So, ein wenig weiter gearbeitet. Was heißt ein wenig? Den ganzen Tag und ich komme mir vor wie ein Eichhörnchen oder ein blindes Huhn. Das zieht Kreise, die hält man gar nicht für möglich und das eigentlich nur, weil die User ihre Einstellungen im Browser nicht nutzen.
Habe nun eine vierte Testseite, eine, die viel von Mobil lebt und eigentlich auch 50% vom Traffik aus sozialen Medien kommt, vor allem Pinterest.
Auch bei denen ist ein Unterschied zu erkennen. Die Nutzer aus sozialen Medien, die auf einen Link eines Freundes oder eine Empfehlung geklickt haben, die stimmen der Nutzung von Cookies wesentlich häufiger zu als Nutzer, die einfach so, ohne was zu wissen, aus einer Suchmaschine kommen. Bei denen aus den sozialen Medien liegt der Einbruch durch "Nein" nur bei ca. 20%.
Wobei meine Seite nun wirklich so weit ist, dass die nix mehr raus schickt, ohne eine Einwilligung und keine Cookies setzt. Was aber viele oder eigentlich alle Consent-Scripte vernachlässigen: Bilder! Auch Bilder im Sinne von Werbebannern, auch wenn die als normales <img> eingefügt sind, können Cookies setzen. Das ist bei mir nun auch weg. Piwik sendet weiterhin Daten, aber ebenso ohne Cookies.
Wobei schon hier zwei Faktoren zusammen kommen. Ohne Consent-Einwilligung, Daten senden, aber keine Cookies. Dann gibt es aber noch das Piwik-eigene Optout. Das verhindert ja nicht Cookies an sich, sondern das gesamte Tracking. Also muss man hier schon unterscheiden, was nun vorliegt. Opt-Out, Opt-In, beides oder nichts. Alle Kombinationen sind technisch möglich.
Und daher auch der Einleitungstext mit "weil die User ihre Einstellungen im Browser nicht nutzen". Das ganze wird ja langsam echt "ad absurdum". Da sind also User, die einen Browser nutzen, Cookies dort erlauben und sich dann beschweren, weil sie welche bekommen. Dann kamen die ganzen Consent-Banner. Nun gibt es Millionen von Usern, die die Banner nerven und Cookies zulassen wollen. Haben sie ja eigentlich im Browser, bringt aber nix, weil die "nicht-Woller" zu doof sind, einfach auszuschalten und die "Woller" haben kein "Ja ich will, bin mir sicher dass ich will und das bestätige ich noch mal, ja ich will". Also entstanden mehrere AddOns, die quasi noch mal ausdrücklich senden "ja, ich will Cookies, lass den Banner weg!", z.B. CookiesOK. Andere schicken einen HTTP-Header mit, der quasi darum bettelt, die Banner weg zu lassen und Cookies zu schicken. Auch hier muss also der Webmaster drauf reagieren, wenn der Browser bzw. das AddOn die Info sendet, also die Info, die der Browser ohnehin sendet, wenn Cookies nicht aus sind. Hier muss man also den Banner weg lassen und ohne Klick die Cookies aktivieren.
Dann gibt es da noch DoNotTrack, also DNT. Das kann man ja auch noch haben. Dann kollidieren schon die ganzen Vorgaben vom Browser und AddOn. Als Webmaster weiß man dann gar nicht mehr, was man machen soll, weil man unterschiedliche Informationen bekommt.
Als Webmaster kann man das eigentlich gar nicht alles umsetzen. Die Grundeinstellungen vom Browser sind überall gleich, man muss es nur nutzen. Das liegt aber alles in der Macht des Nutzers. Nun wird alles dem Webmaster zugeschoben. Alleine die Geschichte mit Piwik heute war Gedankensport pur. Gefühlt 50 Zeilen Code, nur für die Entscheidung, was das System tun soll. Dabei ist das noch nicht mal sicher, denn in bestimmten Konstellationen kommt es sonst zu einer Art Race-Condition. Browser sagt ja, Consent sagt nein bzw. nicht vorhanden, AddOn sagt ja, DNT sagt ja und Piwik-Optout sagt nein. Sodale, was ist nun das Ergebnis? Ja oder nein?
Dazu kommt noch das ganze Thema Caching. Da soll alles immer schneller werden, immer weniger geladen werden. Genau das ist aber damit nicht möglich. Man kann keine "Einwilligung oder Ablehnung" in eine Datei schreiben, die im Cache liegt, wenn man die Einwilligung jederzeit ändern können muss. Schon das Thema "asynchrones Laden". Das ist hier gescheitert, denn das geht nicht, wenn man dynamisch eine Config als Inline-JS vorgeben muss. Also muss das eigentliche Script vorher geladen sein. Vorher war es auch so, dass man das CSS für den Consent nicht laden musste, wenn dieser bereits abgegeben wurde. Das muss man nun aber dennoch, also wieder Ladezeit extra? Warum? Weil die Funktion "Revoke", also das "jederzeit die Einwilligung ändern" immer da sein muss. Also muss man auch das CSS laden.
Das nächste Problem wird die Datenschutzerklärung sein, in der man ja angeben muss, was wie passiert. Aktuell steht da in Kurzform einfach: "Ich verwende Matomo (ehemals Piwik), das setzt Cookies". Das stimmt nun auch nicht mehr, denn es setzt entweder welche und trackt auch, oder es trackt, setzt aber keine, oder es macht gar nichts. Das alles ist aber abhängig von Einstellungen, Addons und Erweiterungen des Nutzers. Wie soll das ein Webmaster wissen und vorab, also bevor der Nutzer da ist, in die DSE schreiben?
Um das mal kurz zusammenzufassen. Man hat also einen Browser, der je nach Einstellung "ja" oder "nein" schickt, seit gefühlt 20 Jahren. Nun gibt es aber auch noch "ja ja" und "ja ja ja, verflucht nochmal, ja!" und "ja, öhm, nein, doch ja, ach leck mich, ich weiß es nicht". Und das alles nur, weil ein paar User zu doof sind, einfach die Einstellung des Browsers auf "nein" zu setzen.
Edit: Das passt nun so gar nicht an die Stelle, aber hatte es gestern vergessen. Bei Adsense gibt es für den Consent einen Funktionsaufruf "(adsbygoogle=window.adsbygoogle||[]).pauseAdRequests=1". Den muss man eigentlich nur vorab setzen und dann, wenn einer zugestimmt hat, ein "(adsbygoogle=window.adsbygoogle||[]).pauseAdRequests=0" hinterher senden. Das funktioniert auch, die Ads werden dann sofort unmittelbar geladen. Aber praktisch nutzen kann man es leider nicht. Auch wenn pausiert wird, lädt Google alle Scripte. Analysiert den Ad-Container, erweitert ihn, füllt ihn mit den ganzen iFrames etc. Das einzige, was wirklich nicht passiert ist, dass Anzeigen vorher geladen werden. Kann man so aber nicht verwenden, denn so lange keine "Einwilligung" da ist, ist dieser Platz quasi von Adsense bereits belegt und erweitert. Man sieht auf der Webseite also einen recht großen leeren Bereich. Auch werden, trotz "keiner Adsense-Anzeigen", Cookies gesetzt. Genau das soll ja verhindert werden ....