Im Einführungsartikel habe ich den Browser-Fingerabdruck nur kurz vorgestellt, gerade so weit, dass klar wurde: Es gibt ihn, und weder Cookies noch ein VPN verbergen ihn. Heute gehe ich in die Tiefe: wer ihn sammelt, wie unverwechselbar Sie dadurch werden und vor allem, was sich tatsächlich dagegen tun lässt.
Wer den Fingerabdruck sammelt und warum
Fingerprinting hat zwei völlig verschiedene Gesichter, und fairerweise sollte man beide nennen. Das erste ist die Werbe- und Analysebranche: Unternehmen, die wissen wollen, dass Sie derselbe Besucher sind wie gestern, auch ohne Cookies, um ein Profil von Ihnen zu erstellen und Werbung gezielt auszuspielen. Das zweite Gesicht ist die Sicherheit im Bank- und Zahlungsverkehr. Wenn Sie sich ins Onlinebanking einloggen oder online mit Karte bezahlen, vergleicht die Bank im Hintergrund den Fingerabdruck Ihres Geräts mit dem, den sie bereits kennt. Wird plötzlich von einem völlig anderen Gerät am anderen Ende der Welt bezahlt, wird das System aufmerksam. In diesem Fall ist Fingerprinting ein Werkzeug gegen Betrug, nicht gegen Sie. Dieselbe Technik, gegensätzlicher Zweck. Genau deshalb lässt sich Fingerprinting nicht pauschal verbieten. Schützen kann man sich nur vor dem ersten Gesicht, nicht vor dem zweiten.
Wie unverwechselbar Sie wirklich sind
Das Prinzip ist einfach: Jede einzelne Eigenschaft Ihres Geräts, ob Grafikkarte, installierte Schriftarten, Bildschirmauflösung oder Systemversion, sagt für sich genommen wenig aus, denn Sie teilen sie mit Tausenden anderer Menschen. Nimmt man aber zwanzig davon zusammen, ist die Kombination „genau diese Grafikkarte, dieser Audiochip, diese Schriftarten, diese Auflösung“ überraschend selten, oft sogar einzigartig unter Hunderttausenden anderer Geräte. Es ist dasselbe Prinzip wie beim Fingerabdruck: Eine einzelne Papillarlinie sagt nichts, das ganze Muster identifiziert den Menschen.
Wenn Sie Ihren Fingerabdruck mit eigenen Augen sehen möchten, gibt es zwei seriöse, kostenlose Werkzeuge, die einen Versuch wert sind: coveryourtracks.eff.org und amiunique.org. Beide zeigen Ihnen in wenigen Sekunden, wie einzigartig Ihr Gerät im Vergleich zu den Geräten anderer Menschen ist, die den Test ebenfalls gemacht haben. Ich empfehle, den Fingerabdruck jetzt zu messen und noch einmal, nachdem Sie einige der Empfehlungen unten umgesetzt haben. Vergleichen Sie dann, was sich verändert hat.
Welcher Browser wie stark schützt
Nicht alle Browser wehren sich gleich gut gegen Fingerprinting, und es lohnt sich zu wissen, wo die Grenze zwischen normalem und erweitertem Schutz verläuft.
Den stärksten Ansatz verfolgen der Tor Browser und der darauf aufbauende Mullvad Browser. Beide beruhen auf einer einfachen, aber klugen Idee: Statt den Fingerabdruck jedes Nutzers ein wenig anders zu machen, versuchen sie, ihn für alle Nutzer völlig gleich aussehen zu lassen. Wenn Sie genauso aussehen wie Millionen anderer Menschen mit demselben Browser, verliert Fingerprinting deutlich an Wirkung. Das ist ein Werkzeug für Momente, in denen Sie ein Höchstmaß an Diskretion brauchen, nicht für das alltägliche Surfen.
Brave, den ich als vernünftigen Standard für den Alltag empfehle, geht einen anderen Weg: Er verändert die Werte, die eine Website ausliest, leicht und zufällig, jedes Mal ein wenig anders. Gegen gewöhnliches Tracking funktioniert das gut, auch wenn man ehrlicherweise sagen muss, dass sich eine solche Zufallsabwehr mit genügend Wiederholungen teilweise durchschauen lässt. Gegen einen üblichen Werbetracker ist das aber ein ausreichender und kostenloser Schutz, den Sie nicht einmal einrichten müssen.
Firefox hat eine versteckte erweiterte Option namens resistFingerprinting, die Ähnliches leistet wie der Tor Browser, sich aber eher an erfahrene Nutzer richtet, denn die Option kann die normale Funktion mancher Websites stören und zum Beispiel die Zeitzone falsch anzeigen. Firefox ergänzt nach und nach auch einen feineren Standardschutz, den Sie nicht manuell einschalten müssen und der Websites dabei nicht beeinträchtigt. Safari setzte lange vor allem auf das Blockieren von Tracking-Elementen Dritter, bietet heute aber auch einen direkten Schutz gegen Fingerprinting: Die Werte, die Fingerprinting-Skripte auslesen, werden mit leichtem Rauschen versehen, sodass der Fingerabdruck jedes Mal etwas anders ausfällt. In den neuesten Versionen ist dieser Schutz standardmäßig beim gesamten Surfen aktiv, früher nur im privaten Fenster.
Warum Inkognito und VPN nicht ausreichen
Das ist der häufigste Irrtum, dem ich begegne. Der Inkognito-Modus oder ein privates Fenster begrenzt nur die lokale Spur: Nach dem Schließen werden Verlauf, Cookies und Daten der Sitzung gelöscht. Der Fingerabdruck wird jedoch live ausgelesen, in dem Moment, in dem Sie die Seite öffnen, und er ist genau derselbe, ob Sie im normalen oder im privaten Fenster surfen. Ebenso ändert das VPN, über das ich im letzten Artikel geschrieben habe, nur den Ort, von dem Sie scheinbar kommen. Den Fingerabdruck des Geräts selbst berührt es überhaupt nicht. Beide Schutzmaßnahmen wirken auf einer anderen Ebene, beide sind nützlich, aber keine von beiden löst das Problem Fingerprinting.
Dass es keine rein theoretische Bedrohung ist, zeigte vor einigen Jahren ein Fall, der in den USA sogar vor Gericht landete. Eines der größten Technologieunternehmen der Welt wurde verklagt, weil die Nutzer seines Browsers glaubten, im privaten Fenster nicht verfolgt zu werden, während das Unternehmen laut Klage weiterhin Signale sammelte, einschließlich des Gerätefingerabdrucks. Der Streit zog sich über Jahre und endete mit einem Vergleich: Das Unternehmen musste eine riesige Menge an Daten aus privaten Fenstern löschen und sagte zu, sein Vorgehen für mehrere Jahre zu ändern. Wie ähnliche Streitfälle künftig auch ausgehen mögen, eines ist schon heute klar: „Privates Fenster“ und „unsichtbar“ sind keine Synonyme, auch nicht bei Unternehmen, die es am besten wissen müssten.
Was Sie heute dagegen tun können
Für den Alltag genügt ein guter Browser mit eingebautem Schutz. Brave oder ein gut eingestellter Firefox sind eine solide Wahl, genau wie im Einführungsartikel beschrieben. Für Momente, in denen Sie ein Höchstmaß an Diskretion brauchen, etwa bei sensiblen Gesprächen, Recherchen oder allem, bei dem Sie nicht mit einem früheren Besuch in Verbindung gebracht werden wollen, greifen Sie zum Tor Browser oder zum Mullvad Browser. Messen Sie Ihren Fingerabdruck auf coveryourtracks.eff.org oder amiunique.org, damit Sie wissen, wo Sie stehen. Und denken Sie an den Grundsatz, den ich schon im ersten Teil erwähnt habe und der in der digitalen wie in der physischen Welt gleichermaßen gilt: In der Menge aufzugehen ist meist der beste Schutz. Fingerprinting funktioniert nur dort, wo Sie deutlich anders sind als alle um Sie herum.
„Einen Fingerabdruck verbergen Sie nicht, indem Sie Cookies löschen. Sie verbergen ihn nur, indem Sie aussehen wie alle anderen im Raum.“– Robert Václavík
