Was sind Cookies im Internet?
Cookies im Internet sind kleine Textdateien, die über den Webbrowser Informationen sammeln oder mitteilen. Wenn eine Webseite geöffnet wird, sendet der Browser eine Anfrage an einen Server, auf dem die Dateien liegen, die sich dann als Webseite öffnen. Diese Anfragen und Informationen über die Antragsteller können in den Cookies gespeichert werden. Beim Surfen im Internet werden auf fast jeder Seite Cookies verwendet.
Dieser Prozess ist vergleichbar mit einem Stempel beim Einlass in ein Theater oder einen Club. Hierbei wird der Besucher markiert. Diese Markierung kann nur grundsätzlich bedeuten, dass eine weitere Sicherheitskontrolle wegfällt oder sie könnte sogar Informationen zu den Sitzplätzen beinhalten. Cookies sind die „Stempel“, in denen Informationen über Nutzer gespeichert werden, die auf verschiedenen Seiten surfen.
Man nennt diesen Prozess auch „Cookies setzen“, weil für jeden Nutzer ein Cookie neu generiert und gespeichert werden muss. Es wird also sprichwörtlich „gesetzt”. Aber warum heißen Cookies, Cookies? Einen verlässlichen historischen Grund für den Begriff gibt es nicht. Es gab ursprünglich den Begriff des „Magic Cookie”. Dieser beschrieb eine verpackte Menge an Daten, die unleserlich versendet werden konnte und eine bestimmte Funktion, wie beispielsweise eine Identitätsprüfung beinhaltete. Die Idee dahinter war ein Glückskeks, in dem auch eine Information verborgen liegt und nur dem Konsument eine Weisheit offenbart. Diese Technologie wurde für die ersten E-Commerce Warenkörbe verwendet und der Name wurde beibehalten. So nennen wir die abgewandelte Technologie heute noch immer Cookies.
Welche Vorteile haben Cookies?
Cookies sind aus dem modernen Internet nicht mehr wegzudenken. Durch Cookies werden Nutzer erkannt und die Seite für sie personalisiert. So wird beispielsweise die Sprachausgabe einer Webseite ausgewählt oder bestimmte Inhalte, die beim letzten Besuch gespeichert wurden, wieder aufrufbar. Ein gutes Beispiel sind Warenkörbe. Durch Cookies können die dort gespeicherten Produkte beim nächsten Besuch noch sichtbar sein. Das erleichtert das Einkaufen und verbessert das Nutzererlebnis.
Welche Arten von Cookies gibt es?
Es gibt grundsätzlich drei verschiedene Arten von Cookies:
- Für die Funktion einer Seite notwendige Cookies
- Performance oder funktionelle Cookies
- Tracking- und Werbe-Cookies
Diese Cookies werden nochmal unterteilt in First Party Cookies und Third Party Cookies. Es gibt also immer zwei Kategorien, denen ein Cookie zugeordnet werden kann. Die erste Kategorie bezieht sich auf den Nutzen eines Cookies, die zweite bezieht sich auf die Hersteller oder Betreiber der Cookies.
First Party Cookies (Erstanbieter Cookies)
First Party Cookies werden direkt von der Webseite erstellt, auf der sich ein Nutzer befindet. Diese Kategorisierung wird gemacht, weil kein Drittanbieter involviert ist, der sich in den Datenaustausch einmischt. Solange es sich hier also um eine vertrauenswürdige Seite handelt, sind First Party Cookies die unproblematische Variante von Cookies.
Zu den Erstanbieter Cookies gehören vor allem die notwendigen Cookies, die für eine verbesserte Nutzererfahrung sorgen. Durch diese wird dem Nutzer die richtige Sprache angezeigt und bestimmte Inhalte priorisiert.
Third Party Cookies (Drittanbieter Cookies)
Third Party Cookies sind häufig die Cookies, die von Datenschützern als kritisch betrachtet werden. Sie werden von Programmen erstellt, die nicht direkt zu der geladenen Webseite gehören. Sie werden häufig dazu eingesetzt, mehr Informationen über Nutzer und deren Surfverhalten zu speichern und diese Informationen zu einem bestimmten Zweck einzusetzen, der über die reibungslose Funktionalität hinausgeht. Dazu gehören häufig Marketing Cookies , mit denen zielgerichtete Inhalte ausgespielt werden, die zu einem Kauf führen sollen. Auch Tracking Cookies gehören hier häufig dazu. Über diese werden Informationen über die Sitzungen gesammelt, die über diese Drittanbieter ausgewertet werden. Marketing- und Tracking Cookies müssen aber nicht unbedingt Third Party Cookies sein.
Session Cookies und Persistent Cookie-Arten
Session Cookies werden, wie der Name schon verrät, nur für die Dauer der Sitzung gespeichert. Sobald diese endet, werden die Cookies wieder gelöscht. Die Speicherdauer ist ein essentieller Teil von Cookies, da dieser maßgeblich dazu beitragen kann, ob ein Cookie harmlos oder potentiell datenschutzgefährdend ist. Persistent Cookies sind dagegen Cookies, die über die Sitzungsdauer hinaus gespeichert werden. Wie lange die Speicherdauer dann ist, wird vom Anbieter vorgegeben.
Eine weitere Form des Persistent Cookie sind sogenannte „Evercookies”. Diese binden eine Funktion ein, bei der selbst gelöschte Cookies repliziert werden. Auf diese Weise können Nutzer bereits durch das Laden der Seite gespeicherte Cookies nicht mehr loswerden. Evercookies wurden unter anderem durch Edward Snowden bekannt. Dieser hatte berichtet, die NSA hätte Evercookies gezielt platziert, um an sensible Daten zu gelangen. Ähnlich diesem Vorgehen können auch Anbieter auf alltäglichen Seiten unerlaubt Daten aggregieren.
Unterscheidung nach dem Nutzen eines Cookies
Die Funktionen von Cookies können in drei Bereiche eingeteilt werden:
Zunächst gibt es die angesprochenen Performance- oder Funktionellen Cookies. Hier geht es alleine um einen angenehmen Besuch einer Webseite.
Webseitenbetreiber können über Cookies auch Nutzeranalysen durchführen, wodurch Besuchszeiten oder die Häufigkeit der Seitenaufrufe festgehalten werden. Mit Hilfe von Nutzungsströmen können Fehler eliminiert und Angebote verwaltet werden. Als Beispiel dienen hier Verkaufs- und Vergleichsportale, Streamingdienste, Suchmaschinen, etc. Diese gleichen das Verhalten ihrer Nutzer im Internet ab und ermitteln somit das bestmögliche Ergebnis für präzise Trefferquoten. Hier spricht man von sogenannten Analytischen oder Tracking- Cookies.
Um die kostenfreie Nutzung von Internetseiten für Besucher zu ermöglichen, schalten Webseitenbetreiber häufig Werbung. Werbeagenturen spielen als Drittanbieter Werbung anhand der durch die Cookies generierten Nutzerinformationen und deren Surfverhalten aus. Cookies können also durch Werbung zur Finanzierung einer Webseite beitragen (siehe vorheriger Abschnitt Third Party-Cookies). Hier spricht man von Marketing Cookies.
Welche Sicherheitsrisiken gehen von Cookies aus?
Das erste Problem, welches Cookies für Nutzer mit sich bringen, ist der Datenklau oder der Datenmissbrauch. Werden Cookies nicht oder schlecht geschützt, sind die gespeicherten Daten (z. B. Log-in Daten, Nutzerdaten oder sonstige Datensätze) eines Nutzers leicht einzusehen und es droht die Gefahr von Hackerangriffen. Falls die Daten in die falschen Hände gelangen, landen diese häufig auf sogenannten Datenportalen. Auf Datenportalen können diese gekauft werden und beispielsweise für Spam Nachrichten verwendet werden. Auch die Verbraucherzentrale warnt vor diesen Folgen des Datenmissbrauchs.
Ein weiteres Problem ist die Erstellung von persönlichen Profilen durch die Verwendung von Cookies. In der Regel sollte eine Erstellung von Profilen nur auf anonymer Basis möglich sein. Durch seitenübergreifendes Zusammenführen von Cookies können jedoch detaillierte Nutzerprofile erstellt werden. Man spricht in diesem Fall von Profiling. Unter Profiling wird die in jeglicher Form automatisierte Verarbeitung personenbezogener Daten unter der Bewertung persönlicher Aspekte auf eine natürliche Person verstanden. Personen können im Internet durch Profiling anhand von Browser-Verläufen, Websuchen, IP-Adressen, Einkäufen und Aktivitäten persönlicher Konten eindeutig identifiziert und mit ihren Aktivitäten verzeichnet werden.
Cookies und personenbezogene Daten
Besonders problematisch ist aber die Sammlung von personenbezogenen Daten. Personenbezogene Daten sind laut DSGVO alle Daten, mit denen sich eine Person identifizieren lässt. Dazu gehören die im vorherigen Paragraph genannten Merkmale. Diese dürfen unter bestimmten Umständen gesammelt und verarbeitet werden. Unter personenbezogene Daten fallen aber auch Informationen wie sexuelle Orientierung oder politische Meinung. Diese dürfen nur in seltenen Ausnahmefällen verarbeitet werden.
Personenbezogene Daten fallen daher unter besonderen Schutz in der DSGVO. Problematisch ist allerdings die Definition davon, welche Daten in welcher Form Personenbezug besitzen. Es gibt hier verschiedene und andauernde Rechtsstreits darüber, welche Daten übermittelt werden dürfen.
Wichtig ist: Cookies können personenbezogene Daten sammeln. Diese werden von Datenschützern als besonders wichtig erachtet. Für jegliche Webseiten, die Cookies setzen, sollte es oberste Priorität haben, diese Nutzerdaten zu schützen. Für Nutzer ist es wichtig zu wissen, was passiert, wenn diese Daten in die falschen Hände geraten. Für alle Beteiligten sollte folglich der gemeinsame Schutz personenbezogener Daten im Vordergrund stehen.
Die DSGVO und Cookies
Von Cookies geht eine Gefahr für den Schutz von personenbezogenen Nutzerdaten aus. Diese Gefahr soll durch bestimmte Regelungen möglichst gebannt werden. Die Datenschutz-Grundverordnung (DSGVO) regelt die Verarbeitung und Datenspeicherung von personenbezogenen Daten und schränkt diese ein. Die Verarbeitung von personenbezogenen Daten ist nur dann erlaubt, wenn diese entweder anonym sind oder aufgrund bestimmter Zwecke verwendet werden. Da Cookies in der Mehrzahl personenbezogene Daten verarbeiten, fallen diese somit auch unter die DSGVO.
Kurz gesagt:
- Wenn es technisch notwendig ist, dass ein Cookie gesetzt wird, wird keine Einwilligung benötigt (Beispiel Warenkorb-Cookie beim Online-Shopping).
- Daneben gibt es die sog. funktionellen und Performance-Cookies. Hier kommt es darauf an, ob es sich um ein First Party- oder Third Party Cookie handelt. (Bei Drittanbieter-Cookies ist eine Einwilligung Pflicht).
- Die dritte Cookie-Art sind Analytics-/Tracking- oder Marketing-Cookies. Hier benötigen wir laut Datenschutz-Regelung in jedem Fall eine Nutzereinwilligung.
Es ist folglich außerordentlich wichtig, als Webseitenbetreiber zu wissen, welche Cookies auf der eigenen Seite installiert sind. Etwaige Dienste weisen aber nicht unbedingt darauf hin, dass deren Nutzung eine Einwilligung durch den Nutzer benötigt.
Das Cookie Banner
Cookie Banner (auch Cookie Hinweis genannt) sind eine Möglichkeit, Cookies DSGVO konform auf einer Seite einzubringen. Mithilfe eines Banners wird explizit nach der Einwilligung in die verschiedenen Cookies gebeten. Die Einwilligung muss laut der DSGVO allerdings einige Auflagen erfüllen. Der Verbraucher muss sich über jedes einzelne Cookie vor seiner Einwilligung informieren können. Zu den wichtigsten Informationen gehören hier die Speicherdauer und die Auswahl der Daten, die übermittelt werden. Die Einwilligung muss zudem freiwillig zustande kommen.
Einfach gesagt: Der Cookie Hinweis darf nicht nur erfragen, ob der Nutzer in die Cookies der Seite einwilligen möchte. Der Nutzer muss auch verstehen können, auf was er sich einlässt. Hierbei geht es darum, dem Nutzer möglichst viel Autorität über seine personenbezogenen Daten zu geben. In die Nutzung jedes Cookies muss eine explizite Einwilligung erfolgen.
Consent Management Platforms und Cookies
Cookie Banner sind nur das, was der Nutzer auf der Webseite wahrnimmt. Hier wird um Zustimmung zu den einzelnen Cookies gebeten. Man spricht auch von sogenannten Präferenzen. Deswegen steht auf vielen Cookie Bannern auch häufig der Schriftzug „Präferenzen verwalten”. Wer allerdings Cookies rechtskonform einbinden möchte, muss noch weiter gehen. Damit die Cookies auch erst aktiviert werden, wenn die Zustimmung gegeben wird, müssen diese vorher geblockt werden. Das bedeutet, dass eine technische Infrastruktur bestehen muss, die diese Einstellungen erfüllen kann. Zudem müssen die Cookie Technologien geblockt bleiben, wenn die Cookies abgelehnt werden. Wenn die Cookies akzeptiert werden, soll deren Funktionalität reibungslos funktionieren.
Des Weiteren ist es wichtig, dass die Zustimmung zur Cookie Nutzung rechtssicher gespeichert wird. Das bedeutet, dass die Einwilligung so abgelegt werden muss, dass sie jederzeit wieder gelöscht werden kann. Falls ein Verbraucher eine Anfrage zur Auskunft über die Verarbeitung seiner personenbezogenen Daten stellt oder diese gelöscht haben möchte, muss dieser Bitte nachgekommen werden.
Um diese und viele weitere Funktionen zu erfüllen, gibt es sogenannte Consent Management Platforms. Mithilfe dieser CMPs können Cookies DSGVO konform eingepflegt werden. Zudem ist die Verwaltung der Einwilligungen rechtssicher. Auf diese Weise lassen sich alle Einstellungen des Cookie Banners und des technischen Back-Ends einfach verwalten.
Eine CMP für Cookies erhöht die Sicherheit der Nutzer einer Webseite und sichert gleichzeitig die Interessen der Webseitenbetreiber.
