Was eine Website von außen über ihren Datenschutz verrät

Ob eine Website ihre Einwilligung ernst nimmt, lässt sich von außen feststellen — ohne Zugang zum System, ohne Passwort, in etwa zehn Minuten. Vier Signale reichen dafür, und drei davon liest man im Browser ab, den man ohnehin offen hat.

Der häufigste Fehler dabei ist die Reihenfolge. Wer zuerst den Cookie-Banner wegklickt, um an die Seite zu kommen, hat den wichtigsten Beweis schon vernichtet. Alles, was danach geladen wird, ist erlaubt — die Frage war aber, was davor passiert.

Der Prüfgang, in dieser Reihenfolge
1. Der Zustand vor der Einwilligung. Ein privates Fenster öffnen, die Entwicklerwerkzeuge starten, auf den Netzwerk-Tab wechseln — und erst dann die Adresse eingeben. Die Seite lädt, der Banner erscheint, und du klickst ihn nicht weg. Im Netzwerk-Tab steht jetzt jede Anfrage, die ohne Zustimmung hinausging. Sortiert nach Domain wird die Liste kurz und aussagekräftig: eigene Adresse, dann alles Fremde.

Interessant ist nur die zweite Gruppe. Schriftarten von einem fremden Server, ein Statistikdienst, ein eingebettetes Video, ein Kartendienst, ein Chat-Fenster — jede dieser Anfragen hat die IP-Adresse des Besuchers übertragen, bevor er gefragt wurde. Gefragt wurde er danach.

2. Was bereits gesetzt ist. Im selben Fenster, immer noch ohne Klick, in den Anwendungs-Tab wechseln. Dort stehen Cookies und lokaler Speicher. Ein Eintrag des Einwilligungswerkzeugs selbst ist normal und richtig — er merkt sich ja gerade, dass noch nichts entschieden wurde. Alles andere ist ein Befund.

3. Was die Kopfzeilen sagen. Ein Aufruf genügt:

curl -sI https://beispiel.de 

Die Antwort ist ein Dutzend Zeilen. Du suchst nach Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options und Referrer-Policy. Was dort steht, ist dabei weniger wichtig als die Frage, ob überhaupt etwas dasteht — vier fehlende Zeilen sind ein deutlicheres Signal als vier schlecht gesetzte. Die Zeile Server verrät nebenbei, worauf der Auftritt läuft.

4. Woraus die Seite gebaut ist. Quelltext öffnen und nach zwei Dingen suchen: nach Pfaden, die das Redaktionssystem verraten, und nach Versionsangaben, die als Parameter an Stil- und Skriptdateien hängen. Der Parameter ist der ergiebigere Fund. Er nennt die Version jeder einzelnen Erweiterung, nicht bloß die des Systems.

Der ganze Gang dauert zehn Minuten, wenn man ihn kennt. Beim ersten Mal zwanzig.

Was die vier Befunde zusammen ergeben
Einzeln ist jeder Punkt nur eine Beobachtung. Erst nebeneinander werden sie zu einer Diagnose, und die fällt fast immer in eines von drei Mustern.

Banner vorhanden, lädt aber trotzdem vorher. Das ist der mit Abstand häufigste Fall, und er ist selten Absicht. Jemand hat ein Einwilligungswerkzeug installiert, aber die Skripte nicht daran gehängt. Der Banner fragt, und die Antwort ändert nichts. Erkennbar daran, dass Punkt 1 und 2 voll sind, während die Datenschutzerklärung das Gegenteil behauptet. Das ist kein Rechtsproblem der Seite, sondern ein Einbaufehler, und er ist reparierbar.

Kein Banner, aber auch nichts Fremdes. Punkt 1 zeigt nur die eigene Domain, Punkt 2 ist leer. Hier ist alles in Ordnung. Der fehlende Banner ist die richtige Entscheidung und nicht die vergessene, und wer solchen Auftritten ein Einwilligungswerkzeug verkauft, verkauft ein Problem, das es nicht gibt.

Alles gleichzeitig alt. Keine Kopfzeilen, ein System zwei Hauptversionen hinter dem Stand, ein Dutzend fremder Hostnamen vor der Einwilligung. Das ist kein Datenschutzbefund mehr. Die Seite wird schlicht nicht betreut, und der Datenschutz ist bloß die Stelle, an der es zuerst auffällt.

Die Reihenfolge der Punkte ist deshalb keine Willkür: Sie führt von dem, was der Betreiber wollte, zu dem, was tatsächlich passiert. Punkt 1 und 2 zeigen die Absicht und ihre Umsetzung. Punkt 3 und 4 zeigen, wie viel Aufmerksamkeit der Auftritt überhaupt bekommt. Wer nur die ersten beiden prüft, hält einen Einbaufehler für Nachlässigkeit — und wer nur die letzten beiden prüft, hält eine gepflegte Seite mit einem schiefen Banner für ein Sicherheitsrisiko.

Was nicht hilft
Die Datenschutzerklärung lesen. Sie sagt, was gemeint war. Der Netzwerk-Tab sagt, was passiert. Bei den meisten auffälligen Auftritten ist die Erklärung sogar korrekt formuliert und beschreibt einen Zustand, den die Technik danach nicht herstellt. Gelesen hat sie ohnehin niemand.

Nach einem Siegel oder einer Gesamtnote suchen. Eine Zahl zwischen 0 und 100 beantwortet keine der vier Fragen. Sie sagt dir nicht, welcher Dienst vor der Einwilligung geladen hat, und genau das ist der Punkt, an dem eine Korrektur ansetzt.

Den Banner umkonfigurieren. Wenn die Skripte nicht am Werkzeug hängen, ändert die schönste Kategorienauswahl im Banner nichts an Punkt 1. Erst das Nachladen umzustellen, wirkt — der Banner ist danach nur noch die Anzeige des Zustands.

Wann sich der Gang lohnt
Vor einem Angebot, weil man dann weiß, worauf man sich einlässt, bevor man einen Preis nennt. Vor einem Relaunch, weil danach niemand mehr weiß, welche Einbindung aus welchem Grund existierte. Und bei der eigenen Seite, weil der Befund dort erfahrungsgemäß unangenehmer ausfällt als bei fremden — das Formular-Plugin aus einer Kampagne von vor drei Jahren lädt sein Skript immer noch auf jeder Seite.

Der ehrliche Schluss
Die Außenansicht hat eine Grenze, und man sollte sie kennen: Sie zeigt, was ein Browser beim ersten Aufruf sieht. Sie zeigt nicht, was im Hintergrund passiert, welche Daten wie lange gespeichert werden und mit wem es dazu einen Vertrag gibt. Für diese Fragen braucht es Zugang und Auskunft.

Was sie liefert, ist trotzdem der bessere Anfang als jedes Gespräch über Absichten: einen Befund, den beide Seiten in zehn Minuten nachvollziehen können, und eine Rangfolge, in welcher der Punkte zuerst etwas ändert.

Stefan Haun betreibt cyberscale.io, wo die hier beschriebenen Prüfungen auch ohne Anmeldung laufen.