Browser-Fingerprinting: Wiedererkennung ohne Cookies
Erfahren Sie, wie Browser-Fingerprinting ohne Cookies funktioniert, welche Grenzen die Methode hat und wie Sie Ihre digitale Privatsphäre stärken können.
Veröffentlicht am · Privatsphäre-Technologien
Was bedeutet Browser-Fingerprinting?
Beim Browser-Fingerprinting wird ein Browser anhand einer Kombination technischer Eigenschaften wiedererkannt. Dafür muss keine klassische Kennung wie ein Cookie gespeichert werden. Stattdessen können Informationen über Browser, Gerät und Einstellungen zusammen ein charakteristisches Muster ergeben – ähnlich einem digitalen Fingerabdruck.
Ein einzelnes Merkmal reicht dafür meist nicht aus. Die Aussagekraft entsteht aus der Kombination mehrerer Angaben. Manche davon sind für Websites nötig, damit Inhalte korrekt angezeigt werden. Andere ergeben sich aus der Art, wie Browser bestimmte Aufgaben verarbeiten.
Der Begriff bezeichnet sowohl das Sammeln solcher Merkmale als auch ihre Auswertung. Eine Website kann das Muster beispielsweise verwenden, um wiederkehrende Besuche einem früheren Besuch zuzuordnen. Das muss nicht automatisch bedeuten, dass die Website den Namen oder die genaue Identität einer Person kennt.
Wie entsteht ein digitaler Browser-Fingerabdruck?
Beim Aufruf einer Website übermittelt der Browser einige technische Informationen oder stellt sie der Website über bestimmte Webfunktionen bereit. Welche Angaben verfügbar sind, hängt unter anderem vom Browser, vom Betriebssystem und von den jeweiligen Datenschutzeinstellungen ab.
Mögliche Merkmale sind:
- Browsertyp und Browserversion
- Betriebssystem und Gerätekategorie
- Spracheinstellungen und Zeitzone
- Bildschirmgröße und verfügbare Anzeigeeigenschaften
- unterstützte Schriftarten und technische Funktionen
- Informationen zur Grafikdarstellung
Einige Websites können zusätzlich prüfen, wie ein Gerät bestimmte grafische oder rechnerische Aufgaben verarbeitet. Dazu können etwa Verfahren gehören, die Unterschiede bei der Darstellung von Grafiken sichtbar machen. Nicht jede Website nutzt dieselben Methoden, und nicht jedes Merkmal ist in jedem Browser verfügbar.
Warum die Kombination entscheidend ist
Viele einzelne Eigenschaften kommen bei zahlreichen Geräten vor. Ein weit verbreiteter Browser oder eine gängige Bildschirmgröße ist für sich genommen wenig aussagekräftig. Werden jedoch mehrere Merkmale kombiniert, kann das Muster seltener werden.
Wie unterscheidbar ein Browser dadurch ist, hängt von der jeweiligen Nutzerschaft und den erhobenen Eigenschaften ab. Ein Fingerabdruck ist auch nicht zwingend unveränderlich. Ein Browser-Update, eine geänderte Einstellung oder ein anderes Netzwerk kann einzelne Merkmale beeinflussen. Andere Eigenschaften bleiben möglicherweise länger ähnlich.
Browser-Fingerprinting und Cookies: der Unterschied
Cookies sind kleine Daten, die eine Website im Browser speichern und später wieder abrufen kann. Sie können beispielsweise dazu dienen, eine Sitzung fortzusetzen oder Einstellungen zu behalten. Browser-Fingerprinting funktioniert anders: Die Wiedererkennung beruht vor allem auf der Kombination technischer Merkmale, nicht auf einer einzelnen gespeicherten Cookie-Kennung.
Das hat praktische Folgen. Wer Cookies löscht, entfernt damit nicht automatisch die technischen Eigenschaften, aus denen ein Fingerabdruck abgeleitet werden kann. Umgekehrt bedeutet das nicht, dass Cookies und Fingerprinting immer gemeinsam eingesetzt werden. Eine Website kann unterschiedliche Verfahren verwenden oder ganz auf Wiedererkennung verzichten.
Auch das Blockieren von Cookies verhindert nicht unbedingt, dass eine Website technische Browsermerkmale verarbeitet. Welche Möglichkeiten bestehen, hängt von den Funktionen der Website und den Einstellungen des Browsers ab. Cookie-Kontrollen und Schutz vor Fingerprinting betreffen daher unterschiedliche Mechanismen. Aus demselben Grund hilft auch der Inkognito-Modus nur begrenzt: Er trennt vor allem Cookies und Verlauf einer Sitzung, die technischen Merkmale des Browsers bleiben weitgehend dieselben.
Wofür kann Fingerprinting eingesetzt werden?
Eine mögliche Verwendung ist, wiederkehrende Zugriffe zu erkennen. Das kann etwa bei der Erkennung ungewöhnlicher Aktivitäten oder bei der Begrenzung automatisierter Anfragen eine Rolle spielen. Solche Anwendungen können legitime Sicherheitszwecke verfolgen, sind aber nicht automatisch datenschutzneutral.
Fingerprinting kann auch für die Wiedererkennung von Besuchern über mehrere Seitenaufrufe hinweg verwendet werden. Werden entsprechende Daten mit weiteren Informationen zusammengeführt, kann daraus ein umfassenderes Nutzungsprofil entstehen. Welche Schlüsse tatsächlich gezogen werden, hängt davon ab, wer die Daten erhebt, wie lange sie gespeichert werden und ob sie mit anderen Angaben verknüpft sind.
Wichtig ist die Unterscheidung zwischen Wiedererkennung und Identifizierung. Ein technisches Muster kann auf dasselbe Gerät oder eine ähnliche Browserkonfiguration hindeuten, ohne eine Person namentlich zu bestimmen. Eine Zuordnung zu einer konkreten Person kann erst durch zusätzliche Informationen möglich werden, etwa wenn weitere Datenquellen hinzukommen.
Welche Grenzen hat die Methode?
Ein Browser-Fingerabdruck ist keine verlässliche, unveränderliche Geräte-ID. Ändern sich Browser, Einstellungen oder Hardware, kann sich auch das Muster verändern. Umgekehrt können unterschiedliche Geräte ähnliche Merkmale haben. Daraus können sowohl uneindeutige Zuordnungen als auch übersehene Wiederbesuche entstehen.
Auch technische Schutzmaßnahmen schränken die verfügbaren Informationen ein. Browser können bestimmte Angaben verbergen, vereinheitlichen oder nur eingeschränkt zugänglich machen. Websites können dann weniger unterscheidbare Daten erhalten. Die Wirkung solcher Maßnahmen hängt jedoch davon ab, welche Merkmale eine Website verwendet und wie sie mit fehlenden Angaben umgeht.
Eine weitere Grenze ist, dass Fingerprinting nicht automatisch über beliebige Websites hinweg funktioniert. Dafür müssen die beteiligten Seiten oder eingebundene Dienste eine Möglichkeit haben, Daten abzugleichen. Eine gemeinsame technische Grundlage oder weitere Verknüpfungen können dabei eine Rolle spielen. Ohne solche Verbindungen lässt sich aus einem Merkmal nicht ohne Weiteres ein seitenübergreifendes Profil ableiten.
Was können Sie gegen Browser-Fingerprinting tun?
Vollständige Unsichtbarkeit lässt sich im normalen Webgebrauch nicht garantieren. Sinnvoller ist es, die Menge unnötig verfügbarer Merkmale zu begrenzen und die eigenen Erwartungen realistisch zu halten.
Datenschutzeinstellungen bewusst nutzen
Prüfen Sie, welche Schutzfunktionen Ihr Browser anbietet. Dazu können Einschränkungen für websiteübergreifende Verfolgung, die Begrenzung bestimmter Webfunktionen oder ein strengerer Schutz vor Fingerprinting gehören. Bezeichnungen und Umfang unterscheiden sich je nach Browser.
Strengere Einstellungen können dazu führen, dass einzelne Websites nicht wie vorgesehen funktionieren. Wenn eine Seite Probleme macht, lässt sich prüfen, ob eine bestimmte Schutzfunktion dafür verantwortlich ist. Eine Ausnahme sollte möglichst gezielt und nur für die betroffene Website gelten, statt Schutzfunktionen pauschal abzuschalten.
Browser und Erweiterungen übersichtlich halten
Aktuelle Software ist wichtig für die Sicherheit. Zugleich können seltene Kombinationen aus Browser, Erweiterungen und individuellen Einstellungen ein Muster stärker hervorheben. Viele Erweiterungen verändern die verfügbaren Informationen oder fügen eigene Funktionen hinzu. Beschränken Sie Erweiterungen daher auf solche, die Sie tatsächlich benötigen, und prüfen Sie deren Berechtigungen.
Das Ziel ist nicht, möglichst viele Einstellungen zufällig zu verändern. Eine ungewöhnliche Konfiguration kann selbst unterscheidbar sein. Manche Schutzansätze setzen deshalb darauf, bestimmte Angaben zu vereinheitlichen, statt jedes Merkmal individuell zu verändern.
Netzwerkwechsel richtig einordnen
Ein VPN verändert in der Regel die nach außen sichtbare Netzwerkadresse. Es macht technische Browsermerkmale aber nicht automatisch unsichtbar. Ein anderer Netzwerkzugang kann die Zuordnung über die IP-Adresse erschweren, während Merkmale des Browsers weiterhin ähnlich bleiben.
Ein VPN ist deshalb kein eigenständiger Schutz vor Browser-Fingerprinting. Was ein VPN gegen Tracking leisten kann, beschreibt der Beitrag VPN und digitales Tracking. Es kann Teil eines umfassenderen Privatsphärenkonzepts sein, ersetzt aber nicht die Prüfung von Browserfunktionen und Website-Berechtigungen.
Website-Berechtigungen begrenzen
Standort, Kamera und Mikrofon sollten nur freigegeben werden, wenn eine Website die jeweilige Funktion benötigt. Diese Berechtigungen sind nicht mit Fingerprinting gleichzusetzen, doch unnötige Freigaben erhöhen die Menge verfügbarer Informationen und Zugriffsmöglichkeiten. Kontrollieren Sie bestehende Erlaubnisse gelegentlich und entfernen Sie solche, die Sie nicht mehr benötigen.
Hinweise für kleine Unternehmen und Website-Betreibende
Wer eine Website betreibt, sollte nachvollziehen können, welche technischen Daten durch eigene Funktionen und eingebundene Dienste verarbeitet werden. Dabei geht es nicht nur um sichtbare Formulare oder gespeicherte Cookies. Auch Skripte und externe Komponenten können Browserinformationen abfragen oder übertragen.
Prüfen Sie daher, welche Funktionen tatsächlich erforderlich sind, welche Daten dabei anfallen und ob externe Dienste beteiligt sind. Beschränken Sie Erhebung und Zugriff auf das notwendige Maß. Bei Fragen zu datenschutzrechtlichen Anforderungen ist fachkundige Beratung sinnvoll, denn die Bewertung hängt von der konkreten Verarbeitung und dem geltenden Recht ab.
Häufige Fragen zu Browser-Fingerprinting
Funktioniert Browser-Fingerprinting auch auf Smartphones?
Ja, auch mobile Browser können technische Merkmale bereitstellen, die zur Unterscheidung beitragen. Welche Merkmale verfügbar sind, hängt unter anderem vom Betriebssystem, vom Browser und von den jeweiligen Schutzfunktionen ab. Das Verfahren ist nicht auf Desktop-Computer beschränkt.
Wird ein Fingerabdruck beim Schließen des Browsers gelöscht?
Nicht zwingend. Anders als ein gespeichertes Cookie kann ein aus technischen Eigenschaften abgeleitetes Muster bei einem späteren Besuch erneut gebildet werden. Ob es dann gleich oder ausreichend ähnlich ausfällt, hängt davon ab, ob sich Browser, Gerät oder Einstellungen verändert haben.
Gelten für Fingerprinting überall dieselben Datenschutzregeln?
Nein, die rechtliche Einordnung kann sich je nach Land und konkreter Verwendung unterscheiden. Relevant können unter anderem Zweck, Umfang und Verknüpfung der verarbeiteten Informationen sein. Für eine verbindliche Einschätzung zu einem konkreten Angebot sollten Sie fachkundigen Rechtsrat einholen.
Kann eine Website meinen Namen allein aus dem Fingerabdruck ableiten?
Ein Fingerabdruck enthält nicht automatisch einen Namen. Er kann ein Gerät oder eine Browserkonfiguration wiedererkennbar machen; eine Zuordnung zu einer Person benötigt gewöhnlich zusätzliche Informationen. Ob solche Informationen vorhanden sind oder zusammengeführt werden, hängt vom jeweiligen Dienst ab.
Fazit
Browser-Fingerprinting ermöglicht Wiedererkennung anhand kombinierter technischer Merkmale, auch wenn keine klassische Cookie-Kennung genutzt wird. Es ist keine perfekte Geräte-ID, kann aber zusammen mit weiteren Daten zur Zuordnung von Besuchen beitragen. Prüfen Sie Ihre Browser-Einstellungen und Berechtigungen, halten Sie Erweiterungen übersichtlich und betrachten Sie VPNs als einen Baustein statt als vollständigen Schutz vor Fingerprinting. Weitere Bausteine wie die E-Mail-Verschlüsselung mit PGP und S/MIME stellt die Rubrik Privatsphäre-Technologien vor.
