E-Mail-Tracking blockieren: Zählpixel und gehashte Adressen stoppen

E-Mail-Tracking funktioniert auf zwei Ebenen. Ein unsichtbarer Zählpixel meldet dem Absender beim Öffnen einer Mail Zeitpunkt, Gerät und ungefähren Standort. Ihre E-Mail-Adresse selbst wird als verschlüsselter Hash zur Werbe-Kennung, die Sie über Websites hinweg wiedererkennt. Gegen das Pixel hilft das Blockieren externer Bilder, gegen den Hash nur eine getrennte Adress-Strategie und Löschanträge.

Wer einen Newsletter abonniert, rechnet damit, dass der Absender weiß, an wen er ihn verschickt. Womit kaum jemand rechnet: Der Absender weiß in den meisten Fällen auch, ob Sie ihn gelesen haben, um wie viel Uhr, wie oft, am Handy oder am Laptop, und ob Sie danach auf einen Link geklickt haben. Diese Informationen fließen nicht nur in Versandstatistiken, sondern landen je nach Anbieter in einem Kundenprofil, das mit Ihrem Einkaufsverhalten verknüpft wird.

Die zweite Ebene ist jünger und weit weniger bekannt. Seit Browser Drittanbieter-Cookies zunehmend blockieren, sucht die Werbebranche nach einem Ersatz, der Sie über Geräte und Websites hinweg wiedererkennt. Die Antwort heißt in großen Teilen: Ihre E-Mail-Adresse. Dieser Ratgeber erklärt beide Mechanismen, ordnet die Rechtslage ein und liefert drei Werkzeuge zum direkten Umsetzen: eine Einstellungs-Übersicht für die gängigen Mailprogramme, einen Selbsttest, mit dem Sie Tracking in Ihrem Postfach erkennen, und eine Adress-Strategie, die das Zusammenführen Ihrer Profile deutlich erschwert.

Wie ein Zählpixel funktioniert

Eine Werbemail im HTML-Format ist technisch eine kleine Webseite. Bilder, Logos und Produktfotos stecken meist nicht in der Mail selbst, sondern werden beim Öffnen vom Server des Absenders nachgeladen. Genau diesen Mechanismus nutzt der Zählpixel, im Fachjargon auch Web-Beacon genannt: eine Grafik von einem einzigen Bildpunkt, transparent oder in der Hintergrundfarbe, also für Sie unsichtbar. Das Entscheidende ist nicht das Bild, sondern seine Adresse. Sie enthält eine Kennung, die nur für Ihre Kopie dieser Mail erzeugt wurde, etwa in der Form …/open.gif?id=8f3a91c2.

Man kann sich das vorstellen wie einen Brief, in dem eine Postkarte mit Ihrer Kundennummer steckt, die beim Aufreißen des Umschlags automatisch zurück an den Absender geht. Sobald Ihr Mailprogramm das Pixel anfordert, protokolliert der Server des Versanddienstleisters:

• Ob und wann: den genauen Zeitpunkt jeder Öffnung, auch die zweite und dritte. Wer eine Mail um 23:40 Uhr mehrfach öffnet, liefert ein anderes Profil als jemand, der sie morgens kurz überfliegt.
• Womit: über die Kennung Ihres Mailprogramms (User-Agent) das Betriebssystem, das Gerät und die App, also etwa iPhone mit Apple Mail oder Windows mit Outlook.
• Von wo: über Ihre IP-Adresse den ungefähren Standort, meist auf Stadtebene, und den Internetanbieter. Öffnen Sie Mails im Büro und zu Hause, lässt sich daraus ein Bewegungsmuster ablesen.
• Dass es Sie gibt: Die Adresse ist aktiv und wird von einem Menschen gelesen. Für seriöse Händler ist das eine Kennzahl, für den Adresshandel ist es ein Qualitätsmerkmal, das den Wert eines Datensatzes erhöht.

Das Pixel hat einen Zwilling, der oft übersehen wird: die personalisierten Links. Jeder Link in einem Newsletter führt in der Regel zuerst über den Server des Versanddienstleisters und trägt ebenfalls Ihre Kennung. Wer klickt, bestätigt nicht nur das Öffnen, sondern auch das Interesse an einem bestimmten Produkt, und landet auf der Zielseite häufig schon wiedererkannt. Diese Kennung überlebt jede Bildblockade, denn sie wird erst beim Klick übertragen.

Die Rechtslage: Öffnungs-Tracking braucht Ihre Einwilligung

In Deutschland ist die Frage klarer geregelt, als viele Versender es handhaben. Ein Zählpixel greift auf Ihr Endgerät zu, und dafür verlangt § 25 Abs. 1 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG, früher TTDSG) eine vorherige Einwilligung, sofern der Zugriff für den gewünschten Dienst nicht unbedingt erforderlich ist. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit hält dazu fest, dass der Einsatz eines Zählpixels technisch nicht unbedingt erforderlich ist, und folgert: Ein Zugriff auf die Endeinrichtung durch einen Zählpixel erfordert bereits nach § 25 Abs. 1 TDDDG die Einwilligung. Die übermittelten Daten sind zudem personenbezogen, weil sie sich einem Gerät und damit einer Person zuordnen lassen, sodass zusätzlich die DSGVO greift.

Für Sie folgen daraus drei praktische Punkte. Erstens: Die Zustimmung zum Newsletter-Empfang allein deckt das Tracking nicht automatisch ab. Ein sauber aufgesetztes Anmeldeformular weist gesondert darauf hin, dass Öffnungen und Klicks ausgewertet werden. Zweitens: Eine Einwilligung können Sie jederzeit widerrufen, ohne den Newsletter abzubestellen, auch wenn viele Versender technisch nur beides zusammen anbieten. Drittens: Nach Art. 15 DSGVO dürfen Sie fragen, welche Öffnungs- und Klickdaten zu Ihrer Adresse gespeichert sind und an wen sie weitergegeben wurden. Die Antwort ist oft aufschlussreicher als erwartet, weil sie zeigt, ob die Daten im Versandtool bleiben oder in ein Kundenprofil wandern. Wie Auskunft, Löschung und Widerspruch zusammenspielen, erklärt unser Überblick über Ihre Rechte nach Art. 17 und Art. 21 DSGVO.

Einstellungen: So blockieren Sie Zählpixel in Ihrem Mailprogramm

Die gute Nachricht: Gegen das Pixel reicht eine einzige Einstellung pro Gerät. Sie verhindert, dass externe Inhalte automatisch geladen werden. Newsletter erscheinen dann zunächst ohne Bilder, und Sie laden diese nur bei Absendern nach, denen Sie vertrauen. Die Übersicht zeigt, wo die Schalter liegen und wie weit der Schutz jeweils reicht.

Zwei Hinweise, die in den meisten Anleitungen fehlen. Die Einstellung gilt pro Gerät und pro App: Wer am Laptop blockiert, aber auf dem Handy die Mail-App des Anbieters mit Bildern nutzt, ist über das Handy weiter sichtbar. Und die Vorschau-Funktion vieler Programme zählt als Öffnen. Lädt Ihr Postfach Bilder schon im Lesebereich, meldet das Pixel eine Mail als gelesen, die Sie nur angeklickt haben, um sie zu löschen.

Selbsttest: So erkennen Sie Tracking in Ihrem Postfach

Ob ein bestimmter Absender Sie verfolgt, lässt sich ohne Zusatzsoftware in wenigen Minuten prüfen. Nehmen Sie sich dafür zwei oder drei Newsletter vor, die Sie regelmäßig bekommen.

• Blockadehinweis lesen: Schalten Sie externe Inhalte wie oben ab und öffnen Sie die Mail. Zeigt Ihr Programm den Hinweis auf blockierte Inhalte, obwohl die Mail optisch vollständig wirkt, liegt dort fast immer ein unsichtbares Element. Thunderbird listet die angefragten Adressen sogar einzeln auf.
• Quelltext durchsuchen: In Gmail über die drei Punkte „Original anzeigen", in Thunderbird mit Strg+U. Suchen Sie mit Strg+F nach width="1" und nach Wörtern wie open, track oder pixel. Ein Bild mit einem Bildpunkt Breite und einer langen, zufällig wirkenden Zeichenfolge in der Adresse ist ein Zählpixel.
• Links vergleichen: Fahren Sie am Rechner mit der Maus über einen Link, ohne zu klicken, und lesen Sie die Adresse unten im Fenster. Führt der Link nicht zur Domain des Händlers, sondern zu einer fremden Adresse mit einer langen Kennung, ist er personalisiert. Den Shop rufen Sie dann besser direkt über die Adresszeile auf.
• Beim Absender nachfragen: Schicken Sie an einen Versender, der Sie besonders interessiert, eine kurze Anfrage: „Bitte teilen Sie mir nach Art. 15 DSGVO mit, welche Öffnungs- und Klickdaten Sie zu meiner Adresse speichern, auf welcher Einwilligung das beruht und an welche Empfänger diese Daten übermittelt werden." Die Antwort ist innerhalb eines Monats fällig.

Wer beim Selbsttest feststellt, dass Newsletter eines Absenders plötzlich von fremden Firmen kommen oder dass Werbung genau dort landet, wo Sie die Adresse nie angegeben haben, sieht meist schon das Ergebnis des Adresshandels. Für diesen Teil hilft keine Einstellung im Mailprogramm, sondern nur ein Löschantrag an der Quelle. Löschanträge bei über 100 Werbe- und Adressbrokern stellen lassen

Die gehashte E-Mail-Adresse: Ihr Postfach als Werbe-ID

Hier wird es grundsätzlicher. Das Pixel beobachtet Sie im Postfach. Die gehashte E-Mail-Adresse beobachtet Sie überall sonst. Hashing bedeutet, dass die Adresse mit einem mathematischen Einwegverfahren, meist SHA-256, in eine lange Zeichenkette umgerechnet wird. Aus max.mustermann@example.de wird ein Wert aus 64 Zeichen, aus dem sich die Adresse nicht direkt zurückrechnen lässt. Das klingt nach Anonymisierung, ist aber das Gegenteil.

Der Grund liegt in einer Eigenschaft, die für Passwörter nützlich und für Ihre Privatsphäre heikel ist: Dieselbe Adresse ergibt überall denselben Hash. Melden Sie sich bei einem Nachrichtenportal, einem Onlineshop und einer Streaming-Plattform mit derselben Adresse an, können alle drei denselben Wert erzeugen, ohne Ihre Adresse im Klartext auszutauschen. Der Hash funktioniert wie ein Fingerabdruck, der auf jeder Türklinke gleich aussieht. Datenschutzrechtlich ist er deshalb ein pseudonymes und damit weiterhin personenbezogenes Datum, keine anonyme Angabe.

Genau darauf bauen Identitätsdienste der Werbebranche auf. Die bekanntesten Systeme sind UID2 und seine europäische Variante EUID, beide initiiert von The Trade Desk, einer der großen Plattformen für den automatisierten Anzeigeneinkauf. Daneben betreiben Identitätsdienstleister wie LiveRamp eigene Kennungen, die Kundendaten von Unternehmen mit Werbeplattformen verbinden. Das Prinzip ist jeweils ähnlich: Eine Website, die Sie beim Einloggen oder bei der Newsletter-Anmeldung kennt, kann Ihre Adresse in eine solche Kennung umwandeln und diese im Werbeumfeld weiterreichen. Das Ergebnis ist ein Wiedererkennungsmerkmal, das Cookie-Löschen, Browserwechsel und Gerätewechsel überdauert, weil es an der Adresse hängt, die Sie überall eingeben.

Einen verwandten Mechanismus kennen Sie vielleicht vom Smartphone: Auch dort sorgt eine feste Kennung dafür, dass App-Anbieter Sie wiedererkennen. Wie Sie diese zurücksetzen, zeigt unsere Anleitung zum Löschen der Werbe-ID auf iPhone und Android. Der Unterschied zur E-Mail-Kennung ist wichtig: Die Werbe-ID des Handys lässt sich per Knopfdruck neu würfeln. Die E-Mail-Adresse nicht, jedenfalls nicht, ohne das Postfach zu wechseln.

Die Adress-Strategie: drei Zonen statt einer Adresse

Da sich ein Hash nur durch eine tatsächlich andere Adresse brechen lässt, liegt der wirksamste Schutz in der Frage, welche Adresse Sie wo eingeben. Die folgende Aufteilung hat sich in der Praxis bewährt, weil sie mit vertretbarem Aufwand die meisten Verknüpfungen unterbindet.

• Zone 1, Kernadresse: Bank, Behörden, Krankenkasse, Arbeitgeber, Ihr Passwort-Manager und die Wiederherstellung wichtiger Konten. Diese Adresse geben Sie nirgendwo ein, wo ein Anmeldefenster für Artikel, Rabatte oder Gewinnspiele erscheint. Je weniger Stellen sie kennen, desto weniger Material gibt es für Phishing und Kontoübernahmen.
• Zone 2, ein Alias pro Händler: Jeder Shop, jedes Kundenkonto und jeder Newsletter bekommt eine eigene Adresse, die nicht nach dem Plus-Muster gebaut ist. Jeder Alias ergibt einen eigenen Hash, und die Profile der Händler lassen sich darüber nicht mehr zu einer Person zusammenführen. Nebeneffekt: Taucht Spam an einem Alias auf, wissen Sie sofort, welcher Händler die Adresse weitergegeben oder verloren hat.
• Zone 3, Lese- und Einmal-Adressen: Nachrichtenportale mit Anmeldezwang, Downloads gegen Adresse, WLAN-Portale, Probeabos. Das sind die Stellen, an denen Adressen besonders häufig als Werbekennung verarbeitet werden. Hier gehört eine Adresse hin, die Sie ohne Verlust abschalten können.

Für Zone 2 und 3 brauchen Sie Adressen, die Sie schnell anlegen und genauso schnell wieder abschalten können. Mit dem Wegwerf-E-Mail-Postfach von Datenputzer erhalten Sie eigene Alias-Adressen mit Postfach oder Weiterleitung, jeweils einem Dienst zugeordnet. Antworten von einer Alias-Adresse aus zu versenden, ist derzeit noch nicht möglich. Für diesen Zweck ist das sogar ein Vorteil: Ein Alias, der nur empfängt, kann nicht versehentlich Ihre Kernadresse in einer Antwortzeile preisgeben. Beachten Sie dabei, dass weitergeleitete Mails in Ihrem normalen Postfach landen, die Pixel-Einstellungen aus der Tabelle oben also weiterhin gelten. Wie sich Alias-Dienste im Detail unterscheiden, lesen Sie im Vergleich mit Firefox Relay.

Was mit Ihrer Adresse schon passiert ist

Die Adress-Strategie wirkt nach vorn. Ihre bisherige Hauptadresse steckt aber womöglich bereits in Werbe- und Identitätsdatenbanken, verknüpft mit Kaufinteressen, Wohnort und Geräten. Dort holen Sie sie mit zwei Hebeln wieder heraus.

Das Opt-out bei EUID: The Trade Desk betreibt für die EUID-Kennung ein zentrales Portal unter transparentadvertising.eu. Dort geben Sie Ihre Adresse ein, und der Anbieter sagt zu, keine EUID mehr für diese Adresse zu erzeugen und das Opt-out an die angeschlossenen Plattformen weiterzugeben. Seien Sie sich bewusst, was dabei passiert: Sie übermitteln Ihre Adresse bewusst an den Betreiber, der sich in gehashter Form merkt, dass Sie widersprochen haben. Das Opt-out wirkt zudem nur innerhalb des EUID-Verbunds, nicht bei anderen Kennungen.

Der Löschantrag an der Quelle: Umfassender ist der Weg über Art. 17 DSGVO. Adress- und Werbedatenhändler sowie Identitätsdienste verarbeiten Ihre Daten häufig zu reinen Werbe- und Profilingzwecken. Fehlt dafür eine fortbestehende Rechtsgrundlage, etwa weil Sie nie eingewilligt haben oder weil Sie nach Art. 21 DSGVO der Werbenutzung widersprechen, muss gelöscht werden. Das gilt für Identitätsanbieter wie The Trade Desk und LiveRamp ebenso wie für klassische Adresshändler wie Acxiom, AZ Direct oder Deutsche Post Direkt und für Werbenetzwerke wie Criteo.

Jeden dieser Anbieter einzeln anzuschreiben, die Fristen zu notieren und bei Schweigen nachzufassen, ist machbar, aber mühsam, und es wird mit jedem Datenhändler auf der Liste mühsamer. Diesen Teil übernehmen wir: Datenputzer stellt die Löschanträge nach Art. 17 DSGVO gebündelt bei über 100 Werbe-, Adress- und Adtech-Brokern, überwacht die Antwortfristen und fasst nach. Löschschutz für Ihre E-Mail-Adresse einrichten

Die Reihenfolge, die sich lohnt

Wer alles auf einmal umstellen will, gibt meist nach zwei Tagen auf. Diese Reihenfolge bringt den größten Effekt mit dem kleinsten Aufwand.

• Heute, zehn Minuten: Externe Inhalte auf jedem Gerät und in jeder Mail-App blockieren, die Sie nutzen. Das Handy nicht vergessen.
• Diese Woche: Newsletter, die Sie seit einem Monat nicht geöffnet haben, über den Abmeldelink seriöser Absender abbestellen. Bei unbekannten Absendern stattdessen als Spam markieren.
• Bei jeder neuen Anmeldung: Ab sofort einen eigenen Alias statt der Kernadresse verwenden, zum Beispiel aus dem Wegwerf-E-Mail-Postfach von Datenputzer. Bestehende Kundenkonten stellen Sie nach und nach um, wenn Sie dort ohnehin eingeloggt sind.
• Einmalig für den Altbestand: Löschanträge an Werbe-, Adress- und Identitätsdienste stellen oder stellen lassen, damit die über Jahre gesammelte Verknüpfung Ihrer Hauptadresse aufgelöst wird.

Häufige Fragen zum E-Mail-Tracking