Firefox stellt die Unterstützung für die Funktion "Do Not Track" ein

• Die Einstellung Do Not Track (DNT), mit der Websites mitgeteilt wurde, dass kein Tracking gewünscht ist, verschwindet ab Firefox 135; in Nightly-Builds wurde die Entfernung der Option bereits bestätigt
• DNT funktioniert über einen HTTP-Header, der die Wahl des Nutzers signalisiert, doch viele Websites ignorieren dieses Signal, wodurch die Wirksamkeit gering ist
• Mozilla kam zu dem Schluss, dass das DNT-Signal in manchen Fällen die Privatsphäre verringern kann, und bestätigte die Entfernung in einem Bugzilla-Eintrag und in Support-Dokumenten
• Die Alternative ist die auf Global Privacy Control (GPC) basierende Einstellung „Websites mitteilen, dass sie meine Daten nicht verkaufen oder weitergeben sollen“
• Wie sich ein Upgrade auf Firefox 135 bei Nutzern verhält, die DNT bereits aktiviert hatten, ist noch unklar; Chrome und Microsoft Edge bieten die DNT-Einstellung weiterhin an

---

Entfernen der DNT-Einstellung in Firefox 135

• Mozilla entfernt die Einstellung Do Not Track (DNT) aus Firefox
  • Betroffene Versionen sind Firefox 135 und neuer
  • Die Änderung ist bereits in Nightly-Builds sichtbar
• In den „Website Privacy Preferences“ von Nightly ist die Option „Send websites a ‘Do Not Track’ request“ verschwunden
• Auch der Bugzilla-Eintrag Remove DNT control from about:preferences#privacy bestätigt dieselbe Änderung

Grenzen von DNT und die GPC-Alternative

• DNT ist eine Browsereinstellung, mit der Nutzer Websites mitteilen, dass sie kein Tracking wünschen
  • Wenn sie aktiviert ist, sendet der Browser einen speziellen HTTP-Header an Websites, der die Tracking-Ablehnung des Nutzers signalisiert
  • DNT wurde 2009 von Christopher Soghoian und Sid Stamm eingeführt, und Firefox war der erste Browser, der diese Funktion implementierte
• Der Grund für die Entfernung ist, dass viele Websites das DNT-Signal nicht respektieren und es in einigen Fällen die Privatsphäre sogar verringern kann
  • Die Firefox-Supportdokumentation weist darauf hin, dass das DNT-Kontrollkästchen ab Firefox 135 entfernt wird
  • In der Supportdokumentation steht außerdem, dass viele Websites diese Datenschutzpräferenz nicht respektieren
• Die von Firefox empfohlene Alternative ist Global Privacy Control
  • Die zugehörige Einstellung lautet „Tell websites not to sell or share my data“
  • Diese Option basiert auf GPC
  • GPC wird von immer mehr Websites respektiert und ist in manchen Regionen gesetzlich durchsetzbar
• Wie sich ein Upgrade auf eine betroffene Firefox-Version bei Nutzern verhält, die DNT bereits aktiviert hatten, ist derzeit noch unklar
  • Möglicherweise wird die Meldung „Firefox no longer supports Do Not Track“ angezeigt
  • Oder das Signal wird weiterhin an Websites gesendet
• Andere Browser wie Google Chrome und Microsoft Edge bieten die DNT-Einstellung noch an
  • Chrome: Settings > Privacy and Security > Send a “Do Not Track” request with your browsing traffic
  • Microsoft Edge: Settings > Privacy, Search, and Services > „Send Do Not Track requests“ einschalten

[GN⁺]

Meinungen auf Hacker News

• Ich habe bei Mozilla gearbeitet, als diese Funktion implementiert wurde.
  Ob Websites sie unterstützen, war völlig optional, und anfangs taten das nur einige wenige Sites.
  Intern gab es viele Stimmen dafür, sie standardmäßig einzuschalten, aber das Gegenargument war, dass sie dann niemand respektieren würde. Welche Tracking-Plattform würde schon nur die 0,1 % nicht verfolgen, die in die Einstellungen gehen und sie selbst aktivieren?
  Am Ende schaltete Internet Explorer sie standardmäßig ein und bekam dafür gute Presse, aber weil sie dann alle ignorierten, wurde die Funktion damit im Grunde getötet.
  Insgesamt bin ich froh, dass diese Funktion verschwindet. Sie hat in Wirklichkeit nichts bewirkt und vermittelte eher den Eindruck, sie leiste viel – also nur ein falsches Sicherheitsgefühl.
  Allerdings fände ich es gut, wenn die Cookie-Modals der einzelnen Sites auf Browser-Ebene gehoben würden. Es gibt sicher viele Gründe, warum das noch nicht passiert ist, aber ein großer dürfte mit G anfangen und mit Oogle enden.

  • „Es wäre gut, wenn die Cookie-Modals der einzelnen Sites Browser-Ebene würden“ – das geht indirekt schon.
    Wenn man in den Einstellungen von uBlock Origin die Filter Cookie Banners und Annoyances aktiviert, werden die Modals still im Hintergrund entfernt und man kann weiter surfen. Da man nie zugestimmt hat, sollte das funktional dasselbe sein, als hätte man im Banner abgelehnt.
    In minderwertigen Browsern, die uBlock Origin nicht unterstützen, etwa iOS oder Chrome für Android, funktioniert das Kill-Sticky-Bookmarklet ähnlich: https://www.smokingonabike.com/2024/01/20/take-back-your-web...
    Ich vermisse die Zeiten, in denen frühere Browser die Nutzer priorisierten und Dinge wie Popup-Blocker standardmäßig einschalteten.
  • Genau deshalb stellt RFC 35140 „Do-Not-Stab“ klar, dass User Agents dies nicht standardmäßig einschalten dürfen.
    https://www.5snb.club/posts/2023/do-not-stab/
  • Ich habe damals bei einem der großen Ad-Tech-Unternehmen gearbeitet. DNT war ein sorgfältig ausgehandelter Kompromiss zwischen der Werbebranche, den von diesen Einnahmen abhängigen Sites, Browser-Anbietern und Datenschutzbefürwortern.
    Wir hatten DNT in unserer Edge-Infrastruktur implementiert und waren bereit für den Rollout.
    Dann brach Microsoft im Krieg mit Google und nachdem die eigenen Ad-Tech-Ambitionen aus der aQuantive-Übernahme in einer Abschreibung von 6 Milliarden Dollar geendet hatten, die Vereinbarung, indem es DNT standardmäßig einschaltete. Das war für alle ein tödlicher Schlag.
    Die Werbebranche hätte eine Opt-out-Version von DNT niemals akzeptiert. Es funktionierte, solange nur die interessierte Minderheit es selbst aktivierte; wenn aber der damals dominierende Webbrowser diese Wahl stellvertretend für alle Nutzer traf, war das nicht tragfähig.
    Ich verstehe vollkommen, warum Leute Tracking und personalisierte Werbung hassen. In den letzten zehn Jahren ist das invasiver geworden, aber zumindest damals war es für das kommerzielle Web unverzichtbar.
  • Wenn man dieses Bit setzte, wurde der Browser-Fingerprint ironischerweise ein wenig eindeutiger.
  • Ich halte DNT für eine kreative Lösung.
    Der einzige Weg, Tracking zu stoppen, sind Gesetze oder Regulierung. Technische Lösungen sind ein endloses Wettrüsten, und für Endnutzer ist das vermutlich eher ein verlorener Kampf.
    DNT war eine Möglichkeit für Verbraucher zu zeigen, dass sie nicht getrackt werden wollen, und brachte Unternehmen in die Position, eine ausdrückliche Datenschutzanfrage der Verbraucher zu ignorieren.
    Leider hat niemand diesen Punkt effektiv genutzt.

• Ich verstehe, dass viele von Mozillas jüngstem Kurs einen schlechten Eindruck haben. Aber hier wird im schlimmsten Fall eine Funktion entfernt, die fast niemand respektiert hat.
  Diese Funktion basierte auf einem Ehrensystem, und selbst das Schweizer Ehrensystem führt Stichprobenkontrollen durch. Der Browser hatte keinerlei Möglichkeit, diese Funktion durchzusetzen.
  Ironischerweise wurde sie auch als zusätzlicher Datenpunkt genutzt, um besonders datenschutzbewusste Leute zu tracken, die sie absichtlich aktiviert hatten.

  • Medium hat sie lange unterstützt, und Tools wie Matomo unterstützten sie ebenfalls standardmäßig.
    Firefox hat den Ersatz Global Privacy Control implementiert, aber der hat genau dasselbe Problem, und es gibt noch weniger Websites, die GPC respektieren.
    Es ist keine echte Lösung für die heute normalisierten Cyberstalking-Praktiken von Websites, aber völlig nutzlos ist es auch nicht.
  • Die Diskussion und das System selbst waren manipuliert. Wenn es fair gewesen wäre, hätte man es so machen müssen:
    1. Standardmäßig davon ausgehen, dass Nutzer nicht getrackt werden wollen, und Do Not Track zu einer Option machen, die man ausschalten kann.
    2. Nach einigen Jahren Betrieb die Diskussion darüber, dass es niemand respektiert, schrittweise verstärken.
       Dann wäre es berichtenswert gewesen, und zumindest in der EU hätte es möglicherweise als Gegenstand für regulatorische Durchsetzung geprüft werden können.
       Tatsächlich hatte Do Not Track aber nie eine Chance auf Erfolg, und ich halte das für beabsichtigt.
  • Zustimmung. Es ist nur eine freiwillige Regel, die von einem Browser mit einem Marktanteil genutzt wird, der wie ein Rundungsfehler aussieht.
    Wenn jemand seinen Online-Datenschutz allein darauf gestützt hat, braucht er Aufklärung.
    Aus dieser Sicht könnte die Entfernung ein paar Leute dazu bringen, stärkere Schutzmaßnahmen im Browser einzusetzen, und damit in sehr kleinem Umfang insgesamt dem Datenschutz helfen.
  • Mehr noch als ignoriert zu werden, hat es eine weitere Möglichkeit hinzugefügt, den Fingerprinting-Bereich einzugrenzen.

• Es war an der Zeit, das abzuschaffen. Es hat nie einen nennenswerten Beitrag zum Datenschutz geleistet und hatte eher den gegenteiligen Effekt, weil es ein weiteres Signal lieferte, mit dem Nutzer eindeutig identifiziert und Tracking verbessert werden konnte.
  Allerdings ist Tracking-Schutz insgesamt im Grunde ein Kampf, den man kaum gewinnen kann. Wer auf https://amiunique.org/ geht, sieht warum.
  Ich nutze in Firefox alle möglichen Schutzmaßnahmen, den „strict“-Tracking-Schutzmodus und uBlock Origin, aber First-Party-Tracking lässt sich nicht vermeiden.
  Ein eindrucksvolles Beispiel: Moderne Browser können Websites die Anzahl der CPU-Kerne des Geräts offenlegen. Allein damit lassen sich 80–90 % der Nutzer herausfiltern; kombiniert mit User-Agent, IP und Sprache ist man fast eindeutig identifiziert.
  https://developer.mozilla.org/en-US/docs/Web/API/Navigator/h...

  • Es wäre gut, wenn standardmäßig eine JavaScript-Umgebung bereitgestellt würde, die so grundlegend ist, dass sie für alle Nutzer gleich aussieht.
    Idealerweise in allen Browsern, zumindest aber in Firefox: Wenn eine Site erweiterte Funktionen nutzen will, die Tracking ermöglichen könnten, sollte in der Adressleiste ein Icon erscheinen, und man sollte sie je nach Fall erlauben können.
    Also nicht NoScript, sondern Low Script.
  • Das Ziel sollte nicht sein, nicht eindeutig auszusehen. Es gibt zu viele kleine Merkmale, die dich verraten können.
    Selbst wenn man heute irgendwie alle Merkmale in den Griff bekommt, kann das nächste Browser-Update ein neues Signal aktivieren, und man kann auch nicht darauf vertrauen, dass amiunique.org alle identifizierenden Datenpunkte sieht. Am Ende ist das ein Rüstungswettlauf, den man verlieren muss.
    Was man will, ist, auf jeder besuchten Site anders eindeutig zu sein. Noch besser wäre es, JavaScript standardmäßig auszuschalten, sodass Sites 90 % der Datenpunkte, die der Browser preisgibt, gar nicht erst erfassen können.
    Der stärkste Schutz dürfte darin bestehen, per VPN die IP-Adresse zu ändern und User-Agent sowie andere Hinweise zu randomisieren.
  • Es gibt zwei voneinander unabhängige Probleme. Worum es hier hauptsächlich geht, ist die Notwendigkeit, Tracking von Menschen, die nicht getrackt werden wollen, praktisch schwierig zu machen.
    Gleichzeitig muss man es illegal machen.
    DNT wirkt wie ein „überhasteter“ Versuch, Letzteres ohne rechtliche Rückendeckung zu erreichen.
  • Dass Browser Websites die Anzahl der CPU-Kerne eines Geräts offenlegen, konnte man auch schon herausfinden, bevor navigator.hardwareConcurrency eingeführt wurde.
    Ich habe einen Timing-Angriff-Polyfill veröffentlicht, der diese Information ableitet, und zunächst wurde als Ersatz dafür die API navigator.hardwareConcurrency vorgeschlagen.
    Zusätzlich zum grundsätzlichen Nutzen dieser API sahen Browser-Anbieter darin den Vorteil, dass Websites das Gerät der Nutzer nicht mehr benchmarken müssen, um diesen Wert herauszufinden, was Akkulaufzeit spart.

• Die Entfernung dieser Funktion schadet der Nutzersouveränität. Firefox-Nutzer werden es mit nervigeren Consent-Prompts zu tun bekommen.
  Die Standardeinstellung von Transcend Consent Management nimmt Nutzer bei aktiviertem DNT von allen nicht essenziellen Tracking-Zwecken aus und unterdrückt auch automatische Consent-Prompts; ist dagegen nur GPC aktiviert, wird nur der „Verkauf/die Weitergabe von Informationen“ abgelehnt.
  Wenn dieses zentralisierte Datenschutzsignal entfernt wird, können einige Nutzer gegenüber Transcend Consent Management standardmäßig keine vollständige Ablehnung mehr ausdrücken, ohne mit lästigen Bannern zu interagieren.
  Meiner Ansicht nach wurde diese Änderung ohne angemessene Berücksichtigung und Feedback aus der Web-Community durchgedrückt. Mozilla hat das so schnell erledigt, dass kaum jemand das Problem bemerkte, bevor das Issue geschlossen wurde[1]. Erschwerend kommt hinzu, dass Bugzilla so konfiguriert ist, dass nach dem Schließen eines Issues nur noch Mozilla-Mitarbeiter weitere Kommentare hinzufügen können.
  Als das Chrome-Team 2023 vorschlug, DNT zu entfernen, habe ich ähnliches Feedback gegeben[2]. Sie haben das Feedback berücksichtigt; derzeit ist DNT weiterhin in Chrome enthalten, und die Entfernung ist auf unbestimmte Zeit verschoben.

  1. https://bugzilla.mozilla.org/show_bug.cgi?id=1928087
  2. https://issues.chromium.org/issues/41440843#comment12
  • Dass ein einzelnes Consent-Management-Tool – und wahrscheinlich kein besonders weit verbreitetes – dieses Flag versteht und nutzt, ist kein starkes Argument dafür, die Funktion beizubehalten.
    Es gibt bessere Datenschutzmethoden, die nicht von einem freiwilligen Flag abhängen, das an Werbetreibende gesendet wird in der Hoffnung, dass sie es akzeptieren.
  • Das schadet der Nutzersouveränität nicht. Denn niemand respektiert es.
    Gerade bei Datenschutz und Sicherheit sind Funktionen, die fälschlich Wirksamkeit suggerieren, eher schädlich.
    Niemand sollte glauben, nicht getrackt zu werden, nur weil Do Not Track aktiviert ist. Das ist falsch.
    Deshalb ist es richtig, es zu entfernen.

• GPC ist im Grunde dasselbe wie DNT, aber laut [1] „verbessert GPC DNT in vielerlei Hinsicht“
  Rechtliche Absicherung: Anders als DNT wird GPC von mehr Gesetzen gestützt, die Unternehmen verpflichten, solche Signale zu respektieren, etwa dem CCPA
  Konkretisierung des Ziels: DNT betraf Tracking im Allgemeinen, während GPC darauf fokussiert ist, den Verkauf oder die Weitergabe von Daten zu unterbinden, und damit für heutige Datenschutzanforderungen relevanter ist
  Bessere Chancen auf Akzeptanz: GPC wurde unter Einbeziehung von Regulierungsbehörden, Datenschutzbefürwortern und Branchenführern entwickelt, um zu bestehenden Gesetzen zu passen und frühere funktionale Lücken zu schließen
  Im Kern ist es aber fast dasselbe
  Daher wirkt „Firefox entfernt DNT“ eher wie „Firefox schafft die frühe, ineffektive Version von GPC ab“
  [1]: https://www.cookiebot.com/en/global-privacy-control/

  • Wird GPC von Gesetzen wie dem CCPA unterstützt, weil es standardmäßig deaktiviert ist? Am Ende ist es genauso ein Header mit einem vorgegebenen Wert
    Mein Anliegen ist, nicht getrackt zu werden. Tracking kommt vor dem Verkauf. Ich will nicht dem Verkauf widersprechen, sondern dem Tracking
    Es heißt zwar „funktionale Lücken“, aber der Unterschied zwischen GPC und DNT besteht nur darin, dass DNT DNT: 1 sendet und GPC Sec-GPC: 1 sendet
    Unternehmen, die DNT nicht respektiert haben, werden GPC kaum respektieren. Der einzige Unterschied hier ist, dass GPC im IE nicht standardmäßig aktiviert ist, DNT aber schon

• Wenn ich es richtig verstanden habe, wird DNT zugunsten des neuen Vorschlags „Global Privacy Control“ ausgemustert: https://w3c.github.io/gpc/
  Firefox wird daher künftig statt des Headers DNT: 1 optional Sec-GPC: 1 senden, über eine andere Einstellung als die bisher für DNT verwendete
  Ich verstehe nicht ganz, warum das eine sinnvolle Änderung sein soll. Als Website-Betreiber, der früher implementiert hatte, bei vorhandenem DNT-Header Anonymisierungscode zu aktivieren, kann ich den Code zwar ergänzen, damit er auch Sec-GPC berücksichtigt, aber das fühlt sich wie Änderung um der Änderung willen an
  Wenn dieselbe Browser-Einstellung aktiviert ist, könnte Mozilla einfach beide Header senden; es ist auch albern, Websites dazu zu bringen, beides zu prüfen. Ich verstehe, dass man für Sec-GPC eine stärkere Verpflichtung als für DNT will, aber Letzteres ist eine Teilmenge von Ersterem. Man könnte doch einfach die Beschreibung der Checkbox auf Client-Seite aktualisieren und beides senden

• Das „Do Not Track“-Signal war als zusätzliches Fingerprinting-Signal nützlicher als zum Verhindern von Tracking
  Hoffentlich kann jetzt etwas Robusteres vorangetrieben werden

• 2018 zur Abschaffung vorgesehen und 2024 entfernt. Für eine Funktion, die genau gegenteilig zu ihrem Zweck verwendet wurde, ist dieser Zeitplan für niemanden überraschend

• Man hätte es beibehalten und in der EU das Ignorieren rechtlich als Missbrauch einstufen sollen. Dann wären diese verdammten Cookie-Banner nicht nötig gewesen

  • Ignorieren bedeutet, dass eine ausdrückliche Einwilligung eingeholt werden muss, und Websites tun das bereits

• Die Nutzung war so gering, dass diese Funktion zum Tracken von Menschen verwendet wurde

  • Die offensichtliche Lösung wäre wohl gewesen, sie standardmäßig zu aktivieren