Dazu noch drei Anmerkungen:
1.)
Es ist dabei auch so, dass die "eindeutige Anschlusskennung" offenbar kein "zufälliger Wert" oder eine "session id" ist wie ein Cookie, sondern bei Utiq wird er gebildet aus Vertragsdaten wie etwa der Telefonnummer, die einfach durch einen Hash gejagt wird. (Hab ich bei der Telekom nachgefragt - die haben gesagt, es ist nur die gehashte Telefonnummer). Das hat weite Konsequenzen, nämlich dass der Wert gar nicht so (pseudo-)zufällig ist und damit es durchaus möglich ist, dass diese Identifier eines Tages wieder in die Telefonnummer zurückgewandelt werden können, wenn nur die Hash-Funktion publik werden würde (oder sie jemand halt verkauft oder versehentlich bei github o.ä. hochlädt). Dazu muss man einfach nur sämtliche mögliche Telefonnummern durch die Hashfunktion schicken, das dauert vermutlich nur ein paar Minuten, selbst auf einem Durchschnitts-PC. Genau dasselbe findet statt, wenn Webseiten gehackt werden und die Passwort-Hashes wieder in Klartext zurückgerechnet werden. Utiq hasht diesen Wert dann nochmal pro Webseite weiter, damit für jede Webseite unterschiedliche Identifier stehen. Aber das Prinzip ist das gleiche. Wenn irgendwann publik wird, wie die Hashfunktionen konfiguriert waren (etwa Utiq gehackt), kann man die Identifier wieder in die Telefonnummer oder Vertragsdaten zurückkonvertieren.
2.) Im WLAN/Festnetz bedeutet dass, dass wenn ein Gast, deine Oma, deine Tochter oder dein Mann/Frau dem Ganzen gedankenlos zustimmt, deren Web-Sessions mit dem Identifier verbucht werden, in dem die Telefonnummer Deines Anschlussinhabers gehasht ist. Das ist damit dann effektiv so, als hättest Du das geklickt bzw "unterschrieben". Wie als würde man Deine Unterschrift ohne Dein Wissen benutzen, oder als würde man mit Deinem Führerschein fahren. Ich halte das für absurd dass das legal sein kann.
Fun-Fact: In https://consenthub.utiq.com/pages/faq#consented-website-list steht, dass die Liste der Webseiten im Consenthub bei Breitband aus Datenschutzgründen nicht angezeigt wird ("For broadband connections, only the number of consented digital properties will be visible to protect the privacy of household members") - Utiq verarbeitet den Haushalt, aber der Haushalt darf das nicht sehen, aus Datenschutz-Gründen. Sie sind sich dort also sehr wohl des Problems bewusst.
3.) Es ist zur Zeit völlig unbekannt, wie das Provider-Interface über dass Utiq deine Identität extrahiert, technisch abgesichert ist. Dass eine Marketing-Firma sich um Sicherheit bemüht, scheint eher unwahrscheinlich. Als Utiq ins mobile Netz kam, hab ich bei der Telekom gefragt, ob die Zugriffe auf diese Schnittstelle durch Utiq protokolliert oder gezählt werden, damit sich feststellen läßt, wie oft man abgefragt wurde oder ob das mit den "Einwilligungen" übereinstimmen kann. Antwort: Es gibt mit Absicht kein Audit auf der Schnittstelle, aus Datenschutzgründen (!). Das heißt, man verzichtet auf Sicherheitsmassnahmen, und beruft sich auf den Datenschutz, für eine Schnittstelle, die nur dafür existiert, den Datenschutz zu verhindern. Und das man dann als Endkunde nicht beim Provider sagen darf: "Ich will das nicht" - ist schon ein starkes Stück, und der DSGVO mindestens unwürdig.
