3rd-Party-Cookie-Phase-Out: «Jetzt ist der Zeitpunkt, die APIs skaliert zu testen und Performance-Erkenntnisse zu teilen»

Der Grund für dieses exklusive Gespräch mit Lidia Schneck ist der Start der Privacy Sandbox für das Web, deren Relevance & Measurement APIs seit dem 8. September öffentlich verfügbar sind. Dieser Artikel vertieft die im Interview behandelten APIs und legt die Bewegründe von Google für die Lancierung der Sandbox nochmals offen. Zudem werden im Gespräch verschiedene Begrifflichkeiten geklärt.

werbewoche.ch: Warum hat Google bzw. Chrome beschlossen, Third-Party-Cookies abzuschaffen, obwohl sie ein erfolgreiches Geschäftsmodell darstellten?

Lidia Schneck: Die Entscheidung von Chrome basiert auf wachsenden globalen Bedenken der User:innen hinsichtlich ihrer Online-Privatsphäre, insbesondere darüber, wie ihre Aktivitäten über verschiedene Websites und Apps hinweg verfolgt werden. Im Jahr 2022 haben wir eine weltweite Studie durchgeführt, die zeigte, dass 80 Prozent der User:innen besorgt über ihre Online-Privatsphäre sind und 85 Prozent sich wünschen, dass Unternehmen in privacy-fokussierte Technologien investieren. Dies gestaltet sich jedoch schwierig, wenn viele Webfunktionen auf Technologien wie Third-Party-Cookies und anderen Cross-Site-Tracking-Mechanismen angewiesen sind, die nicht von vornherein mit einem Fokus auf Datenschutz entwickelt wurden.

Hätte es nicht ausgereicht, die Zustimmung der User:innen einzuholen?

Die Bereitstellung von Einstellungsmöglichkeiten zur Steuerung der Datennutzung ist ein wichtiger Schritt, um den Bedenken der Nutzer in Bezug auf den Online-Datenschutz Rechnung zu tragen. Dies allein reicht jedoch nicht aus, um die Herausforderung zu bewältigen, das seitenübergreifende User-Tracking einzuschränken. Wir glauben, dass die User:innen keine komplizierten Richtlinien zur Datennutzung über verschiedene Websites und Apps hinweg verstehen müssen, um ihre Aktivitäten im Internet privat zu halten. Stattdessen müssen wir ihnen Online-Erlebnisse bieten, die standardmässig privat sind, basierend auf Lösungen, die technische Schutzmassnahmen für die Privatsphäre bieten.

Wie entstand die Idee hinter der Privacy Sandbox?

Die Idee hinter der Privacy Sandbox entstand aus der Frage, wie die User:innen die Kontrolle über ihre Daten zurückgewinnen können, indem Cross-site Tracking reduziert wird und sie die Verwendung ihrer Daten besser verstehen und beeinflussen können. Die Privacy Sandbox ist darauf ausgerichtet, «private by default» zu sein, was bedeutet, dass Chrome auf technologischer Ebene den Schutz von Nutzerdaten sicherstellt, indem potenziell identifizierende Benutzermerkmale auf dem Endgerät des Nutzers (z. B. Smartphone oder Laptop) gespeichert werden und nicht an Dritte weitergegeben werden. Dadurch können Dritte, wie beispielsweise Ad-Tech-Plattformen, keine seitenübergreifenden Erkenntnisse über individuelle User:innen sammeln. Stattdessen verbleiben diese Daten bei den User:innen, die selbst festlegen können, welche Werbethemen für sie relevant sind oder von welchen Webseiten sie vorgeschlagene Werbung erhalten möchten.

Mit anderen Worten, Informationen über Interessensgebiete und Remarketing-Listen sind auf dem Endgerät der Userin oder des Users abgelegt und über die Chrome Einstellungen einsehbar. Der User kann unter anderem entscheiden, Themenfelder oder Anzeigenvorschläge von bestimmten Websites zu blockieren und so alle zugehörigen Daten zu löschen. Damit liegt die Kontrolle über die Verwendung seiner Daten beim User und nicht bei Drittanbietern, die die benutzerbezogenen Daten heute mit Hilfe von Third-Party-Cookies auf ihren eigenen Servern registrieren.

---

Lidia Schneck ist Strategic Partner Development Manager Google. Sie arbeitet im Privacy Partnerships Team bei Google, und ist für die Privacy Sandbox APIs von Chrome und Android unter anderem in den deutschsprachigen Ländern verantwortlich. Zuvor hat sie mehrere Jahre im Google Marketing Platform Team sowie im Google Ads Team werbetreibende Unternehmen bei der optimalen Nutzung der Technologien beraten.

Und wie manage ich das als User:in?

Auf der Webseite privacysandbox.com können sich alle Interessierten über die Initiative von Chrome informieren und mehr über die Privatsphäre wahrenden Funktionsweisen der APIs erfahren. In Chrome können sie dann ihre gewünschten Einstellungen vornehmen.

Wie kann effektive Werbung noch funktionieren, wenn Third-Party-Cookies wegfallen?

Diese Frage beschäftigt die Werbeindustrie in der Tat, da viele Anwendungsfälle heute noch auf Third-Party-Cookies basieren – sei es interessenbasierte Werbung, die Erstellung und Ansprache von Remarketing-Zielgruppen, oder die Messung des Kampagnenerfolgs inklusive View-through Conversions. Chrome hat die Entscheidung getroffen, Third-Party-Cookies nicht ohne valide Alternativen abzuschaffen und daher gemeinsam mit der Branche mehr als 20 neue technische Lösungen entwickelt. Die bekanntesten sind die Topics API für interessenbasierte Werbung, Protected Audiences API für die Erstellung von Zielgruppen sowie Remarketing-Anwendungen und Attribution Reporting API. Diese Technologien ermöglichen es, weiterhin interessenbasierte Werbung im Chrome-Browser und im Android-Betriebssystem auszuspielen, aber ohne auf Cross-Site-Identifier wie Third-Party-Cookies angewiesen zu sein, was ein großer Fortschritt für die Online-Privatsphäre der Nutzer ist.

Warum hat Chrome diese Entscheidung getroffen?

Die Entscheidung, gemeinsam mit der Branche datenschutzfreundliche Alternativen zu entwickeln, basiert auf der Erkenntnis, dass ohne alternative Lösungen verdeckte Tracking-Methoden wie das Fingerprinting zunehmen würden. Fingerprinting ermöglicht es den User:innen nicht, die Kontrolle über ihre Daten zu behalten oder Einstellungen vorzunehmen. Veränderungen, die sich auf die gesamte Branche auswirken – sei es die Einführung neuer Technologien oder die Abschaffung bestehender Technologien – müssen zudem offen erfolgen. Es liegt auch im Interesse der Werbeindustrie, valide Alternativen zu haben. Daher wird die Privacy Sandbox-Initiative sehr offen und kollaborativ durchgeführt. Die genannten APIs wurden unter Einbeziehung des Feedbacks aus der Industrie entwickelt, um sicherzustellen, dass nach dem Wegfall der Third-Party-Cookies weiterhin effektive digitale Werbung möglich ist, wobei der Datenschutz auf technischer Ebene gewährleistet bleibt. Chrome vertritt die Auffassung, dass Datenschutz und Leistungsfähigkeit koexistieren können und dass digitale Werbung diesen Ansprüchen gerecht werden kann, indem sie statt Cross-Site Identifiern auf zweckgebundene APIs setzt. Auf diese Weise soll auch ein offenes Web bewahrt werden, in dem Online-Inhalte und Dienste für alle zugänglich bleiben.

Was versteht man unter «Fingerprinting»?

«Fingerprinting» ist eine verdeckte Methode des Trackings, bei der für die User:innen keine Kontrollmöglichkeiten gegeben sind. Beim Fingerprinting werden verschiedene Merkmale der Hardware, Software und Netzwerkkonfiguration eines Users gesammelt, analysiert und mit weiteren Datenpunkten angereichert. Diese Merkmale können nicht einfach vom User zurückgesetzt werden. Daher ist Fingerprinting aus Sicht der User:innen noch problematischer als Third-Party-Cookies. Chrome spricht sich gegen Fingerprinting aus und investiert daher in alternative Technologien, um dem Markt bessere Optionen zur Verfügung zu stellen und die Anwendung solcher nutzerunfreundlichen Methoden zu vermeiden.

Darf ich Sie nun bitten, den Begriff des APIs in diesem Kontext zu erklären?

Gerne! In diesem Kontext steht «API» für Application Programming Interface, was so etwas wie eine Schnittstelle oder ein Zugriffspunkt ist, den Ad-Tech-Anbieter, Werbetreibende oder Publisher nutzen können, um bestimmte Informationen abzurufen. Das Wichtige an den Privacy Sandbox APIs ist, dass sie die Identität des Users schützen und die Datensammlung auf ein Minimum beschränken. Das bedeutet am Beispiel der Protected Audience API, dass nur die Daten, die wirklich für eine Werbeauktion benötigt werden, in geschützten Auktionsumgebungen verfügbar gemacht werden. Hierbei ist nicht mehr möglich, dass Dritte auf Benutzerebene Erkenntnisse gewinnen, wie es bei Third-Party-Cookies der Fall ist. Diese APIs fungieren sozusagen als Schutzschild für den User. Weitere Einzelheiten dazu finden sich im kürzlich veröffentlichten Artikel „How Privacy Sandbox raises the bar for ads privacy“.

Was hat der Schritt, weg von Third-Party-Cookies bei Chrome, für Publisher und Advertiser zur Folge?

Hierbei kann zwischen den Advertising APIs und den darüber hinausgehenden APIs unterschieden werden. Bei den Advertising APIs, wie Topics, Protected Audience oder Attribution Reporting, liegt die technische Implementierung nicht in der Verantwortung der Publisher oder Advertiser, sondern bei ihren Ad-Tech-Plattformen. Diese Plattformen integrieren die APIs als zusätzliche Bausteine in ihre bestehenden Produkte, um Use Cases abzudecken, die zuvor auf Third-Party-Cookies basierten. Diese Technologieanbieter stellen dann ihre Produkte unter Verwendung der Advertising APIs den Publishern und Advertisern zur Verfügung.

Und APIs, die über Advertising hinausgehen, wie Sie es eben nannten?

Im Gegensatz dazu gibt es weitere APIs wie zum Beispiel CHIPS oder Related Website Sets, die für In-House Entwicklerteams relevant sind und die in unserem Guide für Webseitenbetreiber näher beschrieben werden. Darin empfehlen wir Publishern und Advertisern, ihre Webseiten auf Third-Party-Cookies hin zu untersuchen und in Erfahrung zu bringen, welche Funktionalitäten von ihnen abhängig sind. Anhand der identifizierten Use Cases können sie im nächsten Schritt den Einsatz von Privacy Sandbox APIs oder alternativen Methoden prüfen. Bezüglich Third-Party-Cookies, die von eingebetteten Drittanbieter-Services auf ihren Domains gesetzt werden, sollten Publisher und Advertiser diese Drittanbieter kontaktieren, um sicherzustellen, dass deren Services rechtzeitig auf eine Funktionsweise ohne Third-Party-Cookies umgestellt werden. Es ist ratsam, sich bereits heute damit zu befassen, um für die geplante Abschaffung von Third-Party-Cookies im zweiten Halbjahr 2024 gut gerüstet zu sein.

Wie sollten Publisher und Advertiser angesichts dieser Veränderungen mit Ad-Tech-Anbietern umgehen?

Auch in diesem Fall ist meine Empfehlung für Publisher und Advertiser, Kontakt mit ihren bestehenden Ad-Tech-Plattformen aufzunehmen und nach deren Planung bezüglich der Privacy Sandbox-Initiative zu fragen. So können sie besser verstehen, wie sich die Ad-Tech-Anbieter auf den Betrieb ohne Third-Party-Cookies vorbereiten, und sie können über Testmöglichkeiten auf dem Laufenden gehalten werden.

Darüber hinaus gibt es auf GitHub für Topics, Protected Audience und Attribution Reporting Listen von sogenannten API-Testern. Hier haben sich einige der engagierten Ad-Tech-Plattformen öffentlich registriert und geben Auskunft darüber, mit welchem Teil ihres Unternehmens sie Tests durchführen oder planen, sei es DSP, SSP oder beides, sowie wie man Kontakt zu ihnen aufnehmen kann.

Das bedeutet, selbst wenn die bestehenden Ad-Tech-Anbieter, mit denen man zusammenarbeitet, noch keine Testmöglichkeiten planen, gibt es die Möglichkeit, Unternehmen zu finden, die sich über Early Adopter für die Teilnahme an Performance-Tests freuen. Dies gilt sowohl für Publisher als auch für Advertiser.

Gibt es bereits Performance-Erkenntnisse von verschiedenen Branchenanbietern, die eine Vorstellung davon geben, wie erfolgreich diese APIs für effektive digitale Werbung sind?

Im Rahmen der Origin Trials wurden die Relevance & Measurement APIs zunächst nur für 6 Prozent der Chrome-Browser ausgerollt, um Early Adoptern erste Funktionstests zu ermöglichen. Diese Phase diente vor allem dazu, die grundsätzlichen Funktionsweisen der APIs zu prüfen und zu optimieren. Jetzt, da die Relevance & Measurement APIs für alle Chrome-User:innen verfügbar sind, beginnt die Phase des skalierten Testens. Das bedeutet, Ad-Tech-Anbieter können diese APIs nun auf Live-Traffic anwenden, und dies wird zu vielseitigen Performance-Erkenntnissen aus der Branche im Verlauf des ersten Halbjahres 2024 führen. Um Unternehmen bei der Durchführung skalierter Tests zu unterstützen, wird Chrome zwei Testmodi zur Verfügung stellen, wobei der erste Testmodus A bereits im vierten Quartal 2023 beginnt.

Für wen sind diese Testmodi gedacht?

Diese Testmodi sind primär für Entwickler gedacht. Im Rahmen von Mode A haben sie die Möglichkeit, anhand von Labels die Abschaffung von 3P Cookies in Chrome für einen konfigurierbaren Anteil ihres Traffics zu simulieren. Chrome wird Labels für bis zu 9 Prozent der Chrome-User:innen bereitstellen, über die Entwickler konsistente Kontroll- und Experimentgruppen definieren können. Dies ermöglicht es ihnen, Erkenntnisse über die Leistung der Advertising-APIs im Vergleich zu Situationen ohne Third-Party-Cookies zu gewinnen. Die Bereitstellung dieser optionalen Simulationsmöglichkeit zur Durchführung von Tests auf einem höheren Volumen an cookieless traffic geht auf Feedback aus dem Markt zurück; einige Ad-Tech-Anbieter haben sich diese Möglichkeit explizit gewünscht.

Welches sind die weiteren Schritte?

Im ersten Quartal 2024 wird Chrome im Rahmen von Mode B global die Third-Party-Cookies für 1 Prozent der Chrome-Benutzer abschaffen. Diese Deaktivierung erfolgt zufällig und dient der bestmöglichen Vorbereitung der Branche auf die Abschaffung von Third-Party-Cookies in Chrome, da dann weltweit eine beträchtliche Anzahl von Instanzen ohne Third-Party-Cookies vorhanden sein wird. Dies ermöglicht unter anderem Ad-Tech-Anbietern, reale Tests durchzuführen und ihre Produkte für die Zeit ohne Third-Party-Cookies zu optimieren. Diese beiden Testmodi sollen parallel verfügbar bleiben, bis Chrome in Zusammenarbeit mit der UK Competition and Markets Authority, die diesen Prozess begleitet, plant, im zweiten Halbjahr 2024 mit der Abschaffung von Third-Party-Cookies zu beginnen.

Kann man also sagen, ab dem zweiten Halbjahr 2024 geht es dann rasch voran?

Ja, ab dann sollen die Third-Party-Cookies in Chrome schrittweise abgeschafft werden. Advertiser und Publisher sollten ab Mitte 2024 definitiv bereit sein. Deshalb ist jetzt der richtige Zeitpunkt, sich mit diesem bevorstehenden Wandel auseinanderzusetzen und sich vorzubereiten. Ad-Tech-Anbieter können dies bezüglich der Advertising APIs tun, während Publisher und Advertiser eine Bestandsaufnahme der Third-Party-Cookies auf ihren Domains durchführen, ihre Drittanbieter kontaktieren und für sich selbst den Einsatz der Non-Ads APIs prüfen sollten, die ich zuvor beschrieben habe. Ziel ist es sicherzustellen, dass die User Experience nicht leidet, sondern angenehm und funktionsfähig bleibt, indem sich alle rechtzeitig vorbereiten und die jeweils relevanten Privacy Sandbox APIs verwenden, um ihre Use Cases von Third-Party-Cookies zu migrieren, bevor diese komplett abgeschafft werden.

Gibt es Alternativen zu den Privacy Sandbox APIs?

Zwar gibt es viele alternative Lösungen, doch einige von ihnen basieren immer noch auf User-level Tracking, während dies bei den Privacy Sandbox APIs nicht der Fall ist. Unsere APIs schützen die Privatsphäre durch verschiedene technische Ansätze, wie z. B. Datenaggregation, Datenrauschen und die Verarbeitung sensibler Daten auf dem Endgerät oder in speziellen Trusted Execution Environments in der Cloud. Aus diesem Grund verbessern die Privacy Sandbox APIs den Datenschutz erheblich im Vergleich zu Third-Party-Cookies und anderen Website-übergreifenden Tracking-Methoden wie Fingerprinting und PII-basierten Identifikatoren. Die Privacy Sandbox APIs bieten daher eine dauerhafte Grundlage, auf der das Ökosystem aufbauen kann, und sie können so den Datenschutz sowie die Branchenkompetenzen im Laufe der Zeit weiter stärken.

Wie wird sichergestellt, dass Ad-Tech-Anbieter, Publisher und Advertiser das notwendige Know-how haben, um ihre Use Cases von Third-Party-Cookies auf die Privacy-Preserving-APIs zu migrieren? Welche Informationen stellt Chrome wo zur Verfügung?

Es gibt verschiedene Informationsquellen für unterschiedliche Stakeholder. Auf privacysandbox.com sind einführende Informationen zur Initiative zu finden, einschliesslich eines Reiters für News und Updates, wo alle grossen Neuigkeiten kommuniziert werden. Interessierten empfehle ich, sich dort mit ihrer E-Mail Adresse zu registrieren, um automatisch über Updates benachrichtigt zu werden. Entwickler können sich auf auf developer.chrome.com oder developer.android.com mit den technischen Details der APIs vertraut machen. Dort finden sie auch Verweise zu den tiefergehenden technischen Erklärungen und Diskussionen auf GitHub, wo stets Feedback erwünscht ist. Ausserdem haben Developer die Möglichkeit, sich für die individuellen API announcement groups zu registrieren.

Sind die Privacy Sandbox APIs für jeden gleichermassen nutzbar?

Ja, die Privacy Sandbox funktioniert für alle gleich. Das bedeutet, alle Publisher, Advertiser und Ad-Tech-Plattformen, einschliesslich Google-Plattformen, haben den gleichen Zugang zu Daten und Funktionen über die Privacy Sandbox. Dies ist ein grundlegendes Prinzip dieser offenen Initiative, die von der UK Competition and Markets Authority begleitet wird, um sicherzustellen, dass die APIs für die gesamte Industrie gleichermassen funktionieren und es keine Bevorzugung von Google-Plattformen gibt.

Wie kann die Branche am besten ihr Feedback teilen?

Wir möchten alle Marktteilnehmer ermutigen, ihre Fragen, ihr Feedback und ihre Erkenntnisse öffentlich auf GitHub zu teilen. Die Links hierzu befinden sich in der zuvor genannten Developer Dokumentation. Nur so können wir eine öffentliche Diskussion fördern, die APIs in Bezug auf ihren Performance-Impact validieren und sicherstellen, dass sie den Leistungsanforderungen des Marktes entsprechen. Die GitHub Beiträge werden vom Produktteam von Chrome gelesen und moderiert, was bedeutet, dass eingereichtes Feedback so direkt evaluiert werden kann.

Eine weitere Möglichkeit, sich aktiv einzubringen, sind die W3C-Calls, die regelmässig zu den APIs stattfinden. Hier sind alle herzlich eingeladen, teilzunehmen, Ideen zu teilen und konzeptionelle Fragen zur technischen Implementierung zu stellen. Vertreter aus dem Produktteam sind ebenfalls anwesend und freuen sich über jeden konkreten, praktischen Vorschlag aus der Branche.

Wie stark ist das bisherige Interesse an den Sandbox APIs im deutschsprachigen Raum, vielleicht auch spezifisch in der Schweiz? Wer testet, wer beteiligt sich an der Diskussion? Ist das eine rege Diskussion oder würden Sie da jetzt noch einen Aufruf starten, mehr daran teilzunehmen?

Ein Aufruf zur aktiven Beteiligung ist definitiv nie verkehrt! Jetzt ist der richtige Zeitpunkt, mit Hilfe der beiden Testmodi die Funktionsweisen der APIs skaliert zu testen und mitzugestalten. Die Privacy Sandbox Initiative existiert bereits seit mehreren Jahren, und jeder hatte – und hat weiterhin – die Möglichkeit, Feedback zu geben. Wir sind sehr dankbar für das bisherige Feedback von engagierten Ad-Tech-Anbietern, Publishern und Advertisern, denn dieses hat die Funktionsweisen, mit denen die APIs jetzt allgemein verfügbar sind, erheblich beeinflusst. Daher verschenkt jeder, der diese Gelegenheit zur Mitwirkung nicht nutzt, die Möglichkeit, die Zukunft ohne Third-Party-Cookies aktiv mitzugestalten.

Haben Sie eine Idee, wie viele Ad-Tech-Anbieter involviert sind, wie viel Prozent des Werbeaufkommens über diese Ad-Tech-Anbieter abgewickelt wird?

Auf der Webseite privacysandbox.com und in den API-spezifischen Tester Listen auf GitHub sind ein Teil der Unternehmen gelistet, die sich aktiv in der Initiative engagieren. Es sind weit verbreitete und global genutzte Ad-Tech-Anbieter darunter, die auch für den Schweizer Markt von hoher Relevanz sind. Das bedeutet, dass auch Schweizer Publisher und Advertiser Testmöglichkeiten haben werden. Wenn Sie frühzeitig daran teilnehmen möchten, lohnt es sich, sich danach zu erkundigen.

Und wie sieht Chrome die globalen Rahmenbedingungen für die Initiative?

Die regulatorischen Datenschutz-Anforderungen sind weltweit unterschiedlich, aber insgesamt geht der Trend in Richtung eines besseren Schutzes der Online-Privatsphäre der User:innen. Das sehen wir als Bestärkung für die Privacy Sandbox Initiative, da sie darauf abzielt, grundlegend neue Technologien zu entwickeln um für die User:innen auf technischer Ebene Datenschutz zu gewährleisten und verdeckte Cross-Site und Cross-App Tracking-Mechanismen einzudämmen. Dazu werden langjährig bestehende Prozesse, die auf Third-Party-Cookies basieren, in einer branchenweiten Initiative neu gestaltet. Die ersten Funktionstest haben erfolgreich gezeigt, dass mit den APIs wichtige Anwendungsfälle der Industrie ohne Kompromisse beim Schutz der Privatsphäre der Nutzer abgebildet werden können. Wir freuen uns darauf, gemeinsam mit der Branche die weiteren Schritte hin zu einem grundlegend privateren Internet zu gehen.

Lidia Schneck, vielen Dank für die detaillierten Ausführungen sowie die damit verbundenen Empfehlungen an unsere geschätzte Leserschaft.