Do Not Track

Facebook sammelt nicht nur Daten seiner Mitglieder, sondern aller, die das Internet nutzen. Das Netzwerk erkennt jeden Einzelnen und verkauft uns an die Werbung. Was ist der nächste Schritt? Ein Beitrag von Wolfie Christl.

Charakter, politische Einstellung, sexuelle Orientierung, Risikoverhalten – all das offenbart ein Facebook-Profil, selbst wenn wir diese Informationen nicht bewusst teilen. Studien haben gezeigt, dass sich allein aus unseren Likes viele Schlussfolgerungen ziehen lassen. Doch was macht Facebook selbst mit den Daten? Das Unternehmen öffnet seinen Datenschatz für Firmen in allen Wirtschaftsbereichen. Durch die Zusammenarbeit mit anderen Datenhändlern sollen wir jederzeit eindeutig wiedererkannt werden – gleich, mit welchem digitalen Gerät wir unterwegs sind, zu Hause, bei der Arbeit oder an der Supermarktkasse.

Facebook verfügt über gewaltige Mengen an Informationen über Alltag und Verhaltensweisen seiner 1,4 Milliarden Nutzer. Inklusive Instagram und Whatsapp werden inzwischen Daten von 2,4 Milliarden Menschen erfasst. Die Daten gehen nicht nur aus der Nutzung der Online-Plattform oder der Smartphone-Apps hervor, auch das Surfverhalten auf anderen Websites wird erfasst. Dafür reicht es, wenn auf einer Website ein Like-Button oder eine Login-Funktion via Facebook eingeblendet wird – schon kann das Netzwerk verfolgen, wer auf dieser Seite gerade was macht.

Das Ergebnis: Kaum ein Unternehmen auf dem Globus kennt uns besser als Facebook. Das gilt nicht nur für die Mitglieder, sondern für potentiell alle Nutzer. Über den Zugriff auf die Adressbücher unserer „Freunde“ werden E-Mail-Adressen und Telefonnummern von Menschen gesammelt, die gar nicht bei Facebook sind. Die daraus resultierenden Daten sind eine Goldgrube. Denn mit diesem Wissen kann Facebook ziemlich treffsicher personalisierte Werbung anbieten. Unternehmen können gezielt Anzeigen schalten. Sie können aber auch ihre kompletten Kundendatenbanken mit einem Klick an Facebook schicken. Über die E-Mail-Adressen oder Telefonnummern werden einzelne Nutzer erkannt, um gezielt nur für sie Werbung anzubieten. Ein ziemlich lukratives Geschäft – 2014 machte Facebook einen Umsatz von rund 12,5 Milliarden Dollar.

Daten über nahezu jeden deutschen Haushalt

Und trotzdem ist man bei Facebook unzufrieden. Nur ein kleiner Teil der Daten wurde bisher zu Geld gemacht, nur ein Bruchteil des Potentials erschlossen. Seit rund zwei Jahren arbeitet Facebook daran, die gesammelten Daten zu Geld zu machen. Facebook kooperiert mit Datenhändlern wie Acxiom, Epsilon, Datalogix oder Bluekai. Acxiom ist erfahren im Geschäft mit Konsumentendaten. Es betreut die Kundendatenbanken von 15000 Unternehmen und verfügt über Dossiers mit bis zu 3000 einzelnen Eigenschaften von etwa 700 Millionen Menschen – von Einkommen über Gesundheitsinteressen bis zum Wahlverhalten. Dabei wird nicht nur die amerikanische Bevölkerung abgedeckt, auch über nahezu jeden deutschen Haushalt liegen Profildaten vor. Die Firma Datalogix greift auf Daten aus Einkäufen über ein Volumen von zwei Billionen Dollar zu.

Hier treffen Online- und Offline-Welt aufeinander. Firmen können Werbung auf Facebook schalten, die genau zu dem passt, was jemand gerade gekauft hat. Umgekehrt soll es möglich sein, jemanden beim Einkauf im Geschäft als denjenigen zu erkennen, der zuvor auf eine bestimmte Online-Anzeige reagiert hat. Durch diese Verknüpfung können Menschen fast rund um die Uhr überwacht werden, egal, was sie gerade machen.

Ein Code, der für jede Person eindeutig ist

Doch es gibt einige Hürden: Damit Firmen wie Facebook und Acxiom ihre Daten verknüpfen können, müssen die Nutzer immer wieder eindeutig identifiziert werden. Nur wenn beide Parteien wissen, um welche Person es geht, sind die Daten richtig zuzuordnen. Offiziell erfolgt die Verknüpfung anonymisiert. Doch kommen hier die E-Mail-Adressen und Telefonnummern der Nutzer – und die ihrer Freunde und Freundesfreunde – ins Spiel. Natürlich werden sie nicht direkt ausgetauscht. Man hat sich auf eine allen beteiligten Unternehmen bekannte Anonymisierungsmethode geeinigt. E-Mail-Adressen und Telefonnummern werden zu Zahlen- und Zifferncodes. Das Ergebnis: kein Name, keine Adresse, sondern ein sogenannter „Hash-Wert“. Alle anderen Daten können unverändert bleiben.

Werden auf diese Weise scheinbar anonymisierte Datensätze ausgetauscht, genügt es, wenn eine der beteiligten Firmen ebenfalls die E-Mail-Adresse oder Telefonnummer einer Person kennt, und schon wird man erkannt. Der Hash-Wert kann leicht berechnet und mit dem erhaltenen Wert abgeglichen werden. Volltreffer! Die Hash-Werte werden immer auf die gleiche Weise von E-Mail-Adresse oder Telefonnummer abgeleitet und ergeben immer das gleiche Ergebnis: ein Code, der für jede Person eindeutig ist – und über den jeder, trotz vermeintlicher Anonymisierung, eben doch jederzeit zugeordnet werden kann.

Eine kontinuierliche Kette an Hinweisen

Bisher wurden die Nutzer online vor allem mit Hilfe sogenannter Cookies verfolgt. Das sind kleine Dateien, die meist ohne Wissen des Nutzers auf dessen Computer gespeichert werden. Sie enthalten einen Code, mit dem die Nutzer beim nächsten Besuch identifiziert werden können. Das funktioniert aber nur, wenn die Nutzer immer denselben Computer und denselben Browser verwenden. Sobald sie den Computer wechseln oder wenn ein Computer von mehreren Personen genutzt wird, kommen die Cookies durcheinander. Und was ist mit Smartphones und Tablets? Da lassen die Cookies Facebook und andere Datenhändler fast ganz im Stich.

Helfen soll die Firma Atlas, die Facebook 2013 von Microsoft gekauft hat und seither für die eigenen Zwecke umbaut. Atlas ist zwar eine Tochterfirma, hat laut Facebook-Nutzungsbedingungen aber vollen Zugriff auf die Daten der rund 1,4 Milliarden Nutzer. Atlas soll nun ermöglichen, einzelne Personen in allen denkbaren Situationen eindeutig wiederzuerkennen – im Idealfall sogar dann, wenn die Nutzer andere Geräte wie ein Fitnessarmband, das Navigationsgerät im Auto oder einen „intelligenten“ Fernseher verwenden und wenn sie im Geschäft einkaufen. Und nicht nur dann, wenn sie gerade Facebook nutzen oder eine Seite besuchen, die einen Like-Button eingebaut hat, sondern auch im restlichen Netz.

Dabei wird mit verschiedenen technischen Tricks versucht, die Spur der Nutzer weiterzuverfolgen. Um sie nicht zu verlieren, wird eine kontinuierliche Kette an Hinweisen gelegt, die die Wiedererkennbarkeit auch dann sicherstellt, wenn die Nutzer auf Websites unterwegs sind, die keinen Like-Button von Facebook haben.

Mehr als die Hälfte der Zeit wird getrackt

Dreh- und Angelpunkt bei dieser Schnitzeljagd durchs Netz ist der Benutzeraccount. Jeder Facebook-Nutzer hat eine Nummer, und diese Nummer kennt auch Atlas, weil sie Facebook in das Atlas-Cookie hineinschreibt. Wenn Atlas nun auf einer von Facebook unabhängigen Website Werbung schaltet und der Nutzer diese besucht, holt sich Atlas diese Nummer aus dem Atlas-Cookie und kann ihn sofort als Facebook-Nutzer wiedererkennen. Ähnlich auf dem Smartphone: Dort gibt es zwar keine Cookies, dafür hat jedes Gerät eine Identifikationsnummer. Sobald sich jemand bei Facebook einloggt, wird die Nummer des Geräts mit dem Facebook-Account synchronisiert. Dadurch bekommt Atlas auch Aktivitäten außerhalb der eigenen Apps mit. Facebook behauptet, mit Hilfe dieser Technologie im Schnitt mehr als die Hälfte der Zeit tracken zu können, die die Nutzer heute mit ihrem Smartphone verbringen.

So wird durch die geschickte Kombination von Cookies, Identifikationsnummern von Geräten und Facebook-Accounts eine Nachverfolgung möglich, die browser-, geräte- und plattformübergreifend funktioniert. Aber wie wird der Einkauf im Geschäft mit dem Profil verknüpft? Kein Problem, solange an der Kasse eine E-Mail-Adresse oder eine Telefonnummer hinterlassen wird – wenn etwa mit einer Kunden- oder Bonuskarte bezahlt wird.

Ein weltweites Netzwerk an Datensammlern

Das Ende der Möglichkeiten ist noch lange nicht erreicht. Atlas kündigt fast wöchentlich neue Kooperationspartner an, vor kurzem wurde etwa eine Zusammenarbeit mit der Firma Merkle bekanntgegeben. Dieses Unternehmen verwaltet fast vier Milliarden Kundendatensätze. Zwei der vier großen Datenhandelsunternehmen – BlueKai und Datalogix –, mit denen Facebook zusammenarbeitet, gehören inzwischen zum IT-Konzern Oracle, einem der größten Hersteller von Datenbanken und von Software, mit denen Unternehmen ihre Kundendaten verwalten.

So entsteht ein weltweites Netzwerk an Datensammlern, dem wir fast nicht mehr entkommen können. Ob online oder offline, ob mit dem Computer oder dem Smartphone, ob Studentin oder Rentner – Facebook weiß, was wir machen, und macht dieses Wissen zu Geld. Und ob es nur bei personalisierter Werbung bleibt?

Wolfie Christl ist Datenhandelsexperte und recherchiert für die Web-Doku-Reihe Do Not Track. Das Projekt vom Bayerischen Rundfunk, Arte, National Film Board of Canada und Upian gibt Nutzern unter www.donottrack-doc.de die Möglichkeit, anhand ihrer Daten zu prüfen, wer sie im Internet überwacht. An diesem Dienstag wird die Episode zum Thema Facebook veröffentlicht. Den Originalartikel finden Sie bei der Frankfurter Allgemeinen Zeitung.