Der Skandal um den Mißbrauch von Facebookprofilen geistert nunmehr schon seit mehreren Wochen durch die Medien. Was das heißt, beschreibe ich in diesem Artikel.
Googles Tracking
Es war schon ein Hype, der an der Schwelle des 20. Jahrhunderts mit einer neuen Suchmaschine aus Silikon Valley losgetreten wurde. Auch ein neues soziales Netzwerk, was um 2005 an den Start ging wurde hoch gelobt. Alles war neu… und besser… und schneller.
Die Suchmaschine, Google genannt, lieferte auf Stichworte hin bessere Treffer, war schneller und krempelte den Suchvorgang im Netz um. Es wurden zur Suche nicht nur Schlagworte verwendet, die der Seitenbetreiber angeben konnte. Es wurden sämtliche Verlinkungen auf die Seite relevant, aber auch wie gut andere Seiten besucht sind, die auf die eigene Seite verlinken.
Content – also der Inhalt der eigenen Seite – wurde immer wichtiger und wie oft spezielle Schlüsselwörter (die der geneigte User in die Suchzeile eingibt) im Inhalt vorkommen. Spezielle Wörter – sogenannte Adwords – kann man beim Suchmaschinenbetreiber gegen Bares erwerben.
Für Webmaster und Seitenbetreiber bietet Google auch umfangreiche Analysetools an, die Aufschluss über ds Nutzerverhalten auf der Webseite geben und was den User interesiert, das sogenannte Google Analytics.
Sucheingaben und das, was der Nutzer in der Suche angeht, interessiert Google. Das ganze wird angeblich anonymisiert gespeichert. Hat man bei Google Plus (G+) ein Profil mit Namen, Adresse, Vorlieben und anderen Daten gespeichert, werden Suchanfragen personalisiert, was die Daten für Google noch wertvoller macht.
Dann sind da noch die ganzen Android-Smartphones. Auf denen ist Google omnipräsent, ohne Google läuft da recht wenig. Neben GPS-Trackern (für Navi) befinden sich noch eine ganze Menge andere Sensoren im Handy. Zudem gibt man seinem Smartphone doch eine Menge vertraulicher Daten in den Speicher – Kontaktdaten, Nutzungsdaten auch bei der Navigation. Aber auch andere Apps nehmen sich einige Rechte heraus, die sie eigentlich nicht brauchen. So bekommt Google noch mehr Daten, auch wenn man nicht am heimischen PC sitzt.
Facebooks Datensammelei
Facebook spielt in einer ähnlichen Liga wie Google. Hier wird man explizit aufgefordert ein Profil anzulegen, um sich mit anderen Leuten, sogenannte Freunde, zu vernetzen. In Profil gibt man schon allerhand von sich preis, neben Name, Anschrift, Interessen und vieles mehr. Auch wenn man spezielle Webseiten „liked“ wie es im Facebookjargon heißt, weiß Facebook, was einem gefällt.
Vom surfen im Internet kennt jeder die kleinen Facebooksymbole – ein Daumen nach oben – mit denen man Webseiten mit einem Klick in seinem Facebook-Profil verlinken kann. Auch ohne ein solches Profil fließen schon Daten über die besuchten Seiten, IP Adresse vom Rechner, aber auch Infos zu installierter Software (Betriebssystem, Browser etc.) zu Facebook ab. Ist man beim sozialen Netzwerk registriert, hat man also ein Profil dort, werden die Surfdaten mit dem Profi verknüpft – auch wenn man sich für den Moment bei Facebook ausgeloggt hat. Ähnlich wie Google sammelt Facebook die Daten – wenn sie durch ein Profil personalisiert sind werden diese um so wertvoller – und verwurstelt diese zu personalisierter Werbung.
Kurz zusammengefasst: Jeder Klick wird gespeichert und wenn das still und heimlich im Hintergrund passiert, nennt man das Tracking. Nutzt man die Services von Facebook, Google und co, so spielt man denen zusätzlich in die Hände. Man kommt aber weder als normaler Nutzer oder als Webseitenbetreiber nicht drum herum, die Services aus Mangel an sinnvollen Alternativen in irgendeiner Form zu nutzen. Man kann ungewollten Datenabfluss aber eindämmen, es gibt dafür mehr oder minder effektive Tools.
Gegenmaßnahmen
Abwehrmaßnahmen für den Einsteiger
Fangen wir beim Browser auf dem Computer an.
Und zwar hat die Mozilla-Stiftung Ende März ein neues Plugin für den Firefox vorgestellt, was einen Tab mit geöffnetem Facebook in einem Container isolieren soll. Hat man nebenher weitere Internetseiten offen, beispielsweise mit dem angesprochenem Daumensymbol, so werden keine weiteren Daten (wie besuchte Webseite, Software etc.) an Facebook übermittelt. Dieses Plugin gibt es für jede Firefoxvariante. Nutzt man im Browser noch Plugins uBlock und NoScipt, fließen Daten auch nicht zu anderen Werbenetzwerken ab.
Um das besagte Plugin zu installieren einfach im AddOn Manager nach dem Facebook Container von Mozilla suchen. Mittlerweile gibt es einen Fork von diesem AddOn mit dem sprechendem Namen Google Container, der aber von einem anderen Entwickler betreut wird und nicht von Mozilla. Dieses Addon arbeitet im Prinzip genau so wie das Offizielle Anti-Facebook Plugin von Mozilla.
Weiterhin gibt es noch Werbeblocker wie AdBlock oder uBlock für den Firefox zu installieren. Beide Addons sind für sämtliche Firefoxvarianten erhältlich und das kostenlos. Diese Addons blockieren recht zuverlässig Werbung beim Surfen und verhindern somit auch das ungewollte Tracking.
Zudem bieten die hier vorgestellten Softwarelösungen auch einen gewissen Grundschutz vor Schädlingen wie Trojanern und Co, da viele dieser Schadprogramme auch über Werbenetzwerke verteilt werden. Allerdings greifen diese Softwarelösungen nur auf dem Rechner auf dem sie gerade eingesetzt werden. Smart-TV oder Daddelbox werden außen vorgelassen und können unerlaubt Werbung bekommen.
[Update] Die hier vorgestellten AddOns gibt es für Firefox und für Chrome.
Die Profiprivatisierung
Ich nutze für mich und mein Netzwerk allerdings die Profivariante. Auf einem Orange Pi – das ist ein kleiner Einplattinencomputer wie der Raspberry Pi – läuft eine PiHole-Installation.
„Was ist denn nun PiHole schon wieder?“
Das Internet arbeitet mit sogenannten Domains, wie www.medienspuernase.de. Gibt man diese Domain in seinem Browser ein, oder klickt man auf einen Link dazu, so sucht der Browser im Internet auf einem DNS-Server (DNS=Domain Name System) nach einer passenden IP Adresse dazu, zu der er dann die Verbindung aufbaut und sich die entsprechenden Daten abholt.
Allerdings besteht eine Internetseite aus vielen einzelnen Teilen – Texte, Bilder, Videos, Formulare, Facebooks Like-Buttons, Werbung und anderen Sachen. Oftmals sind Dinge wie Videos, Like Buttons und Werbung extern eingebettet. Das heißt, daß ein Video zum Beispiel bei Youtube liegt und mittels speziellem Link ein Player in die Webseite eingebettet wird, der das Video direkt auf der Webseite abspielt. Schon ein Besuch auf einer Seite, die ein solches Video eingebettet hat oder auf der ein Like-Button vorhanden ist, sendet an betreffende Betreiber (Facebook, Youtube…) ungewollt Informationen.
Werbung ist im Prinzip genauso eingebettet – das sind Links, die automatisch Inhalte aus Fremdquellen nachladen. Für jede besuchte Domain – die Medienspürnase, Youtube oder Werbedomains – macht der Browser immer vorher eine DNS Abfrage, nach der IP-Adresse.
Eine IP-Adresse ist im Prinzip mit einer Telefonnumer vergleichbar, die einem bestimmten Festnetzanschluß oder einem Handy zugeordnet ist. So besitzt jeder Computer, jeder Server (und damit jeder Webdienst) und jedes netzwerkfähige Gerät eine eigene IP-Adresse, die nur ihm gehört. Das ist wichtig, damit die einzelnen Geräte untereinander kommunizieren können und Daten austauschen können.
Und genau da greift PiHole ein. PiHole ist im Prinzip nichts anderes als ein DNS-Server, nur mit der Besonderheit, daß der zum Ersten im eigenem Netzwerk steht und zum zweiten mit Blacklisting und Whitelisting funktioniert. PiHole ist mit dem heimischen Internetrouter verbunden. Das darf via Kabel (Ethernet, LAN) oder kabellos (W-LAN) passieren. Jede Anfrage von einem im Netzwerk hängendem Gerät läuft nun über unser PiHole. PiHole ermittelt jetzt nun die IP-Adresse beispielsweise von www.Medienspürnase.de, blättert aber in den angegebenen Listen nach, ob die Domain durchgelassen werden darf oder auch nicht. Das geschieht mit jeder gleichgearteten Anfrage, genauso bei Facebook, Google oder Werbung. Unerwünschtes wird blockiert und erwünschte Inhalte dürfen passieren.
PiHole ist zudem recht flexibel zu konfigurieren, so daß der Schutz von Paranoia (alles wird blockiert und muß manuell freigeschaltet werden) bis leicht (nur einige Sachen werden blockiert) eingestellt werden kann. Das will heißen, der geneigte Nutzer kann blockieren was er will, oder über die Whitelists alles, was er braucht wieder freischalten.
Ich schrieb ja, daß PiHole die Blockierlisten namhafter Adblock-Plugins von Browsern nutzt. PiHole wendet diese Blockierlisten auf alle Geräte, die ihren Traffic ins Internet haben, an. Zudem ist es eine zentralisierte Lösung, die leicht zu warten ist und auch keine hohen Hardwareanforderungen stellt. Es reicht schon wenn die auf einem Einplatinenrechner mit 10 Watt Stromverbrauch läuft.
[Update] In Deutschland und der EU sind die Datenschutzanforderungen sehr hoch angesiedelt, leider sind Kontrollen durch betreffende Behörden rar. Dafür allerdings gibt es eine reihe Anwälte, die sich selbst mit Abmahnungen bereichern, werden irgendwelche (vermeintliche) Verstöße aufgedeckt oder angezeigt. Die meisten größeren Webseiten und Portale in Deutschland wissen selbst um die Gefahr durch dubiose Anwälte oder den Staat abgestraft zu werden.
Deshalb setzen immer mehr Webseitenbetreiber auf Datenschutzkonforme Lösungen, beispielsweise bei den Like-Buttons von Facebook und co. Ich schrieb bereits vor geraumer Zeit darüber, daß es sogenannte Zwei-Klick Lösungen für alle erdenklichen Webseiten gibt. Diese Buttons haben den Vorteil, daß man die Like-Funktion mit dem ersten Klick aktiviert und beim zweiten Klick den Link sendet.
Think Social – Medienspürnase goes to Facebook, Twitter and Google+
Mittlerweile bin ich schon seit geraumer Zeit noch einen Schritt weiter gegangen. Der Heise Verlag bietet für WordPress und andere Contant Managementsysteme ein Plugin namens Shariff an. Das platziert die Like-Buttons als simplen HTML-Link, der mit stinknormalem CSS gestaltet wurde unter die Artikel. Reines HTML und CSS sendet von sich aus nichts, nur nach einem Klick auf den Button öffnet sich ein Anmeldefenster für das besuchte soziale Netzwerk zum teilen.
Die Medienspürnase wandelt sich
Fazit
Der Aufwand um die eigenen Daten besser zu Schützen bleibt auf einem erfreulich niedrigem Niveau, gerade bei den Addons für die gängigsten Browser. Hier punkten Firefox und Chrome gegenüber Internetexplorer und Edge. Die Addons für die Browser aktualisieren sich in gewissen Abständen automatisch und ohne den Nutzer zu belästigen.
Bei PiHole dauert das Aufsetzen schon ein wenig länger. Man benötigt eine gewisse Hardware und man ist da schon mit 40 bis 50 Euro plus Stromkosten dabei. Die Einarbeitung und Konfiguration dauert hier natürlich, wenn es aber läuft bietet es einen zuverlässigen Schutz. Wenn es optimal konfiguriert ist, zieht es sogar Updates von selbest. Der Aufwand wird der Laufzeit geringer. Anfangs ist das System auf sein Surfverhalten zu trainieren, denn einige Seiten, die man gern besuchen würde, landen vielleicht schon in der Blackliste, von der man sie in die eigene Whiteliste herausholen muß.
Beide Maßnahmen zu kombinieren ist recht Sinnvoll. Nutzt man PiHole, so können die Ad-Blocker und Container Plugins noch störende Platzhalter beim Browser entfernen. Vielleicht arbeiten dann bei euch die Sachen so miteinander, daß diese sich ergänzen?
Naja, Kommentarfunktion ist schon mal nicht ganz DSGVO konform. Ich würde WP GDPR Compliance empfehlen…
Wie ich schon bereits an anderer Stelle geschrieben habe, sind unter der Haube noch zwei oder drei Änderungen zu machen, habe aber bisher noch nicht alle Tools beisammen. Ich bin mir durchaus bewusst, daß ich da ein paar Tage zu spät dran bin, aber die Arbeiten sind in follem Gange.
Habe erst gestern der Kommentarfunktion abgewöhnt IP Adressen zu speichern und mmusste noch einen weg finden, die bis dato gespeicherten IPs zu löschen, das habe ich heute Nachmittag direkt in der MySQL Datenbank erledigt. Die Änderungen treten auf diesem System erst immer etwas später ein, weil ich lokal einen Testserver mit einer identischen WordPressinstallation habe (aus Backupmaterial) und ich da erst einmal herumexperimentiere,bevor ich alles ins Produktivsystem übertrage.
Alle Umstellungen werden dann auch zu gegebener Zeit als separater Artikel erscheinen, es muss aber erst alles unter der Haube erledigt sein. Aber Danke für den Tipp.