Google beabsichtigt, bis 2022 die Unterstützung für Drittanbieter-Cookies in Chrome einzustellen

Das Unternehmen Google kündigte an die Absicht, innerhalb der nächsten zwei Jahre die Unterstützung für Drittanbieter-Cookies in Chrome vollständig einzustellen, die beim Zugriff auf Seiten außerhalb der Domain der aktuellen Seite gesetzt werden. Solche Cookies werden verwendet, um die Bewegungen der Nutzer zwischen Websites in den Codes von Werbenetzwerken, Social-Media-Widgets und Web-Analytiksystemen nachzuverfolgen.

Wie auch angekündigte gestern die Absicht zur Vereinheitlichung des User-Agent-Headers, der Verzicht auf Drittanbieter-Cookies wird im Rahmen einer Initiative vorangetrieben Privacy Sandbox, die darauf abzielt, einen Kompromiss zwischen dem Bedürfnis der Nutzer nach Datenschutz und dem Wunsch von Werbenetzwerken und Websites, die Vorlieben der Besucher zu verfolgen, zu erreichen. Bis Ende dieses Jahres wird im Modus origin trial die Einschaltung im Browser erwartet zusätzlicher APIs zur Messung von Conversions und zur Personalisierung von Werbung ohne Verwendung von Drittanbieter-Cookies.

Um die Interessens-kategorie eines Nutzers ohne individuelle Identifikation und ohne Bezug zur Besuchshistorie bestimmter Seiten zu definieren, wird Werbenetzwerken empfohlen, die API Floc, zur Bewertung der Nutzeraktivität nach dem Übergang auf Werbung – die API Conversion Measurement, und zur Trennung der Nutzer ohne Verwendung von websiteübergreifenden Identifikatoren – die API Trust Token. Die Entwicklung von Spezifikationen zur Anzeige von zielgerichteter Werbung
ohne Verletzung der Privatsphäre, wird von einer separaten Arbeitsgruppe, die von der W3C-Organisation gegründet wurde.

Aktuell wird im Kontext des Schutzes vor der Übertragung von Cookies CSRF-Angriffen der im Set-Cookie-Header angegebene SameSite-Attribut verwendet, das seit Chrome 76 standardmäßig auf "SameSite=Lax" eingestellt ist, was die Sendung von Cookies für Einbettungen von Drittanbieter-Websites einschränkt, aber Websites können die Einschränkung aufheben, indem sie beim Setzen von Cookies den Wert SameSite=None angeben. Der SameSite-Attribut kann zwei Werte annehmen: ‘strict’ oder ‘lax’. Im ‘strict’-Modus werden Cookies daran gehindert, für jegliche Arten von websiteübergreifenden Anfragen gesendet zu werden. Im ‘lax’-Modus gelten sanftere Einschränkungen, und die Übertragung von Cookies wird nur für websiteübergreifende Subanfragen blockiert, wie beispielsweise einem Bildaufruf oder dem Laden von Inhalten über ein iframe.

In Chrome 80, das für den 4. Februar geplant ist, wird eine strengere Regelung eingeführt, die die Verarbeitung von Drittanbieter-Cookies für Anfragen ohne HTTPS verbietet (Cookies mit dem Attribut SameSite=None können nur im Secure-Modus gesetzt werden). Darüber hinaus wird weiterhin an der Umsetzung von Maßnahmen zur Erkennung und zum Schutz vor Umgehungsmethoden zur Nachverfolgung und heimlichen Identifizierung („Browser-Fingerprinting“) gearbeitet.

Wir erinnern daran, dass in Firefox, beginnend mit der Veröffentlichung 69, standardmäßig alle Cookies von Drittanbietersystemen zur Verfolgung von Bewegungen ignoriert werden. Google hält eine solche Blockade für gerechtfertigt, die jedoch eine vorbereitende Anpassung des Web-Ökosystems und die Bereitstellung alternativer APIs erfordert, um Aufgaben zu lösen, für die zuvor Drittanbieter-Cookies verwendet wurden, ohne die Privatsphäre zu verletzen und die Monetarisierungsmodelle von durch Werbung finanzierten Websites nicht zu untergraben. Als Antwort auf die Blockade von Cookies ohne Bereitstellung von Alternativen haben Werbenetzwerke die Nachverfolgung nicht eingestellt, sondern sind lediglich auf ausgeklügeltere Methoden auf Basis der heimlichen Identifizierung von Nutzern (Fingerprinting) oder über Erstellung für den Tracker von bestimmten Subdomains im Domain des Werbeeinblendungsstandorts.

Quelle: opennet.ru