Cookies werden für die Identifizierung des Surfers genutzt. Neben der nötigen Identifizierung um personalisierte Inhalte zu nutzen, beispielsweise einen Web-Mail-Account oder um Einkäufe abzuwickeln, werden sie auch für das Tracking von Nutzern verwendet.

Der Screenshot von 2011 zeigt die Liste der Cookies, die damals bei einem einmaligen Aufruf der Seite www.spiegel.de ohne Anmeldung gesetzt wurden:

Cookies von Spiegel.de
Es ist nicht ungewöhnlich, dass populäre Webseiten mehrere Datensammler einbinden. Eine Studie der Universität Berkeley hat 2011 beim Surfen auf den TOP100 Webseiten 5.675 Cookies gefunden (ohne Login oder Bestellung). 4.914 Cookies wurden von Dritten gesetzt, also nicht von der aufgerufenen Webseite. Die Daten wurden an mehr als 600 Server über­mittelt. Spitzenreiter unter den Datensammlern ist Google. 97% der populären Webseiten setzen Google-Cookies.

In den folgenden Jahren gingen immer mehr Tracking Dienste dazu über, die Cookies im First-Party Context zu setzen, da Cookies von Drittseiten einfach blockiert werden können. Die Tracking-Cookies wurden auch von der NSA und GCHQ im Rahmen der globalen Über­wachung genutzt. Die Geheim­dienste beobachteten den Datenstrom und identi­fi­zierten Surfer anhand lang­lebiger Tracking-Cookies. Ziel­personen werden anhand dieser Cookies verfolgt und bei Bedarf mit Foxit Acid angegriffen, wenn die Identifikation über zwei Wochen stabil war. Mit der Verbreitung von HTTPS und des HTTPS-only-Mode wurden NSA und GCHQ diese Möglichkeiten genommen.

EverCookies – never forget

Als "EverCookies" bezeichnet man den Missbrauch unterschiedlicher Webtechniken zur Markierung von Surfern für Trackingzwecke. Es werden eindeutige Markierungen im HTML5 Storage oder in die IndexedDB geschrieben, ETags für das Cache Management können Tracking-IDs enthalten, TLS Session und HSTS können für das Tracking missbraucht werden u.a.m.

1: Schutz gegen Website-übergreifendes Tracking

Gegen Tracking mit Cookies und EverCookies über mehrere Web­sites bzw. Domains schützen Surf-Container. Es wird für jede Domain in der URL-Leiste gemäß Same-Origin-Policy automatisch ein neuer Surf-Container erstellt und alle Daten werden abgeschottet in diesem individuellen "Context" gespeichert. Für unterschiedliche Website ergeben sich damit unterschiedliche Tracking-IDs in Cookies, HTML5 Storage, unterschiedliche ETags im Cache und TLS Sessions…

2: Schutz gegen langrfistiges Tracking

Langfristiges Tracking verhindert man mit dem Löschen der Daten beim Schließen des Browsers.
network.cookie.lifetimePolicy= 2
privacy.history.custom= true
privacy.sanitize.sanitizeOnShutdown  = true
privacy.clearOnShutdown.cache= true
privacy.clearOnShutdown.cookies= true
privacy.clearOnShutdown.downloads= true
privacy.clearOnShutdown.formdata= true
privacy.clearOnShutdown.history= true
privacy.clearOnShutdown.offlineApps= true
privacy.clearOnShutdown.sessions= true
privacy.clearOnShutdown.siteSettings  = true

Diese beiden genannten Maßnahmen sind durch Trackingdienste kaum erkennbar. Beim Surfen verhält sich der Browser wie die Standard­konfiguration von Millionen anderen Nutzern. Es gibt nur minimale Einschränkungen. Gleich­zeitig wird das Tracking mit Cookies und EverCookies verhindert.

Außerdem werden EverCookies damit in gleicher Weise behandelt wie Cookies. Es ist nicht sinnvoll, für Cookies strengere Maßstäbe als für EverCookies anzulegen und dabei in Kauf zu nehmen, dass man sich von der großen Masse der Firefox Standard-Nutzer unterscheidet.

3: Schutz gegen Redirect Tracking

Beim Redirect Tracking wird der Surfer bei Klick auf einen Link nicht direkt von der Webseite A zur Webseite B geleitet (A -> B) sondern von A zur Zwischenstation T geschickt, die den Besucher mit Tracking­elementen im First-Party Context markiert und dann automatisch wie gewünscht nach B weiterleitet (A -> T -> B). Die Zwischenstation T wird in der Regel kaum bemerkt.

Das Add-on Skip Redirect kann diese Tracking Umleitungen in URLs entfernen, wenn sie nicht kodiert wurden. (Für WiFi Hotspot Logins muss man das Add-on deaktivieren.)

Im April 2020 hat Mozilla geschrieben, dass Firefox 79+ auch Redirect Tracking erkennen und die Tracking­markierungen entfernen kann. Das Feature ist seit Firefox 83+ standardmäßig aktiviert:

privacy.purge_trackers.enabled = true

Wenn diese Option aktiv ist, dann löscht Firefox 1x in 24 Stunden alle Cookies und Evercookies von Domains, die in der Blockierliste für den Trackingschutz gelistet sind (aber nur wenn die Domain in den letzten 72 Stunden nicht als First-Party mit Nutzer­interaktion aufgerufen wurde). Das Feature ist überflüssig, wenn man beim Beenden von Firefox alle Daten löscht, wie oben bei (2) empfohlen.

Cookie-Management mit zusätzlichen Add-ons

Zusätzliche Add-ons wie CookieAutoDelete oder CookieController tun in der Regel das, was der Name vermuten lässt. Sie löschen oder verwalten Cookies automatisch, die nicht mehr gebraucht werden oder nach vorgegeben Regeln (und machen um jedes gelöschten Cookies viel Getöse).

Das einfache Löschen von Cookies schützt nur wenig gegen Tracking. Tracking­dienste verwenden EverCookies, um gelöschte Tracking Cookies wiederherzustellen.. Diese Add-ons erfüllen zwar ihre Aufgabe, bieten aber hinsichtlich Tracking­schutz kaum eine Verbesserung.

Lizenz: Public Domain