Browser-Fingerprinting: Wiedererkennung ohne Cookies

Kurz: Beim Fingerprinting wird ein Browser an der Kombination vieler technischer Merkmale wiedererkannt, ohne dass Cookies gespeichert werden.

Genauer: Jeder Browser verrät beim Besuch einer Seite viele Eigenheiten: Version, Sprache, Zeitzone, Bildschirmgröße, installierte Schriften, Grafikkarte, Plugins. Einzeln harmlos, zusammen oft einzigartig, wie ein Fingerabdruck. Werbenetzwerke und Betrugserkennung nutzen das, weil Löschen von Cookies dagegen nicht hilft.

Im Detail

Typische Merkmale

• User-Agent, Sprache, Zeitzone, Plattform
• Bildschirmauflösung, Farbtiefe, Pixeldichte
• Installierte Schriftarten
• Canvas- und WebGL-Fingerprint: Die gleiche Zeichnung wird je nach Grafikhardware und Treibern minimal unterschiedlich gerendert.
• Audio-Kontext, unterstützte Codecs, Hardwarenebenläufigkeit
• Netzwerk-Eigenschaften wie TLS-Parameter (JA3)

Rechtliches

Das Auslesen von Geräteinformationen auf dem Endgerät fällt in Deutschland unter § 25 TDDDG und braucht in der Regel eine Einwilligung, sofern es nicht technisch zwingend nötig ist (etwa zur Betrugsabwehr im eng begrenzten Rahmen). Zusätzlich gilt die DSGVO, weil ein Fingerprint ein personenbezogenes Datum sein kann.

Schutz

• Browser mit Fingerprinting-Schutz (Firefox „Strenger“ Schutz, Brave, Tor Browser): vereinheitlichen oder verfälschen Werte.
• Wenige Erweiterungen installieren: Jede macht den Browser auffälliger.
• Tracker-Blocker (uBlock Origin) blockieren die Skripte.
• Ironie: Zu viele Anpassungen können einzigartiger machen. Besser: mit der Masse verschmelzen. Testen: EFF „Cover Your Tracks“ zeigt, wie eindeutig dein Browser ist.

Für Webentwickler

Verzichte auf Fingerprinting zur Nutzerverfolgung. Wenn Betrugsabwehr nötig ist, minimiere Daten, informiere in der Datenschutzerklärung und prüfe die Rechtsgrundlage. Bessere Alternativen für Analyse sind aggregierte, cookielose Statistiken ohne Personenbezug.

Siehe auch: Cookies, Tracking, Cookie-Einwilligung (TDDDG)