Was ist Canvas-Fingerprinting? Funktionsweise, Datenschutzrisiken und Schutz

Was ist Canvas-Fingerabdruck? Funktionsweise, Datenschutzrisiken und Schutz

Sie löschen Ihre Cookies und öffnen ein privates Fenster, dennoch kann eine Website dennoch daraus schließen, dass zwei Besuche von demselben Gerät kamen. Dies hängt normalerweise nicht von einer versteckten Kennung ab. Stattdessen vereint die Website viele vom Browser bereitgestellte Merkmale. Canvas-Fingerprinting ist eines dieser Signale.

In diesem Leitfaden wird erklärt, wie ein Canvas-Fingerabdruck erstellt wird, wie er sich von Cookies unterscheidet, warum er sowohl Sicherheit als auch Tracking unterstützen kann und wie Korrelationsrisiken reduziert werden können, ohne die Browserstabilität zu beeinträchtigen.

1. Was ist ein Canvas-Fingerabdruck?

Canvas ist eine HTML5-Zeichnungsfunktion. JavaScript kann den Browser auffordern, Text, Formen, Verläufe oder Bilder zu zeichnen und dann das gerenderte Ergebnis zu lesen.

Dieselben Zeichenanweisungen können zwischen verschiedenen Geräten zu geringfügigen Unterschieden auf Pixelebene führen. Das Ergebnis kann durch das Betriebssystem, die Browserversion, installierte Schriftarten, GPU, Grafiktreiber, Rendering-Bibliotheken und Anti-Aliasing-Verhalten beeinflusst werden. Eine Site kann das Ergebnis in Daten umwandeln und einen Hash berechnen, der zu einem wiederverwendbaren Canvas-Signal wird.

Ein wichtiger Unterschied: Ein Canvas-Wert allein garantiert nicht die eindeutige Identifizierung einer Person. Die Identifizierung wird effektiver, wenn Canvas mit User-Agent, WebGL, Schriftarten, Bildschirmeigenschaften, Sprache, Zeitzone, AudioContext, IP-Adresse und anderen beobachtbaren Signalen kombiniert wird.

2. Wie wird ein Canvas-Fingerabdruck generiert?

Ein typischer Inkassoablauf besteht aus vier Schritten:

Die Seite erstellt ein verstecktes oder sehr kleines Canvas-Element.
Ein Skript zeichnet Inhalte mit vordefinierten Schriftarten, Farben, Transparenz und Formen.
Der Browser rendert es über den Schriftarten- und Grafikstapel des Systems.
Das Skript liest die Pixel oder das exportierte Bild und berechnet einen Hash.

Zu den häufigsten Variationsquellen gehören:

Darstellung von Schriftarten des Betriebssystems;
Browser-Engine und -Version;
installierte Schriftarten und Fallback-Reihenfolge;
GPU, Grafiktreiber und Hardwarebeschleunigung;
Farbmanagement, Anzeigeskalierung und Anti-Aliasing; – das kombinierte Verhalten von Canvas, WebGL und verwandten Grafik-APIs.

Dieser Vorgang kann schnell im Hintergrund ablaufen. Der Benutzer sieht möglicherweise Canvas nicht und erhält keine Berechtigungsaufforderung.

3. Canvas Fingerabdrücke vs. Cookies

Vergleich	Cookies	Canvas Fingerabdruck
Quelle	Von einer Website in den Browser geschriebene Daten	Rendering-Eigenschaften des Browsers und des Geräts
Lokal gespeichert	Ja	Normalerweise ist kein persistenter lokaler Wert erforderlich
Können Benutzer es löschen?	Ja	Nicht wie ein Cookie
Privates Surfen	Isoliert oder nach der Sitzung entfernt	Rendering-Funktionen bleiben verfügbar
Stabilität	Hängt von der Cookie-Lebensdauer ab	Abhängig von Hardware, Software und Schutzstrategie

Ein Cookie ist wie ein Etikett, das von einer Website gespeichert wird. Ein Canvas-Fingerabdruck kommt einer Messung näher, die bei jedem Besuch durchgeführt wird. Das Löschen von Browserdaten hat daher keine direkte Änderung des Grafikverhaltens des Geräts zur Folge.

4. Ist Canvas-Fingerprinting immer bösartig?

Nein. Browser-Fingerprinting kann verwendet werden, um:

Bots, Credential Stuffing und automatisierten Betrug identifizieren;
unerwartete Änderungen an einem Anmeldegerät erkennen;
Risikobewertung und Kontosicherheitsprüfungen unterstützen;
Besuche messen, wenn keine Cookies verfügbar sind;
Erstellen Sie Profile über Sitzungen oder Websites hinweg.

Das Datenschutzproblem beschränkt sich nicht darauf, ob eine Erhebung erfolgt. Dabei kommt es auch darauf an, ob die Nutzer informiert werden, ob der Umfang erforderlich ist, wie lange die Daten aufbewahrt werden und ob sie mit Identitätsdaten zusammengeführt oder für ein seitenübergreifendes Tracking genutzt werden.

5. Warum wird das private Surfen nicht gestoppt?

Privates Surfen reduziert vor allem lokale Spuren. Der Verlauf, Cookies und temporäre Websitedaten werden entfernt, wenn die Sitzung endet. Websites benötigen weiterhin JavaScript, Schriftarten und Grafik-APIs, um zu funktionieren, sodass Canvas, WebGL, Bildschirmabmessungen und einige Systemmerkmale möglicherweise weiterhin beobachtbar bleiben.

Ein VPN oder Proxy ändert den Netzwerkausgang, ändert jedoch nicht automatisch das Canvas-Rendering. Wenn sich IP ändert, während die Werte für Sprache, Zeitzone, Standort, Canvas und WebGL einander widersprechen, kann die Inkonsistenz selbst zu einem Risikosignal werden.

6. Wie Einzelpersonen das Canvas-Tracking reduzieren können

1. Aktivieren Sie den integrierten Fingerabdruckschutz

Beginnen Sie mit dem in Ihren Browser integrierten Tracking- oder Fingerabdruckschutz. Einige Browser beschränken Skripte mit hohem Risiko oder geben ein geändertes Ergebnis zurück, wenn eine Seite Canvas-Daten liest.

2. Vermeiden Sie unnötige Erweiterungen und seltene Anpassungen

Eine große Auswahl ungewöhnlicher Erweiterungen, Schriftarten oder extremer Einstellungen kann Ihre Browserkombination einzigartiger machen. Beim Datenschutz geht es nicht nur darum, mehr Daten zu verbergen; es geht auch darum, eine ungewöhnlich einzigartige Konfiguration zu vermeiden.

3. Beschränken Sie nicht vertrauenswürdige Skripts von Drittanbietern

Das Blockieren von Inhalten und strengere Website-Berechtigungen können die Ausführung von Tracking-Codes von Drittanbietern verringern. Durch aggressives Blockieren können auch CAPTCHAs, Editoren, Diagramme oder Zahlungsseiten beschädigt werden. Testen Sie daher sorgfältig die Kompatibilität.

4. Verstehen Sie die Grenzen der IP-Tools

Proxys und VPNs können Ihren ursprünglichen Netzwerkausgang verbergen, sie sind jedoch keine Canvas-Schutztools. Netzwerkstandort, Sprache, Zeitzone und Browserkonfiguration sollten einigermaßen konsistent bleiben.

7. Teams mit mehreren Konten brauchen Isolation, keine ständige Randomisierung

Für E-Commerce-, Werbe-, Social-Media-Betriebs- und Testteams besteht das Ziel normalerweise nicht darin, dass dasselbe Konto jedes Mal wie ein völlig neues Gerät aussieht. Ein sichereres Betriebsmodell besteht darin:

Verwenden Sie für jedes Konto eine separate Umgebung.
die Umgebung eines Kontos im Laufe der Zeit relativ stabil halten;
Cookies, Cache, lokalen Speicher und Browserdaten isolieren;
Proxy-Region an Sprach-, Zeitzonen- und Standorteinstellungen anpassen;
Halten Sie Canvas, WebGL, AudioContext und verwandte Signale intern konsistent.

Wenn sich eine Umgebung bei jedem Start dramatisch ändert, könnte eine Plattform dies als häufigen Gerätewechsel interpretieren. Stabilität und Konsistenz sind oft wertvoller als die Maximierung zufälliger Änderungen.

8. Konfigurieren des Canvas-Schutzes in PurpleMark

PurpleMark behält Canvas und zugehörige Browsereigenschaften in derselben wiederverwendbaren Umgebungskonfiguration bei.

Schritt 1: Erstellen Sie eine isolierte Browserumgebung

Erstellen Sie in PurpleMark eine neue Umgebung, geben Sie ihr einen eindeutigen kontospezifischen Namen und binden Sie den entsprechenden Proxy. Eine nützliche langfristige Regel ist eine stabile Umgebung pro Konto.

Schritt 2: Überprüfen Sie die Konsistenz des Basis-Fingerabdrucks

Überprüfen Sie die Einstellungen für Benutzeragent, Betriebssystem, Sprache, Schnittstellensprache, Zeitzone, Standort, Auflösung und Schriftart. Wenn ein Proxy verwendet wird, sollten diese Werte normalerweise mit der Proxy-Region kompatibel sein.

Schritt 3: Hardware-Rauschen konfigurieren

Der Abschnitt „Hardware Noise“ bietet individuelle Steuerelemente für:

Canvas;
WebGLImage;
AudioContext;
ClientRects;
Mediengeräte;
Sprachstimmen.

Wenn Canvas-Rauschen aktiviert ist, verwendet die Umgebung ihre gespeicherten Rauschparameter, um das echte Canvas-Signal zu verarbeiten. Halten Sie nach dem Speichern der Umgebung die Konfiguration stabil, anstatt die Rauschwerte während des Routinebetriebs desselben Kontos wiederholt zu aktualisieren.

Schritt 4: Speichern und überprüfen Sie die Konsistenz

Verwenden Sie nach dem Starten der Umgebung eine Testseite mit vertrauenswürdigen Browserinformationen, um das Verhalten von Canvas und WebGL zu überprüfen. Das Ziel ist nicht „absolute Anonymität“. Stellen Sie sicher, dass separate Umgebungen unterscheidbar sind, dass dieselbe Umgebung über alle Starts hinweg stabil bleibt und dass ihre Einstellungen einander nicht sichtbar widersprechen.

Sie können Umgebungen über die PurpleMark-Web-App verwalten. Für reine Desktop-Funktionen, einschließlich des Startens eines lokalen Fingerabdruckbrowsers, ist der PurpleMark-Client erforderlich.

9. Häufig gestellte Fragen

F1: Ändert das Löschen von Cookies einen Canvas-Fingerabdruck?

Nicht direkt. Cookies sind gespeicherte Daten; Die Eigenschaften von Canvas stammen aus dem aktuellen Rendering-Prozess und dem Software-/Hardware-Stack.

F2: Ändert das Ändern der IP-Adresse Canvas?

Normalerweise nicht. IP ist ein Netzwerksignal, während Canvas ein Grafik-Rendering-Signal ist.

F3: Reicht ein anderer Canvas-Hash aus, um privat zu bleiben?

Nein. Websites kombinieren häufig mehrere Signale. Durch Ändern von Canvas allein werden inkonsistente Sprach-, Zeitzonen-, WebGL-, Schriftart- oder Verhaltensdaten nicht behoben.

F4: Sollte Canvas durch Rauschen blockiert oder modifiziert werden?

Es kommt auf den Anwendungsfall an. Das vollständige Blockieren von Canvas kann legitime Site-Funktionen beeinträchtigen und kann selbst ungewöhnlich sein. Kontrollierter Lärm zielt darauf ab, Privatsphäre und Kompatibilität in Einklang zu bringen.

F5: Kann PurpleMark garantieren, dass Konten niemals verknüpft werden?

Das kann kein Werkzeug garantieren. Umgebungsisolation und Fingerabdruckkontrollen reduzieren technische Korrelationsrisiken, während Kontodetails, Zahlungsdaten, Verhalten und Plattformregeln gleichermaßen wichtig bleiben.

10. Fazit

Ein Canvas-Fingerabdruck ist keine Datei, die einfach gelöscht werden kann. Es ist ein Maß dafür, wie der Browser Inhalte darstellt. Einzelpersonen sollten zuverlässige Browser-Datenschutzkontrollen verwenden, während Teams mit mehreren Konten eine Betriebsstrategie rund um isolierte, stabile und intern konsistente Umgebungen entwickeln sollten.

PurpleMark bietet Umgebungsisolierung und Hardware-Rauschkontrolle für Canvas und verwandte Signale. Nutzen Sie diese Funktionen nur für den rechtmäßigen Datenschutz, autorisierte Tests und konforme Geschäftsabläufe und befolgen Sie stets die Bedingungen der Plattformen, auf die Sie zugreifen.

Weiterführende Literatur: