Sie haben ein Skript installiert, um Ihre Leser zu beobachten.
Es schaut zurück, und es meldet anderswohin.

Oft ja, und der Grund ist präziser als „selbst gehostet ist unbedenklich". Zwei getrennte Regeln kommen ins Spiel. Artikel 5(3) der ePrivacy-Richtlinie — das, was alle das Cookie-Gesetz nennen — verlangt eine Einwilligung, um Informationen auf dem Gerät eines Besuchers zu speichern oder von dort auszulesen, sofern das nicht für einen von ihm ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Er gilt für Cookies, aber auch für localStorage, für sessionStorage und für alles andere, was Sie zurücklassen, und er gilt unabhängig davon, ob die Daten personenbezogen sind. Ein Werkzeug, das nichts auf das Gerät schreibt, löst ihn schlicht nicht aus. Die DSGVO ist die zweite Regel, und sie verschwindet nicht: Sie erhalten bei jeder Anfrage weiterhin eine IP-Adresse und eine User-Agent-Zeichenfolge, und eine IP-Adresse zählt in den Händen eines Website-Betreibers zu den personenbezogenen Daten (Gerichtshof der Europäischen Union, Rechtssache Breyer, C-582/14). Was ein cookieloser Analytics-Server tut, ist, diese IP mit einem täglich rotierenden Salt zu hashen und sie dann zu verwerfen, sodass in der Datenbank ein Pseudonym pro Tag und pro Website landet, keine Person. Das ist ein enger, gut dokumentierter Verarbeitungsvorgang, den die meisten Betreiber auf berechtigte Interessen stützen, und mehrere Aufsichtsbehörden haben Kriterien veröffentlicht, unter denen reine Reichweitenmessung von der Einwilligungspflicht ausgenommen ist. Das ist eine vertretbare Position, kein Zauberwort: Schreiben Sie auf, was Sie erheben, warum, und für wie lange, und lesen Sie die Leitlinien Ihrer eigenen Aufsichtsbehörde statt der Landingpage eines Anbieters. Nichts auf dieser Seite ist Rechtsberatung.

Umami. Es ist eine einzige Node-Anwendung und eine PostgreSQL-Datenbank, es ist mit 1 GB Arbeitsspeicher komfortabel unterwegs, das Dashboard ist beim ersten Besuch verständlich, es ist von Haus aus cookielos, und eine Instanz bedient klaglos jede Website, die Ihnen gehört. Für die überwältigende Mehrheit der Menschen, die Google Analytics auf einem Blog, einer Dokumentationsseite, einem Shop oder einer Firmenwebsite ersetzen, ist es die richtige Antwort, und die anderen drei sind eine Diskussion, die Sie nicht führen mussten. Wählen Sie stattdessen Plausible Community Edition, wenn Sie Funnels, Umsatzziele und eine stärkere öffentliche Dashboard-Geschichte wollen und bereit sind, dafür ClickHouse zu betreiben. Wählen Sie Matomo, wenn Sie wirklich den Funktionsumfang von Google Analytics brauchen — Segmente, Kohorten, benutzerdefinierte Berichte, E-Commerce-Attribution, Rohlog-Import — und akzeptieren, dass Sie eine große PHP-Anwendung mit einem geplanten Archivierungsjob betreiben. Wählen Sie GoAccess, wenn Sie überhaupt kein JavaScript auf der Seite wollen.

Weil sie unterschiedliche Dinge zählen, und die Lücke in beide Richtungen zugleich verläuft. Nach oben: Google Analytics sieht hinter einem Cookie-Banner nur die Besucher, die auf Akzeptieren gedrückt haben, in Europa routinemäßig die Hälfte davon, während ein bannerloser, cookieloser Zähler jeden sieht. Noch weiter nach oben: Ihr neuer Endpunkt liegt auf Ihrer eigenen Domain und steht nicht auf den Filterlisten, die Anfragen an bekannte Tracker verwerfen. Nach unten: Ein täglich rotierender Hash kann dieselbe Person am nächsten Tag nicht wiedererkennen, sodass ein Leser, der am Montag und am Donnerstag vorbeischaut, zwei Besucher sind, nicht ein wiederkehrender — Sitzungen werden nur innerhalb eines Tages verknüpft, niemals über Tage oder Geräte hinweg. Noch weiter nach unten: Die meisten selbst gehosteten Werkzeuge liefern einen konservativen Bot-Filter und keine Discover-artige Aufblähung. Der praktische Ratschlag lautet, mit dem Abgleichen aufzuhören. Lassen Sie beide zwei Wochen parallel laufen, um Ihr eigenes Verhältnis zu lernen, schreiben Sie es auf einen Zettel, löschen Sie dann das Google-Tag und verwenden Sie die neuen Zahlen als die Basislinie, die sie jetzt sind. Für Entscheidungen zählt die Form des Trends und die relative Rangfolge von Seiten und Quellen, und beides überlebt den Wechsel unversehrt.

Teilweise, und es lohnt sich, genau zu wissen, wie, denn der Mechanismus ist simpler, als man annimmt. Die großen Filterlisten arbeiten mit Mustern: den Hostnamen der gehosteten Dienste und einer Reihe bekannter Datei- und Pfadnamen — eine Anfrage nach etwas, das auf plausible.js, umami.js oder matomo.php endet, ist erkennbar, egal an welchen Server sie geht. Verlagern Sie die Software mit den Standard-Dateinamen auf stats.example.com, verlieren Sie trotzdem einen Teil des technisch versierten Publikums. Es gibt zwei ehrliche Lösungsansätze, und sie summieren sich. Benennen Sie das Skript und den Erfassungs-Endpunkt in etwas um, das kein Tracker-Name ist — jedes dieser Werkzeuge erlaubt das, und es kostet eine Zeile Konfiguration. Liefern Sie sie vom selben Ursprung wie die Website selbst aus, über einen Pfad auf Ihrer Hauptdomain, den der Reverse-Proxy weiterleitet, sodass keine Drittanbieter-Anfrage zum Blockieren übrigbleibt. Zusammen gewinnen Sie den größten Teil des Verlusts zurück. Sie werden nicht alles zurückgewinnen, und das sollten Sie auch nicht wollen: Ein Besucher, der eine strikte Liste plus deaktiviertes JavaScript nutzt, hat sich entschieden, und die richtige Antwort darauf ist das Server-Log, kein Wettrüsten.

Die Frage ist berechtigt, und die Antwort hängt davon ab, was der Blocker eigentlich schützen sollte. Eine Filterliste hat ein stumpfes Werkzeug und zwei sehr unterschiedliche Ziele: das Ad-Tech-Netzwerk, das eine Person über zehntausend Websites verfolgt und ein Profil aufbaut, und den Zähler, der einem einzelnen Website-Betreiber sagt, dass seine Dokumentationsseite gestern vierhundert Mal gelesen wurde. Das Erste zu blockieren ist eine Person, die sich gegen Überwachung wehrt. Das Zweite zu blockieren ist Kollateralschaden einer Regel, die beide nicht unterscheiden kann. Den eigenen Zähler von der eigenen Domain auszuliefern schmuggelt keinen Tracker an einer Abwehr vorbei; es entfernt eine Drittanbieter-Anfrage, die es nie hätte geben sollen, und derselbe Besuch erzeugt trotzdem eine Zeile in Ihrem Zugriffslog. Vertretbar bleibt das nur so lange, wie das, was Sie proxen, tatsächlich das hier Beschriebene ist — wenn Sie site-übergreifende Kennungen, Fingerprinting oder eine Pipeline zu einer Werbeplattform hinzufügen, hatte der Blocker recht, und der Proxy ist eine Lüge. Der Test ist einfach und es lohnt sich, ihn einmal an sich selbst anzuwenden: Könnten Sie eine Seite veröffentlichen, die genau beschreibt, was dieser Endpunkt erhebt, und würde ein Leser nur mit den Schultern zucken? Wenn ja, proxen Sie es. Wenn nicht, liegt das Problem nicht beim Proxy.

Kleiner, als Sie fürchten, mit einer Ausnahme. Umami ist ein Node-Prozess und eine Postgres-Datenbank: Es pendelt sich für eine normale Website unter 1 GB Arbeitsspeicher ein, und die Datenbank wächst etwa um die Größe einer Textzeile pro Seitenaufruf, sodass eine Sentinel — 2 vCPU, 4 GB, 120 GB NVMe, $3.90 im Monat — Jahre an Spielraum hat. GoAccess ist ein Rundungsfehler. Matomo liegt in der Mitte: PHP und MariaDB sind anspruchslos, bis der Archivierungsjob läuft — das ist der CPU-Spitzenwert, auf den Sie dimensionieren müssen —, und seine Rohdatentabellen wachsen schneller als die der anderen, weil es mehr pro Treffer speichert. Die Ausnahme ist Plausible Community Edition, und der Grund ist ClickHouse, nicht Plausible: Eine spaltenorientierte Datenbank ist darauf ausgelegt, Arbeitsspeicher gegen Abfragegeschwindigkeit zu tauschen, und nimmt sich, was immer Sie herumliegen lassen. Sie läuft mit 4 GB, wenn Sie ihre Caches in der mitgelieferten Konfiguration begrenzen, und ist komfortabel bei 8 GB — weshalb die Garrison-Stufe bei $7.90 für sie die sinnvolle Untergrenze ist. In jedem Fall ist die Zahl, die irgendwann ein Upgrade erzwingt, der Speicherplatz, nicht der Arbeitsspeicher, und Schritt 06 zeigt, wie Sie das verhindern.

Ja, und das ist die normale Art, diese Werkzeuge zu betreiben. Alle drei JavaScript-Werkzeuge sind von Natur aus multisite-fähig: Sie registrieren jede Domain im Dashboard, jede erhält ihre eigene Kennung, und derselbe Skript-Endpunkt nimmt Treffer für alle entgegen, während die Berichte getrennt bleiben. Eine Maschine, ein Zertifikat, ein Backup, ein Upgrade — zwanzig Websites. Zwei Dinge, die Sie im Hinterkopf behalten sollten, wenn die Liste wächst. Berichte sind nach Website getrennt; wenn Sie also Websites für Kunden verwalten, nutzen Sie die eigenen Benutzer- und Team-Berechtigungen des Werkzeugs, statt jedem das Administratorkonto zu geben, und prüfen Sie, was eine gemeinsam genutzte Instanz bedeutet, bevor Sie ihr in einem Vertrag zustimmen: Sie werden zur Partei, die die Daten ihrer Besucher hält. Und der Tracking-Endpunkt ist ein gemeinsamer Name, was bedeutet, dass die Domain, die ihn bedient, im Quelltext jeder Website auf der Liste erscheint — eine Tatsache, die es wert ist, einem Kunden zu erwähnen, dessen Konkurrenten den Seitenquelltext lesen, und ein Argument für den First-Party-Pfad aus Schritt 04.

Für eine große Klasse von Websites reicht das Log aus, und es ist die ehrlichste verfügbare Messung: Es erhebt nichts Zusätzliches, weil die Zeilen bereits existieren. GoAccess liest ein Webserver-Zugriffslog und erstellt daraus einen Terminal-Bericht oder ein in sich geschlossenes HTML-Dashboard — Top-Seiten, Referrer, Statuscodes, Bandbreite, Antwortzeiten, User-Agents — für eine statische Website, eine Dokumentation oder eine API ist das das meiste von dem, was ein Skript-Tag Ihnen ohnehin verraten hätte. Zwei Grenzen entscheiden, ob das für Sie ausreicht. Ein Log kann nicht sehen, was innerhalb der Seite passiert: keine Scroll-Tiefe, keine Klicks auf ausgehende Links, keine Button-Ereignisse, keine Routenwechsel einer Single-Page-Application, weil nichts davon den Server berührt. Und ein Log zählt Anfragen statt Menschen, sodass Sie dem Caching und einer Bot-Population ausgeliefert sind, die inzwischen die Mehrheit des Rohtraffics ausmacht — Filtern ist eine dauerhafte Wartungsaufgabe und kein einmaliger Einrichtungsschritt. Es gibt außerdem eine Datenschutzfalle in die entgegengesetzte Richtung von der, die Sie erwarten, und Schritt 06 behandelt sie: Das Log, das Sie analysieren, enthält vollständige IP-Adressen — mehr personenbezogene Daten, als das JavaScript-Werkzeug gespeichert hätte, das Sie abgelehnt haben.

Realistisch gesehen: nein, und sich darauf einzustellen ist besser, als dagegen anzukämpfen. Matomo ist als einziges der vier Werkzeuge mit einer nennenswerten Import-Geschichte ausgestattet, und selbst dort bestehen die praktikablen Wege im Import eigener Webserver-Logs und in der Nutzung der Migrationswerkzeuge für ältere Matomo-Instanzen, nicht in einer sauberen Übernahme der von Google verarbeiteten Berichte. Umami und Plausible Community Edition können über ihre APIs einen Massenimport entgegennehmen, wenn Sie bereit sind, das Mapping selbst zu schreiben, aber dabei würden Sie Sitzungen und Besucher aus aggregierten Exporten erfinden, und das Ergebnis ist ein Diagramm, das durchgängig aussieht und über den Übergang hinweg nicht vergleichbar ist. Was tatsächlich funktioniert: Exportieren Sie die Berichte, die Ihnen wichtig sind, aus Google, bevor die Property verschwindet — die monatlichen Gesamtzahlen, die Top-Seiten, die Top-Quellen, die Conversion-Zahlen — als CSV, bewahren Sie sie am selben Ort auf wie Ihre übrigen Unterlagen, und starten Sie das neue Werkzeug an einem Datum, das Sie sich aufschreiben, als frische Basislinie. Sie werden den alten Export im ersten Jahr zweimal konsultieren und danach nie wieder, und jede Zahl darin wurde ohnehin nach einer anderen Definition gemessen.

Weniger, als Sie denken, und die Kürze ist der Punkt — ein Absatz, den Sie verteidigen können, schlägt eine Seite, die Sie kopiert haben. Sagen Sie, was das Werkzeug ist und dass Sie es selbst betreiben; nennen Sie den Standort des Servers und den rechtlichen Betreiber, denn sagen zu können „auf einer Maschine, die wir in Finnland mieten" ist der ganze Nutzen dieser Übung. Sagen Sie, was pro Besuch erfasst wird: die Seite, der Referrer, das Land, das Gerät und die Browserfamilie, sowie eine pseudonyme Kennung, die aus der IP-Adresse und dem User-Agent mit einem täglich wechselnden Salt abgeleitet wird und aus der sich die ursprüngliche IP nicht wiederherstellen lässt. Sagen Sie, was nicht erfasst wird: keine Cookies, keine site-übergreifende Kennung, kein Profil, keine verkauften oder weitergegebenen Daten. Nennen Sie die Rechtsgrundlage, auf die Sie sich stützen, und die Aufbewahrungsdauer, und stellen Sie sicher, dass die Zahl, die Sie aufschreiben, auch die Zahl ist, mit der das Werkzeug konfiguriert ist. Falls Ihr Reverse-Proxy Zugriffslogs führt, ist das ein eigenständiger Verarbeitungsvorgang mit eigener Aufbewahrungsdauer — erwähnen Sie ihn, denn er ist derjenige, den man vergisst. Halten Sie den Absatz dann mit der Konfiguration synchron: Eine Datenschutzerklärung, die den Aufbau beschreibt, den Sie vor zwei Jahren hatten, ist schlechter als eine vage.

Weil „nur Seitenaufrufe" untertreibt, was eine Analytics-Datenbank tatsächlich ist. Über ein Jahr aggregiert, ist sie die Leserschaft Ihrer Website: welche Seiten, in welcher Reihenfolge, aus welchen Ländern, zu welchen Stunden, über welche Links ankommend — und für einen kleinen Verlag oder einen Nischenshop ist das ein Businessplan und eine Quellenliste in einer einzigen Tabelle. Es ist zudem, rechtlich betrachtet, genau die Art von Daten, nach der ein Angreifer einen Anbieter fragt, statt Sie zu fragen. Daraus folgen zwei Eigenschaften. Wo die Maschine steht, entscheidet, welcher Rechtsweg sie erreicht: Eine Maschine in Stockholm, Helsinki, Oslo oder Reykjavík liegt innerhalb des EWR, wodurch die Frage der internationalen Datenübermittlung vollständig aus Ihrer Compliance-Akte verschwindet, und innerhalb von vier Verfassungsordnungen mit einer starken Tradition der Pressefreiheit. Und wessen Name auf dem Konto steht, entscheidet, was das Konto selbst verrät: Bei NordBastion gibt es kein Ausweisdokument, keinen bürgerlichen Namen und keine Karte, die Rechnung wird in Monero oder Bitcoin beglichen, und die Maschine, die Ihre Leserschaft hält, ist nirgendwo eine Zeile in einer Kundendatenbank mit Ihrem Pass daran geheftet. Der Leitfaden zu den Rechtsordnungen behandelt die rechtlichen Mindeststandards jeder der vier im Detail.