Das Stoppsignal, das keiner hört

Forscher der Firma webXray, gegründet von einem früheren Google-Datenschutzingenieur, haben über siebentausend populäre Webseiten von einer kalifornischen Internetadresse aus angefunkt. Sie schickten ein Signal mit: Bitte nicht verfolgen. Das Global Privacy Control, ein Stoppsignal, das das kalifornische Datenschutzgesetz CCPA von jeder Webseite verlangt, sobald der Nutzer es sendet. Die Antwort, die die Forscher erhielten, war in den meisten Fällen: Verfolgung läuft weiter.

Google trackt in sechsundachtzig Prozent der Fälle, obwohl das Signal gesetzt ist. Das Unternehmen setzt Cookies, sobald ein Besucher mit aktiviertem Stoppsignal eine Webseite betritt. Microsoft ignoriert das Signal in jeder zweiten Begegnung. Meta, Muttergesellschaft von Facebook, prüft nicht einmal, ob das Signal überhaupt vorliegt — und verfolgt trotzdem neunundsechzig Prozent der Nutzer.

Das ist kein technisches Versehen. Es ist eine bewusste Entscheidung im Programmcode, sagen die Forscher. Tim Libert, Gründer und Chef von webXray: „Sie unternehmen keinerlei substanzielle Anstrengungen, das Gesetz zu befolgen." Ein paar Zeilen zusätzlicher Programmlogik würden reichen, schreiben die Ingenieure in ihrem Bericht. Diese Zeilen werden nicht geschrieben.

Der Report trägt den Titel einer Möglichkeit: Die Ergebnisse „könnten" auf industrielle Nicht-Befolgung hindeuten. „Könnte" — das ist das Wort, das Juristen lieben und Reporter verachten. Die kalifornische Datenschutzbehörde, das California Privacy Protection Agency, hat in der Vergangenheit bereits Millionenstrafen gegen Unternehmen verhängt, die das Stoppsignal ignorierten. Ihr Direktor Tom Kemp äußert sich nicht zu den konkreten Ergebnissen des neuen Berichts. In einer Erklärung „schätzt" er „die Sichtbarkeit, die der Bericht für die Wichtigkeit von Opt-out-Rechten schafft." Das ist die diplomatischste Form von: Wir haben es zur Kenntnis genommen.

WebXray schätzt das mögliche Strafmaß: Würden alle gefundenen Verstöße geahndet, stünden Milliarden Dollar an Bußgeldern im Raum. Eine Zahl, die beeindruckt. Eine Zahl, die nichts bezahlt, solange niemand eintreibt.

Hier beginnt das Rätsel, das diesen Bericht umgibt. Die Studie sendet siebentausend Anfragen von einer einzigen kalifornischen IP-Adresse. Sie misst, was an diesem einen Tag, von diesem einen Punkt aus geschieht. Das ist eine Stichprobe, keine Volkszählung. Das ist ein Lotse an einer Küste, der die Tiefe an einer Stelle prüft und daraus die Schiffbarkeit des gesamten Meeres ableitet.

Eine zweite Stimme, die das Bild korrigiert oder bestätigt, liegt dieser Redaktion nicht vor. Eine andere Studie, eine andere Methodik, eine andere Zahl — Fehlanzeige. Die Diskrepanz, die wir suchen, zwischen Massenverstoß und breiter Befolgung, lässt sich mit dem vorliegenden Material nicht belegen. Wir wissen: Wo geprüft wurde, wurde ignoriert. Wir wissen nicht, ob jede andere Prüfung das gleiche Bild zeigen würde. Genau diese Unklarheit ist die Nachricht.

Das Global Privacy Control ist keine Raketentechnik. Es ist ein HTTP-Header, eine Zeile Text, die der Browser mitschickt. Eine Viertelstunde Arbeit für einen Entwickler, der bereit ist, sie zu machen. In einer Branche, die Milliarden mit dem Verkauf von Aufmerksamkeit und Daten verdient, ist eine Viertelstunde Code offenbar zu viel verlangt.

Wer kontrolliert das? Die Unternehmen, deren Werbegeschäft vom Tracking lebt. Wer profitiert? Werbeplattformen, Datenbroker, alle, die zwischen Nutzer und Webseite stehen. Wer zahlt den Preis? Der Nutzer, der glaubt, er habe eine Wahl getroffen, als er ein Häkchen setzte.

Mein Lötkolben ist heiß. Mein Kaffee ist kalt. Das Signal, das ich sende, hört auch niemand.