Tracking & Einwilligung

CNAME-Verschleierung per DNS-Messung belegt

Üblicher Schweregrad: hoch · Aufwand: mittel

Woran du es erkennst

Eine First-Party-Subdomain der Seite zeigt per CNAME-Eintrag direkt auf den Host eines bekannten Tracking-Anbieters — per DNS gemessen, nicht aus Heuristiken vermutet. Anfragen an die vermeintlich eigene Subdomain landen also beim Tracker, wirken aber wie ein eigener Dienst.

Warum es zählt

CNAME-Verschleierung tarnt einen Dritt-Tracker als eigene Infrastruktur: Sie umgeht Blockierer und Dritt-Cookie-Beschränkungen, doch die Daten fließen weiterhin an den Anbieter. Alle Pflichten zu Einwilligung, Auftragsverarbeitung und Datenschutzerklärung gelten unverändert — und weil der Alias wie eigene Infrastruktur aussieht, entgeht der Datenfluss regelmäßig sowohl Besuchern als auch internen Prüfungen.

So behebst du es

  1. Benenne den Anbieter hinter dem Alias (das CNAME-Ziel verrät ihn) und behandle die Subdomain als das, was sie ist: einen Tracker-Endpunkt eines Dritten.
  2. Stelle alle Anfragen an die verschleierte Subdomain hinter eine Einwilligung, schließe einen AVV mit dem Anbieter, falls keiner besteht, und nenne den Empfänger in der Datenschutzerklärung.
  3. Prüfe, den verschleierten Endpunkt durch eine einwilligungsbewusste serverseitige Anbindung unter eigener Kontrolle zu ersetzen oder ganz zu entfernen — Verschleierung dient dem Umgehen der Besucherwahl und ist nach DSGVO kaum zu rechtfertigen.

Zum Nachlesen