Jscrambler knüpft mit der neuen Untersuchung an eine frühere Studie an, in der die Forscher beschrieben hatten, dass TikTok und Meta Tracking-Pixel einsetzen, um Nutzer auch nach dem Wechsel auf Werbekundenseiten zu verfolgen und dabei personenbezogene Informationen zu erhalten. Die nun veröffentlichte Analyse konzentriert sich auf Websites von Finanzinstituten und zeichnet ein ähnliches Bild: Tracking-Technologien werden auf sensiblen Seiten ausgelöst und senden Daten an Plattformen, die nicht von den Banken kontrolliert werden.

In dem begleitenden Forschungsbeitrag schreibt Jscrambler, dass Tracking-Pixel und Personalisierungs-Tags früher vor allem Werbeeinblendungen oder Besuche gezählt hätten. Auf Bankseiten lägen dieselben Tags heute neben Hypothekenrechnern, Formularen zur Kontoeröffnung und Kreditanträgen und verhielten sich dort wie auf der Bezahlseite eines Onlinehändlers. Nach Darstellung des Unternehmens sammeln sie Kontaktdaten, hashen diese, verknüpfen sie mit dauerhaften Kennungen und übermitteln Produkt- sowie Finanzinteressen an externe Plattformen. Viele Institute dürften kaum erkennen, wie viel davon standardmäßig geschieht.

Ein von Jscrambler beschriebenes Beispiel betrifft eine spanische Bank. Während eines Hypothekenantrags bekamen Nutzer die üblichen Optionen zum Akzeptieren, Konfigurieren oder Ablehnen von Cookies angezeigt. Nach der Zustimmung erhielt TikTok über eine Anfrage an seinen Pixel-Endpunkt die gehashte E-Mail-Adresse und Telefonnummer des Nutzers; die Anfrage stammte aus einem eingebetteten Iframe auf der Hypothekenseite. Laut Jscrambler taucht TikTok weder in der Cookie-Richtlinie noch in der Datenschutzerklärung der Bank als Anbieter auf, sodass Kunden daraus nicht erkennen konnten, dass eine Zustimmung zur Übertragung gehashter Daten an TikTok führt.

In einem weiteren Fall bei einer portugiesischen Bank wurden personenbezogene Daten nach Angaben der Forscher gar nicht gehasht. Während des Ablaufs zur Kontoeröffnung sendete ein Tracking-Pixel eine Anfrage an Evergage, heute Salesforce Interaction Studio, wobei die E-Mail-Adresse des Nutzers in der Anforderungs-URL enthalten war. Spätere Schritte desselben Prozesses übermittelten zusätzliche personenbezogene Angaben, darunter Name, Alter, die portugiesische Steuernummer NIF und einen Kontakt-Schlüssel aus Salesforce Marketing Cloud.

Ein portugiesischer Anbieter von Verbraucherkrediten übermittelte laut Jscrambler über Google Analytics die vollständige URL eines Kreditantrags. Darin enthalten waren kodierte finanzielle Details wie Kredithöhe, Laufzeit und der Hinweis, dass eine Versicherung ausgewählt worden war. Je nach Fall begann das Tracking schon vor dem Einholen einer Einwilligung, startete erneut beim Wechsel auf eine andere Subdomain oder lief weiter, obwohl die Tracking-Anfrage vermerkte, dass Cookies abgelehnt worden waren.

Die Verantwortungsfrage bewertet Jscrambler als komplex. TikTok und Meta hätten früher darauf verwiesen, dass Werbekunden die Parameter dieser Tracker setzen und damit die Hauptverantwortung bei den Website-Betreibern, also den Banken, liege. Jscrambler widerspricht dieser Sichtweise und argumentiert, viele Kontrollmechanismen, durch die große Datenmengen an diese Plattformen weitergeleitet werden können, seien standardmäßig aktiviert. Funktionen wie automatisches erweitertes Matching seien per Voreinstellung aktiv und darauf ausgelegt, Kontaktdaten ohne ausdrückliche Handlung des Website-Betreibers zu erfassen und zu hashen. In solchen Situationen werde das Standardverhalten der Plattformen zu einem maßgeblichen Faktor für die tatsächlich erhobenen und übertragenen Daten.

Rechtlich verweist der Bericht auf mehrere europäische Regelwerke. Die Datenschutz-Grundverordnung verlangt, dass Organisationen Nutzerdaten nicht missbrauchen. Für Finanzinstitute kommt laut Jscrambler insbesondere der Digital Operational Resilience Act hinzu, der von Banken, Versicherern, Investmentfirmen und ähnlichen Einrichtungen verlangt, dass ihre Technologien und Zulieferer keine zusätzlichen Risiken schaffen. Außerdem regelt die ePrivacy-Richtlinie digitale Cookies und Tracking-Werkzeuge. Als Beispiel nennt der Text eine Geldbuße der französischen Kommission für digitale Freiheit aus dem Jahr 2020: Google wurde mit 100 Millionen Euro und Amazon mit 35 Millionen Euro belegt, weil Werbe-Cookies ohne klare Zweckbeschreibung und vor einer Einwilligung gesetzt wurden. Zusätzlich verweist Jscrambler auf die Pflichten aus der Zahlungsdiensterichtlinie PSD2 beim sicheren Umgang mit Finanz- und Zahlungsdaten.

Als Gegenmaßnahmen empfiehlt Jscrambler Finanzinstituten, das Laufzeitverhalten ihrer Seiten zu überwachen, Laufzeitkontrollen durchzusetzen, Einwilligungsentscheidungen praktisch umzusetzen — also erst nach Zustimmung zu tracken und diese Zustimmung über Subdomains hinweg korrekt zu berücksichtigen — sowie erweitertes Matching und automatische Datenerfassung dort abzuschalten, wo sie nicht gerechtfertigt sind. Gareth Bowker, Leiter der Sicherheitsforschung bei Jscrambler, sagte Dark Reading, das Problem sei zugleich ein Datenschutz-, Sicherheits- und Drittparteirisiko. Gerade deshalb falle es häufig durch die Zuständigkeitslücken.