Zählpixel

Zählpixel (engl. Tracking Bug oder Web Bug; auch deutsch Web-Wanze, Tracking-Pixel, IVW-Pixel, ivwbox, Pixel-Tag, Pixelmethode, Ein-Pixel-Bild, 1×1 gif, Clear gif oder Web Beacon) sind kleine Grafiken in HTML-E-Mails oder auf Webseiten, die eine Logdatei-Aufzeichnung und eine Logdateianalyse ermöglichen, die oft für statistische Auswertungen verwendet werden.

Technik

Ablauf des Zahlpixel-Verfahrens

Die meist nur 1×1 Pixel messenden Bilder sind häufig auch transparent oder in der Farbe des Hintergrundes erstellt, damit sie nicht sichtbar sind. Wird ein Dokument geöffnet, dann wird dieses kleine Bild von einem Server im Internet geladen, wobei das Herunterladen dort registriert wird. So kann der Betreiber des Servers sehen, wann und wie viele Nutzer diesen Zählpixel anforderten bzw. ob und wann eine E-Mail geöffnet oder eine Webseite besucht wurde.

Private Betreiber einer Webseite können durch das Einbinden eines Zählpixels ohne Zugriff auf die Logdateien des Servers Informationen über die Besucher erhalten. So werden auf zahlreichen Internetseiten Zähler (Counter) verwendet, die auf demselben Prinzip aufbauen, aber bei jedem neuen Besucher ein neues „Bild“, d. h. eine um eins erhöhte Zahl, darbieten.

Meist wird die Funktion durch einen JavaScript-Aufruf realisiert, dennoch wird weiterhin der Begriff Zählpixel verwendet.

Beispiel

Beispiel des Zählpixels aus Piwik wie es in einem HTML-Quelltext eingebaut ist.

<script type="text/javascript">
 var pkBaseURL = (("https:" == document.location.protocol) ? "https://demo.piwik.org/" : "http://demo.piwik.org/");
 document.write(unescape("%3Cscript src='" + pkBaseURL + "piwik.js' type='text/javascript'%3E%3C/script%3E"));
</script><script type="text/javascript">
try {
 var piwikTracker = Piwik.getTracker(pkBaseURL + "piwik.php", 1);
 piwikTracker.setCookieDomain('*.piwik.org');
 
 if(document.domain != 'piwik.org') {
  piwikTracker.setDocumentTitle(document.domain + "/" + document.title);
}
// Set the domain the visitor landed on, in the Custom Variable
if(!piwikTracker.getCustomVariable(1)) { 
 piwikTracker.setCustomVariable(1, "Domain landed", document.domain );
}
piwikTracker.trackPageView();
piwikTracker.enableLinkTracking();
} catch( err ) {}
</script>
<noscript><p><img src="http://demo.piwik.org/piwik.php?idsite=1" style="border:0" alt="" /></p></noscript> // Zusätzliches echtes Pixel für User mit deaktiviertem JavaScript

Kritik

Das Zählpixel gibt dem Serverbetreiber Zugriff auf zahlreiche personenbezogene Daten und ist datenschutzrechtlich umstritten

• Bewegungsprofil der gesamtem Session
• welchen Browser und welches Betriebssystem der Empfänger verwendet,
• welche IP-Adresse der Empfänger hat; damit seinen Internetdienstanbieter und mithilfe von Geotargeting möglicherweise sogar seinen Wohnort.
• bei Email:ob und wann die E-Mail geöffnet wurde

Versender von Spam können (sofern der Mail-Client des Empfängers eine entsprechende Sicherheitslücke aufweist) durch Einbau eines Zählpixels in die E-Mail ermitteln ob eine E-Mail-Adresse überhaupt gültig ist.

Bei der Ausnutzung von Cross-Site-Scripting-Schwachstellen wird häufig ein ähnliches Verfahren verwendet, um die Session-ID des Opfers an den Server des Angreifers zu übertragen.

Gegenmittel

• Wird eine E-Mail oder Webseite offline gelesen, kann die Grafik des Zählpixels nicht vom Server geladen werden und dort also auch nicht registriert werden.
• Man kann auch entweder ein Mailprogramm benutzen, das keine HTML-E-Mails unterstützt bzw. sie nicht anzeigt, oder dem Mailprogramm per Firewall nur restriktive Zugriffsrechte ins Internet gestatten. Mittlerweile gibt es in einigen Mailprogrammen auch die Möglichkeit, externe Grafiken nur nach Bestätigung anzeigen zu lassen.
• Geeignete Browsererweiterungen machen Zählpixel sichtbar. Beim Internet Explorer kann Bugnosis verwendet werden, für Firefox existiert das Greasemonkey-Skript Web Bug Detector. Erkannte Zählpixel können danach mit Filterprogrammen wie z. B. Adblock blockiert werden.
• Ebenso lassen sich mit Browsererweiterungen Zugriffe auf Drittserver generell unterbinden oder mit einer Whitelist steuern. Da die Zählpixel üblicherweise auf anderen Servern liegen als die Seiteninhalte, werden diese dann vom Browser gar nicht erst angefragt.
• im HTTP-Verkehr lokal zwischengeschaltete Proxys können Zählpixel unter Umständen erkennen und den Abruf unterbinden. (Privoxy, Proxomitron/Proximodo, Webwasher)

Siehe auch

• HTTP-Cookie
• Informationsgemeinschaft zur Feststellung der Verbreitung von Werbeträgern (IVW)
• Webcontrolling

Weblinks

• Telepolis-Artikel – Nach den Cookies die Web Bugs
• Heise-Artikel – „Web Bugs“ bedrohen Privatsphäre
• Kritische Betrachtung der Datensammlung durch IVW-Boxen
• Erklärung und Ablauf des Zählpixel-Verfahrens