Entscheidung 2021: Was kommt nach dem Ende der Third-Party-Cookies?

Mit Third-Party-Cookies personalisierte Online-Werbung wird schon bald Geschichte sein. Alle großen Browserhersteller haben der Technologie den Kampf angesagt und zwingen die Werbewirtschaft damit zu einem radikalen Umdenken. Den Zeitplan hat der auch in dieser Diskussion tonangebende Platzhirsch Google gesteckt: 2022 soll Schluss sein mit Drittanbieter-Cookies. Und dann? Wir fassen zusammen, was dabei auf dem Spiel steht und in welche Richtung sich das Ganze aktuell entwickelt.

Wie funktionieren Tracking und Personalisierung bislang?

Online-Werbung wird bislang mithilfe von Drittanbieter-Cookies gezielt auf den jeweiligen Nutzer zugeschnitten ausgespielt. Das heißt: Damit ein Nutzer beim Surfen auf unterschiedlichen Websites wiedererkannt werden kann, muss dort jeweils ein entsprechender Cookie verwendet werden, über den er identifiziert und verfolgt werden kann. Cookies dieser Art werden nicht durch den Betreiber einer Website oder eines Onlineshops bereitgestellt, sondern durch externe Anbieter, also Dritte. Anhand der durch Cookies auf unterschiedlichen Websites gesammelten Daten können automatisierte Systeme Indizien für Interessen, Suchintentionen, Bedürfnisse von Besuchern sammeln und auf dieser Grundlage Werbeanzeigen gezielt ausspielen.

Wenn ein Nutzer seinen Browser so konfiguriert, dass keine Third-Party-Cookies mehr akzeptiert werden, greift diese Technologie ins Leere und die Werbung kann für diesen Nutzer nicht mehr personalisiert werden. Wenn ein Browser vom Hersteller so ausgeliefert wird, dass er schon im Standard die Annahme von Drittanbieter-Cookies verweigert, wird die Personalisierung für alle Nutzer dieses Browsers unmöglich gemacht. Und wenn alle großen Browser-Hersteller Cookies von Dritten aussperren, fällt das gesamte Geschäftsmodell in sich zusammen. So weit ist es aktuell zwar noch nicht – aber in ziemlich genau einem Jahr soll es so weit sein.

Wie geht die Abkehr von Third-Party-Cookies vonstatten?

Mozilla machte bereits im Herbst 2019 den Anfang und blockierte Third-Party-Cookies in Firefox. Angesichts des vergleichsweise geringen Marktanteils des Browsers setzte dieser Schritt die Online-Werbewirtschaft noch nicht unter Zugzwang, wurde aber bereits als deutliches Signal wahrgenommen. Im Licht der anhaltenden Diskussion um die EU-Datenschutzgrundverordnung (DSGVO), Cookie-Banner und die Auslegung einschlägiger Gerichtsurteile lag in Mozillas Entscheidung gegen Drittanbieter-Cookies auch ein klares Bekenntnis zu mehr Datenschutz.

Google reagiert – und schockiert

Das Signal von Mozilla war deutlich genug und die Diskussion um Datenschutz im Internet wurde derweil so allgegenwärtig, engagiert und ausdauernd geführt, dass Google wenige Monate später für einen Paukenschlag sorgte. Im Januar 2020 verkündete der Konzernriese, bis 2022 Third-Party-Cookies aus seinem Browser Chrome zu verbannen und versetzte damit die Online-Werbewirtschaft in Aufruhr: Schon in zwei Jahren keine personalisierte Werbung mehr auf Milliarden Android-Geräten? Kurz nach Googles Deadline-Ankündigung zog schließlich auch Apple nach und blockierte Cookies von Drittanbietern in seinem Browser Safari, womit auch iPhone-Nutzer aus dem auf Cookies basierenden Personalisierungs-Spiel waren.

Zwei Jahre Gnadenfrist?

Dass Google anders als die beiden konkurrierenden Browser-Player nicht gleich Tatsachen geschaffen, sondern – ganz im Stil eines souveränen Gesetzgebers – eine zweijährige Übergangsfrist eingeräumt hat, bis die Maßnahme tatsächlich umgesetzt wird, ist dabei jedoch nicht als entgegenkommende Geste aufzufassen. Google verdient selbst ausgesprochen viel Geld mit Werbung, die personalisiert ausgespielt wird – selbstverständlich mithilfe von Third-Party-Cookies. Auch für Google gilt: Wenn das zielgenaue Ausspielen von Werbung weiterhin möglich sein soll, muss dafür eine neue Technologie etabliert werden, die dann auch auf breiter Basis eingesetzt wird. Und wenn es noch keine technologische Alternative gibt, muss die jetzt entwickelt werden.

Halbzeit: Das entscheidende Jahr bricht an

Inzwischen, kurz vor der Halbzeit der gesetzten Zwei-Jahres-Frist, gibt Google in der Diskussion um die Zukunft von Tracking und Targeting im Online-Marketing weiterhin den Ton an – und die Branche ist nach wie vor sichtlich beunruhigt. Während die unterschiedlichen Akteure in der Branche nach neuen Wegen jenseits von Third-Party-Cookies suchen und mögliche Wege ausloten, wird immer deutlicher, wer hier die Zügel in der Hand hält: Als Browserhersteller hat Google das Aus von Drittanbieter-Cookies eingeläutet und nebenbei den Zeitplan dafür definiert – und als Werberiese ist der Konzern gerade dabei, die Weichen zu stellen, um der gesamten Branche den Weg für den technologischen Wandel zu weisen – beziehungsweise vorzuschreiben.

Welche Alternativen zum Tracking mit Cookies gibt es?

Neben Cookies gibt es bislang vor allem drei mögliche Wege, um Nutzer websiteübergreifend zu verfolgen, aus dabei gesammelten Daten Profile zu generieren und auf dieser Grundlage Werbung (oder andere Inhalte) zu personalisieren:

• Fingerprinting
  Device- beziehungsweise Canvas-Fingerprinting gilt schon sehr lange als Alternative zu Cookies. Diese Methode verzichtet darauf, Dateien auf dem System des Nutzers anzulegen und errechnet eine Art einmaligen Fingerabdruck aus Informationen, die beim Surfen ohnehin übermittelt werden: Betriebssystem, Browser mit Versionsnummer, Größe des Viewports und anderes mehr. Anhand dieses wiedererkennbaren Fingerabdrucks können Nutzer dann verfolgt werden. Diese Methode ist jedoch weniger präzise als Cookies und wird mittlerweile von Firefox und Safari unterdrückt. Auch Google hält demonstrativ Abstand vom Fingerprinting und verweist darauf, dass die Funktionsweise der Methode datenschutzrechtlich bedenklich ist. Gesetzgeber und Gerichte werden das aller Voraussicht nach ähnlich bewerten, sobald sie eines Tages so weit sind, sich mit dieser Technologie zu befassen.

• Nutzer-Login
  Nutzer, die in einem Dienst eingeloggt sind, können während der Browser-Session unkompliziert getrackt werden. Aber wer außer den ganz großen Playern wie Google und Facebook kann auf Daten von einer ausreichend großen Zahl ständig eingeloggter Nutzer zugreifen? Single-sign-in-Lösungen, bei denen ein Login übergreifend für mehrere Dienste akzeptiert wird, sind seit mehreren Jahren verfügbar, werden aber wenig genutzt. Für flächendeckende Lösungen wie personalisierte Anzeigen in Online-Werbenetzwerken wird sich dieser Ansatz kaum eignen – zumal hier so direkt personenbezogen getrackt wird wie bei keinem anderen Ansatz. Ein Albtraum für jeden Datenschützer.

• eTags
  Für die Steuerung des Cachings im Browser werden auf dem Gerät sogenannte eTags gesetzt, die auch von außen ausgelesen werden können. Auf diesem etwas unorthodoxen Weg lassen sich ebenfalls IDs zu Nutzern bilden. Diese Methode kommt zwar ganz ohne JavaScript aus, muss aber immer dann wieder von vorn beginnen, wenn der Browser-Cache geleert wird, wobei auch die eTags – und damit die daran geknüpfte ID – getilgt werden.

Zusammenfassend lässt sich festhalten: Es gibt zwar Alternativen zu Third-Party-Cookies, aber keine davon kommt als strahlender Kronprinz in Frage. Und wenn nur schlechte Optionen auf dem Tisch liegen, muss Google die Sache im Zweifel selbst in die Hand nehmen.

Privacy Sandbox: Google baut sich was

Um den hauseigenen Browser Chrome herum will Google in Kooperation mit dem World Wide Web Consortium (W3C) ein neues, datenschutztechnisch unbedenkliches Ökosystem als Alternative zu den in Verruf geratenen Third-Party-Cookies entwickeln. Unternehmen sind ausdrücklich zur Mitarbeit an dem zu diesem Zweck ins Leben gerufenen Projekt „Privacy Sandbox“ eingeladen. Und schließlich soll das Ergebnis auch anderen Browserherstellern wie Mozilla und Apple schmackhaft gemacht werden. Der grundsätzliche Ansatz dabei: Daten sollen nicht mehr von externen Dienstleistern gesammelt, gespeichert und weiterverarbeitet werden, sondern das Targeting für personalisierte Werbung soll künftig im Browser stattfinden.

Heißt die Lösung „FLoC“?

Bereits Anfang 2020 hat Google angekündigt, die Methode „Federated Learning of Cohorts“ (FLoC) entwickeln und testen zu wollen. Vor wenigen Wochen wurde dann mit einem auf GitHub verfügbaren Bericht die offene Diskussion der ersten Ergebnisse angestoßen. Mithilfe von Technologien aus dem Bereich Machine Learning soll der Browser aus dem Verlauf automatisch ein Interessenprofil für den Nutzer bilden, das dann in Form einer Prüfsumme übertragen wird. Nutzer mit identischen Profil-Prüfsummen werden zu Kohorten, sogenannten „Flocks“ zusammengefasst. Auf dieser Grundlage kann personalisierte Werbung zwar nicht mehr auf einzelne Personen zugeschnitten werden, lässt sich aber in Abhängigkeit von der Genauigkeit der gebildeten Profile zielgenau für die jeweilige Kohorte ausspielen.

Googles Anspruch dabei ist, die eigene Technologie viel leistungsfähiger und zielsicherer zu machen als bisher übliche Methoden zum datengetriebenen Bilden von Gruppen. Ein Blick in den Bericht zu den Fortschritten in Sachen FLoC legt nahe, dass Google dieses Ziel auch innerhalb der selbst gesetzten Zeitspanne erreichen kann.

Was bleibt unterm Strich?

Aus Nutzersicht ist die von Google entwickelte Lösung zu begrüßen, da hiermit kein wirklich individuelles, „personenbezogenes“ Tracking mehr möglich und somit ein Stück mehr Datenschutz gewährleistet wäre. Aus der Sicht der Werbeindustrie wäre genau das jedoch ein entscheidender Einschnitt. Immerhin steht und fällt die Fähigkeit, mit größtmöglicher Präzision Werbung auszuwählen und zu platzieren, nicht zuletzt mit der Frage nach der jeweils angesprochenen Person.

Wie genau der von Google angestoßene technologische Wandel in einem Jahr, zur selbst gesetzten Deadline aussehen wird, ist jetzt noch schwer abzuschätzen. Noch ist nicht klar, wie – und wie gut – die Alternative zu Tracking und Targeting mithilfe von Third-Party-Cookies am Ende in der Praxis funktionieren wird. Und auch wenn Google der große, allseits bestaunte Durchbruch pünktlich gelingen sollte, bliebe fraglich, ob die anderen Browserhersteller auch tatsächlich mitziehen. Theoretisch denkbar wäre auch, dass Google der Branche, also in erster Linie sich selbst, doch noch eine Fristverlängerung gewährt. Es sieht derzeit aber nicht danach aus, dass das nötig sein wird. Klar ist aber schon jetzt, dass Third-Party-Cookies bald überflüssig sein werden.

Moment: Was bedeutet das für Google Analytics und Matomo?

Wer Google Analytics oder Matomo für die Analyse des Nutzerverhaltens auf seiner Website oder seinem Onlineshop einsetzt, braucht sich wegen Third-Party-Cookies übrigens keine Gedanken zu machen. Diese Lösungen verwenden ausschließlich First-Party-Cookies und bleiben von dem Manöver der Browserhersteller unberührt. Gleichwohl ist der Einsatz von Google Analytics vor dem Hintergrund des EuGH Urteils zum Privacy Shield nach wie vor ausgesprochen kritisch zu bewerten. Und auch wer auf Matomo baut, muss sehr genau aufpassen, dass die im BGH Urteil zu Cookies festgeschriebenen Rahmenbedingungen eingehalten werden.

Brauchen Sie Unterstützung?

Gerne unterstützen wir Sie in allen Fragen rund um die Themen Tracking und Werbeanzeigen.

Jetzt Kontakt aufnehmen!