Ich will nicht ganz verhehlen, dass mich die diesjährigen Big Brother
Awards ein klein wenig enttäuscht haben. Gewiss waren das alles
verdiente Empfänger, aber mein Favorit war wieder mal nicht dabei.
Dabei gebe ich den Leuten vom FoeBuD (ich verweigere mich der
Umbenennung in digitalcourage aus reiner Nostalgie), dass dessen
Verfehlungen überschaubarer sind als die Bewegungsprofile von Lieferando
und die garstigen Fintech-Teufeleien von Klarna.
Dennoch sollte, so finde ich, cleverreach gelegentlich bedacht werden,
idealerweise in einer Kategorie „Ausschnüffeln per DSGVO-FUD“. Diese
wäre Einrichtungen vorbehalten, die anderen Einrichtungen
Überwachungstechnik unterschieben, indem sie die von weiten Teilen der
freien Presse geschürten Ängste vor der DSGVO ausnutzen.
Dieses Thema wird schon durch das augenblickliche Cookie-Banner dieser
Leute gesetzt, das modal (also: nichts geht, solange mensch nicht
klickt) zunächst von „Privatsphäre respektieren“ redet und dann über
allzu bekannte Dark Patterns versucht, den Leuten hart am Rande der
Legalität Daten abzupressen:
(ich habe das Legalesisch rausgeschnitten, da es nichts zur Sache tut).
Zum Mitschreiben: Ein Laden, der Datenschutz ernstnimmt, braucht keine
Cookie-Banner und schon gar keine Dark Patterns. Immerhin, das will ich
den Leuten lassen, funktionieren weite Bereiche der Webseite inzwischen
(das war vor zwei Jahren noch anders) ohne Javascript. Tatsächlich
werden ohne Javascript nicht mal Cookie-Banner ausgespielt (Disclaimer:
ich habe nicht nachgesehen, ob dann auch wirklich keine unnötigen
Cookies verschickt werden).
Etwas ungehaltener bin ich schon über die Sirenentöne zur DSGVO,
mit denen cleverreach Unternehmen und, noch schlimmer, andere
Einrichtungen verunsichert: „eine Mailingliste ist datenschutzmäßig
total kompliziert, und wenn du eine betreibst, bist du schon halb im
Knast“. Das ist natürlich Unfug, solange beim Abonnieren klar ist, was
die Leute kriegen und der dazugehörige Dialog transparent gestaltet ist.
Aber welcheR „EntscheiderIn“ – Technik- und Sachkenntnisse sind in
solchen Positionen ja eher optional – könnte Sirenentönen schon
widerstehen?
Nun könnte ich mit so ein wenig DSGVO-FUD zur Not noch leben, selbst
wenn er zu einer – nur in seltenen Fällen dem Datenschutz wirklich
helfenden – Zentralisierung von EDV führt, hier nämlich von jeweils ein
paar lokalen Mailinglisten auf jeder Menge voneinander isolierter Server
zu einer Firma mit „310.000 Kunden“ mit entsprechend vielen Listen.
Diese Kunden sind zum Beispiel die Bundesorganisation der GEW, die
Ebert-Gedenkstätte in Heidelberg und das Landesmuseum für Arbeit und
Technik in Mannheim (dessen aktuellen Namen „Technoseum“ verweigere
ich mit gleicher Sturheit wie die „digitalcourage“). Stellt euch vor,
ihr wisst, dass jemand von allen drei Läden Info-Mails abonniert hat,
notabene freiwillig, was schon eine gewisse Identifikation mit den
jeweiligen Zwecken vermuten lässt: Entsteht da nicht ganz von selbst ein
Profil?
Faustregel: „clever“ heißt im Internet so viel wie
„fies”
Aber ist denn die Bildung so eines Profils nicht gegen die DSGVO?
Oh, mit hinreichend viel Skrupellosigkeit ist das kein Problem. Und
damit komme ich zum wirklich verwerflichen Teil von cleverreachs
Geschäft, der meines Erachtens Restzweifel im Hinblick auf die
Skrupellosigkeit zuverlässig zerstreut.
Dazu braucht es einen Blick in die von cleverreach verschickten Mails.
Dies sehen typischerweise so aus:
I 1 [multipa/alternativ, 7bit, 79K]
I 2 ├─> [text/plain, quoted, utf-8, 0.7K]
I 3 └─> [text/html, quoted, utf-8, 78K]
– sie gibt also vor, dass mensch alternativ ordentlichen Text oder
ein HTML-Dokument haben kann. Das Problem ist noch nicht mal, dass es
da überhaupt HTML gibt (auch wenn anständige Menschen kein HTML in Mails
packen). Das Problem deutet sich an darin, dass der Plain Text nur ein
Hundertstel der Länge des HTML-Teils hat. Das ist auch beim Einrechnen
des HTML-typischen Fluffs nicht mehr glaubhaft, und in der Tat ist der
Plain-Text-Teil nur ein Köder, um Menschen zu cleverreachs
Schnüffelseiten zu bringen:
Ihr E-Mail Programm unterstützt leider keine HTML E-Mails.
Hier finden Sie diesen Newsletter online:
https://213989.seu2.cleverreach.com/m/dddddddd/dddddd-hhhhhhhhhhhhhhhhhhhhhhhhhh
hhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhhh
(wo d Dezimalziffern und h Sedezimalziffern sind; mit Code im Umfang
dieser URL könnten DemoprogrammiererInnen Bälle über den Bildschirm
hüpfen lassen). Wer dieser ganz klar personalisierten URL folgt,
bekommt immerhin keinen Cookie-Banner, und erstaunlicherweise wird auch
kein Javascript ausgeliefert. In der Tat setzen die verschiedenen
Ressourcen auch keine nennenswerten Cookies. Allein die URL:
https://stats-eu2.crsend.com/stats/mc_dddddd_dddddddd_hhhhhhhhhhh-cccccc.gif
(c steht jetzt für Kleinbuchstaben) setzt einen PHP-Session-Cookie –
aber das ist vermutlich nur Gedankenlosigkeit. Das wirkliche Problem an
dieser Ressource: das ist ein Tracking-Pixel, in schlechter Tradition
als leeres GIF von 40 Bytes, das aber (was passiert da wohl im
Hintergrund?) jetzt gerade 5 Sekunden für die Auslieferung gebraucht
hat.
Hiermit nimmt cleverreach auf, wer ihre Mails liest und wann sie das
tun. Nennt mich paranoid, aber ob und wann ich Werbepost lese, das geht
wirklich nur mich etwas an. Ich will auf keinen Fall, dass jemand
merkt, wenn ich auf Clickbait hereinfalle.
Wenig überraschenderweise findet sich dieser Trackversuch auch am Ende
der ganz klassisch als Tabelle ausgezeichneten HTML-Alternative in der
Mail:
</center>
<img src="https://stats-eu2.crsend.com/stats/<wie oben>"
border="0" alt="" height="1" width="1"></body>
</html>
Bei HTML dieser Art (und überhaupt: GIFs) werde ich wieder jung: so
haben wir Mitte der 1990er Webseiten geschrieben.
Trotz dieses Schnüffelversuchts wäre es übrigens (wenn es jetzt schon
HTML sein muss) datenschützerisch besser, wenn cleverreach den Plain
Text-Teil nicht einbasteln würde, denn dann würde mein datensparsames
eigenes HTML-Rendering aktiv werden und ich könne die Mail lesen, ohne
(wie im normalen Browser fast unvermeidlich) getrackt zu werden. Wie
das alles mit meinem Mail-Client zusammengeht, beschreibe ich demnächst
mal; ich bestehe jedenfalls darauf, dass Plain Text-Alternativen, die
nur Clickbait enthalten, unethischer sind als gar kein Plain Text.
Entweder Internet-Normalbetrieb oder DSGVO.
Zugegeben: das verschlagene Unterschieben von Trackingpixeln, um
mitzukriegen, wann wer was liest und das dann den eigenen KundInnen als
total wichtige Marketingmetrik verkaufen zu können: Das könnte in Zeiten
von Google Analytics schon fast als lässliche Sünde durchgehen. Wer
sich auf Schurkereien dieser Art einlässt, darf jedoch im Gegenzug nicht
Gewerkschaften und SPD-nahe Stiftungen (samt ihrer im Datenschutz eher
unbeholfenen HauspolitiologInnen für antisoziale Medien) mit
Datenschutzraunen und -drohen von datensparsamen Verfahren in das eigene
überwachungskapitalistische Geschäftsmodell ziehen.
![[RSS]](../theme/image/rss.png)
