Das Gravatar-Desaster

Heute Morgen hat @reinald_kirchner gefragt, wie vutuv an sein Avatar-Foto gekommen ist. Berechtigte Frage, denn das war ein Komfortfeature, das ich nirgendwo erklärt habe. gravatar.com ist eine Webseite, auf der man ein Avatar-Foto von sich hochladen und E-Mail-Adressen damit verknüpfen kann. Registriert man sich danach bei einer anderen Webseite, kann diese bei Gravatar nachfragen, ob es zu dieser Adresse ein Foto gibt, und es von dort holen. Übertragen wird dabei nicht die Adresse selbst, sondern eine Prüfsumme
(Hash) davon.

Ich persönlich finde das deutlich einfacher/praktischer, als selbst ein Bild hochzuladen, und hatte deshalb vor Jahren dieses Feature eingebaut. Niemand wird gezwungen, bei Gravatar ein Foto zu hinterlegen, und die Prüfsumme sorgt dafür, dass die Adresse nicht im Klartext über die Leitung geht. Es sollte ein Komfortfeature sein.

Ich dachte mir heute Morgen entsprechend: „OK, das muss man nur besser
kommunizieren, und alles ist gut.”

Vorhin ist mir dann aber etwas aufgefallen. Klar lädt jeder sein Foto freiwillig bei gravatar.com hoch. Aber wenn er das getan hat und vutuv holt sich dieses Foto, dann erfährt gravatar.com dadurch, dass diese Person sich gerade einen vutuv-Account erstellt hat. Und die Prüfsumme hilft dagegen nicht: Gravatar kennt die Adresse ja bereits, der Hash ist für sie nur der Schlüssel zum passenden Konto.

Kann man natürlich alles mit AGB und Datenschutzerklärung erschlagen, und das Ende der Welt ist es auch nicht. Aber es geht ums Prinzip. Ich sage immer lautstark: „vutuv gibt keine Daten an Dritte weiter. Keine 3rd Party Cookies!” Entsprechend muss ich dann auch hier handeln. Egal wie irrelevant die einzelne Information ist.

Die Gravatar-Funktionalität an sich finde ich weiterhin praktisch. Der Automatismus ist seit heute Nachmittag abgeschaltet: Bei der Registrierung fragt vutuv nirgendwo mehr nach. Wer möchte, holt sein Foto auf vutuv.de/settings/profile selbst per Knopfdruck von gravatar.com — oder lädt einfach eines hoch.

Bottom line: Gut gemeint ist nicht automatisch auch gut gemacht. War kein Weltuntergang, aber das Thema ist mir wichtig. Hätte gar nicht erst passieren dürfen.

Ich habe gerade animina.de abgeschaltet. Diese Entscheidung ist mir nicht leicht gefallen, aber vutuv.de wächst rasant und ich kann nicht zwei so große Projekte gleichzeitig stemmen.

vutuv hat Priorität!

RSS-Feeds auf vutuv?

Ich überlege, ob vutuv RSS-Feeds einlesen soll. Du abonnierst einen Feed, und dessen Einträge tauchen in Deinem vutuv Feed auf. Ein Blog, dem du folgst. Ein Podcast. Die Release-Notes eines Projekts. Die Seite deines Vereins. Meinetwegen auch die Tagesschau. Gebaut ist noch nichts, ich will erst die Wassertemperatur testen.

Technisch ist das kein Hexenwerk: Ein RSS-Feed ist eine maschinenlesbare Liste der neuesten Einträge einer Seite, und fast jede Seite bietet einen an. Die holt vutuv regelmäßig ab. Nur ansehen zu können wäre allerdings wenig. Ich möchte, dass du einen Eintrag liken und teilen kannst wie jeden anderen Beitrag, und dass ein Klick genügt, um einen eigenen Beitrag dazu zu schreiben.

Wo es rechtlich schwierig wird

Feeds sind sehr unterschiedliche Dinge. Ein Blogger freut sich über jeden Leser, ein Presseverlag hat ein eigenes Schutzrecht. Ich baue für den strengsten Fall, dann ist der Rest automatisch mit abgedeckt.

Verlinken ist erlaubt. Dass man auf einen frei zugänglichen Artikel verlinken darf, hat der Europäische Gerichtshof geklärt. Auch Überschrift plus kurzer Anriss geht: Das Leistungsschutzrecht für Presseverleger nimmt „einzelne Wörter oder sehr kurze Auszüge” ausdrücklich aus.

Volltext nicht. Viele Feeds liefern den ganzen Text gleich mit. Den zu speichern wäre eine Urheberrechtsverletzung, egal wie man das Ganze nennt. vutuv liest diesen Teil gar nicht erst aus.

Bilder erst recht nicht. Fotos sind einzeln lizenziert, bei Presseseiten meist über Agenturen. Ein Foto ist kein „sehr kurzer Auszug”, sondern das ganze Werk. Deshalb wird das eine reine Textfunktion: keine Beitragsbilder, keine Logos, keine Vorschaugrafiken.

Der eigentliche Stolperstein ist ein anderer. Naheliegend wäre, für jeden Feed ein Konto anzulegen, das seine Einträge postet wie jedes Mitglied. Fühlt sich vertraut an und ist genau der Punkt, an dem es kippt. Ein Konto tagesschau, das kein Auftritt der tagesschau ist, führt in die Irre. Bei einem persönlichen Blog wäre es sogar heikler: Da sähe es aus, als wäre dieser Mensch vutuv beigetreten, ohne je davon gehört zu haben. Das ist dann Marken-, Wettbewerbs- und Persönlichkeitsrecht, und da hilft es nichts mehr, dass der Textauszug kurz war. Nebenbei: „Wir sind halt ein RSS-Reader” zu sagen löst nichts. Das Gesetz schaut darauf, was man tut, nicht darauf, wie man sich nennt.

Wie ich es lösen will

Ein Feed bekommt kein Mitgliedskonto, sondern erscheint sichtbar als Quelle. Keine runde Profilkachel, denn rund steht auf vutuv für einen Menschen, sondern eine eckige mit Anfangsbuchstaben. Kein Logo, dafür die Domain gut lesbar.

Gespeichert werden Überschrift, ein auf 300 Zeichen begrenzter Anriss und der Link. Die Überschrift ist der Link, ein Klick führt zum Original. vutuv fängt keinen Traffic ab, sondern schickt ihn hin, und die Einträge bleiben aus Suchmaschinen heraus.

Liken und Teilen bleiben möglich, weil beides nur diese kurze Vorschau weiterbewegt. Antworten wird es nicht geben, weil niemand da ist, der antworten könnte. Stattdessen öffnet „Dazu schreiben” das Schreibfeld mit dem Link darin. Dein Kommentar ist dann dein Beitrag, der Eintrag war der Anlass. Das ist auch rechtlich der sauberste Weg: eigener Gedanke, fremder Beleg.

Deine Daten

Was du liest, verrät viel über dich. Wer bestimmte politische oder religiöse Feeds abonniert, legt womöglich seine Haltung offen. Deshalb bleiben deine Abos privat: nicht auf deinem Profil, in keiner Liste, für niemanden einsehbar.

Ein Like ist etwas anderes. Das ist eine bewusste Geste nach außen, und deshalb zählt und zeigt vutuv sie wie bei jedem anderen Beitrag auch. Die Trennlinie: Was du liest, ist deine Sache. Was du gut findest, sagst du selbst.

vutuv holt jeden Feed einmal für alle Leser gemeinsam. Der Betreiber der Seite erfährt weder deine IP-Adresse noch, wie viele mitlesen. Und weil es keine Bilder gibt, lädt dein Browser nichts von dessen Servern nach.

Was meint ihr dazu?

Gedanken, Vorschläge, Kritik oder ein Like. Wenn das Echo dünn ausfällt, spare ich mir die Arbeit, und das ist auch ein Ergebnis.

Nachtrag: Die Scheibe muss in Bratislava bestellt werden. Dauert etwa 1,5 Wochen. Man wird mich dann anrufen.