Eine Demoseite auf royfish.dev erkennt Besucher auch nach dem Löschen aller Cookies wieder und gibt ihnen einen Spitznamen aus Eigenschaft und Tier. Der Name entsteht aus einem Hash von Messwerten des Geräts und bleibt laut dem Autor der Seite auch mit VPN gleich.[1]
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Für Betreiber von Websites ist das mehr als eine Spielerei. Google erlaubt Werbekunden Fingerprinting seit dem 16. Februar 2025, in Deutschland braucht es trotzdem eine Einwilligung.[2][4]
Das Wichtigste in Kürze
- Die Demoseite liest Audio-, Grafik-, Zeitzonen- und Hardwarewerte aus, ohne dass der Browser eine Berechtigung abfragt.
- Die Datenschutzkonferenz wertet das aktive Auslesen per JavaScript als Zugriff auf das Endgerät, der nach § 25 TDDDG einer Einwilligung bedarf.
- Ein Cookie-Banner, das nur Cookies erfasst, deckt Fingerprinting nicht ab.
Wie erkennt eine Website ein Gerät ohne Cookie?
Eine Website liest Messwerte aus, die der Browser ohne Rückfrage herausgibt, und verrechnet sie zu einem Hash. Die Demoseite nutzt dafür Audio, WebGL, Canvas, Zeitzone und Prozessorkerne.
Beim Audio-Test rendert der Browser einen Ton, ohne ihn abzuspielen, und winzige Rechenunterschiede verraten Audio-Engine und Prozessor. WebGL liefert Modell und Fähigkeiten der Grafikkarte, ein gezeichnetes Canvas zeigt Eigenheiten von Betriebssystem, Grafikchip und Schriften.[1] Alle Werte laufen durch den Hash-Algorithmus SHA-256.
Ein Merkmal allein identifiziert niemanden, entscheidend ist die Kombination. Ein Merkmal, das nur jeden Zweiten betrifft, bringt 1 Bit, und nach 20 Bit bleibt rechnerisch eines von einer Million Geräten übrig.[1]
Wie weit das trägt, zeigt die Studie DrawnApart von 2022: Per JavaScript unterschied sie Geräte an der Geschwindigkeit der Recheneinheiten ihrer Grafikchips, selbst bei identischer Hard- und Software. Im Feldversuch mit über 2.500 Geräten verlängerte das die mittlere Verfolgungsdauer um bis zu 67 Prozent.[3] Ein Praxisfall ist AliExpress mit lautlosem WebAudio-Fingerprinting.
Was erlaubt Google und was verlangt das deutsche Recht?
Google lässt Fingerprinting in seinen Werbeprodukten seit dem 16. Februar 2025 zu. Nach § 25 TDDDG braucht das Auslesen von Geräteeigenschaften in Deutschland trotzdem eine Einwilligung.
Die britische Datenschutzaufsicht ICO nannte die Änderung im Dezember 2024 unverantwortlich und erinnerte daran, dass Google Fingerprinting zuvor selbst als Aushöhlung der Nutzerentscheidung abgelehnt hatte.[2]
Die Datenschutzkonferenz (DSK) hält in ihrer Orientierungshilfe für digitale Dienste (Version 1.2, November 2024) fest: Liest Code wie JavaScript aktiv Eigenschaften eines Endgeräts aus und schickt sie für einen Fingerprint an einen Server, ist das ein Zugriff auf die Endeinrichtung.[4] § 25 TDDDG verlangt dafür eine Einwilligung, auch wenn der Wert keinen Personenbezug hat. Ausgenommen ist nur, was unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter Dienst funktioniert.[5]
Drei Schritte der Demoseite
Kennzahlen
Ein Banner, das nur Cookies kennt, deckt Fingerprinting nicht ab. Prüfen Sie, was die Skripte Ihrer Seite auslesen, nicht nur, was sie speichern.
Markus Seyfferth, Chefredakteur Dr. Web
Was können Betreiber und Besucher tun?
Betreiber prüfen eingebundene Skripte auf das Auslesen von Audio, WebGL und Canvas und laden verdächtige erst nach der Einwilligung. Besucher testen ihren Browser bei der EFF.
Den Überblick liefern der Netzwerk-Reiter der Browser-Entwicklerwerkzeuge und der Tag Manager. Tauchen in einem Drittanbieter-Skript Aufrufe wie OfflineAudioContext, WEBGL_debug_renderer_info oder getImageData auf, liegt der Verdacht auf Fingerprinting nahe. Besonders Betrugsschutz setzt laut DLA Piper häufig darauf.[2]
Das Projekt Cover Your Tracks der Electronic Frontier Foundation zeigt Besuchern, wie eindeutig ihr Browser auffällt.[6] Als Gegenmittel nennt der Autor der Demoseite Browser, die Messwerte verrauschen, wie Brave, oder vereinheitlichen, wie Tor Browser und Mullvad Browser. Erweiterungen machten den Browser dagegen eher noch einzigartiger.[1]
Für Betreiber heißt das: Machen Sie vor der nächsten Überarbeitung des Banners eine Inventur aller Skripte und fragen Sie bei Anbietern nach, ob sie Geräteeigenschaften auslesen.
Quellen
6 Quellen anzeigenQuellen ausblenden
- royfish.devFingerprints are the new cookies
- DLA PiperGoogle’s U-turn on device fingerprinting, ICO’s response and subsequent guidance
- Laor u. a.DrawnApart: A Device Identification Technique based on Remote GPU Fingerprinting (NDSS 2022)
- DatenschutzkonferenzOrientierungshilfe für Anbieter:innen von digitalen Diensten, Version 1.2
- Gesetze im Internet§ 25 TDDDG
- Electronic Frontier FoundationCover Your Tracks
Mehr Newshunger?
- Tracking ohne Cookies: Wie Websites Sie am digitalen Fingerabdruck erkennen
- AliExpress betreibt lautloses WebAudio-Fingerprinting und blockiert Bluetooth-Multipoint
- Safari 27.2: Cookies von Websites hinter CDN oder Shop-Plattform bleiben wieder länger als sieben Tage gespeichert
- CNIL verhängt 7 Millionen Euro gegen Fnac: Personalisierte Produktempfehlungen brauchen eine Einwilligung
- Microsoft Advertising gibt die Conversions API frei: Ohne Angabe zur Einwilligung gilt sie als erteilt
- ChatGPT weiß über seinen Werbe-Collector, was Nutzer auf anderen Websites tun
