Sie haben Cookies gelöscht, ein privates Fenster geöffnet, sogar Ihre IP-Adresse gewechselt. Trotzdem erkennt Sie eine Website wieder. Die Methode dahinter heißt Browser-Fingerprinting. Die Kombination aus Dutzenden kleinen Informationen, die Ihr Browser preisgibt, ergibt eine Kennung, die eindeutig genug ist, um Sie unter Millionen Besuchern herauszufiltern.
In diesem Beitrag erklären wir, aus welchen Signalen ein Fingerprint entsteht, warum Websites ihn nutzen, worin er sich von Cookies und der IP-Adresse unterscheidet, wie Sie ihn in Ihrem eigenen Browser testen können und was er für jemanden bedeutet, der einen Proxy verwendet.
Wie entsteht ein Browser-Fingerprint?
Beim Laden einer Webseite gibt der Browser zahlreiche Informationen über sich selbst preis, damit die Seite korrekt dargestellt werden kann. Für sich genommen identifiziert keine dieser Informationen Sie. Zusammen ergeben sie jedoch eine seltene Kombination. Häufig genutzte Signale sind:
- User-Agent und Browserversion: Name, Version und Betriebssystem des Browsers. Aktuelle Browser vereinfachen diesen Header zunehmend und verlagern Details in den
Client Hints-Mechanismus, doch die Grundinformation bleibt sichtbar. - Bildschirminformationen: Auflösung, Farbtiefe, Pixeldichte, Fenstergröße.
- Sprache und Zeitzone: Browsersprache, Systemzeitzone und Datumsformat.
- Installierte Schriftarten: Die Schriftartenliste des Systems unterscheidet sich überraschend stark von Gerät zu Gerät. Die Website erkennt vorhandene Schriftarten indirekt, indem sie Textbreiten misst.
- Canvas-Fingerprint: Die Seite lässt Text und Formen in einen unsichtbaren Bereich zeichnen. Dieselbe Zeichnung liefert je nach Grafikkarte, Treiber und Betriebssystem ein pixelgenau anderes Ergebnis. Die Zusammenfassung dieses Ergebnisses ist ein unterscheidender Wert. Die zugrunde liegende Zeichentechnik wird in der Canvas-API-Dokumentation von MDN beschrieben.
- WebGL-Informationen: Hersteller, Modell und unterstützte Funktionen der Grafikeinheit.
- Audio-Fingerprint: Kleine Unterschiede in der Verarbeitung eines mit der Web Audio API erzeugten Tons.
- Hardware-Hinweise: Anzahl der Prozessorkerne, Arbeitsspeicher, Touchscreen-Unterstützung.
- Browserfunktionen: Unterstützte APIs, installierte Erweiterungen, Media-Codecs, bevorzugtes Farbschema.
Das W3C behandelt in seinem Leitfaden Mitigating Browser Fingerprinting, wie diese Signale in Webstandards begrenzt werden sollten.
Wie wird aus dem Fingerprint ein Wert?
Die gesammelten Signale werden nicht einzeln gespeichert, sondern meist zu einem Hashwert zusammengefasst. Die Website verknüpft diesen Wert mit dem Besucher und schließt bei einem übereinstimmenden Wert beim nächsten Besuch auf "dasselbe Gerät".
Zwei Begriffe sind dabei wichtig:
- Entropie: Wie gut ein Signal Besucher voneinander unterscheidet. Die Zeitzone hat eine niedrige Entropie (Millionen Menschen liegen in derselben Zone); die Schriftartenliste und die Canvas-Ausgabe haben eine hohe Entropie. Je mehr Signale kombiniert werden, desto höher die Gesamtentropie, und die Kombination wird einzigartig.
- Stabilität: Wie konstant ein Signal über die Zeit bleibt. Ein Browser-Update ändert den User-Agent; ein Treiberupdate der Grafikkarte kann die Canvas-Ausgabe verändern. Deshalb verknüpfen fortgeschrittene Systeme statt exakter Übereinstimmung auch "hinreichend ähnliche" Fingerprints mit demselben Gerät.
Um zu sehen, wie einzigartig Ihr eigener Browser wirkt und welche Signale die meiste Information tragen, können Sie das Tool Cover Your Tracks der EFF ausprobieren. Die Ergebnisseite zeigt die Entropie jedes Signals einzeln an.
Was unterscheidet ihn von Cookies?
| Kriterium | Cookie | Browser-Fingerprint |
|---|---|---|
| Wo gespeichert? | In Ihrem Browser | Nirgendwo; wird bei jedem Besuch neu berechnet |
| Löschbar? | Ja | Nicht direkt löschbar |
| Funktioniert im privaten Fenster? | Meist nein | Ja |
| Funktioniert seitenübergreifend? | Drittanbieter-Cookies zunehmend eingeschränkt | Ja, dieselben Signale entstehen auf jeder Seite |
| Bemerkt der Nutzer es? | Über Cookie-Hinweise | Meist nicht |
| Stabilität | Konstant bis zur Löschung | Kann sich mit Browser- und Treiber-Updates ändern |
Ein Cookie ist ein Ausweis, den Sie selbst mit sich tragen; der Fingerprint ist die Art, wie die Website Sie an Ihrem äußeren Erscheinungsbild erkennt. Den Ausweis können Sie wegwerfen, Ihr Gesicht nicht.
Warum nutzen Websites Fingerprinting?
Der einzige Zweck des Fingerprints ist nicht Werbe-Tracking. Die meisten Anwendungen dienen der Sicherheit:
- Betrugsprävention. Banken und Zahlungssysteme leiten eine Anmeldung von einem ungewöhnlichen Gerät zur zusätzlichen Verifizierung.
- Kontosicherheit. Selbst bei korrektem Passwort kann eine Anmeldung mit einem nie gesehenen Fingerprint als verdächtig gelten. Daher stammen die E-Mails "Anmeldung von einem neuen Gerät" meist genau daher.
- Bot-Erkennung. Automatisierungswerkzeuge tragen oft selbstverratende Widersprüche: ein Desktop-User-Agent mit mobiler Bildschirmgröße, oder Linux-typische Schriftarten in einem Browser, der Windows angibt.
- Erkennung von Mehrfachkonten. Marktplätze und soziale Netzwerke verknüpfen zahlreiche vom selben Gerät geöffnete Konten miteinander.
- Werbung und Analytik. Mit der Einschränkung von Drittanbieter-Cookies sind manche Trackingsysteme auf Fingerprinting ausgewichen; deshalb ergreifen Browserhersteller Gegenmaßnahmen gegen diese Nutzung.
Warum reicht ein IP-Wechsel nicht?
Ein Proxy ändert die IP-Adresse, die die Zielseite sieht. Der Fingerprint ist dagegen unabhängig von der IP. Verbinden Sie sich mit demselben Browser über verschiedene Proxys mit derselben Seite, sieht diese Folgendes: dasselbe Gerät, unterschiedliche Standorte. Das kann ein noch verdächtigeres Muster sein als eine einzelne IP.
Achten Sie auch auf die Umkehrung: Eine Sitzung mit makellos wirkendem Fingerprint, die aber von einer Rechenzentrums-IP kommt, ist ebenso inkonsistent. Wie sich IP-Typen unterscheiden, haben wir in unserem Beitrag Residential- und Datacenter-Proxy im Vergleich erklärt. Vertrauenswürdig wirkt nur, wer beide Ebenen aufeinander abstimmt:
- Übereinstimmung von Standort und Sprache: Eine IP aus Istanbul mit einer Browserzeitzone
America/New_Yorkist ein Widerspruch. Sprache, Zeitzone und IP-Standort sollten dieselbe Geschichte erzählen. - Übereinstimmung des IP-Typs: Ein mobiles Geräteprofil wirkt in Kombination mit einem Mobile-Proxy natürlicher, ein Desktop-Profil mit einem Residential-Proxy.
- Sitzungskontinuität: Ein Konto jeden Tag mit einer anderen IP und einem anderen Fingerprint zu öffnen, gefährdet das Konto. Ein fester ISP-Proxy pro Konto zusammen mit einem konstanten Browserprofil ist deutlich konsistenter.
Beispiele für Inkonsistenzen: worauf Websites reagieren
Bot-Erkennungssysteme achten meist nicht auf den Fingerprint selbst, sondern auf Widersprüche zwischen den Signalen. Häufige Beispiele:
| Widerspruch | Warum verdächtig? |
|---|---|
| User-Agent sagt "Windows", die Schriftartenliste enthält macOS-Schriften | Header verändert, darunterliegendes System nicht |
| Bildschirm 1920×1080, Fenster 800×600 und ändert sich nie | Standardfenstergröße von Automatisierungswerkzeugen |
Zeitzone Istanbul, Sprache en-US, IP Deutschland | Drei Signale nennen drei verschiedene Orte |
| Derselbe Fingerprint innerhalb einer Stunde aus zehn Ländern | Ein Gerät, rotierender Proxy |
navigator.webdriver ist gesetzt | Der Browser meldet selbst, dass er unter Automatisierung läuft |
| WebGL deaktiviert, Canvas zufällig, Erweiterungsliste leer | Verschleierungsversuch; gewöhnliche Nutzer deaktivieren das nicht |
Die letzte Zeile dieser Tabelle zeigt einen wichtigen Punkt: Auch das Blockieren oder Randomisieren von Signalen ist selbst ein Signal.
Lässt sich der Fingerprint vollständig verbergen?
Praktisch nicht vollständig, denn das Blockieren von Signalen ist selbst ein Signal. Ein Browser, der das Canvas-Zeichnen ganz abschaltet oder bei jeder Anfrage zufällige Werte liefert, fällt zwischen gewöhnlichen Nutzern noch stärker auf.
Das realistische Ziel ist nicht "unsichtbar sein", sondern in der Masse gewöhnlich wirken. Dafür sind verbreitete Browserversionen, konsistente Einstellungen und ein über Sitzungen hinweg unverändertes Profil wirksamer als das zufällige Verzerren von Signalen.
Auch Browserhersteller gehen in diese Richtung: Manche Browser schränken den Zugriff auf hochentropische APIs ein oder fügen der Canvas-Ausgabe ein kleines zufälliges Rauschen hinzu, das sie zwischen Websites unterscheidbar macht. Diese Maßnahmen erschweren das Tracking, verhindern eine sicherheitsorientierte Nutzung aber nicht vollständig.
Wie testen Sie Ihren eigenen Fingerprint?
Um zu sehen, an welchen Signalen eine Website Sie erkennt, können Sie folgende Schritte gehen:
- Führen Sie im normalen Fenster den Test Cover Your Tracks aus und notieren Sie das Ergebnis.
- Wiederholen Sie denselben Test im privaten Fenster. Die Cookies sind weg, aber Sie werden sehen, dass das Fingerprint-Ergebnis größtenteils gleich bleibt.
- Öffnen Sie einen Proxy oder ein VPN und führen Sie den Test erneut aus. IP und Standort ändern sich; Bildschirm-, Schrift-, Canvas- und Hardware-Signale nicht.
- Probieren Sie es mit einem anderen Browser. Selbst auf demselben Gerät ändert sich der Fingerprint bei einem Browserwechsel, weil die Zeichen-Engine und der API-Satz unterschiedlich sind.
Diese vier Schritte zeigen in wenigen Minuten, warum die Annahme "Ich habe die IP gewechselt, jetzt werde ich nicht mehr erkannt" falsch ist.
Was bedeutet das für Automatisierung und Datenerfassung?
Skripte mit Headless-Browsern lassen sich in Standardeinstellungen leicht von menschlichen Nutzern unterscheiden. Häufige Hinweise sind ein gesetzter navigator.webdriver-Wert, eine fehlende Erweiterungsliste, unrealistische Bildschirmgrößen und Interaktionen, die in Sekundenbruchteilen abgeschlossen werden.
Deshalb gelten selbst bei von der Website erlaubter Datenerfassung drei Regeln:
- Halten Sie die Anfragegeschwindigkeit angemessen. Selbst wenn der Fingerprint völlig gewöhnlich wirkt, sieht eine Sitzung, die pro Sekunde Dutzende Seiten öffnet, nicht wie ein Mensch aus.
- Verwenden Sie ein konsistentes Browserprofil. Fenstergröße, Sprache und Zeitzone sollten ein reales Gerät widerspiegeln und sich während der Sitzung nicht ändern.
- Behalten Sie dieselbe IP über die Sitzung bei. Ändert sich die IP mitten in einem angemeldeten Ablauf, stört das gleichzeitig Fingerprint- und IP-Signal; Sticky-Proxy ist genau für diesen Bedarf konzipiert.
Warum bei Headless-Browsern CAPTCHAs auftauchen, haben wir in Puppeteer und CAPTCHA behandelt, und die neue Generation verhaltensbasierter Schutzmechanismen in Cloudflare Precursor. Die Grenzen der Werkzeuge auf Python-Seite finden Sie in unserem Beitrag Undetected ChromeDriver.
Häufig gestellte Fragen
Ist Fingerprinting legal?
Die Nutzung zu Sicherheits- und Betrugspräventionszwecken ist verbreitet. Wird es als personenbezogene Information verarbeitet, kann es unter Regelungen wie die DSGVO fallen. Websites müssen in ihrer Datenschutzerklärung offenlegen, zu welchem Zweck sie diese Information verarbeiten.
Ändert das private Fenster den Fingerprint?
Größtenteils nein. Das private Fenster speichert keine Cookies und keinen Verlauf; Bildschirm-, Schrift-, Canvas- und Hardware-Signale bleiben jedoch gleich.
Ändern VPN oder Proxy den Fingerprint?
Nein. Beide ändern nur die IP-Adresse und damit den sichtbaren Standort. Die vom Browser selbst gesendeten Informationen bleiben gleich. Den Unterschied zwischen beiden Werkzeugen haben wir in Proxy und VPN im Vergleich erklärt.
Ändert ein Browser-Update den Fingerprint?
Teilweise. Versionsinformationen und einige API-Signale ändern sich, Bildschirm, Schriftarten, Hardware und Zeitzone bleiben jedoch gleich. Fortgeschrittene Systeme tolerieren diese teilweise Änderung und verknüpfen die Sitzung weiterhin mit demselben Gerät.
Was macht ein Antidetect-Browser?
Er erzeugt für jedes Profil einen eigenen, konsistenten Fingerprint-Satz und isoliert die Profile voneinander. Ziel ist nicht, Signale zu verbergen, sondern jedes Profil in sich konsistent und wie ein gewöhnliches Gerät wirken zu lassen. Wird jedem Profil keine eigene IP zugewiesen, bleibt diese Isolation unvollständig.
Ist der Fingerprint auf Mobilgeräten schwächer?
Mobilgeräte ähneln sich modellbezogen stärker (gleicher Bildschirm, gleicher Schriftartensatz), weshalb die Entropie einzelner Signale niedriger ist. Touch-Verhalten, Sensordaten und App-Ebenen-Signale gleichen diesen Unterschied jedoch aus. Warum mobiler Traffic anders bewertet wird, haben wir in Mobile-Proxys 101 erklärt.
Fazit
Browser-Fingerprinting ist eine Methode, Ihr Gerät ohne Cookies zu erkennen, und wird in einem weiten Bereich von Sicherheit bis Werbung eingesetzt. Die IP-Adresse ist dabei nur ein Teil des Bildes; ein Proxy ändert die IP, tastet den Fingerprint aber nicht an. Um vertrauenswürdig zu wirken, müssen IP-Typ, Standort und Browserprofil zueinander passen und sich während der Sitzung nicht ändern. Passende IP-Typen für Konto- und Profilverwaltung finden Sie in unseren Proxy-Lösungen.
