Browser-Fingerprinting hat Cookies leise als Standard-Tracking-Methode abgelöst

Drittanbieter-Cookies sollten eigentlich schon vor Jahren verschwinden. Apples Safari blockierte sie seit 2019-2020 standardmäßig mit Intelligent Tracking Prevention, Firefox' Enhanced Tracking Protection folgte im selben Jahr, und Google versprach von 2020 bis 2024, sie vollständig aus Chrome zu entfernen — bevor es im Juli 2024 eine Kehrtwende vollzog und ankündigte, Drittanbieter-Cookies zu behalten und Nutzern stattdessen eine Auswahlabfrage anzubieten. Nichts davon hat das websiteübergreifende Tracking gestoppt. Es hat das Tracking lediglich auf eine Technik verschoben, für deren Erkennung die um Cookies herum gebauten Rechtsrahmen nie konzipiert wurden: Browser-Fingerprinting.

Das ist der leise Wandel, den es zu verstehen gilt: Auf etwa der Hälfte des Browser-Markts — Safari und Firefox zusammen — ist websiteübergreifendes Cookie-Tracking seit Jahren tot, und das Tracking hat nicht aufgehört, sondern ist dazu übergegangen, Signale zu lesen, die der Browser bereits offenlegt, statt einen Identifikator darauf zu schreiben. Einwilligungsrahmen, die auf "Cookies erfordern Erlaubnis" aufbauen, passen nicht klar zu einer Technik, die von vornherein nichts auf dem Gerät speichert.

Was Fingerprinting tatsächlich liest

Canvas-Fingerprinting rendert eine versteckte Grafik mit der Canvas-API des Browsers und liest die resultierenden Pixel zurück; winzige Unterschiede in GPU, Treiber und Font-Rendering-Stacks erzeugen einen nahezu einzigartigen Ausgabe-Hash über Geräte hinweg. WebGL-Fingerprinting macht etwas Ähnliches, indem es den GPU-Renderer-String und unterstützte Erweiterungen abfragt. AudioContext-Fingerprinting spielt einen nicht hörbaren Ton über die Web-Audio-API ab und misst winzige Gleitkomma-Unterschiede in der Ausgabe-Wellenform, die durch Hardware- und Betriebssystem-Unterschiede verursacht werden.

Keine dieser Techniken erfordert, irgendetwas zu speichern. Kombiniert man Canvas-, WebGL- und Audio-Signale mit Font-Aufzählung, Bildschirmauflösung, Zeitzone und installierten Browser-Erweiterungen, hat das Cover-Your-Tracks-Projekt der EFF (Nachfolger von Panopticlick) wiederholt festgestellt, dass die überwältigende Mehrheit der getesteten Browser einen Fingerabdruck erzeugt, der unter allen anderen Getesteten einzigartig oder nahezu einzigartig ist — genug, um einen Nutzer websiteübergreifend zu verfolgen, ohne jemals ein Cookie zu berühren.

Ironischerweise hat Chromes eigene, aus Datenschutzgründen motivierte User-Agent-Reduzierung — der Ersatz des alten Freitext-User-Agent-Strings durch strukturierte Client Hints — manche Fingerprinting-Signale sauberer und konsistenter lesbar gemacht, statt unübersichtlicher. Und Techniken auf Netzwerkebene verstärken die auf Browser-Ebene: CNAME-Cloaking tarnt eine Drittanbieter-Tracking-Anfrage als First-Party-Subdomain-Anfrage und entwischt so Tracker-Blocklist-Tools, die nur die sichtbare Domain prüfen.

Die rechtliche Grauzone, erklärt

Artikel 5(3) der EU-ePrivacy-Richtlinie verlangt eine Einwilligung für das "Speichern von Informationen oder den Zugriff auf bereits gespeicherte Informationen" auf dem Gerät eines Nutzers. Dieser Wortlaut wurde mit Blick auf Cookies formuliert — ein Cookie schreibt einen Identifikator in den Speicher, und genau dieses Schreiben ist der Akt, der eine Einwilligung erfordert. Fingerprinting schreibt nichts; es liest Signale, die der Browser bereits jeder Seite offenlegt, die danach fragt. Jahrelang entstand dadurch ein echtes Argument, dass Fingerprinting außerhalb des wörtlichen Anwendungsbereichs des Cookie-Einwilligungsrechts liege.

Die französische CNIL schloss einen Teil dieser Lücke 2020 mit einer Leitlinie, die explizit feststellte, dass Fingerprinting unter Artikel 5(3) fällt, weil "Zugriff auf Informationen" auch das Lesen bestehender Signale umfasst, nicht nur das Schreiben neuer — eine Einwilligung ist also in jedem Fall erforderlich. Die britische ICO hat ähnliche Leitlinien veröffentlicht. Doch erklärter rechtlicher Anwendungsbereich und tatsächliche Durchsetzung sind zweierlei: Zu beweisen, dass ein bestimmter Canvas- oder Audio-API-Aufruf für Tracking statt für legitime Bot-Erkennung oder Betrugsprävention verwendet wurde, ist ein technisches forensisches Problem, für das Regulierungsbehörden im großen Maßstab nicht gut ausgerüstet sind, und Durchsetzungsmaßnahmen, die speziell auf Fingerprinting zielen, bleiben selten im Vergleich zu Verstößen gegen Cookie-Einwilligungsbanner.

Es gibt auch eine Framing-Lücke, die vermutlich größer ist als die rechtliche Grauzone: Unternehmen wie Fingerprint (früher FingerprintJS), Seon, Arkose Labs und TransUnions iovation vermarkten genau dieselbe Signalerfassung als "Betrugsprävention" statt als "Tracking". Das Framing als Betrugsprävention kommt einer Rechtsgrundlage des berechtigten Interesses näher, die nicht denselben Einwilligungsablauf wie Werbung erfordert — selbst wenn ein ursprünglich für die Betrugsbewertung berechneter Fingerabdruck später für die Anzeigenzuordnung weiterverwendet wird.

Was das für Cookie-Einwilligungsbanner bedeutet

Die praktische Konsequenz ist, dass Cookie-Einwilligungsbanner — das, was die meisten Nutzer heute mit "Datenschutzkonformität" verbinden — gegen fingerprinting-basiertes Tracking nichts ausrichten. Eine Website kann ein vollständig konformes Cookie-Banner betreiben, standardmäßig alle nicht essenziellen Cookies ablehnen und trotzdem jeden Besucher über Canvas- und Audio-Signale fingerprinten, die das Banner nie erwähnt, weil der gesamte rechtliche und technische Rahmen des Banners cookie-spezifisch ist.

Googles eigener Ersatzversuch — die Privacy-Sandbox-APIs (Topics API für interessenbasiertes Ad-Targeting, Protected Audience für Remarketing, Attribution Reporting für Conversion-Messung) — ist ein echter Versuch einer Nicht-Fingerprinting-Alternative, die auf aggregierter, geräteinterner Berechnung statt auf Rohsignalerfassung basiert. Die Akzeptanz war langsam und wird von Adtech-Unternehmen angefochten, die argumentieren, sie bevorzuge Googles eigenes Werbegeschäft, und sie gilt ohnehin nur innerhalb von Chrome — sie nützt Safari- oder Firefox-Nutzern nichts und ändert nichts an nicht-werbebezogenen Fingerprinting-Nutzungen wie der Betrugsbewertung.

Was man tatsächlich dagegen tun kann

Wenn Sie eine Website betreiben: Wissen Sie, was Ihre Analytics-, Betrugspräventions- und Adtech-Anbieter tatsächlich erfassen. "Wir verwenden keine Tracking-Cookies" ist nicht dieselbe Aussage wie "wir fingerprinten nicht", und Regulierungsbehörden erwarten zunehmend, dass Sie beides beantworten können. Wenn die Dokumentation eines Anbieters Canvas-, WebGL- oder Audio-Fingerprinting nicht ausdrücklich behandelt, fragen Sie direkt nach — die CNIL-Leitlinie von 2020 bedeutet, dass die Antwort in der EU rechtliches Gewicht hat, unabhängig davon, was Ihr Cookie-Banner sagt.

Wenn Sie Entwickler sind und Anti-Betrugs-Tools bauen, legen Sie fingerprinting-basierte Signale den Nutzern ausdrücklich offen, statt sich auf ein generisches Cookie-Banner zu verlassen, um das abzudecken — die Lücke zwischen dem Framing als "Betrugsprävention" und der tatsächlichen Weiterverwendung desselben Signals für Werbe-Tracking ist genau dort, wo die Durchsetzung als Nächstes hinsteuert.

Wenn Sie ein datenschutzbewusster Nutzer sind, schützen Sie Cookie-Einstellungen allein nicht. Braves "Farbling" (zufällige Verzerrung fingerprinting-relevanter API-Ausgaben pro Website) sowie Letterboxing und Canvas-Randomisierung im Tor Browser sind derzeit die einzigen konsistenten Gegenmaßnahmen, da es für eine Technik, die von vornherein keine Erlaubnis von Ihnen benötigt, keinen Einwilligungsschalter gibt.