FLoC – der Beginn einer neuen Ära im Marketing?

Anfang März gab Google in einem Blog-Beitrag bekannt, keine Folgetechnologie für Cookies von Drittanbietern (Third-Party-Cookies) für Google Chrome entwickeln zu wollen, sondern bis 2022 komplett darauf zu verzichten. Vor allem bei Werbetreibenden war diese Art von Cookies sehr beliebt. Seit Jahren sind sie der Ursprung für gezielte und personalisierte Werbung im Internet, dementsprechend war der Aufschrei innerhalb der Branche groß. Aufgrund eines Marktanteils von ca. 67 % (Stand: März 2021; Quelle: statista.com) des Chrome-Browsers war diese Reaktion zu erwarten. Für die Privatsphäre der User ist diese Technologie aber bedenklich, da sie personenbezogene Daten für Dritte einsehbar macht. Google folgt nun Privacy-First-Pionieren wie Safari und Firefox und präsentiert eine Alternative: FLoC – Federated Learning of Cohorts. Eine Lösung, die aber bereits auf viel Gegenwind seitens der Vorreiter stößt. Die Browser von Apple und Mozilla verzichten schon längere Zeit auf Third-Party-Cookies und sehen Googles Lösung als keine passende Alternative an. Nun gesellte sich jüngst mit WordPress ein weiterer prominenter Gegner dazu. Damit stehen Google namhafte Unternehmen entgegen, welche erhebliche Sicherheitslücken erkannt haben wollen. Auch die von Google gestarteten Tests des Systems werden kritisch beäugt. Steht FLoC also schon jetzt vor dem Aus oder erwartet uns ein kompletter Umbruch bzw. gar eine neue Ära im Online-Marketing?

Das steckt hinter FLoC – so will Google den Nutzer in der Menge verschwinden lassen

Cookies sind seit ihrer Erfindung ein wichtiges Element für das tägliche Surfen im Web. Sie beschreiben kleine Datenpakete in Form von Textdateien, die im Browser des Nutzers gespeichert werden. Cookies enthalten konkrete Nutzerdaten und lassen sich prinzipiell in zwei Arten einteilen:

• First-Party-Cookies: Sie werden direkt von der Domain erstellt und sind auch nur auf dieser nutzbar. Sie helfen in erster Linie dabei, eine Website benutzerfreundlich zu machen oder eigene Tracking-Daten zu erheben. Nutzer müssen sich folglich nicht bei jedem Seitenaufruf neu einloggen bzw. bereits in den Warenkorb gelegte Artikel bleiben erhalten. Zudem können genaue Conversion- und Nutzungsdaten direkt auf der Domain erfasst werden, beispielsweise mithilfe von Google Analytics.
• Third-Party-Cookies: Sie werden von Dritten gesetzt, also nicht von dem Betreiber einer Domain, auf der ein User gerade surft. Meist sind dies Werbeplattformen und Werbetreibende. Ziel ist es, personenbezogene Daten innerhalb des Browsers zu speichern und domainübergreifend nutzbar zu machen. Die Cookies ermöglichen anhand der gespeicherten Daten – Seitenaufrufe, Verweildauer, Navigation über Links – die Erstellung konkreter Nutzerprofile. Werbetreibende greifen wiederum auf diese Profile zurück, um einzelne Nutzer im Web wiederzufinden. So kann beispielsweise Display-Werbung gezielt an Nutzer mit bestimmten Interessen ausgespielt werden.

Third-Party-Cookies stoßen bei Usern und Datenschützern immer mehr auf Ablehnung, weswegen sie allmählich ersetzt werden sollen. Speicherung, Erstellung und Weitergabe persönlicher Datenprofile ist ohne Zustimmung durch Nutzer nicht rechtskonform. Dem Ruf nach mehr Privatsphäre im Netz ist nun auch Google mit seinem Konzept der Privacy Sandbox für den Browser Google Chrome gefolgt. Damit möchte Google die Interessen der Werbetreibenden (relevante & zielgerichtete Werbeanzeigen) und die Privatsphäre der Nutzer miteinander vereinen. Die Privacy Sandbox umfasst Maßnahmen zur Wahrung beider Aspekte in einem allumfänglichen System. Um das interessenbasierte Targeting weiterhin möglich zu machen, wurde von Google FLoC als ein Teil des Konzeptes vorgestellt. Die offene und schnelle Zugänglichkeit von Informationen im Netz soll dennoch weiterhin gegeben sein. Zielgerichtete Werbemaßnahmen hatten bisher einen maßgeblichen Anteil an der Nutzererfahrung im Web.

Das Federated Learning of Cohorts beschreibt ein Verfahren bzw. eine API (Application Programming Interface), welche das Erlernen und Zuweisen von Kohorten auf bestimmte Nutzer ermöglichen soll. FLoC soll nicht mehr auf Nutzerprofilen basieren, sondern den Browserverlauf und Inhalte besuchter Webseiten eines Users betrachten. Aus den gesammelten Informationen werden mehrere Nutzer ähnlicher Interessen in Kohorten geclustert. Eine Kohorte meint dabei eine große Nutzergruppe, die aus einer Mindestanzahl k von Usern besteht. Jene Mindestanzahl bildet eine Grenze, ab der es unmöglich sein soll, einzelne Individuen nachzuverfolgen – sie verschwinden dagegen in der Menge (vgl. Abbildung 1). Das Minimum von k in Zahlen ausgedrückt ist noch unbekannt, soll aber mehrere Tausend User umfassen. In der ersten Testphase wurde mit einer Mindestgröße von 5.000 Nutzern als Kohorte gearbeitet. Die Gruppengröße ist entscheidend – sowohl für Performance als auch für die Privatsphäre. Google beschreibt in einem Whitepaper eine Wechselbeziehung: Große Gruppen erschweren demnach die Identifikation Einzelner innerhalb der Menge, sind aber inhaltlich unspezifischer. Bei Google testet man hier mit verschiedenen Algorithmen, um eine ideale Balance herzustellen.

FLoC bedient sich der Technik des föderierten Lernens. Es erlaubt maschinelles Lernen auf Basis von Daten, die auf Nutzerseite verbleiben und nicht an einen zentralen Server gesendet werden müssen. Vereinfacht beschrieben, kann das jeweilige Endgerät bzw. der Browser trotzdem in gewisser Weise das Verhalten eines Nutzers analysieren. Dabei werden zwar Nutzerdaten im Browser gespeichert, diese sollen aber, anders als Cookies, nicht für Dritte einsehbar sein. Der Browser nutzt die gespeicherten Daten nur zum Clustern in die Kohorten. Lediglich eine kurze ID (Cohort-ID oder FLoC-ID) wird an den Google-Server übergeben. Diese FLoC-IDs verwenden codierte Bezeichnungen wie 43A7. Die Übersetzung der Codes lässt Rückschlüsse auf die Kohorte zu, ohne den User gezielt zu offenbaren. Die Zuordnung auf die jeweiligen Kohorten erfolgt in wöchentlichen Intervallen und wird regelmäßig aktualisiert. Das ermöglicht ein kohortenbasiertes Werbetargeting und wird wohl ähnlich nutzbar sein wie bisherige Zielgruppen. Wichtig ist auch, dass die Abwicklung der Auktionen für Werbeplätze in den privaten Browser der Nutzer verlagert wird. Besucht ein User beispielsweise mit einer eigenen FLoC-ID eine Webseite, wird innerhalb seines Browsers die Auktion für vorhandene Werbeplätze durchgeführt. Dem Nutzer werden daraufhin passende Anzeigen von Werbetreibenden ausgespielt, die diese Kohorte gezielt bewerben.

Genaueres ist über die Funktionsweisen bisher nicht bekannt bzw. von Google nicht veröffentlicht worden. Klar ist, dass es sich hier um eine Alternative zu den Cookies von Drittanbietern handelt. First-Party-Cookies bleiben unverändert nutzbar und können weiterhin angereichert werden.

Alte Probleme gelöst – neue geschaffen?

Auf den ersten Blick wirkt FLoC wie eine gute Lösung auf dem Weg zu einem cookiefreien Werben. Weshalb immer mehr Kritik gegen das System aufkommt, mag daran liegen, dass einerseits das Problem konkreter Nutzerprofile gelöst wird, andererseits neue potenzielle Gefahren für die Privatsphäre der Nutzer entstehen. Folgendes gilt es zu bedenken:

• Es ist unbekannt, wie groß die einzelnen Kohorten tatsächlich sind. Wie bereits dargelegt, bieten kleinere Kohorten für den Einzelnen weniger „Schutz“, um sich in der Masse zu tarnen. Dritte müssen somit keine Millionen Userdaten voneinander abgrenzen, sondern im schlimmsten Fall nur wenige Tausend, um an Informationen zu gelangen. FLoC könnte es also einfacher machen, einzelnen Nutzern einen sogenannten digitalen Fingerprint zur eindeutigen Identifikation zu geben. Somit könnten im Endeffekt doch wieder Nutzer gezielt im Netz nachverfolgt werden.
• Google gab den Hinweis, dass sensible Inhalte (beispielsweise politische Themen) nicht für die Kohorten-Zuweisung herangezogen werden. Eine detaillierte Beschreibung hierzu wurde sogar in einem Whitepaper veröffentlicht. Dennoch ist der Algorithmus möglicherweise noch nicht ausgereift genug, was die Identifizierung sensibler Inhalte für Einzelne angeht. Zu bedenken gilt es, dass beispielsweise das Thema einer Schwangerschaft für eine 30-Jährige möglicherweise weniger sensibel ist als für ein 18-jährige Person.
• Mithilfe einer FLoC-ID lassen sich Rückschlüsse auf die Kohorten von Nutzern ziehen. Webseiten mit Zugang zu persönlichen Daten (z. B. konkrete Log-in-Daten und E-Mail-Adressen) könnten dies mit der bekannten FLoC-ID in Verbindung bringen. Die Kombination ermöglicht Erkenntnisse über das Suchverhalten einzelner Nutzer.

Google ist sich scheinbar selbst der Schwachstellen bewusst und arbeitet tatkräftig an der Verbesserung der Algorithmen. Zu diesem Zweck veröffentlichte Google die bereits erwähnten technischen Whitepaper und möchte scheinbar so für mehr Transparenz bezüglich der FLoC-Funktionsweise sorgen.

Was ändert sich für Werbetreibende?

Wie eingangs erwähnt, erfreuen sich Third-Party-Cookies in der Werbebranche großer Beliebtheit. Diese eröffnen zahlreiche Methoden des Online-Marketings. Dazu zählen Targeting und Retargeting. Letzteres wird vorwiegend für die erneute Nutzeransprache über mehrere Seiten hinweg angewandt. Beides sind erfolgreiche Methoden, welche seit Jahren eingesetzt werden. Mit der Abschaffung von Third-Party-Cookies sollen diese „goldenen Zeiten“ jedoch nicht zu Ende sein. Vielmehr will Google mit dem Ausbau der Privacy Sandbox Maßnahmen einführen, welche die Datenerhebung und den Umgang damit neu definieren.

Kommt es zur Einführung der FLoC-API, so wird interessenbasiertes Targeting für Marketer weiterhin möglich sein. Zwar nicht auf individueller Basis, aber auf Gruppenbasis. Anhand der ersten Testphasen sieht Google FLoC als effizienten Ersatz für cookiebasiertes Werben an.

Tatsächliche Ergebnisse hängen von der Stärke des FLoC-Gruppierungsalgorithmus und der Art der Zielgruppe ab. Hier zeichnen sich potenzielle Schwächen des Systems ab. Werbende mit Nischenprodukten könnten Schwierigkeiten haben, ihre Interessenten anzusprechen. Wird dies nicht möglich sein, so sind Streuverluste und höhere Kosten zu erwarten. Sie müssten auf spezifischere Kohorten mit ausreichend Nutzern zurückgreifen. Hier besteht die Herausforderung für Google, trotz eines eventuell sehr spezifischen Themengebiets ein effektives Targeting zu ermöglichen.

Diese Problematik versucht Google mit besagten Testphasen aufzugreifen. Wie generierte Kohorten aussehen könnten, veranschaulicht Abbildung 2. Die Größe der Wörter stellt deren Gewichtung dar. Die erste Wortwolke umfasst Nutzer, welche sich für das Genre Unterhaltung interessieren. Die zweite ist ein Zusammenschluss von Nutzern, welche Seiten von Bekleidungsherstellern besuchen, und die Nutzer der letzten Gruppe sind auf (Rate‑)Spiele fokussiert. Alle drei Kohorten setzen sich aus unterschiedlichen Nutzergrößen (= Kohortengrößen; in der Abbildung als size bezeichnet) zusammen: 7.000, 6.000 und 18.000. Hier zeigt sich effektives Targeting, unabhängig von der Kohortengröße.

In einem dynamischen Umfeld wie dem Online-Marketing ist es wichtig, stets flexibel zu reagieren. Daher müssen Marketer die Testphase von FLoC nutzen, um sich vorzubereiten und die eigenen Daten anzureichern (First-Party-Daten). Daten, die Unternehmen auf den eigenen Domains messen bzw. erheben, werden zukünftig besonders essenziell. Bis die Third-Party-Cookies gänzlich verschwinden, müssen Verantwortliche diese zwingend auf ein stabiles Niveau bringen. In Bezug auf die Erhebung von First-Party-Daten stellte Google vergangenes Jahr ein Update seines beliebten Tracking-Tools vor. Google Analytics 4.0 soll im Umgang mit Daten vollkommen anders funktionieren als die Vorgängerversion Universal Analytics. Ein erfolgreicher Einsatz des Tools nach dem Wegfall von Third-Party-Cookies wäre somit gewährleistet. Machine-Learning-Mechanismen liefern datenschutzkonforme Informationen zu Entwicklungen und Kundenverhalten. Im Hinblick auf die Abschaffung der Third-Party-Cookies überzeugt Google vorerst mit seinem Update. Jedoch ist es ratsam, Universal Analytics und Analytics 4.0 für circa ein Jahr parallel laufen zu lassen. Gerade weil die Datenerhebung so unterschiedlich ist, können Analysedaten stark voneinander abweichen. Mit der parallelen Anwendung ist eine Vergleichbarkeit vorerst weiter gegeben und die neuen Funktionen können genutzt werden.

Neben FLoC soll es Marketern auch weiterhin möglich sein, User anzusprechen, welche bestimmte Handlungen auf Websites vorgenommen oder mit der Brand interagiert haben. Das Stichwort heißt: Remarketing. Ein Entwurf namens FLEDGE (First Locally-Executed Decision over Groups Experiment) wurde nun als Erweiterung des bisherigen TURTLEDOVE vorgestellt. Hier berücksichtigte Google bereits erstes Feedback aus der Branche. FLEDGE nutzt von Werbetreibenden zugewiesene Zugehörigkeitslisten für Nutzer, die beispielsweise eine Kategorieseite für Laufschuhe besuchen. Die Zuweisung nimmt der Werbetreibende auf der Seite direkt vor, wobei die Zugehörigkeit zu einer Liste lediglich in dem lokalen Browser gespeichert wird. Ähnlich zu FLoC wird diese Zugehörigkeit für die browserinternen Auktionen berücksichtigt. Die Beschränkung auf das Nutzergerät gewährleistet die Einhaltung der Privatsphäre. Die neue Technologie befindet sich allerdings noch in der Entwicklung.

Was ändert sich für den Nutzer?

Nicht nur für Werbetreibende ist FLoC ein Umbruch, auch privaten Nutzer sind davon betroffen. Drei wichtige Interessen des Nutzers sollten daher immer berücksichtigt werden:

• Privatsphäre
• Transparenz
• Kontrolle

Dem Wunsch nach Transparenz versucht Google bereits mit einigen bereitgestellten Informationen im Google-Account nachzukommen. Unter der Kategorie Daten und Personalisierung > personalisierte Werbung kann der Nutzer einsehen, für welche Bereiche er sich laut Google interessiert (vgl. Abbildung 3). Doch auch hier gibt es Einschränkungen: Der Nutzer muss Google Chrome verwenden und einen registrierten Google-Account besitzen. In Bezug auf FLoC sieht es mit der Transparenz noch etwas schlechter aus. Die Klarheit über die Art und Weise, wie Daten erhoben werden und anschließend eine Gruppenzuordnung stattfindet, ist noch nicht konkret vorhanden. Dagegen ist bekannt, dass der Browserverlauf als Grundlage für eine interessenbasierte Zielgruppe herangezogen wird. Ohne weitere Informationen werden wohl viele Nutzer diesen Eingriff in die Privatsphäre kritisch hinterfragen.

Dass sich vor allem der Wunsch nach mehr Privatsphäre stark entwickelt hat, ist eine Tatsache. Nutzer mögen es oft generell nicht, dass personenbezogene Daten erhoben bzw. gespeichert werden. Mögliche Sicherheitslücken des Systems stärken diese Einstellung. Die Unsicherheit über die Größe der Kohorten und die Sensibilität genutzter Daten stehen hier besonders im Fokus. Inwieweit Rückschlüsse auf einzelne User möglich sein werden, bleibt auch hier noch abzuwarten. In der aktuellen Version des Chrome-Browsers lassen sich Third-Party-Cookies in den Einstellungen unter Datenschutz und Sicherheit > Cookiesund andere Websitedaten blockieren (vgl. Abbildung 4). Diese Funktionalität soll es auch den kommenden Testpersonen von FLoC fürs Erste möglich machen, die Zuordnung in die Kohorten zu untersagen. Mit einem endgültigen Roll-out wird Google hier mit hoher Wahrscheinlichkeit auch die bestehende Option erweitern und noch deutlicher kommunizieren. Die aktuell im Browser gespeicherten Cookies lassen sich an selbiger Stelle einsehen (Alle Cookies und Websitedaten anzeigen). Ein User ohne größeres technisches Verständnis kann jedoch mit den gewonnenen Informationen wenig anfangen. Hier ist dann oftmals das Löschen sämtlicher Cookies eine Option.

Nutzer sollten die uneingeschränkte Kontrolle haben, um ihr Veto gegen die FLoC-API einzulegen. Für Webseitenbetreiber ist bereits eine Möglichkeit bekannt, um nicht in den Algorithmus einzufließen. Die eigene Domain wird folglich nicht auf Inhalte untersucht und fließt somit nicht in die Gruppierung mit ein. Usern, die es besonders sicher haben möchten, rät der Suchmaschinenanbieter DuckDuckGo zu seinem Chrome Plug-in – Privacy Essentials. Diese Erweiterung bietet umfangreichen Schutz für die Privatsphäre im Netz. Neben einer eigenen Suchmaschine bietet das Plug-in viele Funktionen für den Datenschutz, zum Beispiel erste Gegenmaßnahmen gegen FLoC.

Neben den oben genannten Interessen (Privatsphäre, Transparenz, Kontrolle) sollte die Bedeutung von relevanten Inhalten und Werbung für Nutzer nicht vernachlässigt werden. Es ist ein Irrglaube, dass ausnahmslos jeder private Surfer die Drittanbieter-Cookies ablehnt. Denn darauf basierende zielgerichtete Werbemaßnahmen waren für einige Nutzergruppen ein bedeutsamer Bestandteil des Surfens im Netz. Ähnlich wie Online-Marketer laufen auch User in der Frühphase Gefahr, Einbußen in Bezug auf die Relevanz der Inhalte hinnehmen zu müssen. Fraglich bleibt, wie gravierend diese ausfallen und ob der Nutzer sie bemerkt.

Status quo (Anfang Mai 2021)

Nachrichten rund um die Privacy Sandbox und FLoC erscheinen fast täglich. Daher ist aktuell nur eine Momentaufnahme möglich. Wie angekündigt, startete Google in Q2 erste Tests rund um die neue Technologie. Die Nutzer für die Tests kommen vorwiegend aus den USA und anderen ausgewählten Ländern. Europäische Nutzer wird es vorerst nicht geben, da FLoC nicht DSGVO-konform ist. Die Erlaubnisabfrage der Nutzer ist bisher noch ungeklärt. Eine Tatsache, die etwas absurd erscheint, wenn man sich noch einmal das Hauptziel der Einführung von FLoC im Rahmen der Privacy Sandbox vor Augen führt. Die Info, dass ca. 0,5 % der Chrome-Nutzer getestet werden, drang an die Öffentlichkeit. Unklar ist jedoch, wer genau sich in dieser Testgruppe befindet. Mittels der Domain amiFLoCed.com sollen heimliche Testpersonen identifiziert werden können. Die Domain gehört wohl eher nicht zu den Befürwortern von FLoC, da sie auf provokative Weise prüft, ob ein User „geFLoCet“ werden (vgl. Abbildung 5).

Zur Transparenz der Kohorten-Methode kamen von Google bisher nur einige oberflächliche Blog-Posts und zwei eher technische Whitepaper. Hier verpasst das Unternehmen die Gelegenheit, sein System der Öffentlichkeit verständlich zu präsentieren. Diese Unklarheit nutzten einige Browseranbieter wie Vivaldi, Brave, Mozilla und auch Microsoft und stemmten sich gegen die Einführung des Google-Systems. Besonders hart dürfte Google jedoch die angekündigte Blockierung durch WordPress treffen. Als CMS-Marktführer steckt WordPress hinter fast 40 % aller Webseiten im Netz. Begründet wird die Blockierung mit Hinweis auf Unklarheiten über Zugriffsrechte der erhobenen Daten. WordPress befürchtet zudem, dass die Möglichkeiten für digitales Fingerprinting vereinfacht werden.