VoteSafe, eine Website zur Wählerregistrierung, sendet die E-Mail-Adresse und die Telefonnummer, die jemand in ihr Formular eintippt, an das Werbesystem von Twitter. Die Werte sind gehasht, und das ist nicht dasselbe wie verborgen. Ich habe es zweimal mit erfundenen Daten getestet und die Anfrage beide Male aufgezeichnet.
VoteSafe ist ein Online-Werkzeug, um sich in den Vereinigten Staaten zur Wahl zu registrieren und eine bestehende Registrierung zu prüfen. Um es zu nutzen, gibt man seinen Namen an, sein Geburtsdatum, seine Wohnadresse, seine E-Mail-Adresse und seine Mobilnummer. Das ist der übliche Preis für den Dienst, und nichts davon ist das Problem.
Das Problem ist, wohin ein Teil davon geht.
Ich habe die Registrierungsseite in einem echten Browser von einer US-Adresse aus geladen, jedes Feld mit erfundenen Daten ausgefüllt und jede Netzwerkanfrage aufgezeichnet, die die Seite gesendet hat. Dann habe ich diese Anfragen nach den eingegebenen Werten durchsucht, im Klartext und in jeder gängigen Hash-Form: SHA-256, SHA-1 und MD5. Ein Tracker, der „Ihre Daten, aber gehasht“ erhält, erhält immer noch Ihre Daten; der Hash ist nur ein fester Fingerabdruck davon. Ich habe den gesamten Test zweimal durchgeführt, um sicherzugehen, dass es kein Zufall war.
Der Name, den ich verwendet habe, war Qzxwprobe Vbnmtester. Die E-Mail-Adresse war [email protected]. Die Telefonnummer war erfunden. Nichts davon gehört einer realen Person.
Sobald man über die erste Seite des Formulars hinausgeht, löst VoteSafe ein Twitter-Conversion-Ereignis aus, das es register-submit nennt. Es geht an analytics.twitter.com und t.co und trägt zwei Dinge mit sich: ein Feld email_address und ein Feld phone_number.
Der Wert von email_address in der Anfrage lautete 9cbb573fd9b9b398a2758fbb9c135fd09ae7a8a5992f2323ec1b3b0494e8b4c6. Das ist genau der SHA-256-Hash der E-Mail-Adresse, die ich eingetippt habe. Der Wert von phone_number war der SHA-256-Hash meiner Telefonnummer im internationalen Format. Beide tauchten in beiden Testläufen auf. Das ist Twitters übliches erweitertes Conversion-Matching, das genau so arbeitet, wie es entworfen wurde.
Nach der Kontaktseite fragt das Formular, ob man US-Staatsbürger ist, dann nach der Parteizugehörigkeit, bevor es zum endgültigen Absenden kommt. Ich bin diesen Ablauf mit denselben erfundenen Daten durchgegangen, habe vor dem Absenden selbst aufgehört und aufgezeichnet, was jeder Schritt gesendet hat.
Google Analytics erfährt Schritt für Schritt, wo man gerade ist: form_step … ep.step=citizenship, dann ep.step=party. Google erfährt damit, dass dieser Besucher gerade die Abschnitte zu Staatsbürgerschaft und Parteizugehörigkeit einer Wählerregistrierung durchläuft.
Twitter bekommt die Antwort, nicht nur den Schritt. Die Seite nutzt den Google Tag Manager, um Klicks auf Schaltflächen automatisch zu erfassen, und leitet den Text der angeklickten Schaltfläche weiter. Als die Schaltfläche zur Staatsbürgerschaft gedrückt wurde, ging dies an Twitter: [["autobuttonclick",{"value":"YES, I AM A U.S. CITIZEN"}]]. Das ist kein Schrittname. Das ist die Antwort, wörtlich, gesendet an eine Werbeplattform eines sozialen Netzwerks.
Neben den früheren Befund gestellt, schließt sich das Bild. In einem einzigen Durchgang, gebunden an eine einzige Sitzung, erhält Twitter Ihre gehashte E-Mail-Adresse und Telefonnummer sowie die Tatsache, dass Sie bei einer Wählerregistrierung die US-Staatsbürgerschaft bejaht haben, und Google erhält Ihren Weg durch das Formular. Jede Schaltfläche in diesem Ablauf wird standardmäßig weitergeleitet, weil die Erfassung so eingestellt ist, dass sie alle erfasst und nicht nur einige ausgewählte.
Was ich nicht getestet habe, ist der letzte Schritt. Die Parteizugehörigkeit wird als Optionsfelder angeboten und nicht als beschriftete Schaltfläche, sie hat in meinem Durchlauf also nicht dieselbe Klick-Weiterleitung ausgelöst, und ich habe vor dem Absenden aufgehört, weil ein Abschluss eine echte Registrierung eingereicht hätte. Ob auch die Parteiwahl abfließt, ist daher offen. Alles davor wartet nicht auf das Absenden; es ist bereits weg.
Hashing ist keine Anonymisierung. Dieselbe Eingabe ergibt immer dieselbe Ausgabe, eine E-Mail-Adresse wird also jedes Mal und bei allen zu einer ganz bestimmten Zeichenkette. Twitter besitzt die E-Mail-Adressen und Telefonnummern seiner eigenen Nutzer bereits im Klartext. Es kann seine eigenen Datensätze einmal hashen und die Fingerabdrücke abgleichen. Eine gehashte E-Mail-Adresse ist kein Schutzschild; sie ist ein Verknüpfungsschlüssel. Der Sinn des Sendens besteht gerade darin, dass der Empfänger sie einer Person zuordnen kann.
Was das dem Werbetreibenden bringt, ist die Möglichkeit, jemanden, der sich zur Wahl registriert, innerhalb von Twitters System wiederzuerkennen, ihn Zielgruppen hinzuzufügen, ihn gezielt anzusprechen und zu messen, ob eine Anzeige ihn zur Registrierung gebracht hat. Was es die registrierende Person kostet, ist, dass ein Akt bürgerschaftlicher Teilhabe zu einem Werbeereignis wird, geheftet an ihre Identität, ohne dass davon irgendetwas auf der Seite sichtbar wäre.
Es lohnt sich, bei den Grenzen genau zu sein, denn die Grenzen gehören zum Befund. Beim Namen, beim Geburtsdatum und bei der Wohnadresse war nicht zu beobachten, dass sie an Dritte abfließen, weder im Klartext noch gehasht. Ein Meta-Pixel (Facebook) und Google-Tags sind auf der Seite vorhanden und lösen ihre eigenen Ereignisse aus, aber in diesem Test habe ich nicht gesehen, dass sie die Formularfelder mitführen; nur Twitter erhielt E-Mail-Adresse und Telefonnummer. Die Postleitzahl wurde im Klartext an Sentry gesendet, einen Dienst zur Fehlerüberwachung, was nachlässig, aber geringfügig ist. Der eine saubere, wiederholbare, belegbare Abfluss sind die E-Mail-Adresse und die Telefonnummer, die an Twitter gehen.
Wer eine Seite namens VoteSafe benutzt, tut das Grundlegendste, was ein Bürger tut, und tut es, weil die Seite verspricht, es sicher und einfach zu machen. Ihm wird nicht gesagt, dass seine Kontaktdaten mit einem Fingerabdruck versehen und in dem Moment, in dem er fortfährt, an eine Werbeplattform eines sozialen Netzwerks übergeben werden. Eine Einwilligung dafür wird weder eingeholt noch erteilt. Kontaktdaten von Wählern sind genau die Art von Daten, die nicht still und leise in einen Werbe-Identitätsgraphen verdrahtet werden sollten, und genau das geschieht hier.
Für den Test wurden ein automatisierter echter Browser von einer US-amerikanischen IP-Adresse aus, erfundene Eingaben und die vollständige Aufzeichnung der ausgehenden Anfragen verwendet. Die Erkennung glich die eingegebenen Werte gegen SHA-256, SHA-1 und MD5 jedes Wertes und seiner normalisierten Varianten ab. Der E-Mail-Hash und der Telefon-Hash tauchten beide in den Twitter-Anfragen in zwei getrennten Durchläufen auf. Die aufgezeichneten Anfragen werden aufbewahrt. Wenn VoteSafe dieses Verhalten ändert, wird die Änderung auf dieselbe Weise sichtbar sein, und ich werde es vermerken. Ich bin außerdem den mehrstufigen Registrierungsablauf mit denselben erfundenen Daten durchgegangen, habe vor dem endgültigen Absenden aufgehört und aufgezeichnet, was jeder Schritt übertragen hat.
Getestet am 9. September 2026. Die Befunde beschreiben das Verhalten der Seite, wie es an diesem Tag beobachtet wurde. Die vollständigen Mitschnitte der Anfragen sind auf Anfrage erhältlich.