Tracking & Einwilligung

Entropiereiche ETags als Tracking-Kennung nutzbar

Üblicher Schweregrad: mittel · Aufwand: gering

Woran du es erkennst

Antworten tragen ETag-Werte mit hoher Entropie pro Besucher (eindeutig je Nutzer statt je Ressourcen-Version); über die Cache-Revalidierung wirken solche ETags als dauerhafte Kennung, die der Server bei jeder bedingten Anfrage zurückliest.

Warum es zählt

Ein ETag, das das Löschen von Cookies überlebt und einen Besucher eindeutig benennt, ist eine gespeicherte Kennung im Endgerät im Sinne des § 25 TTDSG — „cookieloses" Tracking über Cache-Kopfzeilen ist als einwilligungspflichtig dokumentiert und unterläuft jede Ablehnung, die der Betroffene erklärt.

So behebst du es

  1. Prüfe, ob sich die ETag-Werte für dieselbe Ressource je Besucher unterscheiden; wenn ja, personalisiert der Server oder eine vorgelagerte Schicht die Cache-Marken.
  2. Setze ETags als reine Inhalts-Prüfsummen der Ressource, niemals mit Sitzungs- oder Nutzerdaten versalzen; bei personalisierten Antworten ETag entfernen und `Cache-Control: no-store` setzen.
  3. Prüfe CDN- und Proxy-Schichten, die ETag-Kopfzeilen mitunter unabhängig von der Anwendung ergänzen oder umschreiben.

Zum Nachlesen