Was ist ein Browser-Fingerprint? Einzeln unauffällig, zusammen eindeutig

Websites erkennen dich oft, ohne dass du dich anmeldest und ohne dass etwas auf deinem Rechner abgelegt wird. Jeder Browser gibt beim Öffnen einer Seite von sich aus eine Reihe von Informationen preis.

Zusammengenommen sind diese Informationen stabil genug, um das Löschen des Browserverlaufs zu überstehen. Eine unbekannte Website erkennt trotzdem, dass es dasselbe Gerät ist. Genau das ist der Browser-Fingerprint.

MostMate ist ein Fingerprint-Browser für die Arbeit mit vielen Accounts. Er bearbeitet die andere Seite desselben Problems: auf einem einzigen Rechner jedem Account eine eigene, in sich stimmige Browser-Identität zu geben.

Im Folgenden gehen wir vier Fragen nach. Woraus sich ein Fingerprint zusammensetzt, über welche Einstiegspunkte Websites ihn bekommen, ob Scripts abschalten hilft und wie du es selbst einmal testest.

Einzeln nichts Besonderes, zusammen erkennt man dich

Jeder einzelne Wert für sich ist so gewöhnlich, dass er zur Identifikation nicht taugt. Ein Bildschirm mit 1366×768 ist allgegenwärtig, Chrome-User-Agent-Strings gibt es massenhaft, und in derselben Zeitzone leben Hunderte Millionen Menschen.

Was tatsächlich wirkt, ist die Schnittmenge. Die Bildschirmgröße ist ein Filter, das Betriebssystem ein zweiter, die Grafikkarte ein dritter, und Schriftliste, Zeitzone und Sprachpräferenzen zählen jeweils als weitere Ebene. Mit jeder zusätzlichen Ebene bleibt weniger übrig. Nach sieben oder acht Ebenen ist es oft nur noch eine Person.

Die EFF hat 2010 ein öffentliches Experiment durchgeführt und rund 470.000 Browser-Datensätze gesammelt. 83,6 % davon waren unter dieser Filterkombination bereits einzigartig.

Die Forschenden haben das Ergebnis in einen Informationsgehalt umgerechnet: Im Schnitt trug jeder Browser mindestens 18,1 Bit Unterscheidungskraft. Wählt man zufällig einen aus, kollidiert etwa einer von 280.000 damit. Die vollständigen Ergebnisse stehen in dem öffentlichen Bericht der EFF. Diese Zahlen werden seither oft zitiert, und ebenso oft falsch gelesen.

Man liest die Zahl leicht als „alle laufen nackt herum“. Besser ist sie als Erinnerung zu verstehen: Die Stärke eines Fingerprints kommt nicht daher, wie selten ein einzelner Wert ist, sondern daher, wie viele Werte gleichzeitig übereinstimmen. Ein besonders seltener Wert lässt ein Gerät statistisch sogar auffallen.

Wichtiger noch als die Anzahl der Werte ist die Stabilität. Ein Fingerprint ist nützlich, weil er morgen und nächsten Monat noch an derselben Stelle steht. Ein Browser, der bei jedem Start neue Parameter ausgibt, liefert jeden Tag freiwillig einen neuen Satz Unterscheidungsmerkmale.

Drei Studien, drei Zahlen, und der Unterschied steckt in der Stichprobe

Sich eine einzelne Zahl zu merken führt zu falschen Schlüssen. Vergleichbare Studien gab es mehr als einmal, und je nach Bedingungen fallen die Ergebnisse sehr unterschiedlich aus.

Die ersten beiden Zeilen stammen von Websites, die eigens Tests anbieten. Wer so einen Test freiwillig macht, legt schon mehr Wert auf Privatsphäre, und Geräte und Konfigurationen sind gleichförmiger als beim Durchschnittsnutzer.

Die dritte Zeile spielt in einem anderen Szenario. Das Sammelskript hing auf französischen Nachrichten-Websites unter den Top 15 nach Traffic und erfasste die normalen Besucher zweier Seiten: Wetter und Politik. Verwendet wurden dieselben gut ein Dutzend Merkmale.

Gleiche Merkmale, andere Gruppe: Eindeutigkeit von 90 % auf ein Drittel.

Einzigartigkeit ist also keine feste Eigenschaft eines Geräts. Sie hängt davon ab, ob drei Dinge gleichzeitig zutreffen: wie viele Werte erhoben werden, bei wem und mit welcher Methode. 2021 erweiterten Forschende das Merkmalsset von gut einem Dutzend auf über zweihundert und maßen erneut. Der Anteil eindeutiger Fingerprints stieg wieder auf 81 %. Je mehr Werte, desto stärker trennen sich die Menschen.

Aus der Studie auf den französischen Websites kam noch ein praktischeres Ergebnis. Nicht eindeutige Fingerprints wurden als „fragil“ beschrieben.

Ein Rechner, der sich ursprünglich mit Zehntausenden überschnitt, kann durch eine kleine Konfigurationsänderung in die eindeutige Kategorie rutschen. Ein Browser-Update, eine zusätzliche Erweiterung, eine geänderte Auflösung, alles zählt. „Ich habe jemanden getroffen“ ist kein Sicherheitsnachweis, sondern nur der Hinweis, dass man dich noch nicht getrennt hat.

Ein Fingerprint hat drei Einstiegspunkte, nur einer braucht Scripts

Auf die Frage, was eine Website tatsächlich sehen kann, muss man drei Ebenen betrachten. Von diesen dreien hängt nur die unterste von Scripts ab; die anderen beiden sind abgeschlossen, bevor überhaupt ein Script läuft. Auch die Website erklärt die Umgebungstrennung entlang derselben drei Ebenen Gerät, Browser und Netzwerk.

Verbindungsebene: die Adresse ist notiert, bevor die Anfrage raus ist

Bevor eine Seite aufgeht, muss der Browser sich erst mit dem Server verständigen und dann die Anfrage senden. In diesem Ablauf hat der Server deine Ausgangsadresse bereits erhalten, dazu eine Reihe ausgehandelter Parameter.

Zu den ausgehandelten Parametern gehören die beidseitig unterstützten Verschlüsselungsverfahren, die Erweiterungen und die Reihenfolge der Präferenzen. Was gemeldet wird und in welcher Reihenfolge, entscheiden Browserversion und Laufzeitumgebung. Diese Werte betreffen keine Seiteninhalte und brauchen keine Zustimmung von dir; sie sind ein Nebenprodukt der Kommunikation selbst.

Adresse plus diese Parametergruppe reichen bereits für einen groben Filter. Welchem Anbieter die Leitung gehört und welche Version und welcher Browser gegenüber sitzen, lässt sich meist grob erkennen.

Request-Header-Ebene: der Browser meldet jedes Mal ein paar Werte

Request-Header sind die Anmerkungen, die der Browser einer Anfrage beifügt. Einige sind fast immer dabei: welche Sprachen akzeptiert werden, welche Komprimierungsverfahren unterstützt werden, der eigene Identifikationsstring und von welcher Seite man kam.

Der Spracheintrag wird von System und Browser festgelegt und ist feiner, als die meisten annehmen. Chinesisch etwa wird zusätzlich nach Schrift und Region unterschieden. Ihr Kennzeichen ist, dass sie leise, stabil und immer vorhanden sind: Sie ändern sich weder mit der besuchten Website noch beim Löschen des Verlaufs.

Seitenebene: Scripts lesen mehr, als du denkst

Nachdem die Seite geladen ist, können Scripts weiter ausfragen. Bildschirm- und Fenstergröße, Zeitzonenversatz, CPU-Kernzahl und Speicherstufe liegen im lesbaren Bereich. Diese Schnittstellen sind im Browser öffentlich, und die Schnittstellendokumentation des Browsers führt sie vollständig auf, sodass jede Website sie direkt aufrufen kann.

Wer fragt, was ein Browser-Fingerprint ist, denkt zuerst an Canvas und Schriften. Diese beiden werden tatsächlich am häufigsten genannt, nicht weil sie exotisch wären, sondern weil sie am schwersten zu ändern sind.

Canvas und Schriften: die zwei meistgenannten

Die Canvas-Methode ist unkompliziert. Die Seite zeichnet an einer für dich unsichtbaren Stelle eine Grafik oder eine Textzeile und liest das fertige Bild anschließend Pixel für Pixel zurück.

Dieselben Anweisungen erzeugen auf verschiedenen Grafikkarten, Treibern und Systemen nicht ganz identische Pixel. Die Unterschiede sind zu klein fürs Auge, aber stabil genug. Du wechselst das Hintergrundbild oder änderst den Zoom, und sie stehen trotzdem noch an derselben Stelle.

Die Schriftliste geht einen anderen Weg. Die Seite fragt nicht, welche Schriften installiert sind, sondern probiert die Namen einer Reihe gängiger Schriften einzeln durch. Sie rendert eine Textzeile in einer bestimmten Größe, und passt die gemessene Breite nicht zur Erwartung, ist diese Schrift nicht auf deinem Rechner. Je mehr Namen ausprobiert werden, desto länger wird der Datensatz.

Schriften, die beim Installieren von Designsoftware mitkamen, zählen hier mit. Deshalb sagt ein Schrift-Fingerprint oft mehr als die Bildschirmgröße: Er hält fest, welche Software du installiert hast und wofür du diesen Rechner nutzt.

Rendering-Unterschiede: die Kategorie in den Pixeln

Canvas ist nur ein Ausgang für Rendering-Unterschiede. Audiokette, Grafik-Schnittstellen und Videocodecs hinterlassen jeweils kleine, an die Hardware gebundene Abweichungen; auf einem Rechner greifen sie ineinander, auf einem anderen lassen sie sich kaum reproduzieren.

Diese Kategorie hat eine Gemeinsamkeit: Sie wird von Hardware und Treibern bestimmt und lässt sich nicht ändern. Browsereinstellungen anpassen, Cache leeren, Leitung wechseln, nichts davon erreicht sie.

Noch bemerkenswerter als die Anzahl ist die Stabilität. Diese Werte sind stabil genug, um dauerhaft als Gerätekennung zu dienen, und gerade weil sie stabil sind, löst es meist nichts, ein oder zwei Parameter seltener zu machen.

Ist das Problem gelöst, wenn man JavaScript abschaltet?

Schaltest du die Scripts ab, ist der dritte Einstiegspunkt tatsächlich dicht. Die Seite kann die Schriftliste nicht lesen und keine Rendering-Ergebnisse holen.

Die ersten beiden Ebenen bleiben aber. Die Request-Header fehlen nicht, die Ausgangsadresse wird weiter notiert, und die ausgehandelten Parameter der Verbindungsebene sind ebenfalls noch da. Scripts abschalten entfernt eine Ebene, nicht alle.

Im Experiment von 2010 wurden Browser mit deaktivierten Scripts separat als „relativ schwer fingerprintbar“ eingeordnet. Damals war der Schritt tatsächlich wirksam.

Doch „relativ schwer“ und „verborgen“ sind zwei verschiedene Dinge. Rundherum haben alle Scripts an, und du gehörst zufällig zu der kleinen Minderheit, die sie aus hat: Allein dieser Umstand ist ein Merkmal. Ein seltener Zustand lässt einen nicht verschwinden, sondern leichter herausstechen.

Das eigentliche Problem liegt woanders. Der Ärger, den ein Fingerprint macht, entsteht vor allem dadurch, dass eine Gruppe von Identitäten miteinander verknüpft wird, nicht dadurch, dass ein einzelner Parameter gut genug verdeckt ist. Das erklärt auch, warum es meist nicht hilft, Parameter bunter und seltener zu machen.

Browserwechsel auf demselben Rechner: Was sich mitändert und was nicht

Viele glauben, ein paar installierte Browser bedeuteten ein paar Identitäten. Tatsächlich ändert sich weniger als erwartet. Nach dem Verhalten nach einem Browserwechsel lassen sich diese Werte in zwei Gruppen teilen.

• Was sich mitändert: User-Agent-String, Rendering-Ergebnisse von Grafik- und Canvas-Schnittstelle, Erweiterungsliste, lokaler Speicher und Anmeldestatus.
• Was sich nicht mitändert: Modell von Grafikkarte und Treiber, physische Bildschirmparameter, CPU-Kernzahl, Speicherstufe, Systemzeitzone, Schriften auf Systemebene.

Die erste Gruppe bringt der Browser selbst mit; Neuinstallation, Update oder eine neue Erweiterung ordnen sie neu. Die zweite Gruppe kommt aus Hardware und System und bleibt dieselbe, egal wie viele Browser du installierst. Sie ist der Faden, der mehrere unterschiedlich aussehende Rechner verbindet.

Drei Browser auf einem Rechner wirken auf eine Website eher wie drei Nutzungsarten desselben Geräts. Nicht wie drei Geräte.

Selbsttest in drei Schritten: So nutzt man das im Multi-Account-Management

Öffentliche Testseiten laufen ohne Registrierung. Statt ein Ergebnis zu glauben, lohnt ein Blick darauf, was dein Rechner tatsächlich meldet. Im Multi-Account-Alltag ist vor den Messwerten erst einmal die Reihenfolge zu klären; der Weg von null zum ersten Profil ordnet Proxy, Formulare und Checklisten nacheinander ein.

Die Testreihenfolge lässt sich so festlegen:

1. Zuerst schauen, aus welchen Werten die Eindeutigkeit stammt. Nach dem Durchlauf nicht die Gesamtpunktzahl ansehen, sondern die markierten einzigartigsten Werte; das sind meist die am schwersten änderbaren Teile.
2. Dann zwei Browser auf demselben Rechner je einmal testen und die Werte einkreisen, die in beiden Durchläufen gleich sind. Diese Überschneidungen gehören zur Ebene von Hardware und System und gehen auch bei einem Browserwechsel nicht weg.
3. Zuletzt den Test mit abgeschalteten Scripts wiederholen und schauen, welche Werte noch lesbar sind. Was übrig bleibt, ist der ohne Scripts erhältliche Teil.

Nach allen drei Schritten landet man meist bei derselben Erkenntnis. Wirklich schwer zu ändernde Werte gibt es nur wenige, aber genau sie halten deine Identität stabil.

Folgt man dieser Erkenntnis, ist der Multi-Account-Ansatz nicht schwer abzuleiten. Nötig ist, dass die Umgebung jedes Accounts in sich konsistent bleibt; die Parameter müssen nicht exotischer werden.

MostMate setzt genau hier an, beim Anlegen eines Profils. Sprache, Oberflächensprache, Zeitzone und Standort folgen standardmäßig dem Ausgang. Hardware-Werte wie Bildschirm, Kernzahl und Speicher gibt es nur in zwei Stufen, real und zufällig; wer vom Standard abweichen will, muss einmal manuell auswählen. Diese Werteauswahl und der Vergleich mit der manuellen Konfiguration jeder einzelnen Option sind auf der Website nebeneinander zu sehen.

Warum diese Abwägungen so getroffen wurden, steht ausführlicher in welche der vier Designprinzipien was abfangen. Welches Prinzip zu welcher Art von Fehlschlag gehört und welches bei Konflikten zuerst zu schützen ist, steht dort alles drin.

Wenn du lieber direkt loslegst, kannst du MostMate herunterladen und nach der Installation die drei Schritte oben an deiner eigenen Umgebung wiederholen.

Um zuerst zu sehen, wie MostMate diese Werte in eine Umgebungsverwaltung bündelt, beginne mit der Produktbeschreibung.

Häufige Fragen

Ändert sich der Fingerprint, wenn ich Cookies lösche oder den Inkognito-Modus nutze?

Nein. Cookies und lokaler Speicher sind Notizzettel, die der Browser für die Website hinterlegt; löschen heißt weg. Ein Fingerprint ist anders: Er wird live aus Gerät und Browser gelesen und liegt nicht auf deinem Rechner. Der Inkognito-Modus begrenzt, was lokal zurückbleibt, und ändert nicht, was der Browser nach außen meldet.

Bin ich mit einer anderen IP automatisch eine andere Identität?

Du hast nur die Netzwerkebene getauscht. Sprachpräferenz, Schriften, Grafikkarte und Systemzeitzone ändern sich durch eine neue IP nicht. Passen Region der neuen Leitung und deine Zeitzone und Sprache nicht zusammen, entsteht daraus sogar eine Kombination, die nicht schlüssig ist.

Hilft eine Anti-Fingerprinting-Erweiterung?

Üblich ist, einige Werte zu verrauschen oder sie auf einen gängigen Wert zu vereinheitlichen. Vereinheitlichen lässt dich tatsächlich in der Menge untertauchen, zum Preis, dass alle in dieser Gruppe dieselben Merkmale teilen. Rauschen wiederum kann dazu führen, dass dieselbe Umgebung in zwei Durchläufen verschiedene Werte meldet, und das ist selbst eine Anomalie. Beide Ansätze erreichen die Ebene von Hardware und System nicht.

Vergleichen Websites tatsächlich Fingerprints?

In Betrugsprävention und Risikokontrolle ist es Standard, besonders bei Anmeldung, Registrierung und Zahlung. Die meisten Seiten behandeln es jedoch als eines von mehreren Signalen und lesen es zusammen mit Account-Verhalten und Gerätehistorie; allein anhand eines einzelnen Werts wird selten entschieden.

Haben zwei exakt gleich modellierte Computer denselben Fingerprint?

Nicht exakt denselben. Rechner desselben Modells divergieren schnell bei Systemversion, Schriften, Treibern, Zeitzone, Sprache und installierten Erweiterungen, und all diese Unterschiede landen im Fingerprint. Am nächsten kommen sich massenhaft geklonte Geräte, aber das ist nur ein kleiner Teil der Praxis.

Bin ich mit einem Fingerprint-Browser nicht mehr auffindbar?

Nein. Ein Fingerprint-Browser arbeitet an den Grenzen zwischen Umgebungen und gibt jedem Account eine eigenständige, in sich stimmige Browser-Identität. Wie eine Plattform Kontozugehörigkeit bestimmt, ändert er nicht, und er verspricht kein Ergebnis. Noch eine Unterscheidung ist wichtig: Fingerprint-Konsistenz ist eine Selbstprüfung, keine Erkennungsregel der Plattform. Wer beides verwechselt, erwartet unrealistisch viel vom Werkzeug.