Auf der Startseite von AliExpress läuft ein Sägezahn-Oszillator mit der Verstärkung null und hält den Audioausgang des Rechners belegt. Bluetooth-Kopfhörer mit Multipoint schalten deshalb nicht mehr auf das Handy zurück, obwohl kein Ton zu hören ist. Sichtbar wurde die stille Geräteerkennung erst durch diesen Nebeneffekt.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Die Musik vom Handy verstummt, sobald ein Tab mit der AliExpress-Startseite offen steht. Aus dieser Beobachtung wurde ein dokumentierter Fall von WebAudio-Fingerprinting, den der Entwickler m-c-tech auf dem Blog laserphile nachgezeichnet hat.[1] Die Stummschaltung des Tabs ändert daran nichts.
Das Wichtigste in Kürze
- Zwei Skripte aus Alibabas AWSC-Verzeichnis, collina.js und fireyejs.js, starten auf der Startseite versteckte Audiokontexte.
- Der Ausgang läuft über einen GainNode mit dem Wert null. Hörbar ist nichts, der Browser hält die Bluetooth-Strecke trotzdem belegt.
- Dieselbe Knotenkette beschrieb eine Princeton-Messung bereits 2016.
- Der Zugriff auf Geräteeigenschaften ist nach § 25 Absatz 1 TDDDG einwilligungspflichtig, soweit er nicht unbedingt erforderlich ist.
Wie hält ein stummer Ton die Kopfhörer besetzt?
Ein Audiograph mit der Verstärkung null bleibt für das Betriebssystem eine laufende Wiedergabe. Die beiden Skripte schicken eine Sägezahnwelle durch AnalyserNode und ScriptProcessorNode, drehen die Verstärkung auf null und verbinden das Ergebnis trotzdem mit dem Audioausgang des Rechners.[1]
Ein Medienelement fehlt dabei vollständig, deshalb greift die Stummschaltung des Tabs ins Leere. Windows meldet weiter eine aktive Wiedergabe. Der Kopfhörer räumt den Kanal daher nicht für das Telefon.
Der Ton ist nur ein Baustein. Dieselben Bundles lesen Canvas-Rendering, WebGL-Renderer, WebRTC-Verhalten sowie Bewegungs- und Lagesensoren aus. Die verschlüsselten Werte gehen an die Telemetrie von Alibaba.[1] Einzeln sagt keines dieser Merkmale viel. In der Summe erkennen Websites ein Gerät auch ohne Cookie wieder.
Ist der Fall ein Einzelfall?
Die Bauanleitung ist zehn Jahre alt. Englehardt und Narayanan beschrieben 2016 in ihrer Vermessung von einer Million Websites genau diese Kette: Oszillator, AnalyserNode, ScriptProcessorNode, ein GainNode auf null, dann der Systemausgang.[2] Allein die Wellenform weicht ab. Schon damals erfassten die beiden Forscher ein Sicherheitsskript von Alibaba, um.js von g.alicdn.com, auf 27 Seiten.
Außerhalb Chinas gehört die Technik zur Grundausstattung. Ralf Gundelach, Michael Mühlhauser und Dominik Herrmann von der Universität Bamberg haben im Juni 2026 die 10.000 meistbesuchten Websites vermessen: Cloudflare Turnstile ist dort das sechsthäufigste Drittanbieter-Skript überhaupt.[3] Dessen Skripte prüfen im Schnitt 13 Automatisierungsmerkmale und bespielen alle acht Fingerprinting-Kategorien, Audio eingeschlossen. Jede neue Browser-Funktion liefert dabei ein weiteres Merkmal, zuletzt sogar eine simple Mathematikfunktion.
Ein Betrugsfilter, der auf der Startseite schon den Audiochip vermisst, sichert keine Zahlung mehr, sondern sammelt auf Vorrat. Aufgefallen ist das nur, weil bei AliExpress die Musik auf dem Handy verstummte.
— Markus Seyfferth, Chefredakteur Dr. Web
Was gilt für Shop-Betreiber in Deutschland?
Der Zugriff auf Geräteeigenschaften braucht nach § 25 Absatz 1 TDDDG eine Einwilligung.[4] Das Gesetz erfasst nicht nur Cookies, sondern jede Information aus der Endeinrichtung. Der Europäische Datenschutzausschuss hat das am 16. Oktober 2024 in seinen Leitlinien 2/2023 für Fingerprinting ausdrücklich bestätigt.[5]
Die Ausnahme in Absatz 2 Nummer 2 greift nur, soweit der Zugriff für den gewünschten Dienst unbedingt erforderlich ist. Ein Betrugsfilter am Bezahlvorgang fällt darunter, eine Vermessung der Startseite kaum.
Betreiber deutscher Shops prüfen deshalb zuerst, wann ihr Anti-Bot-Modul startet. Lädt Turnstile, DataDome oder ein vergleichbares Modul bereits auf der Startseite, gehört der Start hinter die Anmeldung oder den Bezahlvorgang. Der Dienst gehört zudem ins Verzeichnis der Verarbeitungstätigkeiten und braucht eine eigene Consent-Kategorie, wie der Vergleich von Cookiebot und Borlabs Cookie zeigt.
Am eigenen Rechner sperren zwei enge Filterregeln genau diese beiden Skriptpfade. Wie fragil solche Listen sind, hat das Projekt uBlock Origin gerade bei Facebook gezeigt. Anti-Betrugs-Systeme quittieren eine Sperre zudem gern mit zusätzlichen Sicherheitsabfragen.
FAQ: WebAudio-Fingerprinting bei AliExpress
Was ist WebAudio-Fingerprinting?
WebAudio-Fingerprinting erzeugt im Browser einen Testton und misst, wie ihn Hardware und Software verändern. Aus den winzigen Abweichungen entsteht ein Merkmal, das ein Gerät auch ohne Cookie wiedererkennbar macht. Meist kommt der Wert zusammen mit Canvas-, WebGL- und Sensordaten zum Einsatz.
Warum stoppt eine AliExpress-Seite die Musik auf dem Handy?
Der Messton läuft über einen Verstärker mit dem Wert null, bleibt aber mit dem Audioausgang des Rechners verbunden. Für Windows und den Browser gilt der Kanal damit als belegt. Multipoint-Kopfhörer schalten deshalb nicht auf das Handy zurück.
Bringt die Stummschaltung des Tabs etwas?
Nein. Die Stummschaltung greift nur auf Medienelemente zu. Ein solches Element fehlt auf dieser Seite vollständig. Wirksam sind allein das Schließen des Tabs oder eine Filterregel, die das Skript gar nicht erst lädt.
Ist Browser-Fingerprinting in Deutschland erlaubt?
Nur mit Einwilligung. § 25 Absatz 1 TDDDG erfasst jeden Zugriff auf Informationen in der Endeinrichtung, nicht nur Cookies. Ohne Einwilligung bleibt allein die enge Ausnahme für unbedingt erforderliche Zugriffe nach Absatz 2 Nummer 2.
Wie lässt sich ein Fingerprinting-Skript blockieren?
Über eine eigene Filterregel im Werbeblocker, die genau den Skriptpfad und die Domain trifft. Bereits geöffnete Tabs muss man danach schließen, weil eine laufende Audioverarbeitung durch das Blockieren nicht endet. Anti-Betrugs-Skripte zu sperren kann zusätzliche Sicherheitsabfragen beim Anmelden auslösen.
Quellen
[1] m-c-tech (laserphile): „AliExpress webpage keeping multipoint Bluetooth headphones active with WebAudio fingerprinting“
[2] Steven Englehardt und Arvind Narayanan, Princeton University: „Online Tracking: A 1-million-site Measurement and Analysis“ (2016)
[3] Ralf Gundelach, Michael Mühlhauser und Dominik Herrmann, Universität Bamberg: „Detecting Bot Detection: Prevalence, Techniques, and Implications for Web Measurement Research“ (Juni 2026)
[4] Bundesministerium der Justiz: § 25 TDDDG, Schutz der Privatsphäre bei Endeinrichtungen
[5] Europäischer Datenschutzausschuss: „Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive“ (16.10.2024)
Mehr Newshunger?
- Cloudflare Workers: Ein Spectre-Angriff las das JWT eines fremden Kunden
- Apple ändert die Tracking-Abfrage in iOS nach dem Verfahren des Bundeskartellamts
- Smarte Rauchmelder bei Vonovia: Was die Klimasensoren über Mieter verraten
- Firefox für iOS hat einen eingebauten Werbeblocker
- Firefox Container-Tabs: Konten und Tracker ohne Add-on trennen
