Tracking Cookies und Total-Cookie-Protection

Software
1

Guten Abend zusammen,

ich habe eine Frage bzgl. der Total-Cookie-Protection in Firefox und Tracking Cookies.

So wie ich das verstehe, werden die Tracking-Cookies jeweils in eigenen „Keksdosen“ aufbewahrt, sodass Cookie 1 nicht auf Cookie 2 zugreifen kann.
Wie verhält sich das nun mit den Cookie-Bannern. Macht diese Funktionalität das „Ablehnen“ obsolet, also sprich man könnte auch ausversehen auch mal auf „Annehmen“ klicken und man wird nicht getrackt?

Falls diese Annahme falsch ist – würde das dann uBlock in der Standardauslieferung verhindern (also ich klicke auf „Annehmen“ und werde trotzdem nicht getrackt)?

Sorry für die blöden Fragen aber ich blicke da momentan noch nicht ganz durch :sweat_smile:

Danke euch!

2

Total-Cookie-Protection (nachfolgend T.C.P.) sorgt dafür, dass für jede Seite, und darin eingebundene Ressourcen von Drittseiten, ein einzelner „Container“ verwendet wird, in dem Cookies, und weitere Daten gespeichert werden.

Wenn auf https://meine-webseite.invalid Ressourcen von https://tracker.invalid eingebunden sind, könnten mit diesen bspw. Cookies gesendet und gespeichert werden.
Diese befinden sich dann, bei aktiver T.C.P., im Container von https://meine-webseite.invalid.

Wenn Ressourcen von https://tracker.invalid nun auf der Webseite https://keksladen.invalid/ eingebunden sind, kann von dort nicht auf die Cookies aus dem Container von https://meine-webseite.invalid zugegriffen werden, da die Cookies nun aus dem Container dieser Webseite ausgelesen, oder darin gespeichert werden.

Wenn https://tracker.invalid also eine zufällig generierte ID für jede Seite in einem Cookie festlegt, wenn keine bereits vorhanden ist, in der deren Ressourcen eingebunden sind, würde für beide Seiten eine andere ID gespeichert werden. Ohne T.C.P. wäre ein gesetztes Cookie „auf beiden Seiten vorhanden“, und hätte somit die gleiche ID.
Das verhindert in diesen Fall „Cross-Site-Tracking“ (außer der Tracker nutzt Fingerprinting o.Ä. um diese IDs zu verbinden).
Aber es verhindert kein „Same-Site-Tracking“, du bleibst für den Tracker auf der gleichen Seite die gleiche Person, solange du dessen Cookie nicht los wirst - in der freien Wildbahn ist das natürlich eventuell noch komplexer.

Wenn du auf „Annehmen“ klickst, stimmst du (rechtlich) für gewöhnlich zu, dass du personalisierte Werbung, Tracking, … erlaubst.

Dagegen hilft uBlock Origin nur, wenn es diese Tracker blockiert, wenn nicht, würdest du hiermit zustimmen, obwohl es beim ablehnen, rechtlich gesehen, z.B. nicht zu Tracking kommen dürfte.
uBlock Origin wird nur das blockieren, wofür es Filterregeln hat - da ist nicht alles Mögliche drin.

T.C.P. schützt dabei dann auch nur davor, dass die Zustimmungen oder Tracking IDs automatisch auf anderen Seiten vorhanden sind - außer es wird eine Methode genutzt, um T.C.P. zu umgehen.
Z.B. durch Umleitungen mit „Parametern“ über mehrere Seiten, zum Teilen verschiedener Werte (IDs, oder auch Logintoken), das wird aber afaik. nirgendwo zu diesen Zweck (Teilen von Tracking-IDs) eingesetzt, da es „disruptiv“ ist.

2 „Gefällt mir“
3

Vielen Dank, D299 für deine ausführliche Antwort, jetzt habe ich das verstanden :grinning:

Kurze Frage noch zu uBlock – ich habe aktuell diese Filterlisten aktiv. Ist davon eine dabei, die das Tracking trotz ausversehen „Zustimmen“ des Cookie Banners blockiert (falls ja, welche ist das genau)?

uBlockFilter
uBlockFilter556×804 138 KB

4

Das hängt ganz davon ab, theoretisch könnte in jeder der Filterlisten ein Tracking-Server gelistet sein, der anschließend blockiert wird - was Tracking bzw. die Übertragung von Daten verhindern würde. Gerne werden aber auch mehrere Tracker auf einmal verwendet, davon können dann andere eben auch nicht auf einer Liste sein.

Am wahrscheinlichsten wären diese wohl in „uBlock filters - Privacy“, Listen gegen Werbung (da Tracking Hand in Hand mit personalisierter Werbung geht), für Privatsphäre, und vermutlich in einigen Region-/Sprach-spezifischen Listen.
Es gibt auch andere Filterlisten, die noch mehr Domains eingetragen haben. Interessante Stichworte wären „Analytics“, „Telemetrie“, „Tracking“, „Advertising“, …

Irgendwann erreicht man dann aber auch einen Punkt, an dem die Chance hoch ist, dass Ressourcen fälschlicherweise blockiert werden, wenn eine Liste z.B. nicht vernünftig gepflegt wird, und die Domain inzwischen in der Hand eines „guten“ Teilnehmer des Internets ist.
Oder „generelle“ Filter verwendet werden, die z.B. RSS Icons entfernen, wie das bei einer der „Belästigungs“ Filterlisten der Fall ist/war.

Es gibt einfach unzählige Tracker, teilweise welche, deren Domains immer wieder geändert werden. Manchmal auch welche, die ebenfalls essenzielle Funktionen für die Seite zur Verfügung stellen, und nicht so einfach blockiert werden können. Manche werden auch hauptsächlich in bestimmten Ländern verwendet, und sind daher auf eher wenigen Listen.

Da gibt es einfach keinen sicheren Schutz gegen, daher würde Ich sagen, dass keine gegen Tracking bei versehentlichem akzeptieren hilft - auch wenn das normalerweise der Fall ist, wenn nur Google Analytics auf der Seite vorhanden ist (welches man aber generell per „dynamischen Filtern“ blockieren sollte, da ansonsten Ausnahmeregeln greifen können).

2 „Gefällt mir“
5

Ich würde glatt behaupten, es ist völlig egal was Du anklickst, die versuchen Dich trotzdem zu tracken, immer.
Wer kontrolliert das? Gibt es Instanzen die das unterbinden können? Niemand und Nein. Wer hindert sie also?
Ich habe sämtlichen Dienste bei Google deaktiviert und lösche auch hin und wieder nichr vorhandene Daten, zumindest laut der Anzeige. Ich vermute aber das trotzdem Daten bei Google liegen, genauso wie von jedem anderen auch.

6

Vielen Dank euch beiden.
Dann belasse ich alle Privacy-Listen in uBlock auf jeden Fall bei und werde mir mal die dynamischen Filter angucken.

Das befürchte ich nämlich auch :sweat_smile:

Noch kurz eine allgemeine Frage: Wenn ich den Browserverlauf lösche (also Cookies usw.), dann ist das Tracking doch unterbunden und für die eine Webseite jedenfalls „aus“ und würde dann erst von vorne beginnen wenn ich sie erneut besuche, richtig (ausgenommen Fingerprinting gehe ich mal von aus)?

7

Soweit ich die Funktion von Cookies beim tracking verstanden habe, geht es darum dich auf anderen Webseiten wieder zu erkennen, das wird aber durch die Isolierten Container pro Webseite unterbunden zumindest beim Firefox.

8

Stimmt, da hast Du recht, das macht das dann schon mehr oder weniger obsolet :+1:

9

Wobei die in Firefox eingeführte Partitionierung weit über Cookies hinaus geht. Details sind hier beschrieben. Ein einführender Artikel ist hier.

10

Ja, jede aufgerufene Webseite bekommt ihre Partition, jeder Tab sozusagen, jede Domain hat Ihre eigene Partition, sollte also google noch nen Pixel versteckt haben, der von wo anders noch nach geladen wird, bekommt der Pixel seine eigene Partition.

@seeket Weißt Du ob sich das bei der Verwendung von Containern ändert, oder bekommt hier jeder Container seine eigene Partitionen?
Beispiel: Nehmen wir an ich habe Container Spiel und Container Suche.
Wenn ich im Container Suche google aufrufe bekommt google seine Partition, innerhalb dieses Containers bleibt die Partition für google immer gleich.
Was wenn ich nun im Container Spiel google aufrufe, wird dann mit der im Container Suche erstellten Partition gearbeitet oder bekommt google im Container Spiel eine eigene Partition?

11

Schau mal hier, auf Mozillas Blog (leider in Englisch - nicht ganz von mir gelesen): https://addons.mozilla.org/blog/how-firefoxs-total-cookie-protection-container-extensions-work-together/
In kurz und eigenen Worten:
Die Container Funktion („Surfumgebungen“, „Tab-Umgebungen“, „Multi-Account Container“, …) sind - auch ohne Addons - nutzbar, und funktionieren auch mit der Total Cookie Protection Funktion korrekt zusammen.

Also Google bekommt in einen anderen Container eine weitere, eigene „Partition“, und die Total Cookie Protection funktioniert weiterhin wie gewohnt innerhalb eines Containers.

12

Danke, denn in einer Welt in der jeder Firefox Container seine eigene IP haben kann, ist es schön zu lesen das dies so ist wie es ist…die Datenkrake mit so vielen falschen Informationen füttern, das keine eindeutige Identifizierung möglich ist, bzw. erschwert wird.

Dazu gleich mal eine Frage in einem neuen Thema.

13

Ergänzend zu dem, was @anon53463117 bereits geschrieben hatte: Falls du die Container mit Multi-Account Containers verwaltest, hast du auch die Möglichkeit, durch Klick auf das MAC-Symbol → Tab-Umgebungen verwalten → Klick auf z.B. Spiel-Container → auf bestimmte Websites beschränken nach der Aktivierung dieser Option von vornherein zu verhindern, dass Google in diesem Container überhaupt gestartet wird.