SIEBENTAUSEND SEITEN, EIN ÜBERHÖRTES STOPPZEICHEN

Kalifornien hat ein Signal gesendet. Es heißt Global Privacy Control, eine Art rotes Lämpchen im Browser, das Webseiten sagt: Nicht mit mir. Keine Cookies, kein Tracking, kein Verkauf meiner Daten. Das Gesetz dahinter, der California Consumer Privacy Act, schreibt vor, dass jede Firma, die in Kalifornien Geschäfte macht, dieses Lämpchen zu lesen hat und entsprechend zu handeln hat.

Was die Firma webXray jetzt gefunden hat, ist eine Beleidigung für jeden, der glaubt, ein Gesetz sei ein Gesetz. Siebentausend populäre Webseiten wurden von kalifornischen IP-Adressen aus besucht, alle mit eingeschaltetem Stoppsignal. Das Ergebnis: Google hat in 86 Prozent der Fälle munter weiter getrackt. Microsoft in jedem zweiten. Und Meta, der Facebook-Konzern, prüft das Signal gar nicht erst. Es wird ignoriert, weil es nie gelesen wird. In 69 Prozent der Besuche landete der berühmte Meta-Pixel trotzdem im Browser.

Tim Libert, Gründer und Chef von webXray und ehemaliger Google-Datenschutzingenieur, bringt es auf den Punkt: "Sie unternehmen keinerlei substantielle Anstrengung, um zu gehorchen." Das ist der Mann, der die Maschinerie kennt, weil er sie selbst mitgebaut hat. Dass ausgerechnet ein Ex-Google-Mann die Bequemlichkeit seiner alten Kollegen anprangert, hat seine eigene Süße.

Was heißt das in der Sprache meiner alten Telegraphistenzeit? Jemand sendet ein SOS, und die Empfangsstation schläft. Oder schlimmer: Sie tut so, als wäre das Signal Rauschen. Industrielles Nicht-Gehorchen nennt es der Bericht. Industrial-scale noncompliance. Das ist die Sprache von Männern, die sich nie Sorgen machen mussten, wer ihre Post liest.

Die Strafen, die im Raum stehen, wenn die kalifornische Datenschutzbehörde ernst macht, gehen in die Milliarden. webXray hat die Summe durchgerechnet. Tom Kemp, Chef dieser Behörde, sagt höflich, man schätze die Sichtbarkeit, die der Bericht bringe. Höflich ist das Lieblingswort der Mächtigen, wenn sie nicht strafen wollen. Die Behörde hat in der Vergangenheit bereits Millionen an Strafen verhängt gegen Firmen, die das Stoppsignal ignoriert haben. Aber sie ist eine Behörde, keine Armee. Siebentausend Seiten zu prüfen, das ist ein Job für eine ganze Industrie. Die Industrie, die hier geprüft werden müsste, ist dieselbe, die nicht gehorchen will.

Und hier wird es interessant. Die Korrektur wäre, so schreiben die Ingenieure, eine Kleinigkeit. Ein paar Zeilen Code. Ein Häkchen im Tracking-Skript. Das ist alles. Es ist nicht einmal Arbeit, die weh tut. Es ist Arbeit, die schlicht unterlassen wird. Mit Absicht. Denn jedes Cookie, das nicht gesetzt wird, ist ein Werbedollar, der nicht fließt. Jeder Besucher, der nicht verfolgt wird, ist ein Datenpunkt, der nicht an den nächsten Meistbietenden geht. Die Geschäftsmodelle von Google, Meta und Microsoft sind auf Verfolgung gebaut. Das Gesetz verlangt eine Bremse. Die Konzerne treten das Pedal nicht.

Dabei gibt es das Global Privacy Control nicht erst seit gestern. Browser wie Firefox und Brave setzen es. Werkzeuge wie Disconnect oder DuckDuckGo schicken es mit. Der Nutzer muss nur einmal klicken. Aber was nützt das beste Signal, wenn die Gegenstelle den Empfänger abgeschaltet hat? Der Bericht fand zudem Hinweise, dass auch Drittanbieter-Werkzeuge im Spiel nur halbherzig mitlesen. Die Kette der Verantwortung reißt an jedem Glied.

Ich sitze in meinem Büro, der Lötkolben summt, der Kaffee ist kalt. Ich bin Technologiereporterin in einem Jahr, in dem Frauen in diesem Beruf nicht vorgesehen sind. Ich schreibe trotzdem. Weil die Drähte summen, und jemand zuhören muss.

Das Global Privacy Control ist ein gutes Werkzeug. Es ist klar, es ist technisch einfach, es ist vom Gesetz gedeckt. Aber ein Werkzeug in den falschen Händen ist ein Werkzeug, das im Schrank liegt. Die Frage ist nicht, ob die Technik funktioniert. Die Frage ist, wer den Stecker zieht, wenn sie funktioniert.

Drei Konzerne sitzen auf den größten Datenflüssen des Planeten. Sie haben das Signal gehört. Sie haben es nicht nur ignoriert — sie haben, im Fall von Meta, gar nicht erst hingehört. Das ist kein Bug. Das ist Geschäftsmodell.

California has sent a signal. It is called Global Privacy Control, a kind of red light in the browser that tells websites: Not with me. No cookies, no tracking, no selling of my data. The law behind it, the California Consumer Privacy Act, requires every company doing business in California to read this little light and act accordingly.

What the firm webXray has now uncovered is an insult to anyone who believes a law is a law. Seven thousand popular websites were visited from California IP addresses, all with the stop signal switched on. The result: Google cheerfully kept on tracking in 86 percent of cases. Microsoft in every other one. And Meta, the Facebook conglomerate, does not even check the signal. It is ignored because it is never read. In 69 percent of visits, the notorious Meta Pixel still landed in the browser.

Tim Libert, founder and CEO of webXray and former Google privacy engineer, puts it bluntly: "They make no substantial effort to comply." This is a man who knows the machinery because he helped build it himself. That an ex-Google man of all people is denouncing the complacency of his old colleagues has its own particular irony.

What does this mean in the language of my old telegraph days? Someone sends an SOS, and the receiving station is asleep. Or worse: it pretends the signal is static. Industrial noncompliance, the report calls it. Industrial-scale noncompliance. That is the language of men who never had to worry about who reads their mail.

The penalties on the table, if the California privacy agency gets serious, run into the billions. webXray has done the math. Tom Kemp, head of that agency, politely says they appreciate the visibility the report brings. "Polite" is the favorite word of the powerful when they do not want to punish. The agency has previously levied millions in fines against companies that ignored the stop signal. But it is an agency, not an army. Reviewing seven thousand pages is a job for an entire industry. The industry that would need to be reviewed is the very same one that refuses to comply.

And here it gets interesting. The fix, the engineers write, would be trivial. A few lines of code. A checkbox in the tracking script. That is all. It is not even painful work. It is work that is simply omitted. On purpose. Because every cookie not set is an advertising dollar that does not flow. Every visitor not tracked is a data point that does not pass to the next highest bidder. The business models of Google, Meta, and Microsoft are built on surveillance. The law demands a brake. The corporations do not press the pedal.

The Global Privacy Control, after all, is hardly new. Browsers like Firefox and Brave implement it. Tools like Disconnect and DuckDuckGo pass it along. The user only has to click once. But what is the use of the finest signal if the receiving end has switched off its receiver? The report also found evidence that third-party tools in the chain only half-heartedly listen in. The chain of responsibility snaps at every link.

I sit in my office, the soldering iron humming, the coffee cold. I am a technology reporter in a year when women are not supposed to be in this profession. I write anyway. Because the wires hum, and someone has to listen.

The Global Privacy Control is a good tool. It is clear, technically simple, and backed by law. But a tool in the wrong hands is a tool that sits in the cupboard. The question is not whether the technology works. The question is who pulls the plug when it does.

Three corporations sit on the largest data flows on the planet. They heard the signal. They did not merely ignore it — in Meta's case, they never even listened. That is not a bug. That is a business model.