Alle Cookies finden, die von einer Webseite gespeichert werden: Eine Anleitung

Kategorien: Datenschutz und Cookies

Welche Cookies werden von einer Webseite genutzt? Diese Frage stellt sich sowohl Webseitenbetreibern als auch Datenschutzfreunden immer wieder. Eine Anleitung zeigt, wie diese Frage möglichst gut beantwortet werden kann.

Einleitung

Cookies sind in der Wahrnehmung vieler Menschen der wichtigste Aspekte beim Datenschutz auf Webseiten oder in Apps. Das kommt wohl daher, weil viele sich ein Cookie wahrscheinlich am besten vorstellen können. Der englische Begriff legt die Analogie zum Keks nahe. Was ein Keks ist, weiß jeder. Der Computer wird also zur Bäckerei. Klingt etwas merkwürdig, aber es gibt ja Tabletten für alles …

In diesem Beitrag geht es darum, wie man Cookies auf Webseiten finden kann. Nur der Vollständigkeit halber sei erwähnt, dass Cookies nur zwei von mindestens fünf Kategorien einwilligungspflichtiger Datenverarbeitungen darstellen. Diese fünf Kategorien hatte ich zuletzt in meinem Beitrag zur zentralen Einwilligungsverwaltung (PIMS) genannt. Vielleicht gibt es auch noch mehr Fallunterscheidungen, aber jedenfalls keine weiteren, die mit Cookies zu tun haben.

Cookies sind am leichtesten nachzuweisen. Dazu reicht es, auf dem eigenen Computer nachzusehen, welche Cookies im Browser der Wahl gespeichert sind. Der Vorgang für diesen Nachweis entspricht im Wesentlichen auch dem Prozedere, wie alle Cookies identifiziert werden können, die eine Webseite erzeugt.

Cookies sind Informationsspeicher. Sie existieren nur in Endgeräten von Nutzern (oder in Endeinrichtungen). Cookies existieren nicht auf einem Server. Cookies sind keine Textdateien. Cookies sind personenbezogene Daten: Entweder, weil sie einen Wert enthalten, der einen Personenbezug zulässt. Oder, weil sie immer zusammen mit der personenbezogenen IP-Adresse übertragen werden.

Cookies auf Webseiten nachweisen

Ich beschreibe das Vorgehen mit dem Firefox Browser auf einem Desktop-PC. Für andere Browser (hoffentlich nicht der Chrome Browse von Google) ist das Vorgehen analog.

Aus technischen Gründen muss ich hier den letzten Schritt als ersten nennen. Denn er erfordert, dass Sie ein Tool herunterladen. Beim Herunterladen des Tools werden aber Cookies gesetzt. Genau diese Cookies würden das Bild unseres Cookie-Tests verfälschen. Deswegen sollte das Tool jetzt heruntergeladen werden, bevor wir die Cookies im Browser allesamt löschen werden.

Cookie-Plugin herunterladen

Der Firefox Browser bietet im Standard keine Möglichkeit an, alle Cookies anzuzeigen, die im Browser-Speicher vorhanden sind.

Glücklicherweise gibt es ein Add-on als Plugin für den Browser. Das Add-on heißt Cookie Manager. Einfach die Webseite zum Add-on aufrufen und das Plugin installieren.

Jetzt kann es mit dem eigentlichen Cookie-Test losgehen.

Alle Cookies löschen

Zunächst müssen alle Cookies im Browser gelöscht werden. Wir wollen schließlich Beifang vermeiden, also Cookies, die von anderen Webseiten gespeichert wurden. Dazu im Firefox auf das Menü mit den drei Strichen klicken. Dieses Menü ist bei mir rechts oben.

Dann im Menü den Menüpunkt Einstellungen anklicken.

Daraufhin erscheinen in einem neuen Fenster die Einstellmöglichkeiten des Firefox Browsers. Dort wählen wir Datenschutz & Sicherheit.

Im Hauptbereich etwas nach unten scrollen, bis der Abschnitt Cookies und Website-Daten zu sehen ist.

Ein Klick auf den Button Daten entfernen… öffnet den folgenden Dialog:

Die beiden Ankreuzfelder sind angewählt. Das soll auch so bleiben. Ein Klick auf den Button Leeren entfernt alle Cookies in Ihrem aktuellen Browser-Profil aus dem aktuell genutzten Browser. Dass es mehrere Browser-Profile geben kann, ist an dieser Stelle unwichtig (falls es aber mehrere Profile gibt, sollte ein bestimmter Cookie-Test natürlich immer im selben Profil stattfinden). Haben Sie noch nie etwas von Browser-Profilen gehört, dann haben Sie wahrscheinlich auch nur eines und müssen sich nicht weiter darum kümmern.

Nun ist Ihr Browser also frisch und enthält keine Cookies mehr. Sie werden es beim Aufruf von früher schon besuchten Webseiten merken. Dann müssen Sie sich nämlich jedes Mal wieder neu anmelden, etwa am Online Shop.

Webseite aufrufen

Sicher haben Sie sich überlegt, welche bestimmte Webseite Sie überprüfen möchten. Genau diese eine Webseite und sonst keine rufen Sie nun auf. Haben Sie nach dem Löschen der Cookies eine andere Webseite aufgerufen, müssen Sie wieder alle Cookies löschen, bevor der Cookie-Test weitergehen kann. Ansonsten würde das Ergebnis verfälscht werden.

Auch darf vom Browser nicht selbständig eine Webseite geöffnet worden sein. Beispielsweise passiert das, wenn ein neuer Karteireiter geöffnet wird und die Browser-Einstellungen besagen, dass eine bestimmte Webseite (meist eine Suchmaschine oder Nachrichtenseite) geöffnet werden soll. Deaktivieren Sie diese Einstellung, wenn nötig.

Besuchen Sie also nun, direkt nachdem alle Cookies gelöscht wurde, die fragliche Webseite. Wir nennen diese Webseite X. Nun passiert Folgendes:

1. Die Webseite wird aufgerufen.
2. Die Webseite setzt eigene Cookies, beispielsweise für die Verwaltung angemeldeter Nutzer. Contao-Webseiten setzen anlasslos ein sogenanntes CSRF-Cookie zur Gefahrenabwehr.
3. Die Webseite lädt Dateien nach, die von der Webseite (bzw. vom Server, auf dem die Webseite gehostet wird) selbst verwaltet werden. Nicht selten wird Matomo als Statistik-Tool lokal eingebunden. Ist Matomo so konfiguriert, dass Cookies verwendet werden sollen, dann werden Matomo-Cookies gesetzt, die der Domäne der Webseite zuzuordnen sind (Domäne = Hauptadresse der Webseite. Bei Webseite xyz9873.de/kontaktformular lautet die Domäne xyz9873.de)
4. Die Webseite lädt Dateien von Dritt-Servern nach, beispielsweise Google Analytics oder den Facebook Pixel. Sofern diese nachgeladenen Dateien selber Cookies nutzen, werden auch diese in Ihrem Endgerät gespeichert.
5. Die Webseite bindet ein Consent Management Tool ein (was oft nicht nötig ist, was wiederum viele nicht wissen). Dieses sogenannte Cookie-Tool speichert nicht selten Cookies, ohne dass Sie als Besucher der Webseite irgendetwas angeklickt haben.

Soviel zu den Cookies, die direkt feststellbar sind, wenn Sie eine Webseite einfach nur aufrufen. Wie diese Cookies exakt festgestellt werden können, beschreibe ich gleich.

Interaktive Cookies

Zunächst müssen wir uns aber mit ein paar Feinheiten des Webseitenbesuchs auseinandersetzen.

Wie man sich leicht vorstellen kann, werden manche Cookies erst erzeugt und gespeichert, nachdem eine Interaktion mit der Webseite stattgefunden hat. Auch gibt es manche Webseiten, die zeigen ein sogenanntes Störer-Popup an, nachdem Sie als Besucher der Webseite heruntergescrollt haben oder wenn Sie seit mindestens 30 Sekunden auf der Seite sind.

Diese Art von Cookies nenne ich hier interaktive Cookies. Der Begriff stammt von mir. Er dient zur Veranschaulichung der Cookie-Thematik.

Einwilligungspflichtige Dienste

Der wohl häufigste Fall interaktiver Cookies entsteht aufgrund eines sogenannten Cookie-Popups. In der Theorie soll es so sein: Wenn Sie im Cookie-Popup allen Cookies zustimmen, dann werden alle möglichen Cookies in Ihrem Browser gespeichert. Wenn Sie hingegen nicht zustimmen, dann werden keine Cookies gespeichert, die technisch nicht notwendig sind. Die Praxis sieht anders aus. Cookie-Tools funktionieren fast immer nicht, würde ich aus Erfahrung sagen wollen. Jedenfalls führen Sie fast immer nicht zu rechtskonformen Webseiten, würde ich hiermit ebenfalls feststellen wollen. Das soll hier aber egal sein.

Wenn Sie alle Cookies finden möchten, die eine Webseite setzt, müssen Sie sich entscheiden, ob dies auch einwilligungspflichtige Cookies beinhaltet. Einwilligungspflichtig sind Cookies, die technisch nicht notwendig sind. Dass es auch andere Zugriffsarten neben Cookies gibt, die als äquivalent anzusehen sind, soll hier nicht weiter betrachtet werden (wer mehr wissen möchte, hier ein Beispiel: Auslesen des Viewports via Javascript-Routine).

Möchten Sie also auch die Cookies finden und nachweisen, die laut Betreiber der Webseite einwilligungspflichtig sind, dann müssen Sie das erscheinende Cookie-Popup auf Webseite X entsprechend bestätigen.

Nun geht es darum, alle Seiten zu finden, die besondere Funktionen bereitstellen. Diese Funktionen könnten nämlich Cookies nutzen.

Kontaktformulare und Newsletter

Viele Webseiten nutzen ein Newsletter-Tool oder einen Dienst für Kontaktformulare.

Leider wissen Sie a priori nicht direkt, wo diese Formulare auf einer Webseite zu finden sind. Sicher finden Sie Hinweise im Menü der Webseite. Oft verbirgt sich hinter dem Menüpunkt Kontakt ein Kontaktformular.

Die Möglichkeit, einen Newsletter zu abonnieren, ist oft recht prominent eingeblendet. Sie müssten also das Formular ausfüllen und absenden. Bei Bedarf können Testdaten genutzt werden, damit Ihre echte E-Mail-Adresse oder Ihr echter Name beim Cookie-Test nicht an die besuchte Webseite übermittelt werden.

Videos und andere Plugins

Oft sind Videos, interaktive Karten, Audio-Dateien für Podcasts oder andere Plugins nicht auf der Startseite einer Webseite eingebunden. Diese Tools nutzen aber oft Cookies, welche dann übrigens meist nicht notwendig und somit einwilligungspflichtig wären.

Daher sollten Sie auf der Webseite die Seiten finden, auf denen Videos oder Karten eingebunden sind. Für Videos beispielsweise wird ein Video Player verwendet. Dieser muss angeklickt werden, damit das Video abspielt. Beim Abspielen des Videos wiederum könnten Cookies gesetzt werden. Deswegen muss das Video von Ihnen abgespielt werden.

Ich gehe davon aus, dass ein Video Player Cookies direkt am Anfang eines Abspielvorgangs setzt, nicht aber nach 30 Sekunden. Das kann allerdings nicht ausgeschlossen werden. Hier wird eine Problematik des Cookie-Tests deutlich: Man kann nicht mit absoluter Sicherheit alle Cookies finden, aber mit hoher Wahrscheinlichkeit alle oder fast alle.

Wild herumklicken

Um möglichst alle Cookies auf einer Webseite zu finden, müssen alle Seiten der Webseite aufgerufen werden. Diese Seiten einer Webseite werden auch als Unterseiten bezeichnet. Im Englischen sind die Begriffe deutlicher unterscheidbar. Die Webseite heißt dort Website oder Homepage, die Unterseite heißt Page (als Anglizismen hier mal als Substantive geschrieben).

Öffnen Sie also alle erreichbaren Seiten der Webseite. Welche Seiten das sind, weiß eigentlich niemand. Aber das Menü einer Webseite hilft, die wichtigen Seiten zu finden.

Achten Sie darauf, dass Sie in derselben Domäne bleiben, die für die Webseite X relevant ist.

Blogs und andere Hauptinhalte

Oft haben Webseiten einen Link auf einen eigenen Blog. Hier gibt es drei Fälle: Der Blog hat eine komplett eigene Adresse, die ganz anders ist als die von Webseite X. Oder der Blog liegt technisch auf Unterseiten der Domäne von Webseite X. Oder der Blog liegt in einer Subdomäne der Webseite X.

Hier die drei Fälle am Beispiel:

• Domäne der Webseite X (hierfür sollen Cookies gefunden werden): xyz9873.de
• Fall 1: Blog der Webseite X hat eigene Adresse (= Domäne): dr-dsgvo.de
• Fall 2: Blog der Webseite X liegt auf Unterseiten: xyz9873.de/blog/ (sowie Unterseiten wie xyz9873.de/blog/artikel1 usw.)
• F all 3: Blog der Webseite X liegt in Subdomäne: blog.xyz9873.de

Rechtlich ist es oft so, dass Webseiten in Subdomänen von denselben Verantwortlichen betrieben werden wie die Webseite der Hauptdomäne. In diesem Fall kann eine Subdomäne zur Webseite X beim Cookie-Test berücksichtigt werden.

Eine komplett andere Adresse für einen Blog als für die besuchte Webseite X sollte getrennt betrachtet werden. Ansonsten kommt man schnell durcheinander.

Liegt ein Blog auf Unterseiten einer Webseite X, dann sollte der Cookie-Test unbedingt auch für diese Unterseiten ausgeführt werden.

In Blogs sollten mehrere Artikel aufgerufen werden. Ebenso sollte ein Kommentar zu einem Artikel über eine vorhandene Kommentarfunktion abgeschickt werden.

Oft gibt es eigene Autorenseiten. Ist in einem Blog-Artikel ein Autor genannt und mit einem Link auf einen Autorenseite versehen, dann sollte diese Autorenseite aufgerufen werden. Insbesondere bei WordPress-Seiten finden sich hier negative Überraschungen, wie beispielsweise Gravatare.

Spezialseiten

Wir sind noch nicht am Ende mit dem Cookie-Test (höchstens mental).

Viele Webseiten werden mit Content Management Systemen (CMS) wie WordPress oder Typo3 erstellt. Diese Webseiten haben Login-Seiten, die oft öffentlich aufrufbar sind. Rufen Sie diese Login-Seiten auf. Hier am Beispiel der Domäne xyz9873.de die relevanten Adressen:

• WordPress: xyz9873.de/wp-admin
• Typo3: xyz9873.de/typo3
• Joomla: xyz9873.de/administrator/
• Drupal: xyz9873.de/user/login

Wenn Sie nicht wissen, welches CMS eingesetzt wird, rufen Sie die genannten Pfade (/wp-admin und /typo3) eben alle auf. Es gibt mehrere Möglichkeiten, herauszufinden, welches CMS eine Webseite verwendet:

1. Quellcode ansehen. Dazu an einer „leeren“ Stelle auf der Webseite rechtsklicken. Dann im Popup-Menü auf „Seitenquelltext anzeigen“ klicken. Im Quellcode steht oft am Anfang ein HTML-Tag mit dem Namen „generator“. Das sieht beispielsweise so aus:

2. Meinen Webseiten-Scanner verwenden. Nach Eingabe einer Webseitenadresse und Start des Scanners ist im Ergebnis im Abschnitt Statistik das erkannte CMS ausgewiesen:

Im Internet kann man für andere Systeme als WordPress und Typo3 herausfinden, welche Adresse die Login-Seiten haben. So können Sie den Cookie-Test auf die Spitze treiben.

Mein Webseiten-Scanner prüft die genannten Spezialseiten selbständig. Dazu ermittelt meine Software vorab, welches CMS von einer Webseite verwendet wird.

404-Seite

404 ist der HTTP-Code für „Seite nicht vorhanden“. Oft sind diese 404-Seiten speziell ausgeprägt. Nicht selten enthalten sie beispielsweise keinen Link auf die Datenschutzhinweise, was rechtswidrig sein kann.

Rufen Sie für die Webseite X mit der Domäne xyz9873.de folgende Pfade auf:

• Hinterlegte 404-Seite: xyz9873.de/404
• Absichtlich falsch geschriebene Adresse, die garantiert nicht existiert: xyz9873.de/4711-dsgvo-cookie-test

Webseiten-Scanner nutzen

Der Webseiten-Scanner eignet sich nicht nur, um das Webseiten-System herauszufinden. Er kann auch verwendet werden, um die vorhandenen und öffentlich erreichbaren Unterseiten einer Webseite zu erkennen.

Mein kostenfreier DSGVO-Scanner liefert bereits einige Unterseiten, die Sie durchklicken können. Hier ein Auszug aus dem Ergebnis des DSGVO-Checks, das Sie erhalten, wenn Sie im Ergebnisbild des Scanners auf den Button „Mehr Details anzeigen“ klicken.

Die Domäne der geprüften Webseite habe ich im Screenshot der Fairness halber unkenntlich gemacht.

Mit dem kostenpflichtigen Scanner werden noch mehr Unterseiten gefunden, sofern vorhanden.

Cookies feststellen

Jetzt ist es an der Zeit herauszufinden, welche Cookies Sie beim Besuch der Webseite X eingesammelt haben. Am Anfang dieses Beitrags hatte ich beschrieben, wie das Add-on Cookie Manager installiert werden kann. Das haben Sie hoffentlich getan.

Öffnen Sie den Cookie Manager. Dazu einfach auf das folgende Symbol klicken, welches sich rechts oben in der Browser-Leiste befinden:

Dann den ersten Menüpunkt anklicken:

Gleich ist es soweit. Wir sehen gleich alle Cookies, die wir uns beim Besuch der Webseite X eingefangen haben.

Der Cookie Manager zeigt einen Suchdialog für Cookies an:

Einfach in das erste Feld klicken und die Enter-Taste drücken. Oder direkt auf den etwas schwer erkennbaren Button „Search Cookies“ in der rechten Bildhälfte klicken.

Schon erscheinen sämtliche Cookies, die aufgrund des Besuchs der Webseite X im Endgerät des Nutzers gespeichert wurde. Das ganze sieht dann so aus:

Einige Angaben habe ich aus Datenschutzgründen unkenntlich gemacht.

Fazit

Ein Cookie-Test basiert im Wesentlichen auf folgenden Aktivitäten:

1. Cookies im Browser löschen.
2. Zu prüfende Webseite aufrufen.
3. Alle Unterseiten der Webseite aufrufen.
4. Interaktionen auf der Webseite ausführen: Videos abspielen, Formulare ausfüllen und abschicken, ggf. Einwilligung in „Alles“ erteilen.
5. Cookies feststellen.

Mit einem Webseiten-Scanner wie meinem können zumindest die Cookies automatisiert festgestellt werden, die ohne Interaktion des Nutzers gesetzt werden. Cookies, die erst nach Einwilligung gespeichert werden, können im Einzelfall auch automatisiert erkannt werden. Dazu wertet mein Webseiten-Check die Schnittstelle von Consent Management Plattformen (CMPs) aus.

Zuverlässig können Cookies, die erst aufgrund einer Nutzeraktion gespeichert werden, aber nur festgestellt werden, wenn man die Webseite möglichst vollumfänglich mit Interaktionen und Eingaben stresst.

Ob ein Cookie technisch notwendig ist, kann pauschal so beantwortet werden. Ist ein Cookie nämlich nicht technisch notwendig, dann muss dafür eine Einwilligung abgefragt werden.

Im Zweifel ist ein Cookie technisch nicht notwendig. Die offensichtlichen Zwecke, für die ein Cookie als technisch notwendig angesehen werden können, sind:

• Nutzerverwaltung: Ist ein Administrator oder Redakteur angemeldet? Derartige Cookies sind aber anlasslos nicht notwendig. Wenn keine Anmeldeseite aufgerufen wird, muss auch kein solches Cookie gesetzt werden.
• Warenkorbverwaltung: Siehe Online Shops
• Sicherheits-Cookie: Ein CSRF-Cookie ist aber nur für angemeldete Nutzer sinnvoll und somit nur dann einwilligungsfrei. Ansonsten gibt es wohl nur Sicherheits-Cookies von CDNs, die ohne Einwilligung erlaubt sein könnten. Diese müssten dann aber eine sehr kurze Lebensdauer haben. Zudem sind viele CDNs wie Cloudflare in Gänze selbst einwilligungspflichtig.
• Spracheinstellung oder sonstige Konfiguration durch den Nutzer: Erst notwendig, nachdem der Nutzer eine Sprache oder sonstige angebotene Konfiguration gewählt hat.
• Gesetzlich quasi vorgeschriebene Cookies: Hierzu könnte man VG Wort Cookies zählen
• Statistik-Cookies: Wenn überhaupt, dann aber nur mit einer sehr kurzen Lebensdauer, etwa für eine Sitzung. Ich weiß aus Erfahrung, dass sehr gute Besucherstatistiken auch ohne jeglichen Cookie-Einsatz möglich sind. Somit ist das mildere Mittel in der Praxis für alle Fälle nachgewiesen, die meinem Anwendungsfall entsprechen oder weniger Anforderungen haben.
• Plattform-Cookies: Programmiersprachen wie PHP oder ASP nutzen oft ein (harmloses) Cookie, um eine Sitzung zu verwalten. Eine Sitzung ist hier aber jede Art von Besuch einer Webseite und rein technisch zu verstehen. Diese Cookies sind nicht notwendig und können durch technische Konfiguration des Web Servers entfernt werden. Dennoch sind sie in den Augen vieler (noch) als einwilligungsfrei anzusehen.

Falls ich eine Kategorie vergessen habe, bitte kurze Info per Nachricht oder als Kommentar unter diesem Beitrag.

Hier noch ein Auszug aus einem Datenschutzbericht, wie ihn mein DSGVO-Check für Webseiten liefert.

Anhand einer Wissensdatenbank und technischer Kriterien erkennt die Software recht zuverlässig, welche Cookies technisch nicht notwendig sind. In grüner Farbe gedruckt sind die als harmlos angesehenen Cookies. In oranger Textfarbe sind die möglicherweise unkritischen Cookies dargestellt. Die rote Textfarbe hingegen heißt nichts Gutes.

Demnächst werde ich anhand einer populären Webseite gemäß dieser Anleitung Cookies finden und dem Verantwortlichen mein Ergebnis mitteilen. Das Vorgehen werde ich zu Anschauungszwecken dokumentieren. Ein Bild sagt mehr als tausend Worte …