Warum ist der Refer(r)er standardmäßig im Browser aktiviert?

[Asozialer Browserprogrammierer]

• Folgendes in Firefox Adresszeile eingeben: about:config
• Suchen nach der Zeile Filter network.http.sendRefererHeader
• Doppelklicken auf network.http.sendRefererHeader.
• Ändern des Wertes von 2 auf 0. Ergo: Referer = aus.

… und Probleme auf manchen Webseiten, siehe unten.

Besser: network.http.sendRefererHeader auf dem Standardwert lassen und stattdessen network.http.referer.spoofSource einschalten.

Noch besser: In jüngeren Versionen gibt es die Einstellung network.http.referer.userControlPolicy. Mit dem Wert 1 sendet der Browser die Information nur an dieselbe Quelle zurück (also an denjenigen, der sowieso schon weiss, was man vorher von ihm geholt hat), was meines Erachtens ein vernünftiger Kompromiss zwischen Datenschutz für den Nutzer und freundlicher Hilfe für den Serverbetreiber (ebenfalls siehe unten) ist.

dass der Referer allerdings bei Firefox standardmäßig aktiviert ist wundert mich schon sehr.

Dieser Wert wird seit über 20 Jahren von jedem Browser übermittelt. Sinn war nicht etwa, hinter einzelnen Personen hinterzuschnüffeln, sondern das Aufspüren von verwandten Seiten wie auch fehlerhaften Verweisen. So steht's in RFC 1945:

This allows a server to generate lists of back-links to resources for interest, logging, optimized caching, etc. It also allows obsolete or mistyped links to be traced for maintenance.

Das Netz war mal ein freundlicher Ort der Wissensmehrung. Nicht alles, was dir asozial erscheint, ist auch asozial gedacht gewesen.

Warum ist der Referer beim Firefox nicht standardmäßig deaktiviert, das wäre doch bezogen auf den Datenschutz viel besser.

Weil manche Seiten die Angabe nutzen, um Bilderklau einzudämmen. Ja, das lässt sich von den "wahren Cracks" leicht umgehen, und doch, ja, es zeigt bei der weit überwiegenden Masse der Besucher seine Wirkung – und hier gilt: Besser ganz viel als gar nichts.

Angenommen ich deaktiviere den Referer über eine der oben beschriebenen Methoden. Dann könnten Google Analytics oder andere Tracking-Systeme nicht mehr erkennen,

Das Einzige, was Google in dieser Hinsicht behindert, ist das Sperren der Google-Analytics-Domain. Ich möchte mal behaupten, nur Facebook ist auf noch mehr Seiten präsent und somit noch ein wenig mehr in der Lage, Nutzer alleine dadurch zu verfolgen, dass deren Codefitzelchen auf wirklich jeder einzelnen bekloppten Seite eingebunden ist.