Was Websites über Sie wissen
Ein Signal ist alles, was eine Website über einen Besucher lesen kann, ohne um Erlaubnis zu fragen: ein Wert, den Ihr Browser beim normalen Surfen übergibt, eine Eigenschaft Ihrer Verbindung oder eine Einstellung, die Sie vor Langem vorgenommen und vergessen haben. Kein einzelnes Signal nennt Ihren Namen, aber zusammen bilden sie ein Porträt, das detailliert genug ist, Sie zu erkennen, Sie ungefähr zu verorten und zu erraten, wie Sie gern surfen. Der Browser-Fingerprint-Test schreibt dieses Porträt als einen Absatz, damit Sie sich so lesen können, wie eine Site Sie in der ersten Sekunde eines Besuchs sieht. Dieser Artikel geht durch jede Schicht dieses Absatzes — Verbindung, Gerät, Browser und stille Einstellungen — und endet mit dem, was eine Site immer noch nicht sehen kann. Er gehört zu VPN-Leaks und Tarnungschecks, wo gefragt wird, ob das Porträt zu der Geschichte passt, die Ihr VPN erzählen will.
Der Absatz kommt zuerst
Öffnen Sie eine moderne Website, und bevor Sie geklickt, gescrollt oder ein Zeichen getippt haben, hat die Seite bereits ein Arbeitsporträt von Ihnen zusammengesetzt. Sie weiß ungefähr, wo auf der Welt Sie zu sein scheinen, welche Sprache Sie wahrscheinlich lesen, welche Geräteklasse Sie in der Hand halten, wie groß Ihr Bildschirm ist und ob Ihre Einrichtung gewöhnlich oder ungewöhnlich wirkt. Nichts davon brauchte eine Erlaubnisabfrage, ein Login oder ein Cookie-Banner. Es kam aus der gewöhnlichen Aushandlung, die jeder Browser durchführt, um eine Seite zu holen und darzustellen: die Verbindung selbst, die Header, die jede Anfrage begleiten, und die JavaScript-APIs, die existieren, damit sich Seiten an Ihr Gerät anpassen können.
Der Absatz oben im Fingerprint-Test existiert, um diese Zusammensetzung sichtbar zu machen. Statt einer Tabelle roher technischer Werte schreibt er einen Satz, den Sie als Beschreibung einer Person erkennen würden: jemand in einer bestimmten Stadt, in einem bestimmten Netz, mit einem bestimmten Browser auf einer bestimmten Art von Maschine, mit einer Vorliebe für eine bestimmte Sprache und Erscheinung. Jeder ausgefüllte Wert in diesem Satz ist weiter unten auf der Seite auf seine Signale zurückführbar, sodass Sie nicht nur prüfen können, was die Schlussfolgerung ist, sondern auch, wie sie zustande kam. Wenn ein Wert fehlt, sagt der Absatz das ehrlich — und diese Abwesenheit ist, wie der letzte Abschnitt erklärt, selbst eine Information.
Warum zählt das, wenn kein einzelner Wert geheim ist? Weil die Kombination der Punkt ist. Eine Bildschirmgröße allein beschreibt Millionen Menschen. Eine Bildschirmgröße plus GPU-Modell, Zeitzone, Sprachreihenfolge, Liste unterstützter Codecs und Netztyp engt die Menge drastisch ein. Sites nutzen diese Kombination für legitime Arbeit — Betrugschecks, Missbrauchsabwehr, das Erkennen, ob ein Login vertraut wirkt — und Werbetreibende nutzen sie, um wiederkehrende Besucher auch dann zu erkennen, wenn Cookies gelöscht wurden. Sie können keinen der beiden Zwecke beurteilen, bevor Sie Ihre eigene Kombination sehen können, und dafür ist der Test da.
Was Ihre Verbindung sagt
Die erste Schicht ist Ihre Verbindung, und ihre Überschrift ist Ihre IP-Adresse. Jeder Server, den Sie kontaktieren, sieht sie, weil er irgendwohin die Antwort schicken muss. Aus dieser einen Adresse kann eine Site Einiges nachschlagen: eine ungefähre Geolokalisierung aus kommerziellen Datenbanken, die Autonomous-System-Nummer (ASN) und Organisation, der der Block gehört, und ob die Adresse zu einem privaten Breitbandanbieter, einem Mobilfunker, einem Unternehmen oder einem Hosting-Anbieter gehört. Diese letzte Unterscheidung ist selbst ein Signal — ein Besucher aus einem Rechenzentrumsbereich liest sich ganz anders als einer aus einer Wohnstraße, und Betrugssysteme bemerken das.
Behandeln Sie die Geolokalisierung mit Vorsicht: Die angezeigte Stadt ist die Stadt Ihres Netzausgangs, nicht notwendigerweise Ihre. Datenbanken ordnen Adressen dem Ort zu, an dem Anbieter sie registrieren und routen, sodass Mobilnetze, Firmen-Gateways und ländliche Anbieter Menschen routinemäßig Dutzende oder Hunderte Kilometer daneben verorten, gelegentlich auch im falschen Land. Der Test verbessert das Bild, indem er mehr als einen Trace-Endpunkt fragt, weil verschiedene Netze verschiedene Ausgänge sehen können — ein CDN-Trace etwa kann die Adresse zeigen, die jenes Edge-Netz beobachtet hat, und sie kann abweichen, wenn ein Proxy, ein Relay oder ein Split-Tunnel beteiligt ist. Unterschiede zwischen diesen Werten sind keine Fehler; sie sind eine Karte der Wege, die Ihr Datenverkehr tatsächlich nimmt.
Die Verbindung meldet auch ihre eigene Mechanik: die TLS-Version und das Protokoll, die sie gesichert haben, und ob sie über IPv4 oder IPv6 kam. Genau diese Schicht verschiebt ein VPN — und nur diese Schicht. Ein VPN ersetzt die IP-Adresse, die Sites sehen, durch seine Ausgangsadresse, sodass Stadt, Land, ASN und Organisation zu denen des VPN-Anbieters werden. Es ändert nicht Ihren Bildschirm, Ihre Schriften, Ihre Zeitzone oder Ihre Sprachliste. Diese Nichtübereinstimmung — eine Verbindung behauptet ein Land, ein Browser ist für ein anderes konfiguriert — ist genau das, wonach Tarnungschecks suchen, und warum ein reiner Adresswechsel eine schwächere Tarnung ist, als sie sich anfühlt.
Was Ihr Gerät und Browser sagen
Die zweite Schicht sind Gerät und Browser selbst. Das älteste Signal ist der User-Agent-String, ein Banner, in dem der Browser seine Familie, Version und sein Betriebssystem verkündet; moderne Chromium-Browser frieren diesen String zunehmend ein und verlagern das Detail in User-Agent Client Hints, strukturierte Werte, die eine Site zu Modell, Plattformversion und Architektur anfordern kann. Darum herum sitzen der Plattformname, die Zahl logischer Prozessoren, gemeldet als Hardware-Concurrency, ein ungefährer Wert für den Gerätespeicher und die maximale Zahl der Touchpoints — einzeln banal, zusammen eine Skizze von Klasse und Alter Ihrer Maschine.
Grafik und Anzeige fügen den langen Schwanz hinzu. Ihre Bildschirmgeometrie — Gesamtgröße, verfügbare Größe, Farbtiefe und Device Pixel Ratio — beschreibt Ihren Monitor und Ihre Skalierungswahl. Eine WebGL-Abfrage kann GPU-Hersteller und Renderer-String lesen, der oft den exakten Grafikchip oder die Treiberfamilie nennt. Canvas-Rendering, Audioverarbeitung und Schriftmessung funktionieren ähnlich: Bitten Sie den Browser, eine Form zu zeichnen, Text zu rendern oder aufzuzählen, was er anzeigen kann, und winzige Unterschiede in Hardware, Treibern und installierten Schriften erzeugen messbar andere Ergebnisse. Der Test prüft auch indirekt installierte Schriften, Mediengeräte in der Summe und welche Audio- und Video-Codecs der Browser abspielen kann — jede ein kleiner Fakt, zusammen eine Kombination, die kaum ein anderer Besucher exakt teilt.
Nichts davon braucht exotischen Zugriff. Es sind dieselben APIs, die legitime Sites nutzen, um das richtige Videoformat zu liefern, ein Layout zu wählen, das in Ihr Fenster passt, oder einen Download nicht anzubieten, den Ihr System nicht ausführen kann. Diese Doppelnutzung macht Fingerprinting per Gesetz schwer abzuschaffen: Man kann die Fähigkeit nicht entfernen, ohne gewöhnliche Anpassung zu brechen. Was Sie tun können, ist Ihre eigene Exposition zu kennen. Eine seltene Kombination ist kein Fehlverhalten, aber sie bedeutet, dass Cookies Löschen weniger für Ihre Anonymität tut als erhofft — die Geräteschicht erkennt dieselbe Maschine beim nächsten Besuch ohne jeden gespeicherten Zustand wieder.
Die stillen Einstellungen
Die dritte Schicht ist stiller: die Einstellungen und Präferenzen, die Ihr Browser mit sich trägt. Er meldet, ob Sie ein helles oder dunkles Farbschema bevorzugen, ob Sie reduzierte Bewegung angefordert haben, ob Sie reduzierte Daten oder Kontrastanpassungen bevorzugen, und ähnliche Barrierefreiheits- und Erscheinungswahlen, die über Betriebssystem oder Browser-Einstellungen getroffen werden. Sie existieren, damit Sites sie respektieren können, und die meisten Menschen stellen sie einmal ein und denken nie wieder daran — genau deshalb sind sie stabil genug, um zu einem Fingerprint beizutragen.
Sprache und Zeit sind lauter. Der Browser sendet eine geordnete Sprachliste — nicht nur Ihre Hauptsprache, sondern die Ausweichsprachen und ihre Prioritätsreihenfolge — und gibt die Zeitzone preis, auf die Ihr System eingestellt ist, zusammen damit, wie Daten und Zahlen in Ihrem Gebietsschema formatiert werden. Eine Sprachliste mit einem einzigen gängigen Eintrag ist unauffällig; eine Liste mit drei Sprachen in ungewöhnlicher Reihenfolge, gepaart mit Zeitzone und Datumsformat, ist nahe an einer Signatur. Sie prüft auch die Verbindungsschicht gegen: Ein Browser, der auf eine Region eingestellt ist, während seine IP-Adresse eine andere behauptet, ist ein klassisches Zeichen für Reisen, Fernarbeit oder einen VPN-Ausgang, der in einem anderen Land gewählt wurde als die Maschine selbst.
Manche Einstellungen waren als Privatsphäre-Bitten entworfen. Do Not Track und sein Nachfolger Global Privacy Control lassen den Browser signalisieren, dass Sie Tracking oder dem Verkauf Ihrer Daten widersprechen — und GPC hat in manchen Jurisdiktionen rechtliches Gewicht, das Do Not Track nie hatte. In der Praxis werden beide ungleich befolgt, und sie zu senden ist selbst ein unterscheidendes Signal, weil verhältnismäßig wenige Besucher es tun. Dasselbe Paradox zieht sich durch diese Schicht: Cookie- und Speicherverfügbarkeit, ob die Battery-API angeboten wird, welches Tastaturlayout impliziert ist — Einstellungen wie Abwesenheiten beschreiben Sie gleichermaßen, auch die, die Sie schützen sollen. Der Test meldet, was Ihr Browser sagt, und schweigt über Werte, die er zurückhält, sodass Sie beide Seiten sehen können.
Was eine Site immer noch nicht sehen kann
Bei all dem zählen die Grenzen so viel wie die Reichweite. Ohne Erlaubnisabfrage kann eine Site Ihren Namen, Ihre exakte Adresse, Ihr Alter, Ihre Kontakte, Ihre Dateien, Ihren genauen GPS-Standort, Ihr Mikrofon oder Ihre Kamera nicht lesen. Geolokalisierung, Gerätezugriff und Benachrichtigungen stehen aus gutem Grund hinter ausdrücklichen Browser-Erlaubnissen, und ein wohlverhaltenener Test — wie dieser — liest nur, was frei angeboten wird, und bittet um nichts. Wenn eine zufällige Seite behauptet, Ihren Namen allein aus Ihrem Fingerprint zu kennen, blufft sie oder hat diese Verbindung anderswo gekauft.
Dieses Anderswo ist der ehrliche Vorbehalt. Die sicheren Vermutungen der Werbeindustrie über Ihr Alter, Geschlecht, Einkommen und Ihre Interessen stammen nicht aus diesen Werten; sie stammen aus Verhalten, das über viele Sites und Apps hinweg verbunden wird — was Sie suchen, ansehen, kaufen und wobei Sie verweilen — zu Profilen zusammengesetzt und über die Zeit an Kennungen geheftet. Die Rolle des Fingerprints in dieser Ökonomie ist enger und technischer: Er hilft, denselben Browser wiederzuerkennen, damit die Verhaltensaufzeichnung fortgesetzt werden kann. Diese beiden Dinge getrennt zu halten zählt, weil die Abwehr sich unterscheidet: Verhalten wird von Konten, Einwilligung und Tracking-Regeln regiert, Signale davon, was Ihr Browser preiszugeben wählt.
Darum verdient ein fehlendes Signal Respekt. Wenn der Test sagt „dieser Browser sagt es nicht“, funktioniert eine Privatsphäre-Funktion wie beabsichtigt, und Browser unterscheiden sich hier absichtlich: Chromium-basierte Browser bieten in der Regel mehr Detail, während Safari und Firefox mehr Werte zurückhalten, vergröbern oder randomisieren und privatsphäre-fokussierte Browser noch weiter gehen. Ihren Absatz zu verkürzen ist möglich — die FAQ unten geben praktische Schritte — aber das Ziel sollte eine informierte Wahl sein, nicht Unsichtbarkeit, die keine Mainstream-Einrichtung ehrlich liefert. Wie der Begleit-Test selbst mit den Daten umgeht, die er liest, steht in wie ein Privatsphäre-Test keine Daten behält: Die kurze Version ist, dass Ihr Porträt in Ihrem Browser geschrieben wird, für Sie, und es zu lesen sollte nicht erfordern, uns eine Kopie anzuvertrauen.