Eine Demoseite mit dem Titel „I didn’t set a cookie“ zeigt in zwei Sekunden Wohnort, Browser, Grafikkarte und sogar die lokalen Netzwerk-IPs an, ganz ohne ein einziges Cookie. Möglich macht das Browser-Fingerprinting, eine Tracking-Methode ohne Häkchen und ohne Speicher. Für Website-Betreiber im DACH-Raum wird daraus schnell ein Fall für das TDDDG.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Tracking ohne Cookies klingt nach einem Widerspruch und funktioniert doch zuverlässig. Der Entwickler hinter kuber.studio führt jedem Besucher vor, wie viel ein Server schon vor dem ersten Klick über ihn weiß. Kein Zustimmungsdialog und kein gespeichertes Cookie stehen dazwischen. Das Profil entsteht trotzdem.
Das Wichtigste in Kürze
- Kein Cookie nötig: Browser-Fingerprinting erkennt Besucher an Grafikkarte, Schriften und Systemwerten statt an einer gespeicherten Datei.
- Kaum zu löschen: Der Fingerabdruck liegt nicht auf dem Gerät, deshalb bringt das Löschen von Cookies wenig.
- 83 Prozent eindeutig: In der Panopticlick-Studie trug die große Mehrheit der Browser einen unverwechselbaren Fingerabdruck.
- TDDDG greift trotzdem: Aktives Fingerprinting verlangt nach § 25 dieselbe Einwilligung wie ein Tracking-Cookie.
Was weiß eine Website, obwohl sie kein Cookie setzt?
Die Seite liest zunächst aus, was der Browser ohnehin mitschickt: IP-Adresse, ungefährer Standort bis zur Postleitzahl, Sprache und die volle Versionsnummer. Danach folgen aktive Proben, die tiefer greifen. Über die Schnittstelle WebRTC erscheinen sogar die lokalen Netzwerk-IPs des Rechners, also Adressen aus dem heimischen oder dem Firmen-LAN. Gespeichert wird davon nichts, die Auswertung läuft komplett im Browser.[1]
Wie entsteht der Fingerabdruck im Browser?
Der eigentliche Fingerabdruck entsteht, weil dieselbe Rechenaufgabe auf jedem Gerät ein wenig anders ausfällt. Zeichnet eine Website im Hintergrund ein Bild (Canvas), rendert sie ein 3D-Objekt (WebGL) oder berechnet sie einen Ton, verraten winzige Abweichungen die Kombination aus Grafikkarte, Treiber, Betriebssystem und installierten Schriften. Aus diesen Werten wird ein stabiler Hash. Selbst eine harmlose Mathefunktion verrät auf diese Weise das Betriebssystem. Schon 2010 maß der Forscher Peter Eckersley so 18,1 Bit Unterscheidungskraft, also einen von rund 286.000 Browsern.[2] Zur eindeutigen Zuordnung eines Menschen unter acht Milliarden genügen bereits 33 Bit.
Tracking-Cookie
- Liegt als Datei auf dem Gerät
- Lässt sich löschen und blocken
- Consent-Banner meist sichtbar
Browser-Fingerabdruck
- Entsteht als Hash auf dem Server
- Kaum zu löschen, nur zu verwässern
- Oft ohne sichtbaren Hinweis
Ein geblocktes Cookie beruhigt das Gewissen und ändert am Fingerabdruck trotzdem nichts. Ernst gemeinter Datenschutz beginnt bei den Skripten, die im Hintergrund messen, nicht beim Banner davor.
— Markus Seyfferth, Chefredakteur Dr. Web
Was bedeutet Fingerprinting für Website-Betreiber?
Für Betreiber im DACH-Raum ist der fehlende Cookie kein Freibrief. Seit aus dem TTDSG im Mai 2024 das TDDDG wurde, gilt unverändert § 25: Aktives Fingerprinting, das Geräteinformationen gezielt abfragt, braucht dieselbe vorherige Einwilligung wie ein Tracking-Cookie.[3] Die Datenschutzkonferenz zieht die Grenze beim Zugriff auf das Endgerät. Viele Analyse- und Betrugstools überschreiten genau diese Linie. Also gehört jedes eingebundene Dritt-Skript auf den Prüfstand des Consent-Managements, sonst haftet der Betreiber.
Reichweite lässt sich auch nach dem Cookie-Aus sauber messen, etwa über First-Party-Tracking oder serverseitige Verfahren. Für einen schnellen Selbsttest taugt der EFF-Test Cover Your Tracks. Schutzfunktionen wie die Firefox-Container-Tabs erschweren die Zuordnung zusätzlich. Löschen lässt sich ein Fingerabdruck nicht wie ein Cookie, nur verwässern. Umso wichtiger wird die saubere Rechtsgrundlage für jedes Tracking-Skript.
Quellen
[1] kuber.studio: „I didn’t set a cookie“
[2] Peter Eckersley (EFF): „How Unique Is Your Web Browser?“
[3] § 25 TDDDG (vormals TTDSG): Gesetze im Internet
Mehr Newshunger?
- First-Party-Tracking 2026: So erhalten Website-Betreiber nach dem Cookie-Aus verlässliche Daten
- Server-Side Tracking: Hype oder Pflicht?
- Cookie-Banner abschaffen: Ein Datenschutz-Bündnis drängt Brüssel zum Browsersignal
- Seit Chromium 148 verrät die Funktion Math.tanh das Betriebssystem des Nutzers
- Firefox Container-Tabs: Konten und Tracker ohne Add-on trennen
- Cookiebot: DSGVO-Cookie-Banner ohne eine Zeile Code
