Mit Matomo aka Piwik braucht man kein Cookie Consent

[supervisior]

Bei einer sporadischen Durchsicht wer sich so auf meinen Seiten tummelt, ist mir ein Besucher besonders aufgefallen, weil dessen Zeit für das Rendern der aufgerufenen Seiten exorbitant lange gedauert haben und dabei festgestellt, dass es sich um einen Mitarbeiter vom Bundesfinanzministerium handelt. Eigentlich nichts besonderes, weil die öfter bei mir recherchieren, aber egal.

Ich hab mir dann mal die Seite vom bfinv angesehen, insbesondere der Cookie Hinweis ist mir aufgefallen, weil dieser nur einen "Einverstanden" Button enthält. Neugierig wie ich nun mal bin, hab ich mir daraufhin deren Datenschutzerklärung angesehen, wo mir gleich auffiel, dass unsere geistigen Vordenker Matomo verwenden und dementsprechend eine Beschreibung zu Matomo anbieten. Eigentlich hätte ich dazu erwartet, dass man im Zusammenhang mit dieser Beschreibung die von Matomo bereitgestellte Cookie Consent Funktion zu sehen bekommen müsste. Aber nix zu sehen, keine Spur. Man verweist zwar darauf, dass die IP Adresse anonymisiert werden würde, was Matomo als optionale Einstellung anbietet, aber besonders fiel mir auf, dass man auf die "Do Not Track" Funktion im Browser verweist, was Matomo ebenso optional anbietet. Last but not least verweist man im Zusammenhang mit Matomo auf die DSGVO.

Da gibt es nun 2 Besonderheiten, zumindest sind sie für mich besonders.

1.) Es gibt keine Möglichkeit für den Nutzer das Tracken von Matomo zu deaktivieren, obgleich Matomo das anbietet und man nur mit einem Copy & Paste Code Schnipsel einfügen braucht.

2.) Man verweist auf die DNT Funktion, die es in jedem Browser gibt. Nachdem ich erst vor wenigen Tagen in einem anderen Thread für die DNT Funktion geworben habe, mich aber ziemlich allein gefühlt habe, dass ich diese DNT Funktion als das Non Plus Ultra alle Consent Lösungen betrachte, fühle ich mich dann doch darin bestätigt, wenn sich sogar die obersten Bundesbehörden darauf berufen.

Das heißt schlussfolgernd nun für mich:

Kein Cookie Consent, zumindest nicht so einen bei dem ich dem Nutzer die Auswahlmöglichkeit geben muss, ob ich ihn tracken darf oder nicht, bzw. ich ihn um Erlaubnis fragen muss, ob ich den Tracking Cookie setzen darf.

Denke ich zu kurz oder sind unsere obersten Bundesbehörden einfach nicht up to date oder schehren die sich einfach nicht um die Gesetzeslage?

[UPDATE]
Nach der aktuellen Gesetzes- wie Kenntnislage, widerrufe ich meine Aussage. Warum? Weil schon länger klar ist, dass es perse nicht um Cookies alleine geht. Cookie steht nur als Überbegriff für alle Techniken und Methoden, wie man personenbezogene Daten abfischen kann, bzw. man damit tracken kann. Matomo und seit kurzem auch Google Analytics ermögleichen zwar eine Cookie-less Funktion, allerdings macht das die vorherige Einwilligung durch den Nutzer nicht obsolet.

[arnego2]

Ich nehme an das die Bundesbehörden keine Angst vor Abmahnungen haben zu brauchen.

[Hanzo2012]

Ob die ihre Seite überhaupt selber machen? Ich schätze, dass sie dafür eine Agentur beauftragen, die dafür Millionen kassiert.

[supervisior]

Ob die ihre Seite überhaupt selber machen? Ich schätze, dass sie dafür eine Agentur beauftragen, die dafür Millionen kassiert.

Dem ist sicher so, aber wenn diese Agentur auch nur eine Spur von Geschäftssinn hat, müssten die ja erst recht darauf drängeln, dass man hier was ändern müsste. Aber nicht weil man sich in Sachen Gesetzmäßigkeit angesprochen fühlen würde, sondern einfach aus reiner Gewinnsucht.

Es könnte aber auch sein, dass man sich absolut sicher fühlt, wobei es einer Behörde vermutlich am Allerwertesten vorbeigehen dürfte. Schaut man sich aber die Seite vom Bundesjustizministerium an, das ebenso Matomo verwendet, gibt es dort sehr wohl die Möglichkeit im Consent Banner den Matomo Cookie abzulehnen. Von daher kann man eher davon ausgehen, dass das Finanzministerium einfach schläft.

[staticweb]

> Denke ich zu kurz oder sind unsere obersten Bundesbehörden einfach nicht up to date oder schehren die sich einfach nicht um die Gesetzeslage?

Das wäre ein gutes Freitags-Thema bei Heise gewurden.

> Ob die ihre Seite überhaupt selber machen? Ich schätze, dass sie dafür eine Agentur beauftragen, die dafür Millionen kassiert.

So ist es, wie man auch im Quelltext sieht.

[supervisior]

Jetzt muss ich doch was korrigieren, was die Sache aber nicht besser, eher noch schlechter macht.

Das, wovon ich ursprünglich geschrieben habe, war/ist nicht das Bundesfinanzministerium, sondern das Bundeszentralamt für Steuern. https://www.bzst.de

Auf der Seite des Bundesfinanzministerium https://www.bundesfinanzministerium.de sieht die Sache nun ganz anders aus. Dort gibt es zwar einen Cookie Banner, den man aber nur zu sehen bekommt, wenn man keinen Adblocker hat. Andernfalls wird der Banner geblockt. So weit, so auch nicht gut. Das Bundesfinanzministerium setzt zwar keine Cookies solange man nicht einwilligt, aber dafür wird das Matomo Script zum Tracken von einem externen Host eingebunden und dieser externe Host gehört einer Agentur "Init", was ich noch weniger verstehe. Diese Agentur setzt zwar keinen Cookie, aber wenn man die Cookies ablehnt, wird das Matomo Script trotzdem geladen. Eigentlich, also ganz eigentlich und das im Falle einer Bundesbehörde dürfte selbst bei der Zustimmung weder das Script und noch weniger das Script von dem Host einer privaten Firma geladen werden. Ich willige ja nur für den Cookie ein, aber nicht für das Tracken, zumal von einem Dritten.

[staticweb]

> Kein Cookie Consent, zumindest nicht so einen bei dem ich dem Nutzer die Auswahlmöglichkeit geben muss, ob ich ihn tracken darf oder nicht, bzw. ich ihn um Erlaubnis fragen muss, ob ich den Tracking Cookie setzen darf.

Habe gerade gesehen, dass Amazon jetzt auch ein cookie consent eingeführt hat. Da würde ich mir das an deiner Stelle noch einmal überlegen.

[supervisior]

Habe gerade gesehen, dass Amazon jetzt auch ein cookie consent eingeführt hat. Da würde ich mir das an deiner Stelle noch einmal überlegen.

Hab ich mir schon. Zwar nicht, was das Thema dieses Treads anbetrifft, sondern wieder back zu meinen Roots. Cookie Banner ja, aber ohne Consent Funktion, sondern lediglich um der Informationspflicht zu entsprechen.

Wenn die großen Verlagsseiten und wie Du sagst auch Amazon jetzt einen Cookie Consent bringen, dann hat das eine ganz andere Bewandtnis. Da wird die Cookie Verordnung nur vorgeschoben, um aber eigentlich eine Einwilligung vom Nutzer zu bekommen, dass man das aufgekündigte Privacy Shield mit den USA mit diesem Consent aushebeln glauben zu können.

De Facto gibt es bis dato kein deutsches Gesetz, das sich zudem nicht über EU-Recht hinwegsetzen würde und einen Cookie Consent zwingend verlangt, weil die Bundesregierung in Absprache mit dem EU-Parlament übereingekommen ist, dass das hiesige TMG im Einklang mit der EU-Cookie Verordung steht.

[swiat]

Denke ich zu kurz oder sind unsere obersten Bundesbehörden einfach nicht up to date oder schehren die sich einfach nicht um die Gesetzeslage?

Wäre mir neu, das sich diese Behörden und die *** in Berlin an ihre eigenen Gesetze immer halten würden.

Gruss

[held eins]

2.) Man verweist auf die DNT Funktion, die es in jedem Browser gibt. Nachdem ich erst vor wenigen Tagen in einem anderen Thread für die DNT Funktion geworben habe, mich aber ziemlich allein gefühlt habe, dass ich diese DNT Funktion als das Non Plus Ultra alle Consent Lösungen betrachte, fühle ich mich dann doch darin bestätigt, wenn sich sogar die obersten Bundesbehörden darauf berufen.

DNT ist leider sehr leicht zu missbrauchen und macht Nutzer unter gewissen Umständen noch besser trackbar. Soweit ich weiß, haben die Browserhersteller sich auch schon davon distanziert (vgl. https://www.heise.de/mac-and-i/meldung/ ... 01029.html) .

[supervisior]

DNT ist leider sehr leicht zu missbrauchen und macht Nutzer unter gewissen Umständen noch besser trackbar. Soweit ich weiß, haben die Browserhersteller sich auch schon davon distanziert (vgl. https://www.heise.de/mac-and-i/meldung/ ... 01029.html) .

Da ist natürlich was dran, wobei ich mit einem Rechen Deinen Rasen rechen kann, aber Dir damit auch eins auf die Rübe hauen kann. Aus der Sichtweise von Apple mag DNT gescheitert sein, was aber nicht an DNT selbst liegt, sondern dass es mit dem Einführen dieses Headers noch kein Bewusstsein gab, dass man was für Datenschutz machen kann. DNT gibts ja schon seit über 10 Jahren und damals gabs noch nicht mal ansatzweise so ein Gedankenspiel wie DSGVO, EU-Cookieverordnung usw.. DNT war und ist nach wie vor das probate Mittel. Es fehlt(e) nur das Wissen darüber bei unseren geistigen Vordenkern. Gäbe es das, würde man jetzt nicht Cookies so verteufeln.

Aber mal abgesehen davon, hat der DNT Header ohnehin keine Bedeutung, weil die DNT Funktion nur bei 2 oder 3 von 100 überhaupt aktiv ist. Von daher fehlt mir die Vorstellung wie man das bei der geringen Verwendung für einen Missbrauch nutzen könnte, sodass sich der Aufwand auch auszahlt.

[held eins]

Naja, es ist relativ einfach: DNT lässt sich für Fingerprinting missbrauchen. Damit ist der Nutzen ad absurdum geführt.

Grundsätzlich sehe ich den Ansatz auch positiv, allerdings ist die Umsetzung hier schlicht hinreichend zielführend durchgeführt worden.

[supervisior]

...schlicht hinreichend zielführend durchgeführt worden.

Wie jetzt? Schlicht oder hinreichend? Du meintest wohl eher schlicht(weg) unzureichend?

Der DNT Header war seiner Zeit maximal voraus und die unzureichende Akzeptanz geht auf das damals unzureichende Bewusstsein der Politik zurück. Hätte man damals schon auf Seiten unserer Vordenker das entsprechende Bewusstsein dafür gehabt, würden jetzt nicht vermeintliche Fachleute auf Seiten des Wirtschaftsministerium keinen Referentenentwurf erstellen in dem man vorschlägt man möge eine Funktion in jeden Browser integrieren, um was Brauchbares für das Consent Gedönse zu machen. Das ist an Perversion nicht mehr zu überbieten. So viel zum Thema geistige Vordenker!

[held eins]

Da fehlte schlicht das "nicht" Danke für den Hinweis.

Inhaltlich stimme ich Dir zu: Eine Lösung im Browser wäre elegant. Allerdings ist DNT eben in der aktuellen Form technisch nicht brauchbar - und eigentlich wäre das ein Thema, das technisch zu lösen wäre, wenn innerhalb der Branche entweder der Druck vorhanden wäre (politisch) oder eben Geld damit zu verdienen wäre (ggf. in Form von positiver PR könnten Unternehmen sich ja durchaus damit einen Gefallen tun).

[supervisior]

Ich wüsste nicht, welche andere technische Lösung so gut wäre, um letztlich nicht das Gleiche zu machen wie der DNT Header, zumal ja nur das verwendet werden kann, was das HTTP Protokoll oder neuerdings auch UDP dafür hergibt. Der Nutzer gibt über eine wie auch immer geartete Willenserklärung eine Erklärung ab, dass er im Bedarfsfall dem Webserver mitteilt, dass er nicht getracked werden will. Da kannst Du es drehen wie Du willst. Am Ende wird dann doch nur eine Information übermittelt, die sich dann auch nach Auffassung von Apple missbrauchen lässt.

Was dem DNT Header fehlt, ist die Rückmeldung vom Webserver, dass der DNT Header, wenn DNT = 1 gesendet wurde, auch bestätigt wurde, also ein Response Header. Kommt dieser nicht zurück, kommt der Host auf eine Sperrliste im Browser. So was ähnliches machen diverse Browser ja schon über die Privacy Funktionen. Das Gute daran: Der Nutzer müsste weder was besonderes machen noch erst ein Informatik Studium ableisten. Außerdem müsste man das Rad nicht neu erfinden, geschweige denn sonst irgendwas neu einführen, was seit Jahren schon vorhandene Funktionen nicht schon können.