qrios

Die Daten von Tracking- und Targeting-Tools sind schon immer falsch. Selbst bei optimaler Implementierung in einer vollkommen kontrollierten Umgebung weichen sie im niederen Prozentbereich von der Realität ab. Dafür sind Effekte im Netz ebenso verantwortlich wie solche auf dem Nutzercomputer. 

In einer heterogenen Umgebung, wie man sie heute mit dutzenden Browsern mit verschiedensten Erweiterungen auf dutzenden Betriebssystemen findet, überschreiten die Abweichungen eine statistisch akzeptable Fehlertoleranzen erheblich. Sehr viele Zahlen dürften eigentlich nicht mehr kommuniziert werden.

Welche Nutzerdaten sind fehlerhaft und warum?

Schaut man durch die Liste der Features von Tracking-Tools wie Omniture SiteCatalyst, Google Analytics, Webtrekk oder Comscore, basieren viele der Angaben auf der Frage, ob die Nutzer über mehrere Sessions hinweg identifizierbar sind. Die Verteilung der technischen Voraussetzungen wie Browserversionen oder Bildschirmgrößen ist eigentlich nur sinnvoll, wenn man User nicht bei jeder neuen Sitzungen jeweils neu zählt. Noch wichtiger ist diese Fähigkeit, wenn man wissen möchte, wie viele Nutzer die Site regelmäßig besuchen, die sogenannten Unique Visitors. Auch die Messungen der Reichweite im Social Media sind davon abhängig.

Rund 2/3 aller Funktionen einer typischen WebAnalytics-Lösung basieren auf der Wiedererkennung der Nutzer. Im Online-Werbe-Business fließt ohne die (Wieder)Erkennung der Nutzer kein Cent.

Als einzige (halbwegs) akzeptierte und praktikable Lösung für die Wiedererkennung eines Nutzers existieren derzeit Cookies. Je nach Anbieter und Vertrag des Publishers mit dem Anbieter werden diese als First- oder Third-Party-Cookie gespeichert.

Read the rest of this entry »

Bei ZDNet ist ein schöner Rant über das Verhalten der Ad-Betreiber im Prozess der Standardentwicklung von Do Not Track erschienen. Ed Bott vergleicht darin den Ablauf als phantastischer als Alice im Wunderland. Er fragt sich, ob DNT aktuell eher mit 1984 oder mit Brazil vergleichbar ist. Auf der Mailingliste des W3C fand sich die Schlussfolgerung, dass Marketing eine Säule der US-Gesellschaft ist und jeder, der dort Sand ins Getriebe streut, müsse ja wohl Kommunist sein – folgert Ed Bott.

Aus meiner Sicht, war Do Not Track von Anfang an Schwachsinn. Allerdings war mir vor eineinhalb Jahren noch nicht klar, welchen Spin das ganze noch nehmen würde. Im Kern läuft es inzwischen darauf hinaus, dass die Werbebranche offen zugibt, dass sie mit der Dummheit/Faulheit der User rechnet. Und nur, wenn dieser Faktor auch im Standard festgeschrieben wird, ist sie bereit sich dem Diktum zu beugen.

Die Kernfrage lautet: Muss der Nutzer aktiv sagen, dass er nicht getrackt werden möchte (Opt-Out)? Oder sind prinzipiell auch Systeme standardkonform, die dem Nutzer diese Entscheidung abnehmen und das Tracking-Flag ohne Frage setzen (Opt-In).

An dieser Frage scheiden sich nicht nur die Geister – auf der einen Seite die Ad-Betreiber und von dieser abhängige Firmen und auf der anderen Seite z.B. Microsoft, das den Datenschutz als Verkaufsargument entdeckt hat. Bei dem Versuch einen Kompromiss zu finden, werden auch Institutionen wie das W3C und selbst die Apache-Foundation beschädigt.

Alles in allem gibt es allerdings schon heute Fakten. Wenn ein Nutzer heute bei seinem Explorer, Firefox oder Safari DNT einschaltet müsste ein Site-Betreiber dies mit hoher Wahrscheinlichkeit berücksichtigen. Denn kaum ein großer Anbieter könnte sich heute damit rausreden, dass es noch keinen Standard gibt. Allein die Kenntnis über die mögliche Einstellung und damit der Intention des Nutzers dürfte als Argument vor einem – zumindest US- – Gericht genügen, einen Schadensersatz einzuklagen. Das Muster der Prozesse gegen verschiedene Tabakkonzerne könnte für eine Sammelklage ausreichen.

Aus Sicht der Publisher steht und fällt ihr Geschäft mit dem Ad-Targeting. Das dürfte einer der Gründe sein, warum wenig und wenn sehr einseitig über DNT berichtet wird. Letztes Beispiel für eine sehr eingeschränkte Sichtweise präsentierte Golem am Tag der deutschen Einheit. Der Autor Jens Ihlenfeld ist Gründer und Herausgeber von Golem.de. Für ihn wird DNT nur dann funktionieren, wenn es mittels Opt-Out umgesetzt wird. Falls es üblicherweise eingeschaltet ist, droht er, würde sich die Werbeindustrie nicht daran halten.

Ob der Standard in der aktuell verfahrenen Situation überhaupt noch verabschiedet wird ist sehr fraglich. Viel wahrscheinlicher ist eine Gesetzesinitiative des US-Congresses oder der EU-Kommission. Dann hätte die Werbeindustrie hoch gepokert und alles verloren.

[Update] Kaum geschrieben, schon wird berichtet, dass Neelie Kroes als Europa-Chef-Onlinerin das W3C darauf hinweist, dass es nicht akzeptiert wird, wenn das Standardgremium die Privatsphäre der Nutzer verwässert. Eigentlich hatte die EU dem W3C und den beteiligten Firmen aufgetragen bis Juni einen vernünftigen Entwurf vorzulegen. Auch von der FTC kommt Kritik. Laut dem Chef Jon Leibowitz würde der aktuelle Vorschlag ein Schlupfloch bieten, durch das man einen virtuellen Truck fahren lassen könne. [/Update]  

Mit der seit gestern verfügbaren Verion 6 von Apples Mobile-Betriebssystem iOS wurde eine neue Funktion zum Schutz der Privatsphäre eingeführt.  An der sehr, sehr versteckten Stelle “Einstellungen > Allgemein > Info > Werbung > Ad-Tracking beschränken” kann der Nutzer zusätzlichen Schutz aktivieren. Dabei geht es um die Verwendung von eindeutigen IDs für das Targeting in In-App-Werbung.

Bis zum letzten Jahr konnten die Entwickler und damit auch die Werbenetzwerke (die von den Entwicklern benutzt wurden) uneingeschränkt auf die sogenannte UDID zugreifen. Dies ist eine einheitliche ID, die bei jedem Gerät unterschiedlich ist. Danach hat eine Systemfunktion für jede App eine separate ID generiert, die sich bis zum Löschen der App nicht geändert hat. Werbetreibende konnten mit dieser Lösung gut leben, obwohl ihnen die App-übergreifende Verknüpfung der Profile verwehrt war.

iOS 6 mit besserem aber sehr verstecktem Schutz der Privatsphäre.

Mit der aktivierten Einstellung wird nun bei jedem Aufruf der App eine neue ID generiert. Diesen Daten können die Werbenetzwerke nun sehr schwer ein qualifiziertes Profil zuordnen. Ausgeschlossen ist dies jedoch nicht, erfordert jedoch auch die aktive Unterstützung des Entwicklers. Der läuft damit aber auch Gefahr, dass Apple dann die App aus dem Store nimmt.

Mit Do-Not-Track oder einem Tracking-Opt-Out bei den großen Werbenetzwerken hat die Einstellung entgegen anderen Meldungen übrigens nichts zu tun. Weder das Verhalten des Safari selbst noch das des WebKit-View in Applikationen verändert sich durch das Setzen der Option.

Seit der Version 2.4.3 behandelt der Apache den Internet Explorer 10 gesondert: in der globalen Konfiguration ist nun festgelegt, dass bei diesem Browser der Header für Do Not Track gelöscht wird. Dies geschieht sogar unabhängig von der mit DNT bezeichneten Requestinformation belegten Wert. Für alle nachfolgenden Prozesse oder virtuellen Konfigurationen gibt es dadurch keine Möglichkeit mehr, zu ermitteln welche Einstellung der Nutzer des IE 10 gesetzt hatte.

Für jeden Systemadministrator ergibt sich daher nun nach einem Update die Frage “Wie gehe ich damit um?”.

Letztlich kann man als Betreiber einer Seite danach nicht mehr ausschliessen, dass mindestens ein Nutzer im vollen Besitz seiner geistigen Kräfte seinem Explorer gesagt hat: “Bitte informiere den/alle Server darüber, dass ich nicht getrackt werden möchte.”

Belässt man es als Administrator dann jedoch dabei, geht man ohne Frage ein rechtliches Risiko ein. Immerhin hat die Serverkonfiguration die Kommunikation modifiziert und damit die Intention des Nutzers mindestens fahrlässig ignoriert, wenn nicht sogar vorsätzlich sabotiert.

Falls man keinen Zugriff auf die globale Konfiguration des Web-Servers hat – wie beispielsweise bei den meisten Billighostern – muss man entweder in der Virtual-Host-Konfiguration oder in der .htaccess folgende Zeilen eintragen.


<IfModule headers_module>
RequestHeader set DNT 1 env=bad_DNT
</IfModule>


Damit wird der DNT-Header für alle Requests gesetzt bei denen durch die globale Konfiguration die Environment-Variabel “bad_DNT” gesetzt wurde. Dieses Vorgehen empfiehlt sich nicht nur, wenn man keinen Zugriff auf die globale Konfiguration hat sondern z.B. auch automatische Updates für den Apache einspielen lässt. Dann diese Überschreiben eigene Änderungen jedes mal.

Übrigens: Man sollte natürlich den Wunsch der User auch Rechnung tragen. Der Apache wird durch das Anfügen von “ env=!HTTP_DNT” an die CustomLog-Zeile dazu angehalten, alle Requests nicht in das Logfile zu schreiben. Das ist nicht nur eine nette Geste.

Der freie Web-Server Apache ist eine der Erfolgsgeschichten der Open-Source-Bewegung. Fast die Hälfte aller Web-Sites werden mit dem Apache betrieben. Er ist mächtig, relativ leicht zu warten und wurde quasi auf jedes neue Betriebssystem portiert.

Nun allerdings wird die Freude an diesem Stück Software durch einen Vorfall getrübt, den man als Sündenfall bezeichnen muss. Zehn Zeilen Code eines Patches bringen die Software plötzlich ins Zentrum des Gefechtsfeldes zwischen Userinteressen und den Interessen der Onlinewerbeindustrie.

Vor einem Monat pflegte Roy T. Fielding, seines Zeichens Projektmanager von Apache, eine kleine Änderung der globalen Konfigurationsdatei ein. Diese Änderung wurde bereits kurze Zeit später tatsächlich ausgeliefert. Niemand hat sich daran gestossen. Bis jemandem mal auffiel, was dort drin steht:

Zuerst wird folgende Anweisung gegeben: BrowserMatch “MSIE 10.0;” bad_DNT. Diese besagt in etwa “wenn der aufrufende Browser ein Internet Explorer 10.0 ist, dann setze bitte die Variable “böses DNT”. DNT ist die Abkürzung für Do Not Track.

Das allein wäre noch akzeptabel. Programme im weiteren Verlauf könnten besondere Rücksicht darauf nehmen und würden sich so weitere Abfragen sparen. Aber danach folgt noch die Anweisung: RequestHeader unset DNT env=bad_DNT. Dadurch wird der Server angewiesen, einen eventuell vorhanden http-Header namens “DNT” zu löschen. Und dies sogar unabhängig davon, welchen Wert er hat.

Mit dem Header DNT=1 soll der Browser laut zukünftiger Spezifikation dem Server, mithin dem Betreiber der Web-Site mitteilen, dass der Nutzer nicht getrackt werden will. DNT=0 bedeutet “die Daten dürfen gespeichert und weiterverarbeitet werden”.

Unter Punkt 3 wird der Nutzer bei der Windows-8-Installation darüber informiert, dass das DNT-Flag gesetzt ist. Der User kann die Einstellungen jedoch anpassen.

Der Autor des Patches argumentiert, dass Microsoft sich nicht an die Spezifikation halten würde. Denn dann müsste das Einschalten von DNT eine aktive Aktion erfordern (eine Diskussion, die schon seit Monaten brodelt). Mindestens jedoch bei der Expressinstallation würde der Wert für DNT auf 1 gesetzt ohne den Nutzer zu fragen.

Dabei sind folgende Dinge interessant:

• Die Spezifikation ist noch nicht verabschiedet.
• Es ist sehr umstritten, ob Microsoft sich nicht an den Entwurf hält. Eine Formulierung nach der der Wert nicht per default gesetzt werden darf war zwar in früheren Versionen zu finden, in der aktuellen ist er nicht mehr drin.
• Apache hat sich bisher nicht als Werkzeug verstanden, Standards durchzusetzen. Vielmehr war Apache immer sehr gut darin, mit Browsern umzugehen, die sich nicht standardkonform verhielten. (Zu denen in der Vergangenheit häufig der Internet Explorer gehörte.)
• Das globale Löschen des Headers macht es nachfolgenden Programmen unmöglich, eine eigene Behandlungsroutine für einen vermeintlich nicht standardkonformen Wert zu implementieren. Man müsste wiederum eine Abfrage nach dem Browser gestalten und dann den Header DNT wieder setzen mit dem Wert “unknown”

Vor dem Hintergrund dieser Punkte ist es nicht verwunderlich, dass eine breitere Öffentlichkeit auf den Patch aufmerksam wurde. Seit vier Tagen ergiesst sich nun ein (gemäßigter) Shitstorm über Fielding. Insbesondere seine Beziehungen zu Adobe werden dabei als Indiz genommen, dass er nicht im Interesse der Apache-Comunity handelt sondern sich und damit auch Apache zum Büttel der Werbeindustrie gemacht hat.

Fielding äusserte sich bisher zwei mal in den inzwischen über hundert Kommentaren zu dem Patch. Er verweist dabei unter anderem auf die bestehende EU-Richtlinie. Laut seiner Aussage würden diese durch DNT im generellen und durch den Patch im besonderen nicht tangiert. Das ist jedoch sehr zweifelhaft. Denn, wenn ein Betreiber eines Systems Kenntnis von dem ausdrücklichen Willen des Users hat, nicht getrackt zu werden wäre die Cookie-Frage obsolet. Und kein Betreiber kann sich heute mehr hinstellen und sagen, er hätte noch nie etwas von Do Not Track gehört.

Darüber hinaus wäre die Frage, ob ein solches Verhalten eines Web-Servers nicht selbst schon Computersabotage ist. Denn laut StGB § 303b macht sich strafbar:

Wer eine Datenverarbeitung, die für einen anderen von wesentlicher Bedeutung ist, dadurch erheblich stört, dass er (3.) eine Datenverarbeitungsanlage oder einen Datenträger zerstört, beschädigt, unbrauchbar macht, beseitigt oder verändert, …

Es ist weitgehend unstrittig, dass die meisten Nutzer das Tracking in der heute verbreiteten Form ablehnen. Ausserdem gilt es als gesichert, dass die meisten Menschen – aus welchen Gründen auch immer – Standardeinstellungen eines Browsers nicht ändern. Da aktuell eine ganze Branche von sehr kostengünstig zu erhaltenden Daten lebt, gibt es daher auch ein starkes Interesse, dass zukünftig nicht lauter Nutzer mit einem Betriebssystem (Windows 8) und einem Browser (IE10+) unterwegs sind, der jedem Web-Server in der Welt mitteilt: Ich möchte nicht getrackt werden!

Ginge man von einem Windows-8-Marktteil von 50% in drei Jahren aus und einem Anteil von 50% Explorer-Nutzer, dann reden wir von 25% Browseranteil. Bei 10% Nutzern, die die Einstellungen ändern, würde eine Standardeinstellung je nach Wert bedeuten, dass entweder 2,25% oder 22,5% nicht erfasst werden dürfen. Ersteres fiele unter statistische Abweichung, letzteres würde knapp ein Viertel des Retargeting-Umsatzes ausmachen, der allein in Deutschland irgendwo zwischen 100 und 300 Mio € jährlich liegen dürfte.

Mehrere $100 Mio jährlich weltweit sind es offensichtlich schon wert, einen Dummen zu suchen, der seinen guten Ruf und den eines erfolgreichen Open-Source-Projekts aufs Spiel setzt.

Disclaimer: Ich selbst halte Do Not Track nicht für den richtigen Ansatz. Denn letztlich kann niemand wirklich kontrollieren ob sich Anbieter daran halten. Ich selbst würde eine Opt-In-Lösung für den einzig richtigen Weg halten. Dabei könnten User belohnt werden, wenn sie ihre Daten zur Verfügung stellen. 

Die – mir bis dato unbekannte – Firma Limited Run hat einen Artikel auf ihrem Blog veröffentlicht in dem sie facebook indirekt Click Fraud und Erpressung* vorwerfen. Offensichtlich sind 80% der User, die über facebook-Ads auf den Service limitedrun.com kommen keine realen Nutzer sondern eigentlich Bots respektive Spider oder Crawler.

Sie waren in der Analyse ihrer Nutzer darüber gestolpert, dass ihr Analytics-Tool signifikant weniger Nutzer zeigte als die Abrechnung der facebook-Ads. Nach ein wenig Research und Coding stellten sie fest, dass erstaunlicherweise ~80% der Aufrufe die als Referer die fb-Ads angaben kein JavaScript aktiviert hatten. Ihre Erfahrung lautete aber, dass der Anteil der Nutzer mit abgeschaltetem JavaScript im unteren einstelligen Prozentbereich liegt. Das deckt sich mit meinen Erfahrungen.

Limited Run hat also 4/5 ihres Budgets für Automaten ausgegeben. Nicht unbedingt die Kernzielgruppe einer Musikplattform.

Die Frage ist also: Wer veranlasst diese Aufrufe?

1. Limited Run wollte mit dem Artikel lediglich Aufmerksamkeit erzeugen. Und/Oder Limited Run hat keine Ahnung.

2. facebook selbst hätte vordergründig ein Intresse daran. Immerhin bekommen sie Geld für die Klicks. Allerdings bekommen die das Geld ja sowieso. Sie hätten allerdings ein sehr hohes Interesse die Klickrate ihrer Werbung hochzuschrauben. Denn die ist im Vergleich mit der von Google eine Katastrophe und lässt Kunden (siehe GM) und Analysten gleichermassen zweifeln, ob facebook überhaupt eine verwertbare Plattform ist.

3. Viren-Scanner sind bekannt für ihren fahrlässigen Umgang mit Daten in Browser, Mails und Messengern. Sie schreiben gerne ihren Code in HTML-Seiten und machen Preloads um mögliche Gefährdungen vom User fernzuhalten. Allerdings würde ein Preload mit einem Blacklist-Abgleich überhaupt nichts bringen wenn die kompromittierende Webseite das fehlende JavaScript feststellen könnte und so den Aufruf als Bot identifizieren könnte.

4. Ein Konkurrent oder jemand, der Limited Run irgendwie anders schaden will schädigt die Firma durch kostenpflichtige Klicks und verhindert dadurch gleichzeitig, dass relevante User auf die Seite geführt werden. Mit Hilfe eines Botnetzes sind solche Angriffe heutzutage kein Problem. Und für Limited Run, ein Startup mit begrenzten Ressourcen wäre der Schaden tatsächlich evident. Denn ein oberflächlicher Blick in die Auswertungen vermittelt einer solchen Firma ein vollkommen falsches Bild und kann zu strategischen Entscheidungen führen, die sich nach wenigen Monaten als fatal und lebensbedrohend rausstellen.

Basierend auf den bisher bekannten Fakten lassen sich keine Aussagen über die tatsächlichen Übeltäter treffen. Und tatsächlich wird Limited Run wohl nicht umhin kommen, konkrete Daten zu liefern. Techcrunch ist sich sicher, dass sie das tun werden. Aber das Thema fängt grade erst an, die große Runde zu machen.

Tatsächlich ist facebook selbst mit dutzenden verschiedenen Bots unterwegs (wie Google auch). Und es ist sehr wahrscheinlich, dass sie (ebenso wie Google bei AdSense) eine durch einen Nutzer aufgerufene Seite gleich nochmal mit einem Bot aufrufen. Das müssen sie schon alleine um sich vor dem Vorwurf “Auf fb wird für *böse* Angebote geworben!11″ zu schützen.

[Update] Ein weiteres mir bisher unbekanntes StartUp hat eine ähnliche Story. Die Firma Wahanegi möchte Usern helfen, sich in ihrem Leben zurechtzufinden und die richtigen Entscheidungen auf der Basis ihres bisherigen Lebens zu treffen. Man könnte es Crowded Mentoring nennen. Was immer das auch heissen mag scheint mir facebook-Werbung tatsächlich eine gute Idee zu sein. Diese hat die Firma inzwischen aber eingestellt.

Der Gründer schreibt in seinem Blog seit Mai darüber, dass seine fb-Werbung von “booklicants” geklickt wird. Dabei handelt es sich um Leute oder Bots, die eine neu geschaltete Werbung innerhalb der ersten Tage massiv klicken und die Seite liken. Das machen sie aber offensichtlich sehr gerne. Teilweise bringen es diese User innerhalb eines Tages auf über 100 Likes.

Und tatsächlich konnte er einen dieser Accounts kontaktieren und es stellte sich raus, dass es tatsächlich Leute gibt, die massenhaft Ad-Likes klicken. Offensichtlich handelt es sich dabei um einen Gamefication-Effekt. Die User versprechen sich Vorteile in Bezug auf ihre soziale Reputation oder das Ad-Targeting.

Es scheint sich bei den Booklicants nicht um die gleichen User zu handeln, die für die Clicks bei Limited Run verantwortlich sind. Denn mal wird der Like-Button einer Werbung geklickt und mal die Werbung selbst. [/Update]

*) Erpressung wirft die Firma facebook vor, weil eine Namensänderung laut facebook-Ansprechnpartner nur dann möglich sei, wenn sie gleichzeitig Werbung in Höhe von $2000 schalten. Limited Run betrachtet sich selbst oder wenigstens ihren Namen als Geisel und facebook als Geiselnehmer. Sollten sich die Vorwürfe erhärten wäre das ein Fall für die Staatsanwaltschaft und die Wettbewerbshüter. (Inzwischen hat facebook sich zu diesem Vorwurf geäussert und von schlechter Kommunikation gesprochen.)

Nach der Ankündigung von Microsoft seinen Internet Explorer 10 mit gesetztem Do-Not-Track-Schalter auszuliefern hatte Firefox ja schon erhebliche Erklärungsprobleme. Für die meisten Nutzer ist nicht einsehbar, warum der einzige freie Browser sich dem Diktat von Werbefirmen beugt. Bei den Summen, die von Google an die Mozilla-Foundation fliessen ist das allerdings nicht verwunderlich.

Inzwischen wird von den interessierten Kreisen massiver Druck auf Microsoft ausgeübt. Die zuletzt geladene und scharf gemachte Waffe sieht so aus:

Niemand muss sich an die DNT-Information eines IE10 halten, da sich dieser Browser nicht standardkonform verhält.

Derzeit gibt es zwar noch keinen verabschiedeten Standard sondern nur einen gemeinsam verabschiedeten Vorschlag. Dieser sieht jedoch vor, dass der Nutzer seinem expliziten Willen Ausdruck verliehen haben muss, wenn der Browser DNT=1 sendet also jedem Server mitteilt, dass er nicht getrackt werden will.

Es wird also implizit davon ausgegangen, dass User prinzipiell getrackt werden möchten und nur wenige (weniger als die Hälfte) sich dagegen entscheiden. Es handelt sich also um ein OptOut.

Dieses Vorgehen wurde gestern bei einer Telefonkonferenz nochmal abgestimmt. Das Ergebnis kann man sich hier ansehen. Offensichtlich wurde Browserherstellern, die von der Linie abweichen während des Termins sogar mit einer Untersuchung durch die FTC gedroht.

Nach meiner Meinung haben sich die an dem Gremium beteiligten Datenschutzorganisationen (darunter der eff) über den Tisch ziehen lassen (“extraordinarily painful cuts for privacy-leaning stakeholders”). Ich bin gespannt, wie sich z.B. die Electronic Frontier Foundation zu dem aktuellen Stand äussern (noch ist dazu nichts auf dem Blog). Denn es dürfte doch jedem klar sein, dass die Werbebranche von dem maximal dummen Nutzer ausgeht der zu blöd ist, die Einstellungen zu öffnen und das Häkchen zu setzen.

Die Schufa untersucht mit Unterstützung des Hasso-Plattner-Instituts, ob Informationen aus sozialen Netzwerken relevante Daten für die Kreditausfallbewertung zu finden sind. Nach Personalchefs und der Polizei kommen nun also auch träge deutsche Firmen auf die Idee, ihre Datenqualität zu verbessern. Das ist nicht verwunderlich und sehr lange prophezeit z.B. für Krankenversicherungen.

Der wirklich interessante Punkt daran ist die Tatsache, dass Kreditscoring vergleichbar ist mit Social Media Reputation.

Die meisten facebook-Nutzer, die man fragt geben unumwunden zu, dass sie bei neuen Freundschaftsanfragen, sich zunächst ein Bild über den facebook-Wert der Person machen (auf diesem Interesse basieren nicht umsonst etliche fb-Würmer). Wie viele Freunde, wie viele Likes haben die Posts, wer antwortet der Person? Diese Bewertung soll gewährleisten, dass sich investierte Social-Coins™ nicht als Fehlinvestition erweisen. Denn die Social-Media-Identität ist heute ein signifikanter Part der Identität. Durchaus vergleichbar mit den Schulhofpsychomechanismen bei der man durchaus gravierende Fehler machen konnte, wenn man sich mit den falschen Leuten rumgetrieben hat.

Tatsächlich könnte eine gesellschaftliche Reputation zukünftig das Scoring-System ersetzen. Sehr interessant beschrieben hat das Charles Stross in seinem Roman Accelerando.

[Update] Wie kritisch die automatische also maschinelle Bewertung von Social-Media-Inhalten in Bezug auf die Qualität der Daten zu sehen ist, schreibt goowell in seiner Diskussion mit @mspr0. Meine Erfahrungen mit Tools wie Vico Research bestätigen seine Einschätzung. Der Informationsgehalt von SM-Inhalten tendiert auf Grund des sehr oft fehlenden Kontextes gegen Null. [/Update]

Man kann von Do-Not-Track halten was man mag. Aber das vorläufig letzte Argument von Mozilla dagegen, erinnert sehr stark an Erich Mielkes

Ich liebe Euch doch alle

Denn das Argument lautet: der User darf nicht mit Fragen belastet werden, die ihn überfordern und da es gängige Praxis ist, den Nutzer zu tracken ist die Default-Einstellung für Do-Not-Track=off.

Man kann nur hoffen, dass sich die entscheidenden Leute bei der Mozilla-Foundation damit endgültig disqualifiziert haben. Denn sie sagen nicht mehr und nicht weniger als dass ihre Nutzer dumm sind und lieber ungestört surfen möchten als von nervigen Abfragen gestört zu werden.

Dabei ist Firefox erstens genau der Browser, der permanent durch störende, vollkommen belanglose Dialoge auffällt, die man eben nicht verhindern kann und zweitens ist es genau der Browser, der dafür bekannt ist, dass er wichtige Einstellungen an vollkommen abstrusen Orten versteckt.

Welche Probleme die Mozilla Foundation mit dem Thema Privacy hat wird schnell deutlich, wenn man sich den Mozilla Privacy Blog ansieht. Von den letzten zehn Artikeln seit Ende letzten Jahres handeln acht direkt von DNT. Viele sogar davon, dass die ursprünglich von Mozilla selbst kommende Idee eine immer breitere Anhängerschaft finden. Und trotz unauffindlicher Einstellung haben 7% der Nutzer die Option eingeschaltet. Tatsächlich dürften ja gerade die verfügbaren Privacy-Erweiterungen für den Browser ein wesentliches Argument für dessen Beliebtheit sein.

Um so mehr verwundert es, dass der IE 10 den Firefox jetzt rechts überholen kann. Denn Microsoft hat heute bekannt gegeben, dass der Browser zukünftig die Option per default gesetzt hat.

Und Mozilla? Der Vorreiter für Privatsphäre redet sich mit Usability raus. Denn – man halte sich fest:

ultimately it’s not the browser being tracked, it’s the user

Dem hätte doch immerhin selbst Microsoft in der W3C Tracking Protection Group zugestimmt. Eine Vorwegnahme der Wünsche durch eine Default-Einstellung würde der Idee widersprechen, dass nicht dem “not the preference of some institutional or network-imposed mechanism” Ausdruck verliehen würde. Man müsste quasi von einem Eingriff in die Netzneutralität sprechen.

Damit wären wir genau wieder bei dem mutmaßlichen Interesse eines durchschnittlich informierten Nutzers, den der D64 in seiner Charta aus dem Hut zaubert. Was meinen die alle? Den DAU?

Ein für alle Mal:

DER DURCHSCHNITTLICH INFORMIERTE BENUTZER HAT KEINEN BLASSEN SCHIMMER, WELCHE DATEN ÜBER SEIN VERHALTEN VON WEM GESAMMELT WERDEN. UND WENN MAN ES IHM SAGT, FRAGT ER SOFORT, WO DER BUTTON IST, DAS ZU VERHINDERN!!11EINSELF 

ps: Google (die Firma mit dem einzigen verbreiteten Browser gänzlich ohne Do-Not-Track-Option) steuert übrigens 85% der Einnahmen der Mozilla-Foundation bei.

Nachdem ich ja neulich schon festgestellt hatte, dass die geltenden Datenschutzbestimmungen für die engagierte Netzgemeinde zu kompliziert sind zeigt sich grade, dass auch der Innenminister die einfachsten Regeln nicht versteht. Das Innenministerium hat heute den Preis im Ideenwettbewerb “Vergessen im Internet” verliehen. Auf der Seite wird lobenswerterweise Piwik verwendet. Entgegen den deutschen Datenschutzbestimmungen wird jedoch ein Cookie mit einer Gütigkeitsdauer von 2 Jahren gesetzt. Und dies entgegen den Ausführungen in der Datenschutzerklärung. Denn eine Personalisierung ohne Registrierung findet nicht statt und bräuchte daher keine Cookies. Wie eine korrekte Datenschutzerklärung bei der Verwendung von Piwik aussieht? Hier.

Gänzlich verwirrend wird es, wenn davon die Rede ist, dass

die gespeicherten IP-Adressen nicht weitergegeben (auch nicht an den Auftraggeber)

werden. Wer ist hier der Auftraggeber. Laut Impressum wird das “Internetangebot […] herausgegeben vom: Bundesministerium des Innern – Projektgruppe Netzpolitik”. Was hat der Nutzer unter Auftraggeber zu verstehen? Eine Anonymisierung der IP-Adressen findet offensichtlich nicht statt. Vielleicht sollte sich Herr Friedrich mal mit einer ehemaligen Justizministerin unterhalten.