Fingerprint-Testseiten zeigen viele Werte, die Websites ohnehin auslesen können. Diese sechs Prüfungen helfen, Widersprüche zwischen Browser, System, Region, Netzwerk und Rendering zu erkennen – denn inkonsistente Angaben fallen oft stärker auf als ein einzelner ungewöhnlicher Wert.
Wer eine beliebige Fingerprint-Testseite öffnet, sieht meist eine lange Liste: UA, Bildschirm, Zeitzone, Schriftarten, Canvas-Rendering und Hardwaredaten. Viele schauen zuerst auf die „Einzigartigkeit“. Tatsächlich ist sie am wenigsten wichtig. Entscheidend ist vielmehr, ob die einzelnen Angaben zueinander passen.
Was Websites ohnehin auslesen können
Ein Fingerprint wird nicht wie ein Cookie gespeichert. Cookies lassen sich löschen, blockieren oder im Inkognitomodus umgehen; ein Fingerprint entsteht aus der Konfiguration von Browser und Gerät. Der UA enthält Browsertyp und -version sowie Betriebssystem und Version. Hinzu kommen installierte Plugins, Bildschirmauflösung und Farbtiefe, Schriftarten, Zeitzone und bevorzugte Sprache, CPU-Typ, GPU-Modell und Arbeitsspeicher, IP-Adresse, Provider und Verbindungstyp sowie Rendering-Ergebnisse von HTML5-Schnittstellen wie Canvas und WebGL. Zusammengenommen bilden diese Werte eine Kennung, die sich durch einen IP-Wechsel, gelöschte Cookies oder den Inkognitomodus kaum verändert. Plattformen nutzen nach demselben Prinzip solche Merkmale, um mögliche Verknüpfungen zwischen Konten zu erkennen.
Drei Werte zuerst mit dem System abgleichen
Der User Agent ist ein guter Ausgangspunkt, weil der Browser sich damit selbst beschreibt. Kopiere den UA von der Testseite, gleiche die Browserversion in den Browser-Einstellungen ab und prüfe die Betriebssystemversion in den Systemeinstellungen. Wenn das im UA angegebene System oder die Kernel-Version nicht zur tatsächlichen Maschine passt oder deutlich hinter verbreiteten aktuellen Versionen liegt, ist das eine leicht erkennbare Unstimmigkeit.
Die Zeitzone sollte zur Region des Netzwerkausgangs passen. Testseiten zeigen die aktuelle Zeitzone meist direkt an; ein kurzes Skript zur Zeitzonenabfrage liefert denselben Wert. Prüfe zusätzlich auf einer beliebigen IP-Auskunftsseite, welcher Region die Ausgangs-IP zugeordnet ist. Zeigen beide auf unterschiedliche Regionen, sollte die Abweichung behoben werden.
Sprache und Region sind einzeln eher schwache Signale, werden in Kombination aber nützlich. Prüfe die von navigator.language und navigator.languages zurückgegebenen Werte und vergleiche sie mit den in der Ausgangsregion üblichen Sprachen. Eine US-Zeitzone, Chinesisch als Sprache und ein Ausgang in Europa fallen zusammen stärker auf als jeder Wert für sich.
Bildschirm, Netzwerkausgang und Rendering-Merkmale
Bei Bildschirm- und Hardwaredaten zählen zwei Fragen: Wie üblich sind die Werte, und passen sie zum Gerätetyp, den der UA angibt? Auflösung, Pixelverhältnis, nutzbare Fläche, CPU-Kerne und Arbeitsspeicher lassen sich gemeinsam betrachten. Eine Auflösung im Smartphone-Format zusammen mit einem Desktop-UA ist ein typischer Widerspruch.
WebRTC sollte separat geprüft werden, weil es reale Netzwerkinformationen preisgeben kann. Testseiten führen dafür meist einen eigenen Punkt auf. Achte darauf, ob eine lokale Adresse des Geräts zurückgegeben wird, etwa beginnend mit 192.168 oder 10, oder sogar die tatsächliche öffentliche Ausgangsadresse. Wenn trotz aktivem Proxy die echte Adresse erscheint, läuft der betreffende Verkehr nicht über den Proxy. Dieser Punkt hat höchste Priorität.
Bei Canvas und WebGL geht es darum, ob die Ergebnisse stabil sind und zum angegebenen GPU-Modell passen. Ein Detail ist wichtig: Wenn auf derselben Maschine mehrere Umgebungen parallel laufen und exakt dieselben Rendering-Werte liefern, lassen sie sich leichter miteinander verknüpfen als bei voneinander abweichenden, verrauschten Werten.
Widersprüche fallen stärker auf als mangelnder Realismus
Eine Plattform verlangt nicht, dass jedes Gerät vollkommen einzigartig ist. Sie bewertet vielmehr, ob die Informationen so aussehen, als kämen sie von einer normalen Maschine. Ein einzelner ungewöhnlicher Wert, etwa eine seltene Auflösung, ist meist nur ein schwaches Signal. Wenn mehrere Angaben einander widersprechen, ist die Abweichung deutlich leichter zu erkennen. Der UA sagt Windows, aber die Schriftarten wirken wie macOS; die Zeitzone liegt in den USA, die Sprache ist Chinesisch und der Ausgang in Europa; die Auflösung entspricht einem Smartphone, während der UA einen Desktop-Browser angibt. Schon eine solche Kombination kann fein abgestimmte Einzelwerte zunichtemachen. Deshalb sollte eine Selbstprüfung zuerst harte Widersprüche finden und erst danach Details optimieren.
Wenn du nur drei Dinge ändern willst
An erster Stelle steht ein WebRTC-Leak, weil dabei echte Netzwerkinformationen offengelegt werden. Zweitens sollten Zeitzone und Sprache zur Ausgangsregion passen, da sich aus solchen Abweichungen leicht ein auffälliges Gesamtbild ergibt. Drittens folgt der Umgang mit Canvas und WebGL, damit nicht direkt ein stabiler, eindeutiger Wert derselben Maschine offengelegt wird.
Eine Grenze gehört dazu: JavaScript zu deaktivieren oder stark einzuschränken verhindert einen Teil der Erfassung, beeinträchtigt aber die Nutzbarkeit vieler Websites deutlich. Datenschutzbrowser bringen einige Schutzmechanismen mit und reichen oft fürs normale Surfen; für die langfristige Pflege mehrerer voneinander unabhängiger Identitäten sind sie jedoch weniger flexibel.
So hältst du mehrere Umgebungen getrennt
Wichtig ist nicht, bei jedem Start einen völlig zufälligen Fingerprint zu erzeugen. Jede Umgebung sollte intern stabil bleiben und sich von den anderen unterscheiden. Mit PurpleMark kannst du für jedes Konto eine eigene Browserumgebung anlegen, Parameter wie Canvas getrennt behandeln und anschließend jede Umgebung auf einer Testseite auf innere Konsistenz prüfen. Erst eine Umgebung, die diese Prüfung besteht, eignet sich für den langfristigen Einsatz.
Fingerprint-Tests haben letztlich zwei Zwecke: zu sehen, welche Informationen du preisgibst, und zu prüfen, ob diese Informationen intern zusammenpassen. Über die Einzigartigkeit sollte man sich am wenigsten Sorgen machen.
