cookies sind das bekannteste tracking-instrument. sie sind auch das einzige, über das öffentlich diskutiert wird. entsprechend hat die datenschutzdebatte der letzten jahre hauptsächlich cookies adressiert — dsgvo, consent-banner, cookie-einstellungen.

das problem: cookies sind nicht das wichtigste tracking-instrument mehr. sie sind das bekannteste. das ist ein unterschied.

was browser-fingerprinting ist

jeder browser sendet bei jedem seitenaufruf eine reihe von informationen an den server. diese informationen sind technisch notwendig — für korrekte darstellung, kompatibilität, spracheinstellungen.

zusammen ergeben sie einen fingerabdruck.

browser-version. betriebssystem. bildschirmauflösung. installierte schriftarten. zeitzone. spracheinstellungen. grafikkarte. cpu-kerne. speicher. installierte plugins. canvas-rendering-verhalten. webgl-parameter. audioverarbeitung.

jede dieser eigenschaften allein ist wenig eindeutig. zusammen sind sie es fast immer.

die electronic frontier foundation hat mit dem tool coveryourtracks untersucht, wie eindeutig browser-fingerprints sind. ergebnis: über 80 prozent der getesteten browser waren unter den getesteten nutzern einzigartig identifizierbar. ohne ein einziges cookie.

warum das relevant ist

ein cookie kann gelöscht werden. ein browser-fingerprint nicht — nicht ohne den browser selbst zu verändern.

wer cookies löscht, im inkognito-modus surft, oder einen cookie-blocker nutzt, ist nicht anonym. der fingerprint bleibt. er ändert sich nur, wenn sich das gerät oder der browser wesentlich ändert.

das bedeutet: ein nutzer, der auf seite a cookies ablehnt, auf seite b im inkognito-modus surft, und auf seite c einen anderen browser nutzt — kann trotzdem über alle drei seiten hinweg als dieselbe person identifiziert werden, wenn der fingerprint identisch ist.

werbenetzwerke nutzen das seit jahren. google, meta und hunderte kleinere datenbroker haben fingerprinting-infrastruktur, die parallel zu cookies läuft — als fallback, wenn cookies nicht verfügbar sind, und als zusätzliche identifikationsschicht, wenn sie es sind.

was canvas-fingerprinting ist

eine besonders effektive methode: canvas-fingerprinting.

jeder browser rendert grafische elemente minimal unterschiedlich — abhängig von grafikkarte, treiber, betriebssystem und browser-version. diese unterschiede sind für das menschliche auge unsichtbar. für algorithmen sind sie eindeutig messbar.

eine webseite kann ein unsichtbares canvas-element in die seite einbetten, einen text oder eine form darauf rendern lassen, und das ergebnis als hash speichern. dieser hash ist für jede hardware-software-kombination anders — und stabil über sitzungen, browser-neustart, und cookie-löschung hinweg.

canvas-fingerprinting benötigt keine benutzerinteraktion. keine einwilligung. kein cookie. es passiert beim laden der seite.

was wirklich hilft

die meisten empfehlungen gegen tracking adressieren cookies. gegen fingerprinting helfen sie wenig.

brave browser hat fingerprinting-schutz standardmäßig aktiviert. er fügt den fingerprint-parametern kontrollierten zufallslärm hinzu — sodass jede sitzung einen minimal anderen fingerprint erzeugt, ohne die browsernutzung merklich zu beeinträchtigen. das ist technisch der sauberste ansatz für normalen browsergebrauch.

firefox mit fingerprinting-resistenz — in about:config privacy.resistFingerprinting = true — standardisiert viele parameter, die für fingerprinting genutzt werden. browsergröße, schriftarten, zeitzone werden vereinheitlicht. das macht den fingerprint weniger eindeutig, verändert aber teils das nutzungserlebnis.

tor browser bietet den stärksten schutz: alle nutzer des tor browsers sehen für fingerprinting-zwecke identisch aus. das ist das konzept hinter dem design. der trade-off ist geschwindigkeit und kompatibilität.

was nicht hilft: vpn allein. cookie-blocker allein. inkognito-modus allein.

die grundsätzliche lage

fingerprinting ist ein beispiel für ein muster, das sich durch die tracking-industrie zieht: sobald eine methode reguliert oder blockiert wird, ist die nächste bereits im einsatz.

third-party cookies werden von browsern zunehmend blockiert. die tracking-industrie hat längst auf fingerprinting, server-side tracking, und deterministische identifikation über geräte-übergreifende logins umgestellt.

jede einzelne datenschutzmaßnahme ist ein schritt in die richtige richtung. kein einzelner schritt löst das problem vollständig. wer das versteht, trifft bessere entscheidungen als wer glaubt, mit einem cookie-banner-klick fertig zu sein.