Auf dem Blog hrih.si zählt Umami die Besucher vom eigenen Server aus, ohne Cookies und ohne gespeicherte IP-Adresse. Trotzdem weist die Statistik zu jedem Seitenaufruf die ungefähre Stadt aus. Der Essay „Wer hat den Ausschalter in der Hand?“ leitet daraus fünf Gesellschaftsmodelle ab, die sich in einer Frage unterscheiden: bei wem der Ausschalter für die Daten liegt.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügen„Ich wollte nie einen Tracker bauen. Ich wollte Seitenaufrufe zählen“, schreibt hrih im Essay vom 22. Oktober.[1] Die Ortung erledigt Umami ab Werk. Sammeln ist fast überall die Voreinstellung, selbst in Software von Entwicklern, die bewusst darauf verzichten wollen.
Das Wichtigste in Kürze
- Umami bestimmt Land, Region und Stadt aus der IP-Adresse jedes Aufrufs.
- Der Essay beschreibt fünf Gesellschaftsmodelle von China bis Kenia.
- Nach einem EuGH-Urteil kann schon eine dynamische IP-Adresse ein personenbezogenes Datum sein.
- Für 2035 erwartet der Essay die Einwilligung als einmalige Einstellung in Browser oder Wallet.
Woher kennt eine Statistik ohne Cookies die Stadt?
Umami schlägt die IP-Adresse jedes Aufrufs nach: zuerst in HTTP-Headern, die CDNs wie Cloudflare, Vercel oder Amazon CloudFront mitschicken, sonst in einer lokalen Geodatenbank im Format GeoLite2-City von MaxMind. In der Statistik landen Land, Region und Stadt.[2]
Eine anonyme Besucher-ID errechnet das quelloffene Werkzeug aus IP-Adresse, Browserkennung, einem geheimen Schlüssel der Installation und einem Zufallswert (Salt), der standardmäßig jeden Monat wechselt.[3] So erkennt Umami wiederkehrende Besucher ohne Cookie.
Artikel 4 der DSGVO zählt schon das Erheben und Abfragen von Daten zur Verarbeitung, nicht erst das Speichern. Der Europäische Gerichtshof entschied am 19. Oktober 2016 im Fall Breyer, dass eine dynamische IP-Adresse für den Betreiber einer Website ein personenbezogenes Datum sein kann.[4] Der Ortsabgleich gehört deshalb in die Datenschutzerklärung.
Welche fünf Modelle beschreibt der Essay?
Der Essay ordnet die Welt danach, wer 2035 am Hebel sitzt: in China der Staat, in der EU das Gesetz, in den USA der zahlende Datenkäufer, in Indien der Nutzer auf staatlicher Infrastruktur und in Ländern, die erst jetzt ans Netz gehen, oft der Anbieter von Smartphone und Ausweis.
Beim Regelwerk der EU fällt das Urteil zwiespältig aus. Seit Mai 2018 verhängten die Aufsichtsbehörden DSGVO-Bußgelder von 7,1 Mrd. €, allein 2025 rund 1,2 Mrd. €.[5] Für die meisten Menschen sei das sichtbarste Ergebnis ein Banner, das sie ungelesen wegklicken. Mehr Sorgen macht sich hrih um den Staat, der über Altersprüfungen und Ausweispflichten mehr Schalter in die Hand bekommen könnte. In Indien fürchten 21 Verlage wegen des neuen Datenschutzgesetzes um ihre Redaktionen.
Die fünf Modelle laut Essay
Wo die DACH-Region steht
Selbst ein Zähler ohne Cookies kennt bei Umami ab Werk die Stadt seiner Besucher. Datensparsam wird eine Website erst durch die Einstellungen ihres Betreibers.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Website-Betreiber jetzt prüfen?
Betreiber sollten nachsehen, welche Ortsdaten ihre Statistik aus CDN-Headern oder Geodatenbanken ableitet, diese Verarbeitung samt Rechtsgrundlage in der Datenschutzerklärung nennen und den Detailgrad auf das nötige Maß begrenzen.
Umami bietet dafür Stellschrauben: SALT_ROTATION tauscht den Salt auf Wunsch täglich statt monatlich, SKIP_BUILD_GEO überspringt beim Build die Einrichtung der lokalen Geodatenbank.[3] Ob danach noch CDN-Header Ortsdaten liefern, zeigt ein Testaufruf. Alternativen zeigt unser Vergleich der Analyse-Tools, Wege ohne Drittanbieter-Cookies beschreibt der Ratgeber zum First-Party-Tracking.
Für 2035 erwartet hrih, dass die Einwilligung als einmalige Einstellung in Browser oder Wallet wandert. In Deutschland regelt die Einwilligungsverwaltungsverordnung seit dem 1. April 2025 anerkannte Dienste, die Einwilligungen zentral verwalten; Website-Betreiber binden sie freiwillig ein.[8] Die staatliche EUDI-Wallet soll am 2. Januar 2027 starten,[6] in der Schweiz stimmten am 28. September 2025 50,39 % der Abstimmenden für die E-ID.[7] Wie schnell Browser Cookie-Regeln ändern, zeigte jüngst Safari 27.2.
Quellen
8 Quellen anzeigenQuellen ausblenden
- hrihWho holds the off switch?
- Umami auf GitHubsrc/lib/detect.ts
- UmamiEnvironment variables
- EUR-LexUrteil des Gerichtshofs vom 19. Oktober 2016, Rechtssache C-582/14, Breyer
- DLA PiperDLA Piper GDPR fines and data breach survey: January 2026
- Deutscher Bundestag, hib 618/2026Digitale Brieftasche soll 2027 starten
- Schweizerische Eidgenossenschafte-ID law approved at the ballot box
- Gesetze im InternetEinwilligungsverwaltungsverordnung (EinwV), § 18
Mehr Newshunger?
- Datenpannen: EU-Staaten wollen die Meldepflicht auf Fälle mit hohem Risiko beschränken
- Complianz mit über 1 Million Installationen: zweite Lücke im Cookie-Blocker binnen eines Monats
- Discord macht ab Dezember Nachrichten aus 63.000 öffentlichen Servern über die Websuche auffindbar
- Meta klagt gegen Ofcom: Streit um die höchste Stufe des Online Safety Act
- So richten Sie Google Analytics 4 rechtssicher ein
