Payment-Dienst Stripe trackt Nutzer über mehrere Webseiten hinweg

Stripe ist das Liebkind der Fintech-Welt. Im letzten halben Jahr hat sich das Startup aus San Francisco satte 850 Millionen Dollar Investment bei Branchen-Größen wie Andreessen Horowitz, General Catalyst, GV und Sequoia geholt. Bedeutet: Die Payment-Technologien, die etwa Kreditkartenzahlungen, Apple Pay, Google Pay oder Sofortüberweisung in Web-Dienste bringt, wird künftig wohl in noch mehr Webseiten und Apps verbaut werden. Wer bei Zoom, Slack, Airbnb, Kickstarter, Indiegogo, HubSpot, Booking.com, Lyft, Deliveroo, Doordash, Twilio, GitHub oder Instacart bezahlt, der nutzt dabei Stripe im Hintergrund.

Mauszeiger und Browse-Verlauf

Nachdem Investoren das Startup der irischstämmigen Collison-Brüder Patrick und John mit mittlerweile 36 Milliarden Dollar bewerten, wird nun auch immer klarer, wie Stripe operiert. Der US-Entwickler Michael Lynch weist derzeit darauf hin, dass die Technologie des Unternehmens, einmal in eine Webseite eingebaut, die Aktivitäten der Nutzer dieser Webseite detailliert erfasst und analysiert.

Stripe sammelt demnach Daten darüber:

• welche URLs der Nutzer in seinem Browser aufruft
• wie der Nutzer den Mauszeiger auf der Webseite bewegt
• welche anderen Webseiten der Nutzer schon besucht hat, die ebenfalls Stripe verbaut haben

Diese Tracking-Mechanismen integrieren Webseiten-Betreiber, indem sie JavaScript-Code von Stripe verwenden, um die Payment-Lösungen anbieten zu können. Es gibt auch Alternativen zu der JavaScript-Library – Entwickler können sich darüber hier informieren. Möglich ist auch, dass die Technologien nur auf der Checkout-Seite eingebaut werden und nicht auf allen Unterseiten z.B. eines Webshops.

Betrugsprävention als Grund

Warum versucht Stripe also, Nutzer auf Webseiten zu tracken? Stripe-Mitgründer Patrick Collison erklärt das folgendermaßen:

„Stripe.js sammelt diese Daten nur zur Betrugsprävention – sie helfen uns, Bots aufzuspüren, die versuchen, Unternehmen zu betrügen, die Stripe verwenden. Stripe.js ist Teil des ML-Stacks, der uns hilft, buchstäblich Millionen betrügerischer Zahlungen pro Tag zu stoppen, und Techniken wie diese helfen uns, Betrug effektiver als fast alles andere auf dem Markt zu blockieren“, so Collison. Und warnt auch gleich davor, das Tracking einzuschränken. „Einige Unternehmen verwenden Stripe.js nicht, und sie sind oft plötzlich und unangenehm überrascht, wenn sie von ausgeklügelten Betrüger-Ringen angegriffen werden.“

Um verdächtiges Verhalten von Malware-Bots zu entdecken, schaut sich Stripe also das Klickverhalten auf verschiedenen Seiten an, um dann jene Zugriffe zu blockieren, die von vermeintlich schadhaften Quellen kommen. Weil dieses Tracking in den Nutzungsbedingungen nicht klar gemacht wurde, sollen diese nun überarbeitet werden. Unternehmen, die Stripe einsetzen, sollten ihrerseits das Tracking in ihren Nutzungsbedingungen klarstellen.