Chancen und Risiken des modernen Web-Trackings. Ben Stock IT-Sicherheitsinitiative Saarland, 14. September 2016

Transkript

1 Chancen und Risiken des modernen Web-Trackings Ben Stock IT-Sicherheitsinitiative Saarland, 14. September 2016

2 Kurze Vorstellung Dr.-Ing. Ben Stock Promotion an der FAU Erlangen Fokus auf client-seitiger Web-Sicherheit Postdoctoral CISPA Allgemeine Web- und Systemsicherheit

3 Agenda Grundlagen zum Zustand im Web Tracking im Web Gegenmaßnahmen Tracking aus Nutzersicht Datenschutzfreundliches Tracking und Analytics Zusammenfassung

4 Disclaimer Vortrag heute hangelt sich an bekannten Online-Shops entlang Zu 99,9% auch übertragbar auf fast alle Webseiten

5 Wie funktioniert das Web? GET / HTTP/1.1 Host: mpg.de GET / HTTP/1.1 Host: web.de

6 Zustand im Web HTTP als Protokoll ist zustandslos erlaubt keine zusammenhängenden Sitzungen Abhilfe schaffen Cookies Zeichenketten, die Zuordnung zu Sitzung ermöglichen z.b., sogenannte Session IDs auch genutzt, um Zugänge länger zu persistieren (z.b. Google)

7 Login mit Cookies

8 Login mit Cookies

9 First- und Third-Party Cookies First-Party Cookie: von Seite gesetzt, die man besucht hat z.b. für Logins, Präferenzen (z.b. Sprache), Third-Party Cookie: von Drittanbietern gesetzt z.b. für Werbung, insbesondere aber User-Tracking

10 Third-Party Cookies Flashtalking Criteo Adform

11 Warum User-Tracking? Quelle: statista.com

12 Warum User-Tracking?

13 Demo User-Tracking

14 Cross-Domain Tracking

15 13 Domains besucht, 152 Third-Party Seiten eingebunden Mit Lightbeam für Firefox erstellt

16 Demo User Recommendations

17

18 Cross-Device Fingerprinting

19

20 Browser Fingerprinting Third-Party Cookies sind deaktivierbar Werbung kann blockiert werden Incognito Modus speichert keine Daten Wie geht Tracking trotzdem? Antwort: Browser Fingerprinting unveränderliche Eigenschaften des Browsers z.b. Auflösung, installierte Schriftarten, Plugins,

21 Demo Browser Fingerprinting

22 Zusammenfassung Tracking Cross-Domain Tracking: allgemeine Informationen zu Ihren Interessen (z.b. dass sie gerade Reifen kaufen wollten) Cross-Device Tracking: passende Werbung auch auf dem Handy Collusion: Zusammenarbeit von Seiten z.b. passende Amazon-Werbung bei Facebook

23 Was tun gegen Tracking?

24 Do Not Track HTTP Header Feld W3C Standardisierung Wird leider nicht umgesetzt signalisiert einer Website oder Webanwendung den Wunsch, dass diese über die Aktivitäten des Besuchers kein Nutzungsprofil erstellt.

25 Fingerprinting unterbinden Extensions für Chrome und Firefox verstecken eigentlichen Browser in Wirklichkeit ist Benutzer einfacher zu erkennen Interessante Idee: PriVaricator Kontraproduktiv oder noch nicht verfügbar Werte im realistischen Rahmen verwässern z.b. zufällige einige Plugins weglassen

26 Dritt-Ressourcen blockieren AdBlock nicht Plus, siehe Ghostery problematische Paid Whitelist EFF Privacy Badger muss erst trainiert werden Disconnect.me Bezahlmodell

27 Datenschutzfreundliches Tracking/Analytics

28 Disclaimer #2 Ich bin kein Jurist Vorstellung technischer Möglichkeiten Alle Angaben wie immer ohne Gewähr

29 Datenschutzerklärung Jede kommerziell operierenden Webseite braucht eine Datenschutzerklärung Verantwortliche Person, welchen Daten, welcher Zweck Hinweise auf jedwede Art von Tracking in Datenschutzerklärung Cookies, Analytics, Fingerprinting

30 Daten im Webserver-Log Auch IP-Adressen sind personenbezogene Daten Nicht-Speichern macht Nachverfolgbarkeit von Angriffen schwieriger Können anonymisiert gespeichert werden (z.b. mod_anonstats) Browser, Referrer akzeptabel, da Personenbezug ohne IP-Adresse grundsätzlich nicht herstellbar ist Dennoch in der Datenschutzerklärung erwähnen

31 Cookie-Warnung Cookie-Banner mit echter Erklärung Möglichkeit zum Opt-Out auch möglich bei Google Analytics

32 Google Analytics Immer in Datenschutzerklärung erwähnen insbesondere welche Daten erhoben werden Opt-Out ermöglichen ansonsten droht Abmahnung (LG Hamburg Az /16 )

33 Google Analytics Vertrag zur Auftragsdatenverarbeitung mit Google abschließen Vorlage von Google erhältlich Analytics werden dann nicht mit anderen Seiten vermischt IP-Adressen maskieren (Konfigurationsvariable in GA) Widerspruchsrecht einräumen (Opt-Out per Cookie oder Browser- Extension möglich)

34 Selbstgehostete Analytics z.b. Piwik ermöglicht Erhebung von Daten ohne Einbindung von Google z.b. Klickverhalten, interessanteste Seiten, in Datenschutzerklärung erläutern

35 Third-Party Content Nicht nur Tracking kann von externen Parteien kommen z.b. Social Media Buttons, Google Maps Integration, Youtube Videos, Schriftarten, jquery, Social Media kann über Zwei-Klick-Lösung implementiert werden Gutes Beispiel: datenschutzhinweise/

36 Zusammenfassung

37 Nutzersicht Tracking ist im Web allgegenwärtig Erkennung von Benutzern extrem wichtig für Seitenbetreiber Recommender Systems entscheiden, welche Werbung am sinnvollsten sein kann insbesondere wenn Benutzer schon Kunde ist Schutz insgesamt schwierig umzusetzen Browser Extensions können zumindest teilweise helfen

38 Anbietersicht Nach Möglichkeit eigene Analytics einsetzen Falls Google, nur mit Vertrag zur Auftragsdatenverarbeitung Echten Opt-Out ermöglichen Erhobene Daten und Zweck in Datenschutzerklärung auflisten

39 Danke für die Aufmerksamkeit Panopticlick: Browser Fingerprinting Studie der FAU Erlangen: Do Not Track Doku: GA datenschutzkonform einsetzen: