Was ist Canvas-Fingerprinting? Funktionsweise, Erkennung und Schutz

Jeder Klick beim Surfen, jede Mausbewegung, Ihr Gerätemodell und die Version Ihres Betriebssystems können von einer Website zu einer eindeutigen Kennung kombiniert werden – einem Browser-Fingerprint. Unter den zahlreichen Fingerprinting-Techniken gehört der Canvas-Fingerprint zu den häufigsten und stabilsten. Er ist für Nutzer unsichtbar, wird von Websites aber seit Langem zur Erkennung von Besuchern eingesetzt.

Was ist Canvas?

Canvas ist ein von HTML5 bereitgestelltes Zeichenelement – gewissermaßen eine leere Zeichenfläche innerhalb einer Webseite. Entwickler können mit JavaScript Grafiken, Text und Bilder darauf zeichnen und damit Diagramme, Spiele, Bildverarbeitung und viele andere visuelle Effekte realisieren. Hinter vielen interaktiven Effekten moderner Webseiten steckt Canvas.

Wie entsteht ein Canvas-Fingerprint?

Selbst wenn verschiedene Geräte „dieselbe Grafik zeichnen“, sind die Ergebnisse nicht vollkommen identisch. Der Grund dafür ist, dass der Rendering-Prozess sowohl von Hardware als auch Software abhängt:

• Grafikkarte und Treiber: Die Grafikausgabe erfolgt über die GPU; unterschiedliche Grafikkarten und Treiber behandeln Kantenglättung, Farbverläufe und Farben geringfügig anders;
• Betriebssystem: Windows, macOS und Linux unterscheiden sich bei der Schriftdarstellung und der Implementierung grafischer Schnittstellen;
• Browser und Engine: Browser setzen die Canvas API unterschiedlich um;
• Display- und Farbeinstellungen: Farbraum, Gammawert und weitere Einstellungen können das Endergebnis ebenfalls beeinflussen.

Typischerweise lässt eine Website den Browser des Besuchers per Skript denselben Inhalt auf einem Canvas zeichnen – meist eine Kombination aus Grafik und Text. Anschließend wird der Canvas-Inhalt in Bilddaten umgewandelt und daraus ein Hash berechnet. Da sich die Rendering-Ergebnisse je nach Gerät unterscheiden, wird dieser Hash zu einem relativ stabilen „Geräte-Fingerprint“.

Wie fein diese Unterschiede sein können, zeigt folgendes Beispiel: Dieselbe Grafik kann sich auf zwei Geräten nur durch wenige Pixel an geglätteten Kanten unterscheiden, dennoch können die berechneten Hashwerte vollständig verschieden sein – genug, um Geräte voneinander zu unterscheiden.

Wofür kann Canvas-Fingerprinting verwendet werden?

• Erkennung und Tracking: Eine Website kann sich Ihr Gerät anhand des Canvas-Fingerprints merken, auch wenn Sie nicht angemeldet sind, und Ihr Verhalten über Seiten und teilweise sogar über Websites hinweg verknüpfen;
• Betrugsprävention und Risikokontrolle: E-Commerce-, Zahlungs- und Social-Plattformen können Canvas-Fingerprints als eines von mehreren Risikosignalen verwenden, um ungewöhnliches Verhalten wie Massenregistrierungen oder Account-Sharing zu erkennen;
• Werbe-Targeting: Einige Werbenetzwerke nutzen Canvas-Fingerprints für websiteübergreifende Verhaltensprofile.

Ein Canvas-Fingerprint kann normalerweise nicht allein feststellen, „wer Sie sind“. Er ist vielmehr eines von vielen Signalen. In Kombination mit IP-Adresse, User-Agent, Zeitzone, Schriftarten und weiteren Informationen steigt die Erkennungsleistung deutlich.

Unterschiede zwischen Canvas-, WebGL- und Schrift-Fingerprints

Alle drei gehören zu Fingerprints, die auf Unterschieden in der Gerätewiedergabe basieren, stammen jedoch aus unterschiedlichen Quellen:

• Canvas-Fingerprint: Entsteht aus Unterschieden beim 2D-Canvas-Rendering;
• WebGL-Fingerprint: Entsteht aus der 3D-Grafikwiedergabe. Websites können Rendering-Parameter der Grafikkarte, etwa WebGL-Hersteller- und Renderer-Strings, auslesen, um Geräte zu erkennen;
• Schrift-Fingerprint: Erkennt die auf dem System installierten Schriftarten, um Rückschlüsse auf Betriebssystem und Gerät zu ziehen.

Diese Signale werden häufig kombiniert und bilden in Risikokontrollsystemen von Websites die „Merkmale der Geräteumgebung“.

Wie kann ich meinen eigenen Canvas-Fingerprint prüfen?

Sie können öffentliche Fingerprint-Testseiten wie BrowserScan oder PixelScan verwenden. Auch eine Suche nach „Browser Fingerprint Test“ führt zu ähnlichen Diensten. Diese Seiten zeigen meist Informationen zu Canvas, WebGL, Schriftarten, Zeitzone und weiteren Fingerprints an. Wenn das Ergebnis einen vorhandenen Canvas-Fingerprint meldet oder einen stabilen Hash anzeigt, kann Ihr Gerät auf diese Weise markiert werden. Ergebnisse von Drittanbieter-Testseiten dienen allerdings nur als Orientierung und stellen keine offizielle Entscheidung irgendeiner Plattform dar.

Wie können sich normale Nutzer schützen?

Canvas-Fingerprinting vollständig zu verhindern ist schwierig, weil Canvas eine normale Browserfunktion ist. Die Tracking-Möglichkeiten lassen sich jedoch reduzieren:

• Einen datenschutzorientierten Browser verwenden oder den Datenschutz-/strengen Tracking-Schutz des Browsers aktivieren;
• Erweiterungen gegen Fingerprinting installieren, die Canvas-Lesezugriffe blockieren oder Rauschen einfügen;
• Cookies und Website-Daten regelmäßig löschen, um langfristige Verknüpfungen zwischen Fingerprint und Kontoaktivität zu verringern;
• Betriebssystem und Browser aktuell halten, da neuere Browser mehr integrierte Einschränkungen gegen Fingerprint-Tracking bieten.

Was ist bei mehreren Geschäftsumgebungen zu beachten?

Bei grenzüberschreitenden Geschäftsaktivitäten und der Verwaltung mehrerer Konten liegt der Schwerpunkt anders. Teams wollen sich nicht „verstecken“, sondern jedes Geschäftskonto in einer stabilen, kontrollierbaren Umgebung betreiben und Fehlbewertungen vermeiden, die durch sich gegenseitig beeinflussende Gerätemerkmale entstehen können.

PurpleMark ermöglicht es, beim Erstellen einer Browserumgebung Canvas-, WebGL-, Schrift- und weitere Fingerprint-Parameter zu konfigurieren. So können verschiedene Umgebungen unterschiedliche Gerätemerkmale darstellen, während die Parameter innerhalb einer Umgebung konsistent bleiben. Dadurch behält jedes Geschäft oder Konto langfristig ein stabiles „Geräteprofil“, anstatt sich bei jedem Öffnen zu verändern. Wichtig ist: Fingerprint-Parameter sind eine Funktion zur Umgebungskonfiguration. Ob ein Geschäft regelkonform betrieben wird, hängt weiterhin davon ab, ob die Richtlinien der genutzten Plattform eingehalten werden – Tools zur Umgebungsverwaltung dürfen weder zur Identitätsvortäuschung noch zur Umgehung von Plattformregeln eingesetzt werden.

Häufig gestellte Fragen

Kann ein Canvas-Fingerprint eine Person eindeutig identifizieren? Allein nur selten. Meist ist er eines von mehreren kombinierten Signalen; zusammen mit IP-Adresse, Systeminformationen und Verhaltensdaten wird die Erkennung deutlich stärker.

Verhindert das Deaktivieren von JavaScript Canvas-Fingerprinting? Damit lässt sich die Erfassung auf den meisten Websites verhindern, allerdings funktionieren dann viele Websites nicht mehr richtig. Datenschutzorientierte Browser und Fingerprint-Schutz-Erweiterungen sind meist die ausgewogenere Lösung.

Ist Canvas-Fingerprinting ein Virus? Nein. Es handelt sich um normales Skriptverhalten von Websites und nicht um Schadsoftware. Es betrifft jedoch das Tracking der Privatsphäre, weshalb die Technik umstritten ist.

Bedeutet ein auffälliges Ergebnis auf einer Fingerprint-Testseite, dass mit meinem Gerät etwas nicht stimmt? Nicht unbedingt. Unterschiedliche Testtools verwenden unterschiedliche Algorithmen und Referenzdatenbanken, daher sind die Ergebnisse nur als Orientierung zu verstehen. Entscheidend ist der tatsächliche Status Ihres Kontos auf der von Ihnen verwendeten Plattform.