Karte der Drittanbieter-Anfragen

Eine Seite wird aus vielen Servern zusammengesetzt

Die Adresse in der Browserleiste nennt eine Website, aber das zurückgelieferte HTML ist in Wahrheit eine Liste von Besorgungen. Hol diese Schrift bei Google, dieses Skript bei einem Tag Manager, diesen Videoplayer bei YouTube. Der Browser tut, was man ihm sagt, und öffnet eine Verbindung zu jedem dieser Hosts. Jeder Host, der nicht zur besuchten Website gehört, ist ein Drittanbieter.

Keine dieser Verbindungen ist anonym. Jede trägt die IP-Adresse des Besuchers, Browser und Betriebssystem im User-Agent-Header und normalerweise einen Referer-Header, der die Website oder genau die gelesene Seite nennt. Hat der Drittanbieter in diesem Browser schon einmal ein Cookie abgelegt, auf irgendeiner Website, geht das Cookie mit. Eine Firma, die auf vielen Websites vertreten ist, kann so eine Person wiedererkennen, die zwischen ihnen wechselt. Oft hat der Websitebetreiber nichts davon bewusst gewählt, und ein Theme oder ein Plugin hat die Anfrage hinzugefügt.

Wie die Karte entsteht

Unser Server lädt die Seite herunter und liest ihren Quelltext. Er sammelt die Hosts, die in Skripten, Stylesheets, Bildern und srcset-Listen, Medien, iframes, preconnect- und preload-Hinweisen, Formularzielen, CSS-url()-Werten und Tracking-Pixeln in <noscript> genannt sind. Lädt die Seite den Google Tag Manager, holen wir auch die Container-Datei (höchstens zwei Container) und durchsuchen sie nach Diensten, die sie einfügen kann.

Jeder Host wird mit einer Liste von rund 120 bekannten Diensten verglichen. Daraus ergeben sich Name, Eigentümer, Land des Firmensitzes und Kategorie. Hosts ohne Treffer werden nach Domain gruppiert und als nicht identifiziert angezeigt. Eine Adresse, die bloß in einem eingebetteten Skript steht, wird nur behalten, wenn sie zu einem bekannten Dienst gehört, denn Skripte erwähnen viele Adressen, die sie nie aufrufen.

Bis zu 40 Hosts werden anschließend lokalisiert. Eine DNS-Abfrage liefert eine IP-Adresse, und der IP-to-ASN-Dienst von Team Cymru liefert das Netz, das diese Adresse ankündigt, und das Land, in dem der Block registriert ist. Die Tabelle ist von der aufdringlichsten Kategorie zur harmlosesten sortiert: Werbung, Analyse, soziale Medien, Marketing, Chat, Video, Karten, Formulare, Zahlung, Schriften, Bot-Schutz, Einwilligungstools, Bibliotheken, Hosting. Der Zähler „Tracking“ addiert die ersten vier.

Drei Bedeutungen von „wo“

Wo der IP-Block registriert ist

Das zeigt die Karte. Es ist eine verwaltungstechnische Tatsache, festgehalten von den regionalen Internet-Registries.

Wo die antwortende Maschine steht

Große Netze kündigen dieselbe Adresse aus Rechenzentren auf allen Kontinenten an und leiten jeden Besucher zum nächstgelegenen. Ein in den USA registrierter Block kann für einen Besucher in Deutschland aus Frankfurt beantwortet werden, und die Daten können danach anderswohin kopiert werden.

Wo die Firma ihren Sitz hat

In der Tabelle als „HQ“ angezeigt. Davon hängt ab, welche Gerichte und Behörden von der Firma Daten verlangen können, egal wo ihre Maschinen stehen.

Gesetze zu internationalen Datenübermittlungen schauen vor allem auf die dritte Bedeutung und auf den geltenden Vertrag. Nach Kapitel V der DSGVO dürfen personenbezogene Daten den Europäischen Wirtschaftsraum nur in ein Land verlassen, für das ein Angemessenheitsbeschluss vorliegt, oder mit Garantien wie Standardvertragsklauseln.

Die Liste kürzen

• Entfernen Sie, was niemand nutzt. Pixel aus beendeten Kampagnen und Widgets aus deinstallierten Plugins melden jahrelang weiter.
• Liefern Sie statische Dateien selbst aus. Schriften, Icon-Sets und Skriptbibliotheken lassen sich auf Ihre eigene Domain kopieren. Mit HTTP/2 ist das meist schneller als ein öffentliches CDN, denn Browser teilen zwischengespeicherte Dateien nicht mehr zwischen Websites.
• Laden Sie Einbettungen erst bei Bedarf. Zeigen Sie anstelle eines Videos oder einer Karte ein Bild und laden Sie das Echte per Klick. Das Tool Einbettung per Klick schreibt diesen Code.
• Verraten Sie den verbleibenden weniger. Referrer-Policy: strict-origin-when-cross-origin schickt Drittanbietern Ihre Domain statt der vollständigen Seitenadresse.
• Verhindern Sie, dass die Liste wieder wächst. Ein Content-Security-Policy-Header wirkt wie eine Positivliste. Ein Host, der nicht darauf steht, kann nicht aufgerufen werden, egal was ein Plugin hinzufügt.