Fingerprinting

Wie Fingerprinting funktioniert

Der Browser gibt passiv Hunderte kleiner Details preis:

• Bildschirmauflösung, Farbtiefe
• Installierte Schriftarten (per Canvas-Messung abgefragt)
• GPU-Modell (über WebGL-Fingerprint)
• Sprachpräferenzen, Zeitzone
• User Agent, Plattform, Browser-Plugins
• Eigenschaften des Audio-Kontexts
• Eigenheiten des TLS-Handshakes

Kombinierst du genug davon, bekommst du eine Signatur, die in der Masse der Surfenden nahezu eindeutig ist. Zwei Nutzer mit identischer Hardware, Software und identischen Einstellungen gibt es selten.

Fingerprinting nutzt diese Signatur dann als Tracking-Identifier, still und leise, ohne ein Cookie zu setzen oder um Einwilligung zu bitten.

Warum das ein Problem ist

Drei Gründe:

1. Kein Einwilligungsmechanismus. Cookies kannst du blockieren, ablehnen oder löschen. Fingerprints nicht, es gibt nichts zu löschen, weil nichts gespeichert wurde.
2. Überschreitet Kontexte, mit denen Nutzer nicht rechnen. Ein Fingerprint bleibt über den Inkognito-Modus, über verschiedene Seiten und über das Löschen der Browserdaten hinweg bestehen.
3. Vom Datenschutzrecht erfasst. Die DSGVO stuft Fingerprinting ausdrücklich als Verarbeitung personenbezogener Daten ein. Ohne Rechtsgrundlage ist es ein Verstoß.

Was moderne Browser dagegen tun

Aktive Gegenmaßnahmen:

• Safari (ITP), rundet die Bildschirmauflösung, entfernt die Schriftarten-Auflistung, beschränkt Canvas-Auslesungen
• Firefox (ETP, strikter Modus), blockiert bekannte Fingerprinter-Domains, randomisiert die Canvas-Ausgabe
• Brave, aggressive Randomisierung über die gesamte Fingerprint-Fläche
• Tor Browser, führt alle Nutzer zu einem identischen Fingerprint zusammen

Der Effekt: Je aggressiver sich jemand schützt, desto weniger eindeutig wird sein Fingerprint. Zuverlässiges Fingerprinting funktioniert zunehmend nur noch bei schlechter geschützten Nutzern, was es zugleich ineffektiv und ethisch fragwürdig macht.

Wann Fingerprint-Signale noch genutzt werden

Ein paar legitime Anwendungen bleiben:

• Betrugserkennung. Banken und E-Commerce-Plattformen nutzen Geräteeigenschaften, um Übernahmeversuche von Konten zu erkennen. Über die Nutzungsbedingungen zu Sicherheitszwecken abgedeckt.
• Bot-Erkennung. Automatisierten Traffic von Menschen unterscheiden. Andere Rechtsgrundlage als beim Marketing-Tracking.
• Probabilistisches Identity Stitching. Fehlen deterministische Signale, kann die Ähnlichkeit über mehrere schwache Attribute hinweg andeuten, dass zwei Sessions zum selben Nutzer gehören. In Identity Graphs im Einsatz, aber mit kalibriertem Confidence-Scoring.

Gemeinsam ist ihnen: Sie dienen nicht als primärer Tracking-Identifier im Marketing-Kontext.

Häufige Fehler

• Fingerprinting als Fallback nutzen, wenn Cookies ausfallen. In der EU nicht rechtmäßig. Wird von Datenschutz-Tools erkannt.
• Fingerprinting als Umgehung von ITP betrachten. Apple blockiert es gezielt. Die Lösung ist serverseitige First-Party-Identität, nicht noch verstecktere Client-seitige IDs.
• Annehmen, Fingerprints seien stabil. Browser-Updates, Hardware-Wechsel, neue Schriftarten, alles verändert den Fingerprint. Die Zuverlässigkeit lässt mit der Zeit nach.

FAQ zu Fingerprinting

Was ist Browser-Fingerprinting?

Fingerprinting identifiziert Nutzer, indem es viele Geräteattribute mit geringer Entropie (Bildschirmgröße, Schriftarten, GPU, Sprache, Zeitzone) zu einer nahezu eindeutigen Signatur kombiniert. Es funktioniert ohne Cookies oder Speicher, allein aus passiven Browser-Eigenschaften.

Ist Fingerprinting nach DSGVO erlaubt?

Fingerprinting fürs Marketing-Tracking braucht nach DSGVO eine Einwilligung, die Verordnung stuft es ausdrücklich als Verarbeitung personenbezogener Daten ein. Es still und leise zu tun, ist ein Verstoß.

Wie wehren sich Browser gegen Fingerprinting?

Safari rundet die Bildschirmauflösung und entfernt die Schriftarten-Auflistung. Der strikte Modus von Firefox randomisiert die Canvas-Ausgabe und blockiert bekannte Fingerprinter-Domains. Tor und Brave gehen noch weiter. Je mehr sich Nutzer schützen, desto weniger eindeutig werden ihre Fingerprints.