Browser-Fingerprinting braucht keine Cookies — und Regulierungsbehörden hinken hinterher
Die EU-Datenschutz-Grundverordnung (DSGVO) und der California Consumer Privacy Act (CCPA) wurden weitgehend mit Cookies im Blick geschrieben. Beide verlangen eine Einwilligung für Tracking-Cookies, gewähren Nutzern Löschungsrechte und verhängen erhebliche Sanktionen für Nichteinhaltung. Die darauf folgende Compliance-Infrastruktur — Cookie-Banner, Consent-Management-Plattformen, Opt-out-Mechanismen — hat einen sichtbaren, wenn auch unvollkommenen Rahmen für cookie-basiertes Tracking geschaffen.
Browser-Fingerprinting operiert fast vollständig außerhalb dieses Rahmens. Es speichert nichts auf dem Gerät des Nutzers. Es gibt keinen Cookie zu löschen, keine Datei zu bereinigen. Der private Modus hilft nicht. Das Blockieren von Third-Party-Cookies hat keine Auswirkung. Die Daten, aus denen ein Fingerabdruck erstellt wird, sind dem Browser selbst inhärent — die Kombination aus Browserversion, Betriebssystem, installierten Schriftarten, Grafikhardware, Bildschirmauflösung, Zeitzone, Spracheinstellungen und Dutzenden weiterer Attribute, die über standardmäßige JavaScript-APIs ausgelesen werden können. Jedes Attribut für sich ist unspektakulär. Zusammen ergeben sie jedoch häufig eine ausreichend eindeutige Kombination, um einen bestimmten Nutzer über Sitzungen und Websites hinweg zu identifizieren, ohne dass eine dauerhafte Kennung auf seinem Gerät gespeichert wird.
Wie Fingerprinting in der Praxis funktioniert
Die Kernmethode beruht auf der Tatsache, dass JavaScript-APIs, die für legitime Webentwicklung konzipiert wurden, auch eindeutig identifizierende Hardware- und Software-Merkmale preisgeben. Das navigator-Objekt liefert Browserversion, Plattform und Plugin-Liste. Canvas-Fingerprinting rendert ein verstecktes Bild mit der Canvas-API und erzeugt einen Hashwert der Ausgabe — weil verschiedene Grafiktreiber dasselbe Bild mit subtilen Pixelunterschieden rendern, fungiert der Hash als Hardware-Kennung. WebGL-Fingerprinting macht dasselbe über 3D-Rendering. AudioContext-Fingerprinting erzeugt einen synthetischen Ton und hasht die verarbeitete Ausgabe, die je nach Audio-Hardware und OS-Audio-Stack variiert.
Ein umfassender Fingerabdruck kombiniert 30–50 solcher Attribute. Forschungen des Panopticlick-Projekts der EFF ergaben, dass über 99 % der Browser mit diesen Techniken eindeutig identifizierbar waren, wenn die vollständige Schriftarten-Enumeration verfügbar war. FingerprintJS beansprucht eine Identifikationsgenauigkeit von über 99,5 % bei vollständiger JavaScript-Ausführung. Selbst bei durch datenschutzfokussierte Browser hinzugefügtem Rauschen kann ein Fingerabdruck, der auf ausreichend Attributen basiert, einen wiederkehrenden Besucher mit hoher Sicherheit erkennen — oft zuverlässiger als ein Cookie, da Cookies gelöscht werden können, während Browser-Eigenschaften typischerweise stabil bleiben, bis ein Software-Update erfolgt.
Warum Regulierungsbehörden es übersehen
Die Definition personenbezogener Daten in der DSGVO umfasst jede Information, die eine natürliche Person identifizieren kann. Ein Browser-Fingerabdruck qualifiziert sich eindeutig. Sowohl die britische ICO als auch die französische CNIL haben Leitlinien veröffentlicht, die besagen, dass Browser-Fingerprinting den DSGVO-Einwilligungspflichten unterliegt. Die CNIL verhängte 2022 gegen das französische Analyseunternehmen Eulerian Technologies eine Geldstrafe von 200.000 €, unter anderem wegen Fingerprinting ohne Einwilligung. Verglichen mit Durchsetzungsmaßnahmen gegen Cookie-Einwilligungen sind Fingerprinting-Fälle jedoch selten.
Mehrere Faktoren erklären diese Lücke. Erstens sind die Durchsetzungskapazitäten begrenzt, und Cookie-Verstöße sind leichter zu erkennen und zu melden — Nutzer sehen das Banner. Fingerprinting ist unsichtbar; die Durchsetzung erfordert technische Untersuchungen, die die meisten Beschwerdeführer nicht durchführen können. Zweitens ist die rechtliche Unterscheidung zwischen Fingerprinting zur Betrugsprävention und zum Verhaltens-Tracking tatsächlich unklar. Unbedingt erforderliche Cookies sind von Einwilligungspflichten ausgenommen, und viele Unternehmen argumentieren, dass Fingerprinting zur Bot-Erkennung oder Sicherheit unter eine ähnliche Ausnahme fällt. Drittens setzen die meisten Publisher Fingerprinting über eingebettete Skripte von Drittanbietern um — Analyseanbieter, Werbenetzwerke — bei denen der Publisher möglicherweise nicht vollständig versteht, welche Daten diese Skripte sammeln. Die Verantwortung ist verteilt, was die Durchsetzung gegen eine einzelne Partei erschwert.
Wo Fingerprinting tatsächlich auftaucht
Fingerprinting ist nicht primär die Domäne offensichtlich bösartiger Websites. Das kommerzielle Produkt von FingerprintJS wird von großen Banken, Fluggesellschaften und E-Commerce-Plattformen zur Betrugsprävention und Sitzungssicherheit eingesetzt — legitime Anwendungen, bei denen die Identifikation wiederkehrender Nutzer Kontenübernahmen verhindert. Dieselbe API wird auch von Werbenetzwerken für standortübergreifendes Tracking ohne Einwilligung und zum Wiederaufbau von Nutzerprofilen nach Cookie-Löschung genutzt.
Cookie-Sync-Skripte fügen eine weitere Ebene hinzu. Ein Publisher könnte Third-Party-Cookies auf seiner eigenen Website blockieren, während er ein Skript hostet, das Browser-Fingerabdrücke mit den Cookie-Kennungen eines Werbenetzwerks für domainsübergreifendes Tracking synchronisiert. Das Ergebnis ist, dass das Blockieren von Cookies weniger erreicht, als Nutzer erwarten, weil der Fingerabdruck die dauerhafte Kennung liefert, die zuvor das Cookie geliefert hat.
Browser-Ebene Gegenmaßnahmen und ihre Grenzen
Browser haben Fingerprinting-Schutzmaßnahmen hinzugefügt, aber diese sind unvollständig. Safari's Intelligent Tracking Prevention beschränkt den Zugriff auf bestimmte Third-Party-APIs. Der erweiterte Fingerprinting-Schutz von Firefox fügt Rauschen zu Canvas- und WebGL-Ergebnissen hinzu — genug, um einfache Fingerprinting-Skripte zu vereiteln, aber nicht ausgeklügelte Systeme, die genügend zusätzliche Attribute sammeln, um dies auszugleichen. Der Privacy-Sandbox-Ansatz von Chrome adressiert Third-Party-Cookies, beseitigt aber kein Fingerprinting-basiertes Tracking.
Der Tor Browser bietet den vollständigsten Schutz, indem er Fingerprinting-Attribute bewusst vereinheitlicht: Die Bildschirmauflösung wird gerundet, die Schriftarten-Enumeration blockiert, Canvas-Ergebnisse werden pro Website randomisiert. Der Kompromiss ist eine erhebliche Beeinträchtigung der Nutzbarkeit und Markierung durch Bot-Erkennungssysteme. Für Nutzer, die sinnvollen Schutz ohne Tor-Level-Reibung wollen, bietet Firefox mit strengem Fingerprinting-Schutz plus uBlock Origin im erweiterten Modus oder der Brave Browser mit eingebauter Fingerprinting-Randomisierung die beste verfügbare Mainstream-Kombination. Keine Konfiguration verhindert alle Fingerprinting-Aktivitäten durch einen ausreichend entschlossenen Tracker.
Die regulatorische Richtung
Die bedeutungsvollsten Durchsetzungsbewegungen geschehen nicht durch dedizierte Fingerprinting-Fälle, sondern durch breitere Durchsetzungsaktionen gegen cookieloses Tracking. Die französische CNIL führte 2025 koordinierte Aktionen durch, die sich auf Fingerprinting und Pixel-basiertes Tracking neben Cookies richteten und sie als koordinierte Umgehungsstrategie behandelten. Der deutsche DSK hat Leitlinien herausgegeben, dass ePrivacy-Regeln für jeden Tracking-Mechanismus gelten, der Gerätemerkmale ausliest — einschließlich Fingerabdrücken, die aus Browser-Eigenschaften abgeleitet werden.
Wenn diese Auslegung in allen EU-Mitgliedstaaten konsistent wird, steht Fingerprinting vor derselben Einwilligungslast wie Cookies — was eine ausdrückliche Opt-in-Einwilligung für Verhaltens-Tracking-Nutzungen erfordert. Die Werbebranche beobachtet dies genau: Fingerprinting wird zunehmend der Ausweichmechanismus für standortübergreifendes Verhaltens-Targeting, während Third-Party-Cookies in Chrome ihre Auslaufphase abschließen. Wenn es durch DSGVO-Durchsetzung verloren geht, müsste die Infrastruktur für Verhaltenswerbung um tatsächlich einwilligungsbasierte Kennungen neu aufgebaut werden, nicht nur ein dauerhafter Identifikator durch einen anderen ausgetauscht werden.
Die Kluft zwischen dem, was Browser-Fingerprinting kann, und dem, was die Regulierung derzeit einschränkt, bleibt groß — aber sie schrumpft durch koordinierte Durchsetzung, klarere regulatorische Leitlinien und Browser-Hersteller, die nach und nach die APIs schließen, die die zuverlässigsten Fingerabdrücke ermöglichen. Nutzer, die jetzt Schutz wollen, haben bessere Optionen als vor zwei Jahren. Nutzer, die darauf warten, dass die Regulierung es löst, warten wahrscheinlich länger, als sie erwarten.