Deine Verbindung hinterlässt Spuren. Entdecke, welche Angaben sichtbar sind, was sich daraus ableiten lässt und wo du selbst die Kontrolle hast.
Die Kurzfassung dessen, was weiter unten steht. Sie zieht mit, sobald du einen Schritt startest oder entfernst — erhoben wird dafür nichts.
Zwei Kammern, eine klare Grenze. Oben steht, was dein Gerät ohnehin gesendet hat, damit diese Seite überhaupt bei dir ankommt — dafür liest niemand etwas aus deinem Gerät. Darunter beginnt das Auslesen, und das startest ausschließlich du. HexWarte speichert weder das eine noch das andere.
Diese Angaben liegen jeder Website vor, sobald du sie aufrufst — auch dieser hier. Dein Gerät schickt sie mit, sonst könnte dir niemand antworten. Für die Anzeige liest HexWarte nichts aus deinem Gerät aus, speichert nichts und gibt nichts weiter.
Jede Zeile lässt sich aufklappen: was der Wert bedeutet, was hilft und was sich daraus nicht ableiten lässt.
Warum das ohne Einwilligung geht. Gezeigt werden ausschließlich Angaben, die dieser Server für die Auslieferung ohnehin erhält. Es findet kein Zugriff auf deine Endeinrichtung statt, kein Cookie, keine Zusammenführung und keine Weitergabe. Der Fingerabdruck des Verbindungsaufbaus wird berechnet und dir gezeigt — er steckt ohnehin im ersten Paket, beschreibt dein Programm und nicht dich, und wird weder gespeichert noch mit früheren Werten abgeglichen. Ebenso die Einstellungen, mit denen dein Browser die Verbindung über HTTP/2 einrichtet: Er sendet sie, bevor er die erste Frage stellen kann. Grundlage ist unser berechtigtes Interesse nach Art. 6 Abs. 1 Buchst. f DSGVO, dir genau das zu zeigen, wofür du diese Seite geöffnet hast. Die Abwägung steht in den Datenschutzhinweisen. Dein Widerspruchsrecht nach Art. 21 DSGVO bleibt unberührt; „Anzeige entfernen“ beendet die Darstellung sofort.
Was technisch geschieht. Ein einziger HTTPS-GET an diese Website, höchstens acht Sekunden, maximal 4 KiB gelesener Antwortinhalt, keine Weiterleitung, keine Wiederholung, ohne Cookies und ohne Referrer. Der Eingang reicht dem auswertenden Dienst keine deiner Kopfzeilen durch, sondern eine fest benannte Auswahl; alles andere erreicht ihn nicht. Die regionale Zuordnung und der Netzbetreiber kommen auf dem eigenen Server aus lokalen Datenbanken — deine Adresse geht an keinen externen IP-Dienst, und ihren Hostnamen schlagen wir bewusst nicht nach.
Grenzen. Eine regionale Zuordnung ist eine Schätzung zum IP-Netz, keine Ortung deines Geräts, und sie beweist weder Anonymität noch VPN-Nutzung. „Anzeige entfernen“ wirkt in diesem Tab; bereits übertragene Angaben lassen sich damit nicht zurückholen — sie sind der Preis jedes Seitenaufrufs im Netz, nicht dieser Seite.
Hier beginnt die andere Kammer. Bildschirmgröße, Zeitzone, Prozessorkerne: Diese Werte hat dein Gerät nicht mitgeschickt. Sie entstehen erst, wenn ein Skript sie abfragt — ein Zugriff auf deine Endeinrichtung, der ohne deine Zustimmung nicht zulässig ist. Deshalb passiert er erst auf deinen Klick, und das Ergebnis bleibt in diesem Tab.
Der Browser meldet User-Agent samt Plattformangabe und verfügbare Basisangaben, bevorzugte Sprachen und die Sprache, in der er Datum und Zahlen formatiert, Zeitzone und Zeitversatz, Bildschirmgröße und verfügbare Bildschirmfläche, innere und äußere Fenstergröße, Pixeldichte und Farbtiefe, logische Prozessorzahl, ungefähren Arbeitsspeicher, Touchpunkte, Cookie-Einstellung, Do Not Track, Global Privacy Control, Farb-/Bewegungsvorlieben, Verbindungsschätzung und Datensparmodus sowie den Sicherheitskontext dieser Seite. Nicht unterstützte Werte bleiben unbekannt.
Einige dieser Werte sagen allein wenig und werden vor allem gegeneinander gehalten: Passt die Formatierungssprache zur Sprachliste, der Zeitversatz zur Zeitzone, die Fenstergröße zum Bildschirm? Genau an solchen Paaren erkennt man einen Schutz, der alle Nutzer gleich aussehen lässt — oder eine Angabe, die nicht zu den anderen passt.
Die einmalige lokale Erfassung liest keine Dateien, gespeicherten Kennwörter oder Browserhistorie. Sie fragt keine Kamera, kein Mikrofon und keinen Standort an. In diesem ersten Schritt wird kein Kennwert zur Wiedererkennung berechnet und kein Bericht übertragen; das Berechnen von Kennwerten beginnt erst mit der Tiefenmessung weiter unten, und auch dort bleibt alles in diesem Tab.
Ergebnis nur im Arbeitsspeicher dieses Tabs. „Alles zurücksetzen“ entfernt die Werte; beim Verlassen werden sie verworfen. Kein automatischer Wiederholungscheck.
Bis hierher hat dein Browser erzählt, was er über sich weiß. Jetzt geht es um das, was sich messen lässt: Eine Seite kann zeichnen, rechnen und ausmessen — und aus winzigen Unterschieden einen Wert gewinnen, den dein Gerät bei jedem Besuch gleich liefert. Rechtlich ist das dieselbe Kammer wie eben, § 25 Abs. 1 TDDDG. Es ist trotzdem ein eigener Schritt, weil es tiefer greift: Deshalb eine eigene Entscheidung.
Neun Messungen. Eine Zeichnung auf einer Leinwand und ein durchgerechnetes Tonsignal, jeweils zweimal zum Vergleich. Hersteller und Grenzwerte der Grafikeinheit über WebGL und WebGPU. Welche von 42 Schriften sich an der Textbreite erkennen lassen. Drei auf fünf Nachkommastellen ausgemessene Textproben. Vierzehn Darstellungsabfragen samt Pixeldichte. Das Vorhandensein von 24 Schnittstellen. Und der Status der Standortfreigabe.
Was dabei nicht passiert. Du hörst nichts — das Tonsignal wird nur berechnet, kein Lautsprecher und kein Mikrofon werden angefasst. Keine der 24 Schnittstellen wird aufgerufen, nur ihr Vorhandensein geprüft. Dein Standort wird nicht abgefragt; wir lesen ausschließlich, ob eine Freigabe vorliegt. Es entsteht keine dauerhafte Kennung: Die gezeigten Kurzwerte werden bei jedem Durchlauf neu berechnet, bleiben in diesem Tab und werden weder gespeichert noch übertragen. Alles zum Messen Gezeichnete wird danach wieder entfernt.
Eine Rückfrage, die dein Browser stellen kann. LibreWolf fragt seit März 2026 nach, bevor eine Website WebGL benutzen darf, und blendet dazu oben einen Hinweis ein. Lehnst du ab oder lässt ihn stehen, fehlt die Schnittstelle, und die Messung wertet das als Vorteil. Stimmst du zu, lädt LibreWolf die Seite neu; die Messung startest du dann noch einmal.
Eine Grenze, die wir bewusst ziehen. HexWarte berechnet keine Quote der Art „du bist einzigartig unter X Besuchern“. Dafür müsste die Seite Fingerabdrücke sammeln und aufbewahren — sie speichert nichts. Stattdessen steht an jedem Merkmal, was die veröffentlichte Forschung dazu gemessen hat, immer mit der Erhebungsgruppe.
Die Messung dauert einen Moment, weil tatsächlich gezeichnet und gerechnet wird. Ergebnis nur im Arbeitsspeicher dieses Tabs.
Bis hierher blieb alles in deinem Browser. Dieser Schritt ist anders: Dein Browser schickt dabei selbst Pakete los. Für Videotelefonie kann er einen Hilfsserver fragen, unter welcher Adresse dein Gerät von außen erreichbar ist — und jede Website kann diese Frage im Hintergrund auslösen, ohne Kamera, ohne Mikrofon, ohne Dialog. Wer seine Adresse hinter einem VPN verbirgt, erfährt hier, ob sie auf diesem zweiten Weg trotzdem herauskommt. Rechtlich ist es dieselbe Kammer, § 25 Abs. 1 TDDDG. Weil aber zum ersten Mal etwas dein Gerät verlässt, ist es eine eigene Entscheidung.
Was geschieht. Dein Browser bereitet eine direkte Verbindung vor, die nie zustande kommt. Dafür fragt er unseren eigenen Messpunkt stun.hexwarte.de über UDP-Port 3478 — über IPv4 und, falls dein Anschluss es hat, über IPv6. Der Messpunkt antwortet mit der Adresse, von der die Frage bei ihm ankam. Dein Browser meldet die gesammelten Adressen an diese Seite, und wir vergleichen sie mit der Adresse aus Kammer 1. Nach höchstens fünf Sekunden wird die Vorbereitung geschlossen und verworfen.
Was dabei nicht passiert. Kein fremder Server wird gefragt — deine Adresse geht an niemanden außer an uns, und wir haben sie durch den Seitenabruf ohnehin. Es gibt keine Gegenseite und kein Gespräch. Kamera und Mikrofon werden weder angefragt noch berührt. Das Ergebnis bleibt in diesem Tab; an uns übertragen wird es nicht.
Was der Messpunkt verarbeitet. Absenderadresse und Port deiner Anfrage, für die Dauer der Antwort. Er protokolliert nichts und speichert nichts. Im Arbeitsspeicher steht je Absender ein Zähler, der nach spätestens einer Minute verfällt. Ohne ihn ließe sich ein solcher Dienst als Verstärker für Angriffe auf Dritte missbrauchen. Einzelheiten stehen in den Datenschutzhinweisen.
Grenzen. Kommt keine Antwort, kann das an deinem Browser, an deinem Netz oder an unserem Messpunkt liegen. Von hier aus sieht das gleich aus, und genau so steht es dann auch da. Und: Die Messung beschreibt diesen einen Moment in diesem einen Browser. Ein anderes Netz oder ein Update deines VPN-Programms können das Ergebnis ändern.
Dabei verlassen wenige kleine UDP-Pakete dein Gerät — ausschließlich an den Messpunkt von HexWarte. Ergebnis nur im Arbeitsspeicher dieses Tabs.
Bis hierher steht jede Angabe für sich. Der Bericht legt sie untereinander — mit ihrer Stufe daneben —, stellt dazu, was erst im Vergleich über die Kammern hinweg sichtbar wird, und nennt ausdrücklich, was nicht geprüft wurde. Er fasst ausschließlich zusammen, was ohnehin schon auf dieser Seite steht: dafür wird nichts zusätzlich erhoben.
Über deinen Browser, nicht über uns. „Drucken oder als PDF speichern“ öffnet den Druckdialog deines Browsers. Dort wählst du statt eines Druckers „Als PDF speichern“ (Chrome, Edge), „In Datei drucken“ (Firefox) oder „PDF › Als PDF sichern“ (Safari). Die Datei entsteht auf deinem Gerät und geht an niemanden — auch nicht an uns.
Warum es keinen eigenen PDF-Knopf gibt. Dafür bräuchte diese Seite eine PDF-Bibliothek von mehreren hundert Kilobyte samt eingebetteter Schrift, geladen von jedem Besucher — auch von allen, die nie drucken. Der Weg über den Browser kostet null Byte und liefert dasselbe Ergebnis, in deiner Systemsprache und mit deinen Papiereinstellungen.
Grenzen. Der Bericht zeigt den Stand dieses Augenblicks. Änderst du danach eine Kammer, wird er entfernt statt stillschweigend angepasst — ein ausgedruckter Bericht ließe sich sonst nicht mehr von einem aktuellen unterscheiden. Gespeichert wird er nirgends: Er entsteht in diesem Tab und verschwindet mit ihm.
Aktiviere automatische Updates und nutze die eingebauten Schutzfunktionen gegen Tracking und Fingerprinting. Verfügbarkeit und Wirkung unterscheiden sich je nach Browser.
Privatmodus begrenzt vor allem lokale Verlaufsspuren. Deine Verbindungs-IP bleibt für Websites sichtbar. Anmeldungen können dich weiterhin einem Konto zuordnen.
Ein vertrauenswürdig gewähltes VPN oder Tor kann die sichtbare Ausgangsadresse ändern. Der Dienst übernimmt dabei eine Vertrauensrolle. Eine IP-Schätzung allein zeigt nicht, wie gut du geschützt bist.
Jedes Browsermerkmal enthält eigene Quellen, Grenzen und Hinweise zur Nachprüfung. Den Datenfluss von HexWarte verstehen →