Cookie-Flut durch Dark Patterns - Wie Webseiten ihre User*innen in die Irre führen

Egal ob Kekse, Plätzchen oder Cookies, im Alltag gehören sie als süße Versuchung einfach dazu. Bei der Frage, wie sie am besten konsumiert werden, scheiden sich jedoch die Geister, manche schwören auf Tee, andere auf Kaffee und wieder andere auf Milch als passende Beilage. Bei einer Sache sind wir uns allerdings meistens einig: Im Internet gehen sie uns in Form von Cookie-Bannern enorm auf den Keks! 

Doch wieso eigentlich? Durch einen Banner darauf aufmerksam zu machen, welche Cookies von Seitenanbieter:innen gesetzt werden, erhöht die Transparenz und schafft somit eine bessere Nachvollziehbarkeit für die Benutzer:innen. Mit einem „Klick” für die Akzeptanz bzw. Ablehnung der Cookie-Setzung wäre das Thema dann schnell erledigt. 

Leider zeigt eine systematische Untersuchung der meistbesuchten Webseiten Deutschlands durch die Autor:innen von netzpolitik.org, dass der einzelne „Klick“ die absolute Ausnahme bildet. Die Benutzer:innen werden an vielen Stellen durch sogenannte „Dark Patterns“ wie zum Beispiel eine unübersichtliche Menüführung oder farbliche Tricks wie ausgegraute Buttons zur Akzeptanz gedrängt (netzpolitik.org).

Dabei ist das Ganze rechtlich klar geregelt: Seit dem 1. Dezember 2021 gilt in Deutschland das „Telekommunikation-Telemedien-Datenschutz-Gesetz“ (TTDSG). Dieses sieht in § 25 Abs. 1 Regelungen zur Nutzung und Informationspflicht bezüglich Cookies vor. Nach Wortlaut gilt hierbei: „Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat.“ (dsgvo-gesetz.de) 

Da es sich bei Cookies um solche „Informationen in der Endeinrichtung eines Endnutzers“ handelt, ist seitdem klar geregelt: Cookies können nur genutzt werden, wenn Nutzer:innen hierüber informiert wurden und dieser Nutzung ausdrücklich zustimmen. Ausnahmen dieser Einwilligungspflicht werden in § 25 Abs. 2 TTDSG geregelt. Hiernach können Cookies auch ohne explizite Einwilligung der Nutzer:in verwendet werden, sofern diese „unbedingt erforderlich [sind], damit der Anbieter eines Telemediendienstes einen vom Nutzer ausdrücklich gewünschten Telemediendienst zur Verfügung stellen kann.“ (dsgvo-gesetz.de)

Was genau in diesem Fall als „unbedingt erforderlich“ verstanden werden kann, wird allein vom Gesetzestext allerdings nicht deutlich. Anerkannte Beispiele sogenannter notwendiger oder essenzieller Cookies sind: Warenkorb-Cookies, Login-Tokens, Sprachauswahl-Cookies oder auch das Cookie-Opt-In, welches als Cookie selbst verhindert, dass beim wiederholten Besuch einer Website erneut das Cookie-Banner angezeigt wird (datenschutz-generator.de).

Die Regelungen des TTDSG ersetzen hiermit seit Ende 2021 die zuvor geltenden Regelungen des Telemediengesetzes (TMG), welches in § 15 Abs. 3 TMG die Nutzung von Cookies regelte. Neben dem TTDSG, das sich primär mit Fragen der ePrivacy und damit insbesondere der Integrität von Geräten gegenüber Fremdzugriffen beschäftigt, spielen die Regelungen der Datenschutzgrundverordnung (DSGVO) im Kontext der Cookie-Nutzung ebenfalls eine Rolle, jedoch nur dann, wenn hiermit die Verarbeitung personenbezogener Daten verbunden ist. Entsprechend verweist § 25 Abs. 1 TTDSG zur Information und Einwilligung des Endnutzers auch auf die entsprechenden Regelungen der DSGVO.

Neben TTDSG und DSGVO spielt bei der Rechtsprechung zum Thema Cookies auch eine Entscheidung des Europäischen Gerichtshofes (EuGH) aus 2019 eine entscheidende Rolle (europa.eu). Hauptpunkt dieser Entscheidung war die Konsequenz, dass das Einverständnis zur Cookie-Nutzung aktives Handeln benötigt. Eine bloße Klausel innerhalb der AGB zur Einwilligung ist hierbei als Zustimmung nicht ausreichend. Außerdem stellte das EuGH-Urteil auch klar, welche Informationen im Rahmen der Einwilligung bekannt gemacht werden müssen: Dies umfasst unter anderem die Art und Funktionsweise sowie die Lebensdauer von Cookies und die Identität der Dienstleister:innen, die diese verarbeiten.

Besonders interessant wird die aktuelle Rechtsprechung bei den bereits erwähnten Dark Patterns. Diese bieten zwar grundsätzlich die Option zur Annahme oder Ablehnung nicht-notwendiger Cookies, erschweren Nutzer:innen die Ablehnung jedoch durch eine ungleiche Darstellung. Nach aktuell gültiger Rechtsprechung muss es den Endnutzer:innen allerdings genauso einfach möglich sein, nicht-notwendige Cookies abzulehnen, wie es ist, sie anzunehmen (datenschutz-generator.de). Entsprechend entschied zum Beispiel das Landgericht Rostock im September 2020 (dejure.org).

Demnach stellt sich die Frage: Wieso sind Dark Patterns dennoch so häufig auch auf größeren Webseiten anzufinden? Als Grund hierfür werden die mangelnde Durchsetzung und der fehlende Vollzug der entsprechenden Regelung gesehen (datenschutz-generator.de). Für die Verhängung von Bußgeldern nach § 28 TTDSG ist die genaue Zuständigkeit der deutschen Behörden nämlich nicht abschließend geklärt. Eine gesetzliche Grundlage, die etwa eine bundesweite Zuständigkeit der nationalen Landesdatenschutzbehörde vorsieht, gibt es bisher noch nicht. Entsprechend braucht es für jedes einzelne Bundesland eine Regelung über die sachliche Zuständigkeit für die Verfolgung und Ahndung von Ordnungswidrigkeiten. Eine solche Regelung liegt jedoch in vielen Bundesländern schlicht noch nicht vor (Stand Mai 2022, dr-datenschutz.de).

Wirken die fehlenden Regelungen zunächst unproblematisch, dürfen die Gefahren der forcierten oder unreflektierten Cookie-Nutzung dennoch nicht unterschätzt werden.

Dabei geht es vor allem darum, welchen Zweck der jeweilige Cookie erfüllt. Während einige Cookies Bequemlichkeit für die Nutzer:innen bieten, wie etwa gespeicherte Spracheinstellungen beim erneuten Besuch einer Webseite, werden andere dafür genutzt, detaillierte Profile aus personenbezogenen Daten zu erstellen. Diese können dann wiederum an Unternehmen und Werbetreibende übermittelt und verkauft werden. Erschreckend ist dabei vor allem, dass das Surfverhalten in der Theorie über Jahre hinweg für ein solches Profil aufgezeichnet werden kann (verbraucherzentrale.de).

Problematisch ist also vor allem die mit der Einwilligung zu bestimmten Cookies einhergehende Sammlung und Verbreitung der eigenen Daten. Diese wirkt zunächst oft unbedenklich, kann einen dann aber gänzlich unvorbereitet treffen und sogar zu einer realen Gefahr werden. So berichteten die Autor:innen des Magazins Vice im Mai diesen Jahres darüber, wie Geodaten der Besucher:innen von Einrichtungen der „Planned Parenthood“ (wikipedia.org) in Amerika verkauft wurden. Was einem zuerst harmlos vorkommen kann, wird unter Betrachtung der politischen Situation in vielen Staaten, in denen zum Beispiel Schwangerschaftsabbrüche verboten werden sollen, schnell zu Beunruhigung führen (vice.com).

Auch wenn die Sachlage eigentlich klar ist und ein konsequentes Durchsetzen der gesetzlichen Regelungen und Vorschriften Nutzer:innen im Internet schützen könnte, gibt es auch unabhängig davon verschiedene Möglichkeiten, um selbst aktiv zu werden und die Sammelwut einzuschränken.  

Moderne Internet-Browser bieten hier bereits erste Ansätze, so zum Beispiel Mozillas Firefox mit dem Prinzip „Total Cookie Protection“. Hierbei werden die von den Nutzer:innen akzeptierten Cookies nicht mehr zentral an einer Stelle im Browser gespeichert, sondern fein säuberlich nach Anbieter:in getrennt. Dadurch wird etwa das seitenübergreifende Verteilen der Daten verhindert (blog.mozilla.org).

Auch das geplante Browser Addon der gemeinnützigen Organisation noyb zeigt einen guten Ansatz, die Herrschaft über die eigenen Daten zurückzuerlangen. Cookies sollen von den Nutzer:innen zentral und transparent verwaltet werden können. Es soll außerdem ermöglichen, dass Webseitenanbieter:innen Cookies ähnlich anfordern können, wie zum Beispiel die Nutzung von Kamera oder Mikrofon und so die Anzahl an benötigten Klicks deutlich zu reduzieren (noyb.eu).

Wie ergeht es Ihnen beim Kampf gegen nervige Cookie-Banner und die zu häufig auftretenden Dark Patterns? Welche Methoden nutzen Sie zur Abwehr? Wir freuen uns sehr über Ihre Empfehlungen zu Tipps, Tricks und Tools gegen die Flut an Cookies im Internet.

Gerne können Sie hierzu über Twitter unter @society_read oder per Mail an redaktion.sozioinformatik@cs.uni-kl.demit uns in Kontakt treten. Dieser Beitrag wurde von Lasse Cezanne und Sarah Groos aus der Redaktion „SocIeTy“ (ehem. Redaktion Sozioinformatik) verfasst.

Dieser Beitrag erschien in unserem Newsletter GI-Radar, der alle zwei Wochen erscheint und viele weitere spannende Einblicke in die Informatik bietet. Alle Ausgaben gibt es hier zum Nachlesen.