Bringen Datenschutzgesetze YouTubes Anti-Werbeblocker-Sperren zu Fall?

YouTube hat in letzter Zeit die Werbung verschärft und zuletzt sogar Werbeblocker ausgesperrt. Ich hatte alleine wegen ihrer Monopolstellungen mit YouTube & Chrome/Chromium gute Chancen prognostiziert, das durchzusetzen. Es gibt allerdings noch einen anderen Aspekt, der es dem Konzern zumindest schwerer machen könnte – rein theoretisch wäre auch ein Verbot der Anti-Werbeblocker-Maßnahmen denkbar. Dieser Beitrag fasst zusammen, ob die eher unbeliebten neuen Sperren durch die DSGVO vielleicht doch noch fallen könnten. Oder ob das nur eine Nebelkerze ist und dies ähnlich erfolgreich wird, wie das Vorgehen von Netflix gegen gemeinsam genutzte Abos.

Wie funktioniert die Erkennung von Werbeblockern?

Da der Werbeblocker im Webbrowser installiert ist, muss die Prüfung clientseitig mit JavaScript erfolgen. Das Prinzip ist recht einfach: Werbeblocker haben bestimmte Muster hinterlegt, um unerwünschte Werbung vom erwünschten Inhalt zu trennen – die sogenannten Filterlisten. Sie sperren ganze Domains (z.B. von Google und anderen Werbenetzwerken), aber suchen auch nach verdächtigen Bezeichnern. Beispielsweise ad im Dateiname von Skriptdateien.

Das kann man sich mit einem Honigtopf zunutze machen: Im einfachsten Falle werden bewusst Variablen und Dateinamen genutzt, die für Werbung typische Begriffe verwenden. Anschließend wird geprüft, ob diese Elemente vorhanden sowie sichtbar sind. Ist das nicht der Fall, greifen bei YouTube die im vorherigen Beitrag beschriebenen Maßnahmen: Der Nutzer wird dazu aufgefordert, seinen Werbeblocker abzuschalten oder ein Premium-Abo abzuschließen.

Vor allem bei größeren Seiten ist natürlich auch das ein Katz-und-Maus-Spiel: Die Werbeblocker erkennen solche Fallen und blockieren sie nicht mehr. So denkt die betroffene Seite, die Werbung werde angezeigt. Hierfür sind neue Filterlisten nötig. Daher kann ein Neustart des Browser oder PCs beispielsweise dazu führen, dass YouTube wieder mit Werbeblocker funktioniert. Merken das die Seitenbetreiber, passen diese wiederum ihre Erkennungsskripte an und das ganze beginnt von vorne. Laut uBlock Origin ändert YouTube derzeit die Erkennungsmethode für Werbeblocker im Oktober zweimal täglich.¹ Im November wurde keine konkrete Zahl mehr genannt. Hier ist von regelmäßigen Anpassungen die Rede. Möglicherweise hat YouTube diesen Intervall inzwischen flexibel angepasst, um die Erkennung zu erschweren.² Eine Statusseite zeigt automatisch an, ob der Werbeblocker derzeit in der Lage ist, die neuesten Skripte zu umgehen.³

Warum ist das nicht erlaubt?

Der Knackpunkt ist YouTubes JavaScript-Code: Er wird vor dem Abspielen der Videos im Browser des Zuschauers geladen und prüft, ob Werbeblocker auf die Tests hereinfallen. Diese Maßnahmen wurden zuletzt verschärft.⁴⁵ Der Datenschutzexperte Alexander Hanff sieht darin einen Verstoß gegen die zumindest in Europa gültige Datenschutzgrundverordnung (DSGO).⁶ Die kennen viele vermutlich von den Cookie-Bannern: Möchte eine Seite Cookies auf dem Gerät des Nutzers speichern, ist das nur für notwendige Zwecke erlaubt. Beispielsweise um eine Anmeldung mittels Sitzung wieder zu erkennen. Für Werbung, Statistiken, Nutzerüberwachung und andere kommerzielle Zwecke, die für die Erfüllung des Dienstes nicht notwendig sind, ist zuvor ein Einverständnis notwendig. Seit einiger Zeit setzt YouTube dies für Werbung um und fragt beim ersten Besuch pro Gerät ab:

Das geschah übrigens nicht ganz Freiwillig. Der mittlerweile recht neutral wirkende Dialog sah früher manipulativer aus, um unbedarfte Zuschauer zur Sammlung & Verwertung ihrer Daten zu drängen. Damit ist Google nicht alleine: Viele große Web-Konzerne wie Microsoft, Facebook & co. setzten ähnliche fragwürdige Methoden ein – starke Kritik ließ nicht lange auf sich warten.⁷⁸ Facebook steht ebenfalls unter Druck, nachdem der Europäische Datenschutzausschuss ihnen die personalisierte Werbung verboten hat. Für den Konzern ein Fiasko, hat er es damit doch geschafft, etwa 200€ durch die Vermarktung eines durchschnittlichen Nutzers pro Jahr zu verdienen. Aus diesem Grunde bietet euch Instagram auch seit kurzem ein Bezahlabo an, um Wohlwollen zu signalisieren. Nutzer hätten somit eine Alternative zur Werbung.⁹ Auf vielen Nachrichtenseiten ist eine derartige Auswahl bereits seit längerem Alltag, wie folgendes Beispiel zeigt.

Im Gegensatz zu Google ist das Blockieren von Werbeblockern dort mittlerweile wieder überschaubar: Wer einen benutzt, kann viele Seiten trotzdem nutzen. An YouTubes Skripten bemängelt Hanff, sie verletzten die Privatsphäre der Nutzer – schlussendlich würden sie einem hinterher spionieren, ob man einen Werbeblocker verwende oder nicht. Dies sei meist nicht nur unethisch, sondern auch verboten.

Was ist an dieser Argumentation dran?

Das mag auf den ersten Blick absurd erscheinen – kennen wir die Einwilligungspflicht bisher fast nur von Cookies. Dort mit dem Argument, es werden Inhalte im Browser des Nutzers und damit auf seinem Gerät gespeichert. Doch laut Ansicht der EU ist die DSGVO so weitreichend, dass sie bereits bei solchen Erkennungsskripten anschlägt. Dies bestätigt eine Anfrage, die er bereits 2016 an die EU versendet hat: Nicht nur das Speichern von Cookies fällt demnach unter Artikel 5.3 der ePrivacy-Richtlinie. Auch das Auslesen von Informationen, die bereits auf dem Gerät des Nutzers vorliegen. So wertet die EU-Kommission das Erkennen von Werbeblockern.¹⁰ Somit müsste YouTube um Erlaubnis fragen, ob es die Skripte zur Überprüfung laden darf.

Allerdings ändert sie ihren Standpunkt nur ein Jahr später anlässlich einer Reform. Dort wird die Erkennung von Werbeblockern ausdrücklich erwähnt: Man möchte diese nicht regulieren. So ist es Nutzern freigestellt, Werbung im Web zu blockieren. Auf der anderen Seite ist der Kommission jedoch bewusst, dass viele Internetangebote nur durch Werbung auf direkte Zahlungen von den Nutzern verzichten können. Daher ist es Seitenbetreibern ausdrücklich erlaubt zu prüfen, ob Inhalte durch Werbeblocker entfernt werden. In diesem Falle darf der Betreiber darauf angemessen reagieren, beispielsweise durch Aufforderungen zur Deaktivierung.¹¹

Also doch legal?

Hanff ist weiterhin der Meinung, dass YouTube damit das Grundrecht auf Privatsphäre seiner Nutzer missachte. Daher hat er bei der Datenschutzkommission in Irland Beschwerde eingereicht.¹²¹³¹⁴ Patrick Breyer von der Piratenpartei sieht das Vorgehen ebenfalls kritisch und hat die EU-Kommission um eine Stellungnahme gebeten.¹⁵ Theoretisch könnten die Beschwerden dazu führen, dass YouTube die Erkennungen in ihrer jetzigen Form wieder zurück nehmen muss. Möglicherweise sind lediglich Detailanpassungen nötig: Etwa schlichtweg vorher um Erlaubnis zu fragen – während die Nutzung bei Ablehnung nicht mehr möglich ist. Oder eben nur noch über ein kostenpflichtiges Abo als Alternative, wie es verschiedene Medien seit längerem handhaben.¹⁶

Allerdings sollte nicht zu viel erwartet werden: Die Datenschutzbehörde in Irland hat seit längerem den Ruf, von Datenschutz wenig zu halten. Sie gilt als sehr Unternehmensfreundlich, deswegen greifen auch nahezu alle größeren Internetkonzerne auf sie als zuständige Behörde zurück. Von 2018 bis 2021 blieben satte 98% (!) aller größeren Fälle ungelöst, nachdem diese an Irland übergeben wurden.¹⁷ Nachdem sie Jahrzehnte lang viel zu geringe finanzielle Mittel hatte und auch heute über vergleichsweise wenig Ressourcen verfügt, ist das allerdings nicht verwunderlich.

Die Regierung von Irland hat wenig Interesse, daran etwas zu ändern. Eher im Gegenteil: Vor wenigen Monaten setzte sie sich für eine Gesetzesänderung ein, dass ihre Datenschutzbehörde viele Verfahren als „vertraulich“ markieren darf.¹⁸ Dadurch dürften Medien nicht mehr legal über Verfahren großer Konzerne berichten, die dort anscheinend alle Beteiligten schnell vom Tisch haben möchten.

Kritik nicht unbegründet

In der Tat ist es um die Privatsphäre und teils auch Sicherheit von Onlinewerbung alles andere als gut bestellt. Bereits seit Jahren wird breitflächig auf personalisierte Werbung gesetzt. Dafür sammeln die Unternehmen riesige Datenmengen über die Menschen und ihr Konsumverhalten. Je mehr Details sie wissen, um so gezieltere Werbung ist möglich. Die wiederum führt zu höheren Werbeeinnahmen, weil sich die Werbetreibenden mehr Konsum versprechen. Solche Informationen sind daher gefragt und werden nicht nur von einem einzelnen Unternehmen für Werbung verwendet, sondern auf Marktplätzen gehandelt. Microsoft betreibt einen Marktplatz, der die Nutzer in 650.000 Kategorien einteilt.¹⁹ Fast so hoch ist auch der Umsatz der Branche in Millarden: 2022 waren es 550 Milliarden US-Dollar mit stark steigender Tendenz. Es überrascht daher nicht, dass Microsoft diesen Marktplatz namens Xandr erst 2022 gekauft hat. Der Konzern möchte – wie bei OpenAI mit ChatGPT – überall dort vorne mitspielen, wo man richtig Geld verdienen kann.

Für den Nutzer, dessen Daten gesammelt werden, birgt das Risiken. Sie lassen sich durch detaillierte Profile leicht identifizieren und damit auch manipulieren. Die Werbegruppe kann über nahezu alle Charaktereigenschaften detailliert angesprochen werden: Kredite an Menschen mit finanziellen Problemen, Medikamente für Depressive, Spiele an Minderjährige und so weiter – all das und noch mehr ist auf solchen Marktplätzen gegen Bezahlung möglich. Mit derartigen Informationen sind noch viele weitere fragwürdige Szenarien wie z.B. Erpressung denkbar.

Die Studie einer irischen Nichtregierungsorganisation (keine Ironie!) beurteilt Online-Werbung daher als „ernstes Sicherheitsrisiko“.²⁰ Man muss nicht lange Suchen, um zahlreiche Belege für diese Behauptung zu finden. Ein aktuelles Beispiel: Die Duke University hat herausgefunden, dass sich für wenige Cents sensible Daten von ehemaligen und aktiven US-Soldaten kaufen lassen. Nicht im sogenannten Dark Net, sondern auf Daten-Marktplätzen wie Xandr vom Microsoft-Konzern. Dort werden übrigens auch Informationen über Militärangehörige aus Deutschland angeboten. Spätestens hier muss dem naivsten Ich habe nichts zu Verbergen Anhänger²¹ klar sein: Es gibt ein massives Problem.²²

Fazit: Ein Dilemma

Und das ist nur ein kleiner Auszug. Man könnte über die Probleme von Werbung im Internet problemlos mindestens einen eigenen Beitrag erstellen. Vieles davon ist nicht neu, sondern über mittlerweile Jahrzehnte gewachsen. Facebook beispielsweise wusste schon vor Jahren, dass sie die Kontrolle über die Daten ihrer Nutzer verloren haben.²³ Onlinewerbung abzuschaffen, ist andererseits ebenfalls nicht die Lösung. Viele können oder wollen nicht für jeden Dienst einige Euro pro Monat bezahlen – das summiert sich bereits bei einem vielfältigen Nachrichtenkonsum schnell auf größere Summen.

Ich denke daher, wir brauchen einen neuen, vernünftigen Kompromiss. Die Werbung muss einen Schritt zurück machen und darf nicht alles bis ins unendliche übertreiben, v.a. bei der Personalisierung. Dazu sollte YT nicht die Chance nutzen, um allen YouTube Music aufzudrängen. Keine Werbung & Datensammlung für 4-5€/Monat wäre angemessen. Ohne Einschränkungen, wie bei Premium Lite. Und natürlich nicht zur Begrüßung auch noch die Preise des normalen Premium-Abos anheben.

Quellen

1. Hierfür sind neue Filterlisten nötig. Daher kann ein Neustart des Browser oder PCs beispielsweise dazu führen, dass YouTube wieder mit Werbeblocker funktioniert: ↩︎
2. https://www.reddit.com/r/uBlockOrigin/comments/17tm9rp/youtube_antiadblock_and_ads_november_12_2023_mega/ ↩︎
3. https://drhyperion451.github.io/does-uBO-bypass-yt/ ↩︎
4. https://winfuture.de/news,139314.html ↩︎
5. https://support.google.com/youtube/answer/14129599?hl=en ↩︎
6. https://isp.page/news/privacy-advocate-challenges-youtubes-ad-blocking-detection/#gsc.tab=0 ↩︎
7. https://netzpolitik.org/2018/standortdaten-beschwerde-gegen-google-in-sieben-staaten-europas/ ↩︎
8. https://netzpolitik.org/2020/werbetreibende-duerfen-nutzerinnen-keine-tracking-cookies-unterjubeln/ ↩︎
9. https://www.giga.de/news/instagram-und-facebook-kosten-bald-geld-das-steckt-dahinter/ ↩︎
10. https://twitter.com/alexanderhanff/status/722861362607747072/photo/1 ↩︎
11. https://ec.europa.eu/commission/presscorner/detail/en/MEMO_17_17 ↩︎
12. https://www.theverge.com/2023/11/7/23950513/youtube-ad-blocker-crackdown-privacy-advocates-eu ↩︎
13. https://www.computerbase.de/2023-11/youtube-adblocker-erkennung-verstoesst-angeblich-gegen-eu-recht/ ↩︎
14. https://www.theregister.com/2023/10/26/privacy_advocate_challenges_youtube/ ↩︎
15. https://digitalcourage.social/@echo_pbreyer/111363801103636777 ↩︎
16. https://netzpolitik.org/2023/cookie-banner-der-neue-pur-ismus/ ↩︎
17. https://www.dr-datenschutz.de/irland-der-flaschenhals-des-europaeischen-datenschutzes/ ↩︎
18. https://noyb.eu/de/irish-gov-makes-critizising-big-tech-and-irish-dpc-crime ↩︎
19. https://netzpolitik.org/2023/microsofts-datenmarktplatz-xandr-das-sind-650-000-kategorien-in-die-uns-die-online-werbeindustrie-einsortiert/ ↩︎
20. https://netzpolitik.org/2023/buergerrechtsorganisation-warnt-online-werbung-als-ernstes-sicherheitsrisiko/ ↩︎
21. https://netzpolitik.org/2023/bullshit-busters-der-ewige-kampf-gegen-das-cookiemonster/ ↩︎
22. https://netzpolitik.org/2023/gefahr-fuer-nationale-sicherheit-datenhaendler-verscherbeln-daten-von-us-soldaten/ ↩︎
23. https://netzpolitik.org/2022/internes-dokument-facebook-hat-keine-kontrolle-ueber-seine-daten/ ↩︎