Wie erkennt mich eine Website wieder, ohne meinen Namen zu kennen — und was hilft dagegen wirklich?
Um dich wiederzuerkennen, braucht eine Website deinen Namen nicht. Es genügt, deinen Browser beim nächsten Besuch — oder auf einer anderen Seite — als denselben zu erkennen. Dafür gibt es zwei Wege, und dieses Thema behandelt beide:
- Etwas ablegen und wieder abholen. Ein Cookie oder ein anderer Speicher im Browser trägt eine Kennung, die bei jedem Besuch zurückkommt. Über Websites hinweg verfolgen kann dich damit vor allem ein Dienst, der auf vielen Seiten eingebettet ist.
- Etwas messen. Ein Skript fragt Bildschirm, Zeitzone, Sprachen, Schriften, Grafikeinheit und eine unsichtbare Testzeichnung ab und bündelt die Werte zu einem Fingerabdruck. Dafür braucht es keinen Speicher, und anders als ein Cookie lässt sich ein Fingerabdruck nicht löschen.
Die beiden Wege stützen sich gegenseitig. Löschst du die Cookies, kann der Abdruck samt Adresse helfen, sie wiederherzustellen; ändert sich der Abdruck nach einem Update, hält das Cookie die Spur. Wer nur eines von beiden angeht, lässt dem Verfolger das andere. Deshalb stehen Cookie-Schutz und Fingerabdruckschutz hier nebeneinander.
Gegen Cookies über Websites hinweg hilft der Browser selbst: Firefox gibt eingebetteten Diensten von Haus aus für jede Website einen eigenen Speicher, Safari sperrt ihre Cookies ganz, Chrome erlaubt sie im normalen Fenster weiter, und Edge sperrt sie nur bekannten Trackern. Gegen den Fingerabdruck hilft dagegen nicht, weniger zu melden — Websites brauchen viele dieser Werte für die Darstellung —, sondern entweder dasselbe wie viele andere, wie die Einheitswerte im Tor Browser und Mullvad Browser, oder Werte, die sich je Website ändern, wie in Brave.
Daraus folgt die Regel, die sich durch mehrere Artikel zieht: Jede Änderung, die du selbst an einzelnen Werten, an der Browserkennung oder mit zusätzlichen Erweiterungen vornimmst, macht dich seltener statt unauffälliger. Die eingebauten Schutzfunktionen der Hersteller sind davon ausgenommen. Wie selten du tatsächlich bist, kann dir niemand ehrlich als Zahl nennen, ohne Abdrücke zu sammeln — und die Zahl hängt daran, wer in der Sammlung steckt: Dieselbe Frage ergab 2010 auf einer Testseite 83,6 Prozent einzigartige Abdrücke, 2018 auf einer gewöhnlichen Nachrichtenseite 33,6 Prozent. HexWarte nennt deshalb keine eigene Quote, sondern je Zeile nur eine Obergrenze: wie viel diese eine Frage höchstens verraten kann.
Rechtlich hängen beide Wege an derselben Regel: Wer etwas auf deinem Gerät speichert oder dort ausliest, braucht nach § 25 TDDDG grundsätzlich deine Einwilligung, außer es ist für den Dienst, den du ausdrücklich nutzen willst, unbedingt nötig. Technisch hält dein Browser eine Seite davon nicht ab, und ob sie dein Ablehnen im Einwilligungsbanner beachtet, prüft er nicht.
Nicht zu diesem Thema gehört, was ein Schutz im Browser nicht erreicht: deine IP-Adresse und die Begrüßungen beim Verbindungsaufbau. Die Adresse ändert nur ein anderer Weg ins Netz, siehe Wie anonym bin ich wirklich?; was die Begrüßungen verraten, steht in Was der Verbindungsaufbau über dein Gerät und deinen Browser verrät.