Was ist Font-Fingerprinting? Wie Websites Ihren Browser über die Schriftartenliste erkennen

Sie wechseln die Umgebung, Sie wechseln den Proxy – und trotzdem zeigen sich weiterhin feine Layoutunterschiede: Auf derselben Website ist der Text eines Buttons auf dieser Umgebung zwei Pixel breiter als auf jener. Eine Quelle dieser Unterschiede sind die Schriftarten: Welche Schriften auf einer Maschine installiert sind, findet eine Website mit ein paar Tests heraus, und damit ist die Schriftartenliste zu einer eigenen Klasse von Browser-Fingerprint-Parametern geworden. Dieser Artikel behandelt drei Dinge: wie Websites Schriftarten testen, wie weit man den Ergebnissen vertrauen kann und für welche Fälle sich jeder der drei Schriftartenlisten-Modi (echt, zufällig, benutzerdefiniert) eignet. Schriften gehören zu den Basisparametern des Gesamtfingerprints: MostMate führt sie in den Fingerprint-Einstellungen als Kernparameter, und Was ist MostMate zeichnet das komplette Produktbild.

Was Font-Fingerprinting ist: Websites raten, welche Schriften installiert sind

Font-Fingerprinting lädt Ihre Schriftdateien nicht hoch – die Website führt stattdessen eine Reihe von Tests durch und prüft, ob sich eine bestimmte Schrift auf Ihrem Rechner darstellen lässt. Betriebssysteme kommen mit einer Werksausstattung an Schriften, und Nutzer und Software bauen sie weiter aus: Eine Office-Installation bringt gleich einen ganzen Satz mit, und ein chinesisches Windows liefert SimSun und Microsoft YaHei ab Werk mit. Zwei Maschinen haben selten exakt dieselbe Schriftsammlung – und genau diese Differenz ist Information. Die Tracking-Studie der EFF aus dem Jahr 2010 führte Schriften bereits als identifizierbare Parameter, und seither gehört diese Art der Erkennung zum Standardrepertoire großer Websites.

Der Unterschied zu anderen Fingerprint-Parametern liegt in der Veränderungsfrequenz: Canvas und WebGL hängen an Hardware und Rendering-Engine und bewegen sich meist nur alle paar Monate, während die Schriftartenliste den Softwareinstallationen folgt – ein neues Office-Paket, eine gelöschte Schriftdatei, und die Liste ändert sich. Parameter, die sich schnell ändern, fliegen auch schnell auf – schon eine einzelne Installation kann die Liste von ihrem ursprünglichen Zustand abweichen lassen.

Wie Websites Schriftarten testen: Drei Methoden, die alle nur die Verfügbarkeit prüfen

Websites können die Systemliste der Schriften nicht direkt auslesen und müssen sie indirekt erschließen. Drei Methoden sind verbreitet:

1. Breitendifferenzmessung. Die Seite legt einen festen Text ab, misst seine Breite einmal mit einer Fallback-Schrift (etwa monospace) und einmal mit der Zielschrift. Gleiche Breite heißt: Die Zielschrift fehlt; unterschiedliche Breite heißt: Sie ist vorhanden. Das Erkennungsskript arbeitet hunderte gängige Schriftnamen ab und setzt so eine Liste mit vorhanden/fehlend zusammen.
2. Canvas-Rendervergleich. Derselbe Text wird auf einem Canvas mit unterschiedlichen Schriften gezeichnet und die Pixel werden verglichen – die Unterschiede der Rendering-Engine fallen dabei gleich mit ab.
3. Font Loading API. Moderne Browser stellen eine Schnittstelle wie document.fonts.check('12px "Segoe UI"') bereit, die direkt meldet, ob eine Schrift verfügbar ist – deutlich bequemer als das Breitenmessen.

Alle drei Methoden prüfen nur, ob sich ein Schriftname auf dem Rechner verwenden lässt – an die Schriftdateien selbst kommen sie nicht heran. In der Praxis werden sie oft kombiniert: Die Breitendifferenz macht die Hauptarbeit, Canvas dient als Gegenprobe. Die Details der Schnittstelle finden Sie in MDNs Dokumentation zu Document.fonts, die vollständige Testliste samt Entscheidungslogik im Quellcode der Font-Erkennung von FingerprintJS.

Die Ergebnisse sind von Natur aus lückenhaft: Sie erhalten nie die vollständige Liste

Dieser Abschnitt räumt zuerst mit einem verbreiteten Missverständnis auf. Eine Website erkennt nicht alle installierten Schriften, sondern nur die auf ihrer eigenen Testliste – das Ergebnis ist in Wirklichkeit die Schnittmenge aus einer Liste gängiger Schriften und Ihrem Rechner.

Das hat zwei Folgen. Erstens: Zwei Maschinen mit unterschiedlichen Schriftsammlungen können identische Ergebnisse liefern – die eine Maschine hat die Schriften A und B, die andere A und C, der Prüfdienst testet nur A und D, und beide melden „A vorhanden, D fehlend" mit demselben Hash. Ein gleicher Font-Fingerprint beweist keine gleichen Geräte; er zeigt nur, dass beide innerhalb der getesteten Liste gleich reagieren.

Zweitens: Alles außerhalb der Liste bleibt unsichtbar. Eine Design-Workstation mit 300 installierten Schriften und ein frisch aufgesetztes System sind in dieser Hinsicht nicht zu unterscheiden, wenn die Testliste nur 150 gängige Schriften abdeckt – die zusätzlichen 150 bleiben unentdeckt.

Für den Betrieb mehrerer Konten schneidet dieses lückenhafte Ergebnis in beide Richtungen ab: Die Schrift allein begründet keine Identität, doch Risiko-Engines gleichen Schriften mit anderen Signalen ab, und eine Liste, die nicht zur Betriebssystem- oder Spracheinstellung passt, wird zu einer auffälligen Anomalie. Lesen Sie die Schriftanzahl und den Hash, die Erkennungstools anzeigen, nach der Devise „innerhalb einer Umgebung stabil, zwischen Umgebungen unterschiedlich" – eine bestimmte Zahl zu jagen, lohnt nicht.

Welche Faktoren Ihre Schriftartenliste formen

Die Schriftsammlung setzt sich aus vier Schichten zusammen, und jede einzelne kann zwei Maschinen, die „optisch identisch" wirken, auseinanderbringen:

• Betriebssystem und Version. Windows, macOS und Linux bringen unterschiedliche Werkschriftsätze mit; selbst Windows 10 und 11 weichen voneinander ab. Genau deshalb kann die Schriftartenliste die Plattform bestätigen, die der UA angibt.
• Systemsprache und Region. Ein chinesisches Windows bringt SimSun und Microsoft YaHei mit, die auf den meisten europäischen und amerikanischen Maschinen fehlen; japanische und koreanische Systeme verhalten sich genauso. Die Schriftartenliste verrät oft als Erstes die echte regionale Herkunft einer Umgebung.
• Mitgelieferte Anwendungssoftware. Office, Adobe und WPS schleppen alle eigene Schriften ins System, und zwischen einer Design-Maschine und einem reinen Browser-Rechner klafft eine große Lücke.
• Fallback-Regeln der Browser-Engine. Bei ein und demselben Schriftnamen wählen Chromium und Firefox unterschiedliche Fallbacks und messen unterschiedliche Breiten; ändert sich die Kernel-Version der Umgebung, können die Detailergebnisse mit wandern.

Diese vier Schichten zusammen erklären ein bekanntes Phänomen: Eine Umgebung mit korrekter IP, Zeitzone und Sprache trägt noch immer Spuren ihrer „Heimat" – sie gibt sich als englische US-Umgebung aus, doch in der Schriftliste liegt Microsoft YaHei. Bei der Gegenprobe sagt eine solche Diskrepanz mehr als ein einzelner auffälliger Parameter.

Wie man Konsistenz beurteilt: Drei Kriterien und ein Selbsttest in drei Schritten

Im Umgebungsmanagement muss der Schriftparameter drei Kriterien erfüllen:

1. Innerhalb einer Umgebung stabil. Mehrfache Prüfungen derselben Umgebung liefern dieselbe Schriftanzahl und denselben Hash – installieren Sie also nicht beiläufig Software und löschen Sie keine Schriften, solange eine Umgebung in Gebrauch ist.
2. Zwischen Umgebungen unterschiedlich. Umgebungen, die verschiedene Regionen vorgeben, sollten sichtbare Unterschiede zeigen; zwei Umgebungen, die als „Amerikaner" und „Deutscher" auftreten und exakt denselben Font-Hash melden, sind ein verdächtiges Signal.
3. Passend zur deklarierten Identität. macOS-exklusive Schriften in einer Windows-Umgebung oder eine ganze Reihe chinesischer Schriften in einer englischen Umgebung sind deutliche Diskrepanzen. Die Risiken randomisierter Parameter behandelt der Beitrag Warum Fingerprint-Randomisierung eher gefährlich ist ausführlich, und Schriften sind der typischste Fall dieser Logik – eine zufällig zusammengewürfelte Schriftkombination existiert in der realen Welt praktisch nicht.

Selbsttest in drei Schritten: Öffnen Sie die Ergebnisseite auf BrowserScan oder Iphey, suchen Sie den Punkt Fonts und notieren Sie den Wert; laden Sie dieselbe Umgebung zwei- bis dreimal neu und prüfen die Stabilität; starten Sie denselben Test auf einer zweiten Umgebung und vergleichen Sie, ob die Unterschiede zu den jeweiligen Rollen passen.

Echt, zufällig oder benutzerdefiniert: Die drei Modi der MostMate-Schriftartenliste

In den Fingerprint-Einstellungen von MostMate bietet die Schriftartenliste drei Modi – echt, zufällig und benutzerdefiniert – für drei typische Situationen:

• Echt: Die Umgebung übernimmt unverändert die aktuelle Schriftartenliste des Host-Rechners, und die Erkennungsergebnisse entsprechen denen eines manuell geöffneten Browsers. Passt, wenn der Host-Rechner sauber konfiguriert ist und die Rolle zur Region des Hostsystems passt – etwa ein englisches Windows für US-Umgebungen.
• Zufällig: Die Umgebung erzeugt eine Schriftkombination, vorausgesetzt, der Zufallsalgorithmus setzt sie innerhalb des Rahmens zusammen, den Betriebssystem und Sprache vorgeben, sodass die Sammlung zur Rolle plausibel bleibt. Passt zum täglichen Mengengeschäft, in dem Umgebungen in Serie entstehen und die Schrift-Details nicht einzeln geprüft werden müssen.
• Benutzerdefiniert: Sie haken die Schriftarten manuell ab. Passt für Umgebungen mit strenger Risiko-Kontrolle der Zielplattform oder wenn die Rolle stark vom Host-Rechner abweicht – ergänzen Sie den Schriftsatz des behaupteten Systems und gehen Sie die drei Kriterien des vorigen Abschnitts Punkt für Punkt durch.

Alle drei Modi finden Sie im Fingerprint-Bereich des Formulars zur Umgebungserstellung; prüfen Sie nach der Konfiguration den aktuellen Wert im Feld „Schriftartenliste" des Fingerprint-Vorschaupanels und testen Sie anschließend noch einmal auf einer Erkennungsseite. Den kompletten Einrichtungsablauf beschreibt So starten Sie mit MostMate.

Fazit

Im Kern tastet sich eine Website mit einer begrenzten Testliste an die Schriftsammlung Ihres Rechners heran: Die vollständige Liste sieht sie nie, doch für die Gegenprobe reicht es, um Diskrepanzen aufzudecken. Betrieblich zählen drei Dinge – Stabilität innerhalb jeder Umgebung, Abstand zwischen den Umgebungen und eine Schriftartenliste, die zum behaupteten System und zur Region passt. Wer eine Umgebung von null aufsetzen will, beginnt mit dem Download von MostMate; die Konsistenzlogik der einzelnen Fingerprint-Parameter erklärt weitgehend der Beitrag Die vier Designprinzipien von MostMate.

FAQ

Kann der Font-Fingerprint ein Gerät allein identifizieren?

Nein. Die Ergebnisse sind durch die Testliste begrenzt, und zwei Maschinen mit unterschiedlichen Schriften können dasselbe Ergebnis liefern. Risiko-Engines gleichen Schriften üblicherweise mit UA, Canvas, Sprache und anderen Parametern ab – die Schrift allein begründet keine Identität.

Liefern verschiedene Browser denselben Font-Fingerprint?

Bei gleicher Schriftsammlung stimmen die Ergebnisse im Großen und Ganzen überein, doch die Fallback-Regeln und Renderdetails der Engines unterscheiden sich, und damit auch die Breitenwerte. Chrome und Firefox auf derselben Maschine zeigen oft Detailunterschiede – das ist die Engine-Differenz.

Macht mehr installierte Schriften leichter erkennbar?

Zusätzliche Schriften tauchen nur auf, wenn sie auf die Testliste fallen. Die Anzahl selbst wiegt wenig; bei seltenen Schriften ist es anders – taucht einmal eine Nischen-Designschrift im Test auf, wirkt die Liste statistisch auffällig.

Entfernt das Löschen von Cookies den Font-Fingerprint?

Nein. Die Schriftartenliste ergibt sich aus den Installationen auf dem Rechner und gehört nicht zu den Websitedaten; Cookies und Cache zu löschen berührt sie nicht. Ändern lässt sie sich nur, indem die Schriftkonfiguration auf Umgebungsebene ausgetauscht wird.