Wie Browser-Fingerprinting Sie ohne Cookie identifiziert

Was ist Browser-Fingerprinting?

Mehrere technische Signale, die der Browser und das Gerät eines Besuchers übermitteln, kombiniert zu einer einzigen Kennung ohne das Setzen eines Cookies, das ist es, was Browser-Fingerprinting nutzt, um diesen Besucher bei einem späteren Besuch wiederzuerkennen. Jedes Signal für sich, etwa die Bildschirmauflösung oder die installierten Schriftarten, ist bei vielen Geräten gleich, aber die konkrete Kombination aus Dutzenden Signalen ist selten genug, um ein einzelnes Gerät über getrennte Besuche hinweg wiederzuerkennen. Eine Website kann diesen Fingerabdruck aus Informationen berechnen, die der Browser ohnehin an jede geladene Seite sendet oder offenlegt, und genau das macht die Technik ohne explizite Tracking-Software möglich.

Welche Signale bilden einen Browser-Fingerabdruck?

Ein Browser-Fingerabdruck setzt sich aus Signalen zusammen wie der Canvas-Rendering-Ausgabe, der Liste installierter Schriftarten, Bildschirmauflösung und Farbtiefe, dem User-Agent-String und der vom Browser gemeldeten Zeitzone. Canvas-Fingerprinting funktioniert, indem der Browser aufgefordert wird, ein verstecktes Bild zu zeichnen, und die entstehenden Pixel ausgelesen werden, denn kleine Unterschiede in Grafikhardware und Treibern lassen diese Ausgabe zwischen Geräten leicht variieren, selbst wenn die Zeichenanweisungen identisch sind. Der User-Agent-String meldet Browsername, Version und Betriebssystem, während Zeitzone und Schriftartenliste den Pool passender Geräte mit jedem weiteren Signal zusätzlich eingrenzen.

Was ist Entropie, und warum ist sie für die Eindeutigkeit eines Fingerabdrucks wichtig?

Entropie misst, wie viele Bits an identifizierender Information ein Signal beisteuert, und die Gesamteindeutigkeit eines Fingerabdrucks entsteht durch die Kombination von Signalen mit genug Gesamtentropie, um ein Gerät aus dem Pool aller anderen Geräte mit ähnlicher Hardware herauszulösen. Ein häufiges Signal, etwa "nutzt Chrome", trägt für sich genommen sehr wenig Entropie bei, da Millionen Geräte es teilen, aber eine seltene Schriftartenliste oder eine ungewöhnliche Kombination aus Bildschirmauflösung und Zeitzone kann den passenden Pool deutlich eingrenzen. Die Kombination von zehn oder mehr Signalen mittlerer Entropie macht aus einem Fingerabdruck, der "wahrscheinlich zu Tausenden Geräten passt", einen, der "mit hoher Sicherheit zu einem bestimmten Gerät passt".

Warum übersteht Browser-Fingerprinting das Löschen von Cookies?

Browser-Fingerprinting übersteht das Löschen von Cookies, weil die ausgelesenen Signale aus der Konfiguration von Browser und Betriebssystem selbst stammen, nicht aus einer Datei, die eine bestimmte Website gespeichert hat. Das Löschen von Cookies entfernt die Kennungen, die eine Website auf dem Gerät des Besuchers hinterlegt hat, ändert aber nicht dessen Bildschirmauflösung, installierte Schriftarten oder die Art, wie seine Grafikhardware ein Canvas-Element rendert, sodass die Neuberechnung des Fingerabdrucks beim nächsten Besuch dasselbe oder ein sehr ähnliches Ergebnis liefert. Genau das unterscheidet Fingerprinting von Cookie-basiertem Tracking: Das Löschen des Speichers besiegt ein Cookie, aber nicht einen Fingerabdruck, der aus Hardware- und Konfigurationssignalen aufgebaut ist.

Wie ist die rechtliche Lage von Browser-Fingerprinting unter der GDPR?

Nach der GDPR gilt ein Browser-Fingerabdruck, der ein bestimmtes Gerät herausgreifen und wiedererkennen kann, als personenbezogenes Datum, und seine Erhebung zu Tracking-Zwecken braucht dieselbe Rechtsgrundlage und Einwilligung wie ein Tracking-Cookie. Die Einwilligungspflicht der ePrivacy-Richtlinie gilt für das Speichern oder Auslesen von Informationen auf einem Gerät, unabhängig davon, ob diese Information als Cookie bezeichnet wird, sodass das Auslesen von Canvas-Ausgaben oder Schriftartenlisten zum Aufbau eines Fingerabdrucks unter dieselbe Regel fällt wie das Auslesen eines Cookie-Werts. Eine Website, die Fingerprinting-Skripte ausführt, bevor ein Besucher seine Tracking-Einwilligung gegeben hat, verarbeitet personenbezogene Daten ohne die erforderliche Rechtsgrundlage, ganz gleich, ob sie die Technik jemals als Cookie bezeichnet.

Wie unterscheidet sich Fingerprinting von anderen Formen des Cross-Site-Tracking?

Fingerprinting identifiziert ein einzelnes Gerät anhand von Signalen, die jeweils auf einer Website gesammelt werden, während andere Formen des Cross-Site-Tracking auf eine gemeinsame Kennung angewiesen sind, etwa ein Third-Party-Cookie oder ein Werbenetzwerk-Pixel, das absichtlich auf mehreren Websites platziert wird. Fingerprinting erfordert nicht, dass die beteiligten Websites einen gemeinsamen Tracking-Partner teilen, da jede Website unabhängig einen ähnlichen Fingerabdruck aus denselben zugrunde liegenden Gerätesignalen berechnen kann. Das ist mit ein Grund, warum sich Fingerprinting schwerer mit einer einzigen Einstellung blockieren lässt: Ein Third-Party-Cookie lässt sich auf Browserebene deaktivieren, aber die zugrunde liegenden Signale, die Fingerprinting ausliest, sind standardmäßig jeder Seite zugänglich, sofern der Browser sie nicht gezielt einschränkt.

Häufig gestellte Fragen

Kann ich Browser-Fingerprinting vollständig blockieren?

Nicht vollständig, denn manche Signale, auf die ein Fingerabdruck angewiesen ist, etwa die Bildschirmauflösung, lassen sich nur schwer verbergen, ohne die Darstellung einer Seite zu beeinträchtigen. Browsereinstellungen, die den Canvas-Zugriff einschränken, gemeldete Werte randomisieren oder bekannte Fingerprinting-Skripte blockieren, verringern die Genauigkeit des Fingerabdrucks, können aber nicht jedes Signal entfernen, das eine Website auslesen kann.

Ist Browser-Fingerprinting illegal?

Browser-Fingerprinting ist an sich nicht illegal, aber es zu nutzen, um ein bestimmtes Gerät zu identifizieren und zu verfolgen, ohne die Einwilligung, die GDPR und die ePrivacy-Richtlinie dafür verlangen, ist in der EU unrechtmäßig. Die rechtliche Frage betrifft nicht die Technik selbst, sondern ob sie genutzt wird, um ein Gerät ohne gültige Rechtsgrundlage herauszugreifen.

Stoppt das Löschen meines Browser-Caches das Fingerprinting?

Nein, das Löschen von Cache und Cookies entfernt gespeicherte Kennungen, die eine Website hinterlegt hat, ändert aber nicht Ihre Bildschirmauflösung, installierten Schriftarten oder die Art, wie Ihre Hardware ein Canvas-Element rendert, also genau die Signale, die Fingerprinting tatsächlich ausliest. Ein neu berechneter Fingerabdruck bei Ihrem nächsten Besuch kann dasselbe Gerät weiterhin zuordnen.

Wie unterscheidet sich Browser-Fingerprinting von einem First-Party-Cookie?

Ein First-Party-Cookie ist ein Wert, den die Website selbst in Ihrem Browser speichert und bei einem späteren Besuch wieder ausliest, und das Löschen entfernt die Kennung vollständig. Ein Browser-Fingerabdruck leitet sich aus der eigenen Konfiguration und dem Hardwareverhalten Ihres Geräts ab, sodass es keine einzelne gespeicherte Datei zum Löschen gibt.

Verhindern Inkognito- oder private Browsing-Modi das Fingerprinting?

Private Browsing-Modi löschen Cookies und Verlauf am Ende einer Sitzung, aber die meisten Signale, die beim Fingerprinting genutzt werden, etwa Bildschirmgröße, installierte Schriftarten und User-Agent, bleiben vom privaten Modus unberührt und sind für jede während dieser Sitzung geladene Seite weiterhin auslesbar.

Warum meiden Analytics-Tools mit Fokus auf Datenschutz das Fingerprinting?

Fingerprinting identifiziert ein einzelnes Gerät ohne Einwilligung, was direkt im Widerspruch zu cookiefreier Analytics steht, die so gebaut ist, dass sie unter der GDPR arbeitet, ohne personenbezogene Kennungen zu erheben. Flowserys datenschutzorientierte Analytics ist cookiefrei und in der EU gehostet, genau damit eine Website weder einen Fingerabdruck noch ein Cookie-Banner braucht, um den Traffic zu messen.

Wie viele Signale braucht es, um einen eindeutigen Browser-Fingerabdruck zu erstellen?

Es gibt keine feste Zahl, aber die Kombination von zehn oder mehr Signalen mit mittlerer Entropie reicht in der Regel aus, um aus einem Fingerabdruck, der zu Tausenden von Geräten passt, einen zu machen, der ein einzelnes Gerät mit hoher Sicherheit identifiziert. Signale wie Canvas-Ausgabe, installierte Schriftarten, Bildschirmauflösung, User-Agent und Zeitzone werden dafür typischerweise kombiniert. Weniger Signale, oder solche, die viele Geräte teilen, lassen die Zuordnung in einem größeren, unsichereren Pool.

Wie sieht ein Browser-Fingerabdruck eigentlich aus?

Ein Browser-Fingerabdruck ist keine Datei und kein Bild, sondern ein einzelner Hash-Wert, der aus Signalen wie Canvas-Rendering-Ausgabe, installierten Schriftarten, Bildschirmauflösung, User-Agent-String und Zeitzone berechnet wird. Dieselbe Kombination von Eingaben ergibt denselben Hash, sodass eine Website ihn beim nächsten Besuch neu berechnen und auf Übereinstimmung prüfen kann. Es gibt nichts zu öffnen oder anzusehen, nur einen Wert zum Vergleichen.

Können zwei unterschiedliche Geräte denselben Browser-Fingerabdruck haben?

Zwei Geräte können denselben Fingerabdruck erzeugen, wenn die kombinierten Signale nicht genug Entropie liefern, um sie von anderen mit ähnlicher Hardware und ähnlichen Einstellungen zu unterscheiden. Ein häufiges Signal wie die Nutzung von Chrome trägt für sich genommen sehr wenig bei, da Millionen von Geräten es teilen, sodass zwei Maschinen mit demselben Browser, derselben Bildschirmauflösung und Zeitzone übereinstimmen können. Weitere Signale, besonders seltene wie eine ungewöhnliche Schriftartenliste, verengen diesen Pool und verringern die Wahrscheinlichkeit einer Kollision.

Zählt ein Browser-Fingerabdruck als personenbezogene Daten, auch wenn er nicht mit meinem Namen verknüpft ist?

Das kann er, denn die GDPR stuft einen Fingerabdruck als personenbezogene Daten ein, sobald er ein bestimmtes Gerät herausgreifen und wiedererkennen kann, unabhängig davon, ob er mit einem Namen oder einer E-Mail-Adresse verknüpft ist. Die entscheidende Schwelle im Gesetz ist die Fähigkeit, ein Gerät von anderen zu unterscheiden, nicht das Vorhandensein eines Identitätsmerkmals. Deshalb brauchen Fingerprinting-Skripte dieselbe Einwilligung wie ein Tracking-Cookie, sobald sie zu diesem Zweck eingesetzt werden.