Blocklist

Was Blocklists sind

Eine Blocklist ist ein Verzeichnis von Domains, Pfaden oder Skripten, die ein Datenschutz-Tool für unerwünscht hält. Die zwei größten Ökosysteme:

• EasyList-Familie, die Listen, die Ad-Blocker wie uBlock Origin und AdBlock Plus standardmäßig abonnieren. EasyList selbst zielt auf Werbung. EasyPrivacy zielt auf Tracker. Es gibt mehrere regionale und thematische Varianten.
• Disconnect.me, die Liste, die Firefox’ Enhanced Tracking Protection nutzt. Kleiner und stärker kuratiert als EasyList.

Beide werden von Ehrenamtlichen gepflegt, beide aktualisieren mehrmals pro Woche, und beide sind die De-facto-Autorität dafür, „was als Tracker gilt“.

Wie eine Domain auf einer Blocklist landet

Zwei Wege:

1. Community-Einreichung. Ein Nutzer bemerkt tracking-artiges Verhalten und meldet die Domain einem Listen-Maintainer. Freigegebene Einträge erscheinen im nächsten Listen-Release.
2. Heuristische Analyse. Manche Listen-Maintainer betreiben automatische Scanner, die Domains mit typischen Tracker-Mustern markieren (Third-Party-Skript-Verhalten, Fingerprinting usw.).

Es gibt kein formales Antrags- oder Einspruchsverfahren. Eine Domain kann nach Ermessen des Maintainers hinzugefügt, entfernt oder zwischen Kategorien verschoben werden.

Was „auf einer Blocklist stehen“ fürs Tracking bedeutet

Wenn dein Tracking-Endpunkt auf einer großen Blocklist steht:

• Jeder uBlock-Origin- / AdBlock-Plus-Nutzer blockiert ihn (15 bis 25 % des Consumer-Traffics, mehr bei Tech-Zielgruppen)
• Jeder Firefox-Nutzer mit ETP im Standardmodus blockiert ihn (~10 % des gesamten Traffics)
• Brave-Browser-Nutzer blockieren ihn (kleiner Anteil, aber tech-lastig)
• Apples Content-Blocker-API stellt dieselben Listen für Safari-Erweiterungen bereit

Eine Domain auf EasyPrivacy oder Disconnect.me erreicht vielleicht 50 bis 70 % deiner potenziellen Zielgruppe. Die übrigen 30 bis 50 % sind für sie unsichtbar.

Die CNAME-Cloaking-Falle

Ein historischer Workaround: Richte eine per CNAME verknüpfte Subdomain deiner eigenen Website (analytics.deinedomain.com) ein, die auf einen Tracker auflöst. Sieht aus wie ein First-Party-Request und umgeht einfaches Domain-Blocking.

Die Listen haben aufgeholt. Disconnect.me, uBlock und andere erkennen CNAME-Cloaking inzwischen und blockieren es. Safaris ITP zielt gezielt darauf. Der Workaround hat eine Halbwertszeit von Monaten, nicht Jahren.

Wie du von Blocklists fernbleibst

Verhalte dich nicht wie ein Tracker. Konkret:

• Nutze echte First-Party-Infrastruktur, Endpunkte, die deinem Business wirklich gehören und von ihm betrieben werden, nicht per CNAME von einem Anbieter
• Kein Fingerprinting, passive Identifikation über Canvas/WebGL/Font-Enumeration ist genau das, worauf die meisten Listen zielen
• Respektiere die Einwilligung der Nutzer, Blocklists priorisieren Domains, die Consent-Signale ignorieren
• Sei auditierbar, je kleiner und klarer dein Tracking-Skript, desto unwahrscheinlicher wird es markiert

Eine saubere First-Party-Server-Side-Architektur ist die dauerhafte Verteidigung: Die Blocklist kann nicht blocken, was nicht im Browser lädt.

Häufige Fehler

• Blocklist-Abdeckung als Verhandlungssache behandeln. Ist sie nicht.
• Glauben, deine Domain „steht nicht auf der Liste“. Prüf es, Listen-Maintainer nehmen aggressiv auf, und Tracker-Domains tauchen oft schon Tage nach dem Launch auf.
• Auf Subdomain-Tricks setzen. Moderne Listen erkennen sie. Subdomain-Cloaking ist ein kurzfristiger Fix, keine Strategie.

FAQ zu Blocklist

Was ist eine Tracker-Blocklist?

Eine Blocklist ist ein kuratiertes Verzeichnis von Domains, Pfaden oder Skripten, die Datenschutz-Tools nicht laden. Große Listen sind EasyList (Werbung), EasyPrivacy (Tracker) und Disconnect.me (von Firefox ETP genutzt).

Wie prüfe ich, ob meine Tracking-Domain auf einer Blocklist steht?

Durchsuche die öffentlichen Listen-Repositories auf GitHub (EasyList, Disconnect.me). Tools wie der „Logger“-Tab von uBlock Origin zeigen außerdem, welche Domains auf einer Seite blockiert werden.

Kann ich meine Domain von einer Blocklist entfernen lassen?

Nicht leicht und nicht dauerhaft. Der echte Fix ist architektonisch: Liefere Tracking aus echter First-Party-Infrastruktur aus (deine eigenen Server und deine eigene Domain), statt zu versuchen, der Erkennung zu entgehen.