeben, während sie mit dem Begriff DOM-Daten nichts anfangen können und misstrauischer sind.

4. Flash-Cookies

Bewertung nach Zukunftsfähigkeit
Robustheit
Crossdevice-Tracking:
Crosschannel-Tracking:

Bei Flash-Cookies handelt es sich um Dateien, die durch den Flashplayer auf dem lokalen Endgerät abgelegt werden. Ursprünglicher wurden sie eingeführt, um einer Website zu ermöglichen, browserübergreifend die Einstellungen für den Flashplayer zu verwalten. Ebenso gut lässt sich aber auch eine User-ID zu Tracking-Zwecken unterbringen und auslesen. Für Flashcookies gelten geringere Restriktionen als für Browsercookies. Sie haben kein zeitliches Verfallsdatum, überstehen das Löschen der Browser-Cookies, lassen sich nicht über die Datenschutzeinstellungen im Browser ablehnen und können Browserübergreifend ausgelesen werden. Der Microsoft Internet Explorer und Google Chrome lassen die Flash-Unterstützung ebenfalls auslaufen.

Vorteile:

• Browserübergreifend, keine zeitliche Beschränkung

Nachteile:

• Wenig zukunftsfähig / Verbreitung von Flash-Playern nimmt ab
  
• Für mobile Endgeräte kaum geeignet.
  
• Flashcookies lassen sich durch ein über den Einstellungsmanager gesetztes Sperrcookie generell verbieten

Strategischer Ausblick:
Flash-Cookies gehören zu den Auslaufmodellen im Marketing.

5. Authentication Cache

Bewertung nach Zukunftsfähigkeit
Robustheit
Crossdevice-Tracking:
Crosschannel-Tracking:

Eine Nischenanwendung. Bei dieser Methode wird der Browser dazu gebracht, ein Passwort geschütztes Element von der Website anzufordern. Dies misslingt im ersten Versuch und der Server liefert mit der Fehlermeldung eine individuelle Nutzername/Passwort-Kombination mit. Ein JavaScript wertet den String aus und lädt das Element im zweiten Versuch nach. Passwort und Nutzername bleiben im Authentication Cache des Browsers gespeichert und werden bei jedem Abruf des Trackingpixels neu übertragen.

Vorteile:

• Das Verfahren ist vom Nutzer nur durch eine Analyse des Datenverkehrs zu erkennen.
  
• Apples Browser Safari geht sehr restriktiv mit 3rd-Party-Cookies um, speichert aber Nutzername und Passwort für eine sehr lange Zeit im Cache.

Nachteile:

• Die meisten Browser nutzen den Authentication Cache nur solange eine Session läuft. Sobald das Browserfenster geschlossen wird, wird der Cache gelöscht.

Strategischer Ausblick:
Die Authentication Cache-Methode ist nur ergänzend interessant, um Apples restriktiven Umgang mit 3rd-Party-Cookies zu umgehen.

6. IDs in mobilen Geräten (Apple iOS / Google Android)

Bewertung nach Zukunftsfähigkeit
Robustheit
Crossdevice-Tracking:
Crosschannel-Tracking:

Sowohl bei Android- als auch bei iOS-Geräten können Cookies auch in Apps gesetzt werden, in dem eine HTML-View-Funktion aufgerufen wird. Allerdings kann dieser Cookie nur von der gleichen App gelesen werden. Daher ist es beispielsweise unmöglich, den Nutzer einer Wetter-App wiederzuerkennen, wenn er den Browser öffnet. Beide Systeme kennen jedoch sogenannte Advertising-IDs, die einen Nutzer eindeutig kennzeichnen. Die IDs können vom Werbungtreibenden ausgelesen werden, sofern der Nutzer dies in den Grundeinstellungen erlaubt hat.

Vorteile:

• Eindeutige Identifikation
  
• Klare Nutzungsregeln
  
• In hohem Maße rechtssicher, da der Nutzer in den Nutzungsbestimmungen sein Einverständnis erteilt hat.

Nachteile:

• Nutzer kann die Zustimmung jederzeit entziehen

Strategischer Ausblick:
Die fairste Methode, um an Nutzungsdaten zu gelangen. Auf der einen Seite kann der Anwender sehr transparent seine Zustimmung zum Tracking entziehen. Auf der anderen Seite erhält der Tracking-Anwender eine eindeutige ID für den Nutzer. Erfordert die App eine Registrierung, lässt sich ein geräteübergreifendes Tracking realisieren. Außerdem lässt sich über diese Methode auch ein Tracking am POS ermöglichen, indem beispielsweise iBeacon, Ultrasonic, Couponing oder Payment-Funktionen in die App integriert werden.

7. Sign-In-Dienste / Common-IDs

Bewertung nach Zukunftsfähigkeit
Robustheit
Crossdevice-Tracking:
Crosschannel-Tracking:

Nutzung des Angebots ist nur nach einer Registrierung möglich. Der Betreiber generiert für jeden seiner Nutzer eine ID, die er als Cookie speichert. Bei jedem Anmeldevorgang kann der Cookie erneuert werden. Während einer Session kann zudem eine Session-ID erzeugt werden. Der Nutzer gibt bei der Registrierung sein Einverständnis zum Tracking. Große Portale, die selbst über einen Adserver verfügen (Google, Facebook, Amazon, Yahoo etc.) können die User über das Cookie auch außerhalb der eigenen Website identifizieren. Über Schnittstellen (Social-Plug-Ins) oder Sign-In-Dienste wie Facebook Connect lassen sich zudem übergreifende Profildaten sammeln. Apps für die mobile Nutzung erlauben darüber hinaus ein zuverlässiges Cross-Device-Tracking. So lassen sich auch geräteübergreifende Profile erstellen

Der Gebrauch von Common-IDs zur Profilbildung durch Dritte kann vom Nutzer unterbunden werden, indem er sich nach Nutzung eines Log-in-Portals stets abmeldet und seinen Browser während des Log-in-Status nicht zum Besuch anderer Web-Angebote nutzt.

Vorteile:

• Hohe Rechtsicherheit durch Einwilligung des Nutzers
  
• Hohe Robustheit, durch wiederkehrende User-Indentifikation
  
• Cross-Device-Tracking
  
• Domain-Übergreifendes Tracking durch Social-PlugIns und Adserver

Nachteile:

• Nutzer müssen zu einer hohen Nutzungsfrequenz gebracht werden
  
• Nutzer erwarten einen transparenten Gegenwert, bevor er den Anmeldeprozess auf sich nimmt.
  
• Meldet sich der Nutzer regelmäßig von seinem Portal ab, kann er zumindest die Profilbildung durch Dritte, die Common-IDs nutzen untersagen.

Strategischer Ausblick:

Der Königsweg im Tracking besteht darin, die Nutzer in einem eigenen Ökosystem zu registrieren und anschließend zu tracken. Sign-In ist die einzige Methode, die alle geforderten Anforderungen erfüllt und daher zukunftsfähig ist. Außerdem ist das System durch das weitgehende Nutzereinverständnis auch in hohem Maße rechtssicher. Alle anderen Tracking-Technologien sind daher eher als Hilfs-Techniken zu betrachten.

Was also können kleine Seiten tun, um den Nutzer nicht zwischen den Endgeräten oder an die Großen zu verlieren? Eine Option wäre der Aufbau von Datenallianzen. Indem mehrere kleine Marken und Dienstleister ihre Erkenntnisse datenschutzkonform synchronisieren, können sie den Wert ihrer Daten erhöhen und Lücken im Tracking schließen.

Es wird in der Zukunft verstärkt auf solche Kooperationen ankommen und darauf, Brücken zwischen verschiedenen Etappen der Customer Journey zu bauen, über die man dem Nutzer folgen kann.

Grundsätzlich wird es für alle kleinen Webseiten und solche, die keine Kooperationen generieren können, schwerer. Es wird immer komplizierter, die Herausforderungen zu bewältigen und nur wenige sind sich bewusst, wie fragwürdig die Validität dessen ist, was sie da an Werbewirksamkeit messen. Eben weil sie immer nur ein Gerät und damit bloß einen Ausschnitt messen. Hier muss und wird sich aber zukünftig ein Anbietermarkt entwickeln, der auch auf die Bedürfnisse von kleinen Websites ausgerichtet ist und die Komplexität für diese Websites reduziert.

Vor diesem Hintergrund bieten sich vier Szenarien für die Trackingzukunft und die künftige Kontrolle der Customer Journey an: