Welche Signale werden ausgewertet?
Die Klassiker, sortiert danach, wie aussagekräftig sie sind:
- Canvas-Fingerprinting: Eine Website lässt den Browser ein kleines Bild zeichnen und liest danach die Pixel aus. Winzige Unterschiede bei Grafiktreibern, GPU-Modell und Betriebssystem führen zu einem leicht anderen Bild, verschieden genug, dass das Ergebnis pro Gerät fast eindeutig ist.
- WebGL-Fingerprinting: ähnlich wie Canvas, aber mit 3D-Grafik-APIs. Verrät ziemlich direkt Ihr GPU-Modell und Ihre Treiberversion.
- Audio-Fingerprinting: Die Audioverarbeitung des Browsers hat winzige numerische Unterschiede je System. Eine Website kann über die API einen Ton abspielen (ohne dass Sie ihn hören) und die entstehende Wellenform auslesen.
- Auflisten von Schriften: Welche Schriften Sie installiert haben, ist ein überraschend aussagekräftiges Signal. Ein typischer Rechner hat 50–200 Schriften; genau dieselbe Liste wiederholt sich selten.
- Bildschirmgröße und Pixeldichte
- User-Agent-String und Client Hints (Ihr Browser, die Version, das Betriebssystem)
- Zeitzone, Sprache, Anzahl der Prozessorkerne, verfügbarer Speicher, in manchen Browsern die Battery API
Jedes einzelne Signal ist schwach. Zusammen erreichen sie eine Eindeutigkeit in der Größenordnung von 1 zu mehreren Millionen.
Warum es auch funktioniert, wenn Sie Cookies blockieren
Drittanbieter-Cookies verschwinden bald aus jedem großen Browser. Fingerprinting ist die Alternative, zu der die Werbebranche längst übergegangen ist. Die Signale sind keine „Tracking-Daten“, deren Herausgabe Sie verweigern könnten, sondern Daten, die der Browser senden muss, damit die Seite richtig dargestellt wird. Ihre Bildschirmgröße zählt, weil Seiten ihr Layout darauf abstimmen. Ihre Schriften zählen, weil die Seite die passendste auswählt. Dass die Kombination eindeutig ist, ist eine Nebenwirkung davon, dass die Daten überhaupt gesendet werden müssen.
Wie Browser sich wehren
Zwei Strategien, beide unvollkommen:
- Einheitlichkeit (der Ansatz von Tor): Alle Tor-Nutzer sehen gleich aus. Derselbe Fingerabdruck, dieselbe Bildschirmgröße, dieselben Schriften. Der Nachteil: Das Web geht auf viele kleine Arten kaputt, Seiten erscheinen in der „falschen“ Größe, Schriften werden ersetzt, Web-Apps erkennen Ihr Gerät falsch.
- Zufall (der Ansatz von Brave und Dazr): den Signalen pro Domain ein wenig Rauschen hinzufügen. Zwei Besuche derselben Website sehen konsistente Ergebnisse (Logins funktionieren also); zwei verschiedene Websites sehen unterschiedliche Fingerabdrücke. Diesen Kompromiss gehen die meisten Datenschutz-Browser für den Alltag ein.
Der Schutz von Dazr ist standardmäßig aktiv und gilt für Canvas-, WebGL-, Audio- und Schriftmessungen, mit Ausnahmen pro Website für die seltene Seite, die dabei kaputtgeht.
Was Sie wirklich dagegen tun können
Um Ihren Fingerabdruck zu verkleinern, sind die Möglichkeiten begrenzt:
- Nutzen Sie einen Browser mit standardmäßigem Fingerprinting-Schutz (Dazr, Tor Browser, Brave mit strengen Shields)
- Deaktivieren Sie Battery API, Plug-ins und unnötige Browserfunktionen in den erweiterten Einstellungen
- Installieren Sie keine Schriften, die Sie nicht brauchen
- Bedenken Sie, dass selbst bei deaktiviertem JavaScript passives Fingerprinting (HTTP-Header, IP, Bildschirmgröße per CSS) weiter möglich ist