Browser-Fingerprinting ist der gefährlichere Nachfolger des Tracking Cookies

Fünfundzwanzig Jahre lang war das Tracking Cookie das grundlegende Werkzeug der digitalen Werbung. Eine kleine Datei im Browser ablegen, beim nächsten Besuch auslesen, den Nutzer mit einem Profil verknüpfen. Einfach, effektiv – und, wie sich herausstellte, einfach zu blockieren. Safari begann 2020 damit, Drittanbieter-Cookies zu blockieren. Firefox zog nach. Chrome kündigte seine Abschaffung an (verschob sie dann zweimal und verpflichtete sich schließlich endgültig). Browser-Erweiterungen wie uBlock Origin und Privacy Badger machten das Blockieren von Cookies zum Mainstream. Die Werbebranche sah es kommen und verbrachte ein Jahrzehnt damit, einen Ersatz zu entwickeln, der deutlich schwerer zu bekämpfen ist: Browser-Fingerprinting.

Browser-Fingerprinting identifiziert einen Nutzer nicht durch das Auslesen einer Datei auf seinem Gerät, sondern indem es dem Browser eine Vielzahl von Fragen stellt – welche Schriftarten installiert sind, welche Grafikkarte im Rechner steckt, welche Bildschirmauflösung und Farbtiefe vorliegen, welche Plugins geladen sind, welche Spracheinstellungen aktiv sind, wie der Browser ein bestimmtes Canvas-Element rendert – und das Aggregat zu einem eindeutigen Identifikator hasht. Es wird kein Cookie geschrieben. Es wird keine Datei gespeichert. Der Nutzer kann es nicht durch Leeren des Caches löschen. Es bleibt über private Browsing-Sitzungen hinweg bestehen. Es funktioniert selbst dann, wenn ein VPN die IP-Adresse des Nutzers maskiert. Und es ist völlig unsichtbar.

Wie Fingerprinting tatsächlich funktioniert

Die Stärke des Fingerprintings liegt in der Spezifität der Kombinationen von Browserumgebungen. Das Cover Your Tracks-Tool der Electronic Frontier Foundation (ehemals Panopticlick) fand 2023 heraus, dass 84,6 % der Browser einen ausreichend eindeutigen Fingerprint haben, um den Nutzer aus einer Stichprobe von Millionen zu identifizieren. Die Zahl ist mit zunehmender Hardwarevielfalt gestiegen – GPU-Modell, RAM-Größe, CPU-Kernanzahl und installierte Schriftarten tragen alle dazu bei.

Die markanteste Komponente ist das Canvas-Fingerprinting. Ein Skript weist den Browser an, ein verstecktes Bild zu zeichnen – normalerweise etwas Text in einer bestimmten Schriftart auf einem farbigen Hintergrund – und liest die exakten Pixeldaten aus, die die GPU gerendert hat. Unterschiedliche Hardware, Treiber und Browserversionen rendern dieselbe Anweisung mit mikroskopischen Abweichungen. Diese Abweichungen sind pro Gerät konsistent und geräteübergreifend eindeutig. AudioContext-Fingerprinting funktioniert ähnlich: Ein Skript generiert ein Tonsignal, erfasst, wie der Audio-Stack des Browsers es verarbeitet, und hasht die Ausgabe.

WebGL-Fingerprinting extrahiert direkt die GPU-Modellzeichenfolge und Renderer-Informationen. Navigation-Timing-APIs legen subtile Leistungsmerkmale der CPU des Geräts offen. Sogar die Liste der Browser-Berechtigungen, die ein Nutzer erteilt hat – Standort, Kamera, Benachrichtigungen – wird Teil des Fingerprints.

Wer es einsetzt und in welchem Umfang

Fingerprinting ist keine Nischentechnik. Eine Studie von Forschern der KU Leuven aus dem Jahr 2025 ergab, dass 32,4 % der Top-10.000-Websites nach Alexa-Rang eine Form von Browser-Fingerprinting einsetzen, gegenüber 12,4 % im Jahr 2018. Die großen Werbenetzwerke – Googles DoubleClick-Nachfolger, The Trade Desk, Criteo – nutzen Fingerprinting als Signal in ihren Identity-Resolution-Systemen, kombiniert mit gehashten E-Mail-Adressen (von Login-Walls) und probabilistischem Cross-Device-Matching.

Betrugserkennungsunternehmen haben legitime Anwendungen für Fingerprinting: Die Identifizierung desselben böswilligen Akteurs über mehrere Fake-Accounts hinweg ist wirklich wertvoll, und Fingerprinting ist für diesen Zweck zuverlässiger als Cookies. PayPal, Stripe und die meisten großen Banken setzen Fingerprinting als Sicherheitsschicht ein. Dieselbe Technik, die Ihr Bankkonto vor Betrügern schützt, wird verwendet, um Ihr Einkaufsverhalten im gesamten Web zu verfolgen.

Datenbroker – LiveRamp, Neustar, Tapad – bieten geräteübergreifende Identity Graphs, die Fingerprints, gehashte E-Mails, IP-Adressen und Standortdaten zu dauerhaften Profilen kombinieren. Diese Profile werden an Werbetreibende, Versicherungen, Arbeitgeber und – mangels strenger Regulierung von Datenbrokern – an jeden mit einer Bestellung verkauft.

Was die Browser dagegen tun

Die Browser-Anbieter sind sich des Problems bewusst. Safaris Intelligent Tracking Prevention (ITP) umfasst Fingerprinting-Schutzmaßnahmen: Es schränkt die Granularität der von mehreren APIs zurückgegebenen Daten ein, randomisiert die Canvas-Ausgabe leicht und schränkt die Schriftarterkennung ein. Firefox verfügt im strengen Modus des Enhanced Tracking Protection über ähnliche Schutzmaßnahmen. Chrome hat Privacy Sandbox-APIs angekündigt, die das Cross-Site-Tracking ersetzen sollen, auch wenn Kritiker (darunter die britische Wettbewerbsbehörde Competition and Markets Authority, die Chromes Abschaffungspläne untersuchte) argumentieren, dass diese eine von Google kontrollierte Tracking-Schicht schaffen, anstatt Tracking zu eliminieren.

Brave Browser verfolgt den aggressivsten Ansatz: Es randomisiert Fingerprint-Daten pro Website und pro Sitzung, gibt jedes Mal leicht unterschiedliche Werte zurück, macht den Fingerprint für die websiteübergreifende Korrelation unbrauchbar und bewahrt gleichzeitig die normale Browser-Funktionalität. Der Tor Browser geht noch weiter: Er standardisiert die Browser-Umgebung, sodass sie für alle Tor-Nutzer identisch ist – effektiv, aber mit erheblichen Usability-Einbußen (keine benutzerdefinierten Schriftarten, eingeschränktes JavaScript, geringere UI-Treue).

Das grundlegende Problem ist, dass Fingerprinting dieselben APIs ausnutzt, die das Web funktionsfähig machen. Das Blockieren des Canvas-Zugriffs zerstört Websites, die Canvas zum Rendern nutzen. Die Einschränkung von WebGL zerstört 3D-Webanwendungen. Browser-Anbieter versuchen, diesen APIs Rauschen hinzuzufügen, anstatt sie zu blockieren, aber Rauschen kann bei ausreichend vielen Stichproben herauskalibriert werden.

Was Sie tatsächlich tun können

Die praktischen Optionen für Nutzer, die Fingerprinting einschränken möchten, fallen in drei Stufen.

Auf der Basisstufe: Verwenden Sie Firefox mit Enhanced Tracking Protection auf „Streng" oder Brave. Beide bieten einen sinnvollen Fingerprinting-Widerstand, ohne die meisten Websites zu beeinträchtigen. Aktivieren Sie DNS-over-HTTPS (in beiden Browsern integriert), um ISP-seitiges Traffic-Logging zu verhindern. Installieren Sie uBlock Origin im Medium-Modus.

Auf der mittleren Stufe: Verwenden Sie Brave mit Fingerprinting-Schutz auf „Streng (kann Websites beeinträchtigen)". Dies randomisiert die meisten Fingerprinting-Vektoren, gelegentlich auf Kosten von Website-Fehlfunktionen. Kombinieren Sie es mit einem seriösen VPN, um IP-basierte Korrelationen zu entfernen.

Auf der maximalen Stufe: Tor Browser, verwendet innerhalb von Tails OS für sensible Sitzungen. Dies bietet die stärkste verfügbare Fingerprint-Standardisierung, bei deutlich reduzierter Surfgeschwindigkeit und Website-Kompatibilität.

Für Organisationen: Fingerprinting sollte Teil jeder Browser-Sicherheitsrichtlinie sein. Verwaltete Browser können zentral mit Fingerprinting-Schutz konfiguriert werden. Mitarbeitergeräte sollten Browser mit gehärteten Profilen ausführen, insbesondere bei Mitarbeitern mit Zugang zu sensiblen Systemen – gezielte Spear-Phishing-Kampagnen nutzen zunehmend Fingerprinting, um Ziele vor dem Angriff zu profilieren.

Handlungsempfehlungen

Wenn Ihnen Online-Privatsphäre wichtig ist, reicht das Löschen von Cookies und die Nutzung des privaten Browsing-Modus nicht aus. Browser-Fingerprinting erstellt ein Profil von Ihnen, ohne Ihre Dateien zu berühren. Wechseln Sie zu Firefox oder Brave als Hauptbrowser, jeweils konfiguriert mit strengem Tracking-Schutz. Vermeiden Sie es, sich auf Browsern, die Sie für allgemeines Surfen im Web verwenden, in Google- oder Facebook-Konten anzumelden – gehashte E-Mails aus Logins verankern den Fingerprint mit einer echten Identität. Verwenden Sie für die höchstsensiblen Sitzungen den Tor Browser. Verstehen Sie, dass VPNs allein Fingerprinting nicht verhindern – sie maskieren Ihre IP, lassen den Fingerprint jedoch intakt. Die effektive Verteidigung ist die Wahl und Konfiguration des Browsers, nicht ein einzelnes Datenschutzprodukt.