Let’s Encrypt ist eine neue Zertifizierungsstelle (CA) von der gemeinnützigen Internet Security Research Group (ISRG), die unter anderem von Mozilla, der Electronic Frontier Foundation (EFF), Cisco Systems, Akamai und der Linux Foundation gegründet wurde. Bereits Ende August habe ich über Let’s Encrypt berichtet.

Mittlerweile verzeichnet das Projekt große Fortschritte, sodass die öffentliche Betaphase am 3. Dezember starten soll. Das erste Zertifikat wurde wie geplant Anfang September ausgestellt und seit dem 12. September läuft ein geschlossener Betatest. Seit Oktober werden Zertifikate von Let’s Encrypt dank Cross-Signierung seitens IdenTrust von allen großen Browsern akzeptiert. Insgesamt wurden bereits über 11.000 Zertifikate verteilt.

Mit dem Start der öffentlichen Beta kann dann jedermann ein kostenloses Zertifikat beantragen und testen. Damit kommt das Projekt seinem Ziel, mehr Verschlüsselung im Internet bereitzustellen, ein großes Stück näher. Die Macher erhoffen sich von der öffentlichen Betaphase viele Rückmeldungen, sodass sie sich schnellstmöglich auf die finale Version vorbereiten können.

Obwohl die letzte Änderung am Google-Logo erst ca. zwei Jahre her ist, hat der Internetriese sein Logo erneut überarbeitet. Am 1. September 2015 präsentierte Google sein neues Logo und mittlerweile wurde es auch bereits weltweit ausgerollt.

Auffälligste Neuerung ist die eigens für das neue Logo entworfene Schriftart namens “Product Sans”. Im Gegensatz zur bisherigen Schriftart handelt es sich bei “Product Sans” um eine Groteskschrift, also eine Schrift ohne Serifen. Sämtliche runden Formen der Schrift lassen sich aus einem Kreis ableiten. Der schräge Strich im kleinen E wurde aber beibehalten. Außerdem wurden die verwendeten Farben leicht geändert. Es kommen weder Schattierungen noch verschiedene Farbnuancen zum Einsatz.

Neben dem Google-Logo wurden auch die Logos der weiteren Google-Produkte (Google+, Google Maps, Google Docs, …) überarbeitet. Dabei wurde großes Augenmerk auf ein einheitliches Erscheinungsbild über alle Dienste hinweg gelegt. In gewisser Weise hat das neue Logo sicherlich auch etwas mit der neuen Dachgesellschaft Alphabet zu tun, mit Hilfe derer Google Mitte August eine Restrukturierung des Unternehmens initiiert hatte.

neues Google-Logo seit 1. September 2015

altes Google-Logo 19. September 2013 bis 31. August 2015

Let’s Encrypt ist eine neue Zertifizierungsstelle (CA), die Ende 2014 gegründet wurde und sich gerade im Aufbau befindet. Angeboten wird der Dienst von der gemeinnützigen Internet Security Research Group (ISRG). Als Hauptinitiatoren gelten Mozilla und die Electronic Frontier Foundation (EFF), die aber auch Unterstützung von namenhaften Unternehmen wie Akamai, Cisco Systems oder der Linux Foundation erhalten.

Ziel von Let’s Encrypt ist es, kostenlose Zertifikate für die verschlüsselte Übertragung im Web anzubieten. Gleichzeitig soll der Aufwand für die Einrichtung und Pflege von TLS-Verbindungen deutlich gesenkt werden. Dazu kommt das Protokoll Automated Certificate Management Environment (ACME) zum Einsatz, welches einen automatisierten Prozess für Erstellung, Validierung, Signierung, Einrichtung und Erneuerung von Zertifikaten bereitstellen soll.

Anfang Juni hat Let’s Encrypt die benötigten Zwischen- und Stammzertifikate (auch als Wurzelzertifikat oder Root-Zertifikat bezeichnet) erzeugt. Vor wenigen Tagen wurde bekannt gegeben, dass die erste Zertifikatsausstellung und die Aufnahme des Testbetriebs ab dem 7. September stattfinden werden. Während des zehnwöchigen Testlaufs wird allerdings eine Anmeldung vorausgesetzt. Ab dem 16. November soll dann der Normalbetrieb aufgenommen werden. Dann soll jedermann ohne Anmeldung Zertifikate erhalten können.

Vorläufig sollen die Zertifikate mit Hilfe der Zwischenstelle ausgestellt werden, die ihrerseits durch die Zertifizierungsstelle von IdenTrust signiert sei. Dadurch ist sichergestellt, dass Zertifikate von Let’s Encrypt von allen Browsern akzeptiert werden. Früher oder später soll jedoch auch das eigene Root-Zertifikat von Let’s Encrypt in den meistbenutzten Browsern als vertrauenswürdig hinterlegt werden. Dank der Mitarbeit von Mozilla wird Firefox vermutlich der erste Browser sein, der das Root-Zertifikat einbinden wird. Wer nicht darauf warten möchte, kann das Root-Zertifikat bereits jetzt selbst installieren.

Relativ überraschend hat Google gestern alle AdSense-Kunden angeschrieben und auf die EU-Cookie-Richtlinie verwiesen. Demnach müssen alle Nutzer ihre Webseiten und Apps bis spätestens 30. September 2015 mit Cookie-Hinweisen versehen.

Konkret schreibt Google:

Lieber Publisher,

hiermit möchten wir Sie auf eine neue Richtlinie zur Einholung der Zustimmung der Endnutzer in der EU hinweisen, mit der den geltenden gesetzlichen Vorgaben und Best Practices Rechnung getragen wird. Diese Richtlinie sieht vor, dass Sie zur Einholung der Zustimmung des Endnutzers verpflichtet sind, wenn Sie Produkte wie Google AdSense, DoubleClick for Publishers und DoubleClick Ad Exchange einsetzen.

Bitte lesen Sie möglichst bald unsere Richtlinie zur Zustimmung der Nutzer in der EU. Gemäß diesen Richtlinien müssen Sie die Zustimmung der Endnutzer in der EU einholen, wenn Sie Google-Produkte einsetzen und dabei Cookies und andere Daten gespeichert und abgerufen sowie Daten erfasst, weitergegeben und genutzt werden. Die Richtlinie hat keine Auswirkungen auf die in Ihrem Vertrag enthaltenen Bestimmungen über das Eigentum an Daten.

Bitte setzen Sie diese Richtlinie so bald wie möglich um, spätestens jedoch bis zum 30. September 2015.

Falls Ihre Website oder App über keinen der Richtlinie entsprechenden Zustimmungsmechanismus verfügt, implementieren Sie bitte jetzt einen solchen. Um Ihnen die Implementierung zu erleichtern, haben wir einige hilfreiche Ressourcen unter cookiechoices.org für Sie zusammengestellt.

Diese Richtlinienänderung erfolgte in Reaktion auf die Best Practices und rechtlichen Vorgaben der europäischen Datenschutzbehörden. Entsprechend diesen Vorgaben wurden vor kurzem auch Änderungen an Googles eigenen Websites vorgenommen.

Vielen Dank für Ihr Verständnis und Ihre Mithilfe

Mit freundlichen Grüßen
Ihr Google-Richtlinienteam

Was ist die Cookie-Richtlinie?

Die sogenannte “Cookie-Richtlinie” (E-Privacy-Richtlinie 2009/136/EG) wurde von der EU am 25. November 2009 verabschiedet. Ihr ursprüngliches Ziel war es, dass nicht notwendige Cookies, vor allem “Tracking & Targeting”-Cookies, nur mit der Zustimmung der Besucher gesetzt werden dürfen. Wenn es nach den Gesetzgebern ginge, sollten solche Cookies ohne die ausdrückliche Zustimmung der Nutzer (Opt-in) nicht gesetzt werden. In der Praxis wurde dies aber so gut wie nicht umgesetzt. Anstatt dessen haben sich im Internet mittlerweile die sogenannten Cookie-Hinweise durchgesetzt, auch wenn sie nicht direkt den EU-Anforderungen entsprechen. Das bedeutet Cookies werden zunächst eingesetzt und die Nutzer werden erst nachträglich auf diese Tatsache hingewiesen. Außerdem können die Nutzer den Cookies mittels Opt-out-Lösung widersprechen.

In den EU-Ländern sollte die Richtlinie bis zum 31. Mai 2011 in nationale Gesetze umgesetzt werden. Dies ist größtenteils geschehen, in Deutschland allerdings nicht. Hauptgrund ist das Telemediengesetz (TMG), genauer gesagt § 15 Abs.3. Dort ist geregelt, dass Nutzer auf Cookies und vorhandene Opt-out-Lösungen hingewiesen werden müssen. In der Praxis reicht/reichte es in diesem Fall aus, die Cookie- und Opt-out-Hinweise in der Datenschutzerklärung aufzuführen. Da das TMG bereits vor der Cookie-Richtlinie vorhanden war, sahen sich die meisten Webseitenbetreiber zu keinen Änderungen gezwungen. Bis zum heutigen Tag ist jedoch unklar, ob eine vollständige Umsetzung der Cookie-Richtlinie mit dem § 15 Abs.3 TMG erfolgt ist.

Im Zweifelsfall wurde diese Frage mit “Ja” beantwortet, sodass auf deutschen Webseiten immer noch so gut wie keine expliziten Cookie-Hinweise anzutreffen sind.

Google forciert Cookie-Hinweise in Deutschland

Spätestens seit der E-Mail von gestern ist klar: Google hat ein großes Interesse, dass die Cookie-Hinweise auch in Deutschland ordentlich umgesetzt werden. Eine breite Umsetzung soll also quasi als Schutz gegen noch strengere Gesetze fungieren. Ob das funktioniert ist natürlich nicht gesagt, aber Google scheint dieser Meinung zu sein. Aus diesem Grund sollen alle Webseiten und Apps, die Google AdSense, DoubleClick for Publishers und DoubleClick Ad Exchange nutzen, bis spätestens 30. September 2015 mit einem Cookie-Hinweis versehen werden.

Sofern die Strategie ohne größere Gegenwehr aufgeht, werden wohl weitere Google-Dienste folgen, allem voran Google Analystics.

Obwohl die Konsequenzen für eine Nicht-Umsetzung der Cookie-Hinweise unklar ist, empfehle ich euch die Hinweise bis zum 30. September 2015 in eurer Webseite oder App zu implementieren. Gerade beim Thema AdSense ist Google sehr streng. Wer die AdSense-Richtlinien nicht einhält könnte demnach sehr schnell und ohne Vorwarnung mit einem gesperrten Konto dastehen.

Umsetzung der Cookie-Hinweise

Google bietet auf der Webseite http://www.cookiechoices.org einige Tipps für die Umsetzung der Cookie-Hinweise. Für Webseiten sind eine Reihe von Links vorhanden, die fertige Lösungen für Cookie-Hinweise anbieten. Außerdem wird dort ein Beispiel-Code für die Umsetzung bei iOS- und Android-Apps geboten.

Die Möglichkeit eines Opt-outs für Google AdSense ist aktuell nicht vorhanden.

Hier gibts weitere Informationen rund um das Thema Cookie-Hinweise:

• Info-Seite von Google
• Häufig gestellte Fragen
• Ankündigung im AdSense-Blog
• Google macht Cookie-Hinweise zur Pflicht – Handlungsempfehlung für Website- und Appanbieter [Schwenke Rechtsanwaltskanzlei]