Browser-Fingerprinting: Wie Websites Sie abseits von Cookies tracken

Drittanbieter-Cookies werden durch Browser-Richtlinien und gesetzliche Vorschriften zunehmend eingeschränkt. Daher stützen sich Werbetechnologien und Betrugserkennungssysteme verstärkt auf zustandslose Signale: Kombinationen aus Hardware- und Softwaremerkmalen, die über JavaScript und CSS ausgelesen werden können. Zusammen bilden sie einen Fingerabdruck (Fingerprint) — selten fehlerfrei, aber oft ausreichend, um Sitzungen miteinander zu verknüpfen.

Kernkategorien von Signalen

1. HTTP-Ebene — User-Agent (wird reduziert), Accept-Language, Client Hints.
2. Bildschirm & Rendering — Auflösung, devicePixelRatio, colorGamut, verfügbare Schriftarten.
3. Grafik — Canvas- und WebGL-Shader-Ausgaben variieren je nach GPU und Treiber.
4. Audio — Oszillator- und Kompressor-Pipelines erzeugen winzige numerische Unterschiede.
5. Verhalten — Tippgeschwindigkeit, Mausbewegungen (Erfassung mit höherer Latenz).

Kein einzelnes Feld ist ein eindeutiger Beweis; entscheidend ist die gemeinsame Verteilung aller Werte.

Warum sich dies von Cookies unterscheidet

Cookies sind ein expliziter Speicher, den Sie löschen können. Fingerabdrücke werden aus den normalen Rückgabewerten von APIs abgeleitet. Das Löschen von Cookies setzt die Besonderheiten der Shader-Kompilierung Ihrer GPU nicht zurück. Diese Asymmetrie treibt die regulatorische Debatte an: Ist das Auslesen von Canvas-Pixeln „zwingend erforderlich“?

Browser-Schutzmaßnahmen

• Safari — Intelligent Tracking Prevention beschränkt den Speicher und isoliert Drittanbieter.
• Firefox — Einstellungen zum Schutz vor Fingerprinting (Resist Fingerprinting) und ETP-Listen (Enhanced Tracking Protection).
• Chrome — Privacy Sandbox verlagert Werbeanwendungsfälle hin zu Interessen (topics) und geschützten APIs; befindet sich noch in der Entwicklung.
• Tor-Browser — Standardisiert den Viewport und schwächt APIs mit hoher Entropie ab; stellt Nutzbarkeit über Einzigartigkeit.

Was Website-Betreiber tun sollten

Wenn Sie keine Werbetechnologie entwickeln, vermeiden Sie das Abfragen von APIs mit hoher Entropie ohne triftigen Grund. Verwenden Sie Permissions-Policy, um ungenutzte Funktionen (camera, geolocation, payment) zu deaktivieren. Bevorzugen Sie serverseitige Analysen mit aggregierten Metriken. Dokumentieren Sie Datenflüsse in Ihrer Datenschutzerklärung — Prüfer (menschliche wie automatisierte) achten auf Transparenz.

Entwickler: Helfen Sie Trackern nicht versehentlich

Feature-Erkennungen, die auf das Canvas schreiben oder Schriftarten auf Landingpages auflisten, können ungewollt Drittanbieter-Skripten helfen, die später geladen werden. Überprüfen Sie Tag-Manager vierteljährlich. Ein einziges A/B-Testing-Snippet kann sorgfältige Entwicklungsarbeit zunichte machen.

Kombinieren Sie diesen Artikel mit unserem Browser-Erkennungstool, um zu sehen, welche Daten Ihr UA preisgibt — und denken Sie daran: Der UA ist nur das erste Kapitel im Buch des Fingerprintings.