COOKIES: Harmlose KRÜMEL Gefährliche MONSTER?

Transkript

1 Thema DATENSCHUTZ HEISE Forum täglich bis Halle 5 / Stand E 38 COOKIES: Harmlose KRÜMEL Gefährliche MONSTER? Sebastian Meissner Unabhängiges Landeszentrum für Datenschutz (ULD) Agenda Kurze Vorstellung des ULD Stichwort Cookie Was ist das eigentlich? Bedrohung der Privatsphäre durch Cookies (?) Anwendungsbeispiel: Behavioral Targeting Flash-Cookies und ähnliche Varianten Neues EU-Recht: Cookies nur bei Einwilligung Heise-Forum / CeBIT - Hannover,

2 Die 7 Säulen des ULD Prüfung Beratung Schulung inkl. DATEN- SCHUTZ- AKADEMIE IT-Labor Modellprojekte Gütesiegel Audit Primäre Adressaten: Verwaltung Wirtschaft Bürger Wirtschaft, Wissenschaft, Verwaltung Heise-Forum / CeBIT - Hannover, Agenda Kurze Vorstellung des ULD Stichwort Cookie Was ist das eigentlich? Bedrohung der Privatsphäre durch Cookies (?) Anwendungsbeispiel: Behavioral Targeting Flash-Cookies und ähnliche Varianten Neues EU-Recht: Cookies nur bei Einwilligung Heise-Forum / CeBIT - Hannover,

3 Kleines 1x1 der Cookies Cookie = Englisch für Keks oder Plätzchen Cookie = Üblicherweise sog. HTTP- oder Browser-Cookie Cookie = Kleine Textdatei, die Webserver auf dem Rechner des Nutzers (= Surfers) ablegen kann Bei späteren Besuchen der gleichen Website sucht der Browser alle von dieser gesetzten Cookies heraus und übermittelt diese Heise-Forum / CeBIT - Hannover, Funktionen / Zwecke von Cookies: Kleines 1x1 der Cookies Abspeichern von Präferenzen & Einstellungen des Nutzers erhöhter Surf-Komfort für den Nutzer (z.b. Anzahl Suchergebnisse pro Seite, Spracheinstellungen) Wiedererkennbarkeit des Nutzers durch einen Anbieter insbes.: Erkennbarkeit während einer Session ohne wiederholte Eingabe von Benutzerkennung + Passwort (z.b. Online-Banking, elektronischer Warenkorb) Tracking von Nutzern über Sessions und Websites hinweg Erstellung von Profilen über das Surfverhalten eines Nutzers (z.b. Ad Networks, Tools zur Reichweitenmessung im Internet) Heise-Forum / CeBIT - Hannover,

4 Unterschiedliche Arten von Cookies: Session Cookies Löschung, sobald Browser geschlossen wird Kleines 1x1 der Cookies Persistente Cookies Cookies mit langer Lebenszeit, die eine dauerhafte Protokollierung des Surfverhaltens von Nutzern ermöglichen Cookies von Drittanbietern ( Third Party Cookies ) Website-Besuch: Möglichkeit, dass auch Drittanbieter Cookies setzen Grund: Werbebanner + Web Bugs ( Seite in der Seite ) Heise-Forum / CeBIT - Hannover, Weitere grundsätzliche Informationen: Kleines 1x1 der Cookies Inhalt des Cookies (1) Nur Textinformationen, keine ausführbaren Programme Inhalt des Cookies (2) Vielfach enthalten Cookies nur eine ID-Nummer, die mit einem auf dem Server liegenden Datensatz (z.b. Klick-Profil oder gewählte Waren) verknüpft werden kann Leseberechtigung Grundsatz: Nur der Anbieter, der einen Cookie gesetzt hat, darf diesen später auch wieder auslesen (Domain + ggf. Pfad) Heise-Forum / CeBIT - Hannover,

5 Beispiel Inhalt eines Session-Cookies: Name: Content: Host: Path: Server Secure: Expires: SESSID abc123xyz xyz.de / no at end of session Heise-Forum / CeBIT - Hannover, Agenda Kurze Vorstellung des ULD Stichwort Cookie Was ist das eigentlich? Bedrohung der Privatsphäre durch Cookies (?) Anwendungsbeispiel: Behavioral Targeting Flash-Cookies und ähnliche Varianten Neues EU-Recht: Cookies nur bei Einwilligung Heise-Forum / CeBIT - Hannover,

6 Risiken für die Privatsphäre: Cookies und Datenschutz Session Cookies Geringes Gefahrenpotential wegen kurzer Lebenszeit Persistente Cookies Erhöhtes Gefahrenpotential wegen Eignung zu langfristigem Tracking (Persistente) Cookies von Drittanbietern Hohes Gefahrenpotential wegen Eignung zu langfristigem Tracking über verschiedene Websites hinweg Heise-Forum / CeBIT - Hannover, Risiken für die Privatsphäre (2): Cookies und Datenschutz Umfang und Granularität von Profilen Erfassung von Kategorien, Aufrufen bestimmter Webseiten, Anfragen bei Suchmaschinen oder gar des vollständigen Click-Streams ( Kooperation mit ISPs) Generell: Verknüpfung mit identifizierenden Daten Name, Adresse etc. Worst Case: Sensible Profilinformationen werden an Arbeitgeber oder Versicherung weitergegeben Heise-Forum / CeBIT - Hannover,

7 15 Abs. 3 Telemediengesetz: Cookies und Datenschutz Diensteanbieter (z.b. Website-Betreiber) darf für Zwecke der Werbung oder Marktforschung Nutzungsprofile bei Verwendung von Pseudonymen (ID-Cookies) erstellen Widerspruchsrecht des Nutzers (Opt-Out-Cookie) Information über Nutzungsprofile + Widerspruchsrecht (Datenschutzerklärung / Privacy Policy) Nutzungsprofile dürfen nicht mit Daten über den Träger des Pseudonyms (Name, Adresse etc.) zusammengeführt werden Heise-Forum / CeBIT - Hannover, Browsereinstellungen Selbstdatenschutz: Einstellungsoptionen für Nutzer Die meisten gängigen Browser erlauben folgende Einstellungen / Aktionen zum Umgang mit Cookies: Keine Cookies annehmen Keine Cookies von Drittanbietern annehmen Nutzer bei jedem Cookie fragen Alle Cookies beim Schließen des Browsers löschen Inhalt des Cookies ansehen Bestimmte / alle Cookies löschen Heise-Forum / CeBIT - Hannover,

8 Browsereinstellungen: Beispiel Einstellungsmöglichkeiten bei Mozilla Firefox Add-ons für zusätzliche Einstellungsmöglichkeiten vorhanden Heise-Forum / CeBIT - Hannover, Agenda Kurze Vorstellung des ULD Stichwort Cookie Was ist das eigentlich? Bedrohung der Privatsphäre durch Cookies (?) Anwendungsbeispiel: Behavioral Targeting Flash-Cookies und ähnliche Varianten Neues EU-Recht: Cookies nur bei Einwilligung Heise-Forum / CeBIT - Hannover,

9 Behavioral Targeting Behavioral Targeting = Verhaltensbasierte Werbung Anbieter von Behavioral Targeting-Diensten erfassen das Surfverhalten von Nutzern auf einer / mehreren Website(s) Kategorisierung einzelner Webseiten (z.b. Autos, Fußball, Damenmode ) und Speicherung, wie oft ein Nutzer Seiten bestimmter Kategorien besucht Auswertung dieser Informationen dahingehend, welche Art von Werbung für den Nutzer relevant ist / sein könnte Ziel: Einblendung relevanter Werbung höherer Absatz Heise-Forum / CeBIT - Hannover, Predictive Behavioral Targeting Behavioral Targeting Vielfach nicht nur Messung des Surfverhaltens, sondern auch Befragung einer kleinen Gruppe zufällig ausgewählter Nutzer zu Alter, Geschlecht, Produktinteressen etc. Kombination der Messdaten des Surfverhaltens und der (pseudonymisierten) Befragungsdaten Mittels statistischer Prognoseverfahren werden Nutzern, die nicht befragt worden sind, Attribute von Personen mit identischem / ähnlichem Surfverhalten zugeordnet Heise-Forum / CeBIT - Hannover,

10 Technische Realisierung Behavioral Targeting Häufig: Integration von Web Bugs in Webseiten, deren Betreiber einen Behavioral Targeting-Dienst nutzen Dies ermöglicht das Setzen eines Third Party Cookies durch den Betreiber des Behavioral Targeting-Dienstes Aufzeichnung im Cookie bzw. in Hintergrunddatenbank, wie oft der Nutzer Seiten bestimmter Kategorien besucht hat Resultat: Erstellung mehr oder weniger umfassender und detaillierter Nutzungsprofile Heise-Forum / CeBIT - Hannover, Behavioral Targeting & Datenschutz Relevante Faktoren zur datenschutzrechtlichen Bewertung von Behavioral Targeting-Diensten Information der Nutzer (= Surfer) über Verwendung von (Third Party) Cookies, Erstellung von Profilen, Lebenszeit von Cookies / Profilen, Möglichkeit des Opt-Outs Opt-Out Möglichkeit Der Nutzer muss die - einfach wahrzunehmende - Möglichkeit haben, Tracking zukünftig zu unterbinden (z.b. durch sog. Opt-Out-Cookies) Lebenszeit von Profilen und Cookies Heise-Forum / CeBIT - Hannover,

11 Behavioral Targeting & Datenschutz Granularität von Profilen Speicherung des Aufrufs bestimmter Webseiten oder (nur) der diesen zugeordneten Kategorien, Anzahl von (Unter)Kategorien etc. Keine sensitiven Daten Profile sollten keine sensitiven Daten im Sinne des Datenschutzrechts beinhalten (z.b. Kategorien zu Krankheiten / Religionszugehörigkeit) Auswertung des Surfverhaltens auf einer Website / über mehrere Websites hinweg Anonymisierung von IP-Adressen DS-konformes Design von BT-Diensten ist möglich Heise-Forum / CeBIT - Hannover, Agenda Kurze Vorstellung des ULD Stichwort Cookie Was ist das eigentlich? Bedrohung der Privatsphäre durch Cookies (?) Anwendungsbeispiel: Behavioral Targeting Flash-Cookies und ähnliche Varianten Neues EU-Recht: Cookies nur bei Einwilligung Heise-Forum / CeBIT - Hannover,

12 Flash-Cookies Adobe Flash = Entwicklungsumgebung zur Erstellung multimedialer, interaktiver Inhalte Flash Player = Browser-Plug-In zum Betrachten von Flash- Filmen und Animationen auf Websites Flash-Cookies (Local Shared Objects) Dateien, die Webserver auf dem Rechner eines Nutzers, der Flash- Medien abruft, speichern und später wieder auslesen können (z.b. um die gewählte Einstellung der Lautstärke zu speichern) Heise-Forum / CeBIT - Hannover, Flash-Cookies Flash-Cookies können wie http-cookies für Tracking- Zwecke verwendet werden Flash-Cookies lassen sich aber auch dazu verwenden, vom Nutzer gelöschte http-cookies wiederherzustellen Problem: Flash-Cookies können nicht über die Einstellungen des benutzten Browsers kontrolliert werden Stattdessen: Einstellungsmanager des Flash-Players oder spezielle Software-Tools Heise-Forum / CeBIT - Hannover,

13 Mozilla Firefox Add-on: BetterPrivacy Heise-Forum / CeBIT - Hannover, Microsoft Silverlight Cookies Browser Plug-In zur Darstellung multimedialer Inhalte im Internet (Konkurrenz zu Flash) Auch bei Nutzung von Silverlight können Cookies gesetzt werden, die sich nicht über die Einstellungen im Browser kontrollieren lassen (Silverlight Isolated Storage) Mittels spezieller Tools lässt sich auch diese besondere Art von Cookies kontrollieren Heise-Forum / CeBIT - Hannover,

14 Panopticlick: Fingerabdruck von Browsern Der Online-Dienst Panopticlick der Electronic Frontier Foundation ermöglicht es Usern, das Maß an Einzigartigkeit ihres Browsers zu ermitteln Panopticlick versucht, mittels JavaScript Informationen über installierte Plug-ins, Schriftarten, Bildschirmgröße & Zeitzone zu ermitteln; der Dienst berücksichtigt auch das Vorhandensein von http- und sonstigen Cookies Ist der Fingerabdruck eines Browsers unique, so kann auch er zu Tracking-Zwecken verwendet werden. Heise-Forum / CeBIT - Hannover, Agenda Kurze Vorstellung des ULD Stichwort Cookie Was ist das eigentlich? Bedrohung der Privatsphäre durch Cookies (?) Anwendungsbeispiel: Behavioral Targeting Flash-Cookies und ähnliche Varianten Neues EU-Recht: Cookies nur bei Einwilligung Heise-Forum / CeBIT - Hannover,

15 Inhalt: Das Telekom-Paket Internetfreiheit ( three strikes out ) Netzneutralität Bereitstellung von Breitbandzugängen ( digital divide ) Schutz der Verbraucher vor Datenschutzverletzungen und SPAM Inkrafttreten / Umsetzung Inkrafttreten: Dezember 2009 / Januar 2010 Umsetzung in nationales Recht bis Ende Mai 2011 Heise-Forum / CeBIT - Hannover, Änderung der eprivacy RL durch das Telekom-Paket Relevante Änderungen im Überblick: Benachrichtigungspflicht im Falle der Verletzung des Schutzes personenbezogener Daten ( security breach notification ) Einwilligungserfordernis für die Verwendung nicht erforderlicher Cookies (sog. cookie law ) Rechtsmittel für TK-Anbieter zum Schutz ihres Unternehmens und ihrer Kunden vor SPAM-Versendern Schaffung neuer Befugnisse für die zuständigen nationalen Datenschutzaufsichtsbehörden Heise-Forum / CeBIT - Hannover,

16 Artikel 5 Abs. 3 der RL 2002/58/EG n. F. Cookie Law Betrifft: Speicherung von Informationen oder Zugriff auf Informationen, die bereits im Endgerät eines Nutzers gespeichert sind (insbesondere Cookies) Grundsatz: Verwendung von Cookies nur auf der Grundlage einer informierten Einwilligung Ausnahme: Kein Consent-Erfordernis, wenn der Einsatz von Cookies erforderlich ist, damit der Anbieter eines Telemediendienstes einen vom Nutzer ausdrücklich gewünschten Dienst zur Verfügung stellen kann Heise-Forum / CeBIT - Hannover, Cookie Law Beispiele für Consent-Erfordernis: Verwendung von persistenten Tracking-Cookies für Behavioural Targeting-Dienste oder Dienste zur Reichweitenmessung im Internet Beispiele für Ausnahmen: Verwendung von Session- Cookies für Warenkorbfunktionalitäten Einwilligung muss auf der Grundlage von klaren und umfassenden Informationen gegeben werden (Identität des Telemediendiensteanbieters, verfolgte Zwecke, Informationen über die Erstellung von websiteübergreifenden Profilen, Lebensdauer von Cookies, etc.) Heise-Forum / CeBIT - Hannover,

17 Cookie Law Erteilung der Einwilligung (1): Wirksame Einwilligung (+), wenn ein Pop-up Fenster, das der Nutzer anklicken muss, erscheint, bevor der Cookie gesetzt wird, und der Nutzer zu diesem Zeitpunkt auch alle relevanten Informationen erhält Erteilung der Einwilligung (2): Erwägungsgrund 66 sieht vor, dass die Einwilligung über die Handhabung der entsprechenden Einstellungen eines Browsers ausgedrückt werden kann, wenn dies technisch durchführbar und wirksam ist (wann ist dies der Fall???) Erteilung der Einwilligung (3): Nicht ausreichend für eine wirksame Einwilligung ist es, wenn ein Browser so eingestellt ist, dass er sämtliche Cookies akzeptiert Heise-Forum / CeBIT - Hannover, Vielen Dank für Ihre Aufmerksamkeit! Thema DATENSCHUTZ HEISE Forum täglich bis Halle 5 / Stand E 38 Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein Sebastian Meissner Telefon: ULD76@datenschutzzentrum.de Heise-Forum / CeBIT - Hannover,