Schafft die Cookie-Banner ab

• Die EU-Kommission schlägt für Herbst 2025 vor, Datenschutz-Präferenzen, die einmal im Browser festgelegt wurden, automatisch an Websites und Apps zu übermitteln, um wiederholte Cookie-Banner abzuschaffen
• Online-Tracking ist nach dem EU-Datenschutzrecht grundsätzlich verboten, doch Cookie-Banner verleiten Nutzer dazu, auf ihre Rechte zu verzichten, und erreichen so Zustimmungsraten von bis zu 90 %
• Tatsächlich wollen nur etwa 3 % der Menschen Online-Tracking, sodass eine große Lücke zwischen der über Banner eingeholten Zustimmung und den tatsächlichen Präferenzen der Nutzer besteht
• Nach Lobbyarbeit von Google und der Tracking-Branche blockieren einige EU-Mitgliedstaaten den Vorschlag, und Branchenverbände fordern ebenfalls eine Ablehnung durch das Europäische Parlament
• Da die Positionen der Mitgliedstaaten und des Europäischen Parlaments noch nicht feststehen, kann es den Ausgang des Vorschlags beeinflussen, wenn Bürger ihre Meinung direkt an Abgeordnete des Europäischen Parlaments oder Vertreter ihrer Regierung übermitteln

---

Wie der Browser Datenschutz-Präferenzen automatisch übermittelt

• Wenn im Browser einmal ausgewählt wird, ob Tracking erlaubt, abgelehnt oder eingeschränkt werden soll, übermittelt ein automatisches Signal diese Präferenz an Websites oder Apps
• Browser senden bereits automatisch Informationen wie die bevorzugte Sprache an Websites, daher ist dies technisch weder ein neues noch ein komplexes Konzept; in einigen US-Bundesstaaten werden Datenschutz-Präferenzsignale rechtlich unterstützt
• Cookie-Banner wurden geschaffen, um die für Online-Tracking erforderliche Einwilligung einzuholen, und sind teils so gestaltet, dass sie Nutzer irreführen oder das Ablehnen der Zustimmung umständlich machen

Lobbyarbeit rund um die Gesetzesreform und Aufruf zum Handeln

• Die Tracking-Branche lehnt den Vorschlag ab, weil eine effiziente Übermittlung von Datenschutz-Präferenzen dazu führen könnte, dass die Tracking-Zustimmungsraten sinken
  • Einige EU-Mitgliedstaaten blockieren den Vorschlag der EU-Kommission
  • Branchenverbände lobbyieren auch dafür, dass das Europäische Parlament den Vorschlag ablehnt
• Der Vorschlag zu Datenschutzsignalen ist Teil einer EU-Gesetzesreform namens Digital Omnibus
  • Die Kampagne befürwortet Datenschutzsignale, unterstützt aber die meisten anderen Bestimmungen der Reform nicht, da sie die Rechte der Bürger schwächen könnten
• Unter Take Action kann man den zuständigen Vertretern im Europäischen Parlament oder in der eigenen Regierung Beschwerden über Cookie-Banner übermitteln
• Zivilgesellschaftliche Organisationen aus ganz Europa führen die Kampagne an, und andere Organisationen können unter Wie man mitmacht nachsehen

[GN⁺]

Hacker-News-Kommentare

• Um Cookie-Banner loszuwerden, müsste man festlegen, dass informierte Einwilligung nicht schon durch das Anklicken eines Kästchens oder Buttons zustande kommt. In der Praxis liest fast niemand den Inhalt; die meisten wollen ihn nur wegklicken. In einigen Regionen gibt es zudem Präzedenzfälle, bei denen Shrinkwrap-Bedingungen oder einfache Verträge nur insoweit durchsetzbar sind, wie die Klauseln vernünftigerweise zu erwarten waren
  Im australischen Bundesstaat Victoria sind bei Mietverhältnissen Standardverträge vorgeschrieben, und auch beim Hausverkauf scheinen de facto Standardverträge verwendet zu werden. Nur lässt sich niemand überzeugen, dessen Lebensunterhalt davon abhängt, es nicht zu verstehen

  • Ich bin jedes Mal erstaunt, wenn ich sehe, wie andere Leute den Inhalt von Cookie-Bannern gar nicht lesen und sofort auf „Akzeptieren“ klicken. Ich arbeite in der IT und achte deshalb stärker auf Datenerfassung, Profiling und Datenschutzprobleme, aber in vielen Fällen verschwindet das Banner schon, wenn man einfach auf den Ablehnen-Button klickt
    Cookies von Anfang an über die Browsereinstellungen zu verwalten war der einzig vernünftige Ansatz
  • Die Kontrolle über Cookies hätte immer beim Browser liegen müssen. Das Gesetz hätte Browser zu vernünftigen Standardeinstellungen verpflichten und verhindern sollen, dass von Browsern deklarierte Einstellungen durch Fingerprinting o. Ä. umgangen werden
    Selbst wenn Anfragen zur Rechteausweitung per Pop-up oder Toolbar-Symbol erlaubt wären, müssten sie immer an derselben Stelle erscheinen und dürften die Seite nicht verdecken
  • Verträge oder Verzichtserklärungen sollten keine rechtliche Durchsetzbarkeit haben, wenn der Unterzeichner sie tatsächlich nicht gelesen hat. Ein System, in dem man dem Gegenüber beliebige Pflichten aufladen kann, weil man darauf setzt, dass es ohnehin nicht liest, ist viel zu missbrauchsanfällig
  • Das ist der Versuch, ein durch Regulierung geschaffenes Problem mit noch mehr Regulierung zu lösen. Bei den vielen vorherigen Malen hat man die Nebenwirkungen nicht vorausgesehen, aber diesmal soll es ganz sicher keine unbeabsichtigten Folgen geben — zynisch gesagt
  • Wenn man sich mit „Ich habe es nicht gelesen“ der Bindungswirkung von Verträgen entziehen könnte, ließe sich das System nicht aufrechterhalten. Jede Partei, die die Vorteile eines Vertrags genutzt und dann gegen Klauseln verstoßen hat, hätte damit eine unwiderlegbare Verteidigung
    Verbraucherfairness ist wichtig, aber man muss das Gleichgewicht sorgfältig halten, damit dabei nicht auch noch der Anreiz verschwindet, überhaupt Wert zu schaffen

• Wenn sich rechtlich wirksame Datenschutzpräferenzen allein über Geräteeinstellungen übermitteln ließen, könnten Eltern markieren, dass ein Kind das Gerät nutzt, und damit Regelungen wie den Online Safety Act überflüssig machen

  • Man darf sich nicht von der Propaganda täuschen lassen, mit der Regierungen bei böswilligem Handeln immer wieder behaupten: „Wir waren nur inkompetent.“ Browser konnten Cookies bereits löschen; Banner haben nur kleine Wettbewerber verdrängt und die Macht bei Oligopolunternehmen konzentriert, die Daten direkt aus dem Betriebssystem abgreifen können
    Hätte man sogar eine Funktion vorgeschrieben, mit der sich auf Anfrage beim ISP die IP ändern lässt, wäre eine Art leichter Datenschutz auf Tor-Niveau möglich gewesen. Solange nicht das widersprüchliche Ziel totaler Überwachung besteht, ist es für Regierungen nicht schwer, starken Datenschutz umzusetzen
  • Es ist sehr wahrscheinlich, dass Eltern nicht wissen, wie man das einstellt, oder sich nicht darum kümmern. Viele Menschen kommen nicht einmal mit benutzerfreundlichen Smartphones richtig zurecht; Kontoverwaltung kann man da erst recht nicht erwarten
    Der Online Safety Act und ähnliche EU-Gesetze sind gefährlich, aber über die eigentliche Alternative — ein vollständiges Verbot sozialer Medien oder zumindest kurzfristig ein Smartphone-Verbot — will man nicht sprechen. Am Ende geht es ums Geld
  • Der California Digital Age Assurance Act macht genau das, aber auch dieses Gesetz wurde nicht gut aufgenommen
  • Wenn Eltern ein Gerät in den Kindermodus sperren, könnte es den Header user is child senden und die Website den Zugriff blockieren. Das hätte praktisch keine Kollateraleffekte und würde eine Überwachungsstaat-Lösung vermeiden
    Wenn Browser das zuerst umsetzen, könnten Betriebssystemanbieter nachziehen, also sollte Firefox vorangehen. Ich komme schon fast auf die Idee, eine Website zur Spezifikation zu bauen und GitHub- sowie RFC-Prozesse zu starten

• Man könnte die Leute auch einfach nicht überwachen. Für Cookies, die funktional zwingend erforderlich sind, braucht es kein Cookie-Banner

  • Offenbar ist Tracking sogar auf offiziellen EU-Websites mit praktisch nur statischen Inhalten unverzichtbar. Solange die offizielle EU-Website nicht ohne Cookie-Banner funktioniert, wirkt das wie ein „Tu, was ich sage, nicht was ich tue“

• Es ist schwer zu verstehen, warum man Browser nicht von Anfang an verpflichtete, Cookie-Berechtigungen zu verwalten, so wie sie nach Standort- oder Mikrofonzugriff fragen

• Nicht nur darüber reden, sondern es wie in Kalifornien tatsächlich umsetzen. Ab Januar 2027 soll eine einzige Datenschutzeinstellung im Browser Präferenzen automatisch an Websites übermitteln und so verhindern, dass Suchverlauf, Standort, Kaufhistorie, Interessen usw. an Datenbroker oder Dritte verkauft werden
  Ankündigung dazu

• Das sieht endlich nach einer Änderung aus, die die Nutzbarkeit des Webs deutlich verbessert. Da man vielleicht nicht auf jeder Website dieselben Präferenzen anwenden will, ist ein Kompromiss aus globalem Standardwert und seitenbezogenen Einstellungen passend

  • Solange es nur ein automatisiertes Signal ist, kann der User-Agent es mit beliebiger Logik senden; das Gesetz muss die konkrete Übertragungsweise also nicht festschreiben. Firefoxs Tracking Protection unterstützt bereits globale Standardwerte und seitenbezogene Ausnahmen, daher wird diese Funktion vermutlich dieselbe Struktur nutzen oder mit vorhandenen Funktionen integriert werden
  • Ich frage mich, in welcher Situation ein Nutzer ausdrücklich zustimmen möchte, seinen Suchverlauf an Dutzende oder Hunderte Drittanbieter-Tracker zu senden
  • Websites, die unabhängig von vorhandenen Präferenzen weiter tracken wollen, werden wahrscheinlich trotzdem weiter nachfragen

• Selbst das gut gemeinte TFL (Transport for London) wird durch Cookie-Warnungen beim eigentlichen Website-Zugriff behindert. Wenn man nur die Buszeiten prüfen will, erscheint ein Vollbild-Zustimmungsdialog, und der Akzeptieren-Button wird außerhalb des Bildschirms gezeichnet

  • Wenn alle Handlungen des Nutzers endlos verfolgt werden, kann man kaum noch von gut gemeint sprechen

• Es wäre womöglich einfacher, einfach alle nicht essenziellen Cookies illegal zu machen. Außer dass Menschen den Weg des geringsten Widerstands wählen, fällt mir kein Grund ein, warum vernünftige Leute das akzeptieren sollten

• Das automatische Signal müsste nicht nur die Standardpräferenz abdecken, sondern auch den unter lästig verschachtelter UI versteckten Vorwand des berechtigten Interesses. Sonst heißt es am Ende: „Wir wissen zwar, dass du nicht getrackt werden willst, tracken dich aber trotzdem, also klick dich bitte bei jedem einzelnen Partner noch einmal durch die Ablehnung“

  • Das wurde schon einmal versucht, aber die Marktinformations- und Überwachungsbranche scheint es verhindert zu haben
    https://en.wikipedia.org/wiki/P3P

• Datenschutzgesetze sollen angeblich gegen „schlechte Unternehmen“ gerichtet sein, laden am Ende aber viel zu oft die gesamte Verwaltungslast beim Einzelnen ab. Ich möchte nicht jedes Mal einen rechtlichen Vertrag abschließen, wenn ich eine Website besuche
  Genauso ist es, wenn wegen der Behauptung, soziale Medien seien schädlich für Kinder, von allen Besuchern am Eingang ein Ausweis verlangt wird