Tracking-Pixel: Sieht der Absender, dass ich geöffnet habe?

Was ein Tracking-Pixel wirklich ist

Es steckt keine besondere Technik dahinter, und genau deshalb ist es überall. Es sind drei gewöhnliche Dinge, die zusammenwirken:

Ein Bild, das niemand sehen soll

Meist ein Pixel groß und transparent, oder ein Abstandshalter, der wie Teil des Layouts aussieht. Wie das Bild aussieht, spielt keine Rolle; es existiert, um abgerufen zu werden.

Eine URL, die ausschließlich Ihnen gehört

Die Adresse dieses Bildes trägt eine Kennung, die einzig für das an Sie gesendete Exemplar der Nachricht gilt. Öffnen zwei Menschen denselben Newsletter, rufen sie zwei unterschiedliche URLs ab.

Eine Anfrage, die den ganzen Zweck erfüllt

Ihr Mail-Programm fragt den Server des Absenders nach diesem Bild. Der Server muss nicht sinnvoll antworten – er muss nur festhalten, dass er gefragt wurde, von wem und wann.

Nichts wird installiert, nichts ausgeführt, und keine Regel wird gebrochen. Es ist das gewöhnliche Verhalten eines Mail-Programms beim Anzeigen eines Bildes, verwandelt in ein Signal.

Was eine einzige Anfrage dem Absender verrät

Mehr, als die meisten von einem Bild erwarten würden, und es kommt an, ob Sie antworten oder nicht:

• Dass die Adresse aktiv ist und von einem Menschen gelesen wird. Die wertvollste Tatsache von allen: Sie hebt die Adresse von einer Liste zu einem bestätigten Ziel, und bestätigte Adressen werden verkauft und weiterverwendet.
• Wann Sie es geöffnet haben – auf die Sekunde genau, und jedes Mal, wenn Sie es erneut öffnen. Eine Nachricht dreimal in einer Woche zu öffnen sind drei Datenpunkte über Ihre Gewohnheiten.
• Ihre IP-Adresse, und damit ungefähr, wo Sie sich befinden und in welchem Netz. Keine Straße, meist eine Stadt und ein Provider.
• Ihr Gerät und Ihr Mail-Programm, aus dem User-Agent, den die Anfrage mitträgt.
• Dass die Nachricht weitergereicht wurde, wenn dieselbe eindeutige URL von zwei sehr unterschiedlichen Orten abgerufen wird – so sieht eine Weiterleitung von außen aus.

Was es ihnen nicht verrät

Hier lohnt sich Genauigkeit, denn die Angst ist meist größer als die Tatsache:

Nicht, wer Sie sind

Ein Pixel identifiziert die Nachricht, nicht die Person. Was sie mit einem Namen verknüpft, ist die Adresse, an die sie ging – und genau das verweigert eine Wegwerf-Adresse.

Nicht, was Sie als Nächstes taten

Ob Sie eine Nachricht öffnen, sagt nichts darüber aus, ob Sie sie gelesen, ihr geglaubt oder danach gehandelt haben. Das sagt nur ein Klick.

Gar nichts, wenn es nie lädt

Ein nicht abgerufenes Pixel hinterlässt keinen Eintrag. Es gibt kein Ausweichsignal, keinen erneuten Versuch und keinen zweiten Kanal – Stille ist nicht von einer nie zugestellten Nachricht zu unterscheiden.

Wie dieses Postfach damit umgeht

Externe Bilder sind blockiert, sobald eine Nachricht geöffnet wird, und Sie schalten sie mit einem Klick für die Nachricht vor sich ein. Erklärenswert ist das Wie, denn genau das macht es verlässlich:

Der Nachrichtentext ist HTML, geschrieben von einem Fremden, und wird deshalb nicht direkt in der Seite gerendert. Er wird von einer eigenen Adresse aus in einen gesandboxten Frame ausgeliefert, unter einer eigenen Richtlinie – und genau diese Richtlinie blockiert die Bilder:

Content-Security-Policy: default-src 'none'; style-src 'unsafe-inline';
                         img-src data:; media-src 'none'; font-src 'none';
                         script-src 'none'; form-action 'none';
                         frame-ancestors 'self'; base-uri 'none';
                         sandbox allow-popups allow-popups-to-escape-sandbox

Die entscheidende Weichenstellung ist, per Richtlinie zu blockieren statt die Nachricht zu bearbeiten. HTML umzuschreiben bedeutet, jedes Attribut zu finden, das etwas laden kann – src, srcset, background, eine URL in einer Stilregel –, und eines zu übersehen unterläuft still die ganze Übung. Eine Richtlinie muss nichts finden: Nichts darf geladen werden, außer es ist namentlich erlaubt, und erlaubt ist nur data:.

Eingebettete Bilder werden trotzdem angezeigt

img-src data: ist immer erlaubt, weil ein Bild, das in der Nachricht selbst mitgeliefert wird, niemanden um etwas bittet. Deshalb erscheinen manche Bilder auch bei aktivierter Blockierung.

Sonst darf gar nichts laden

Keine Skripte, keine externen Schriftarten, kein Video, keine verschachtelten Frames, keine Formularübermittlungen. Eine vom Absender gehostete Schriftart ist eine Tracking-Anfrage wie jede andere und wird ebenfalls blockiert.

Ein blockiertes Bild hinterlässt eine Spur

Ein dezent schraffiertes Feld, damit eine Nachricht mit fehlendem Bild nicht kaputt wirkt – und nur, wenn die Blockierung aktiv ist, sodass ein echtes Bild nie auf schraffiertem Hintergrund erscheint.

Der Frame ist zusätzlich gesandboxt, was einen anderen Zweck schützt: Die Richtlinie hindert die Nachricht daran, nach außen zu greifen, die Sandbox hindert sie daran, nach innen zu greifen. Keines der beiden hängt davon ab, dass das andere richtig funktioniert.

Was andere Postfächer dagegen tun

Blockieren ist nicht der einzige Ansatz, und welchen Ihr anderes Postfach wählt, entscheidet, was ein Absender tatsächlich von Ihnen erfährt. Es gibt drei, und sie schützen Sie sehr unterschiedlich gut:

Das Bild stellvertretend für Sie abrufen

Der Webmail-Anbieter ruft jedes externe Bild selbst ab und liefert Ihnen eine Kopie. Der Absender sieht eine Anfrage vom Anbieter statt von Ihnen, sodass Ihre Adresse und Ihr Standort außen vor bleiben – aber das Öffnen wird trotzdem erfasst, und zwar in dem Moment, in dem die Nachricht angezeigt wird.

Alles abrufen, für alle

Manche Programme laden den Inhalt jeder ankommenden Nachricht vorab, ob sie geöffnet wird oder nicht. Das schützt Sie von den drei Varianten am stärksten: Ein Pixel, das bei jeder Nachricht auslöst, verrät dem Absender nicht, welche davon gelesen wurden. Das ist auch, warum Öffnungsraten kaum noch etwas bedeuten.

Blockieren und nachfragen

Was die meisten Desktop-Programme tun und was auch hier passiert: Nichts Externes lädt, bis Sie es erlauben. Der Unterschied ist, dass ein Proxy für Sie entscheidet und dies hier nicht – die Anfrage wird einfach nicht gestellt, solange Sie es nicht selbst tun.

Keine der drei Varianten verlangt etwas vom Absender, und keine lässt sich von außen mit Sicherheit erkennen. Das lohnt sich auch andersherum zu bedenken: Wer selbst Mails versendet und Öffnungsraten liest, sieht bei einem großen Teil der Öffnungen einen Proxy, und ein großer Teil der Nicht-Öffnungen sind Menschen, die die Nachricht mit ausgeschalteten Bildern gelesen haben.

Der Tracker, den blockierte Bilder nicht aufhalten

Jeder Link in einer kommerziellen Nachricht kann dieselbe Kennung tragen wie das Pixel, und meist tut er das auch. Die Adresse, die Sie sehen, ist nicht immer die Adresse, die Sie besuchen: Ein Klick landet oft zuerst bei einem Umleiter, der den Klick festhält und Sie dann weiterleitet.

Das wiegt schwerer als das Pixel, in beide Richtungen. Ein Klick beweist, dass ein Mensch die Nachricht gelesen und sich zum Handeln entschieden hat – das ist für einen Absender weit mehr wert als ein Öffnen, und anders als ein Öffnen liegt es vollständig in Ihrer Hand.

• Lesen Sie das Ziel, bevor Sie klicken. Mit der Maus darüberfahren oder lange gedrückt halten: Ein Link, dessen sichtbarer Text und tatsächliches Ziel nicht übereinstimmen, ist schon für sich verdächtig.
• Tippen Sie das Ziel selbst ein, wenn es sich um eine Seite handelt, die Sie bereits kennen. Niemand muss Sie zu Ihrer eigenen Kontoseite schicken.
• Klicken Sie nie auf „Abbestellen“ bei Mail, die Sie nie abonniert haben. Bei echtem Marketing funktioniert das; bei einer Nachricht an eine erratene Adresse ist es eine Antwort, und sie bestätigt genau das, was das Pixel wissen wollte.

Links öffnen hier in einem eigenen Tab und tragen keinen Referrer, sodass das Ziel nicht erfährt, welche Nachricht Sie geschickt hat. Das schützt das Postfach – nicht den Klick selbst.

Lesebestätigungen, und warum hier nie eine gesendet wird

Manche Nachrichten fragen unverblümt: ein Header, der Ihr Mail-Programm bittet, Zustellung oder Lesen zu bestätigen. In einem gewöhnlichen Programm ist das ein Dialogfenster, und die höfliche Antwort ist oft die falsche.

Hier stellt sich die Frage gar nicht erst. Dieser Dienst empfängt nur – es gibt überhaupt keinen Versandweg, sodass eine Anfrage nach einer Bestätigung nichts hat, womit sie beantwortet werden könnte. Es ist keine Einstellung, die versehentlich aktiviert werden könnte; die Funktion existiert schlicht nicht.

Die Nur-Text-Version ist die stillste Art zu lesen

Fast jede formatierte Nachricht trägt neben dem HTML eine Nur-Text-Kopie mit – Absender fügen sie hinzu, weil manche Programme sie brauchen. Sie hat keine Bilder, keine Stile und keine Möglichkeit, irgendetwas zu laden, sodass ihr Lesen genau null Anfragen erzeugt.

Das Postfach bietet sie unter der Nachricht an. Für einen Bestätigungscode oder einen erwarteten Link ist sie meist nicht nur die stillere, sondern auch die schnellere Lektüre.

Was die Adresse selbst preisgibt

All das oben Genannte betrifft eine einzelne Nachricht. Die Adresse betrifft sie alle, und sie ist mit Abstand das stärkere Signal:

• Eine überall verwendete Adresse verknüpft alles miteinander. Zwei Unternehmen mit derselben Adresse besitzen dieselbe Kennung, ob sie sich je austauschen oder nicht. Ein Datenhändler, der beide Listen kauft, lebt vom Vergleichen.
• Eine Wegwerf-Adresse verweigert genau den Teil, der Sie identifiziert, weshalb ein Pixel, das von dort auslöst, dem Absender weit weniger verrät als dasselbe Pixel in Ihrem echten Postfach.
• Eine eigene Adresse pro Dienst macht aus einem Leck einen Namen. Trifft Mail an der Adresse ein, die nur ein einziges Unternehmen je hatte, wissen Sie, welches.

Die Anleitung zum Anmelden ohne Ihre echte Adresse behandelt diese Gewohnheit ausführlich, einschließlich des Alias – einer zweiten Adresse, die das Postfach erreicht, es aber nicht lesen kann.

Fünf Gewohnheiten, die wirklich weniger preisgeben

1. Lassen Sie Bilder aus. Sie sind hier standardmäßig deaktiviert; sie für eine Nachricht einzuschalten, wenn Sie sie brauchen, ist eine Entscheidung, kein Standard.
2. Lesen Sie die Nur-Text-Version, wenn die Nachricht ein Code, ein Link oder eine Bestätigung ist. Sie kann nichts laden.
3. Behandeln Sie einen Klick als lauter als ein Öffnen, und tippen Sie bekannte Ziele selbst ein, statt ihnen zu folgen.
4. Nutzen Sie pro Dienst eine andere Adresse, und geben Sie den Alias weiter statt der Adresse.
5. Löschen Sie die Nachricht, wenn Sie fertig sind. Ohnehin verschwindet alles nach 5 Tagen, aber eine Nachricht, mit der Sie fertig sind, hat keinen Grund, dort liegen zu bleiben.

Nichts davon macht Sie unsichtbar, und wer das verspricht, verkauft Ihnen etwas. Es entfernt die einfachen Signale, und genau das liegt tatsächlich in Ihrer Hand.

Was diese Website über ein öffentliches Postfach speichert und wie lange, steht vollständig auf der Datenschutzseite – einschließlich des wichtigsten Satzes: Wer eine öffentliche Adresse kennt, kann sie lesen.

Fragen