Eine Einführung in das Browser-Fingerprinting

1. Was ist Browser-Fingerprinting?

Browser-Fingerprinting ist die systematische Sammlung von Informationen von einem entfernten Gerät mit dem Ziel, den Nutzer eindeutig zu identifizieren und zu verfolgen. Die Hauptmotivation hinter dieser Technik ist die Monetarisierung von Nutzerdaten, oft für personalisierte Werbekampagnen und Nutzerprofilierung.

Im Gegensatz zu traditionellen Tracking-Methoden wie Cookies funktioniert das Fingerabdrücken lautlos und kann deutlich beständiger sein. In der Fachliteratur wurde es als "cookieloses Monster" beschrieben, da es keine Dateien auf dem Gerät eines Benutzers speichern muss und für den Nutzer völlig transparent ist.

Jetzt, da wir verstehen, was Browser-Fingerprinting ist und warum es beständiger ist als Cookies, wollen wir die spezifischen Techniken untersuchen, mit denen diese einzigartigen digitalen Identifikatoren erstellt werden.

2. Die Anatomie eines digitalen Fingerabdrucks: Schlüsseltechniken

Die Einzigartigkeit eines Fingerabdrucks beruht auf der Kombination vieler verschiedener Informationen, von denen einige einfache Browsereigenschaften sind, während andere sehr fortschrittlich und ausgefeilt sind.

Kerninformationsquellen

Dies sind grundlegende Merkmale, die über einen Browser gesammelt werden können, um mit der Erstellung eines Profils zu beginnen. Jedes Informationsstück hilft, wenn es mit anderen kombiniert wird, die Identität eines Geräts einzugrenzen.

• User Agent: Eine Textzeichenkette, die den Browser, seine Version und das zugrunde liegende Betriebssystem identifiziert.
• Liste der Plugins: Es zeigt, welche Browsererweiterungen (wie Adobe Flash oder PDF-Viewer) installiert sind, was eine sehr einzigartige Kombination darstellen kann.
• Zeitzone: Gibt den geografischen Standort des Geräts oder die konfigurierten Zeiteinstellungen an.
• Bildschirmauflösung und Farbtiefe: Liefert Details zur Display-Hardware des Geräts.
• Systemschriftarten: Die Liste der auf dem Betriebssystem installierten Schriftarten kann überraschend einzigartig sein.

Fortgeschrittene Fingerabdrucktechniken

Diese Methoden nutzen moderne Webtechnologien, um subtile, aber sehr identifizierende Details aus einem Gerät zu extrahieren.

Leinwand-Fingerabdrücke

Diese Technik verwendet das HTML5-Canvas-Element , um ein verstecktes Bild oder einen Text zu zeichnen. Da jedes Gerät sie aufgrund von Unterschieden in der Grafikkarte, den Treibern und dem Betriebssystem leicht unterschiedlich rendert, können die resultierenden Bilddaten in einen Hash (eine eindeutige Zeichenkette) umgewandelt werden, der als leistungsstarke Kennung dient.

Leinwand-Schrift-Fingerabdrücke

Als Variante des Canvas-Fingerprintings erzeugt diese Methode mehrfach Bilder desselben Textstrings, jeweils mit einer anderen Schriftart aus einer vordefinierten Liste. Die subtilen Rendering-Unterschiede über die verschiedenen Schriftarten hinweg ermöglichen es, Metriken aus den generierten Bildern zu extrahieren und so eine eindeutige Kennung für den Browser zu schaffen.

WebRTC-Fingerabdruck

Diese Technik verwendet die WebRTC-API (eine Technologie für Echtzeitkommunikation), um die tatsächliche lokale IP-Adresse eines Geräts zu entdecken, selbst wenn sie sich hinter einem Network Address Translation (NAT)-Router befindet. Die Kombination dieser lokalen IP mit der öffentlichen IP-Adresse schafft einen sehr stabilen und konsistenten Identifikationsfaktor.

AudioContext Fingerprinting

Diese Methode verwendet die AudioContext-API, um ein standardisiertes, computergeneriertes Audiosignal (wie eine Sinuswelle) zu verarbeiten. Es hört das Mikrofon des Geräts nicht ab. Das endgültig verarbeitete Audiosignal weist aufgrund des einzigartigen Hardware- und Software-Stacks des Geräts subtile Variationen auf. Diese Ausgabe wird dann gehasht, um eine eindeutige Kennung zu erstellen.

Obwohl jede dieser Techniken ein Puzzlestück bildet, liegt die wahre Kraft des Fingerabdrucks in der Kombination ihrer Methoden; Der nächste Abschnitt erklärt, wie wir diese Identifikationskraft wissenschaftlich messen können.

3. Quantifizierung von Eindeutigkeit mit Informationsentropie

Die wissenschaftliche Methode, das Niveau der eindeutigen Identifikation durch eine Information zu messen, nennt sich Informationsentropie, die in "Bits" gemessen wird. Höhere Entropie bedeutet mehr Einzigartigkeit.

Eine einfache Analogie ist ein sechsseitiger Würfel. Ein einzelner Wurf hat sechs mögliche Ergebnisse und liefert etwa 2,58 Informationsbits. Wenn ein Ereignis nur zwei Ausgänge hätte (wie ein Münzwurf), würde es nur ein Informationsbit liefern. Je mehr mögliche Ergebnisse, desto höher ist die Entropie und desto mehr "Informationen" liefert ein Ergebnis.

Wenn eine Website eine Browser-Eigenschaft sammelt, verringert sie die Unsicherheit (Entropie) darüber, wer Sie sind. Es wird geschätzt, dass etwa 33 Bits Entropie benötigt werden, um eine einzelne Person aus der Weltbevölkerung von 7,5 Milliarden eindeutig zu identifizieren.

Das Panopticlick-Forschungsprojekt liefert ein klares Beispiel dafür, wie verschiedene Browserattribute identifizierende Informationen beitragen.

Beispiel: Identifikationsdaten

Im Panopticlick-Test ergab die Kombination dieser und anderer Werte insgesamt mindestens 20,37 Bit identifizierender Informationen, wodurch der Browser unter mehr als 1.357.000 anderen getesteten Exemplaren einzigartig ist. Ein ähnliches Projekt, AmIUnique.org, demonstriert dies ebenfalls, indem es den Nutzern zeigt, wie ihr Browser-Fingerabdruck im Vergleich zu einer großen Datenbank mit anderen abschneidet, wobei sie ihn oft als einzigartig empfinden.

Da wir verstehen, dass Fingerabdrücken eine messbare Wissenschaft zur Reduzierung der Anonymität ist, können wir nun Strategien bewerten, um sich dagegen zu schützen.

4. Verteidigungs- und Minderungsstrategien

Das wichtigste Verteidigungsprinzip für Nutzer ist einfach: Je näher ein Gerät einer allgemeinen oder Standardkonfiguration ist, desto schwieriger ist es, es eindeutig zu identifizieren.

Häufige, aber wirkungslose Maßnahmen

Viele gängige Datenschutz-Tools sind gegen fortgeschrittene Fingerabdruck-Verfahren nicht wirksam.

• Privates oder inkognito Stöbern: Dieser Modus verhindert nur, dass der Browser lokale Daten wie Verlauf, Cookies und Formularinformationen für diese Sitzung speichert. Sie verändert nicht die zugrunde liegenden Eigenschaften des Browsers (wie Schriftarten oder grafische Darstellung) und ist daher transparent für Fingerprinting-Skripte. Es vermittelt ein falsches Sicherheitsgefühl.
• Nutzung von VPNs oder Anonymisierungsnetzwerken: Obwohl diese Tools Ihre öffentliche IP-Adresse effektiv verbergen, verhindern sie nicht, dass ein Server alle anderen Geräte- und Browsermerkmale sammelt, die einen Fingerabdruck ausmachen.

Wirksamere Maßnahmen

Eine Studie, die die Effizienz verschiedener Minderungsmaßnahmen analysierte, ergab einen klaren Gewinner.

• Browser-Erweiterungen (Blocker): Die Studie kam zu dem Schluss, dass datenschutzfördernde Browsererweiterungen deutlich effektiver Fingerprinting reduzieren als die integrierten Datenschutzeinstellungen des Browsers (wie "Do Not Track" oder das Blockieren von Cookies von Drittanbietern). Diese Erweiterungen funktionieren, indem sie die Tracking-Skripte überhaupt blockieren. So stellte die Studie beispielsweise fest, dass Browsereinstellungen wie "Do Not Track" (DNT) weitgehend ignoriert wurden; im Fall von Canvas Fingerprinting setzten über 96 % der Webseiten, die eine aktive DNT-Anfrage erkannten, trotzdem mit Fingerabdrücken fort und ignorierten dabei direkt die geäußerten Präferenzen des Nutzers.
• Die Studie hob Ghostery und uBlock Origin als besonders effiziente Blocker hervor.

Weitere potenziell wirksame, wenn auch manchmal unpraktische Maßnahmen sind:

• JavaScript komplett deaktivieren (was viele Webseiten kaputt machen kann).
• Verwendung des TOR-Browsers, der darauf ausgelegt ist, Benutzerkonfigurationen zu standardisieren, um sie weniger einzigartig zu machen.
• Für fortgeschrittene Nutzer ist der Zugang zum Internet über virtuelle Maschinen mit unterschiedlichen Konfigurationen möglich.

Mit diesen Verteidigungsstrategien im Hinterkopf fassen wir die wichtigsten Punkte aus diesen Notizen zusammen.

5. Wichtige Erkenntnisse

1. Browser-Fingerprinting ist eine leistungsstarke, passive Tracking-Methode. Es funktioniert ohne Cookies, indem es die eindeutigen Konfigurationsdetails eines Geräts sammelt. Da es für den Nutzer unsichtbar ist und nicht leicht gelöscht werden kann, ist es beständiger und schwerer zu blockieren als herkömmliche Cookies.
2. Eindeutigkeit wird durch Kombination aufgebaut und durch Entropie gemessen. Ein Fingerabdruck wird erstellt, indem Dutzende von Datenpunkten kombiniert werden, von einfachen wie der Bildschirmauflösung bis hin zu fortschrittlichen wie Canvas-Rendering. Diese Einzigartigkeit wird wissenschaftlich in "Bits of Information Entropy" gemessen.
3. Standard-Datenschutztools reichen nicht aus; Blocker sind die beste Verteidigung. Gängige Tools wie der Inkognitomodus und VPNs bieten wenig Schutz vor Fingerabdrücken. Die effektivste Verteidigung für einen typischen Nutzer ist die Installation einer seriösen Browsererweiterung (wie uBlock Origin oder Ghostery), die aktiv die Tracking-Skripte blockiert, die für die Fingerabdruckerfassung verantwortlich sind.