Was ist ein WebGL-Fingerprint? Wie Grafikkarten-Daten zum Browser-Fingerprint werden

Websites lesen Grafikkarten-Daten auf zwei Wegen: der eine fragt Parameter ab, der andere schaut sich das Bild an. Wer eine Fingerprint-Erkennungsseite öffnet und zum ersten Mal sieht, dass im Feld WebGL Renderer das eigene Grafikkarten-Modell steht, denkt meist: „Woher weiß die Website, welche Karte ich eingebaut habe?“ Gelesen wird hier keine Hardware-Seriennummer, sondern das grafische Umfeld, das der Browser preisgibt. Die Hälfte dieser Merkmale sind Parameter, die die Schnittstelle selbst meldet; die andere Hälfte sind Ergebnisse, die anfallen, wenn man die GPU zeichnen lässt. Ein einzelner Wert identifiziert niemanden, aber in Kombination entsteht ein Puzzleteil mit echter Aussagekraft.

WebGL ist die grafische Schnittstelle, die der Browser bereitstellt. 3D-Modelle, Karten und Diagramme auf Webseiten nutzen sie, um die GPU zum Rendern aufzurufen. Über dieselbe Schnittstelle gibt der Browser auch einen Teil seiner Grafikumgebung preis. MostMate ist ein Anti-Detect-Browser, der für jedes Konto eine eigene Browser-Umgebung bereitstellt. Grafikkarte und Grafikparameter gehören zu den Umgebungssignalen, die er verwaltet.

Zwei Arten von Informationen: abgefragte Parameter und gezeichnete Bilder

Die Informationen des WebGL-Fingerprints stammen aus zwei Quellen, deren Erfassungsmethoden sich grundlegend unterscheiden. Die erste fragt ab. Die Website befragt die Schnittstelle zur Grafikumgebung und erhält Antworten: GPU-Hersteller, Renderer-Modell, unterstützte Versionen. Die zweite zeichnet. Die Website lässt die GPU ein festes Motiv rendern und liest das Ergebnis aus. Zwischen verschiedenen Geräten weichen die Ausgaben geringfügig ab. Zusammen ergeben beide Arten das Bild der Grafikumgebung, wie die Website es sieht.

Zuerst zum abgefragten Teil. Die üblichen Felder der Testseite:

In dieser Liste stecken einige Details. Viele Browser zeigen im Feld Vendor einheitlich „Google Inc.“ an, der echte Hersteller versteckt sich in Klammern. Der Wert von Renderer hängt von der Browser-Implementierung ab: Bei derselben NVIDIA-Karte kann die Zeichenkette je nach Browser anders aussehen. Noch deutlicher sind die Unterschiede bei der Erweiterungsliste. Welche Erweiterungen unterstützt werden und in welcher Reihenfolge, liefert zusätzliche Informationen.

Die Schnittstelle zum Auslesen dieser Parameter ist eine Erweiterung namens WEBGL_debug_renderer_info. Sie legt zwei Konstanten offen: den unmaskierten Hersteller-String und den Renderer-String. Laut MDN-Dokumentation ist diese Erweiterung für Debugging gedacht und hängt von den Datenschutzeinstellungen des Browsers ab. Firefox deaktiviert sie direkt, wenn der Datenschutzschalter resistFingerprinting aktiv ist. Anders gesagt: Dieselbe Karte kann je nach Browser und Datenschutzkonfiguration unterschiedliche Angaben machen. Berücksichtige diese Variable bei der Prüfung.

Warum die Grafikkarte zum Umgebungssignal wird

Die Aussagekraft der Parameter entsteht durch die Kombination, nicht durch ein einzelnes Feld. Der Grafikkartenmarkt ist stark konzentriert: NVIDIA, AMD, Apple und Intel decken zusammen die allermeisten Geräte ab, und das Feld Renderer allein identifiziert keine Person. Kombiniert man es aber mit anderen Signalen, kann die Unterscheidungsschärfe steigen. Nutzt etwa ein Windows-Gerät Chrome, passt die von WebGL offengelegte Grafikumgebung üblicherweise zu dieser Kombination aus System und Browser; zeigt die Browser-Information Windows, weicht die Grafikumgebung aber in Richtung macOS ab, lohnt sich ein genauerer Blick. Weichen auch Zeitzone oder andere Parameter von der erwarteten Umgebung ab, sendet die Gesamtkonfiguration womöglich widersprüchliche Signale.

Entscheidend ist nicht, jeden Parameter wahllos zu ändern, sondern zu prüfen, ob die Umgebungssignale zusammenpassen. Einen einzelnen Wert willkürlich zu verändern macht die Gesamtumgebung nicht glaubwürdiger. Zu den Problemen, die zufällige Fingerprint-Änderungen verursachen können, siehe Warum Fingerprint-Randomisierung unsicher ist.

Jetzt zum gezeichneten Teil. Die GPU ein festes Bild rendern und die Ausgabe auslesen folgt derselben Logik wie der Canvas-Fingerprint; im Artikel zum Canvas-Fingerprint ist der Mechanismus der 2D-Unterschiede beschrieben. WebGL läuft über die 3D-Pipeline, und das Rendern führt über den Grafiktreiber und niedrigere Grafikbibliotheken. Andere GPUs, andere Treiberversionen oder Browser-Implementierungen können die Ausgabe um einige Pixel verschieben. Solche Unterschiede sieht das Auge nicht. Ein Skript liest sie präzise aus.

Zwei Klarstellungen. Erstens: Die Aussagekraft von Bildunterschieden ist nicht so gewaltig wie oft behauptet; zwischen Geräten mit gleicher Karte und gleicher Treiberversion lässt sich mitunter kein Unterschied messen. Zweitens: Das ist eine andere Erfassungsmethode als bei Parametern, und die Ergebnisse müssen getrennt interpretiert werden.

Worin unterscheiden sich WebGL, Canvas und WebGPU?

Drei Namen, drei verschiedene Beobachtungsobjekte. In einer Tabelle:

Das Verhältnis von WebGPU zu WebGL lässt sich in einem Satz erklären. WebGPU ist die nächste Generation der Grafikschnittstellen, die Browser gerade etablieren: leistungsfähiger, mit breiterer Parameterfläche; im Artikel zum WebGPU-Fingerprint steht, welche Gerätemerkmale sie offenlegt. WebGL ist dagegen die heute am weitesten verbreitete Schnittstelle, die praktisch jeder Browser unterstützt. Beide werden lange koexistieren, tauchen auf Erkennungsseiten oft gleichzeitig auf, und bei der Prüfung gehören beide auf den Zettel.

So prüfst du deinen WebGL-Fingerprint

Kern: Aufschreiben und Vergleichen statt Wegklicken. Drei Schritte:

1. Öffne die IP-Erkennungsseite deines Zugriffs oder ein Tool wie BrowserLeaks und suche den WebGL-Block auf. Notiere Vendor, Renderer, WebGL Version und die Anzahl der Erweiterungen.
2. Teste dieselbe Umgebung nach einer Weile erneut und vergleiche beide Ergebnisse. Wenn die Parameter von der echten Karte auf Software-Rendering wie SwiftShader wechseln oder die Anzahl der Erweiterungen deutlich schwankt, hat sich die Umgebung verändert.
3. Lege das WebGL-Ergebnis neben die Gesamtkonfiguration der Umgebung. Meldet WebGL Windows mit NVIDIA, müssen UA und Betriebssystem ebenfalls Windows sein, und Zeitzone, Sprache sowie Ausgangsregion müssen zueinander passen. Eine Umgebung, deren Einzelwerte plausibel sind, in der Kombination aber widersprechen, fällt trotzdem auf.

Ein Hinweis verdient eine eigene Zeile. Zeigt die Erkennungsseite SwiftShader, ANGLE (Google) oder ähnliche Software-Rendering-Kennungen, fehlt der Umgebung womöglich eine Grafikkarte. Möglich ist auch, dass der Browser auf Software-Rendering ausgewichen ist. Solche Werte tauchen auf echten Geräten selten auf; in einer langfristig betriebenen Umgebung sind sie ein Signal, das behandelt werden sollte.

So nutzt du den WebGL-image-Parameter von MostMate

In den „Fingerprint settings“ von MostMate ist WebGL image ein Parameter, den du separat einstellen kannst. Auf der Einstellungsseite steht er neben Grafikparametern wie Canvas. Beim Anlegen oder Bearbeiten einer Umgebung bietet WebGL image zwei Stufen: Real und Noise. Real behält den echten Wert bei; schaltest du auf Noise, arbeitet die Ausgabe im Rauschmodus.

Wechsle danach rechts in das Fingerprint-Vorschaupanel und sieh dir die entsprechende Zeile an: Der Wert wird zu einem Stil mit sechsstelligem Kürzel. Diese Kürzel gelten nicht für andere Parameter. Sie kennzeichnen die Noise-Konfiguration; den tatsächlich offengelegten Hash siehst du auf der Erkennungsseite deines Zugriffs.

Welche Stufe passt, hängt davon ab, in welche Rolle die Umgebung schlüpfen soll. Für langfristig gepflegte Umgebungen ist Real zu empfehlen: Die Parameter einer echten Karte und ihr Treiberverhalten sind am schwersten zu fälschen, und eine stabile Umgebung braucht hier keine Änderung. Brauchst du mehrere Umgebungen für dieselbe Art von Geschäft, liefert Noise differenzierte Bildausgaben, sodass mehrere Umgebungen in der Grafikdimension nicht dasselbe Gesicht zeigen. Auch mit Noise baust du nichts neu auf: Im Vorschaupanel liegt der Wert jedes Parameters offen, die Konfiguration ist auf einen Blick prüfbar.

Auch die Grenzen gehören klar benannt. Parametermanagement senkt das Risiko von Vermischung und Widersprüchen zwischen Umgebungen. Neben WebGL sind Signale wie Bildschirmauflösung oder Schriften eigenständig; im Artikel zur Anti-Association-Konsistenz gibt es eine Checkliste zum Abgleich. So sauber eine Umgebung auch konfiguriert ist: Wie die Plattform bewertet, entscheidet die Plattform, und dieser Artikel verspricht nicht, „konfiguriert heißt unauffindbar“.

Häufige Fragen zum WebGL-Fingerprint

Kann eine Website mein echtes Grafikkarten-Modell sehen?

Ja, die Modell-Zeichenkette im Feld Renderer ist sichtbar, sofern der Browser die Erweiterung WEBGL_debug_renderer_info nicht einschränkt. Das ist aber eine grafische Beschreibung, die der Browser preisgibt, keine Auslesung der Hardware-Identität. Firefox und andere Browser blenden solche Informationen bei aktiviertem Datenschutz ein oder verallgemeinern sie.

Verhindert das Deaktivieren von WebGL die Fingerprint-Erkennung?

Davon ist abzuraten. Moderne Webseiten hängen stark an WebGL-Rendering, und ohne WebGL leidet die Funktionsweise. Außerdem unterstützen alle gängigen Browser WebGL; ein Browser ohne Unterstützung ist selbst ein Auffälligkeitssignal und landet schneller in einer eigenen Schublade.

Sind WebGL-Fingerprint und Canvas-Fingerprint dasselbe?

Nein. Beide nutzen Rendering-Unterschiede, aber Canvas arbeitet mit 2D-Zeichnung, während WebGL über die 3D-Pipeline läuft und zusätzlich die Ebene der Fähigkeiten-Parameter hat. Auf Erkennungsseiten sind es zwei getrennte Blöcke, deren Werte nichts übereinander aussagen.

Kann ein Anti-Detect-Browser WebGL auf jede beliebige Karte stellen?

Das hängt von der Produktimplementierung ab. MostMate setzt auf zwei Stufen, real und Noise, wobei der Noise-Modus differenzierte Bildausgaben liefert. Entscheidend bleibt, dass die Parameter der gesamten Umgebung in sich stimmig sind, nicht ein einzelnes Feld auf einen bestimmten Wert zu setzen.

Fazit

Im Kern gibt der Browser beim WebGL-Fingerprint die Parameter und das Renderverhalten seiner Grafikumgebung an die Website weiter: Die Parameter beantworten „Welche Karte bist du?“, das Bild beantwortet „Wie zeichnest du?“. Beim Betrieb mehrerer Konten geht es nie darum, die Karte zu verstecken. Entscheidend ist, dass die Grafikparameter jeder Umgebung dieselbe Geschichte erzählen wie UA, Zeitzone und Ausgangsregion.

MostMate nimmt Parameter wie das WebGL-Bild in die Umgebungskonfiguration auf und verwaltet sie zentral. Prüfen und Abgleichen wird damit einfacher. Die Umgebung einzurichten ist nur der Anfang; die routinemäßige Kontrolle im Alltag ist die eigentliche Langzeitvariable. Mehr Umgang mit Grafikparametern findest du über die Startseite; wer für mehrere Konten Umgebungen mit klaren Grenzen aufbauen will, kann MostMate herunterladen und mit der ersten Umgebung starten.