Ahnungslose Anwälte verbreiten unabsichtlich Unsinn?


Vor einigen Tagen haben wir ja im 3SEPO-Blog eine eigene 2-Klick-Lösung für das Teilen von Inhalten mittels “sozialer” Netzwerke eingebaut und einen Testlauf gestartet. Nachdem in diversen Kanälen mal wieder panisch die Wellen hochschlagen, daß die Datenschützer wieder einmal auf dem Kriegspfad seien, haben wir uns trotz Beta-Stadiums für einen Einbau des Scripts auf http://trisepo.com entschieden und dort eine entsprechende Implementierung vorgenommen. Insofern mußten wir auch bei der Datenschutzerklärung nachziehen. Und dabei ist uns etwas aufgefallen. Es gibt ja bekanntlich etliche Rechtsanwaltskanzleien, die einem hilfreich mit vorgefertigten Datenschutzerklärungen zur Seite stehen, wenn man eine datenschutzkonforme Lösung implementiert – oder auch nicht. Ein wichtig klingender Hinweis auf das Ausloggen bei Facebook – das reicht vielen schon. Jedenfalls wird dieser (in unseren Augen) Unsinn von Hunz und Kunz kopiert – das Netz ist voll davon. Jedenfalls heißt es in einer diesbezüglichen Datenschutzerklärung:

“Sofern Sie während des Besuchs unserer Website den Verweisen folgen und über Ihr persönliches Benutzerkonto bei Facebook eingeloggt sind, wird die Information, daß Sie unsere Website besucht haben, an Facebook weitergeleitet. Den Besuch der Website kann Facebook ihrem Konto zuordnen. Diese Informationen werden an Facebook übermittelt und dort gespeichert. Um dies zu verhindern müssen Sie sich vor dem Klick auf den Verweis aus Ihrem Facebook-Account ausloggen.”

Was ist denn ein “Verweis”? Ein stinknormaler interner/externer Link (z.B. auf das Impressum des Seitenbetreibers oder auch ein Link zu einer anderen Website…) – sicher. Und das ist eigentlich auch gemeint. Aber: Auch wenn der Like-Button wohl kaum im Sinne dieser Formulierung gemeint ist, da man ihm nicht (sinnvoll) folgen kann, wenn man nicht eingeloggt ist – auch er ist ein “Verweis”. Es erscheint dann ein Popup, um sich einzuloggen. Aber egal, ob ich mich nun unsinnigerweise auslogge, um mir ein Login-Fenster anzusehen, in dem ich mich dann nicht einlogge und es wieder schließe – oder ob ich einen normalen Link anklicke: Ein Browser übermittelt Referrer, wenn ich die nicht explizit im Browser ausschalte. Solange ich einen “normalen” Link nach dem Muster <a href=”Netzwerk-URL”>{Text|Bild}</a> (z.B. Impressum) anklicke – kein Problem.  Problematisch wird es, wenn ich durch die Formulierung glaube, ich könnte auch mal testhalber auf den Like-.Button klicken, wenn ich ausgeloggt bin – schließlich kann ja nichts passieren – ich bin ja nicht eingeloggt… Das ist zwar relativ unsinnig – aber es ist auch ein Trugschluß !!! Denn das Popup zum Login wird von Facebook geladen – und da haben wir das Problem! Oder – was etwas realistischer ist – ich nutze auf der Seite irgend einen Link zu Facebook – um mich natürlich erst dann und dort einzuloggen… Nach der o.g. schwammigen Formulierung sollte ich ja wohl – weil ich derzeit nicht eingeloggt bin – noch anonym sein, oder?

Gerade die Damen und Herren Rechtsanwälte, die immer bei allem und jedem so überpingelig sind, sollten es besser wissen und diese Empfehlung genauer formulieren! Denn lt. obiger Passage habe ich, wenn ich ausgeloggt bin, förmlich einen Freibrief, auf ALLES auf der Seite zu klicken… UND DAS IST GANZ GROßER KÄSE !!! Und genaugenommen – wenn auf der Seite keine 2-Klick-Lösung eingebaut wurde (bei der ich erst die Zustimmung zum Nachladen geben muß) – in Verbindung mit den Standardplugins ist diese Formulierung vollkommen sinnfrei, da in den Serverlogs neben der IP, anderen hübschen Sachen wie Protokoll, Zeitstempel, Browser usw. auch zu finden ist, was (z.B. ein Plugin-Script) von welcher Seite (die, von der ich nicht möchte, daß Facebbok weiß, daß ich dort war) angefordert wurde.

Bin ich auf Seite A und nicht (mehr) bei Netzwerk B eingeloggt, klicke aber auf Seite A einen Link, um mir bei B etwas aufzurufen, kann jedes zweitrangige Web-Analysetool bei B auslesen, daß ich von A gekommen bin (es sei denn, ich habe die Übertragung des Referrers ausgeschaltet). Ich komme also mit meiner IP-Adresse und der Info, daß ich von A komme, durchs Netz angewatschelt, um an die Pforten von B zu klopfen.

Und ob nun Meier, Müller, Lehmann oder Schulze 10 min vorher mit dieser IP bei B eingeloggt war, läßt sich ja wohl sogar von einem Praktikanten bei B herausbekommen, wenn in irgendwelchen Log-Dateien oder Datenbanktabellen steht, wer wann mit welcher IP eingeloggt war.

Ok, sitzt Müller nun mit Meier im Netzwerk hinter einem Router, ist es noch geringfügig anders. Aber immerhin könnte B in Erfahrung bringen, daß jemand von Meier-Müller Inc. auf Seite A war.

Also ist unsere bescheidene Meinung, daß Ausloggen gar nichts bringt. Ich benötige mindestens eine neue IP-Adresse, um den Vorgang zu erschweren. Und dann hat man noch nicht die Cookie-Problematik geprüft. Denn egal, mit welcher IP ich bei B angewackelt komme – B kann (wenn ich es nicht im Browser verbiete) Cookies setzen. Und noch schlimmer: B kann Cookies auslesen. Und je nachdem, was darin abgelegt ist, erkennt man mich ja (oder glaubt zumindest, mich zu erkennen) vielleicht trotz meiner neuen IP?

Denn lt. dieser Vorgehensweise ist folgendes denkbar:
- Müller ist bei Netzwerk B eingeloggt und hat IP: 93.157.160.188
- Zeitpunkt, IP und Benutzer werden bei B protokolliert oder/und im Cookie abgelegt
- Müller loggt sich bei B aus
- Müller besucht Seite A
- Seite A nutzt zwar eine “2-Klick-Lösung”, doch Müller klickt bloß auf den “Verweis” (und landet auf der Login-Seite, die nicht per bei A gehostetem Javascript “on the fly” generiert sondern von B geladen wird)
- Referrer A wird dabei übermittelt und wird mit Zeitpunkt und IP 93.157.160.188 gespeichert
- über Zuordnung IP «-» Referrer und  Zuordnung IP «-» Benutzer (über Cookie oder Datenbank, siehe Zeile 2) ist nun Zuordnung Referrer «-» Benutzer möglich

Und wenn dann noch Langzeit-Cookies existieren, kann man sogar noch diesen PC mit mal vorhanden gewesenen anderen Benutzern des Netzwerks B und anderen IPs in Verbindung bringen.

Ok, man ordnet die IP zu – bzw. den PC. Aber selbst, wenn B auf diese Weise so manch falsches Bewegungsprofil erstellt, weil Meier, Müller, Schulze und Lehmann im Internet-Cafe dieselbe IP hatten oder weil Ina, Günther und klein Fritzchen Neumann alle 24 Stunden zwar mit neuer IP aber demselben PC unterwegs sind – wie viele Profile dürften wohl dennoch annähernd stimmen? Und wie viele davon wären der Werbewirtschaft teures Geld wert?

Wer es nicht glaubt: http://srv1.trisepo.com als Seite A und http://srv2.eitico.de als Netzwerk B !!! Einfach mal rumspielen. Bei B einloggen, bei B ausloggen, zu A gehen, irgendeine Unterseite  wählen (vielleicht sogar zwischendurch IP wechseln und Browser schließen) und zurück zu Netzwerk B… Das ein paar mal machen und dann die erfaßten Daten beäugen. Es dürfte ziemlich viel dabei sein, wo UNBEKANNT dieselbe IP hat wie Müller – oder, trotz verschiedener IPs oder nicht eingeloggten Zustands die gleiche Session-Id:

Zeit Herkunft Identität IP-Adresse Session-ID
22:28:58 SRV1.TRISEPO.COM/ SCHULZE 93.214.33.157 cf9c93e0…6ac3d31b32058a
22:28:50 SRV2.EITICO.DE/ SCHULZE 93.214.33.157 cf9c93e0…6ac3d31b32058a
22:28:45 SRV1.TRISEPO.COM/ UNBEKANNT 93.214.33.157 cf9c93e0…6ac3d31b32058a
22:28:10 SRV1.TRISEPO.COM/B.HTML UNBEKANNT 93.214.33.157 cf9c93e0…6ac3d31b32058a
22:27:33 SRV2.EITICO.DE/ UNBEKANNT 93.214.33.244 cf9c93e0…6ac3d31b32058a
22:27:31 SRV1.TRISEPO.COM/A.HTML MEIER 93.214.33.244 045eb2b…ec7884b0573a5f4
22:27:07 SRV1.TRISEPO.COM/D.HTML MEIER 93.214.33.244 045eb2b…ec7884b0573a5f4
22:26:42 SRV2.EITICO.DE/ MEIER 93.214.1.206 045eb2b…ec7884b0573a5f4
22:26:35 SRV1.TRISEPO.COM/ UNBEKANNT 93.214.1.206 045eb2b…ec7884b0573a5f4

(Bitte Nachsicht üben – das ist wirklich nur fix zu Demo-Zwecken zusammengeklatscht worden. Aber es beweist: Ausloggen? Bringt gar nichts, wenn der Progger nicht will und der User unvorsichtig ist…)

Die Gesamt-Problematik ergibt sich eher aus Referrer, IP und Cookie. Übertrage ich Referrer, erlaube ich die Gültigkeit von Cookies bis zu ihrem Ablauf (und nicht nur Session-Cookies), ist es sogar möglich, zwischenzeitlich den Browser zu schließen und die IP zu wechseln.

Ich benötige also jede Menge “Gottvertrauen” – denn der Systemadmin ist in dem Fall der Gott – zusammen mit dem Proggern der 2-Klick-Lösung und der Website B.

Denn es ist so: Ausloggen allein bringt nichts… Ich darf nirgends klicken (wenn ich nicht 100%ig weiß, daß die Zielseite keine Scripte, Plugins, Grafiken Popups usw., die von Netzwerk/Website B bereitgestellt werden, beinhaltet) – denn in dem Moment, wo auch nur ein Login-Fenster oder eine Grafik von B erscheint, weiß B, daß jemand mit meiner IP auf A weilt!

Also wagen wir mal ganz großkotzig zu behaupten, daß diese Formulierung, so, wie sie oben steht, riesengroßer Quatsch sei. Daher haben wir unsere Datenschutzerklärung auf http://trisepo.com auch angepaßt. (Das ist keine Rechtsberatung – lediglich ein Hinweis, wie wir das handhaben.)

PS: Wir sagen nicht, daß Facebook das so macht. Aber Facebook KÖNNTE, wenn man dort nur wollte. Doch wenn die 2-Klick-Lösung zusammen mit solchen “Anleitungen” (i.S.d. in der Datenschutzerklärung genannten Vorgehensweise) verbreitet wird, ist die versprochene Sicherheit der Daten nicht gegeben, da sie von etlichen anderen, auf der User-Seite zu konfigurierenden Faktoren abhängt. Denn es ist definitiv so wie immer: Datenschutz fängt beim User selbst an.

Also am besten nicht klicken, keine Netzwerke nutzen und nicht ins Internet gehen! ;-)

3 Gedanken zu “Ahnungslose Anwälte verbreiten unabsichtlich Unsinn?

  1. Pingback: Ein Gespenst geht um in Europa… | 3SEPO@Blog

  2. Pingback: 2-Klick-Lösung als Beta 2 | 3SEPO@Blog

  3. Pingback: Chronologie eines Dramas | 3SEPO@Blog