FAQ: Browser-Cookies

Ein Cookie (deutsch: Keks) ist ein kurzer Eintrag in einer Datenbank oder in einem speziellen Verzeichnis, die beziehungsweise das der Browser verwaltet. Ein Cookie besteht aus mindestens zwei Bestandteilen, seinem Namen und einem Wert. Außerdem kann ein Cookie Angaben über seinen zweckmäßigen Gebrauch enthalten, zum Beispiel ein Ablaufdatum für die Gültigkeit.

Websites können den Browser beim Abruf einer Seite dazu veranlassen, ein oder mehrere Cookies zu speichern. Ruft der Surfer die Seite später wieder auf, überträgt der Browser die zu der Site gehörenden Cookies an den Server. Cookies dienen Website-Betreibern unter anderem dazu, Informationen zeitlich beschränkt im Browser ihrer Besucher zu speichern. So lassen sich zum Beispiel Optionen des Benutzers festhalten, damit dieser sie nicht bei jedem Besuch der Site erneut eingeben muss.

Von Cookies als solchen geht keine Gefahr aus: Ein Cookie ist ein Datenschnipsel, das nicht selbstständig etwas ausführen kann. Nichtsdestotrotz lassen sich Cookies einsetzen, um Profile von Surfern anzufertigen. Das hat damit zu tun, dass Cookies nicht zwangsläufig nur von der Website stammen müssen, die man abruft. Wenn die Website Inhalte von einem anderen Server einbindet – was zum Beispiel bei Werbeinhalten geschieht –, dann kann auch die eingebundene Site Cookies setzen und auslesen.

Ein Werbeanbieter bettet Inhalte auf etlichen Websites ein. Wenn er per Cookie im Browser eines Surfers eine eindeutige Kennung speichert, so kann er den Browser auf jeder Seite wiedererkennen, die zum Werbenetzwerk gehört. Im Laufe der Zeit ergibt sich aus den Besuchen verschiedener Sites ein recht detailliertes Bild. Auch die umstrittenen Social Plug-ins von Facebook benutzen Cookies, um den Benutzer wiederzuerkennen, wenn er auf Seiten außerhalb des sozialen Netzwerks surft.

Wer sich ein Bild verschaffen will, von welchen Werbeunternehmen er bereits Cookies erhalten hat, kann sich auf den Seiten der Network Advertising Initiative (NAI) darüber informieren, einem Zusammenschluss der amerikanischen Online-Werbetreibenden. Deutsche Werbefirmen informieren unter www.meine-cookies.org über ihre Cookies.

Welche Cookies der Browser gespeichert hat, lässt sich in dessen Datenschutzoptionen einsehen. Bei Firefox finden sie sich im Reiter „Datenschutz“ der Einstellungen unter dem Link „einzelne Cookies“. Der Internet Explorer zeigt sie an, wenn man im Bereich „Browserverlauf“ des Reiters „Allgemein“ der Internetoptionen den Knopf „Einstellungen“ und anschließend den Knopf „Dateien anzeigen“ drückt. In der langen Liste erkennt man die Cookies an dem vorangestellten „cookie" im Dateinamen.

Chrome listet Cookies auf, wenn man in den Optionen unter „Details“ auf den Knopf „Inhaltseinstellungen“ und auf der sich öffnenden Seite auf den Knopf „Alle Cookies und Websitedaten …“ klickt. Unter Opera lassen sich die Cookies am einfachsten anzeigen, wenn man den Menüpunkt „Einstellungen\Internetspuren löschen …“ auswählt und im sich öffnenden Dialog auf „individuelle Auswahl“ und anschließend auf „Cookies verwalten“ klickt.

Alle wichtigen aktuellen Browser bieten über ihre Cookie-Verwaltung die Möglichkeit, Cookies selektiv oder komplett zu löschen. Dort kann man auch Vorgaben machen, welche Cookies der Browser grundsätzlich (nicht) speichern darf. Eine gute Vorgabe ist es, Cookies der Ursprungsseiten zu akzeptieren, von Drittanbietern aber nicht. Alle Browser ermöglichen eine solche Einstellung, der Screenshot zeigt die betreffende Einstellung am Beispiel von Chrome. Auf diese Weise kann der Browser Einstellungen der besuchten Seiten speichern, Werbenetze kommen aber nicht zum Zug. Daneben gibt es noch Browser-Add-ons wie das Cookie Monster für den Firefox, mit denen sich Cookies noch detaillierter verwalten lassen (siehe c’t-Link).

Das Blockieren von Drittanbieter-Cookies hebelt das Tracking per Cookies aus. Ein neues Konzept namens „Do not Track“ verfolgt einen anderen Weg, um Tracking durch Cookies und andere Techniken zu unterbinden. Dabei überträgt der Browser beim Abruf einer Seite einen http-Header, der signalisiert, dass der Benutzer nicht getrackt werden will. Der Website-Betreiber ist dann aufgefordert, Tracking-Verfahren grundsätzlich zu unterlassen.

Do not Track fehlt noch die breite Unterstützung durch die Browser-Hersteller und die Werbeindustrie. Derzeit unterstützen nur Firefox, der Internet Explorer 9 und Safari 5.1 unter Mac OS den Standard. Die Werbeindustrie könnte allerdings durch ein zum Entwurf eingereichtes Gesetz zumindest in den USA gezwungen werden, Do not Track zu unterstützen.

Außer Cookies gibt es eine Reihe weiterer Tracking-Verfahren. Das am weitesten verbreitete sind Flash Cookies, die den Speichermechanismus des Browser-Plug-ins Flash nutzen. Flash Cookies kann man mit einem Online-Werkzeug beim Flash-Hersteller Adobe (siehe c’t-Link) oder von Hand löschen. Unter Windows steht dafür unter Systemsteuerung\Alle Systemsteuerungselemente\Flash Player ein Verwaltungswerkzeug bereit.

Der Begriff „Supercookie“ oder „Evercookie“ ist ein eher theoretischer Ansatz, der eine ganze Reihe von Speichertechniken kombiniert, um daraus über eine JavaScript-Programmierschnittstelle ein schwer zu löschendes Cookie zu bilden, das einzelne Cookie-Teile wiederherstellt, wenn es nicht komplett gelöscht wird. In der Praxis spielt das Evercookie aber keine Rolle. (jo)