Browser Fingerprinting: Der Cookie-Nachfolger

Kein Browser ist wie ein anderer. Das wissen auch Internet-Dienste wie Google, Facebook oder Amazon und nutzen Browser Fingerprinting, um ihre Nutzer wiederzuerkennen. Wir erläutern, warum sie das machen, und geben Publishern einen Ausblick in die Zukunft.

Was ist Fingerprinting?

Die Online-Fingerabdrücke gelten häufig als Alternative zu Cookies. Es gibt durchaus Ähnlichkeiten – aber auch wichtige Unterschiede. Beides sind Tracking-Technologien, durch die Websites Informationen über User-Aktivitäten im Netz sammeln. Cookies speichern dazu eine eindeutige ID in ihren Browsern.

Browser Fingerprinting hingegen versucht, einen User anhand von spezifischen Einstellungen in den jeweiligen Browsern präzise zu identifizieren. Dies umfasst:

den Browsertyp und seine Version,
das Betriebssystem des Rechners,
die Sprache,
die Zeitzone,
aktive Plugins,
installierte Schriftarten,
die Bildschirmauflösung,
die CPU-Klasse,
den Gerätespeicher
und verschiedene weitere Werte.

Diese Attribute werden zu einer langen Zeichenfolge verkettet und der Browser Fingerabdruck wird als Hashwert dieser Zeichenfolge definiert.

Wozu dient Browser Fingerprinting?

Digitale Fingerabdrücke werden meistens dann diskutiert, wenn es um Werbetechnologien geht. Ob zum Zweck der Datensicherheit oder der Analyse – es gibt eine ganze Reihe von Gründen dafür, einen Benutzer zu tracken. Einige Anbieter verwenden Browser Fingerprinting, um mit den gewonnenen Informationen User-Profile zu generieren, während diese verschiedene Internetseiten besuchen.

Diese Technologie setzt sich beim Tracking immer stärker durch. Das liegt größtenteils daran, dass immer mehr User Cookies blockieren. Zudem regeln künftig neue, strengere Richtlinien den Cookie-Consent. Es liegt auf der Hand: Je mehr User-Tracking eingeschränkt wird, desto ungenauer sind die gesammelten User-Daten. Deshalb rücken digitale Fingerabdrücke als Ausweichmethode mehr in den Fokus. Denn Browser Fingerprints identifizieren User auch bei deaktivierten Cookies: ganz oder teilweise.

Pro und Contra: Browser Fingerprinting bietet viele Möglichkeiten

Manche Online-Werbetreibende missbrauchen die Fingerabdrücke, um unbemerkt massenweise Daten über Internetnutzer zu sammeln. Denn je mehr Detailinformationen sie haben, desto genauer können sie ihre Werbung ausspielen.

Das Problem: Während User Cookies blockieren, steuern und löschen können, haben sie solche Möglichkeiten beim Browser Fingerprinting nicht. Deshalb kommt es hier häufig zu Missbrauch, der sich nur schwer verhindern lässt.

Doch Browser Fingerprinting wird auch vielfach für seine ursprünglichen Zwecke verwendet: Datensicherheit und Online-Authentifizierung. Gerade bei der Betrugsprävention ist es von großem Wert. Denn mit den Fingerabdrücken der Browser gelingt es zum Beispiel auch, die Eigenschaften von Botnetzen zu identifizieren, in denen automatisierte Schadprogramme gruppiert sind. Und das, obwohl die Verbindungen des Botnet jedes Mal von einem anderen Gerät hergestellt werden.

Auch Banken verwenden diese Methode, um potenzielle Cyberkriminalität aufzudecken, wenn beispielsweise ein Online-Konto fragwürdige Aktivitäten aufweist. Das System erkennt anhand des eindeutigen Fingerabdrucks, dass innerhalb kurzer Zeit von unterschiedlichen Standorten aus auf das Konto zugegriffen wird – und sperrt es vorübergehend.

Fast jeder Browser ist eindeutig identifizierbar

Es ist überraschend, wie gut Browser-Fingerprinting zwischen Usern unterscheiden kann. Denn Browser hinterlassen weitgehend eindeutige Fingerabdrücke, anhand derer sie sich auch ohne Cookies identifizieren lassen. Dies belegt die Studie „How Unique Is Your Web Browser“ der amerikanischen Bürgerrechtsorganisation Electronic Frontier Foundation (EFF). In ihrem Experiment mit 470.161 Nutzern wiesen 83,6 Prozent der verwendeten Browser einen eindeutigen Fingerprint auf. Liefen die Browser mit Flash oder Javascript, stieg die Rate sogar auf 94,2 Prozent.

Die Browser lassen sich auch dann zuverlässig ermitteln, wenn User die Systemkonfiguration modifizieren. Bei 37,4 Prozent der durch Cookies identifizierbaren Studienteilnehmer veränderte sich der Fingerabdruck mit der Zeit – dennoch reichte ein einfacher Algorithmus, um 99, 1 Prozent der Browser wiederzuerkennen.

Eine gängige Methode, mit der Browser Fingerprinting Daten erfasst, sind Klicks auf Schaltflächen zum Teilen von Inhalten in sozialen Netzwerken. Für Werbetreibende ist dies äußerst wertvoll. Dass User exakt dieselben Eigenschaften aufweisen, ist nahezu unmöglich. In ihrem Experiment stellte die EFF fest, dass nur zwei von 286.778 Browsern denselben Fingerprint haben.

Canvas Fingerprinting: Schnittstelle für zusätzliche Informationen

Browser führen regelmäßig neue Schnittstellen ein. Diese enthalten oft Informationen, die zum Fingerprinting genutzt werden. Besonders viele und individuelle Informationen liefert die Canvas-Schnittstelle. Sie dient ursprünglich dazu, im Browser Bilder zu zeichnen. Werden diese allerdings analysiert, lässt sich ein User mit sehr hoher Wahrscheinlichkeit wiedererkennen.

Die entsprechende Methode nennt sich Canvas Fingerprinting. Dabei nutzen Anbieter die Codierungsfunktionen in HTML5, der Kerngrundlage jeder Website. Hier gibt es ein Element, das als „Canvas“ bezeichnet wird. Es generiert Daten wie die Schriftgröße oder die Einstellungen für die Hintergrundfarbe des Browsers. Diese erweisen sich als eindeutiger Fingerabdruck eines jeden Besuchers.

Wie sieht die Tracking-Zukunft aus?

Neue gesetzliche Regeln wie die Datenschutzgrundverordnung (DSGVO) und die E-Privacy-Richtlinie wirken sich darauf aus, wie Browserdaten gesammelt und ausgewertet werden. Immer mehr User sorgen sich um den Schutz ihrer Online-Daten und gehen vorsichtiger mit ihnen um.

Browser Fingerprinting ist vielschichtig. Doch es ist auch undurchsichtig. Dies könnte künftig dazu führen, dass sich User gegen diese Identifizierungsmethode wehren werden.

Wir nehmen an, dass bald mehr Browser Maßnahmen gegen Fingerabdrücke implementieren. Apples Safari oder Mozillas Firefox haben diese Anti-Tracking-Features bereits integriert. Auch Google hat beispielsweise angekündigt, dass User-Agent-Strings in Chrome missbilligt und als veraltet eingefroren werden. Welche Folgen es mittelfristig für das Online-Marketing haben wird, bleibt abzuwarten.

Ihr wollt mehr über Browser Fingerprinting – oder über die einheitliche Traffective-Lösung für Publisher erfahren? Unsere Experten beraten euch kostenfrei und unverbindlich.