So funktionieren Schattenprofile und Tracking bei Facebook

Das weltweit größte soziale Netzwerk verfolgt seine Mitglieder auch noch, wenn sie sich ausgeloggt haben, pflegt Profile von Leuten, die gar kein Facebook-Konto haben. t-online.de zeigt, wie das funktioniert und wie man sich schützen kann.

Mark Zuckerberg will, dass sich die Nutzer auf seiner Plattform frei und unbeobachtet fühlen. In seiner Aussage vor dem US-Kongress betont er deshalb immer wieder, die Nutzer hätten die "volle Kontrolle" über ihre Daten. Schließlich könne man vor jedem Posting festlegen, wer den Inhalt zu sehen bekommt. In seinen Augen ist das genug Privatsphäre.

Den Fragen der Kongressabgeordneten aber merkt man an: Sie ahnen, dass der Facebook-Chef nur die halbe Wahrheit sagt und wichtige Details verschweigt. Denn Facebook verfolgt seine Nutzer selbst dann noch durch das Netz, wenn sie sich ausgeloggt haben. Es sammelt sogar Informationen über Menschen, die gar kein Konto in dem sozialen Netzwerk haben. Und diese Informationen sind mindestens ebenso wertvoll, wie die Inhalte, die die Nutzer freiwillig veröffentlichen.

Ben Luján, demokratischer Abgeordneter aus New Mexico, sprach Zuckerberg in der Kongressanhörung vor einer Woche ganz direkt auf die "Schattenprofile" an, die der Konzern von Nicht-Mitgliedern anlegt. Zuckerberg leugnete zwar, den Begriff je gehört zu haben. Auch beim Thema "Tracking" gab sich der Facebook-Gründer ahnungslos. Das nimmt ihm aber keiner so recht ab. Schließlich tobt die Debatte nun schon seit vielen Jahren. Hier sind die Fakten, die jeder kennen sollte:

Was sind Schattenprofile?

Schattenprofile sind jedem schon begegnet, der sich bei Facebook angemeldet hat. Sie werden als "Personen, die du kennen könntest" angezeigt. Manche sind dann überrascht: Woher weiß Facebook so was? Zum einen natürlich aus dem Adressbuch des E-Mail-Kontos oder des Smartphones, mit dem man sich eingeloggt hat. Zwar haben nicht alle Kontakte ein Konto bei Facebook. Das soziale Netzwerk greift sich die Namen, Telefonnummern und E-Mail-Adressen trotzdem ab und bewahrt sie für den Fall auf, dass sich diese Menschen später anmelden. Der Neuling bekommt dann wiederum Freundesvorschläge präsentiert.

Zwar erteilt nicht jeder Nutzer die Zugriffsberechtigung auf das Adressbuch. Doch selbst wenn nur jeder zweite die Funktion "Freunde finden" nutzt, kommt bei einer Nutzerschaft von zwei Milliarden weltweit und 31 Millionen allein in Deutschland eine stattliche Datenbank zusammen.

Wie detailliert sind diese Schattenprofile?

Das angelegte Schattenprofil – bestehend aus Name, Telefonnummer oder anderen Kontaktinformationen – kann Facebook mit der Zeit durch weitere Informationen anreichern. So arbeitet Facebook mit Datenhändlern zusammen, von denen das Unternehmen zum Beispiel Informationen über Konsumgewohnheiten, Einkommen oder Wohnsituation des Nutzers hinzukauft.

Außerdem zeichnet Facebook auf einigen Android-Geräten offenbar komplette Telefon-Protokolle auf. Die Entdeckung machten mehrere Nutzer, nachdem sie ihren Datensatz heruntergeladen hatten. Auch so können Namen, Telefonnummern, Spitznamen oder Verwandtschaftsbeziehungen in Facebooks Datensatz gelangen.

Wenn zum Beispiel dieselbe Telefonnummer in mehreren Geräten unter den Bezeichnungen "Chef", "Papa" oder "Schatz" auftaucht, bekommt Facebook einen ziemlich guten Eindruck davon, wer diese Person ist und in welchem Verhältnis sie zu anderen Nutzern steht.

Den Betroffenen bleibt keine Möglichkeit, dieser unfreiwilligen Profilbildung zu widersprechen. Sie wissen ja gar nichts davon.

Was weiß Facebook über mich?

Zuckerberg behauptete in seiner Anhörung zunächst, alles, was Facebook über seine Nutzer wisse, stehe in den Datensätzen, die man sich herunterladen kann. Im Verlauf der Fragerunde musste er sich aber korrigieren: Die Browser-Historie etwa werde vorübergehend gespeichert und fließe später in die für Werbetreibende relevanten "persönlichen Interessen" ein.

Man kann davon ausgehen, dass Facebook noch viele weitere sogenannte Metadaten erhebt. Dies seien "Informationen, von denen die Menschen nicht wissen, dass sie sie erzeugen", kritisierte ein Abgeordneter.

Zuckerberg gibt zu, dass solche Verhaltensdaten bei Werbung eine Rolle spielen. Hauptsächlich aber würden Anzeigen entsprechend der freiwillig angegebenen Interessen ausgespielt. Keine dieser Informationen werden an Dritte weitergegeben. Facebook "vermietet" lediglich bestimmte Anzeigenplätze an seine Werbekunden.

Für viele Werbetreibende ist das ein extrem wertvoller Service. Denn durch seine Bekannt- und Beliebtheit hat das Netzwerk eine ziemlich gute Vorstellung davon, was seine Nutzer mögen und wer sie sind.

Wie funktioniert das?

Dahinter steckt Facebooks "Audience Network", das das Unternehmen in Zusammenarbeit mit anderen Webseiten-Betreibern und App-Entwicklern aufgebaut hat und ständig erweitert. Facebook stellt dafür verschiedene technische Werkzeuge bereit, die die Betreiber in ihre Webseiten und Apps einbauen können: Social Media-Plugins, sogenannte "Facebook Pixel" und der Datr-Cookie. Die einen sind für den Nutzer sichtbar, die anderen nicht.

Über "Share-Buttons" teilen Nutzer anderen bewusst mit, dass sie auf einer Seite waren. Über die anderen Werkzeuge aber wird nur Facebook mitgeteilt, wer der Besucher ist und was er auf der Seite gemacht hat. In einem Online-Shop könnte Facebook zum Beispiel nachvollziehen, welche Produkte er sich angesehen hat und welche davon letztendlich im Warenkorb gelandet sind.

Dem Betreiber des Webshops wird die Identität des Kunden zwar nicht verraten. Er kann Facebook aber damit beauftragen, bestimmte Kundentypen (zum Beispiel nur Männer oder nur Frauen oder alle, die sich Fahrradsattel angesehen haben) mit einer Anzeige zu sich in den Shop zu locken. Später erfährt er dann, wie viele aus dieser Gruppe das Produkt tatsächlich gekauft haben.

Ist das Tracking legal?

Facebook muss nach Ansicht europäischer Datenschützer über seine Tracking-Methoden informieren und um Erlaubnis fragen, bevor es die Online-Aktivitäten des Nutzers zu Werbezwecken auswertet. Dieser Pflicht sei das Netzwerk bisher nicht ausreichend nachgekommen. Spanische und französische Datenschutzbehörden haben deshalb im Vorjahr Bußgelder von 1,2 Millionen und 150.000 Euro verhängt. Auch Belgien hat Facebook das Tracking von Nicht-Mitgliedern gerichtlich unter Androhung von Strafen untersagt und aufgefordert, die illegal gesammelten Daten zu löschen.

In Deutschland droht das Bundeskartellamt mit Sanktionen. Mit einer Entscheidung wird im Sommer 2018 gerechnet. Die Behörde geht davon aus, dass Facebook seine Marktmacht missbraucht, wenn es Daten über seine verschiedenen Dienste und Drittwebseiten zusammenführt und auswertet. Man kann unerwünschtes Datensammeln nämlich nicht einfach abstellen oder zu einem anderen sozialen Netzwerk wechseln. "Der Nutzer wird vor die Wahl gestellt, entweder das 'Gesamtpaket' zu akzeptieren oder auf die Nutzung des Dienstes zu verzichten", kritisiert das Kartellamt. Das sei problematisch, da Facebook in Deutschland ein Quasi-Monopol habe.

Was ändert sich durch die europäische Datenschutzgrundverordnung?

Lina Ehrig von der Verbraucherzentrale hofft, dass die europäische Datenschutzgrundverordnung (DSGVO) dem "take it or leave it"-Ansatz der Online-Dienste einen Riegel vorschiebt. Denn ab dem 25. Mai könnte es aufgrund des sogenannten "erweiterten Koppelungsverbotes" nicht mehr zulässig sein, die Nutzung eines Dienstes von einer pauschalen Einwilligung in jegliche Form der Datenverarbeitung abhängig zu machen. Stattdessen soll der Anbieter genau darlegen, was zu welchem Zweck erhoben wird. Und er soll jedes Mal gesondert um Erlaubnis fragen. Erst so könnten Nutzer wirklich einschätzen, worauf sie sich einlassen und was mit ihren Daten geschieht.

Viele Unternehmen fürchten natürlich, dass die Nutzer – wenn man sie vor die Wahl stellt – lieber nichts von sich preisgeben. Einige Anbieter werden deshalb versuchen, die Hintertürchen zu nutzen, die das EU-Gesetz offen lässt. Verbraucherschützerin Ehrig rechnet damit, dass sich erst vor Gericht klären wird, wie streng die Vorgaben auszulegen sind.

Skeptiker glauben, die neuen Regeln werden nur dazu führen, dass Nutzungsbedingungen noch detaillierter und länger werden. Im Fall von Facebook ist dies bereits geschehen. Nutzer könnten außerdem öfter dazu aufgefordert werden, Häkchen zu setzen oder "Ok" zu klicken, bevor sie Zugang zu einem Web-Angebot bekommen. Eine ähnliche Wirkung hatte schon die "Cookie"-Richtlinie: Verbraucher haben sich daran gewöhnt, die Meldungen zu den Datenschutzerklärungen einfach weg zu klicken, ohne sich weiter damit zu beschäftigen.

Was sagt Facebook zu den Vorwürfen?

Laut Facebook diene der Einsatz von Cookies außerhalb der Plattform unter anderem der Sicherheit. So fällt zum Beispiel auf, wenn jemand mehrfach versucht, sich einzuloggen oder Profile auszuspähen. Hacking-Versuche oder Spam-Attacken sollen auf diese Art rechtzeitig erkannt und verhindert werden.

Das Werbetracking auf anderen Webseiten rechtfertigt der Facebook-Chef als "Industriestandard". Mit anderen Worten: Das macht doch jeder so. Genau wie bei anderen Werbenetzwerken ließe sich das Tracking abstellen (mehr dazu weiter unten). Facebook betrachtet es zudem als die Aufgabe der Werbepartner, ihre Besucher über die Verwendung von Social Plugins und Zählpixeln auf ihren Seiten aufzuklären. Ein Verweis auf die Datenschutzerklärung könnte dabei bald nicht mehr ausreichend sein.

Als Monopolist sieht sich Facebook nicht, obwohl es mit Instagram, WhatsApp und Facebook Messenger auch noch einige der beliebtesten "social Apps" unter seinem Dach vereint. Große Popularität gehe nicht automatisch mit einer marktbeherrschenden Stellung einher, so Facebook. Tatsächlich muss sich das Bundeskartellamt auch den deutschen Werbemarkt genauer ansehen. Die Frage ist, ob Facebook nicht nur den Großteil der Nutzer erreicht, sondern auch die meisten Werbegelder einstreicht.

Wie kann sich der Nutzer schützen?

Wer ein Konto hat, kann dem Netzwerk in den Privatsphäre-Einstellungen verbieten, Facebook-Daten außerhalb der Plattform für personalisierte Werbung zu einzusetzen. Ob damit auch automatisch das Platzieren von Cookies und Sammeln von Daten eingestellt wird, kann bezweifelt werden.

Auf der Webseite "YourAdChoices" kann man dem "Facebook Audience Network" und knapp 140 weiteren Unternehmen zudem untersagen, mit Tracking-Cookies nach Daten zu fischen. Das Problem dabei: Werden die Cookies im Browser gelöscht, muss der Vorgang wiederholt werden.

Daher macht es mehr Sinn, einen Tracking- oder Skript-Blocker zu verwenden oder im Inkognito-Modus des Browsers zu surfen. Außerdem kann man seinen Browser so einstellen, dass Cookies nach dem Beenden automatisch gelöscht werden. Erweiterungen wie der "Privacy Badger" der "Electronic Frontier Foundation" schaffen zudem Transparenz: In einem kleinen Fenster sieht der Nutzer, wer ihn beim Surfen über mehrere Webseiten hinweg verfolgen will.