Browser-Fingerprinting ist die Sammlung von Browser- und Geräteattributen — Canvas-Rendering-Ausgabe, installierte Schriftarten, GPU-Modell, Zeitzone, Bildschirmauflösung und Dutzende mehr — um einen statistisch eindeutigen Identifikator zu erzeugen, ohne Daten auf dem Gerät des Nutzers zu speichern. Im Gegensatz zu Cookies überleben Fingerprints das Löschen des Verlaufs, den privaten Modus und die Nutzung von VPNs.
Wichtige Fakten (illustrative, ungefähre Entropiezahlen aus veröffentlichter Fingerprinting-Forschung — EFF Cover Your Tracks / Panopticlick und der akademischen Literatur; nicht unsere eigenen Messungen):
| Signal | Entropie (ungefähr) | Anmerkungen |
|---|---|---|
| Canvas (Desktop Chrome) | ~16 Bit | Unter den Vektoren mit der höchsten Entropie |
| WebGL-Renderer + Shader | ~14 Bit | GPU-Hersteller/Modell |
| Audio (OfflineAudioContext) | ~10 Bit | Stabil über Versionen hinweg |
| Schriftarten-Aufzählung (CSS) | ~10 Bit | Indirekte Erkennung |
| Hardware-Konkurrenz + Speicher | ~5 Bit | Grob, aber additiv |
| Canvas (Brave Shields) | Erheblich reduziert | Zufälligkeit angewendet |
| Canvas (Tor / Mullvad Browser) | ~0 Bit | Uniformitätsabwehr |
Browser-Fingerprinting hat sich von einer Forschungsneugierde zur dominanten Methode des Cross-Site-Trackings im offenen Web entwickelt. Die Abschaffung von Cookies, beschleunigt durch Googles Ausstieg aus Drittanbieter-Cookies in Chrome und bereits abgeschlossen in Safari und Firefox, hat das Tracking nicht reduziert — es hat den Übergang zu zustandslosen, gerätebasierten Identifikatoren beschleunigt. Dieser Leitfaden deckt jeden Vektor, jede Abwehrmaßnahme und die empirischen Daten ab, die Sie benötigen, um Ihre tatsächliche Exposition im Jahr 2026 zu bewerten.
Siehe auch: Testmethodik · Vergleich von Datenschutz-Browsern · Browser-Fingerprint-Test-Tool · Glossar zum Datenschutz im Browser
1. Die Bedrohungslandschaft des Fingerprintings im Jahr 2026
Die wirtschaftliche Logik des Fingerprintings ist einfach: Werbenetzwerke benötigen persistente Cross-Site-Identifikatoren, um Konversionen zuzuordnen, Verhaltensprofile zu erstellen und Inventar zu bewerten. Cookies waren der Industriestandard, bis Browseranbieter ab 2017 SameSite-Beschränkungen und ITP (Intelligent Tracking Prevention) durchsetzten. Als die Zuverlässigkeit von Cookies abnahm, investierte die Branche stark in cookielose Alternativen.
Bis 2026 sind Fingerprinting-basierte Identifikatoren in programmatischen Gebotsanfragen weit verbreitet, und große Datenbroker betreiben Fingerprinting-Netzwerke, die einen erheblichen Anteil aktiver Browser abdecken und Profile regelmäßig aktualisieren. Ein Fingerprint, der sich ändert — weil der Nutzer seinen GPU-Treiber aktualisiert oder seinen Bildschirm gewechselt hat — wird mit dem Profil durch probabilistische Zuordnung zu Verhaltenssignalen erneut verknüpft.
Drei wirtschaftliche Segmente treiben Investitionen in Fingerprinting-Technologie voran:
Ad-Tech. Echtzeitgebote erfordern einen stabilen Identifikator, um eine Gebotsanfrage in weniger als einer Sekunde einem Nutzerprofil zuzuordnen. Canvas- und Audio-Fingerprints, kombiniert mit IP-Subnetz und User-Agent, liefern einen Identifikator mit einer sehr niedrigen Kollisionsrate für Desktop-Browser.
Betrugserkennung. Zahlungsabwickler und E-Commerce-Plattformen verwenden Geräte-Fingerprinting, um legitime Nutzer von automatisiertem Betrug zu unterscheiden. Dieser Anwendungsfall wird in der Regulierung oft wohlwollend behandelt — er erschwert gesetzliche Ausnahmen und die Haltung der Browseranbieter zu API-Beschränkungen.
Staatliche Überwachung. Fingerprinting wurde in mindestens 14 nationalen SIGINT-Programmen dokumentiert. Im Gegensatz zu Cookie-basiertem Tracking erfordert Fingerprinting keine Zusammenarbeit des Gerätebesitzers und hinterlässt keine forensischen Spuren. Grenzüberschreitende Anfragen an CDNs und Analyseendpunkte liefern Fingerprinting-Nutzlasten, die außerhalb des Benutzerbewusstseins bestehen bleiben.
Was sind die wichtigsten aktiven Browser-Fingerprinting-Vektoren?
Browser-Fingerprinting verwendet JavaScript-APIs, um gerätebasierte Signale als Identifikatoren zu sammeln. Veröffentliche Forschung (wie die EFF-Studie "How Unique Is Your Web Browser?" / Panopticlick und spätere akademische Arbeiten) zeigt, dass die Vektoren mit der höchsten Entropie Canvas-Rendering-Ausgabe, WebGL-GPU-Daten, AudioContext-Verarbeitung und installierte Schriftarten-Aufzählung umfassen — jeweils in der Größenordnung von etwa 10–16 Bit auf dem Desktop. Kombiniert übersteigt ein Desktop-Fingerprint leicht die ~33 Bit, die für eine eindeutige Identifikation weltweit erforderlich sind.
Aktives Fingerprinting verwendet JavaScript-zugängliche Browser-APIs, die Inhalte verarbeiten oder rendern, wobei die Ausgabe als Identifikator gesammelt wird.
Canvas-Fingerprinting bleibt der aktivste Vektor mit der höchsten Entropie. Ein Skript zeichnet Text und Formen auf ein verstecktes <canvas>-Element und liest die Pixeldaten über toDataURL() oder getImageData() zurück. Subpixel-Rendering, Schriftarten-Hinweise, GPU-beschleunigte Komposition und OS-Level-Antialiasing erzeugen Signaturen, die sich zwischen GPU-Modellen, Treiberversionen und Betriebssystemen unterscheiden. Veröffentliche Fingerprinting-Forschung platziert Canvas allein unter den Vektoren mit der höchsten Entropie — in der Größenordnung von ~16 Bit auf Desktop-Chrome — genug, um einen Nutzer unter Zehntausenden herauszugreifen.
WebGL-Fingerprinting extrahiert GPU-Hersteller- und Renderer-Strings über WEBGL_debug_renderer_info und benchmarkt Shader-Ausführung. Die Kombination aus VENDOR-String und einer Perlin-Rausch-Shader-Ausgabe fügt Entropie zusätzlich zu Canvas hinzu — veröffentlichte Forschung platziert es in der Größenordnung von ~10 Bit — mit sehr niedrigen Kollisionsraten innerhalb der GPU-Familie.
AudioContext-Fingerprinting verarbeitet eine 1000 Hz Sinuswelle durch einen OfflineAudioContext und hasht den Ausgabepuffer. Die Kompressoreigenschaften, Resampler-Koeffizienten und Gleitkomma-Rundung unterscheiden sich je nach OS und Audiostack. Studien berichten von Entropie in der Größenordnung von ~7 Bit. Die Technik wird schnell abgeschlossen und erfordert keine Benutzerinteraktion oder Berechtigungen.
Schriftarten-Aufzählung wurde historisch durch Messen der Textbreite in einem versteckten <span> durchgeführt. Moderne Skripte verwenden FontFace.load() und document.fonts.check() für schnellere und zuverlässigere Aufzählung installierter Systemschriftarten. Auf einem Desktop-OS mit Hunderten von Schriftarten ist das installierte Set ein Vektor mit hoher Entropie (berichtet in der Größenordnung von ~10 Bit oder mehr). Mobile Geräte haben kleinere und einheitlichere Schriftartensätze, die weit weniger liefern.
Hardware-Konkurrenz und Speicher. navigator.hardwareConcurrency gibt die Anzahl der CPU-Kerne an; navigator.deviceMemory gibt einen von acht diskreten Werten zurück (0,25–8 GB). Zusammen fügen sie einige Bits hinzu und korrelieren stark mit der Geräteklasse — nützlich für demografische Inferenz und Betrugserkennung.
Bildschirm- und Fenstergeometrie. screen.width, screen.height, screen.colorDepth, window.devicePixelRatio und window.outerWidth vs. window.innerWidth (was die Größe des Browser-Chromes leakt) tragen zusammen mehrere Bits auf dem Desktop bei, und weniger auf mobilen Geräten, wo sich die Displayauflösungen stark konzentrieren.
Zeitzone und Gebietsschema. Intl.DateTimeFormat().resolvedOptions().timeZone gibt den IANA-Zeitzonenstring zurück. Kombiniert mit navigator.language, navigator.languages und Intl.NumberFormat-Gebietsschema fügt dies mehrere weitere Bits hinzu und schränkt den geografischen Ursprung in vielen Fällen auf Stadt-Region-Ebene ein.
Die kombinierte aktive Fingerprint-Entropie über alle oben genannten Vektoren übersteigt leicht die ~33 Bit, die für eine eindeutige Identifikation über das globale Internet auf dem Desktop erforderlich sind, und bleibt hoch auf mobilen Geräten.
3. Passive Fingerprinting-Vektoren
Passives Fingerprinting erfordert kein JavaScript — es arbeitet mit netzwerkschichtbasierten Signalen, die in jeder HTTP-Anfrage vorhanden sind.
User-Agent und Client Hints. Der User-Agent-Header leakte historisch den Browsernamen, die Haupt- und Nebenversion, den OS-Namen und die Version sowie die CPU-Architektur in einem einzigen String. Das Chrome-Team führte User-Agent Client Hints (UA-CH) ein, um zu einem standardmäßig niedrigeren Entropie-UA und opt-in hochentropischen Hinweisen zu migrieren. In der Praxis fordern Websites vollständige CH über Accept-CH-Header an, und Chrome erfüllt sie — die Entropie wanderte von passiv zu semi-passiv, nahm aber nicht ab. Firefox und Safari behalten eingefrorene oder vereinfachte UA-Strings bei, die die passive Entropie auf ~8 Bit reduzieren.
HTTP-Header-Reihenfolge und -Grammatik. Die Reihenfolge, Großschreibung und das Vorhandensein von Accept, Accept-Encoding, Accept-Language, Sec-Fetch-* und Priority-Headern variieren je nach Browser und Version auf nachweisbare Weise. Diese Technik erfordert kein JavaScript und funktioniert gegen jeden HTTP-Client — Browser, Bots und Automatisierungsframeworks haben alle unterschiedliche Header-Fingerprints.
IP- und TLS-Fingerprinting. Die TLS ClientHello-Nachricht enthält Cipher-Suite-Liste, Erweiterungsreihenfolge, unterstützte Gruppen und ALPN-Werte, die sich je nach TLS-Implementierung unterscheiden. JA3/JA4-Fingerprinting extrahiert diese Felder und erzeugt einen Hash. Ein Chromium-basierter Browser auf Windows erzeugt einen anderen JA4-Hash als derselbe Chromium auf Linux oder macOS. IP-Geolokalisierung fügt 5–8 Bit für Stadt-Ebene und 2–3 Bit für ISP-Ebene-Attribution hinzu. Kombinierter passiver Fingerprint auf dem Desktop: ~22 Bit ohne ausgeführtes JavaScript.
Verhaltenssignale. Mausbewegungsverläufe, Tastenanschlagzeiten, Scrollgeschwindigkeit und Druckmuster bei Berührungen werden von Betrugserkennungssystemen und zunehmend von Ad-Tech für die Wiedererkennung über Sitzungen hinweg verwendet. Diese erfordern JavaScript zur Sammlung, werden jedoch als passiv klassifiziert, da der Benutzer sie implizit während der normalen Interaktion bereitstellt. Veröffentliche Forschung berichtet, dass Verhaltensmodelle in kontrollierten Studien eine hohe Wiedererkennungsgenauigkeit für zurückkehrende Nutzer erreichen können.
Wie verteidigen sich Browser gegen Fingerprinting?
Es gibt zwei Strategien. Randomisierung (Brave, LibreWolf) injiziert pro Sitzung Rauschen in Canvas-, WebGL- und Audio-Ausgaben, um die Korrelation zwischen Sitzungen zu brechen. Uniformität (Tor Browser, Mullvad Browser) lässt jeden Benutzer denselben Fingerprint präsentieren, um die Identifikation innerhalb der Population zu verhindern. Randomisierung ist benutzerfreundlicher; Uniformität ist stärker für Anonymität, erfordert jedoch feste Fenstergrößen und deaktiviertes JIT.
Tor Browser. Die Referenzimplementierung der statischen Deckungsstrategie. Alle Tor-Browser-Nutzer präsentieren denselben standardisierten Fingerprint: eingefrorener Firefox ESR User-Agent, Canvas-API, die weißes Rauschen auf einem konsistenten Niveau zurückgibt, WebGL deaktiviert oder generische Fallback-Strings zurückgebend, AudioContext geklammert, Schriftarten auf einen eingebauten Satz beschränkt und das Viewport auf 1000×1000 gezwungen. Das Abwehrmodell geht davon aus, dass innerhalb der Tor-Nutzerpopulation einzelne Browser statistisch nicht unterscheidbar sind. Die Wirksamkeit hängt von der Populationsgröße ab: mit weniger als 3–4 Millionen aktiven Tor-Browser-Nutzern ist die Deckungsgröße die bindende Einschränkung.
Firefox Resist Fingerprinting (RFP). Firefox's privacy.resistFingerprinting-Flag (verfügbar seit Firefox 41, offiziell unterstützt in Firefox 68+) wendet eine breite Palette von gefälschten Werten an: eingefrorene Bildschirmauflösung, gefälschte Zeitzone auf UTC, vereinfachte Navigator-Werte, Canvas-Randomisierung, reduzierte Schriftarten-Metrik-Genauigkeit und unterdrückte window.performance.timing-Granularität. RFP im Jahr 2026 deckt 34 verschiedene API-Oberflächen ab. Kompromiss: Einige Webanwendungen brechen, insbesondere solche, die requestAnimationFrame-Timing für Animationen oder Intl für lokalisierte Datumsanzeige verwenden.
Brave Shields. Brave wendet pro Sitzung, pro Site Rauschen auf Canvas-, WebGL- und AudioContext-Ausgaben an. Das Rauschen ist so kalibriert, dass es für Benutzer nicht wahrnehmbar ist, aber ausreicht, um die Korrelation zwischen den Sites zu brechen. Brave entfernt auch Drittanbieter-Referer-Header, erzwingt Speicherpartitionierung und randomisiert hardwareConcurrency und deviceMemory. Das Abwehrmodell unterscheidet sich von Tor: Anstatt einer einheitlichen Deckung zielt Brave darauf ab, die Verknüpfung zwischen den Sites durch Inkonsistenz unzuverlässig zu machen. Innerhalb der Sitzung bleibt das Tracking für einen entschlossenen Angreifer möglich.
Mullvad Browser. Basierend auf dem Anti-Fingerprinting-Patch-Set des Tor-Browsers, jedoch ohne die Anforderung des Tor-Netzwerks. Wird standardmäßig mit uBlock Origin im Hard-Modus geliefert. Entwickelt, um mit einem vertrauenswürdigen VPN gepaart zu werden, um die Netzwerkidentität von der Browser-Identität zu trennen. Der Mullvad-Browser wendet dieselbe statische Deckungsstrategie wie der Tor-Browser an — es ist die stärkste Option außerhalb von Tor für Fingerprinting-Widerstand.
Randomisierung vs. statische Deckung Kompromiss. Randomisierung (Brave, einige Firefox-Erweiterungen) verhindert die Verknüpfung zwischen den Sites, kann jedoch erkannt werden: Wenn ein Tracker in einem iframe auf zwei Sites geladen wird und zwei verschiedene Canvas-Hashes von derselben IP innerhalb einer kurzen Sitzung erhält, kann er ableiten, dass Fingerprinting-Schutz aktiv ist. Statische Deckung (Tor, Mullvad) verhindert die Erkennung der Abwehr selbst und die Verknüpfung innerhalb der Population, auf Kosten der Anforderung, dass alle Nutzer dasselbe Erscheinungsbild präsentieren.
5. Wie diese Zahlen bezogen werden (und wie Sie Ihren eigenen Browser überprüfen können)
Entropie wird in Bits gemessen, indem Shannons Formel auf die Verteilung der beobachteten Werte angewendet wird. Wenn ein Vektor N verschiedene Werte mit Frequenzen p₁…pN annimmt, ist seine Entropie H = -Σ pᵢ log₂(pᵢ). Ein einzelnes Bit Entropie halbiert die Population. Etwa 20 Bit reichen aus, um eine Person unter etwa einer Million herauszugreifen, und veröffentlichte Forschung zeigt, dass ein kombinierter Desktop-Fingerprint bequem die ~33 Bit übersteigt, die für globale Einzigartigkeit erforderlich sind.
Die ungefähren Entropiebereiche, die in diesem Leitfaden verwendet werden, sind aus veröffentlichter Fingerprinting-Forschung gezogen, nicht aus einem proprietären Datensatz von uns. Die grundlegende Referenz ist die EFF-Studie Panopticlick, "How Unique Is Your Web Browser?" von Peter Eckersley, die erstmals die Entropie pro Vektor an einer großen Freiwilligenstichprobe maß und feststellte, dass die Mehrheit der Browser einzigartig ist. Das aktuelle Cover Your Tracks-Projekt der EFF setzt diese Arbeit fort, und eine breite akademische Literatur zu Canvas-, WebGL-, Audio- und Schriftarten-Fingerprinting hat dasselbe allgemeine Bild reproduziert: Canvas gehört zu den Vektoren mit der höchsten Entropie, und eine Handvoll kombinierter Vektoren reicht aus, um die meisten Desktop-Browser einzigartig zu machen.
Der zuverlässigste Weg, um Ihre eigene Exposition zu kennen, besteht darin, Ihren tatsächlichen Browser zu testen, anstatt einer einzigen Tabelle zu vertrauen:
- Führen Sie das EFF-Tool Cover Your Tracks (coveryourtracks.eff.org) aus, um zu sehen, welche Signale Ihres Browsers am identifizierendsten sind.
- Verwenden Sie unser eigenes Browser-Fingerprint-Test-Tool, um die Canvas-, WebGL-, Audio-, Schriftarten- und Header-Signale zu überprüfen, die Ihr Browser gerade jetzt offenlegt.
Die relative Reihenfolge ist das, was zählt und in der Literatur gut etabliert ist: Canvas, WebGL und Schriftarten-Aufzählung stehen an der Spitze; Hardware, Bildschirmgeometrie und Zeitzone fügen weniger Bits hinzu, stapeln sich jedoch additiv. Abwehrmaßnahmen ändern das Bild — Braves pro-Site-Rauschen soll die Einzigartigkeit von Canvas und WebGL erheblich reduzieren, während Tor-Browser und Mullvad-Browser darauf abzielen, jeden Benutzer identisch aussehen zu lassen (nahezu ~0 unterscheidbare Bits innerhalb ihrer Population), auf Kosten der leichten Erkennbarkeit als Tor/Mullvad-Nutzer.
6. Die Grenze von 2026
Reifung der Privacy Sandbox. Google hat die Topics-API 2025 in stabilem Chrome bereitgestellt und die Protected Audience API (ehemals FLEDGE) für Remarketing 2024. Speicherpartitionierung — Isolierung des Speichers pro Top-Level-Site — wurde in Chrome 115 und Firefox 109 eingeführt. Bounce Tracking Mitigation, die auf Cookie-Synchronisierung basierende Umleitungen abzielt, ist in stabilem Chrome ab Version 127. Diese Mechanismen reduzieren cookie-basiertes Tracking, führen jedoch neue Bestätigungsoberflächen ein.
FedCM (Federated Credential Management). FedCM ersetzt Drittanbieter-Cookie-basierte SSO-Flows. Es leitet Identitätsanfragen durch den Browser als Vermittler, wodurch die Fähigkeit des IdP, die Benutzernavigation zu verfolgen, reduziert wird. Der Browser selbst wird jedoch über die Beziehungen des Nutzers zu Identitätsanbietern informiert — ein neues Signal für browser-anbieterbasierte Profilierung, das von Datenschutzforschern untersucht wird.
Trust Tokens / Private State Tokens. Private State Tokens ermöglichen es Betrugserkennungssystemen zu überprüfen, dass ein Nutzer zuvor eine menschliche Verifizierungsherausforderung bestanden hat, ohne das spezifische Verifizierungsereignis zu verknüpfen. Das Token ist gerätebezogen und rotiert nicht über Sites hinweg, was einen potenziell stabilen Cross-Site-Identifikator schafft. Die W3C Privacy CG hat dies als offenes Anliegen markiert.
Speicherpartitionierung. Chrome, Firefox und Safari partitionieren jetzt localStorage, sessionStorage, IndexedDB und SharedWorker nach Top-Level-Ursprung. Dies eliminiert den Cache-Timing-Kanal und den Shared-Storage-Tracking-Vektor, die ein Jahrzehnt lang aktiv waren. Auswirkungen auf Fingerprinting: indirekt. Partitionierung reduziert nicht API-basiertes Fingerprinting, eliminiert jedoch mehrere passive speicherbasierte Identifikatoren.
WebAuthn und Passkeys. Passkey-Authentifizierung bindet Anmeldeinformationen an ein Gerät anstelle eines Passworts, was das Phishing-Risiko reduziert, aber ein stabiles Geräteidentitätssignal schafft. Ein Passkey-Relying-Party erhält kryptografischen Beweis, dass derselbe Geräteschlüssel mehrere Authentifizierungsereignisse signiert hat — was genau die Cross-Session-Verknüpfbarkeit ist, die Fingerprinting bietet, jetzt mit expliziter Benutzerzustimmung.
7. Was jetzt zu verwenden ist: Entscheidungsmatrix
| Profil | Empfohlener Browser | Anmerkungen |
|---|---|---|
| Hohes Risiko (Journalist, Aktivist, Whistleblower) | Tor Browser | Einzige Option mit nachweislich einheitlichem Fingerprint. Akzeptieren Sie 2–5× langsamere Seitenladezeiten. |
| Starker Datenschutz, täglich nutzbar | Mullvad Browser + VPN | Statische Deckung + uBO-Standard. VPN verbirgt Tor-Exit-Muster vor dem ISP. |
| Mainstream-Datenschutz, normale Nutzung | Brave (Shields-Standard) | Bestes UX-zu-Schutz-Verhältnis. Nicht fingerabdrucksicher, aber bricht Massenverfolgung. |
| Entwickler / Power-User auf Firefox | Firefox + RFP + uBO | Manuell, bricht einige Sites, höchste Entropiereduktion außerhalb von Tor/Mullvad. |
| Mobil iOS | Safari + iCloud Private Relay | CNAME-Unmaskierung blockiert, IP durch Relay maskiert. Keine Canvas-Abwehr — schwächste Option auf dieser Liste. |
| Mobil Android | Brave für Android | Shields aktiv auf Mobilgeräten. Bevorzugt gegenüber Chrome. |
Kein VPN allein ist ausreichend — Netzwerkidentität und Browser-Identität sind separate Angriffsflächen, die separate Abwehrmaßnahmen erfordern.
Entropiezahlen in diesem Leitfaden sind ungefähre Bereiche, die aus veröffentlichter Fingerprinting-Forschung gezogen wurden — der EFF-Studie Panopticlick ("How Unique Is Your Web Browser?", Peter Eckersley), dem EFF Cover Your Tracks-Projekt und der breiteren akademischen Literatur — nicht aus einem proprietären Datensatz von uns. Testen Sie Ihren eigenen Browser mit dem EFF Cover Your Tracks-Tool und unserem Browser-Fingerprint-Test.
Verwandte Lektüre
