Das Löschen von Cookies bedeutet nicht, dass eine Website dich nicht mehr erkennen kann. Browser geben zahlreiche Geräte- und Browsermerkmale preis, die zu einem „digitalen Fingerabdruck“ kombiniert werden können. So lassen sich Besuche wiedererkennen und sogar Konten miteinander verknüpfen. Dieser Artikel erklärt Funktionsweise, Risiken und sinnvolle Gegenmaßnahmen.
Viele Menschen glauben, dass Websites sie nicht mehr erkennen können, wenn sie regelmäßig Cookies löschen. So einfach ist es jedoch nicht: In dem Moment, in dem du eine Webseite öffnest, gibt dein Browser zahlreiche Informationen über Gerät und Software preis. Websites können diese Signale kombinieren und daraus eine ziemlich „einzigartige“ Kennung erzeugen – den sogenannten Browser-Fingerabdruck. Selbst wenn du Cookies löschst, kann eine Website dich möglicherweise weiterhin erkennen, solange sich die Fingerprint-Merkmale kaum verändern. Dieser Artikel erklärt die Funktionsweise von Browser-Fingerprinting, die praktischen Risiken und sinnvolle Ansätze zur Risikoreduzierung.
Welche Informationen sammeln Websites eigentlich?
Um einen Browser-Fingerabdruck zu erzeugen, muss eine Website dich nicht aktiv nach Informationen fragen. Es reicht, bestimmte Merkmale auszulesen, die der Browser bei jedem Besuch ohnehin übermittelt oder verfügbar macht. Häufige Informationsquellen sind:
- User-Agent (UA): Jede HTTP-Anfrage enthält eine Zeichenfolge mit Angaben wie Browsername, Version und Betriebssystem;
- HTTP-Request-Header: Neben dem UA werden unter anderem Sprachpräferenzen (Accept-Language) und Komprimierungsverfahren (Accept-Encoding) übertragen;
- Bildschirm und Farben: Der Browser kann Bildschirmauflösung und Farbtiefe auslesen;
- Schriftartenliste: Je nach Betriebssystem und Browser unterscheiden sich die standardmäßig verfügbaren Schriftarten;
- Zeitzone: Die Zeitzone des Geräts kann ermittelt werden;
- Plugins und Erweiterungen: Informationen können Hinweise auf installierte Plugins oder Versionen von Script-Engines liefern;
- Hardwareinformationen: Manche Verfahren erfassen CPU-Typ, GPU-Informationen und ähnliche Signale;
- Canvas-Fingerprinting: Eine Website lässt den Browser mit einem HTML5-Canvas eine Grafik zeichnen. Unterschiedliche Geräte, Grafikkarten und Treiber erzeugen minimale Abweichungen beim Rendering, die gemessen und als charakteristisches Signal genutzt werden können.
Jedes einzelne Merkmal ist für sich genommen vielleicht nicht besonders „einzigartig“. Werden jedoch Dutzende Merkmale kombiniert, kann daraus ein Profil entstehen, das mit hoher Wahrscheinlichkeit einer bestimmten Person oder Umgebung zugeordnet werden kann. Das erklärt auch, warum „Cookies löschen“ oft nicht genügt: Der Fingerabdruck hängt an Geräte- und Browserparametern und nicht am Cookie selbst.
Welche praktischen Auswirkungen hat Browser-Fingerprinting?
Für die meisten normalen Nutzer wird Browser-Fingerprinting vor allem für zielgerichtete Werbung und Betrugsprävention eingesetzt, sodass die Auswirkungen oft wenig auffallen. Wer jedoch grenzüberschreitenden E-Commerce oder internationale Social-Media-Konten betreibt und mehrere Accounts gleichzeitig verwalten muss, hat mit wesentlich konkreteren Risiken zu tun.
Registrierungs-, Login- und Risikokontrollsysteme verwenden die „Ähnlichkeit von Browser-Fingerprints“ häufig als ein Signal, um zu beurteilen, ob mehrere Konten derselben Person gehören oder miteinander verbunden sein könnten. Wenn du denselben Browser und sehr ähnliche Parameter verwendest, um viele Konten zu registrieren oder dich dort anzumelden, können die Fingerprints stark übereinstimmen und die Konten als verbunden eingestuft werden. Wird eine solche Verbindung erkannt, kann das von gegenseitigen Auswirkungen zwischen einzelnen Konten bis hin zur Einschränkung einer ganzen Account-Gruppe reichen und erhebliche operative Verluste verursachen.
Für Betreiber mehrerer Konten geht es daher nicht darum, „vollständig unsichtbar“ zu werden, sondern darum, Fingerprints und Laufzeitumgebungen verschiedener Konten voneinander zu trennen und zugleich stabile, konsistente Einstellungen beizubehalten. So lässt sich vermeiden, dass Beziehungen durch zu ähnliche oder willkürlich wechselnde Parameter offengelegt werden.
Wie lässt sich das Fingerprint-Risiko reduzieren?
Der Kern zur Reduzierung des Risikos einer Fingerprint-Verknüpfung lautet: „trennen und stabil halten“. Das lässt sich in mehrere Schritte gliedern:
Erstens: Browserparameter als Bestandteil des Kontos verwalten. Betriebssystem, Zeitzone, Sprache, Auflösung und Schriftarten verraten Geräte- und Regionsmerkmale. Diese Parameter sollten zum geschäftlichen Zielmarkt des Kontos passen, statt zufällig gesetzt oder häufig verändert zu werden. Auch hardwarebezogene Rendering-Merkmale wie Canvas, WebGL und Audio sollten sinnvoll fixiert oder verarbeitet werden, damit unterschiedliche Konten nicht dieselben Rendering-Signale offenlegen.
Zweitens: Konten in voneinander isolierten Umgebungen betreiben. Anstatt im selben Browser ständig zwischen Konten zu wechseln und den Cache zu löschen, sollte jedes Konto eine eigene Umgebung mit separatem Login-Status, Proxy und Parametersatz erhalten, sodass sich die Umgebungen nicht gegenseitig beeinflussen.
Drittens: Mit einem Umgebungsmanagement-Tool „Parameter“ und „Umgebung“ zentral verwalten. Bei wenigen Konten ist eine manuelle Konfiguration noch machbar. Sobald jedoch viele Konten über verschiedene Plattformen und Regionen verteilt sind, wird die Einzelkonfiguration unrealistisch und fehleranfällig. Dann ist ein zentraler Verwaltungsort sinnvoll.
PurpleMark ist eine Browser-Umgebungsmanagement-Plattform, die für solche Anforderungen entwickelt wurde. Beim Erstellen einer Umgebung lassen sich Betriebssystem, Chromium-Kernelversion, User-Agent, Auflösung, Sprache, Zeitzone und geografischer Standort einstellen. Außerdem können tiefere Fingerprint-Dimensionen wie Canvas, WebGLImage, AudioContext und WebRTC verwaltet, Proxys an Umgebungen gebunden und Login-Cookies importiert werden. Dadurch können unterschiedliche Konten je nach Geschäftsanforderung mit getrennten Parametern und Laufzeitumgebungen arbeiten. Im Vergleich zur manuellen Einzelkonfiguration bündelt PurpleMark diese verteilten Einstellungen in einem Workspace und unterstützt Gruppierung und Wiederverwendung. Die konkreten Funktionen sind auf der offiziellen PurpleMark-Website bzw. in der tatsächlichen Oberfläche zum Erstellen einer Umgebung in der Webversion zu prüfen.
Was du vorher bedenken solltest
Das Reduzieren von Fingerprint-Risiken bedeutet nicht, „Plattformregeln zu umgehen oder Schlupflöcher auszunutzen“. Ein Umgebungsmanagement-Tool soll dir helfen, rechtmäßig betriebene Konten übersichtlich und geordnet zu verwalten – nicht dabei, massenhaft regelwidrige Konten zu erstellen oder Risikokontrollen von Plattformen zu umgehen. Außerdem gilt: Je „zufälliger“ die Parameter, desto besser ist nicht automatisch richtig. Langfristig sind stabile, konsistente Parameter, die zum jeweiligen Geschäftsmarkt passen, meist sinnvoller. Und selbst eine gute Umgebungsisolierung bedeutet keine „100%ige Sicherheit“, da Plattformen Entscheidungen anhand vieler verschiedener Signale treffen.
Kurz zusammengefasst
Ein Browser-Fingerabdruck ist im Kern eine Art „Identitätscode“, den Websites aus Dutzenden Geräte- und Browsermerkmalen zusammensetzen. Er kann dich auch nach dem Löschen von Cookies weiter erkennbar machen. Für Betreiber mehrerer Konten besteht das Risiko darin, dass ähnliche Fingerprints dazu führen, dass verschiedene Konten als verbunden eingestuft werden. Entscheidend ist nicht „vollständige Unsichtbarkeit“, sondern die Trennung und Stabilität von Kontoparametern und Umgebungen sowie eine zentrale Verwaltung von Umgebung, Fingerprint-Parametern und Proxys mit einem Tool wie PurpleMark. Wenn du eine unabhängige Umgebung von Grund auf einrichten möchtest, kannst du mit der PurpleMark-Webversion beginnen.
