Ein Think Tank sagt, das Cookie-Banner funktioniert nicht

Wenn Sie jemals „Alle akzeptieren“ auf einem Cookie-Banner geklickt haben, nur damit es verschwindet, legt ein neues Arbeitspapier von Bruegel, einem in Brüssel ansässigen Wirtschafts-Think-Tank, nahe, dass Sie nicht allein sind und dass das System argumentativ nie dafür ausgelegt war, Ihnen eine echte Wahl zu lassen.

Das Papier argumentiert, dass die GDPR-Dateneinwilligung, der rechtliche Mechanismus, der europäischen Bürgern Kontrolle darüber geben soll, wie ihre persönlichen Daten erfasst und verwendet werden, in der Praxis eine „rechtliche und technische Fiktion“ ist. Während die Datenschutz-Grundverordnung verlangt, dass die Einwilligung freiwillig, spezifisch, informiert und unmissverständlich erfolgt, stellten die Forscher fest, dass Cookie-Banner diese Anforderung routinemäßig nicht erfüllen. Statt klar zu erklären, welche Daten erfasst werden, wer sie erhält und warum, sind die meisten Banner darauf ausgelegt, Nutzer zu einer schnellen Akzeptanz zu drängen, statt zu einem echten Verständnis.

Dies ist keine Randbeschwerde. Es ist eine direkte Herausforderung einer der Kernannahmen, die das EU-Datenschutzrecht stützen: dass normale Menschen komplexen Datenverarbeitungsvereinbarungen sinnvoll zustimmen können, indem sie einfach einen Button auf einem Pop-up klicken.

Warum „Einwilligung“ selten das bedeutet, was Sie denken

Die Einwilligungsanforderung der GDPR klingt auf dem Papier unkompliziert. Bevor eine Website Sie verfolgen, Ihre Daten an Werbetreibende weitergeben oder ein Profil Ihrer Browsing-Gewohnheiten erstellen kann, soll sie auf eine Weise um Erlaubnis bitten, die Sie tatsächlich verstehen können. In der Realität sind Cookie-Banner zu einer Art Theater geworden. Nutzern werden dichte Rechtstexte, vorab angekreuzte Kästchen und Oberflächen präsentiert, die darauf ausgelegt sind, „Alle akzeptieren“ zum einfachsten Weg zu machen, während die Option, Einstellungen abzulehnen oder anzupassen, mehrere Klicks tief versteckt ist.

Dieses Muster ist nicht auf obskure Ecken des Internets beschränkt. Selbst bekannte Verbraucherseiten stehen wegen der Art und Weise, wie sie Einwilligungen strukturieren, in der Kritik. Ein aktuelles Beispiel betraf ein beliebtes Online-Wörterbuch, dict.ccs ausuferndes Consent-Banner, das hinter einer einzigen Einwilligungsanfrage mehr als 1.700 Werbe- und Tracking-Partner auflistete. Die Beschwerde, die über dieses Banner eingereicht wurde, veranschaulicht genau das Problem, das das Bruegel-Papier beschreibt: Es ist technisch möglich, dem Buchstaben der GDPR zu entsprechen, während eine echte informierte Einwilligung praktisch unmöglich gemacht wird. Wenn ein Nutzer gebeten wird, die Datenpraktiken von über tausend Partnern in wenigen Sekunden zu bewerten, hört „informierte“ Einwilligung auf, irgendetwas zu bedeuten.

Das Ausmaß dieses Beispiels ist ungewöhnlich, aber die zugrunde liegenden Mechanismen—vage Offenlegungen, reibungsreiche Opt-outs und Standardeinstellungen, die die Datenerfassung begünstigen—sind im gesamten Web weit verbreitet. Das Kernargument des Bruegel-Papiers ist, dass dieses Muster kein Zufall ist. Es ist ein vorhersehbares Ergebnis eines rechtlichen Rahmens, der annimmt, dass Nutzer die Zeit, das Fachwissen und die Aufmerksamkeitsspanne haben, um Einwilligungsanfragen zu analysieren, die von Natur aus schwer zu analysieren sind.

Was das für Sie bedeutet

Für normale Internetnutzer in Europa bedeutet diese Forschung nicht, dass GDPR-Schutzmaßnahmen wertlos sind. Die Verordnung hat Unternehmen dennoch dazu gezwungen, mehr über ihre Datenpraktiken offenzulegen, als sie es sonst tun würden, und sie gibt den Regulierungsbehörden Werkzeuge, um Missbrauch im Nachhinein zu untersuchen. Aber es bedeutet, dass Sie ein Cookie-Banner nicht als bedeutungsvollen Kontrollpunkt behandeln sollten, an dem Ihre Privatsphäre tatsächlich in Echtzeit geschützt wird. Das Klicken auf „Akzeptieren“ oder „Ablehnen“ ist selten der Moment, in dem Ihre Daten sicher oder unsicher werden. Ein Großteil der Tracking-Infrastruktur funktioniert unabhängig davon, welches Kästchen Sie ankreuzen, und die Durchsetzung holt oft erst Monate oder Jahre später auf.

Diese Kluft zwischen rechtlicher Einwilligung und tatsächlichem Schutz ist genau der Grund, warum Datenschutz-Tools, die unabhängig von Website-Vereinbarungen funktionieren, wichtig sind. Ein VPN stoppt die eigenen Tracking-Skripte einer Website nicht, aber es begrenzt, was Ihr Internetdienstanbieter und Netzwerkbeobachter sehen können, und es kann die Menge an identifizierenden Informationen reduzieren, die mit Ihren Browsing-Sitzungen verbunden sind. Browsererweiterungen, die Tracker blockieren, und datenschutzorientierte Browsereinstellungen fügen eine weitere Ebene hinzu, die nicht davon abhängt, ob das Cookie-Banner eines Unternehmens ehrlich gestaltet wurde oder nicht.

Praktische Schritte, die sich lohnen

Da Einwilligungsbannern nicht vollständig vertraut werden kann, dass sie Ihre tatsächlichen Datenschutzpräferenzen widerspiegeln, lohnt es sich, ein paar Gewohnheiten zu übernehmen. Lehnen Sie nicht notwendige Cookies ab, wann immer eine echte Option präsentiert wird, auch wenn es einen zusätzlichen Klick erfordert. Verwenden Sie Browsereinstellungen oder Erweiterungen, die Drittanbieter-Tracker standardmäßig blockieren, statt sich auf website-spezifische Entscheidungen zu verlassen. Erwägen Sie ein VPN als zusätzliche Netzwerk-Privatsphäre-Ebene, insbesondere in öffentlichen WLAN-Netzen oder beim Zugriff auf sensible Konten. Und wenn ein Consent-Banner sich absichtlich verwirrend anfühlt oder eine unplausible Anzahl von „Partnern“ auflistet, wie im Fall von dict.cc, ist das ein Signal, das man ernst nehmen sollte, statt es als Standardfloskel abzutun.

Das Bruegel-Papier verleiht etwas akademisches Gewicht dem, was viele Nutzer lange vermutet haben: dass die GDPR-Dateneinwilligung, wie sie im gesamten Web umgesetzt wird, nicht so funktioniert, wie das Gesetz es beabsichtigt hat. Bis die Durchsetzung oder Designstandards aufholen, ist der sicherste Ansatz, Cookie-Banner als Formalität statt als Schutzmaßnahme zu behandeln und Ihren eigenen Datenschutz zusätzlich darauf aufzubauen.