Wie ein Tracking-Pixel funktioniert und was er nicht sehen kann

Was ist ein Tracking-Pixel?

Marketer betten einen Tracking-Pixel ein, ein 1x1-Bild hinter einer URL, die die Kampagne benennt, damit das Rendern der Seite oder der E-Mail eine Anfrage an einen Server erzwingt, der sie protokolliert. Das Bild ist nebensächlich. Die Anfrage ist das Produkt.

Meta liefert das Muster im eigenen dokumentierten Basiscode aus, als Rückfallebene für Besucher, deren Browser die JavaScript-Variante nicht ausführt:

<noscript>
  <img height="1" width="1" style="display:none"
       src="https://www.facebook.com/tr?id={your-pixel-id-goes-here}&ev=PageView&noscript=1"/>
</noscript>

Alles, was ein Pixel meldet, steht in dieser URL oder in den Headern, die der Client anhängt. id benennt das Konto, ev=PageView benennt das Ereignis, noscript=1 hält fest, dass dies der Rückfallpfad war. Der Antwortkörper ist für den Absender belanglos, weshalb solche Endpunkte ein transparentes 1x1-GIF oder ein leeres 204 No Content zurückgeben und das Element mit display:none versteckt wird.

Was bekommt der Server tatsächlich?

Mit einer Pixelanfrage treffen fünf Dinge ein, und nur eines davon wählt aus, wer den Pixel platziert hat.

Beachten Sie, was fehlt. Kein Seitentitel, keine Bildschirmgröße, keine Scrollposition und keine Verweildauer, weil nichts davon in dem Moment existiert, in dem ein Bild angefordert wird. Ein Pixeltreffer ist eine Zeile in einem Zugriffsprotokoll, und jedes Feld darin wurde entweder automatisch vom Client angehängt oder Wochen zuvor vom Absender in die URL geschrieben. Analysten schreiben Pixeldaten routinemäßig eine Detailtiefe zu, die sie nicht tragen können, und erklären die entstehenden Lücken dann mit Adblockern.

Die Zeile Referer ist die, bei der die meisten weiterhin danebenliegen. Browser verwenden standardmäßig strict-origin-when-cross-origin, was MDN so beschreibt, dass bei einer Same-Origin-Anfrage "the origin, path, and query string when performing a same-origin request" gesendet wird, bei seitenübergreifenden Anfragen dagegen nur "the origin (only) when the protocol security level stays same (HTTPS to HTTPS)." Ein Third-Party-Pixel erfährt also die Site, nicht die Seite, sofern der Seitenbetreiber den Pfad nicht absichtlich im Query-String mitgibt.

Was kann ein Pixel nicht, was ein Skript kann?

Ein Pixel kann die Seite nicht lesen, auf der er sitzt. Er feuert einmal, trägt nur, was die URL ohnehin enthielt, und dann ist die Anfrage vorbei.

Metas Dokumentation zeigt die Lücke innerhalb eines einzigen Produkts. Der JavaScript-Pixel, heißt es dort, "will track URLs visited, domains visited, and the devices your visitors use." Das noscript-Bild darunter meldet einen einzelnen PageView mit den Parametern, die schon in der src standen. Dasselbe Konto, derselbe Ereignisname, ein Bruchteil der Details.

Deshalb ist ein Pixel in den meisten Debatten über Web-Analytics auch das falsche Werkzeug und die falsche Sorge. Skriptbasierte Messung liest die Seite; der Pixel ist die abgespeckte Rückfallebene. Für die größere Frage, was eine Third-Party-Anfrage über Sites hinweg zusammenführen kann, zählen seitenübergreifendes Tracking und der Unterschied zwischen First-Party und Third-Party Cookies weit mehr als die Größe des Bildes.

Warum überzeichnen E-Mail-Öffnungsraten die Öffnungen?

Öffnungstracking per E-Mail ist der klassische Einsatzfall für Pixel, und er ist der erste, der zerbrochen ist. In der E-Mail gibt es kein Öffnungsereignis. Es gibt nur ein entferntes Bild, das das Mailprogramm holen kann oder nicht, die ganze Kennzahl ruht also darauf, dass sich der Client so verhält wie 2010.

Apples Protect Mail Activity, die Einstellung hinter Mail Privacy Protection, bricht den Schluss an zwei Stellen. Apple schreibt, sie "helps protect your privacy by preventing email senders, including Apple, from learning information about your Mail activity", und beschreibt den Mechanismus ohne Zweideutigkeit: Sie "downloads remote content in the background by default", unabhängig davon, ob die Empfängerin sich mit der E-Mail befasst. Dieser eine Satz verwandelt eine Öffnungsrate für jede Empfängerin mit aktivierter Einstellung in eine Zustellrate. Auf der Netzwerkseite leitet Apple "routes all remote content downloaded by Mail through two separate relays operated by different entities", die IP-Adresse, die beim Absender ankommt, ist also nicht die der Empfängerin, und "senders can't use your IP address as a unique identifier to connect your activity across websites or apps to build a profile about you."

Gmail greift dasselbe Signal aus einer anderen Richtung an, indem es Bilder selbst prüft und ausliefert. Googles Hilfeseite hält fest, dass "senders can't use image loading to get information about your computer or location" und dass "senders can't use the image to set or read cookies in your browser." Sie räumt die Grenze dieses Schutzes in einer Zeile ein: "sometimes, senders may know whether you've opened an email that has an image."

Lesen Sie die Konsequenz genau, bevor Sie über eine Kampagne berichten. Die Öffnungsrate ist inzwischen eine Obergrenze, die überwiegend aus automatischen Abrufen besteht, und die Zahlen blähen sich in den Segmenten mit den meisten Apple-Mail-Nutzern am stärksten auf, ein Vergleich von Öffnungsraten zwischen Segmenten vergleicht also Mailprogramme. Klicks verlangen weiterhin einen Menschen, weshalb die Klickrate und der dem Klick zugerechnete Umsatz die Veränderung überstehen. Dieselbe Überlegung gilt für serverseitiges Tracking im Web: Je näher die Messung an einer Handlung sitzt, die ein Mensch ausführen musste, desto weniger hängt sie an einer Eigenheit des Renderns.

Ist ein Tracking-Pixel dasselbe wie ein Web Beacon oder ein Spy-Pixel?

Ja, das sind drei Namen für einen Mechanismus mit unterschiedlichem Beiklang. "Web Beacon" ist der ältere neutrale Begriff, "Tracking-Pixel" der Begriff der Anbieter, und "Spy-Pixel" der Begriff, der sich durchsetzte, als Journalisten anfingen zu zählen, wie viele Marketing-Mails einen tragen. Das HTML ist in allen drei Fällen identisch.

Um einen zu erkennen, braucht es ein Netzwerk-Panel und sonst nichts. Filtern Sie Anfragen nach Bildtyp, sortieren Sie nach Größe und suchen Sie nach Antworten von wenigen hundert Byte oder weniger, deren URL eine Kennung und einen Ereignisnamen trägt. In einer E-Mail findet die Ansicht der Rohnachricht und eine Suche im HTML nach img-Tags mit width oder height von 1 dasselbe, bevor der Client überhaupt rendert.

Was sich unterscheidet, sind Offenlegung und Rechtsraum, nicht die Technik. Ein Pixel, der einen Kauf an eine Werbeplattform meldet, einer, der misst, ob ein Newsletter zugestellt wurde, und einer, der einen Leser über Sites hinweg fingerprintet, sehen im Markup gleich aus und werden vom Datenschutzrecht sehr unterschiedlich behandelt. Das Element sagt nichts über die Absicht; die Zieldomain und die Parameter in der URL tun es.

Häufig gestellte Fragen

Warum ist ein Tracking-Pixel 1x1?

Weil er angefordert werden muss, ohne gesehen zu werden. Ein Pixel ist das kleinste gültige Bild, und es wird meist mit display:none versteckt oder an den Hintergrund angepasst, damit im Layout nichts verrutscht.

Kann ein Tracking-Pixel meine E-Mail-Adresse lesen?

Nur die, die bereits in seiner URL steht. Absender hängen vor dem Versand eine Empfängerkennung an den Query-String, der Pixel liefert also die Identität zurück, die sie ohnehin hatten, und nicht eine, die er entdeckt hat.

Stoppen Adblocker Tracking-Pixel?

Blocklisten gleichen die Anfrage-URL ab, ein Pixel, der auf eine bekannte Werbedomain zeigt, wird also wie jede andere Anfrage von dieser Domain blockiert. Ein Pixel von der eigenen Domain der Site lässt sich von einer Liste schwerer einordnen.

Blockiert Apple Mail Privacy Protection Pixel?

Den Abruf blockiert es nicht. Apple lädt entfernte Inhalte standardmäßig im Hintergrund, ob die Nachricht beachtet wird oder nicht, und leitet sie über zwei Relays, die Anfrage kommt also weiterhin an, doch die Öffnung, der Zeitpunkt und die IP-Adresse bedeuten nicht mehr, was der Absender annimmt.

Kann ein Pixel ein Cookie setzen?

Seine Antwort kann Set-Cookie für die eigene Domain senden, was ein Third-Party Cookie ist, wenn der Pixel auf der Seite eines anderen sitzt. Ob der Browser es speichert und später zurückgibt, hängt von dessen Third-Party-Cookie-Regeln ab.

Ist ein Tracking-Pixel personenbezogenes Datum nach DSGVO?

Das Bild ist es nicht, die Daten, die es erhebt, können es sein. Eine IP-Adresse plus eine Empfängerkennung im Query-String identifiziert eine Person, und das ist der Maßstab, nicht das Dateiformat.

Funktioniert ein Tracking-Pixel, wenn JavaScript deaktiviert ist?

Ein Pixel braucht kein JavaScript, um zu funktionieren. Metas Basiscode enthält genau dafür einen <noscript>-Fallback aus einem einfachen <img>-Tag, denn das Laden eines beliebigen Bildes zwingt den Browser unabhängig von der Skriptunterstützung zur Anfrage. Das ist der gesamte Mechanismus: die URL anfragen und den Treffer protokollieren.

Warum liefern Tracking-Pixel ein leeres Bild oder eine 204-Antwort zurück?

Der Absender liest die Antwort nie. Wichtig ist nur, dass die Anfrage den Server erreicht und protokolliert wird, deshalb antworten die Endpunkte mit einem transparenten 1x1-GIF oder einem leeren 204 No Content statt mit etwas Sinnvollem. Das display:none am Element folgt derselben Logik, denn am Bild selbst soll nichts zu sehen sein.

Kann ein Tracking-Pixel zählen, wie oft jemand eine E-Mail geöffnet hat?

Nicht zuverlässig. Apples Protect Mail Activity löst bei jedem Hintergrund-Download aus, unabhängig davon, ob die Nachricht geöffnet wurde, sodass sich wiederholte Öffnungen nicht vom ersten Abruf unterscheiden lassen. Gmail speichert das proxied Bild im Cache, wodurch eine zweite Öffnung ganz unbemerkt bleiben kann.

Weiß ein Tracking-Pixel, auf welcher Seite sich jemand befindet?

Meist nicht über die Domain hinaus. Browser verwenden standardmäßig strict-origin-when-cross-origin, das den vollständigen Pfad nur bei Same-Origin-Anfragen sendet und ihn bei Cross-Origin-Anfragen auf die Origin kürzt. Ein Pixel eines Drittanbieters erfährt also die Domain, die es eingebettet hat, nicht die konkrete Seite, es sei denn, der Seitenbetreiber hat den Pfad selbst in den Query-String geschrieben.