Verständnis von Browser-Fingerprinting

Einleitung: Was ist Browser-Fingerprinting?

Während die meisten Internetnutzer mit Cookies vertraut sind, funktioniert im Web eine weitaus beständigere und unsichtbarere Tracking-Methode. Diese Technik, bekannt als Browser-Fingerprinting, kann ein einzigartiges Profil von Ihnen erstellen, ohne etwas auf Ihrem Computer zu speichern, was es für jeden datenschutzbewussten Menschen unerlässlich macht, sie zu verstehen.

Device Fingerprinting, besser bekannt als Browser-Fingerprinting, ist die systematische Sammlung von Informationen aus einem Webbrowser und einem Gerät. Das Ziel ist es, diese Details zu kombinieren, um eine Identifikatorin zu erstellen, die eindeutig genug ist, um den Nutzer zu identifizieren, zu verfolgen und ein detailliertes Profil zu erstellen.

Diese Technik wurde als persistentere Verfolgungsmethode entwickelt, um benutzerkontrollierte Datenschutzmaßnahmen wie das Löschen von Cookies zu umgehen. Im Gegensatz zu Cookies, die ein Nutzer finden und entfernen kann, funktioniert Fingerprinting oft transparent, ohne dass Dateien auf dem Gerät des Nutzers gespeichert werden.

Methoden des digitalen Fingerabdrucks wurden in der Fachliteratur als "cookielose Monster" beschrieben, da es nicht notwendig ist, irgendeine Art von Cookie auf dem Gerät zu installieren, um die Informationen zu sammeln...

Diese "Fingerabdrücke" entstehen durch die Kombination vieler verschiedener Informationen, die wir als Nächstes untersuchen werden.

1. Das Kernprinzip: Aufbau einer eindeutigen Kennung

Das grundlegende Konzept hinter dem Browser-Fingerprinting ist, dass zwar jede einzelne Information über Ihr Gerät verbreitet sein mag, die Kombination vieler solcher Details jedoch wahrscheinlich einzigartig ist. Eine Website sammelt eine Reihe dieser Eigenschaften und erzeugt so effektiv einen "digitalen Fingerabdruck" für Ihren Browser.

Hier sind einige der häufigsten Merkmale, die gesammelt werden können, um einen grundlegenden Fingerabdruck zu bilden:

• User Agent: Eine Textfolge, die Ihren Browsertyp, Ihre Version und Ihr Betriebssystem identifiziert (z. B. Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:58.0) Gecko/20100101 Firefox/58.0).
• Systemschriftarten: Die vollständige Liste der auf deinem Gerät installierten Schriftarten.
• Zeitzone: Die konfigurierte Zeitzone deines Geräts (z. B. -120 Minuten von UTC).
• Bildschirmauflösung und Farbtiefe: Die genauen Abmessungen und Farbmöglichkeiten deines Bildschirms (z. B. 1920x1080x24).
• Browser-Plugins: Die Liste der Erweiterungen oder Add-ons, die in Ihrem Browser installiert sind, wie Adobe Flash Player oder ein PDF-Viewer.

Obwohl diese grundlegenden Datenpunkte eine überraschend eindeutige Kennung erzeugen können, wenden Tracker oft noch ausgefeiltere Methoden ein, um die Genauigkeit zu erhöhen.

2. Erweiterte Fingerabdrucktechniken erklärt

Um robustere und präzisere Fingerabdrücke zu erstellen, verwenden Tracker fortschrittliche Techniken, die moderne Webbrowser-Funktionen ausnutzen.

2.1. Leinwand-Fingerabdrücke

Diese leistungsstarke Technik verwendet das HTML5-Element Canvas , eine Funktion zum Zeichnen von Grafiken und Animationen auf einer Webseite. Der Tracker weist den Browser an, ein verstecktes Bild oder einen Textabschnitt zu zeichnen. Die Einzigartigkeit liegt darin, dass verschiedene Kombinationen von Hardware (wie der Grafikprozessor-Einheit oder GPU), Software (Grafiktreiber) und Betriebssystemen dieses Bild auf subtil unterschiedliche Weise darstellen. Das endgültig gerenderte Bild wird in eine eindeutige digitale Signatur, bekannt als Hash, umgewandelt, die als äußerst stabile Kennung dient.

2.2. Leinwand-Schrift-Fingerabdruck

Dies ist eine spezialisierte Variante des Leinwand-Fingerabdrucks. Anstatt ein einzelnes komplexes Bild zu zeichnen, weist es den Browser an, dieselbe Textfolge mehrfach darzustellen, wobei jeweils eine andere Schriftart aus der Liste der installierten Schriftarten des Geräts verwendet wird. Indem die subtilen Unterschiede in der Zeichnung jeder Schriftart gemessen werden (Größe, Anti-Aliasing usw.), kann diese Methode eine Identifikatorin erzeugen, die sehr spezifisch für die einzigartige Systemschriftensammlung des Nutzers ist.

2.3. WebRTC-Fingerabdruck

WebRTC (Web Real-Time Communication) ist eine API, die Echtzeit-Sprach- und Videokommunikation direkt zwischen Browsern ermöglicht. Ein Nebeneffekt dieser Funktionalität ist, dass die WebRTC-API verwendet werden kann, um die lokale IP-Adresse eines Nutzers zu erkennen – also die Adresse, die sein Gerät in einem privaten Netzwerk (wie einem Heim-WLAN) verwendet, die normalerweise verborgen ist. Durch die Kombination der versteckten lokalen IP eines Nutzers mit ihrer öffentlichen IP kann ein Tracker eine sehr konsistente und effektive Kennung erstellen, selbst wenn sich die öffentliche IP ändert.

2.4. AudioContext Fingerprinting

Diese Technik verwendet die AudioContext API, ein Werkzeug zur Verarbeitung von Audiosignalen im Browser. Es ist wichtig zu beachten, dass diese Methode das Mikrofon des Nutzers nicht abhört. Stattdessen erzeugt es eine standardisierte, unhörbare Schallwelle (wie eine Sinuswelle) und verarbeitet sie über den Audio-Stack des Browsers. Das resultierende digitale Signal unterscheidet sich auf jedem Rechner leicht, aufgrund einzigartiger Unterschiede in der Gerätehardware und Softwaretreibern. Ein Hash dieses verarbeiteten Signals wird dann als eindeutige Kennung verwendet.

Jetzt, wo wir verstehen, wie Fingerabdrücke entstehen, schauen wir uns an, wie ihre Einzigartigkeit wissenschaftlich gemessen wird.

3. Quantifizierung von Eindeutigkeit mit Informationsentropie

Die wissenschaftliche Methode, die Einzigartigkeit eines Fingerabdrucks zu messen, ist die Informationsentropie. Einfach ausgedrückt ist Entropie ein Maß für Unsicherheit, berechnet in "Bits". Je mehr "identifizierende Informationen" eine Eigenschaft liefert, desto seltener ist sie und desto mehr hilft sie, einen Nutzer eindeutig zu identifizieren.

Zum Beispiel liefert das Wissen, dass ein europäischer Nutzer Chrome nutzt (59 % Marktanteil im Mai 2018), nur sehr wenig identifizierende Informationen (etwa 1 Bit). Wenn man jedoch weiß, dass sie Internet Explorer verwenden (4 % Marktanteil), gibt es viel mehr Informationen (etwa 4 Bit), weil es viel seltener vorkommt. Durch die Kombination vieler solcher Eigenschaften können sich die Gesamtbits der Entropie schnell summieren, um eine global eindeutige Kennung zu erzeugen.

Die folgende Tabelle, basierend auf Daten eines Panopticlick-Tests, zeigt, wie verschiedene Browsermerkmale unterschiedliche Mengen an identifizierenden Informationen beitragen.

Beispiel: Identifikationsdaten

Browser-charakteristische	Merkmale identifizierender Informationen
Hash des Leinwandfingerabdrucks	6.62
Bildschirmgröße und Farbtiefe	2.45
Details zu Browser-Plugins	9.14
Zeitzone	2.70
Systemschriftarten	6.50
Plattform	3.17
User Agent	7.68

Diese Messung der Eindeutigkeit ist nicht nur theoretisch; Es hat bedeutende reale Anwendungen und Folgen.

4. Praxisnutzung und Auswirkungen

In einer Studie von 2018 analysierte die spanische Datenschutzbehörde (AEPD) über 5.000 URLs, um die Verbreitung dieser Techniken zu verstehen. Die Ergebnisse zeigten:

• Von allen analysierten Anfragen wurden in 28,19 % fortschrittliche Fingerabdrucktechniken festgestellt.
• Die gebräuchlichsten fortgeschrittenen Techniken waren:
  • Leinwand-Fingerprinting: 15,3 %
  • WebRTC-Fingerabdruck: 10,1 %
  • Canvas-Schrift-Fingerprinting: 1,9 %
  • AudioContext Fingerprinting: 0,9 %
• Der Einsatz dieser Tracking-Techniken war besonders häufig auf Websites zu sensiblen Themen wie Sex, Pornografie, Religion, Gesundheit und Politik vertreten.

Die Studie bestätigte auch die Ineffektivität des "Do Not Track" (DNT)-Signals, einer Browsereinstellung, die Websites auffordert, den Nutzer nicht zu verfolgen. Die Untersuchung ergab, dass Webseiten, die Fingerabdrucke verwenden, diese Anfrage überwiegend ignorierten. Im Fall von Canvas-Fingerprinting sammelten erstaunliche 96,12 % der Seiten den Fingerabdruck weiter, selbst wenn der Nutzer DNT explizit aktiviert hatte. Noch alarmierender ist, dass die Studie herausfand, dass das DNT-Signal selbst als weiterer Datenpunkt genutzt werden kann, um den Fingerabdruck eines Nutzers noch einzigartiger zu machen und eine Anfrage nach Privatsphäre zu einem Identifikationsinstrument zu machen.

Bei einem so weit verbreiteten und anhaltenden Problem ist es naheliegend, sich zu fragen, was getan werden kann, um die Privatsphäre zu schützen.

5. Verteidigung gegen Fingerabdrücke: Was funktioniert und was nicht

Die AEPD-Studie testete verschiedene Minderungsmaßnahmen, um zu sehen, wie effektiv diese Fingerabdrücke verhindern können. Die Ergebnisse zeigen einen deutlichen Unterschied zwischen passiven Datenschutzfunktionen und aktiven Blockierungstools.

Methode	: Funktionsweise	Wirksamkeit (basierend auf AEPD-Studie)
Privater / Inkognitomodus	Löscht den lokalen Verlauf, Cookies und Site-Daten nach Ende der Sitzung.	Nicht effektiv. Es verändert die zugrunde liegenden Geräteeigenschaften nicht, sodass der Fingerabdruck identisch bleibt.
VPNs / Anonymisierungsnetzwerke	Verbirgt die öffentliche IP-Adresse des Nutzers vor dem Zielserver.	Teilweise wirksam. Obwohl sie einen wichtigen Datenpunkt (öffentliche IP) verbergen, filtern sie die Sammlung anderer Gerätemerkmale nicht.
Browser-Datenschutzoptionen (z. B. Blockieren von Cookies von Drittanbietern, Aktivieren von DNT)	Verwendet integrierte Browsereinstellungen, um das Tracking zu begrenzen.	Keine signifikante Reduktion. Die Studie ergab, dass diese Optionen nur geringe Wirkung zeigten, abgesehen von einer deutlichen Reduzierung der WebRTC-Erkennungen.
Browser-Erweiterungen (Blocker wie uBlock Origin, Ghostery)	Identifizieren und blockieren Sie aktiv Skripte und Verbindungen, die für das Tracking verwendet werden.	Am effektivsten. Diese Werkzeuge führten zu einer "signifikanten Reduzierung der Erkennungen" in verschiedenen Fingerabdrucktechniken.
Javascript deaktivieren	Verhindert, dass die Skripte, die Fingerabdruckdaten sammeln, laufen.	Effektiv, aber unpraktisch. Diese Methode unterbricht die Funktionalität vieler moderner Websites und macht sie für die meisten Nutzer zu einer unrealistischen Lösung.

Diese Ergebnisse führen zu mehreren wichtigen Schlussfolgerungen für alle, die sich um ihre digitale Privatsphäre sorgen.

6. Wichtige Erkenntnisse

1. Einzigartigkeit durch Kombination: Die Stärke des Fingerabdrucks liegt in seiner Fähigkeit, viele häufige, nicht eindeutige Datenpunkte (wie Bildschirmgröße und installierte Schriftarten) zu kombinieren, um eine sehr eindeutige Kennung zu erstellen. Diese Einzigartigkeit wird wissenschaftlich in "Bits of Information Entropy" gemessen.
2. Allgegenwärtig und verborgen: Als "cookielose" Technik funktioniert das Fingerabdrücken transparent für den Nutzer und ist im gesamten Web weit verbreitet, auch auf Websites, die sensible persönliche Informationen verarbeiten.
3. Einwilligung wird oft ignoriert: Datenschutzpräferenzen der Nutzer, insbesondere das "Do Not Track"-Signal, werden von Webseiten, die diese fortschrittlichen Tracking-Techniken einsetzen, überwiegend ignoriert.
4. Effektive Verteidigung erfordert aktive Werkzeuge: Gängige Datenschutzfunktionen wie der Inkognitomodus sind gegen Fingerabdrucke wirkungslos. Die Studie kam zu dem Schluss, dass die effektivsten Verteidigungen spezialisierte Browser-Erweiterungen sind, die darauf ausgelegt sind, Tracking-Skripte aktiv zu blockieren.